Por dentro do manual do FBI

Raghu Nandakumara 0:12

Olá a todos. Então, bem-vindo de volta a outro episódio de The Segment. Desta vez, estou muito animada por falar com Brian Boetig. Agora, Brian tem uma carreira bastante histórica — 35 anos de experiência em segurança nacional, segurança pública e consultoria, inclusive como diretor assistente do FBI, diplomata dos Estados Unidos, oficial de ligação da CIA, policial estadual, municipal e universitário e sócio de uma empresa internacional de consultoria empresarial. Atualmente, ele é o consultor principal da Global Trace, uma empresa de consultoria personalizada. Então, são muitos acrônimos de três letras com os quais ele está envolvido, e estou muito animada para ver quais histórias ele pode compartilhar conosco hoje. Brian, bem-vindo ao The Segment.

Brian Boeing 1:01

Bem, muito obrigado por me receber. Foi muito bom receber o convite, e estou ansioso para compartilhar algumas das histórias que foram contadas muitas vezes, e algumas que talvez não tenham sido contadas ou não fossem tão relevantes quanto eram anos atrás, que poderiam ser no ambiente atual.

Raghu Nandakumara 1:16

Fantástico Mal podemos esperar. Então, é interessante, no momento em que estamos gravando isso, Brian, eu estou meio que viciado em um podcast específico que descobri recentemente, “The Rest is Classified”, que é apresentado por, eu acho, um ex-agente do Serviço Secreto Britânico e, eu acho, um ex-agente da CIA dos EUA, certo? É fantástico. E, mais ou menos, quando eles discutem vários aspectos da nave de espionagem e uma missão real e real. Então, achei isso muito interessante. Então, na verdade, digamos que, por exemplo, compartilhe conosco, você provavelmente gosta de uma história que possa compartilhar de sua experiência. Por que não começamos por aí para ver como isso moldou você?

Brian Boeing 1:52

Bem, vou te contar uma das histórias mais estranhas que contei uma vez quando estive em DC. Isso foi, na verdade, antes do 11 de setembro com Robert Hanssen. E Robert Hanssen era o espião do FBI que recentemente morreu na prisão, mas foi condenado e enviado para a prisão perpétua, mas estava entregando informações aos russos. E a história provavelmente não vai para onde você pensa, mas minha esposa e eu estávamos em DC caminhando com nosso dachshund. Isso foi antes de termos filhos, e um senhor veio até mim e ele também tinha um dachshund. Ele queria criar esse dachshund. Então, minha esposa teve uma conversa com ele enquanto eu meio que ignorava toda a conversa. E então ela me contou sobre essa conversa. Eu estava sentada no parque enquanto ela caminhava, e não pensei nisso até chegar em casa. E, novamente, isso é cedo, estamos em 2000, logo após Robert Hans ter sido preso. Mas antes do 11 de setembro, chego em casa e recebi três ligações na minha caixa de identificação de chamadas da Federação Russa, que basicamente era a embaixada russa. Acontece que o cara com o dachshund era um russo que trabalhava na embaixada. E tudo que eu conseguia pensar era que, durante essa era de Robert Hans, quando havia um maior escrutínio sobre as pessoas, e agora eu estava envolvida nesse evento com os russos, que, você sabe, eles agora estão chamando de minha casa. Estou descobrindo de que tipo. Então, eu tive que voltar e denunciar isso ao FBI. E foi muito engraçado, porque eu segui a orientação deles e eles perguntaram, você sabe, eu perguntei a eles o que eu deveria fazer. E eles disseram, bem, “Vamos continuar com isso”. E então eu me vi no fim de semana seguinte passeando com meu cachorro em frente à embaixada russa, você sabe, indo e voltando. E fiquei pensando, todo mundo está assistindo isso, dos russos, das agências de espionagem dos EUA, alguém, alguém deve estar me protegendo. E acabou sendo uma das situações mais embaraçosas. Ele então veio e voltamos ao parque, e os cães não se envolveram como queríamos. Pode ter havido, possivelmente, uma barreira linguística, não sei o que era, mas era apenas o momento certo para tudo. E você sabe, muitos de seus ouvintes provavelmente se lembram da caixa de identificação de chamadas e de voltar e vê-la em uma época em que havia apenas um maior escrutínio e uma maior conscientização sobre os russos, o que não parou, você sabe, quando eu estava em Londres, tivemos um ataque de agente nervoso com Novichok. Isso foi em 2018 e, você sabe, você vê hoje com a guerra da Rússia na Ucrânia, e onde ela está, e uma espécie de parte do engajamento dos EUA nisso, você sabe, recentemente. Então, é engraçado como o jogo de espionagem nunca para. E pode atingir você a qualquer momento que você menos espera.

Raghu Nandakumara 4:30

Absolutamente! Ah, isso. Isso é brilhante. O que é todo esse tipo de engajamento russo-americano? Ah, nada. Nossos cães só querem procriar. Isso é tudo. É só uma rede de criação de cães.

Brian Boeing 4:38

O difícil era que eu realmente não conseguia, também não conseguia contar à minha esposa o que estávamos fazendo, então ela tinha planos para o próximo fim de semana, mas já tínhamos combinado de voltar para lá. Mas eu realmente me senti estranha andando de um lado para o outro em frente à Embaixada da Rússia em DC, passeando com esse cachorro e pensando que em algum momento eu vou pegar o cachorro e jogá-lo no portão, você sabe, e correr até lá e fazer alguma coisa. Mas apenas o jogo de espionagem leva você a reviravoltas muito estranhas que você nunca esperaria. E você sabe, muitos desses programas de TV que você assiste e acha que são muito irreais, eu os assisto às vezes, e talvez alguns dos elementos dramáticos sejam irreais, mas nada é pequeno demais para acabar se transformando em algum tipo de atividade de engajamento ou contra-espionagem.

Raghu Nandakumara 5:26

Isso é brilhante! Ok, Brian, vou dizer agora que essa é sem dúvida a melhor, não apenas a introdução que um de nossos convidados nos deu agora, qual será a terceira temporada do podcast, mas também provavelmente a melhor história. Então, qualquer um dos nossos ex-convidados, quem quer que eu te desafie, venha e compartilhe uma experiência mais divertida e meio louca do que essa.

Brian Boeing 5:53

Basta comprar um dachshund e você acabará em situações ridículas como essa.

