Mês de sensibilização para a cibersegurança 2023

20 anos do Mês de Sensibilização para a Cibersegurança

outubro de 2023 marca os 20 anos do Mês de Sensibilização para a Cibersegurança, um mês dedicado à sensibilização para a segurança digital e à capacitação de todos para protegerem os seus dados pessoais contra formas digitais de crime.

Este ano, os líderes governamentais e os executivos do sector estão a analisar o caminho percorrido nos últimos 20 anos e o caminho a percorrer para garantir o nosso futuro digital.

Leia o nosso blogue: Factores-chave para uma parceria bem sucedida de 20 anos: Exclusive Networks e Fortinet partilham o seu segredo

Como especialista global em cibersegurança para infra-estruturas digitais, a Exclusive Networks está empenhada em acelerar a transição para um mundo digital totalmente fiável. Continuamos a trabalhar em conjunto com os nossos fornecedores e parceiros para assegurar a tecnologia, proteger as infra-estruturas críticas e colmatar a lacuna nas carreiras de cibersegurança através de soluções, serviços e formação de ponta para equipar o nosso mundo com os ciberguardas de amanhã, que são extremamente necessários. Isto inclui a nossa iniciativa Exclusive Academy, um programa de formação especializado para trazer jovens talentos e dar experiência prática no terreno, bem como formação teórica dos especialistas da Exclusive Networks.

Temos o prazer de defender oficialmente o Mês da Consciencialização da Cibersegurança 2023.

O Mês de Consciencialização da Cibersegurança deste ano promove os seguintes quatro comportamentos-chave de cibersegurança, criados para serem simples e acionáveis tanto para indivíduos como para empresas:

1. Criar palavras-passe fortes e utilizar um gestor de palavras-passe
2. Ativar a autenticação multi-fator
3. Atualizar o seu software
4. Reconhecer e denunciar tentativas de phishing

Embora ajudemos os parceiros e os seus clientes a manter os seus dados protegidos de muitas formas, seguir estes passos simples pode fazer uma grande diferença para ajudar todos a manterem-se seguros e protegidos em linha.

Criar palavras-passe fortes e utilizar um gestor de palavras-passe

As palavras-passe fracas ou roubadas são responsáveis por 81% das violações de dados. Acredita que as palavras-passe mais comuns utilizadas em 2023 continuarão a ser "123456789" e "password"? Os cibercriminosos conseguem decifrar uma palavra-passe fraca, ou uma que possa ser facilmente adivinhada, em poucas horas. As palavras-passe mais complexas e "fortes", por outro lado, podem levar mais de uma vida a decifrar.

A Microsoft define uma palavra-passe forte como:

• Pelo menos 12 caracteres, mas 14 ou mais é melhor
• Uma combinação de letras maiúsculas, letras minúsculas, números e símbolos
• Não é uma palavra que possa ser encontrada num dicionário ou o nome de uma pessoa, personagem, produto ou organização
• Significativamente diferente das suas palavras-passe anteriores - as palavras-passe roubadas são frequentemente partilhadas em linha para serem utilizadas por outros cibercriminosos
• Fácil de lembrar, mas difícil de adivinhar por outros, por exemplo, uma frase memorável como "6MonkeysRLooking^".

Para manter as contas e os dispositivos seguros e protegidos, nunca partilhe nomes de utilizador ou palavras-passe com ninguém e evite escrevê-los. Considerando que o utilizador médio tem 27 aplicações de trabalho diferentes que necessitam de verificação, um gestor de palavras-passe pode ser uma grande ajuda se tiver muitas contas e tiver dificuldade em memorizar várias palavras-passe. Muitos gestores de palavras-passe actualizam automaticamente as palavras-passe armazenadas, mantêm-nas encriptadas e exigem uma autenticação multifactor para o acesso.

Devido aos riscos colocados por uma má higiene das palavras-passe, muitas empresas estão agora a recorrer à autenticação sem palavras-passe.

