Três chaves para gerenciar as consequências legais dos ataques cibernéticos

O especialista jurídico residente da ESPN, Andrew Brandt, é sinônimo de uma frase simples: Haverá advogados. Ele tuitará em resposta a qualquer história em desenvolvimento no mundo dos esportes que chame sua atenção, como David Tepper, dono do Carolina Panthers, jogando uma bebida nos fãs da caixa de seu dono.  

Foi essa frase que inspirou o último webinar da Illumio, uma colaboração com o escritório jurídico Fenwick and West falando sobre as consequências legais das violações cibernéticas. Michael Sussmann, advogado de segurança cibernética e privacidade da empresa, se juntou a John Kindervag, padrinho da Zero Trust e evangelista-chefe da Illumio, e Aaron Margolis, diretor jurídico da Illumio para compartilhar ideias sobre o tópico raramente abordado das consequências legais dos ataques cibernéticos.

Assim como no mundo dos esportes, haverá advogados.

Aqui estão as três principais conclusões da discussão para ajudar você a se manter preparado para as consequências legais da resposta a violações. Você também pode assistir à gravação completa aqui e obter uma prévia da discussão abaixo:

1. Há ROI no investimento proativo em segurança

Muitas organizações ainda estão atrasadas quando se trata de criar estratégias de contenção de violações que reduzam o risco e aumentem a resiliência cibernética. De acordo com a pesquisa da Kindervag, a maioria dos incidentes de segurança cibernética poderia ter sido mitigada por muito menos do que o custo das taxas legais associadas ao incidente.  

“Parece-me que somos muito sábios e tolos”, disse Kindervag, “e não estamos pensando em todos os custos que poderiam estar associados a um ataque”.

Mas investir em estratégias de segurança proativas que se preparem para a próxima violação inevitável proporcionará ROI na próxima vez que uma violação acontecer. Sussman e Margolis recomendaram a implementação das melhores práticas básicas de higiene cibernética, além de ferramentas de segurança que limitam o acesso à rede, contêm violações e impedem o movimento lateral.

Embora essas estratégias possam não impedir uma violação, elas certamente podem garantir que uma violação seja menos destrutiva do que seria de outra forma — e menos custosa de remediar legalmente.

“Ser proativo pode fazer a diferença entre uma vulnerabilidade de segurança de baixo nível versus uma violação de alto perfil que se torna essencial para toda a empresa”, disse Margolis.

2. Priorize a comunicação

As violações não podem mais ser evitadas ou detectadas com rapidez suficiente para impedir que se tornem incidentes catastróficos. As organizações não podem esperar perfeição de suas equipes de segurança — e os CISOs não podem esperar que o resto da organização entenda o que suas equipes precisam para criar resiliência cibernética.  

“Fale quando precisar de recursos”, recomendou Sussman. “Todo mundo está fazendo o melhor que pode em circunstâncias difíceis.”

Quando ocorre uma violação, Kindervag observou que contratar um advogado externo pode ser útil. Sussman concordou, incentivando as organizações a “sempre” falar com advogados quando ocorre uma violação. Isso pode ajudar as equipes de segurança a comunicar melhor o impacto da violação às partes interessadas internas e externas, ao mesmo tempo em que mitiga quaisquer problemas legais inesperados que possam surgir.

3. O investimento começa no topo

Kindervag abordou a questão de longa data da procrastinação no setor de cibersegurança: “Por que as empresas evitam ou adiam o investimento em projetos que poderiam ajudá-las, como a segmentação? Por que vemos tantas pessoas dizendo 'custa muito' quando há tantas desvantagens em não fazer a coisa certa?”

Margolis concordou que muitas organizações ainda estão focadas em modelos de segurança ultrapassados que priorizam a prevenção e a detecção em vez da contenção de violações. Isso leva a violações caras e consequências legais.

“Acho que a razão pela qual isso pode ser despriorizado é que, quando administramos o negócio, existe uma estrutura de incentivos que valoriza muito o crescimento. Então, muito do investimento e do foco são colocados nisso”, explicou Margolis

No entanto, ele vê a mudança acontecendo. No cenário atual de ameaças, os conselhos estão começando a perceber os problemas de segurança cibernética. O risco de segurança está se tornando o principal risco comercial a ser mitigado, e as equipes jurídicas estão cada vez mais envolvidas no planejamento de segurança.

“Isso está se tornando menos verdadeiro com o tempo, à medida que a cibersegurança se torna mais um imperativo estratégico”, disse ele.

“Há menos mentalidade de procrastinação e mais de se tornar mais proativo, e há uma necessidade de conhecimento cibernético na sala de reuniões.”

Entre em contato conosco hoje mesmo para saber como a segmentação de confiança zero da Illumio pode ajudar sua organização a criar resiliência cibernética e reduzir o risco de ataques cibernéticos catastróficos.