Raghu Nandakumara 5:59

Isso é bonito, quero dizer, voltando ao podcast de que eu estava falando e, na verdade, é baseado no episódio atual que estou ouvindo, é baseado no livro. Tenho certeza que você leu The Billion Dollar Spy. E apenas a descrição das várias peças de espionagem que eles estão tentando usar para primeiro interagir com o ativo e depois trocar informações. É que a criatividade é incrível, certo? Parece um jogo que as crianças jogam, certo? Para trocar informações em um dos cinemas mais tensos, eu acho, ou naquela época dos anos 80 do mundo.

Brian Boeing 6:33

Sim, o processo de recrutamento da equipe é muito, muito criativo, e você passa semanas e meses, às vezes apenas encenando, interagindo e discutindo uma interação que lhe deixa feliz, só espera que um encontro casual com um pincel em algum lugar que dure menos de cinco segundos, mas às vezes você dedica, você sabe, cinco, seis meses de trabalho apenas para garantir que aquele encontro casual com um pincel em um supermercado ou no trânsito seja bem-sucedido. A quantidade de criatividade, mas também o trabalho logístico envolvido nisso, é incrível.

Raghu Nandakumara 7:13

Absolutamente. Então, quero dizer, porque, particularmente, quando vemos isso em filmes e novamente, certo, o que consumimos e meio que na mídia e nos livros, grande parte da arte de espionagem é, na verdade, todo esse tipo de contato psicológico e físico, etc. Como isso acontece quando o mundo está cada vez mais cibernético, certo? E a nave de espionagem entra no ciberespaço. Como isso muda? Qual é a evolução das naves de espionagem para acompanhar o mundo cibernético?

Brian Boeing 7:44

O interessante é que ainda há um elemento muito comportamental. Mesmo no mundo cibernético e no FBI, há um grupo que todo mundo conhece ao assistir décadas de Criminal Minds, a Unidade de Análise Comportamental, e eles têm um grupo especializado em cibersegurança. Porque mesmo quando você tem pessoas produzindo malware e outros tipos de código, há uma assinatura lá dentro. Essa é, você sabe, a forma como as pessoas gostam de uma mão, assim como fazem uma pergunta, documentam a análise de caligrafia, há uma assinatura no código. E diferentes programadores ou inadvertidamente colocam seu nome lá, em algum lugar ou algo que os identifique, ou não, mas não o fazem de forma advertida, mas o colocam lá subconscientemente. A maneira como escrevem, a forma como você escreve a letra A em um documento escrito, você sabe, da mesma forma que alguém escreveria isso em código ajuda a identificar quem eles são. Portanto, há um elemento de análise comportamental na leitura de códigos e scripts escritos, ou seja, é um campo em crescimento que é absolutamente incrível.

Raghu Nandakumara 8:55

Acho que também existe, como outros comportamentos, e há, como você diz, esse tipo de assinatura, aqueles sinais reveladores de que os atacantes saem ou ajudam a identificá-los. Além disso, como você percebeu que as táticas ou os comportamentos dos ciberatacantes evoluíram ao longo dos anos?

Brian Boeing 9:13

Existe um modelo de negócios que realmente foi criado a partir do cibercrime. Nós, quando olho para trás, quando muito, muito do trabalho que estávamos fazendo nos primeiros ataques cibernéticos eram apenas desfigurações de sites, que agora parecem tão mesquinhos e fáceis de absorver como empresa, mas na verdade se transformaram em um modelo de negócios. Eu tenho trabalhado com ransomware nos últimos 10 anos, tanto no FBI quanto como consultor, e você tem que perceber que ainda são seres humanos por aqui, e eles estão administrando um negócio. E é a mesma coisa. Minha primeira missão, quando entrei no FBI, trabalhei no esquadrão extraterritorial, que trabalhava na jurisdição extraterritorial do pessoal do FBI. Às vezes, pense em. Extraterrestre, mas é extraterritorial. Então, fora dos Estados Unidos, onde temos jurisdição, em países onde pessoas são assassinadas ou sequestradas, e o FBI tem, o governo dos EUA tem jurisdição para investigá-las agora, fizemos muitos sequestros, você sabe, como resgate, muitos deles, você sabe, na África, onde você sabia qual grupo sequestraria alguém, e você sabia exatamente o que eles queriam. Você sabe, eles pediriam 10 milhões e você sabia que poderia se contentar com cinco e trazer as pessoas de volta, você sabe, ilesas, e só porque você tinha inteligência neste grupo, faria isso repetidamente com, você sabe, turistas americanos. Da mesma forma que acontece no ransomware nos dias de hoje, um ransomware acontece para você. Você entra e descobre, ok, este é qualquer grupo que seja. E você sabe, ok, conversei com todos os meus colegas no FBI ou em outras empresas de consultoria para entender isso. É exatamente assim que eles vão operar. Em 24 horas, eles enviarão o e-mail de acompanhamento. Eles vão ameaçar isso. Eles vão pedir 10 milhões. Veja o que outras pessoas estão pagando quando pagam. Isso é o que acontece. Você sabe, ou eles estão prontos e claros, tão claros quanto possível em um ransomware, ou então você receberá o secundário, você sabe, observe que agora, você sabe, desbloqueamos seus computadores. Mas agora, se você quiser destruir seus dados, você entende o ciclo. Então, é realmente um negócio, e o cibercrime se transformou em um modelo de negócios. Veja, veja o que a Coreia do Norte, quero dizer, a Coreia do Norte está arrecadando fundos por meio de pequenos crimes cibernéticos de baixo nível, e é assim que eles estão financiando seu país neste momento. Então, eu penso no cibercrime, na verdade, como um negócio, mesmo em alguns casos de perseguição ou, você sabe, ex-namorados que estão colocando, você sabe, fotos sujas de suas fotos privadas de seus ex-namorados e coisas assim. É, é vingança, é vingança. Mas também há algum nível de negócios nisso. Eles estão tentando tirar algo dessa pessoa, seja, você sabe, frustrá-la ainda mais ou, você sabe, potencialmente fazer com que ela lhe pague dinheiro. Então você tem que realmente ver isso como um modelo de negócios, e essa é a melhor maneira de combatê-lo.

Raghu Nandakumara 12:04

Isso é muito interessante, certo? Porque eu acho que você é capaz de quase replicar, ou pelo menos do lado defensivo, replicar esse modelo de negócios e identificar onde ele está melhor colocado, para essencialmente quebrar o negócio, certo, ou impedir que atrapalhe esse negócio, tipo, onde nessa cadeia você coloca seu tipo de foco para impedir que eles sejam produtivos? É assim que você aborda isso?

