Com as crescentes tensões na Ucrânia e ameaças de ataques a estados-nação, vale a pena notar que a guerra moderna não é mais baseada apenas em ataques tradicionais terrestres, aéreos ou marítimos, mas progrediu ao ponto em que os ataques cibernéticos são uma parte comum da guerra, como muitos especialistas hoje chamam de “guerra híbrida”. Eles geralmente são feitos nas finanças, no governo e nas comunicações dos países-alvo para desestabilizar a infraestrutura crítica do país e atrasar qualquer resposta necessária a um ataque.

Mesmo que você não esteja diretamente na linha de fogo, é um lembrete oportuno durante esses tempos preocupantes de que todos precisamos levar nossa segurança cibernética mais a sério. Este é um sentimento ecoado pela vice-procuradora-geral do Departamento de Justiça (DoJ), Lisa Monaco, em discurso na Conferência de Segurança Cibernética de Munique.

“Dadas as tensões muito altas que estamos enfrentando, empresas de qualquer tamanho e de todos os tamanhos seriam tolas se não estivessem se preparando agora enquanto falamos, para aumentar suas defesas, fazer coisas como prevenir, aumentar seus sistemas de alerta, para monitorar em tempo real sua segurança cibernética. Eles precisam estar realmente no nível mais elevado de alerta possível e tomar todas as precauções necessárias.”

Por que ainda precisamos afirmar isso?

Priorizar o patch é essencial para a integridade da rede. A Fortinet hoje está lidando com as consequências de alguns clientes que não estão corrigindo alguns patches de correção. Isso causou um ciclo de notícias contínuo relacionado a um problema de SSL-VPN resolvido em 2019, que permanece sem correção para alguns clientes, pela falta de atualização desses próprios clientes.

Dado que algumas organizações nem sempre estão tomando medidas para corrigir, como podemos entender melhor os motivos, para que possamos ajudar a mudar esse comportamento? A psicologia humana nos dá algumas pistas úteis sobre por que esse é o caso.

O desconto hiperbólico é um viés cognitivo que se refere à inclinação de escolher recompensas imediatas em vez de recompensas que vêm mais tarde no futuro, mesmo quando essas recompensas imediatas são menores. Isso é mais claramente demonstrado pela frase: “Mais vale um pássaro na mão do que dois voando”.

Em termos de segurança cibernética: “continuarei trabalhando em um projeto sensível ao tempo que meu chefe está perseguindo, em vez de corrigir sistemas contra um problema de segurança cibernética que pode nunca acontecer, pensando talvez tenhamos sorte e ninguém nos ataque”.

A situação na Ucrânia e o aviso da oficial do Departamento de Justiça, Lisa Monaco, demonstra que não devemos levar isso de ânimo leve, mas precisamos mudar a natureza humana se quisermos ter sucesso em priorizar o gerenciamento de patches. Para fazer isso, precisamos dar às pessoas um retorno imediato.

Removendo o viés cognitivo

É aqui que o Serviço de Classificação de Segurança entra em ação, ajudando a remover esse viés cognitivo. Ele fornece aos clientes feedback imediato de que as ações que estão realizando têm impacto na segurança de seus sistemas. Embora isso esteja disponível há algum tempo, nos próximos meses levaremos isso para o próximo nível e incluiremos patches na classificação. Também forneceremos um relatório de roll-up no FortiCare para ajudar a incentivar ainda mais esse processo.

REFERÊNCIAS:

https://www.fortinet.com/blog/business-and-technology/the-art-of-war-and-patch-management

https://www.fortinet.com/support/support-services/fortiguard-security-subscriptions/security-rating

https://www.justice.gov/dag/staff-profile/meet-deputy-attorney-general

https://www.fortinet.com/blog/psirt-blogs/prioritizing-patching-is-essential-for-network-integrity