Já estamos carecas de saber (saudação especial a Leandro Karnal) que o mundo se encontra assente sobre uma tendência de digitalização praticamente sem retorno. Com isso, mais e mais dependentes das grandes multinacionais tecnológicas nos vamos tornando também.
Porém, como praticamente tudo em excesso tem o seu prejuízo, um evento bastante recente impactou as nossas vidas provocando, em muitos casos, efeitos inesperados e catastróficos.
Acontecimentos do género fazem-nos reflectir sobre a importância da segurança e estabilidade dos sistemas digitais que utilizamos diariamente, sendo fundamental estarmos conscientes dos riscos e estarmos preparados para lidar com as possíveis consequências.
Aos 19 de Julho de 2024, uma actualização pré rotinada de um componente do software da CrowdStrike, uma empresa líder de cibe segurança, levou à disrupção no provimento de vários serviços tecnológicos a nível de vários sectores.
A actualização estava destinada para o Falcon Sensor, um produto daquela empresa e que actua como uma camada de defesa essencial na detecção e prevenção de ciberataques, colhendo informações sobre processos, eventos de sistema, rede e outros dados relevantes para a segurança de determinada infra-estrutura.
Essa actualização correu, ainda que inadvertidamente, tão mal, provocando o temeroso, já “mais velho” e infame “BSOD (blue screen of death)”, ou seja, pânico do Kernel, sobre aproximadamente 8,5 milhões de computadores Windows.
Uma ocorrência que paralisou as operações em sectores que vão desde a saúde à aviação, com consequências imediatas e graves.
O efeito cascata da disrupção fez-se sentir em múltiplas latitudes. Hospitais reportaram atrasos nas intervenções agendadas, companhias aéreas foram obrigadas a cancelar voos e vários negócios viram-se diante de períodos de baixa dos seus sistemas por um tempo significativo.
Por exemplo, um hospital no Reino Unido teve de suspender os tratamentos por intermédio de radiografia, instituições financeiras como bancos na Índia, África do Sul e na Tailândia tiveram de interromper as suas operações. Inclusive a Bolsa de Valores de Londres viu-se afectada por tal evento.
Como referido anteriormente, a interrupção dos serviços oferecidos pelas gigantes tecnológicas, como a CrowdStrike, Microsoft, Google, Amazon, Apple e Progress, em consequência de eventos como o MOVEit e o Log4j, independentemente da sua origem técnica ou de serem o resultado de ciberataques, tem repercussões globais significativas.
Esta situação leva-nos a reflectir sobre a centralização de serviços críticos e o consequente aumento do risco de pontos únicos de falha (SPOF), o que eleva a vulnerabilidade dos sistemas que dependem destes serviços.
Há quem considere, em face ao reportado incidente, que se estimam danos financeiros na órbita dos 24 bilhões de dólares norte-americanos. Adicionalmente e para concluirmos a primeira parte do nosso texto, os serviços em nuvem da Azure (Microsoft), foram impactados na decorrência de um dispositivo de rede mal configurado.
Provocando um efeito dominó sobre as tabelas de routing (tornando serviços inacessíveis para muitos utilizadores, tais como o Microsoft 365).
Quando analisamos o sucesso destes colossos da tecnologia, não podemos limitá-lo apenas à sua capacidade de estabelecer monopólios no sector.
É fascinante observar como estas empresas inovam, expandem as suas operações e se inserem de forma tão impactante no nosso quotidiano e nas dinâmicas empresariais.
Contudo, surge a questão: até que ponto podemos confiar plenamente na consistência e robustez das soluções que oferecem?
Face aos recentes acontecimentos disruptivos, é imperativo reflectirmos sobre as estratégias mais eficazes para lidar com tais perturbações nos negócios. Neste sentido, a dependência destes serviços requer uma abordagem estratégica e equilibrada, aliando a expertise técnica/funcional das engenharias a planos de contingência meticulosamente elaborados.