Brian Boetig 12:29

Sim, e se você pensar nisso a partir de um modelo de negócios de ser um criminoso, é muito mais seguro. Se você invadisse, eu uso esse exemplo com bastante frequência, se você invadisse uma loja de conveniência, você sabe, no Reino Unido, em uma mercearia em teste, se você roubou dinheiro da Tesco no Reino Unido, ou 711 nós. Você invadiu e roubou fisicamente do funcionário, ou quando eles não estavam lá, você entrou no cofre e roubou $50. Você teria um exército de policiais aparecendo, porque isso é muito confortável para a polícia, e eles pegam impressões digitais, entrevistam e pegam vídeos. Mas se esse mesmo Tesco, o mesmo 711, fizesse alguém roubar meio milhão de dólares, você sabe, no cibercrime, você sabe, do ponto de vista cibernético, invadir e roubar, você poderia chamar a polícia e, na maioria das jurisdições, a polícia levantará a mão e dirá: “Eu não sei o que fazer”. Isso é, isso é o que fazemos. Então, se você é, é claro, não estamos tentando aconselhar criminosos aqui, mas você está muito mais apto a ser pego no mundo físico do que no mundo cibernético. É um trabalho em casa. Você pode fazer isso no seu computador. Então, o desafio é que você está vitimando pessoas no mundo cibernético, que é geográfico. No mundo físico, você precisa ir a algum lugar e fazer alguma coisa, para que seu grupo de vítimas se torne o mundo, em vez de apenas a cidade ou vila em que você mora, ou você não precisa viajar e chegar a algum lugar. É por isso que você vê organizações inteligentes que tradicionalmente faziam parte de gangues ilegais de motociclistas. Você já viu essas organizações se transformarem em crimes cibernéticos. Você sabe, eles ainda usam muitas drogas e muita violência, mas também estão cometendo crimes cibernéticos porque é seguro e gerou esse dinheiro. Então, apenas um mundo interessante para se fazer. Mas eu sempre vejo o crime cibernético primeiro como um negócio, porque é mais fácil de entender e depois tento separar partes desse negócio dessa forma.

Raghu Nandakumara 14:21

Sim, eu concordo, e gosto da forma como você fez a analogia ou a forma como você disse que o cibercrime é o melhor negócio para trabalhar em casa, certo? Você pode estar muito, muito longe de você, acho que, em última análise, o que vai gerar seu lucro, muito seguro disso, mas continue levando para casa todos os dias, certo?

Brian Boetig 14:40

Eu era uma universidade, uma cidade e um estado, você sabe, policial, antes de entrar para o FBI, e você está realmente focado em sua jurisdição. Então, quando você tem alguém que é o mesmo, você sabe, no Reino Unido, o Reino Unido é um pouco melhor com apenas 43 agências e um pouco mais de coordenação, mas você tem 17.000 agências policiais nos Estados Unidos. E. E eles estão preocupados com coisas que estão sangrando e, você sabe, com coisas que são roubadas fisicamente das casas das pessoas. E uma vez que ele cruzasse de uma cidade para outro estado em outro lugar, simplesmente esgotaria os recursos de um departamento de polícia para poder fazer isso. Então, há apenas esse lado sombrio do crime cibernético que não é aplicado. E mesmo os crimes mais graves, às vezes eles não atingem o limite para serem processados em nível federal. Então, se você roubou as analogias para dar, se você costumava encontrar, você sabe, 100 libras de maconha na fronteira dos EUA, talvez em Montana ou Idaho, esse é um grande caso. Sabe, se você é a Patrulha de Fronteira e encontra 100 libras de maconha em alguém na fronteira sul, é como um aviso, tipo: “Ei, pessoal, despejam isso. Livre-se disso.” Você sabe, é apenas cada distrito federal e onde o crime acontece, e o valor em dólares associado a ele meio que impulsiona a acusação. Então, você sabe, você não vai na cidade de Nova York, o Distrito Sul de Nova York, provavelmente não vai processar crimes de colarinho branco por 50.000 a $100.000, eles provavelmente têm um limite de um milhão de dólares antes mesmo de abrirem um caso, que então, se você sabe onde está, é aí que você pode operar e realmente começar a trabalhar impunemente na maior parte do tempo.

Raghu Nandakumara 16:18

Sim, eu realmente gostei do jeito que você expressa isso, certo? É quando você está operando a partir de uma espécie de, quando está atacando algo de fora dessa jurisdição, você quase não está fugindo da aplicação da lei, mas o custo da polícia para fazer algo a respeito simplesmente fica muito maior, o que significa que você quase pode fazer coisas repetidamente até chegar a esse ponto crítico.

Brian Boetig 16:43

Você vê isso fisicamente na Califórnia, na Califórnia, onde eles elevaram o nível do motivo pelo qual você foi preso, por furto em uma loja, você sabe, custava cerca de $950 ou qualquer outra coisa abaixo disso era apenas uma multa, você sabe. Então, os furtos em lojas dispararam porque todo mundo disse: “Bem, nós podemos fazer isso. Eles não vão fazer nada a respeito.” Então, estamos no cibercrime. Não há pessoas suficientes fazendo coisas sobre isso.

Raghu Nandakumara 17:03

Então você acha que, tipo, só sobre esse assunto, certo? Muitas vezes ouvimos, muitas vezes me perguntam, acho que é quase todo mês, há algum outro artigo ou um jornalista diz: Ah, certo. Por exemplo, ok, ransomware, as organizações devem pagar ou se recusar a pagar, certo, e/ou algo parecido, e devem ser multadas se pagarem? Mas devemos implementar uma lei que diga que o ransomware nunca deve ser pago? Um resgate deve ser pago, certo? Onde você se senta sobre isso?

