A cibersegurança e o risco digital nas empresas

Esta transcrição foi gerada automaticamente por Inteligência Artificial e pode conter erros ou imprecisões.

Sejam bem-vindos. Começa aqui mais um episódio do podcast "Empresas em Transformação". Esta é uma parceria entre o Novo Banco e o Observador. Nesta série falamos do que está a mudar no mundo das empresas com os novos padrões ambientais, sociais e tecnológicos. Hoje vamos falar de cibersegurança, o que podem e devem fazer as empresas para reduzir os riscos de, por exemplo, ataques digitais. Vamos fazê-lo com Lino Santos, é coordenador do Centro Nacional de Cibersegurança, e com Duarte Poppo Correia, é diretor coordenador do Novo Banco e é coordenador também do Fórum de Segurança Online da APB, Associação Portuguesa de Bancos. Eu sou o Paulo Ferreira. Começo, antes de mais, por agradecer a vossa presença. Sejam bem-vindos. Lino Santos, começando por si. Hoje conseguimos ter um retrato do que é o risco cibernético das empresas portuguesas? Temos dados que nos permitam fazer essa avaliação?

Nós podemos olhar pra um conjunto de fatores que contribuem para esse nível de cibersegurança ou de ciberinsegurança. Um primeiro diz respeito ao nível de digitalização ou à densidade digital das nossas organizações, que obviamente está a crescer. Temos cada vez mais empresas a usar ferramentas online, a terem os seus produtos online, a interagirem online com os seus clientes ou com outras empresas. E este nível de digitalização obviamente tem associado uma complexidade, e essa complexidade está associada a uma dificuldade de securização desses mesmos termos informáticos.

Aumenta os riscos, como é evidente. São portas abertas, não é?

Exatamente. Portanto, esta densidade aumenta a superfície de ataque das nossas organizações. Do outro lado, temos um quadro de ameaças com diferentes agentes, desde ativistas, a interceção entre o que é o ativismo político com as técnicas de hacking, agentes de cibercrime organizado, que visam o lucro, onde inserem as fraudes e onde a banca é bastante afetada, e também agentes estatais. Isto caracteriza um pouco este ciber far west a que as empresas também estão expostas, os cidadãos e empresas estão expostas. E, por outro lado, um terceiro fator que caracteriza é uma falta de talento para lidar com tudo isto. Ou seja, temos falta de recursos humanos para trabalhar a área da cibersegurança, a área da prevenção, a área da resposta aos incidentes. Se eu pudesse caracterizar o estado, ele é caracterizado nestes três fatores. O número de incidentes tem aumentado, pediu-me números.

Claro. Precisamente por causa disso, não é?

Mas isso não se deve essencialmente a estes fatores que eu disse. Deve-se ao fato de estarmos mais atentos, ao fato de termos maior visibilidade sobre as nossas infraestruturas e obviamente apanhamos mais coisas que estão erradas do que se não tivéssemos essa visibilidade. Portanto, temos, de fato, um crescimento no número de incidentes, mas não conseguimos ter uma relação direta com o nível de perigosidade. O nível de perigosidade deve-se a estes três outros fatores.

Muito bem. Duarte Poppo Correia, olhando aqui para a banca, para aquilo que são operações dia a dia ou operações correntes. A esse nível, quais são os riscos que mais se têm materializado?

Bom, há muitas coisas, como é evidente, sempre a acontecer. Diria que um dos mais preponderantes é aquilo que chamamos, com guarda-chuva grande, a engenharia social, que envolve um conjunto de técnicas de meios onde entram e-mails, mensagens SMS, todo tipo de comunicação, chamadas telefônicas, todas cada vez mais aparentando ser legítimas, porque estamos no mundo das deepfakes e, portanto, cada vez mais as coisas parecem perfeitamente autênticas, mas muitas vezes não o são. E tipicamente vêm com alguma espécie de registro, de urgência, de fazer algo fora do normal, algo que incute na pessoa algum sentido de que tem que fazer isto, senão fico sem dinheiro.

