A segurança cibernética requer resiliência coletiva

Quando uma atualização da CrowdStrike inadvertidamente gerou disrupção nos terminais Windows em todo o mundo em 2024, mesmo as empresas bem preparadas foram impactadas. No entanto, enquanto muitas empresas enfrentaram dificuldades para voltar a operar, algumas conseguiram se recuperar surpreendentemente rápido. A diferença residiu na rapidez com que os líderes conseguiram compreender o escopo e o risco, validar as medidas de mitigação e alinhar as comunicações. Por exemplo, uma hora após a interrupção, os membros do Conselho de Resiliência Empresarial (BRC) estavam compartilhando o que estavam observando em um chat intersetorial. Mais tarde naquele dia, esses profissionais colaboraram em uma chamada. Logo depois, o CEO da CrowdStrike informou mais de mil empresas no fórum confiável do BRC. A única maneira de atingir consistentemente esse nível de rapidez e franqueza é por meio de relacionamentos pré-estabelecidos, canais seguros e manuais de procedimentos ensaiados. É o que chamamos de “resiliência coletiva”. Essa ideia se baseia na resiliência operacional, que é a capacidade de uma organização de manter seus serviços importantes em funcionamento durante uma disrupção, atendendo aos níveis mínimos viáveis de serviço (MVSLs) enquanto a recuperação total ocorre em paralelo. A resiliência coletiva, por outro lado, é a capacidade de várias organizações se coordenarem para que os serviços aos clientes continuem, mesmo em um estado prejudicado, entre provedores, parceiros e plataformas compartilhadas. As empresas precisam colocar essa ideia em prática, criando canais de comunicação e manuais compartilhados com seus terceiros mais importantes, definindo níveis mínimos de serviço para serviços críticos e ensaiando juntos a prestação de serviços prejudicada antes que a próxima disrupção force a questão. Repensando a resiliência Nos últimos 20 anos, os líderes têm considerado a segurança cibernética quase exclusivamente no contexto de suas próprias empresas. Eles se concentraram em investir em sistemas que mantivessem suas empresas em funcionamento em caso de um ataque e presumiram que segurança cibernética significava proteger suas informações e seus processos contra agentes mal-intencionados. Infelizmente, essa perspectiva atingiu seus limites. As empresas não operam em um vácuo, elas operam em um ecossistema interconectado que deve se tornar resiliente. “Duas décadas de terceirização transformaram ambientes antes homogêneos em sistemas interdependentes, unidos por terceiros e plataformas compartilhadas”, afirma David LaFalce, presidente do Business Resilience Council. No ecossistema interconectado de hoje, tratar incidentes e continuidade como eventos principalmente internos não funciona mais. Muitos dos modos de falha mais graves estão fora do controle direto de qualquer empresa. A realidade atual é que as organizações devem se defender em conjunto e coordenar-se rapidamente para evitar impactos sistêmicos. A segurança depende do compartilhamento rápido das informações corretas em comunidades confiáveis, para que as equipes possam validar sinais e coordenar medidas de mitigação eficazes. Resiliência significa não apenas manter os serviços em funcionamento para sua empresa, mas também permitir que clientes e parceiros continuem operando, mesmo que em um estado degradado, para limitar o alcance das falhas e evitar disrupções sistêmicas. Existe um caminho prático que vai da preparação ao nível da empresa à resiliência ao nível do ecossistema. O estudo de caso que se segue mostra a rapidez com que uma perturbação se torna um evento que envolve várias partes. A partir daí, a discussão centra-se em três mudanças que os líderes podem impulsionar: da proteção à coordenação, da continuidade interna à continuidade do serviço e da gestão de riscos de terceiros à co-resiliência. A secção final apresenta ações que os líderes podem implementar neste trimestre. Estudo de caso: o sistema de pagamentos eletrônicos ACH Para entender por que a resiliência coletiva é importante, considere o que acontece quando um serviço compartilhado é prejudicado. Na primavera de 2024, o BRC organizou um exercício simulado comunitário para testar a resiliência das instituições financeiras durante uma disrupção em grande escala da rede Automated Clearing House (ACH), que processa pagamentos eletrônicos nos Estados Unidos, como depósitos diretos de salários, benefícios da Previdência Social e restituições de impostos. Em 2024, a ACH processou mais de 33 bilhões de pagamentos no valor de US$ 86 trilhões. O exercício incluiu centenas de bancos, cooperativas de crédito e processadores