A conversa que os CISOs precisam ter com seus conselhos administrativos sobre ransomware

A maioria dos conselhos de administração não está mal informada sobre ransomware. Eles recebem poucas informações sobre o sistema por trás dele. Essa falta de compreensão gera consequências reais. É hora de mudar a forma como esse assunto é abordado.

Leia o blog Compartilhe

Ilustração abstrata com formas circulares e uma lupa destacando uma parte da imagem sobre um fundo roxo

A conversa sobre ransomware que os CISOs deveriam ter com os conselhos administrativos

Neste exato momento, em algum lugar, um conselho administrativo está sendo informado sobre um ataque de ransomware. O CISO está explicando o que aconteceu, quanto custou e quais medidas foram tomadas em resposta. As informações apresentadas estão corretas. Mesmo assim, a discussão deixa de lado o que realmente importa. A conversa que a maioria dos conselhos de administração está tendo sobre ransomware começa pelo lugar errado: pelo incidente, e não pelo sistema por trás dele.

A conversa que os CISOs precisam ter com seus conselhos administrativos sobre ransomware

A conversa mais importante sobre ransomware não acontece nos centros de operações de segurança. Ela acontece na sala de reuniões do conselho administrativo.

Muitas discussões sobre ransomware começam apenas quando os dados já foram criptografados. A essa altura, o ataque já está na fase final. O acesso inicial provavelmente foi comprado semanas antes. Credenciais foram coletadas. O movimento lateral ocorreu silenciosamente. A organização não se tornou um alvo de uma hora para outra. Existe todo um mercado criminoso industrializado para encontrar organizações como a sua e explorá-las.

Entender essa diferença é importante para mudar as prioridades de investimento do conselho administrativo.

Quando os conselhos se concentram apenas no evento ocorrido no ponto de extremidade, a tendência é priorizar a recuperação depois que o dano já aconteceu. A recuperação é extremamente importante. No entanto, se limitar à recuperação, não torna o ataque menos lucrativo para os invasores. As organizações mais preparadas não pensam apenas em como absorver os efeitos da interrupção. Elas investem em formas de interromper a cadeia de ataque antes que os danos aconteçam.

Essa mudança de abordagem é cada vez mais importante, pois o ransomware evoluiu para uma economia criminosa madura.

Hoje, não é preciso ser um invasor altamente especializado para realizar um ataque sofisticado. Comprar acesso inicial a um ambiente pode ser quase tão fácil quanto comprar uma barra de chocolate em uma máquina automática. Plataformas de phishing como serviço são vendidas por assinatura, assim como serviços de streaming ou entretenimento. Serviços de assinatura de malware fazem com que códigos maliciosos pareçam legítimos. A IA está acelerando o reconhecimento, a personalização e a engenharia social em todas as etapas do ciclo de vida de uma intrusão.

Os CISOs que mais influenciam os conselhos administrativos não são os que apresentam relatórios de ameaças cada vez mais detalhados. Eles estão reposicionando o ransomware como um problema de risco operacional e econômico.

Veja como.

Três coisas que todo CISO deveria dizer ao conselho administrativo

1. Esta é uma conversa sobre riscos empresariais, não apenas sobre riscos de segurança.

O ransomware representa, ao mesmo tempo, riscos operacionais, financeiros, de reputação e de continuidade. Os conselhos administrativos já entendem os riscos da cadeia de suprimentos e do mercado. Com o ransomware, não é diferente. Quando passam a enxergá-lo dessa forma, a pergunta deixa de ser "como podemos nos recuperar mais rapidamente?" e passa a ser "como podemos reduzir a exposição antes que ocorra uma interrupção?" As duas perguntas são importantes. No entanto, apenas uma delas altera a economia do ataque.

2. A economia dos ataques mudou. A economia da defesa precisa acompanhar essa mudança.

O ecossistema de ransomware já opera como um mercado consolidado, com infraestrutura compartilhada, fornecedores especializados e técnicas apoiadas por IA que reduzem os custos dos invasores em todas as fases do ataque. A operação da Microsoft contra o Fox Tempest é um exemplo claro disso. O Fox Tempest não era um ator de ransomware. Era uma infraestrutura compartilhada usada por centenas de operações criminosas para fazer com que cargas maliciosas parecessem legítimas. Interrompê-la reduziu simultaneamente a capacidade de todo o ecossistema. Os defensores precisam operar da mesma maneira, atuando antecipadamente contra a infraestrutura compartilhada dos invasores, em vez de responder apenas no momento do impacto.

As organizações mais preparadas priorizam a proteção de identidades, a detecção de intermediários que comercializam acesso, a visibilidade dos caminhos de ataque a inteligência contínua para interromper o ataque antes da implantação do ransomware. Ao mesmo tempo, investem na resiliência necessária para garantir a recuperação caso isso ocorra.

