Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Tradutor: Rui Bisneto Revisor: Carolina Ragazzi de Aguirre

Today, I'm going to talk about a shameful topic.

Hoje, falarei sobre um tópico vergonhoso.

This has happened to many of us, and it's embarrassing,

Já aconteceu com muitos de nós e é constrangedor,

but if we don't talk about it, nothing will ever change.

mas se não falarmos sobre isso, nada irá mudar.

It's about being hacked.

É sobre ser invadido.

Some of us have clicked on a phishing link and downloaded a computer virus.

Alguns clicaram em um link de phishing e baixaram um vírus de computador.

Some of us have had our identities stolen.

Alguns tiveram sua identidade roubada.

And those of us who are software developers

Nós que somos desenvolvedores de software

might have written insecure code with security bugs in it

poderíamos ter escrito um código inseguro com problemas de segurança

without realizing it.

sem dar-se conta.

As a cybersecurity expert,

Como perita em segurança cibernética,

I have worked with countless companies on improving their cybersecurity.

trabalhei em incontáveis empresas para melhorá-las.

Cybersecurity experts like me have advised companies

Especialistas em segurança cibernética como eu têm aconselhado empresas

on good cybersecurity practices,

sobre boas práticas,

monitoring tools

ferramentas de monitoramento e comportamento adequado.

and proper user behaviors.

But I actually see a much bigger problem that no tool can fix:

Mas na verdade vejo um problema maior que nenhuma ferramenta pode consertar:

the shame associated with the mistakes that we make.

a vergonha associada aos erros que cometemos.

We like to think of ourselves as competent and tech savvy,

Gostamos de pensar que somos competentes e temos conhecimento técnico,

and when we make these mistakes that can have a really bad impact

e quanto cometemos estes erros pode ter um impacto muito ruim

on us and our companies --

sobre nós e nossas empresas;

anything from a simple annoyance,

desde um simples aborrecimento

to taking a lot of time to fix,

que leva muito tempo até consertar,

to costing us and our employers a lot of money.

até custar muito dinheiro para nós e nossos empregados.

Despite billions of dollars that companies spend on cybersecurity,

Apesar dos bilhões de dólares gastos em segurança cibernética,

practitioners like me see the same problems over and over again.

profissionais como eu veem os mesmos problemas se repetirem.

Let me give you some examples.

Deixe-me dar alguns exemplos.

The 2015 hack of Ukrainian utilities

A invasão em 2015 dos serviços ucranianos

that disconnected power for 225,000 customers

que desconectou a energia de 225 mil clientes

and took months to restore back to full operations

e levou meses para restaurar completamente as operações

started with a phishing link.

começou por um link de phishing.

By the way, 225,000 customers is a lot more 225,000 people.

A propósito, 225 mil clientes é muito mais do que 225 mil pessoas.

Customers can be anything from an apartment building

Clientes podem ser tudo: um prédio de apartamentos,

to an industrial facility

uma instalação industrial,

to a shopping mall.

um centro comercial.

The 2017 data breach of Equifax

A quebra de dados da Equifax em 2017

that exposed personally identifiable information

expôs informação pessoal identificável

of 140 million people

de 140 milhões de pessoas

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

e poderia acabar custando à Equifax algo na ordem de US$ 1,4 bilhões:

that was caused by an exploitation of a well-known vulnerability

isso foi causado pela exploração de uma vulnerabilidade bem conhecida

in the company's customer consumer complaint portal.

pelo cliente da empresa no portal de reclamações.

Fundamentally, this is about technology and innovation.

Fundamentalmente, trata-se de tecnologia e inovação.

Innovation is good; it makes our lives better.

Inovação é bom, torna nossa vida melhor.

Most of the modern cars we drive today are fundamentally computers on wheels.

Os carros mais modernos que dirigimos hoje são, sobretudo, computadores sobre rodas.

They tell us where to go to avoid traffic, when to take them in for maintenance

Nos dizem o caminho para evitar tráfego, quando devemos enviá-lo à manutenção

and then give us all kinds of modern-day conveniences.

e nos dão todos os tipos de conveniência dos tempos modernos.