centrais de diversos tamanhos. O cenário foi projetado para enfatizar tanto a continuidade do serviço quanto as dependências da cadeia de suprimentos. O primeiro dia começou com os sistemas ACH ficando inacessíveis e notícias nacionais relatando interrupções generalizadas. O cenário se agravou com um software destrutivo que apagou os sistemas ACH e os backups. No segundo dia, ficou claro que centenas de instituições financeiras e um grande processador de folha de pagamento não conseguiam processar transações ACH e 20% dos pagamentos estavam falhando. No quinto dia, outros eventos agravaram a situação, incluindo exfiltração de dados, uma campanha de desinformação e um ataque DDoS que afetou o acesso dos clientes ao banco online. Uma falha prolongada no ACH rapidamente se torna um problema doméstico e intersetorial, pois a folha de pagamento, os benefícios, os reembolsos e os pagamentos a fornecedores dependem dele. O exercício foi explicitamente elaborado para explorar efeitos sistêmicos, dependências de terceiros, confiança do cliente e ataques secundários. Quatro lições importantes surgiram desse exercício: As premissas de provedores compartilhados são quebradas em uma crise. Muitas instituições esperavam que os processadores centrais lidassem com o volume de processamento e gerenciassem os atrasos durante uma interrupção prolongada, enquanto os processadores centrais indicavam que não poderiam cumprir suas obrigações. A falta de visibilidade atrasa a ação. Quase metade dos entrevistados não possuía ferramentas para medir o nível de comprometimento dos sistemas ACH, atrasando a detecção e as decisões sobre priorização e mudança para modelos de serviço degradados. Terceiros podem ser incapazes ou não estar dispostos a prestar assistência. Em eventos que afetam todo o setor, os provedores compartilhados podem ficar sobrecarregados ou gerar disrupções e podem relutar em restabelecer conexões com parceiros. O exercício com terceiros críticos expõe essas lacunas de expectativa e impulsiona a adoção de práticas de resiliência operacional para melhor atingir os MVSLs. A comunicação e o gerenciamento de informações incorretas são controles de resiliência. Asprincipais preocupações incluíram comunicações unificadas com reguladores, clientes, fornecedores e o público, além de um planejamento explícito para combater informações incorretas que podem provocar pânico e choques secundários. Essas lacunas só se tornam visíveis em um exercício envolvendo várias partes, com fornecedores e clientes presentes. O exercício reforçou que a coordenação com terceiros e colegas é um processo de controle de resiliência necessário e que as expectativas de resiliência devem ser validadas por meio de preparação e testes conjuntos. O estudo de caso ilustra o impacto interconectado das disrupções no ecossistema, onde a resiliência vem da preparação e a velocidade da coordenação impulsiona os resultados. As próximas seções traduzem essa lição em três transformações práticas que os líderes podem implementar tanto em sua organização quanto em seu ecossistema. Da proteção à coordenação A proteção continua sendo importante, e os líderes devem garantir que tenham as salvaguardas adequadas em vigor. No entanto, em incidentes que afetam todo o ecossistema, o gerenciamento bem-sucedido do tempo de coordenação frequentemente determina quem continua operando. As organizações que agem com mais rapidez e sucesso já possuem: Canais de escalonamento e relações de trabalho com executivos nomeados em fornecedores importantes. Canais seguros e testados entre várias partes para o compartilhamento rápido de informações. Fluxos de trabalho ensaiados para o fluxo de informações críticas e medidas de mitigação dentro da empresa e em todo o ecossistema. Em eventos recentes que afetaram diversos setores, desde ferramentas de terceiros amplamente exploradas (por exemplo, o incidente MOVEit de 2023) até grandes interrupções nos serviços em nuvem do Google e da AWS, o diferencial não foi um novo controle de segurança. Foi a confiança pré-estabelecida e a colaboração em tempo real que reduziram o tempo entre a detecção, a decisão e a retomada. Insight prático: Inclua fornecedores importantes em seu ciclo de resposta antes de precisar deles, estabelecendo um canal de coordenação seguro, nomeando contatos e ensaiando como as informações críticas e as correções fluirão sob pressão de tempo. Da continuidade interna à continuidade do serviço Os planos tradicionais de continuidade de negócios questionam: “Como podemos recuperar nossos negócios?” Em contrapartida, a resiliência operacional no nível da empresa questiona: “Como podemos continuar