Confirp Notícias

Sequestro de dados: é mais caro investir em segurança ou pagar o resgate?

Antes de falar sobre os riscos e custos relacionados a sequestro de dados, uma primeira questão a ser respondida é: o que é ransomware? Ransomware é um tipo de ataque cibernético, no qual é implantado um “malware”, que nada mais é do que um vírus, em servidores e máquinas ligadas à internet. Nesses tipos de ameaça, hackers jogam “iscas”, mais conhecidas como “Phishing”, enviados por e-mail e que, se abertos pela vítima, infectam a rede com o malware.

Por sua vez, ele age travando o acesso dos usuários ao banco de dados hospedados nas redes infectadas, culminando no sequestro dessas informações, que só são liberadas pelos criminosos mediante o pagamento de um resgate, que, geralmente, é em criptomoedas, que impedem o rastreamento dos responsáveis pelo ataque.

O que fazer se o sequestro de dados acontecer comigo?

Ao entender o funcionamento, o primeiro passo é ter um plano de ação para mitigar uma crise gerada por um ataque como esse, que geralmente acontece em fins de semanas ou feriados, exatamente por serem dias em que as respostas costumam demorar mais. Também é importante ter uma equipe de TI treinada para conter a crise e tentar recuperar as informações sequestradas sem a necessidade de pagamento do resgate, o que nem sempre é possível.

“Uma das recomendações é que sejam suspensos os trabalhos e manipulações dos arquivos contidos na rede infectada, pois toda e qualquer modificação e/ou exclusão de arquivos pode atrapalhar o diagnóstico dos erros, a investigação e uma eventual correção desses dados feitas pela equipe de suporte de TI”, explica Marco Lagoa, CEO e co-founder da Witec IT Solutions, empresa especializada em tecnologia.

Check-up periódico

Assim como se precisa fazer um check-up periódico para manter a saúde em dia, o diagnóstico de TI, mais conhecido como “GAP analysis”, tem a mesma finalidade, que é manter a tecnologia de sua empresa atualizada, garantindo o compliance em relação à legislação vigente, especificamente em relação à Lei Geral de Proteção de Dados (LGPD) e, principalmente, mantendo seu negócio seguro e evitando o sequestro de dados.

O CEO da Witec IT Solutions recomenda: “O ataque ransomware tem que ser tratado como um problema certo e iminente. Um dia ele vai acontecer e é só uma questão de quando e se sua empresa estará preparada ou não. Então, é muito importante ter os processos de resposta já mapeados e todos os seus backups em dia e com um tempo de restauração aceitável, sem que cause um prejuízo para a empresa. Além disso, dependendo da empresa e se as informações contidas no banco de dados são muito críticas e sensíveis, é fundamental ter uma apólice de seguro que possa cobrir eventuais prejuízos no caso de um ataque”.

Esse processo envolve ações de planejamento, levantamento e análise das informações e diagnóstico de possíveis erros ou falhas na segurança e recomendação de ações para uma melhoria constante.

Além de buscar ativamente a correção de possíveis falhas, ter um processo de “GAP Analysis” implementado em sua empresa irá trazer outras vantagens, como corrigir constantemente hardwares e softwares defasados e falhas na segurança digital. Também é preciso ter processos bem definidos, mapeamento de dados, maturidade da TI, políticas de segurança bem estabelecidas, senhas complexas, plano de continuidade e rotinas de backup off-site feitas em datas centers em nuvem. Atualmente, existem grandes players de mercado que podem oferecer esse serviço de forma segura e que cabe no bolso.

Melhor prevenir do que remediar

A velha máxima de que prevenir é melhor que remediar vale muito em relação a segurança das empresas. Exemplo de prevenção é a Confirp Consultoria Contábil, que vem investindo pesado na segurança de dados, por ser uma empresa de contabilidade e tratar de dados sensíveis de seus clientes.

“Nossa preocupação é muito grande com o tema segurança da informação e faz parte de nossa história, já investimos muitos milhões nessa área. Mas, atualmente, estamos em um processo de renovação de Firewall e construção de um site Disaster Recovery (DR)”, explica Júlio Rodrigues, diretor de tecnologia da Financeiro24Horas.com, empresa de tecnologia do Grupo Confirp.

Ele complementa que com esse processo, caso ocorra a invasão ou qualquer outro desastre que impossibilite o acesso aos servidores (ou site como chamam), outro espaço com os mesmos dados defasados por um período pré-determinado pela empresa assume, sem riscos de comprometimentos de informações graves.