Leia mais sobre os dispositivos sem palavra-passe Thales FIDO2

Leia mais

Ativar a autenticação multi-fator

A autenticação multi-fator (MFA) fornece uma camada extra de segurança para além das palavras-passe, para evitar que utilizadores não autorizados acedam a contas e dispositivos, mesmo quando uma palavra-passe foi adivinhada ou roubada. Requer mais do que um tipo de credencial para iniciar sessão. A autenticação multifacetada apresenta-se sob várias formas, todas elas garantindo que o utilizador é a única pessoa que pode aceder à sua conta.

Os métodos de MFA incluem:

• Algo que você conhece: Senhas, PINs e perguntas de segurança
• Algo que você tem: Tokens de hardware ou software, certificados, e-mail, SMS e chamadas telefónicas
• Algo que você é: Impressões digitais, reconhecimento facial, digitalizações da íris e das mãos
• A sua localização: Intervalos de IP de origem e geolocalização

Uma maior utilização da nuvem, de dispositivos móveis e de cadeias de fornecimento alargadas está a levar as organizações a procurar soluções MFA fortes. Os métodos acima referidos baseiam-se numa variedade de tecnologias, sobretudo palavras-passe de uso único (OTPs) e infra-estruturas de chave pública (PKI). Eis como estas tecnologias funcionam, de acordo com a Thales.

As OTPs são uma forma de autenticação "simétrica", em que uma palavra-passe de uso único é gerada simultaneamente em dois locais - no servidor de autenticação e no token de hardware ou software que o utilizador tem na sua posse. Se a OTP gerada pelo seu token corresponder à OTP gerada pelo servidor de autenticação, a autenticação é bem sucedida e é-lhe concedido acesso.

A autenticação PKI é uma forma de autenticação "assimétrica", uma vez que se baseia num par de chaves de encriptação diferentes - nomeadamente, uma chave de encriptação privada e uma chave de encriptação pública. Os tokens de hardware baseados em certificados PKI, como os cartões inteligentes e os tokens USB, foram concebidos para armazenar de forma segura a sua chave de encriptação privada secreta. Quando o utilizador se autentica no servidor de rede da sua organização, por exemplo, o servidor emite um "desafio" numérico. Esse desafio é assinado utilizando a sua chave de encriptação privada. Se houver uma correlação matemática, ou "correspondência", entre o desafio assinado e a sua chave de encriptação pública (conhecida pelo seu servidor de rede), a autenticação é bem sucedida e é-lhe concedido acesso à rede.

Veja The Science of Secrecy com Simon Singh para saber mais sobre criptografia de chave pública

Veja aqui

Atualizar o software

Muitos utilizadores assumem que as actualizações de software são lançadas para introduzir novas funcionalidades do produto, mas também incluem correcções importantes para corrigir vulnerabilidades e erros de segurança de TI. O mesmo se aplica aos sistemas operativos (SO) dos dispositivos. Ter software atualizado é uma forma essencial de se manter um passo à frente dos agentes de ameaças que se aproveitam das vulnerabilidades do software.

A maior parte das equipas de TI enviam actualizações automáticas de software para as aplicações empresariais da sua organização e para o sistema operativo do dispositivo. Normalmente, é isto que faz com que o dispositivo seja reiniciado. Quando atualizar o software, certifique-se sempre de que está a descarregá-lo de uma fonte oficial, uma vez que o software não oficial contém frequentemente malware. Muitos dispositivos e aplicações têm uma opção de atualização automática, o que significa que não precisa de se preocupar com versões desactualizadas ou com a perda de patches de segurança importantes.

Procure vulnerabilidades na sua organização com o Tenable Nessus

Saiba mais

Reconheça e denuncie tentativas de phishing

O phishing é um esquema concebido para roubar informações sensíveis ou palavras-passe, comprometer dispositivos ou enviar dinheiro a cibercriminosos. Normalmente, surge sob a forma de correio eletrónico, mas também pode assumir a forma de mensagens de texto enganadoras (conhecidas como smishing, uma combinação de SMS e phishing), publicações sociais, pop-ups da Web, chamadas telefónicas (conhecidas como vishing - ou phishing de voz) e até ferramentas de colaboração como o Microsoft Teams - uma nova espécie de risco.