3. Resiliência e recuperação agora são investimentos estratégicos, não apenas investimentos em segurança.

Toda organização está sujeita a ataques. O que diferencia uma organização não é evitar toda intrusão, mas conseguir conter a interrupção, manter as operações e se recuperar sem sofrer um impacto empresarial catastrófico. Isso exige investimentos em BCDR (continuidade dos negócios e recuperação de desastres), backups imutáveis e segmentados, estratégias de contenção de identidade e testes de recuperação operacional. Também é essencial acompanhar a métrica certa: não apenas o tempo de recuperação, mas o período entre o comprometimento inicial e a contenção. Essa janela determina se uma intrusão se transformará em uma crise empresarial.

Os conselhos administrativos já entendem os riscos da cadeia de suprimentos e do mercado. Com o ransomware, não é diferente. Quando passam a enxergá-lo dessa forma, a pergunta deixa de ser "como podemos nos recuperar mais rapidamente?" e passa a ser "como podemos reduzir a exposição antes que ocorra uma interrupção?"

Terrell Cox, CISO adjunto, Escritório de gerenciamento da segurança do cliente

O que muda quando os conselhos administrativos entendem a economia das ameaças

Os investimentos passam a se concentrar nas etapas iniciais da cadeia de ataque. As organizações cujos conselhos de administrativos têm conhecimento sobre ameaças tendem a direcionar recursos para a proteção de identidades, a detecção de intermediários que comercializam acesso e uma compreensão mais aprofundada da inteligência contra ameaças, que vai além de identificar a sua origem.
A resiliência se torna uma capacidade estratégica, não um exercício de conformidade. O planejamento da continuidade dos negócios e recuperação de desastres, os backups imutáveis e os testes de recuperação operacional deixam de ser itens de uma lista de auditoria e passam a ser diferenciais competitivos. As organizações que se recuperam mais rapidamente são aquelas que praticaram.
A função do CISO se reposiciona. A liderança de segurança deixa de apenas responder a incidentes e passa a orientar estrategicamente a empresa, usando a inteligência e a linguagem necessárias para antecipar e administrar riscos adversariais antes que eles causem interrupções operacionais.

O cenário atual

Desde 2020, a Microsoft monitora e publica informações sobre o ecossistema de ransomware como serviço.

A estratégia de resposta que fazia sentido em 2020 já não é suficiente. E uma conversa com o conselho administrativo presa ao cenário de ameaças de 2020 também não é suficiente.

Semanalmente, até setembro, a Microsoft mapeará o cenário do crime cibernético em tempo real e compartilhará as análises de seus especialistas sobre mais de 65 atores de ameaça motivados financeiramente e integrados a um ecossistema criminoso coordenado. A série Hot Cybercrime Summer foi criada para apresentar exatamente esse tipo de inteligência, traduzida para a linguagem de que os líderes de segurança precisam para agir e compartilhá-la com quem financia a resposta.

Acompanhe essa série. E leve essas informações para sua próxima conversa com o conselho administrativo. O mapa está aí. A questão é se a sua organização está aproveitando esse mapa. Blog de Segurança da Microsoft | Inteligência contra ameaças de ransomware

Os CISOs estão sendo responsabilizados pessoalmente por riscos que seus conselhos administrativos ainda não têm dados para avaliar. Fechar essa lacuna é uma das ações mais importantes que um líder de segurança pode realizar."

Terrell Cox, CISO adjunto, Escritório de gerenciamento da segurança do cliente

Leia o blog

Espaço de trabalho de um escritório com paredes de vidro, mostrando ícones hexagonais de segurança conectados por uma sobreposição de rede.

Exposição do Fox Tempest: uma operação de serviço de assinatura de malware

O Fox Tempest oferecia secretamente um serviço de assinatura de malware, até que a Microsoft expôs e desativou toda a operação.

Ilustração de páginas de relatórios empilhadas com os rótulos inteligência contra ameaças, podcast e artigos sobre um fundo azul-escuro.

Confira as informações de inteligência mais recentes

As histórias das Informações sobre ameaças da Microsoft revelam APTs (ameaças persistentes avançadas), crimes cibernéticos, malware e pesquisas de bastidores que estão moldando o cenário de ameaças em constante mudança.

Ícone de envelope com o símbolo de uma carta, representando atualizações por email ou a assinatura de um boletim informativo.

Receba o CISO Digest

Fique por dentro com insights de especialistas, tendências do setor e pesquisas de segurança nesta série de emails bimestrais.

A conversa que os CISOs precisam ter com seus conselhos administrativos sobre ransomware

A conversa sobre ransomware que os CISOs deveriam ter com os conselhos administrativos

A conversa que os CISOs precisam ter com seus conselhos administrativos sobre ransomware

Três coisas que todo CISO deveria dizer ao conselho administrativo

O que muda quando os conselhos administrativos entendem a economia das ameaças

O cenário atual

Mais deste tipo

Exposição do Fox Tempest: uma operação de serviço de assinatura de malware

Confira as informações de inteligência mais recentes

Receba o CISO Digest

Siga a Segurança da Microsoft