Brian Boetig 17:33

Quando eu estava com o FBI, não pude me debruçar sobre isso e não tinha permissão para contar enquanto trabalhávamos nos casos. Eu não tinha permissão para dar essa orientação a uma empresa ou organização, eles tinham que tomar essa decisão sozinhos. Depois, passei a fazer uma consultoria de segurança cibernética e acabei ficando bastante tempo naquele lugar e sentei nos assentos ouvindo os CEOs e CFOs que conduziam essas decisões. Na verdade, acontece individualmente. Não acho que você possa dar um cobertor porque, você sabe, estávamos trabalhando em um caso em que um escritório de advocacia havia sido vítima de um ransomware e, se não tivesse pago, não existiria mais. Certo? Exatamente, suas informações proprietárias, informações do advogado e do cliente foram obtidas e, portanto, os danos à reputação foram divulgados. Além de não terem acesso às suas informações, elas simplesmente, do ponto de vista comercial, não poderiam existir sem elas, e a única maneira de sentirem que poderiam recuperá-las era pagando o resgate. Há outros que fizeram um trabalho melhor ao fazer backups e não. Uma das piores coisas que uma empresa pode fazer é simplesmente armazenar dados que eles saibam que não precisam mais e simplesmente guardá-los. Porque então, quando você se torna vítima de algum tipo de intrusão ou ransomware, você tem décadas de dados que agora é responsável por notificar milhões de clientes que você não conhece. Seus ex-clientes, eles nem são seus clientes em lugar nenhum. Você não tem mais nada a ver com eles, mas agora eles são vítimas de um crime porque você não se livrou dele, mas tem empresas que estão muito bem preparadas para isso. Eles se dão bem com a governança de dados, limpando isso e, se forem atingidos por um ransomware, têm a capacidade de se recuperar e se reconstruir e talvez perder um dia de trabalho, em vez de meses. Então eu sentei e vi os dois lados. Eu nunca diria que você nunca pagará o resgate. E mesmo voltando ao exemplo de americanos sequestrados, você sabe, em que eu trabalhava, às vezes como resgate. Você sabe, os resgates foram pagos porque você os reduziria para $5.000, como, ei, $5.000 novamente, ainda não pudemos dar orientação sobre isso. Como funcionário do governo, as pessoas tinham que tomar suas decisões individuais sobre isso, mas às vezes era a melhor maneira de resolver um incidente.

Raghu Nandakumara 19:47

Então, acho que a última coisa sobre esse item em particular é que, nessa conversa sobre uma espécie de proibição de pagamento de ransomware entrando em vigor, acho que isso provavelmente não é produtivo da maneira que as pessoas supõem que seria, porque acham que isso vai afastar os criminosos. Mas, na verdade, acho que isso tornará mais difícil para as organizações assumirem uma posição diferenciada e fazerem o que é melhor para elas.

Brian Boetig 20:13

Isso vai tirar uma grande ferramenta da mesa, e se for surpreendente. Agora, em consultoria, descobri que muitas pessoas não querem contratar a polícia quando são vítimas de um ransomware. Então, mesmo aqueles que eu estava vendo no FBI, eu sabia sobre eles. Mas existem tantas que eu trabalhava onde a polícia não estava envolvida. A empresa tomou a decisão estratégica de agir sozinha. Então, tirando esse pagamento da mesa, você poderia potencialmente vitimar duas vezes alguém que foi vítima de uma vítima, tomou uma decisão comercial e, de repente, será essa pessoa que será penalizada novamente. Então, é realmente preciso tirar uma ferramenta de negócios da mesa. Você poderia desincentivá-lo. E há maneiras de fazer isso para garantir, você sabe, que o seguro cibernético seja uma espécie de faroeste de, você sabe, pagamentos, e quem paga, e como eles pagam, o que você fez antes de eles pagarem. Então, você sabe, você pode desincentivar os pagamentos de certas maneiras. Mas eu não sei como fazer isso, você sabe. E, novamente, se seu filho foi sequestrado e estava detido pelo ISIS, e você não deveria, como americanos, não deveríamos dar dinheiro ao ISIS, você sabe, se a forma de recuperar meu filho fosse um pagamento, e mesmo que eu estivesse fornecendo apoio material a uma organização terrorista, eu estou recuperando meu filho, você sabe. Portanto, não sei se tirar as opções da mesa tornará algo melhor para as empresas.

Raghu Nandakumara 21:43

Sim, não, eu concordo, certo? E eu acho que tem que haver essa flexibilidade para permitir que as organizações tomem a decisão mais prudente. Caso contrário, eles não têm, eu acho, esse arsenal ou as opções disponíveis para pensar completamente nas coisas, certo? E é, e eles podem estar adotando uma abordagem abaixo do ideal. Você falou, tocou no seguro cibernético. E você meio que falou muito sobre seguros e coisas do tipo, e meio que essa é uma área cinzenta, certo, como fornecedor de segurança cibernética, certo? É sempre interessante ter essas conversas sobre como se tivesse um controle instalado? Isso está reduzindo o seguro cibernético? Por quanto? Qual é a obrigação da seguradora em vários cenários, pagamentos e assim por diante? Por exemplo, qual é a sua perspectiva sobre apenas o seguro cibernético em geral, o mercado atual, seja um benefício para as organizações, está fornecendo o tipo certo de cobertura? Esse é um assunto muito vasto. Quais são seus pensamentos?

Brian Boetig 22:45

É muito entediante, e acho que notei tudo o que dou a você. Eu levo isso para o mundo real por um segundo. Então, eu tenho dois motoristas adolescentes e um motorista em seus gêmeos, que estão no meu seguro. Então, meu seguro automóvel, se eles estiverem dirigindo e se envolverem em um acidente. Mesmo que eles não estejam usando o cinto de segurança, o que deveriam, e espero que estejam. O seguro meio que ainda cobre isso. Mesmo que sejamos culpados em um acidente, ele ainda está coberto. Descobri no seguro cibernético que há um período inicial em que muitos provedores e corretores estão procurando ver se havia algo que não foi feito e que exigimos. Agora eu teria que voltar e ler minha apólice de seguro automóvel cibernética, mas eu gosto, e provavelmente diz que você precisa usar o cinto de segurança. Você deve e deve usar o cinto de segurança. Mas o seguro cibernético chega e descobri que, com vários deles, a primeira coisa que eles fazem é tentar descobrir: como vamos deixar de fazer isso? Você não tinha algo que aconteceu porque o custo do pagamento de um cibercrime é muito alto e também é muito limitado sobre o que eles farão. Então, eles trarão alguém, mas só ajudarão você a encontrar o que deu errado e mitigar aquela coisa em particular, mesmo que tenham encontrado outras 10 coisas erradas, ou vão fazer com que você volte a funcionar, mas eles não estão, você sabe, voltar a funcionar é diferente de recuperado, você sabe, e resiliência, geralmente há meses e meses de conserto. Portanto, ele cobre uma parte limitada, ou seja, o que pode ser útil. Mas, muitas vezes, estamos há quatro ou cinco dias em um incidente e ainda estamos tentando descobrir se o seguro cibernético pagará alguma coisa ou como eles o farão. Então, é um campo em evolução, você sabe, que se tornou muito caro porque você está pagando um resgate de 3 milhões de dólares, você sabe, nosso resgate é, exceto coberto por nossa apólice? Bem, eles são, se você fez isso. Então eu acho que as políticas são complicadas, estão ficando cada vez mais complicadas e limitadas e exigindo que as empresas, você sabe, se eu, se meus filhos dirigindo na rua, pegassem um pára-choque, não estivessem usando seu cinto de segurança, seria como, bem, desculpe, você tivesse que estar usando o cinto de segurança. Agora você está mencionando os custos médicos e tudo mais, então não estamos pagando esse em particular. Ou, sim, você não seguiu essa lei de trânsito em particular. Bem, é por isso que sofremos um acidente. Então, sim, é um mundo muito complicado que eu acho que, se você tivesse seguro cibernético agora e pudesse manter essa apólice, eu a manteria porque só posso garantir que vai ficar mais caro.