prestando serviços importantes aos nossos clientes durante uma crise?” Responder a essa questão requer uma visão que priorize os serviços: identifique quais serviços seus clientes dependem, defina um MVSL para cada um deles e planeje como você irá operar em um estado prejudicado, mas aceitável. O BRC criou uma Estrutura de Resiliência Operacional (ORF) que forneceu um caminho de sete etapas que os líderes podem adotar para responder a essas perguntas. Quando fornecedores e prestadores de serviços críticos aplicam as mesmas práticas, o resultado é uma resiliência do ecossistema que minimiza o impacto sistêmico e os danos ao consumidor. Insight prático: Priorize seus segmentos de clientes e defina MVSLs para cada serviço essencial. Estabeleça Objetivos de Prestação de Serviços (SDOs) que especifiquem a rapidez com que você alcançará seu estado de comprometimento alvo. Em seguida, desenvolva métodos para detectar sinais precoces de comprometimento (não apenas ativo/inativo) e teste failovers para alcançar estados de comprometimento alvo de maneira previsível. Da gestão de riscos de terceiros à resiliência coletiva O risco de terceiros torna-se sistêmico quando as expectativas e as capacidades não correspondem. Como demonstrou o exercício de interrupção da ACH, muitos bancos presumiram que os provedores compartilhados poderiam suportar o volume de transações durante uma crise, quando, na realidade, não podiam. Quase metade dos participantes desse exercício também não possuía ferramentas para medir a deficiência do serviço em tempo real. Essas são fontes clássicas de surpresas sistêmicas e só podem ser evitadas através da preparação e prática da resiliência em conjunto com fornecedores críticos. Insight prático: Converta a gestão de riscos de terceiros em co-resiliência, alinhando os contratos aos resultados MVSL/SDO e participando de exercícios intersetoriais com fornecedores envolvidos, para que as opções de recuperação sejam comprovadas na prática. O que os líderes podem fazer hoje Identifique os serviços essenciais. Indique três serviços que sua organização deve manter ativos para evitar prejuízos aos clientes. Para cada um deles, priorize os grupos de clientes e defina o MVSL que evita gerar disrupção a jusante. Defina os objetivos e mecanismos para atingir esse estado prejudicado durante uma crise e crie redundâncias para remover pontos únicos de falha. Monitore o comprometimento. Não deixe que as reclamações dos clientes sejam seu primeiro alerta. Instrumentalize cada serviço e defina limites que acionem fallbacks para modos de comprometimento predefinidos, para que as transações de maior prioridade continuem a ser processadas durante o evento disruptivo. Prepare o envolvimento dos fornecedores para resiliência coletiva. Estabeleça contatos de escalonamento, canais de comunicação seguros e obrigações contratuais de resiliência com fornecedores críticos. Planeje interrupções em todo o setor e esclareça com antecedência como sua organização será priorizada entre os pares quando um provedor compartilhado estiver em apuros. Pratique a operação em estado prejudicado antes que essas configurações sejam realmente necessárias. Uma vez definidos os níveis mínimos de serviço, projete as configurações alvo parao estado prejudicado, de modo que seus fluxos de maior prioridade continuem durante uma crise. Pratique a mudança do serviço completo para o serviço prejudicado e vice-versa. Certifique-se de que os MVSLs sejam alcançáveis e atendam às necessidades dos clientes. Exercícios repetidos reduzirão o tempo de transição entre os estados prejudicados e a retomada completa e aumentarão a confiança nos manuais de recuperação. Utilize exercícios centralizados. Testes individuais com clientes não são escaláveis quando um fornecedor atende milhares de pessoas. Participar de exercícios centralizados é a forma como as organizações passam da resiliência operacional em nível de empresa para a resiliência coletiva em nível de ecossistema. Certifique-se de que os provedores críticos compartilhem ativamente informações em comunidades confiáveis e participem de exercícios setoriais e intersetoriais. Isso revelará suposições incompatíveis e fortalecerá a resiliência conjunta antes que os problemas se tornem sistêmicos. Com uma mentalidade coletiva de resiliência, um plano claro para manter sua organização e seu ecossistema operacionais durante um incidente e o hábito de praticar a mudança das operações normais para a prestação mínima de serviços, sua organização estará preparada para enfrentar a crise. A alternativa é muito menos atraente.

A segurança cibernética requer resiliência coletiva

Resumo.

Partner Center