Ainda nessa linha, empresas especializadas em segurança de redes e computadores explicam a necessidade das áreas de TI tomarem uma série de ações a fim de garantir que as soluções de segurança utilizadas possam prover o respaldo necessário à boa execução do trabalho dos colaboradores.

Dentre as ações recomendadas estão:

Utilizar uma solução de firewall com recursos de VPN, que permite bloquear ataques e acessos internos e externos indevidos;
Monitoramento dos acessos dos colaboradores a recursos externos à empresa, tais como sites, aplicativos e etc;
Proteção do computador, utilizando soluções de antivírus e EDR, que previnem a ação de códigos maliciosos para roubo e sequestro de dados;
Auditar e controlar a manipulação de documentos, evitando o vazamento de informações com uma solução de DLP;
Autenticação e autorização para acesso a recursos internos, como softwares de ERP, CRM, intranet, banco de dados e entre outros.

Um ponto importante é que em tempos que cresce o home office, é necessário que ajustes sejam feitos para manter o grau de segurança que eles possuíam quando estavam trabalhando localmente. Ou seja, os mesmos controles citados anteriormente devem ser mantidos e ações adicionais devem ser tomadas. Dentre elas as mais importantes são:

Adotar método de acesso aos recursos internos da empresa de forma segura, utilizando para isso recursos tecnológicos, como VPN com recurso para garantir acesso apenas de dispositivos confiáveis.;
Adotar duplo fator de autenticação para garantir a identificação do usuário;
Com o computador fora da empresa, a mesma não pode evitar roubos ou perdas. Para que as informações dentro do dispositivo não sejam comprometidas é necessário utilizar uma solução de criptografia de disco;
O comportamento do colaborador deve ser monitorado para que a empresa saiba se ele está em conformidade com a política de segurança da empresa, e também para saber se o mesmo está exercendo suas funções dentro do horário para o qual foi contratado, garantindo, assim, sua produtividade. Existem ferramentas voltadas à análise de comportamento de usuários;
A saúde do computador precisa ser monitorada constantemente para que a equipe técnica possa tomar ações de forma proativa.

Vale ressaltar que esses controles não devem ficar limitados ao computador (desktops e notebooks). Devem abranger dispositivos móveis, como smartphones, tablets e etc. Porém, o principal desafio da equipe de tecnologia e segurança da informação será definir processos adequados para um ambiente tão descentralizado.

Uma ação normalmente negligenciada pelas empresas é fornecer treinamentos de conscientização sobre Segurança da Informação a todos os colaboradores, promovendo uma mudança de hábito em todos a fim de permitir que não sejam mais vítimas fáceis de bandidos virtuais, passando a reconhecer sites, links maliciosos e atividades e atitudes suspeitas.

Fazer um backup em nuvem é mais barato do que pagar o resgate

Já ouviu falar em backup do backup? Pode soar estranho, mas isso existe e chama-se “backup redundante”. Essa é uma poderosa ferramenta que poderá te salvar de um eventual sequestro de dados. “Ter um backup reserva e sempre atualizado significa que, se o seu banco de dados for sequestrado, ao invés de ter que pagar o resgate para voltar a ter acesso às suas informações, é possível simplesmente restaurar as informações salvas no backup. Parece simples, mas uma parcela ínfima de empresas se preocupa com isso atualmente”, finaliza Marco Lagoa.

Seguros dos dados também é solução para não sofrer sequestro de dados

Uma alternativa importante para as empresas em relação ao tema é adquirir seguros, que garantam ressarcimentos em relação ao sequestro de dados. A sócia da Camillo Seguros, Cristina Camillo, explica que esses são os seguros de proteção de dados. Um exemplo é o CyberEdge da AIG, líder de mercado.

Ela conta que é fundamental que as empresas tenham controles de segurança estabelecidos para prevenir este tipo de ataque. Cyber segurança deve ser tratada como parte da estratégia de gerenciamento de riscos das empresas.

“Contudo, quando um ataque já se materializou, a companhia deve buscar assistência especializada para investigação e resposta ao incidente. Antes do evento, a companhia deve se preocupar em estabelecer controles de segurança coerentes com seu perfil de risco e segmento de atuação. O seguro é uma boa ferramenta para transferir o risco residual de um evento desta natureza se materializar”, finaliza Cristina Camillo.

Compartilhe este post:

Entre em contato!