A pessoa perde. Agora está na moda umas chamadas que vêm do MB Way, por exemplo.

Ou não beneficia de determinadas coisas, etc. Exatamente. Ou camufladas sobre pseudomensagens da Autoridade Tributária, ou da Segurança Social, ou da polícia, enfim, há um pouco de tudo. Outra forma que muitas vezes acontece é o chamado malware, em que o próprio equipamento da pessoa é comprometido, o telemóvel ou o computador pessoal, e efetivamente isto permite aos piratas informáticos tomar conta do dispositivo, apresentar conteúdos falsos e um conjunto de outras coisas.

Ou roubar dados.

Roubar dados, um aspecto muito importante, e cada vez mais são monetizados também.

Base de dados com acessos.

Completamente.

Claro.

E portanto, combinando um conjunto muito amplo de informação, conseguem fazer ataques cada vez mais eficazes. Muitas vezes o tema da dúvida é um aspecto aqui muito relevante. Quando uma pessoa é confrontada com algo que foge, nem que seja um bocadinho ao padrão, é importante efetivamente parar. É importante não fazer mais nada do que lhe está a ser pedido e ir confirmar isto com alguma entidade devidamente avalizada, que a pessoa conhece, etc.

Com total envergadura. Claro.

Porque muitas vezes é sobre este pequeno momento em que se decide efetivamente a consumação ou não consumação de uma fraude.

Claro, Lino Santos, isto coloca-nos aqui uma questão também, que uma das principais fragilidades somos nós próprios, nós utilizadores. Porque este tipo de esquemas, vamos chamar-lhe assim, não são entradas intrusivas forçadas em termos tecnológicos, são as próprias pessoas que entregam, mais uma expressão boa, o bandido, se quiser.

Sim, eu não gosto muito da expressão de que o humano é o elo mais fraco, mas efetivamente há processos que estão desenhados de uma forma em que é relativamente fácil, se uma pessoa não tiver os níveis de atenção, como muito bem foi referido, necessários, poder ser explorado. Ou seja, eu penso mais num problema no desenho do processo, a forma como montamos o serviço do que propriamente o problema estar no humano. Mas efetivamente temos também níveis de literacia nalgumas faixas etárias que são indiciadores de risco.

Mais baixos, claro.

De alguns estudos que nós fizemos, temos duas faixas etárias, digamos, nos mais idosos e nos mais jovens, onde os níveis de risco são altos por razões distintas. Os mais idosos pela falta de literacia, os mais novos pelo que nós designamos de apetite para o risco, ou seja, o "I don't care". Portanto, continuam a dar dados, não têm preocupações com a sua exposição na internet e obviamente estão a correr riscos que mais tarde poderiam vir a ser usados contra eles. Portanto, estamos atentos a isso e obviamente temos campanhas contínuas. Aliás, outubro, estamos quase a entrar em outubro, é o Mês Europeu da Cibersegurança. Todos os anos, várias organizações no país se juntam para fazer campanhas de sensibilização e de alerta para estes perigos.

Lino Santos, ainda voltando aqui ao tema das empresas, há alguma diferença relevante entre aquilo que é a preparação, se quiser, ou o nível de risco que se expõe as grandes empresas e as PMEs? As PME podem pensar um bocadinho naquela base do: "Bom, eu sou demasiado pequeno pra ser um alvo" e baixar a guarda?