Raghu Nandakumara 25:14

Quero dizer exatamente o que você expressou sobre a complexidade do seguro cibernético em termos do que ele realmente cobre, e porque, como todos sabemos, o número de incidentes cibernéticos está crescendo, literalmente, diariamente. E, para sentir isso, estamos comprando cada vez mais seguros cibernéticos, mas acho que seus comentários meio que implicam que muito desse investimento em seguro cibernético provavelmente não está nos dando a cobertura que achamos que oferece. O que, eu acho, é preocupante, porque acho que a expectativa é que eu provavelmente esteja coberto nesse nível, enquanto, na realidade, você está coberto aqui, o que significa que é uma enorme lacuna que apenas uma pessoa está pagando, e não é a seguradora.

Brian Boetig 25:59

Há muitos mal-entendidos sobre a apólice de seguro cibernético. Então, uma coisa que fizemos como consultores foi analisar um incidente cibernético e a apólice de seguro cibernético. E, curiosamente, uma das coisas mais difíceis era para a empresa encontrar uma política às vezes. E foi aí que os sistemas nem estavam todos bloqueados por um ransomware. Sabe, eu estava tipo, Ok, onde está a apólice de seguro cibernético. Não sei quem a tem, a DC a tem. Não, ninguém pode encontrá-lo. Então, do lado de um consultor, foi ótimo, porque você pode cobrar por quatro horas enquanto eles estão apenas tentando encontrar uma política. Mas então retirá-lo e tentar percorrê-lo e entender o que está coberto e o que não está coberto foi muito, muito complicado. E então havia muitas e muitas ligações de acompanhamento que você tinha que atender, e até mesmo o corretor às vezes, você sabe, “bem, se você fez isso ou aquilo”. É muito complicado e, na maioria das vezes em que o seguro cibernético era usado em contratos em que eu trabalhava como consultor, eles acabavam tendo que contratar outra pessoa ou pagar do próprio bolso por um trabalho adicional que não estava coberto pela apólice para poder, você sabe, responder a um incidente, mas não cobre necessariamente toda a recuperação e resiliência que demoram meses. Para aquele escritório de advocacia de que falei antes, eles não tinham seguro cibernético, mas tivemos que acabar construindo uma rede totalmente nova para eles enquanto fazíamos o ransomware, estamos criando uma rede totalmente nova para que eles pudessem se comunicar com seus clientes, e era mais fácil simplesmente descartar o sistema antigo e criar um novo, mas isso nunca teria sido coberto pela apólice de seguro.

Raghu Nandakumara 27:32

Isso é loucura. Quero dizer que esse é, literalmente, o pior cenário para uma organização em que, literalmente, toda a sua infraestrutura é inútil porque você simplesmente não pode confiar em nada do que tem lá e precisa construir do zero. Quero dizer, tipo, é algo que você nunca quer ter que fazer, quer ter que fazer. Mas eu me pergunto então, porque obviamente existe todo o conceito de seguro cibernético, e a questão é, tipo, como organização, você o tem? É assim e, obviamente, não deveria ser apenas parte de sua apólice de seguro geral. Você precisa ter um seguro cibernético especializado dedicado que tenha a cobertura certa. Mas você acha que, como resultado disso, provavelmente estamos caindo ou, na verdade, adotando maus hábitos? E o que quero dizer com isso é que estamos procurando mitigar os riscos que temos em nosso ambiente, certo, e investindo nisso. Em vez disso, estamos muito mais focados em encontrar uma apólice de seguro cibernético que basicamente aceite ou apenas transfira o risco dessas vulnerabilidades que não temos e que não corrigimos. Você acha que estamos tentando resolver o problema errado?

Brian Boeing 28:45

Sim, porque o seguro nunca será, nunca será a solução. Sim, exatamente quando falamos sobre risco, você pode aceitá-lo, eliminá-lo, transferi-lo, e transferi-lo não é para a maioria das empresas com as quais lidei, você sabe, nenhuma empresa da Fortune 500, você não pode lidar com isso. E a maioria das empresas de médio porte não quer simplesmente transferir esse risco, porque você está basicamente dizendo que estou disposto a desistir da minha empresa. Espero que você me pague por isso no final do dia. Deve ser um alerta para o investimento que precisa ser feito na rotina regular. É a infraestrutura, a segurança e a privacidade de dados em uma base regular dentro de uma organização. O problema é que, quanto melhor você for, menor a probabilidade de ter um incidente. E então, sem um incidente, você tem muito pouco a mostrar: “Oh, olha do que eu salvei você”. Então, é uma espécie de faca de dois gumes, mas não pode, em um mundo tão interconectado, onde cada empresa tem algum tipo de responsabilidade com a missão e a visão dessa organização, é preciso investir nela. Você precisa investir nisso tanto quanto investiria em sua força de trabalho e no desenvolvimento da força de trabalho e. Enviar pessoas para diferentes treinamentos para coisas que são habilidades sociais. Você está enviando pessoas para um treinamento de liderança ou sobre outras coisas que não são habilidades técnicas, que não são como redigir uma política ou consertar um mecanismo? Mas investir em algumas dessas habilidades sociais é meio que o equivalente funcional de investir nelas de uma perspectiva mais ampla, de uma organização.