Leia também:

Normas Regulamentadoras do Trabalho – empresas devem se adequar

No Brasil, todo empregador é obrigado a ser parceiro de uma empresa da área de Medicina do Trabalho para orientação em relação às Normas Regulamentadoras. Caso isso não ocorra essa empresa está exposta a ter que pagar pesadas multas. Mas como que funciona esse trabalho? As Normas Regulamentadoras (NR’S) do Ministério do Trabalho e Emprego (MTE) estabelecem a obrigatoriedades por parte de todos os empregadores e instituições que admitam trabalhadores como empregados, relacionados ao Controle Médico de Saúde e Segurança no Trabalho. Esse trabalho tem como objetivo a prevenção, rastreamento e diagnóstico precoce de problemas relacionados à saúde no trabalho, além da constatação da existência de casos de doenças profissionais ou danos irreversíveis à saúde dos trabalhadores. Assim, a empresa deverá contratar um especialista ou empresa em medicina do trabalho para que sejam verificados quais laudos serão necessários de acordo com a atividade desenvolvida pela empresa e possam ser elaborados conforme a legislação. A Confirp indica a empresa Moema Assessoria para a prestação desses serviços. Também conheça a área trabalhista da Confirp, que lhe auxilia nas demandas relacionadas às contratações Veja as principais normas regulamentadoras existentes: – A NR nº 5, tem como objetivo estabelecer a obrigatoriedade da formação da Comissão Interna de Prevenção de Acidentes – CIPA pelos representantes dos empregados e dos empregadores, para controle e prevenção contra acidentes e doenças decorrentes do trabalho. – A NR nº 7, estabelece a obrigatoriedade de elaboração e implementação, do Programa de Controle Médico de Saúde Ocupacional – PCMSO, com o objetivo de promoção e preservação da saúde dos trabalhadores. – A NR nº 9 estabelece a obrigatoriedade da elaboração e implementação, por parte de todos os empregadores o Programa de Prevenção de Riscos Ambientais – PPRA. O Perfil Profissiográfico Previdenciário – PPP foi instituído pela Medida Provisória nº 1.523, de 11 de outubro de 1996, esse documento tem por objetivo acompanhar todos os riscos aos quais os trabalhadores estão sujeitos nas suas diversas atividades, as informações do PPP serão transmitidas para um grande banco de dados, para gerenciamento e monitoramento das condições ambientais de trabalho e para garantir os direitos dos trabalhadores nas relações de trabalho. Estas citadas são as NR’s mais comuns, mas além destas, dependendo da atividade da empresa o técnico em medicina do trabalho ira indicar outras NR’s obrigatórias. A falta de implementação das Normas Regulamentadoras citadas resulta em multa pela Fiscalização do Ministério do Trabalho de aproximadamente R$ 1.050,00 até R$ 6.000,00 por NR, a forma de aplicação será de acordo com a apuração do faturamento da empresa para a aplicação da mínima ou máxima, além de implicar em proibição de homologações por conta da falta dos exames demissionais e PPP.