É uma excelente pergunta Eu acho que não é tanto uma diferença entre o que são as grandes e as pequenas empresas, é mais uma diferença entre as empresas tecnológicas e as não tecnológicas, ou de base tecnológica ou não tecnológica. Ou seja, é completamente diferente o tratamento do incidente ou a postura perante um incidente de uma Vodafone, como tivemos em 2022, de uma outra grande empresa, uma empresa de igual dimensão, de um setor não tecnológico. Eu acho que aí é que reside a diferença. E temos, de facto, um problema numa distância muito grande entre o que é a direção/administração, que é quem gere o risco da organização, o risco financeiro, o risco regulatório, o risco operacional, daquilo que é a camada técnica. A banca acho que já ultrapassou, aliás, por via regulatória tem estruturas de governance muito rígidas, mas temos, de facto, grandes empresas que não têm este nível de maturidade. Portanto, eu via mais a diferença-

Mais a esse nível do que propriamente em relação à dimensão da empresa

...à dimensão da organização. Portanto, é esta distância que existe, a sensibilidade para o tema do IT na própria administração.

Duarte Popo Correia, pegando aqui na deixa, de facto, a banca, até porque talvez tenha o risco mais evidente pela atividade que tem.

E tem risco no negócio. E a banca também tem esta coisa. O negócio da banca é o risco. Portanto, entende bem o conceito.

Gestão de risco, não é? Vocês têm estas questões, lá está, a atravessar toda a estrutura e hierarquia do banco.

Sim, desde sempre diria, mas obviamente que este é um cenário em permanente evolução e com vetor de ataque, novos players, novas entidades que vão aparecendo e vão acrescentando coisas novas e trazendo novos desafios. Portanto, o cenário é tudo menos estático, é profundamente dinâmico. E comentando aqui também uma expressão, de facto, eu acho que há um tema de literacia, mas quase tão perigoso é um tema de excesso de confiança, porque o ecossistema é muito fluido, está sempre em evolução. E eu pensar que já domino a tecnologia, ou o site, ou a app, ou o contexto de uma forma que me dá um excesso de conforto, pode me fazer passar por cima de pequenos indícios de que alguma coisa foge ao normal. Por exemplo, e no contexto das empresas, falamos muito do CEO Fraud ou do e-mail que chega com um ar de que vem do CEO ou do administrador, ou do departamento financeiro, e que parece perfeitamente legítimo.

Isso internamente das empresas.

Exatamente. E se as pessoas não prestam atenção aos indícios, há efetivamente riscos de consumação de algo que pode ser não apenas monetário. E por isso é que também o setor financeiro começou muito cedo neste tema, porque obviamente tratamos de dinheiro, faz parte do objeto do negócio. Mas há muitos bens fundamentais naquilo que é a relação entre as pessoas e as empresas e a sociedade, que podem ser comprometidos através da cibersegurança ou de um ataque informático. Falamos dos dados ainda há pouco, mas também a própria reputação, a reputação de uma empresa, a sua relação com os seus fornecedores, com os seus clientes, os seus processos industriais, operativos. Tudo isso, em última análise, porque hoje em dia o mundo está profundamente conectado, tudo isso pode ser comprometido com qualquer intuito. Pode ser para extrair alguma espécie de resgate, e temos os famosos ransomwares, a página do site que é comprometida, mas também pode ser comprometido o processo operativo da empresa. E há um conjunto, de facto, de ataques, de riscos que têm que ser enfrentados de forma muito clara pelas organizações e eu diria, nunca vai deixar de ser assim, porque o mundo está a evoluir, o ecossistema que antigamente conhecíamos na rua, hoje em dia está exposto na internet e chega a todo lado, por via de conectividade que temos. E, portanto, é fundamental que pessoas, empresas, todas as entidades, estejam profundamente sensibilizadas para esta necessidade como uma necessidade basilar da sua existência e da sua realidade.

Claro. Também neste ponto, Heleno Santos, na preparação das organizações, uma empresa, pode ser PME ou não, mas que não tem departamento de tecnologias de informação dedicado, uma daquelas que há pouco caracterizou também, por onde é que se deve começar a criar um plano mínimo de cibersegurança?

