Um histórico limpo pode dizer mais sobre a qualidade do monitoramento do que a postura de segurança real
Um histórico limpo de incidentes é uma das primeiras métricas que as seguradoras cibernéticas buscam ao avaliar a postura de segurança de uma organização. Menos incidentes, diz a lógica, sinalizam menor risco. Mas essa lógica tem uma lacuna, e um registo discreto pode mostrar apenas o que uma organização detectou e decidiu divulgar. Não diz nada sobre o que chegou aos seus sistemas sem ser apanhado.
Ashu Savani, cofundador da TryHackMe, uma plataforma de treinamento em segurança cibernética baseada em navegador, argumenta que um registro limpo de incidentes é um proxy ruim para a prontidão cibernética. Aqui, ele descreve o que os gerentes de risco, seguradoras e equipes de segurança deveriam examinar.
Que registro silencioso deixa de ser visto
O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), criado pelas principais redes de cartões para definir requisitos básicos de segurança, estabelece um princípio que vale a pena tomar emprestado. Uma baixa contagem de descobertas em uma avaliação de segurança raramente é prova de segurança genuína. Mais frequentemente, significa que a avaliação foi demasiado restrita para captar o que estava lá.
Savani aplica essa lógica ao histórico de incidentes como um sinal de subscrição.
“Um registro limpo pode significar resiliência real, mas também pode facilmente significar que uma organização definiu o escopo de seus testes de forma restrita o suficiente para que nada aparecesse, rebaixou silenciosamente a gravidade do que encontrou ou simplesmente não relatou o que aconteceu”, disse ele.
Savani aponta a detecção como a lacuna estrutural que agrava o problema. A contagem de incidentes de uma organização, argumenta ele, é limitada apenas pelo que o seu monitoramento detecta. Uma violação que passa despercebida não pode ser divulgada. Uma seguradora então lê um registro limpo sem ter como saber se a segurança mantida ou o monitoramento falharam totalmente.
“Você não pode divulgar um incidente que nunca viu”, disse Savani.
Isso cria um problema estrutural na subscrição. Uma contagem baixa de incidentes tratada como um sinal confiável de baixo risco recompensa as organizações que podem ter mantido contagens baixas pelos motivos errados. Um registo limpo pode dizer mais sobre a qualidade da monitorização do que sobre a prontidão cibernética real de uma organização.
AI removeu o limite máximo de experiência
A ameaça que Savani descreve não é um atacante mais habilidoso. É menos qualificado e com ferramentas melhores. Grandes modelos de linguagem (LLMs) disponibilizaram conhecimento profundo de plataforma sob demanda, em qualquer ponto de um ataque, em quase todos os sistemas corporativos.
A equipe de Savani encontrou um caso que ilustra isso. Um ataque começou com o tipo de movimentos desleixados associados a um operador de baixa qualificação. Sem aviso prévio, o mesmo invasor mostrou a fluência de um insider da plataforma de longo prazo e avançou para a execução de fraudes.
“Debatemos se se tratava de uma transferência de acesso inicial do corretor para um comprador mais avançado”, disse ele. “A perícia confirmou que era a mesma pessoa durante todo o processo.”
Savani argumenta que um modelo de IA de uso geral responderá como funcionam as mensagens da Sociedade para Telecomunicações Financeiras Interbancárias Mundiais (SWIFT) ou como um sistema de gerenciamento de relacionamento com o cliente (CRM) é construído. Essas são questões técnicas e publicamente disponíveis, e não solicitações de assistência para hackers, e o modelo não tem motivos para recusá-las. A ameaça que isso cria para as organizações é já recebendo alertas de agências de inteligência dos EUA, Reino Unido, Austrália, Canadá e Nova Zelândia.
“Um invasor não precisa mais de anos em uma determinada plataforma para operar nela de forma eficaz”, disse ele. “Eles podem se tornar especialistas razoáveis sob demanda, no meio do ataque, em praticamente qualquer sistema empresarial, por mais especializado que seja.”
Savani faz uma distinção entre como diferentes atores de ameaças usam esse recurso. Grupos focados em reconhecimento usam IA para compreender um alvo silenciosamente antes de ele se mover. Grupos de ransomware e crimes eletrônicos ignoram a paciência e a usam para automatizar e escalar.