Raghu Nandakumara 30:23

E eu acho que nesse sentido, certo? Quero dizer, você falou sobre coisas como a Estratégia Nacional de Segurança Cibernética nos EUA, entre outras coisas. E eu sei que essa parte disso abrange algo interno, como os EUA são próprios, e esses são os setores público e privado. Os controles e as defesas ficam mais fortes, certo? Então, como são essas estratégias? Como eles então entram em um tipo real de execução, certo? Então, meio que vemos essa mudança radical na redução do risco cibernético.

Brian Boeing 30:57

É realmente no nível da suíte C. Tem que ser de cima para baixo. O que é engraçado quando eu estava no FBI e, em 2012-13, dirigia a Força-Tarefa Conjunta Nacional de Investigação Cibernética, que consistia em 40 agências dos EUA. Então acabamos trazendo algumas agências estrangeiras e colaboramos em uma variedade de ameaças diferentes, focando principalmente na China, Rússia e Coréia do Norte, bem como em alguns outros, você sabe, alguns outros lugares. Mas costumávamos trazer CEOs o tempo todo, e foi mais ou menos assim que o período cibernético foi exatamente quando começamos a contratar o setor privado. E antes disso, costumávamos ir a uma empresa e dizer, ei, só quero que você saiba que a Rússia está na sua rede. E eles diriam: Bem, o que você quer dizer? E diga: “Bem, eu não posso te contar mais. É tudo confidencial, mas só para você saber.” E meio que acionou alarmes por lá. E então começamos a doar, entramos no processo de poder conceder autorizações de um dia. Trazemos pessoas e lhes damos instruções confidenciais e dizemos especificamente: “Isso é o que está acontecendo”. Então começamos a informar a suíte C para dizer: ei, percebemos que precisávamos de nossa oportunidade de entender o que está acontecendo no mundo. Se o setor privado, vítima de muitas dessas intrusões e problemas, pudesse nos retribuir. Devemos trazer a suíte C? Novamente, há pouco mais de uma década, alguns desses CEOs não tinham a menor ideia do que estava acontecendo em seu departamento de TI. Naquela época, era apenas “Ah, sim. Eu tenho “Sim”. Meu departamento de TI diz que eu o tenho.” Era, era confiança, mas não confiar e verificar. Era apenas “Ah, sim, o de TI”, era a resposta para tudo, era o “cara de TI, oh, o cara de TI, o cara de TI”. Mas eles não sabiam dizer quem era o cara de TI. Embora ele ainda fosse um membro sênior da organização, ele não foi trazido para o clube. Então, eu vi essa transição nos últimos doze anos e em que a suíte C está ficando muito mais engajada na segurança cibernética. Bem, primeiro, porque eles precisam, porque agora é regulamentado pela SEC e por outras pessoas, o Então, acho que seria um exemplo de uma boa intervenção governamental ou de uma solução regulatória para um problema, porque eu me lembro de trazer, novamente, muitas delas eram empresas da Fortune 500, e as OSCs simplesmente não tinham ideia. Então eu acho que nós, eu acho que temos, eu acho que temos algum tipo de, você sabe, defesa cibernética, você sabe, é como se eles não tivessem ideia. Mas agora você vê, há todo um mercado de consultores que saem e fazem com que as pessoas se familiarizem sobre, você sabe, serem ciberexperientes, eu acho, na diretoria executiva. Mas se não se acredita nisso na diretoria executiva, nunca será resolvido. Isso nunca será resolvido por uma organização. Você não pode aumentá-lo porque não é um, não é um, é um gerador de receita, sim, mas é um gerador de receita indireto e oculto.

Raghu Nandakumara 33:45

Sim, sim, com certeza, sim. E eu concordo, certo? E acho que essa mudança no atual ser cibernético para usar um termo que é usado em demasia, uma preocupação de nível de diretoria, em vez de apenas uma preocupação com a função de TI, causou um impacto significativo, mas acho que nós também, se eu pensar nisso de uma maneira diferente, o líder de segurança, CSO, CSO, qualquer que seja seu título, uma das coisas que os preocupa é que, assim como a segurança é muitas vezes uma função que não necessariamente sofre com a falta de orçamento, certo? Mas o problema é: como posso saber se o orçamento que você está usando, com seu investimento, está resultando em uma redução real na ameaça ou no risco de ataque, certo? Porque vemos todos os tipos desses gráficos, certo? Você pega qualquer pesquisa mais recente sobre o cenário cibernético e vê duas linhas retas, certo? Uma delas é o investimento em cibersegurança, certo? Bom ou como um bom gráfico de crescimento exponencial e, em seguida, o custo dos ataques cibernéticos, certo? Também é um bom gráfico de crescimento, certo? Então, quando acontece. Essa mudança. Quando os investimentos cibernéticos começam a resultar no custo da estabilização cibernética?

Brian Boeing 35:07

Acho que é necessário realmente assumir um risco corporativo. Você sabe, o gerenciamento de estratégias para você precisa considerar o cibersegurança junto com todos os outros riscos de uma organização. Dessa forma, todo gerente de negócios, mesmo aqueles que estão em qualquer área de marketing, entrega ou cadeia de suprimentos ou qualquer outra coisa, o que quer que a empresa tenha que fazer, você realmente precisa analisar isso em toda a empresa. Dessa forma, ao classificar os riscos, você sabe que verá que a TI afeta tudo. Você sabe, se você é o líder de recursos humanos e é responsável por tudo, desde o recrutamento até a aposentadoria, então do berço ao túmulo. RH, existem muitas funções de RH que envolvem riscos de TI, mas o pessoal de TI não pode. O CISO não pode assumir todo esse risco. O RH tem que assumir esse risco. Eles têm que dizer: “Ah, estamos contratando funcionários remotos falsos da Coreia do Norte aqui, e pensamos que todos estavam baseados, você sabe, na Índia”. Você sabe, isso é um problema de RH. Mas há um risco de TI nisso. Ou o diretor financeiro, que está, você sabe, terceirizando e talvez responsável por contratos, e percebendo que, você sabe, fomos enganados. Então, analisando isso de uma empresa e deixando o CISO dizer: “Ei, eu não sou o dono desse risco. Estou aqui para ser seu consultor e ajudá-lo em todos esses riscos”, em vez de tornar uma função única: você é responsável por tudo de TI, tudo em uma organização. É TI, seja recursos humanos, finanças, mas, do ponto de vista da estratégia de risco empresarial, acho que é a única maneira de assumir muitos desses riscos que chamamos de risco, porque na verdade não é um risco de TI, é um risco de RH, ou é um risco financeiro, ou é um risco da cadeia de suprimentos, que não é meu como CISO, só porque tem zeros e uns e fios conectados a ele, esse é o seu risco. Estou aqui para ajudá-lo a gerenciar esse risco, mas sem colocar toda a carga e o ônus sobre o CISO.