Many people use connected medical devices like pacemakers

Muitas pessoas usam dispositivos médicos conectados como marca-passos

and glucose monitors with insulin pumps.

e monitores de glicose com bombas de insulina.

These devices make these people's lives better

Estes dispositivos fazem as pessoas viverem melhor

and sometimes even extend their lives.

e às vezes até estendem suas vidas.

But anything that can be interconnected can be hacked when it's connected.

Mas, tudo que está interconectado pode ser invadido quando está conectado.

Did you know that the former US Vice President Dick Cheney

Você sabia que o ex-vice-presidente dos EUA, Dick Cheney,

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

deixou o marca-passo desconectado do Wi-Fi antes de receber o transplante de coração?

I will let you figure out why.

Deixarei você descobrir o porquê.

In a digitally interconnected world, cyber risks are literally everywhere.

Em um mundo conectado digitalmente, riscos cibernéticos estão por toda parte.

For years, my colleagues and I have been talking about

Por anos, meus colegas e eu falamos

da noção da cultura da segurança cibernética.

this elusive notion of cybersecurity culture.

Cybersecurity culture is when everybody in the organization

Essa cultura acontece quando todos na organização

believes that cybersecurity is their job,

acreditam que a segurança cibernética é seu trabalho,

knows what to do and what not to do

sabem o que fazer e o que não fazer

and does the right thing.

e fazem a coisa certa.

Unfortunately, I can't tell you which companies do this well,

Infelizmente, eu não posso dizer qual empresa faz isso bem

because by doing so, I would put a juicy target on their backs

porque, ao fazer isso, eu colocaria um alvo suculento em suas costas

for ambitious attackers.

para atacantes ambiciosos.

But what I can do is make cybersecurity less mysterious,

Mas, o que eu posso fazer é deixar a segurança cibernética menos misteriosa,

bring it out into the open and talk about it.

trazendo-a à tona e falando sobre ela.

There should be no mystery or secrecy within an organization.

Não deve haver mistério ou sigilo dentro de uma organização.

When something is invisible and it's working,

Quando algo é invisível e funciona,

we don't know that it's there until it's not there.

não sabemos que está lá até que não esteja.

Kind of like toilet paper.

Como o papel higiênico.

When the COVID-19 pandemic began,

Quando a pandemia da COVID-19 começou,

what has been there all of a sudden became super important

o que estava lá de repente tornou-se superimportante,

because we couldn't find it anywhere.

porque não conseguimos encontrá-lo.

Cybersecurity is just like that:

A segurança cibernética é exatamente assim:

when it's working, we don't know, and we don't care.

quando está funcionando, nós não sabemos e não nos importamos.

But when it's not working,

Mas quando não está funcionando, pode ser muito ruim.

it can be really, really bad.

Toilet paper is pretty straightforward.

Papel higiênico é bastante simples.

Cybersecurity is mysterious and complex.

A segurança cibernética é misteriosa e complexa.

And I actually think it starts with the notion of psychological safety.

E eu realmente acho que começa com a noção de segurança psicológica.

This notion was popularized by an organizational behavior scientist,

Esta noção foi popularizada por uma cientista de comportamento organizacional,

Amy Edmondson.

Amy Edmondson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

Amy estudou a conduta das equipes médicas em situações de alto risco em hospitais,

where mistakes could be fatal.

onde erros podem ser fatais.

And she found out that nurses were not comfortable

Ela descobriu que as enfermeiras não ficavam à vontade

bringing up suggestions to the doctors

quando traziam sugestões aos médicos

because of the fear of questioning authority.

por causa da questão autoritária.

Amy helped improve medical teams

Amy ajudou a melhorar as equipes médicas

to make nurses more comfortable bringing up suggestions to the doctors

deixando as enfermeiras mais confortáveis ao trazer sugestões aos médicos

for patient treatment

para pacientes

without the fear of being scolded or demeaned.

sem medo de serem repreendidas ou rebaixadas.