Vamos lá ver. Ela não precisa ter um departamento de IT dedicado, pode subcontratar. Ou, por exemplo, há muitos organismos da administração pública e empresas que têm serviços partilhados, ou seja, têm uma empresa do grupo que presta serviços a várias entidades. Aqui a nota é de responsabilização, ou seja, a administração de cada uma das empresas tem que colocar os riscos de cibersegurança, a avaliação e a gestão de risco de cibersegurança no topo da cadeia de comando. Ou seja, volto a dizer, ao lado do risco financeiro e operacional das organizações. Independentemente da função da IT ser prestada internamente numa outra empresa do grupo ou uma empresa privada em regime de subcontratação. Portanto, temos é que assegurar que os processos têm os controles e têm as medidas de cibersegurança mínima. Este é um ponto. O outro tem que ver, e já foi aqui também mencionado, este nível de interligação que cada vez mais existe, leva-nos para o tema da cibersegurança, daquilo que é a cadeia de fornecimento das organizações. Quer o setor bancário com o DORA, quer aquilo que é o regime jurídico da cibersegurança, que identifica um conjunto de entidades e que prestam serviços essenciais na saúde, na energia, distribuição de água potável, em 17 setores e subsetores de atividade econômica, têm este olhar muito atento àquilo que é a cibersegurança da cadeia de fornecimento. Ou seja, nós não temos que olhar apenas para a nossa organização Temos também que assegurar que quem nos presta um serviço, é óbvio que isto depende do nível de exposição que temos ao prestador. O prestador pode enviar e-mails, mas no limite pode ter um acesso remoto pra fazer uma qualquer operação dentro da nossa infraestrutura. São níveis de exposição diferentes e um nível de risco diferente. E, portanto, tem que também aos seus fornecedores de exigir este nível de cibersegurança. Nós dinamizamos uma coisa que se chama Aliança para Cibersegurança, que reúne as principais empresas do país, as grandes empresas do país, e tentamos identificar o que é que podemos trabalhar em conjunto. E a primeira coisa que foi identificada foi precisamente que todas estas grandes empresas estavam preocupadas com a sua cadeia de fornecimento e mais do que isso, estavam elas próprias a fazer avaliações de segurança repetidamente, de forma repetida, aos vários fornecedores. Como deve calcular, alguns destes fornecedores prestam serviço a várias grandes empresas.

Claro.

Portanto, decidimos aqui criar uma espécie de um esquema de certificação e colocar no mercado de certificação aquilo que as grandes empresas exigem do ponto de vista de cibersegurança da sua cadeia de fornecimento.

Claro. Isso é o obsêlo.

Nós somos a autoridade nacional pra o fazer e criamos um instrumento que serve às grandes empresas. E aqui estamos a falar de dezenas ou centenas de milhares de PMEs que, não tendo uma obrigação regulatória de ter um elevado nível de cibersegurança, vai lhes ser exigido naquilo que são as relações business to business, atingirem também um patamar elevado. Portanto, há aqui uma preocupação muito grande, também reputacional, e é por isso que devemos entender isso na cibersegurança, nas nossas pequenas e médias empresas, como um fator de diferenciação, ou seja, atingir esse nível elevado, porque lhes vai ser exigido naquilo que é o negócio do dia a dia.

Claro. No caso da banca, Duarte Porpreia, como é que a banca, neste caso o Novo Banco, utiliza a tecnologia, no fundo, para ajudar a combater o erro humano ou pra tentar diminuir os tais casos que falamos logo no início?

