“Qual pratinho você segura?”: CISO da Americanas fala sobre decidir no escuro durante um ataque

Três ou quatro dias sem dormir, equipes trabalhando de máscara e reuniões em estacionamentos para reduzir o risco de contágio.

É assim que Silvio Hayashi , hoje diretor de Segurança da Informação (CISO) da Americanas , lembra a resposta ao ataque cibernético que atingiu o Grupo Fleury em 2021, quando ele trabalhava na companhia.

O episódio aconteceu em plena pandemia de Covid-19, quando os serviços de saúde já operavam sob forte pressão.

Na ocasião, o acesso aos resultados de exames ficou fora do ar por cerca de uma semana, e o grupo REvil reivindicou a autoria do ataque.

Oficialmente, o Fleury tratou o caso como uma tentativa de ataque cibernético .

Hayashi contou essa experiência durante uma exibição para a imprensa do documentário Midnight in the War Room , promovida pela Semperis , empresa especializada em segurança e recuperação de sistemas de identidade.

Ao lado de Fernando Oliveira, vice-presidente da Semperis para a América Latina , o executivo falou sobre o que acontece dentro das empresas quando um ataque tira os sistemas do ar e as decisões chegam à presidência.

Decidir com informação incompleta Para Hayashi, a maior dificuldade é decidir sem ter o quadro completo.

Durante um incidente, a equipe pode levar tempo para descobrir como os criminosos entraram, quais sistemas foram comprometidos e quanto tempo será preciso para restabelecer as operações.

“Uma das coisas mais difíceis para um CISO é decidir onde proteger, que ação tomar, qual pratinho segurar.

Como equilibrar o apetite de risco? Como preparar os executivos para tomar decisões na incerteza? Não vejo muito disso acontecendo”, afirma.

Leia também: Corrigir falhas de segurança pode não impedir ataques às empresas A segurança vai para a sala da presidência Segundo Oliveira, os profissionais de cibersegurança da região têm dificuldade para explicar os riscos digitais a quem toma as decisões estratégicas.

Quando um ataque compromete sistemas essenciais, as reuniões de crise passam a envolver presidentes, vice-presidentes e diretores financeiros.

Eles querem entender por que as ferramentas de proteção não evitaram o incidente.