Raghu Nandakumara 37:17

Acho que esse é um ótimo ponto, porque acho que, novamente, sinto que o que você está descrevendo aqui é apenas uma evolução, como a perspectiva da organização, certo? Da mesma forma que esse tipo de evolução de ver a segurança como algo além de apenas um problema de TI, precisamos encarar até mesmo o risco cibernético de forma muito mais holística como uma parte essencial do risco corporativo e como o risco cibernético leva a essas outras coisas, de forma que nada seja isolado.

Brian Boeing 37:46

Sim, quando eu dirigia o escritório do FBI em Buffalo, Nova York, e eu costumava, toda segunda-feira de manhã, eu tinha toda a minha liderança lá. Então, havia cerca de 40 pessoas na sala, e nós saíamos e discutimos vários tópicos. Era como se você estivesse em um pulo do Saturday Night Live, porque você saía por aí com o cara que estava falando sobre contraterrorismo, e então a pessoa falava sobre crimes e depois sobre contra-inteligência, e você pegava o cara de Relações Públicas, e então você chegava ao Saturday Night Live, o cara de TI. E você quase podia ver todo mundo abaixando a cabeça e começando a tomar notas, tipo, assim, você sabe quando ele vai falar sobre algo tão técnico, e eu não me importo com isso. Se nossa TI não funcionasse, as pessoas não eram pagas porque não conseguiam dedicar seu tempo. Sim, você não podia consertar os carros, porque, pelo que você sabe, você tinha que programar seu carro por meio de um aplicativo, e o cara de TI era o cara mais importante na sala, e as pessoas simplesmente não reconheciam que todo o trabalho, toda a função, era baseada na capacidade de colocar os dedos no teclado e fazer alguma coisa. Seja procurando nosso analista, você sabe, inteligência por meio de, você sabe, na dark web, mas você quase poderia, você sabe, vê-la. Todos então, você sabe, reservariam esse tempo para, você sabe, reorganizar seus assentos e tudo mais, mas perceber que sua função é aquela que apóia todo o resto na organização realmente aumenta o nível de importância do que essa pessoa faz. E o risco de algo acontecer, é mesmo dele? Quero dizer, se os computadores caírem, sim, ele é o cara. Gritarão com ele, mas os carros não serão consertados, os casos não serão resolvidos e as pessoas não serão pagas.

Raghu Nandakumara 39:17

Sim, sim, com certeza. E, na verdade, falando sobre o tipo de risco e gerenciamento de riscos. Na verdade, há algo interessante. Você o publicou há apenas alguns dias no seu LinkedIn, quando estava em Londres. E mais ou menos isso aconteceu logo após a tragédia da Torre Grenfell, que é uma das grandes tragédias humanas aqui. E para citar você, ou citar seu LinkedIn, você disse: “passando pela torre Grenfell em Londres a caminho de um evento externo, testemunhei um inferno horrível que tragicamente ceifou muitas vidas, e esse evento devastador foi resultado de várias falhas baseadas na suposição de que os piores cenários são meras improbabilidades, enraizado na suposição de que os piores cenários são meras improbabilidades como profissionais de gerenciamento de risco na segurança e setor de segurança, nossa responsabilidade é reconhecer que algum grau de. Os esforços de mitigação são cruciais, mesmo quando a probabilidade de desastre parece minúscula.” E eu acho que, e a razão pela qual cito isso é porque acho que isso é muito importante quando aplicamos riscos cibernéticos e ataques cibernéticos, porque acho que a probabilidade de um ataque bem-sucedido é baixa, mas não zero. E o desafio que temos é que nos esforçamos tanto para prevenir, prevenir, prevenir, que não estamos devidamente preparados para quando essa prevenção falhar. E quando falha, falha em grande escala, e é por isso que precisamos investir muito mais em mitigação, em como podemos conter o impacto? Certo? Essa é a sua perspectiva?

Brian Boeing 40:53

É. Vou levar você de volta aos dois incidentes mais chocantes da minha carreira policial que realmente chocaram minha consciência, que foram inacreditáveis. Foi em 1995, o atentado de Oklahoma City. Eu era policial no Alabama na época, mas me lembro de ligar o noticiário e apenas olhar para o prédio e não pensar que isso fosse possível. E, posteriormente, você sabe, 11 de setembro, você sabe, eu estava em DC na época, vi o primeiro avião atingir a torre, foi uma tragédia horrível. Acidente grave lá. Em seguida, o outro bateu. Eu sabia, Ok, isso é ruim. E então eu fui o primeiro a responder ao Pentágono. Mas isso realmente chocou minha consciência. Isso era algo em que eu não estava pensando, a possibilidade de isso acontecer. Quero dizer, é disso que você fala, possibilidades minúsculas. Agora estou meio que preparado para tudo o que você vê no setor de seguros e saúde. Acabamos de ter o assassinato de um CEO, a execução, você sabe, que provavelmente não foi pensada. Essa era uma daquelas possibilidades minúsculas de isso acontecer, e aconteceu, e agora muda comportamentos. Costumávamos contar às pessoas novamente, na minha época, informando CEOs. Tentei fazer isso de forma meio humorística, quase como uma reunião de AA, em que eu fazia com que eles dissessem: “É normal ser vítima de um ataque cibernético. Não há problema em ser vítima de um ataque cibernético.” Porque esse era meio que o padrão, oh, nunca fomos, você sabe, essa é, novamente, a evolução do que estava acontecendo no cibercrime e o reconhecimento foi que nunca não podemos ser vítimas, porque não podemos ser vítimas de nenhum tipo de ataque. Então, eles diriam que não podemos ser a vítima. E muitas empresas estavam, e então eu as levava até a sala dos fundos e dizia, ei, bem, mostramos onde vemos isso. Você sabe, a China está configurando pontos pop em sua rede. Oh, meu Deus. Portanto, é normal ser vítima de um ataque cibernético, não é certo não estar preparado para mitigar e responder a isso. Então, todas as empresas, quero dizer, todas foram vítimas de um ataque cibernético, quer elas saibam disso ou não, e por isso não é, costumava ser uma espécie de mancha na sua reputação. Agora está tudo bem que eles tenham sido vítimas de um ataque cibernético, mas estavam mantendo 10 anos de dados, ou não perderam dados de clientes ou foram criptografados adequadamente. Então, se você conseguir, aqui estou eu, tenho 30 anos, você sabe, 32 homens armados de 32 anos. Eu ainda posso ser vítima de um crime andando pela rua. Agora, como eu respondo a isso, você sabe, ditaria, você sabe, se eu caísse no chão e começasse, você sabe, a obter a posição fetal, começar a chorar, você sabe, esse é o único fim. Mas você sabe, alguém tem uma arma na minha cara, e eu não tenho uma arma para responder quando eu dou minha carteira. Eu dou a eles o que eles querem. Eu saio. Eu estou vivo. Eu ganhei. Eu posso então recuperar meus cartões de crédito, minha carteira de motorista e tudo mais. Então, como você responde a esse ataque? Mas ser vítima costumava manchar sua reputação, ou pelo menos as pessoas pensavam assim. Então, basta reconhecer que você pode ser, mas a forma como você responde a esse evento ditará a forma como as pessoas olham para você.