Leia mais sobre Bloquear vírus, malware e phishing com a Proteção Mimecast para Microsoft Teams

leia mais

No phishing, os cibercriminosos utilizam a engenharia social para o levar a partilhar dados privados e confidenciais, tais como números de contas bancárias ou informações de início de sessão. Podem pedir o seu nome, informações de conta, data de nascimento, palavras-passe e outras informações sensíveis ou secretas. Frequentemente, induzem-no a abrir uma ligação ou um ficheiro numa mensagem de aspeto legítimo. Certifique-se sempre de que passa o rato por cima de uma ligação para verificar se parece legítima e, se tiver dúvidas, não clique nela e denuncie-a. Esteja atento:

No phishing, os cibercriminosos utilizam a engenharia social para o induzir a partilhar dados privados e confidenciais, como números de contas bancárias ou informações de início de sessão. Podem pedir o seu nome, informações sobre a conta, data de nascimento, palavras-passe e outras informações sensíveis ou secretas. Frequentemente, induzem-no a abrir uma ligação ou um ficheiro numa mensagem de aparência legítima. Certifique-se sempre de que passa o rato por cima de uma ligação para verificar se parece legítima e, se tiver dúvidas, não clique nela e denuncie-a. Esteja atento a:

• Um remetente não específico, alguém que não conhece, ou que não corresponde ao endereço "de"
• Saudações pouco familiares, invulgares ou genéricas
• Erros de ortografia e gramática
• Uma ligação suspeita que não corresponde ao URL da página Web na mensagem de correio eletrónico
• Uma ligação para imagens ou vídeos de pessoas que não conhece
• Uma ligação ou anexo para ver algo inesperado, por exemplo, para localizar uma encomenda desconhecida
• Anexos com nomes de ficheiros incorrectos ou suspeitos ou extensões de ficheiros suspeitas (.bin, .com, .exe, .html, .pif, .vbs, .zip, .zzx)
• Imagens de baixa resolução

Para rastrear e encriptar os e-mails comerciais que envia contendo dados sensíveis, considere a RPost

Saiba mais

O phishing genérico e quotidiano geralmente não é direcionado e é mais fácil de detetar. Outros tipos de phishing incluem:

• Spear phishing: tem como alvo um indivíduo específico e estuda-o para poder escrever uma mensagem mais convincente e de aspeto legítimo para o levar a baixar a guarda e partilhar informações sensíveis.
• Whaling: visa especificamente CEOs e membros da equipa de liderança sénior.
• Phishing de documentos partilhados: imita um e-mail de sites de partilha de ficheiros como o Dropbox, Google Drive ou OneDrive para dizer que um documento foi partilhado consigo, mas a ligação é para uma página de início de sessão falsa que rouba as credenciais da sua conta.

Para combater o phishing, muitas organizações estão a investir significativamente na formação formal de consciencialização sobre cibersegurança para os seus funcionários e estão a transformá-los na sua linha de defesa mais valiosa contra ciberataques.

Leia mais sobre o treinamento de conscientização de segurança e a plataforma de simulação de phishing da Proofpoint

leia mais

A cibersegurança não precisa de ser complicada ou esmagadora. A simples prática destes 4 passos básicos ajuda a desenvolver hábitos seguros que podem ser facilmente incorporados na vida quotidiana. Quando cada pessoa e cada organização desempenha o seu papel, reduzimos coletivamente os riscos cibernéticos e mantemos o nosso modo de vida digital protegido e confiável.

Para saber mais

Saiba mais sobre as formas como as organizações podem apoiar a adoção de competências em matéria de cibersegurança:

• Cursos de formação Exclusive Networks
• Construir a próxima geração de profissionais de cibersegurança - o modelo 'Exclusive Academy'
• Sobre o Mês de Sensibilização para a Cibersegurança