Ler mais

DMED – entenda as mudanças recentes

A DMED – Declaração de Serviços Médicos e de Saúde – passou recentemente por importantes alterações. A obrigação que era de grande complexidade busca com isso alterar a forma de envia, mas não altera penalidade de prazos. Segundo a Receita Federal do Brasil: a Instrução Normativa RFB nº 1843 alterou as regras para preenchimento da Declaração de Serviços Médicos e de Saúde (Dmed). Ocrroe que a Instrução Normativa RFB nº 985, de 22 de dezembro de 2009, atribuia a responsabilidade pela prestação de informações, nos casos de planos coletivos por adesão, às seguintes entidades, denominadas contratadas: a) administradoras de benefícios, caso haja intermediação ou participação de uma entidade dessa natureza na contratação do plano1 ; b) operadoras de planos privados de assistência à saúde, caso o plano tenha sido contratado diretamente com a operadora. A referida norma também estabelece que devem ser informados apenas os valores efetivamente custeados pelas pessoas físicas seguradas. Desta forma, eventuais participações financeiras por parte das contratantes (associações, conselhos, sindicatos e similares) no custeio do plano devem ser desconsideradas. Ocorre que muitas entidades contratantes não informam os valores das participações financeiras que efetuam. Os motivos pelos quais esses dados não são repassados abrangem desorganização administrativa, dificuldades operacionais e até mesmo entendimento equivocado de que não são obrigadas a fazê-lo. Com isso, as entidades contratadas não dispõem dos dados necessários para o correto preenchimento da Dmed e não incluem os segurados na declaração. Ciente desse problema e de que a multiplicidade de entidades contratantes inviabiliza uma solução satisfatória de curto prazo, a RFB flexibilizou a regra determinando que, caso as contratantes não informem os valores efetivamente pagos pelos segurados, sejam informados os valores integrais das contraprestações relativas a cada pessoa física. Assim, as contratadas estão obrigadas a prestar as informações ainda que não recebam os dados referentes à participação financeira efetuada pelas contratantes em benefício de seus associados. Essa mudança não altera as condições de obrigatoriedade de entrega das informações nem imposição das penalidades previstas nos artigos 6º e 7º da Instrução Normativa RFB nº 1843, de 16 de novembro de 2018.” Sobre a DMED A DMED deve conter as informações de pagamentos recebidos por pessoa jurídica prestadora de serviço de saúde e operadora de plano privado de assistência à saúde. O documento precisa ser apresentado no exercício de 2019, contendo informações referentes ao ano-calendário de 2018 e o prazo para entrega vai até o último dia útil de fevereiro. Segundo o diretor executivo da Confirp Consultoria Contábil, Richard Domingos, a declaração tem função bastante relevante. “O objetivo da DMED é fornecer informações para validar as despesas médicas e de saúde declaradas pelas pessoas físicas na Declaração do Imposto de Renda Pessoa Física (DIRPF), possibilitando à Receita Federal cruzar as informações e identificar as deduções indevidas de despesas médicas feitas pelos contribuintes do Imposto de Renda da Pessoa Física”. Assim essa declaração deve conter as informações de pagamentos recebidos por pessoa jurídica prestadora de serviço de saúde e operadora de plano privado de assistência à saúde. O diretor da Confirp alerta que empresas de saúde devem verificar os documentos comprobatórios para fins da DIRF, tendo em vista que, conforme divulgado pela Receita Federal, diversos contribuintes ficaram retidos na malha fina por divergências nestas informações. A DMED é obrigatória para toda a pessoa jurídica e equiparada, prestadora de serviço de saúde, como: hospitais, laboratórios, clínicas odontológicas, clínicas de fisioterapia, terapia ocupacional, psicologia, clínicas médicas de qualquer especialidade e operadoras de planos privados de assistência à saúde, com funcionamento autorizado pela Agência Nacional de Saúde Suplementar.

Ler mais

Quando deve ser enviado CAGED Admissional?

Todas as empresas devem informar ao Ministério do Trabalho e Emprego as movimentações ocorridas, tais como, admissões, demissões ou transferências de empregados, o prazo de entrega é até o dia 7 do mês subsequente ao mês de referência das informações, o chamado Cadastro Geral de Empregados e Desempregados (CAGED). Ponto relevante é que o art. 6º da Portaria M.T.E nº 768/2014 determinou a partir de 01 de outubro de 2014 duas ocasiões onde o envio de CAGED deve ser feito em outro prazo, onde o empregador deverá observar se, no ato da admissão, o empregado está ou não em gozo do benefício do seguro desemprego ou se já deu entrada no requerimento do mesmo. Na data de início das atividades do empregado, se o mesmo estiver em percepção do Seguro-Desemprego ou cujo requerimento esteja em tramitação; Na data do registro do empregado, quando o mesmo decorrer de ação fiscal conduzida por Auditor-Fiscal do Trabalho. Por isso é importante que o RH, ou o contador responsável pelo envio do CAGED da empresa, alinhe estas informações a fim de que no dia 7º do mês seguinte as informações dos empregados já enviados não constem novamente no arquivo. Orientações: Como Declarar: Utilizar o layout disponível já utilizado do CAGED, disponível no endereço: https://granulito.mte.gov.br/portalcaged/paginas/layout/TL_layout.xhtml ou ainda pelos aplicativos ACI ou FEC. As demais orientações de preenchimento permanecem as mesmas. Como Consultar o Trabalhador: Para a realização de consulta a situação de trabalhadores que estão requerendo ou em percepção do benefício Seguro-Desemprego os responsáveis pelo RH deverão consultar a condição do trabalhador através do site disponibilizado pelo Governo: https://sd.maisemprego.mte.gov.br/sdweb/consulta.jsf Importante: A admissão antecipada do trabalhador em percepção do Seguro-Desemprego SOMENTE deve ser enviada no mesmo dia da data de admissão após o trabalhador ter entrado EFETIVAMENTE em atividade.

Ler mais

Pagar FGTS para empregado doméstico é obrigatório?

Pagar FGTS para empregado doméstico é obrigatório? Desde a aprovação da Emenda Constitucional 72, de 2013, esse é um direito do trabalhador, mas, segundo Richard Domingos, da Confirp Consultoria Contábil, apesar de obrigatória, ainda não foi criada a regulamentação que mostre como a lei deve ser aplicada pelo empregador doméstico.

Ler mais