Pensamento Estratégico e Expertise Funcional: Um caminho sólido para lidar com perturbações em serviços críticos devido à dependência dos colossos tecnológicos
No âmbito do pensamento estratégico, torna-se fundamental considerar a capacidade de antecipar e responder de forma proactiva a possíveis perturbações nos serviços críticos, causadas pela centralização destes serviços nas grandes empresas tecnológicas. Isto implica identificar, por um lado, vulnerabilidades através da realização de auditorias de segurança, análises de risco e pentests.
Estabelecer planos de contingência e assegurar a continuidade operacional mesmo perante interrupções nos serviços essenciais por intermédio da criação de procedimentos detalhados para lidar com situações de emergência, inclusive a definição de responsabilidades claras e um curso de acções a serem tomadas na decorrência de vários cenários adaptados a cada contexto, é de igual modo recomendável.
Por outro lado, a expertise funcional torna-se crucial para uma compreensão aprofundada das especificidades dos serviços prestados por estes gigantes tecnológicos e para a procura de alternativas viáveis que possam mitigar os impactos negativos em caso de falhas ou interrupções inesperadas.
Ou seja, o conhecimento especializado neste contexto específico possibilita o desenvolvimento de estratégias eficazes de gestão de crises e garante a resiliência dos serviços críticos face a potenciais cenários disruptivos.
Deste modo, ao integrar o pensamento estratégico, que proporciona uma visão abrangente e orientada para o futuro face à dependência destas grandes empresas tecnológicas, com a expertise funcional necessária para implementar planos de contingência eficazes, as organizações podem estar mais preparadas para enfrentar desafios inesperados e manter a estabilidade operacional em cenários de disrupção.
Assim sendo, esta abordagem integrada entre o pensamento estratégico e a perícia funcional é essencial para garantir a resiliência dos serviços críticos face à dependência centralizada nestes entes tecnológicos ora mencionados.
Em síntese, a gestão eficaz destas situações complexas requer uma combinação equilibrada e competente entre a visão estratégica e o conhecimento técnico especializado.
Como o estimado leitor pôde constatar, a acção resultante da conjugação dos esforços destes dois perfis de intervenção emerge de um sólido plano de governação que não deve desconsiderar a gestão do risco cibernético dentro de uma perspectiva holística no alinhamento estratégico dos diversos objectivos empresariais.
Isto inclui a definição adequada e atempada dos controlos de mitigação de riscos, a redução do impacto de cada evento disruptivo associado a cada recurso listado e, não menos importante, a gestão eficiente e contextualizada de toda a informação que suporta operacionalmente o negócio.
Assim, dado que só podemos gerir aquilo que sabemos que existe, o mero conhecimento da existência de algo não é suficiente para desenvolver um plano de gestão coerente alinhado com os propósitos específicos.
Por isso, é essencial definir métricas e observá-las através de algo que é muitas vezes negligenciado entre nós: a definição de protocolos de reporting às partes interessadas sobre ocorrências contextualizadas com os temas aqui abordados.
Ao criar robustez com a adopção desta prática, estaremos certamente a estruturar melhor todo um ecossistema que não substitui o factor humano, mas antes o complementa.
Por fim e para que se lance efectivamente o debate assente sobre o aqui discorrido, deve-se agir sob a noção de que as nossas acções ou omissões estão sujeitas a uma responsabilidade legal, ainda que divulgadas de modo tácito.
Como tal e mesmo para concluir, a prevenção de interrupções generalizadas requer uma combinação de monitorização contínua, testes rigorosos de actualizações de software e comunicação transparente para manter a confiança.
Além disso, a realização de testes minuciosos nas configurações de rede e sistemas de fallback ou de contingência, juntamente com a implementação de sistemas mais isolados, é fundamental para impedir a propagação de problemas em ambientes interligados.
Lembremo-nos, pois, que o recente incidente destaca a necessidade urgente de resiliência e preparação no panorama digital actual, enfatizando a importância de estratégias sólidas para proteger as nossas infra-estruturas de TI, protegendo assim a continuidade do negócio.
Notas finais:
Retenhamos que a rápida resposta da CrowdStrike…
Merece:
Serve de:
Ensina-nos que:
Recomenda que:
Agora vamos debater…
*Engenheiro e Pós-graduado em Cibersegurança pela Universidade Europeia