For that to happen, doctors needed to listen and be receptive --

Para isso acontecer, médicos precisavam escutar e serem receptivos

without judging.

sem julgar.

Psychological safety is when everybody is comfortable speaking up

Segurança psicológica é quando todos ficam confortáveis para falar

and pointing things out.

e apontar coisas.

I want cybersecurity to be the same.

Quero que a segurança cibernética seja a mesma coisa.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

E que os seus praticantes fiquem confortáveis ao dar sugestões

to senior executives or software developers,

aos executivos veteranos ou aos desenvolvedores de software,

without being dismissed as those people who continue to talk about

sem serem demitidos por serem as pessoas que continuam a falar

horrors and errors,

sobre horrores e erros,

and say no.

e dizem não.

Not doing so is really hard

Não fazer isso é realmente difícil

for the individuals who are responsible for the creation of digital products

para os indivíduos que são responsáveis pela criação de produtos digitais

because fundamentally, it's about their pride and joy in their creations.

porque, fundamentalmente, trata do orgulho e alegria nas criações.

I once tried talking to a senior software development executive

Uma vez tentei falar com um veterano executivo desenvolvedor de software

about the need to do better security.

sobre a necessidade de melhor segurança.

You know what he said?

Sabe o que ele disse?

"Are you telling me we're developing insecure code?"

“Está dizendo que desenvolvemos um código inseguro?”

In other words, what he heard was, "Your baby is ugly."

Em outras palavras, ele escutou: “Seu bebê é feio”.

What if instead of focusing on what not to do,

E se, em vez de se concentrar no que não fazer,

we focused on what to do?

nos concentrarmos no que fazer?

Like, how do we develop better software

Tipo: como desenvolver um software melhor

and protect our customer information at the same time?

e proteger as informações dos nossos clientes ao mesmo tempo?

Or how do we make sure that our organization is able to operate

Ou como teremos certeza de que nossa organização é capaz de operar

in crisis, under attack or in an emergency?

em crises, sob ataque ou numa emergência?

And what if we reward good things that people do in cybersecurity in some way

E se recompensássemos as coisas boas que as pessoas fazem em segurança cibernética

and encourage them to do so,

e as encorajássemos a fazê-lo,

like reporting security incidents,

como relatar incidentes de segurança,

reporting potential phishing emails,

relatar potenciais e-mails de phishing

or finding and fixing software security bugs

ou achar e corrigir erros de segurança de software

in the software that they develop?

no software que estão desenvolvendo?

And what if we tied these good security actions to performance evaluations

E se juntássemos as boas ações de segurança às avaliações de desempenho

to make it really matter?

para o que importa?

I would love for us to communicate these good cybersecurity things

Eu adoraria que comunicássemos estas coisas boas de segurança cibernética

and encourage them in some sort of company-wide communications

e encorajássemos algum tipo de comunicação em toda a empresa

like newsletters, blogs, websites, microsites --

como boletins informativos, blogs, sites, microsites,

whatever we use to communicate to our organization.

o que quer que utilizemos para nos comunicar com nossa organização.

What if a company announced a competition for who finds the most security bugs

E se uma empresa anunciar uma competição para quem encontrar mais falhas

and fixes them in a two-week development sprint

e consertá-las em uma jornada de duas semanas de desenvolvimento

and then announces the winner of the competition for the quarter

e depois anunciar o vencedor da concorrência para o trimestre

at a large company virtual town hall,

em uma grande assembleia virtual,

and then rewards these people, these winners, with something meaningful,

e recompensas essas pessoas, os ganhadores, com algo com significativo,

like a week's vacation or a bonus.

como uma semana de férias ou um bônus?

Others will see the celebration and recognition,

Outros verão a celebração e o reconhecimento

and they'll want to do the same.

e farão o mesmo.

In the energy industry,

Na indústria de energia,

there is a really strong culture of safety.

há uma cultura de segurança muito forte.

