O e-mail é um fluxo de trabalho entre domínios no setor da defesa
Para as organizações de defesa, o correio eletrónico constitui um fluxo de trabalho para a coordenação de missões, a colaboração na cadeia de abastecimento, o intercâmbio com coligações e parceiros e a transmissão de documentos operacionais confidenciais entre domínios de segurança.
Essa realidade altera a questão que os responsáveis pela segurança têm de colocar. A questão passa de «Este e-mail é malicioso?» para «Este conteúdo está autorizado, devidamente classificado e é seguro transferi-lo de um ambiente para outro?»
O que é permitido fazer mudar é tão importante quanto o que é malicioso
Os controlos tradicionais de e-mail foram concebidos para identificar indicadores conhecidos de comprometimento, remetentes suspeitos e cargas maliciosas. Esses controlos são extremamente importantes, mas, em ambientes de defesa, representam apenas uma parte da decisão.
Um ficheiro pode parecer inofensivo e, mesmo assim, representar um risco se a marcação de classificação, os metadados incorporados, a etiqueta ou o conteúdo sensível não corresponderem ao domínio de destino. É aí que a segurança do correio eletrónico se torna indissociável da política de divulgação, da prevenção da perda de dados, da segurança entre domínios, da auditabilidade e da garantia da missão.
Os anexos maliciosos transformam fluxos de trabalho fiáveis em riscos operacionais
Os atacantes sabem identificar os pontos de pressão nos fluxos de trabalho de confiança. Uma mensagem proveniente de um fornecedor conhecido, de um parceiro de missão ou de uma conta interna pode conter um remetente falsificado, uma identidade comprometida, um anexo encriptado, uma macro maliciosa ou uma isca para obter credenciais que pareça suficientemente rotineira para circular rapidamente pela organização.
Para as equipas de defesa, a preocupação prática é saber se um anexo com aparência fiável pode desviar informação sensível para o fluxo de trabalho errado antes que alguém tenha contexto suficiente para o impedir. O conteúdo recebido tem de ser inspecionado antes da entrega, e o conteúdo enviado necessita de uma decisão de aprovação antes de sair do domínio. Assim que o conteúdo atravessa um limite, o incidente passa de uma questão puramente técnica para uma questão operacional, probatória e regida por políticas.
A IBM constatou que a deteção e a escalada, juntamente com a perda de negócios, representaram 63% do custo médio de uma violação, que subiu 12% em relação ao ano passado, atingindo um valor recorde de 4,99 milhões de dólares. Num contexto de defesa, as questões mais complexas são frequentemente mais específicas: O que foi transferido? Para onde foi transferido? Que política de classificação ou divulgação permitiu isso? A decisão foi registada? E a organização consegue explicá-la durante uma auditoria, um processo de autorização ou uma análise pós-incidente?
Leia primeiro a classificação e, depois, decida o que pode ser movido
Uma abordagem que privilegia a prevenção começa por tratar cada mensagem e anexo de saída como uma decisão de autorização de envio, e cada mensagem de entrada como uma decisão de entrega. Qual é a classificação? O conteúdo contém segredos, dados regulamentados ou informação restrita? O anexo contém conteúdo ativo, código malicioso ou comportamento oculto? Deve ser bloqueado, colocado em quarentena, sanitizado ou autorizado?
O MetaDefender™ Email Gateway Security aplica controlos em camadas ao conteúdo de e-mail, metadados e anexos, combinando funcionalidades como a classificação de segurança, o Proactive DLP™, o Metascan™ Multiscanning, Adaptive Sandbox, e a tecnologia Deep CDR™ para ajudar as equipas a aplicar as políticas antes de o conteúdo chegar aos utilizadores ou atravessar domínios.
Criar controlos em torno dos fluxos de trabalho da missão
A segurança do correio eletrónico no setor da defesa deve apoiar a forma como as equipas de missão operam na prática. Isso significa uma troca segura de informações entre organizações, fornecedores e parceiros da coligação, com políticas aplicadas nos limites de classificação de segurança, a par de soluções acreditadas que abrangem vários domínios. Significa controlos capazes de funcionar em ambientes locais, isolados ou com separação física (air-gap). Significa analisar anexos encriptados e protegidos por palavra-passe antes da sua entrega na caixa de entrada. E significa reduzir a triagem manual através de uma libertação orientada por políticas, preservando simultaneamente as provas de cada decisão.
Cinco perguntas que os responsáveis pela segurança na área da defesa devem colocar
- A camada de segurança do e-mail consegue identificar as classificações «OFICIAL», «SECRETO» e «ULTRA-SECRETO» nos anexos?
- O conteúdo dos e-mails, os metadados e os anexos são analisados para detetar a presença de informações confidenciais, dados sujeitos a regulamentação e violações das políticas de divulgação antes de saírem do domínio?
- É possível reconstruir e higienizar os anexos, de modo a que os documentos da missão continuem a ser partilhados com um risco menor associado ao conteúdo ativo?
- Será possível analisar ficheiros encriptados, protegidos por palavra-passe, de «zero-day» e evasivos antes de chegarem às caixas de entrada, sem depender de um único motor de deteção?
- É possível registar todas as decisões relativas a bloqueios, quarentenas, higienização ou libertação para efeitos de auditoria, autorização e garantia?
Tornar o e-mail um ponto de troca controlado
A segurança do correio eletrónico no âmbito da defesa não deve limitar-se apenas à filtragem de spam ou à deteção de malware. Deve funcionar como um ponto de intercâmbio controlado para a comunicação de missões, a proteção de dados, a segurança entre domínios e a garantia de divulgação.
Assim, o próximo passo é perguntar se a camada de segurança do e-mail consegue ler o conteúdo, compreender o contexto da política, neutralizar o risco sempre que possível e apresentar as provas necessárias para justificar cada decisão de autorização de envio.