Por dois exemplos relativamente simples. Um tem muito a ver com uma tipologia de fraude, que é a invoice fraude ou a fraude das faturas, em que basicamente alguém toma controle da caixa de correio de uma instituição e substitui ou manda um e-mail com aparência de legitimidade, mas em que o documento da fatura tem dados de pagamento que são incorretos, em que a última análise não apontam para a conta do fornecedor legítimo, mas sim para a conta do hacker ou de um seu intermediário, aquilo que chamamos vulgarmente os mulas. Hoje em dia, existe um mecanismo que está implementado em todos os bancos, em todas as apps e em todos os seus online bankings, que permite, aquando da introdução de um contacto ou de um número de conta destino, apresentar o nome do titular que efetivamente está registrado no banco destino. Isso dá uma segurança muito interessante a quem está a fazer a operação. O nome é efetivamente aquele que estou à espera e então prossigo a operação, não é, e então não prossigo, ou deixa-me dúvidas, e então quando deixa dúvidas, devo confirmá-lo. Este é um mecanismo relativamente simples, foi implementado em Portugal até primeiro e entretanto também estendido à lógica do espaço europeu. Portanto, é um mecanismo a que chamamos verification of pay. Enfim, é um mecanismo interessante e que ajuda bastante, mas exige, naturalmente, a atenção. Se a pessoa passa o ecrã e não confirma este pormenor, então não serve pra nada. Um outro aspecto tem a ver com tudo quanto diz respeito à AI. O Novo Banco, desde há muitos anos, tem uma parceria com a Fitizei. Temos tido uma colaboração muito interessante, seja na nossa capacidade sempre melhorada de detectar padrões que indiciem potencial fraude. E esse é um aspecto em que o AI ajuda bastante, porque permite perceber: este é o comportamento habitual desta pessoa, este é o seu equipamento, esta é a maneira como toca no ecrã ou no teclado. Há aqui um conjunto de coisas cada vez mais amplas que são exploradas e que nos permitem, no fundo, ponderar o risco. E se o risco excede determinado patamar, ou dizemos: "Não, esta operação não é legítima", ou pedimos uma forma de autenticação adicional para dizer: "Ok, podemos ter a certeza".

Claro.

Só concluindo, outra componente muito interessante é o próprio desenvolvimento mais acelerado, o teste e a adaptação das ferramentas existentes que o AI também permite. E esta também é uma espécie de relação muito interessante que temos tido com este nosso fornecedor, porque permite efetivamente testar conceito, e hoje em dia esta fluidez, esta rapidez, são decisivas num mercado que efetivamente é muito rápido.

Tudo se passa ali no Santiago Centro Rogue.

E é só, digamos, uma boa prática e uma nota relativamente... Gostávamos aqui a dar exemplos do que existe para, de alguma forma, evitar este tipo de fraude. Este tipo de fraude passa muito por um pedido de atualização de uma conta destino De um qualquer fornecedor. Aquilo que nós aconselhamos é que haja sempre uma verificação por outro canal daquela operação, ou seja, uma verificação offline de um pedido que é feito.

No telefone, talvez.

Exatamente. Portanto, isto partindo do pressuposto que não são muitas operações deste tipo, mas vale a pena ter um processo montado de verificação offline desta mudança de conta. Uma outra nota muito importante é que existe uma janela temporal, mesmo quando já fomos vítima de uma fraude deste gênero, em que a Polícia Judiciária e os bancos conseguem, de alguma forma, reverter a transferência que foi feita. A janela temporal não é muito grande, são algumas horas, portanto, é essencial quando perceber que foi objeto de fraude, notificar a Polícia Judiciária neste sentido.

Tem muito a ver com a tipologia da operação que está comentando. Hoje em dia vivemos no mundo do imediato e cada vez mais há uma mudança de tudo quanto não é imediato para o paradigma do imediato. As transferências imediatas cada vez mais são a forma de transacionalidade entre duas entidades e tem um tempo até chegar à conta destino de 10 segundos, é muito rápido.

Nós estamos habituados a isso.

Efetivamente, nós temos que tentar por tudo capacitar, ajudar as nossas pessoas, os nossos clientes, sejam empresariais ou não, a estranharem o que foge ao padrão, a detectarem as pequenas coisas que devem fazer parar. E esse comportamento de fazer parar, no fundo, é isto, verificar por outro canal ou qualquer coisa que fuja ao padrão deve levar a uma ação, não de persecução, mas sim de verificação. E acho que isso é muito importante neste mundo muito fluido, como digo, em que vivemos.

