Como podem os MSPs garantir a sua própria cibersegurança?

Os fornecedores de serviços geridos (MSPs) estão na vanguarda da prestação de serviços de cibersegurança. Eles fornecem e adquirem proteções periféricas vitais para a maioria dos seus clientes como parte dos seus pacotes de serviços.

No entanto, os MSPs são vulneráveis a ataques, e se ocorrer uma violação, isso pode expor os seus clientes e todas as suas informações valiosas e segredos comerciais. É por isso que os MSPs são alvos tentadores para hackers. Têm ocorrido alguns incidentes que chamaram a atenção, violando a segurança de MSPs, desde os maiores aos menores, mostrando que ambos estão igualmente em risco.

Como podem os MSPs proteger os seus próprios perímetros?

Adam Ennamli é o Diretor de Risco e Segurança no General Bank of Canada. Supervisiona a evolução e gestão de todos os programas de risco em toda a empresa. Ele partilhou as suas ideias com o SmarterMSP.com sobre como os MSPs podem manter-se seguros.

Os MSPs são fundamentais para a cibersegurança dos seus clientes, mas também são alvos principais para os atacantes, afirma Ennamli, acrescentando que parte do risco cibernético é, na verdade, transferido para eles, pelo que proteger-se a si mesmos também inclui proteger os seus clientes. “Por conseguinte, devem adotar uma postura de segurança robusta.” Ele observa que um programa de segurança robusto para MSPs deve incluir:

• Implementar princípios de zero trust - ou seja, limitar o acesso apenas ao que é necessário e monitorizar constantemente qualquer atividade incomum.
• Estabelecimento de controlos pragmáticos e testados para ferramentas de acesso remoto.
• Manter o ritmo para auditorias.
• Intensificar a educação prática.

Ennamli explica que os controlos de segurança essenciais que são inegociáveis para os MSPs incluem segmentação de rede, backups em várias camadas e monitorização constante. “Os MSPs podem garantir que as suas defesas são tão fortes quanto os serviços que prestam, demonstrando uma implementação eficaz, cumprindo os padrões do setor com medidas de conformidade verificáveis e estando à frente das ameaças emergentes.” Ele acrescenta que os MSPs enfrentam uma escolha quando se trata de segurança. Podem gerenciá-la internamente ou contratar outro MSP.

“A decisão depende dos seus recursos e expertise e, em última análise, a convergência do mercado deve ser um risco que alguém precisa monitorizar - ou seja, se todos os MSPs começarem a delegar entre si, todo o risco de proteção convergirá para um punhado de atores, levando a um forte risco de concentração”, partilha Ennamli. Ele observa que, enquanto alguns MSPs têm as competências para gerir a sua segurança internamente, outros podem beneficiar da subcontratação a um fornecedor especializado para auditorias, caça de ameaças ou proteção avançada. “Uma abordagem híbrida—combinando gestão interna com expertise de terceiros—pode oferecer o melhor dos dois mundos.” Ele destaca que, fundamentalmente, princípios como transparência, parceria e melhoria constante serão a chave para manter a confiança do mercado e permanecer seguro no cenário de ameaças.

Informações adicionais

Bob Leonard é um especialista independente em cibersegurança que trabalha com MSPs na sua segurança. Ele diz que a chave para o sucesso é que os MSPs precisam tratar-se a si próprios como tratariam um dos seus clientes. “E se não conseguirem fazer isso, então devem terceirizar para outros MSPs. Alguns MSPs, quer sejam lojas de uma só pessoa ou grandes empresas – estão ‘demasiado próximos’, estão demasiado ligados emocional e economicamente ao seu próprio bem-estar, o que afeta a sua tomada de decisões.”

Para um MSP ser bem-sucedido com a sua própria segurança, tem de adotar uma abordagem clínica, não emocional e não económica. “Um MSP não pode considerar nada além de `qual é o melhor plano de cibersegurança para o nosso negócio’, qualquer coisa menos do que isso compromete todos os seus clientes”, diz Leonard.

Leonard partilha que a CISA oferece boas dicas e passos para MSPs que desejam fazer eles próprios o trabalho internamente. “Mas, geralmente, recomendo que um MSP terceirize a sua própria segurança. Existem bons argumentos de ambos os lados. Embora ninguém tenha mais em jogo na sua segurança do que o MSP, eles estão frequentemente demasiado próximos da situação. Têm demasiado em risco para lidar com isso de forma eficaz e sem emoção.”

Os MSPs são alvos principais para ciberataques. Para se protegerem, devem adotar medidas de segurança fortes, como zero trust, controlos de acesso remoto e auditorias regulares.

Nota: Isto foi originalmente publicado em SmarterMSP.com.