MSP e relações com os clientes

A CISA – Agência de Cibersegurança e Infraestruturas norte-americana lançou recentemente um relatório sobre Fornecedores de Serviços Geridos (MSP - Managed Service Providers). A agência reconhece que os MSP desempenham um papel crítico nos negócios, ao fornecerem serviços de IT que, de outra forma, seriam demasiado dispendiosos ou tomariam demasiado tempo e recursos.

No entanto, o relatório também alerta para que os MSP expandem a superfície de ataque e podem ser um vetor de entrada para ciberataques a cadeias de fornecimento: um crescente número de cibercriminosos está a focar-se nestes como alvo preferencial, como demonstrado pelo incidente de ransomware contra a empresa Kaseya, sobre o qual já escrevemos no blog.

De falto, a CISA recorda que os grupos mais avançados de APT estão a aplicar técnicas de ‘Living Off The Land’, que tiram vantagens das ferramentas dos MSP para extraírem dados ou controlarem os sistemas dos seus clientes.

Por conseguinte, o objetivo do documento publicado é fornecer diretrizes para que as organizações públicas e privadas possam mitigar os potenciais riscos de externalização dos seus serviços informáticos.

Decisões estratégicas, operacionais e táticas

Este relatório apresenta as considerações e as melhores práticas para os três grupos dentro das empresas que têm um papel a desempenhar na redução dos riscos de cibersegurança: executivos seniores (decisões estratégicas), profissionais de procurment (decisões operacionais) e técnicos de IT e pessoal da cibersegurança. As principais recomendações para estas categorias profissionais são:

Decisões estratégicas:

As empresas devem analisar se é rentável subcontratar serviços de IT, tendo em conta os requisitos de cibersegurança e os limiares de risco.
Recomenda-se que os executivos seniores forneçam a informação adequada caso decidam externalizar os serviços.
É importante estabelecer quem é o responsável pela segurança e pelas operações quando existem serviços em regime de outsourcing.
Deve ser desenvolvido um plano específico para proteger os ativos mais críticos da empresa contra todos os riscos potenciais dos MSP.

Decisões operacionais

Os requisitos definidos pelos diferentes departamentos e executivos (CIO, CISO, COO, entre outros) devem ser considerados ao selecionar um fornecedor.
No contrato e no SLA - Service Level Agreement, o fornecedor deve indicar, de forma clara, todos os elementos relacionados com os riscos associados e a cibersegurança para os serviços prestados.

Decisões táticas

As permissões e níveis de acesso que os MSP terão nas redes e sistemas das empresas devem ser pensadas tendo em conta fatores como o acesso a ativos sensíveis.

Neste sentido tático, a CISA também recomenda uma série de medidas de cibersegurança específicas relacionadas com os MSP. A WatchGuard providencia soluções que respondem a muitas destas preocupações:

Utilização de soluções de backup para restaurar o serviço em caso de incidente o tão depressa quando possível, com o menor impacto possível nas operações da empresa.
Atualizações constantes do software da empresa.
Monitorização constante das redes, especialmente das redes a que os MSP têm acesso total.
Ferramentas abrangentes de proteção, deteção e resposta nos endpoints.
Utilização de uma VPN específica para a ligação à infraestrutura do MSP.
Exigência de autentificação multifatorial quando os MSP se ligam às redes e sistemas da empresa.

Em última análise, estas recomendações levam-nos à conclusão de que, na escolha de um MSP, é essencial que a cibersegurança seja um pilar da sua estratégia e das suas relações com os clientes, e não apenas uma característica ou serviço. Na WatchGuard, oferecemos um programa específico para os parceiros que adotam esta abordagem. Desta forma, os parceiros e clientes crescem juntos e com a paz e espírito que advém de ter uma cibersegurança abrangente e fácil de gerir.