Quase a chegar ao fim, Lino Santos, então quando uma empresa suspeita que foi vítima de fraude, os primeiros minutos são absolutamente essenciais.

São. Infelizmente, já assistimos a casos em que a vítima só percebe que foi fraude depois da primeira, segunda e terceira fatura paga. Digamos que quando o fornecedor telefona a dizer que já lhe não paga há dois ou três meses. Já aconteceu desse tipo de situação.

O legítimo.

Exatamente, o legítimo.

Esse é o tal caso em que alguém pediu para mudar a conta destino daquele fornecedor, alguém não legitimamente. Isso é muito frequente? Estou a perguntar pela ênfase que estão a dar a esse esquema.

Temos várias dezenas de casos por ano deste tipo de tipologias.

Tão simples e tão eficaz.

Vários modus operandi, alguns mais complexos, como intrusão, outros simplesmente com engenharia social, como foi aqui referido.

O tal e-mail a pedir. Portanto, a partir daí, de facto, pegar no telefone e alertar as autoridades, a Polícia Judiciária e a entidade.

Exatamente. Depois, lá está, porque temos casos onde pode ter existido uma intrusão, é importante notificar ao Centro Nacional de Cibersegurança no sentido de tentar perceber qual foi o vetor de entrada e corrigir o vetor de entrada. Portanto, há aqui duas coisas paralelas a fazer.

Muito bem. Para finalizar aqui este nosso episódio, Lino Santos, que mensagem é que deixa a um empresário que acha que isto da cibersegurança é apenas um custo e não um investimento, se quisermos?

Eu acho que já respondi a isso.

De alguma forma, estivemos a responder a isso.

Exatamente. O empresário deve olhar para isto exatamente como um investimento, porque vai começar a ser uma exigência do que é estar neste mercado e prestar serviços neste mercado. Ou seja, vai ser um fator de diferenciação. E quanto mais cedo apostar e investir, quer materialmente, quer em pessoas, para ter um elevado patamar de cibersegurança, melhor. O que eu aconselho que ele comece por fazer é adotar um referencial. O Centro Nacional de Cibersegurança tem vários para pequenas e médias empresas ou para aquilo que são os prestadores de serviços essenciais, ou seja, já grandes empresas, adotar um referencial e fazer um gap analysis, ver o que é que lhe falta fazer para atingir aquele patamar ideal de cibersegurança.

Duarte Papo Roia, a mesma questão. O que é que deve dizer-se a um empresário que olha para isto como um custo e não como um investimento?

Muito bem, usando esta imagem relativamente simples. Do mesmo modo que antigamente, e ainda hoje pomos trancas à porta para nos proteger das coisas que podem acontecer na rua, também a rua dos tempos modernos é o nosso smartphone, é o computador, é a internet e precisa de um cuidado, de uma atenção permanente, não apenas para evitar o comprometimento de fundos arduamente conquistados na realidade das empresas, e isso merece ser protegido, mas também para garantir a preservação de um conjunto de coisas muito importantes para a empresa, desde logo a sua reputação, a sua ligação com os seus clientes, a sua infraestrutura, os seus processos operativos, tudo isso tem que ser salvaguardado e é algo de contínuo. É muito importante não olhar para a cibersegurança como um projeto que se faz e está feito. É uma realidade permanente que nunca mais nos vai largar e que tem que ser adaptativa aos desafios que o tempo vai trazendo e que as novas tendências vão trazendo. Isto não é uma coisa que se faz e fica feito, deve merecer investimento estratégico continuado para garantir, no presente e no futuro, que há condições de segurança.

Muito bem, obrigado a ambos, Lino Santos, Duarte Papo Roia, pela presença neste episódio de empresas em transformação. Falámos de cibersegurança e do que podem e devem fazer as empresas, no fundo, para diminuir o risco tecnológico a que estão expostas. Este podcast é uma parceria entre o Novo Banco e o Observador. Nós voltaremos proximamente com outro tema e outros convidados. Até lá.