People care about this culture, are proud of it,

As pessoas se preocupam com essa cultura, têm orgulho dela,

and there is a collective reinforcement of this culture

e há um reforço coletivo desta cultura para ter certeza que ninguém se machucará.

to make sure that nobody gets hurt.

One of the ways they exhibit and keep this safety conscious culture going

Uma das formas que eles exibem e mantêm essa cultura consciente de segurança

is by counting and visibly displaying days since the last safety incident.

é contando e exibindo visualmente os dias desde o último incidente de segurança.

And then everybody works really hard not to have that count go back to zero

E então todos trabalham arduamente para que a contagem não volte a zero,

because that means that somebody did get hurt.

pois significa que alguém se machucou.

Cybersecurity is the same as safety.

Segurança cibernética é o mesmo que segurança.

What if we all agree

E se todos concordassem

to keep that count of days since the last cybersecurity incident

em manter a contagem de dias desde o último incidente

going on forever

para sempre

and then work really hard not to have it reset to zero?

e então trabalhassem arduamente para que não voltasse a zero?

And then certain things are a no-no,

E certas coisas são proibidas,

and we need to clearly communicate to our organizations what they are

precisamos comunicar claramente para nossa organização o que elas são

in an easily digestible and maybe even fun way,

de uma maneira fácil de digerir e talvez até divertida,

like gamification or simulations,

como transformar em um jogo ou simulação,

to make sure that people can remember this.

garantindo que as pessoas possam se lembrar disso.

And if somebody does something they're not supposed to do,

E se alguém fizer algo que não era para supostamente fazer,

they should face some sort of consequences.

deve enfrentar alguma consequência.

So, for example, if an employee buys equipment on Amazon or eBay

Por exemplo, se um funcionário comprar um equipamento na Amazon ou eBay

or uses personal Dropbox for their company business,

ou usar o seu Dropbox pessoal para os negócios da sua empresa,

then they should face some sort of consequences.

então, deve enfrentar alguma consequência.

And when this happens, executives should get the same treatment

E quando isso acontecer, os executivos devem ter igual tratamento

as regular employees,

a funcionários normais,

because if they don't, then people won't believe that it's real

porque se não tiverem, as pessoas não vão acreditar

and will go back to their old behaviors.

e reverterão seus comportamentos.

It's OK to talk about mistakes,

Tudo bem falar sobre erros,

but just like a teenager who violates the rules tells us about it,

mas como adolescentes que violam as regras e nos confessam,

we appreciate that they told us about it,

agradecemos que tenham falado sobre isso,

but there should still be some sort of consequences.

mas ainda deve haver algum tipo de consequência.

Cybersecurity is a journey.

A segurança cibernética é uma jornada,

It's not a destination,

não é um destino,

and we need to keep working on it.

e precisamos continuar trabalhando nela.

I would love for us to celebrate cybersecurity people

Adoraria que prestigiássemos as pessoas de segurança cibernética

like the heroes that they are.

pelos heróis que elas são.

If we think about it, they are firefighters,

Se pensarmos nisso, são como bombeiros,

emergency room doctors and nurses,

médicos e enfermeiros da emergência,

law enforcement, risk executives and business strategists

aplicadores da lei, executivos de risco e estrategistas de negócio,

all in the same persona.

tudo na mesma pessoa.

And they help us protect our modern life that we like so much.

Nos ajudam a proteger a nossa vida moderna que tanto nos agrada.

They protect our identities, our inventions, our intellectual property,

Protegem nossa identidade, invenções, nossa propriedade intelectual,

our electric grid, medical devices,

nossa rede elétrica, dispositivos médicos,

connected cars and myriad other things.

carros conectados e um infinidade de outras coisas.

And I'd like to be on that team.

Gostaria de estar nessa equipe.

So let's agree that this thing is with us to stay,

Portanto vamos concordar que essa coisa está conosco para ficar,

let's create a safe environment to learn from our mistakes,

vamos criar um ambiente para aprender a partir dos nossos erros

and let's commit to making things better.

e nos comprometer a melhorar as coisas.

Thank you.

Obrigada.