0 
0 Com os ataques contra as organizações se tornando mais sofisticados e prejudiciais, executivos seniores e partes interessadas em negócios estão começando a reconhecer que também desempenham um papel na defesa empresarial. O desafio, então, é reunir todas as diferentes perspectivas para que eles possam trabalhar efetivamente com a equipe de segurança no caso de um ataque cibernético ou incidente de segurança.
É hora de jogar um jogo. Uma abordagem gamificada ao treinamento é mais divertida do que tediosa, e as pessoas são mais propensas a se lembrar dos conceitos depois.
Um novo jogo de simulação on-line da Kaspersky orienta executivos de negócios e outros funcionários não relacionados à segurança através de um ataque cibernético simulado contra o Primeiro Comitê da ONU, um dos seis principais comitês da Assembleia Geral das Nações Unidas. Os jogadores são solicitados a determinar o alvo pretendido, que tipos de ataques foram implantados e quem os atacantes podem ser. No início, não está claro exatamente o que está acontecendo, e os jogadores têm que tomar uma série de decisões por turnos a partir de uma quantidade relativamente pequena de informações disponíveis. As consequências das decisões do jogador — boas e ruins — são agravadas, oferecendo aos jogadores informações sobre quais opções estão disponíveis em uma crise e como as escolhas afetam umas às outras.
Como o jogo é jogado
Representada por cartões, cada decisão custa tempo e dinheiro, ambos escassos. Quaisquer opções que um jogador escolher afetam o resultado dessa rodada. Decisões mais pobres colocam um jogador mais fundo em um buraco; os mais sábios os colocam em uma posição melhor para começar a próxima rodada. Existem inúmeros caminhos e ramos que um jogador pode seguir, então os participantes podem, e provavelmente terão, experiências completamente únicas, mesmo competindo com os outros pela melhor pontuação.
Os jogadores recebem mensagens com pistas no início e no final de cada rodada, mas ainda precisam pensar criticamente porque há arenques vermelhos e distrações. Por exemplo, os jogadores receberão opções como realizar treinamento de segurança (muito pouco, tarde demais) ou acusar um grupo ou indivíduo do ataque cibernético (geralmente não útil) após as reportagens.
Há muitos cursos de ação específicos a serem tomados. Por exemplo, os jogadores podem optar por pedir suporte nacional de TI para correção de ataques, convocar rapidamente uma reunião de emergência para informar as principais partes interessadas e iniciar uma investigação sobre que tipo de ataques foram perpetrados e por quem. Os jogadores também podem se deparar com opções de verificação intestinal, como quando e como falar com a imprensa e se devem ou não pagar uma demanda de ransomware.
Este treinamento de segurança em particular é baseado no jogo Kaspersky Interactive Protection Simulation (KIPS), um programa de treinamento baseado em equipe para especialistas em sistemas de negócios, pessoas de TI e gerentes de linha. Parte do portfólio Kaspersky Security Awareness, o KIPS simula ransomware, ameaças persistentes avançadas (APTs) e outras ameaças on-line em uma variedade de configurações, incluindo um banco, uma corporação “típica”, administração pública local, uma usina, empresas de logística, usina de água, uma entidade na indústria de petróleo e gás e um aeroporto.
Lições para a Empresa
Esta versão do jogo foi projetada principalmente para diplomatas e sua equipe — daí o foco nas Nações Unidas e opções de cooperação internacional — mas qualquer pessoa em um papel de liderança dentro de uma organização ou parte interessada empresarial pode se beneficiar das lições da simulação. Partes de uma resposta coordenada aos ataques cibernéticos são, é claro, de natureza profundamente técnica, mas grande parte envolve uma forte comunicação e tomada de decisões oportunas.
Em outras palavras, é mais importante que líderes e funcionários saibam quais informações técnicas precisam adquirir, quem pode coletar ou decifrar essas informações técnicas e quem precisa compartilhar esse conhecimento depois de adquirido do que necessariamente possuir conhecimento técnico. Esse conhecimento pode fortalecer a prontidão para a segurança de toda uma organização.
“Simulações desse tipo, quando feitas corretamente, podem ser extremamente úteis para as organizações e os indivíduos envolvidos”, diz Javvad Malik, defensor da conscientização de segurança da KnowBe4. “É semelhante a um dojo ou luta de boxe, onde, passando pelos movimentos em um ambiente seguro, pode-se aumentar suas habilidades.”
O objetivo desses exercícios “…precisa ser obter certeza de que processos, tecnologias e treinamento funcionem como esperado — e não projetados como truques para enganar colegas ou mostrar o quão inteligentes as simulações podem ser feitas”, enfatiza Malik.
Uma das principais implicações do jogo é que as organizações devem sempre tomar medidas para se preparar para ataques cibernéticos antes que eles ocorram. O treinamento é uma grande parte disso, incluindo aprender novas maneiras de conceituar como os cibercriminosos pensam.
“Osdefensores pensam em listas. Os atacantes pensam em gráficos”, explica Bob Rudis, cientista-chefe de dados da empresa de segurança cibernética Rapid7. “O que precisamos é de uma nova classe — protetores — que pense em gráficos (ou seja, olhando para o futuro para as escolhas que podem fazer para ver o que pode acontecer, para que possam fazer escolhas melhores ou adicionais). Esses jogos podem tornar isso uma realidade.”
Ele também aconselha trazer pessoas de todos os cantos de uma organização, não apenas da segurança da informação, para participar regularmente de jogos de guerra cibernética.
Uma vez que os membros de uma organização tenham sido capazes de pensar criticamente através de cenários realistas em uma simulação dinâmica, eles serão capazes de preparar suas defesas com mais sabedoria, incluindo decidir onde investir recursos.
“É realmente o que as organizações devem fazer antes de gastar dinheiro em defesas cibernéticas, já que você precisa saber como vai usar o que compra, não apenas instalá-lo-e-esquecer”, observa Rudis. “Ver o quão bem as escolhas combinam em um ambiente real e livre de consequências é bastante poderoso.”
FONTE: DARK READING