“Organizações e funcionários entregam uma enorme quantidade de informações úteis gratuitamente, nas redes sociais ou em páginas corporativas, de modo que os invasores muitas vezes não estão apenas investigando, mas tropeçando nelas”, disse ele. “A IA removeu o limite de habilidade e esforço que costumava limitar o que um invasor poderia fazer.”
Do atestado à validação
O problema com a maioria das avaliações de risco cibernético, diz Savani, é que elas medem a presença e não o desempenho. “Comecemos pelo fato de que o seguro quer que o risco seja classificado em caixas organizadas e contáveis, e a preparação não é classificada dessa forma”, disse ele.
A distinção que ele faz é entre atestação e validação. “Atestado é uma organização informando que tem seis administradores de domínio. A validação mostra como chegou a seis.”
O mesmo teste se aplica a qualquer controle, argumenta Savani. As regras de firewall são verificadas ou apenas anotadas e as regras de detecção são testadas ou apenas documentadas em um questionário? A resposta informa se um programa está funcionando ou apenas presente.
Avaliações instantâneas pioram a situação, diz ele. Uma única medição informa o que uma organização possui em um determinado momento. Duas ou mais medições ao longo do tempo mostram se os seus programas de gestão de exposição, resposta a incidentes e ameaças internas estão realmente a melhorar.
“Pense nisso como a diferença entre navegar pelas fotos de uma casa e percorrê-la cômodo por cômodo”, disse Savani. “Um modelo de subscrição melhor faz com que as seguradoras façam o acompanhamento diretamente.
Na prática, argumenta ele, isso significa que as seguradoras participam de exercícios de mesa e verificam se um teste de penetração cobre o que afirma cobrir. Aceitar um relatório pelo valor nominal é o modelo antigo.
“Existe uma versão disso que já existe em outros setores de seguros”, disse Savani. “As seguradoras comerciais instalam sensores no equipamento de um cliente e oferecem um prêmio mais baixo em troca dos dados, ou seguradoras de automóveis que reduzem sua taxa se você permitir que vejam como você realmente dirige. O seguro cibernético poderia funcionar da mesma maneira, incentivando a transparência e a validação proativa da capacidade”.
Como é a prontidão sob pressão
Organizações fortes com poucos incidentes reais enfrentam um paradoxo, diz Savani. Quanto melhores os controles, menos prática a equipe fica sob pressão. Isso deixa menos evidências do mundo real de que a resposta realmente se sustenta.
“As equipes maduras contornam isso assumindo a violação”, disse ele. “Eles realizam exercícios ao vivo onde certos controles são deliberadamente desligados, e a equipe tem que responder a partir desse ponto como se fosse real. Não é o mesmo que um incidente genuíno, mas é a coisa mais próxima disponível, e é como programas fortes constroem a prática sem esperar que um invasor a entregue a eles.
“As organizações com as quais nos preocupamos são aquelas que saltam esta etapa, onde a confiança depende inteiramente dos controles e são testadas pela primeira vez no dia em que uma delas não o faz”, acrescentou Savani.
A prontidão cibernética genuína, argumenta Savani, não é um estado binário, mas uma escala. Em uma extremidade está um exercício básico de mesa. Por outro lado, há uma simulação completa de toda a organização que testa a resposta técnica, a continuidade dos negócios e a recuperação de desastres, e se o negócio pode continuar funcionando enquanto tudo isso acontece.
As organizações não precisam começar no topo dessa escala, segundo Savani.
“O ponto de entrada são três coisas. Os respondentes realmente possuem as habilidades que o plano pressupõe que eles tenham? As suposições do plano se mantêm depois de testadas, em vez de apenas serem bem lidas no papel? O fluxo de trabalho pode sobreviver ao contato com um incidente real?”
Essa lacuna entre o que parece pronto e o que está pronto é a única coisa que vale a pena medir, acrescenta.
“Treinar não é o mesmo que estar pronto”, disse Savani. “Um controle sendo implantado não é o mesmo que um controle funcionando. Prontidão é o que resta depois que você elimina as suposições e realmente testa o plano sob pressão.”