Raghu Nandakumara 43:51

Sim, acho que isso está brilhantemente corrigido, e acho que falamos sobre isso, é como adotar uma abordagem de Zero Trust de como, por exemplo, uma estratégia de Zero Trust para informar como você constrói suas defesas de segurança cibernética. E, novamente, acho que isso também está enraizado nisso, certo? Está enraizado no fato de que o invasor encontrará uma maneira de entrar no ambiente da sua organização, certo? Então, um Zero Trust, a adoção do Zero Trust significa: como podemos garantir que eles não possam se movimentar e acessar as coisas livremente, certo? Estamos preparados para alguém ser um intruso, estar em nosso ambiente e ser capaz de restringir o que pode fazer? E acho que todo o impulso crescente pela resiliência cibernética que vemos meio que impulsionado, na verdade, do Fórum Econômico Mundial para baixo, certo? Novamente, o que está muito bem é que está tudo bem. Na verdade, você provavelmente será vítima de um ataque cibernético, mas você absolutamente não pode dizer que não está preparado para lidar com isso. Acho que essa afirmação, Brian, que você forneceu, é super forte. Então, agradeço muito isso. E, na verdade, aquele ponto antes de nós. Resumindo, há uma coisa que eu quero te perguntar, você mencionou extraterritorial, mas você teve um lapso de língua e mencionou extraterrestre. Então, o que realmente está na Área 51?

Brian Boeing 45:13

Bem, eu conhecia o xerife que trabalhava lá. Sim, na verdade era um dos alunos, uma das turmas. É engraçado porque havia um programa que você talvez se lembre, chamado The X Files, e provavelmente será, provavelmente será regenerado de um lado para o outro. O FBI não tinha, eles não têm Arquivos X. Não há arquivos X. Eles não têm nenhum arquivo, que é para onde você envia. Às vezes, também é conhecido como arquivo circular ou lixeira. Mas tudo o que entra é gravado e gravado. E uma vez me deparei com um incidente em que alguém estava relatando que tinha visto algo extraterritorial. Então, como o faziam, nós o anotávamos e o colocávamos em um arquivo zero, e então a pessoa se virava e apresentava uma solicitação da Lei de Liberdade de Informação para ver se tínhamos alguma informação sobre isso. E como o colocamos no arquivo zero, isso validou sua própria preocupação. Ele disse: “Ah, eles têm informações sobre isso”, mas eram apenas informações dele. Então ele, nós devolvíamos para mim e dizíamos: Oh, você tem que ter mais. Mas como ele apresentou informações ao orador, agora havia mais por causa da solicitação recebida. Então, foi apenas essa reportagem circular. E o cara diria, não, eles têm, sim, eles têm informações sobre isso. Bem, é exatamente sim, então é engraçado como isso meio que acontece. Mas no mundo atual das aeronaves aéreas não tripuladas, e no que você viu acontecendo ou sendo relatado em Nova Jersey, existe, e, você sabe, a criação da Força Espacial nos EUA, há, você sabe, a oportunidade de aprender e ver muito mais coisas que acontecerão. Você sabe, conversamos sobre o, eu falei muito sobre o mundo físico no ciberespaço, mas há um mundo acima do solo e acima dos edifícios que se tornará, quando você olha para a Uber e outras empresas, você sabe, começar a olhar para, você sabe, voar, você sabe, pessoas de um lugar para outro. Então, é um mundo totalmente novo que, novamente, entra na lança do que eu falei sobre Oklahoma City e 11 de setembro, meio que, você sabe, é chocante para a consciência quando você, quando vejo pela primeira vez, você conhece alguém, você sabe, minha filha saiu do aeroporto, você sabe, e em um drone voador que fica na porta aqui. Quero dizer, não estamos, não estamos muito longe de coisas assim.

Raghu Nandakumara 47:16

Com certeza, bem, Brian, foi um prazer falar com você para ouvir sobre suas experiências, por nos contar a história mais divertida que tivemos no podcast. Mas, além disso, existem muitas perspectivas realmente perspicazes sobre seguros cibernéticos, mitigação de riscos cibernéticos, construção de resiliência e como pensamos sobre os atacantes. Muito obrigado pelo seu tempo.

Brian Boeing 47:43

Bem, obrigado pela oportunidade e obrigado pelo que você faz, garantindo que outras pessoas tenham as melhores informações possíveis para tomar as melhores decisões possíveis para si mesmas e para sua organização. Então, obrigado.

Raghu Nandakumara 47:53

Muito obrigado, Brian. Obrigado por assistir ao episódio desta semana do The Segment para obter ainda mais informações e recursos do Zero Trust. Confira nosso site em illumio.com. Você também pode se conectar conosco no LinkedIn e no Twitter da Illumio e, se gostar da conversa de hoje, poderá encontrar nossos outros episódios onde quer que você obtenha seus podcasts. Sou seu anfitrião, Raghu Nandakumara, e voltaremos em breve.

‍