Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Tradutor: Isabel Silva Revisora: Margarida Ferreira

Today, I'm going to talk about a shameful topic.

Hoje vou falar de um tema humilhante.

This has happened to many of us, and it's embarrassing,

Já aconteceu a muitos de nós e é embaraçoso,

but if we don't talk about it, nothing will ever change.

mas se não falarmos sobre isso, nada vai mudar

It's about being hacked.

É sobre ser pirateado.

Some of us have clicked on a phishing link and downloaded a computer virus.

Alguns de nós já clicaram numa ligação de “phishig”

e descarregaram um vírus informático.

Some of us have had our identities stolen.

Roubaram as identidades a alguns de nós.

And those of us who are software developers

E aqueles que são programadores,

might have written insecure code with security bugs in it

podem ter escrito códigos inseguros contendo falhas de segurança

without realizing it.

sem se terem apercebido.

As a cybersecurity expert,

Como especialista,

I have worked with countless companies on improving their cybersecurity.

tenho trabalhado com inúmeras empresas na melhoria da sua segurança cibernética.

Cybersecurity experts like me have advised companies

Especialistas como eu, têm aconselhado empresas

on good cybersecurity practices,

sobre as boas práticas de segurança cibernética,

monitoring tools

sobre ferramentas de controlo

and proper user behaviors.

e sobre boas práticas de utilizadores.

But I actually see a much bigger problem that no tool can fix:

Mas vejo um problema muito maior que nenhuma ferramenta pode resolver:

the shame associated with the mistakes that we make.

a vergonha associada aos erros que cometemos.

We like to think of ourselves as competent and tech savvy,

Gostamos de nos sentir competentes e com conhecimentos digitais

and when we make these mistakes that can have a really bad impact

e quando fazemos estes erros que podem ter um grande impacto

on us and our companies --

em nós e nas nossas empresas

anything from a simple annoyance,

— desde um simples incómodo,

to taking a lot of time to fix,

a uma coisa que exige muito tempo de resolução,

to costing us and our employers a lot of money.

e custa muito dinheiro a nós e aos nossos patrões.

Despite billions of dollars that companies spend on cybersecurity,

Apesar dos milhões de dólares gastos em segurança cibernética,

practitioners like me see the same problems over and over again.

os profissionais como eu, encontram sempre os mesmos problemas.

Let me give you some examples.

Vou dar-vos alguns exemplos.

The 2015 hack of Ukrainian utilities

Em 2015 o ataque aos serviços públicos ucranianos

that disconnected power for 225,000 customers

que cortaram a eletricidade a 225 000 clientes

and took months to restore back to full operations

e demorou meses a repor o funcionamento total,

started with a phishing link.

começou com uma ligação de “phishing”.

By the way, 225,000 customers is a lot more 225,000 people.

A propósito, 225 000 clientes é muito mais que 225 000 pessoas.

Customers can be anything from an apartment building

Os clientes podem ir de um prédio de apartamentos

to an industrial facility

a uma unidade industrial

to a shopping mall.

ou a um centro comercial.

The 2017 data breach of Equifax

Em 2017, a quebra de segurança da Equifax

that exposed personally identifiable information

que revelou dados pessoais odentificáveis

of 140 million people

de 140 milhões de pessoas

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

e pode vir a custar à Equifax cerca de 1400 milhões de dólares,

that was caused by an exploitation of a well-known vulnerability

deveu-se ao aproveitamento de uma bem conhecida vulnerabilidade

in the company's customer consumer complaint portal.

no portal da empresa para reclamações de consumidores.

Fundamentally, this is about technology and innovation.

No fundo, trata-se de tecnologia e inovação.

Innovation is good; it makes our lives better.

A inovação é boa, melhora a nossa vida.

Most of the modern cars we drive today are fundamentally computers on wheels.

Muitos dos carros modernos, que hoje usamos

são basicamente computadores sobre rodas.

They tell us where to go to avoid traffic, when to take them in for maintenance

Dizem-nos como evitar o trânsito, quando ir à revisão

and then give us all kinds of modern-day conveniences.

e oferecem-nos todo o tipo de comodidades dos tempos modernos.

Many people use connected medical devices like pacemakers

Muitas pessoas usam dispositivos médicos interligados, como os “pacemakers”

and glucose monitors with insulin pumps.

e os medidores de glucose com bombas de insulina.

These devices make these people's lives better

Estes dispositivos melhoram a vida das pessoas

and sometimes even extend their lives.

e às vezes prolongam a vida delas.

But anything that can be interconnected can be hacked when it's connected.

Mas tudo o que pode estar interligado, pode ser atacado quando está ligado.

Did you know that the former US Vice President Dick Cheney

Sabiam que Dick Cheney. o ex-vice-presidente dos EUA,

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

manteve o “pacemaker” desligado do wi-fi antes do transplante do coração?

I will let you figure out why.

Vou deixar-vos imaginar porquê.

In a digitally interconnected world, cyber risks are literally everywhere.

No mundo digital, os riscos da Internet estão em todo o lado.

For years, my colleagues and I have been talking about

Durante anos, os meus colegas e eu, temos discutido

this elusive notion of cybersecurity culture.

esta noção vaga da cultura da segurança cibernética.

Cybersecurity culture is when everybody in the organization

A cultura de segurança cibernética é quando todos numa organização

believes that cybersecurity is their job,

acreditam que a segurança cibernética é o seu trabalho,

knows what to do and what not to do

sabem o que fazer e não fazer

and does the right thing.

e fazem o que está certo.

Unfortunately, I can't tell you which companies do this well,

Infelizmente não vos posso dizer que as empresas fazem isso bem,

because by doing so, I would put a juicy target on their backs

porque, se o fizesse eu tornava-as um alvo fácil

for ambitious attackers.

para piratas ambiciosos.

But what I can do is make cybersecurity less mysterious,

O que posso fazer é tornar a segurança cibernética menos misteriosa

bring it out into the open and talk about it.

levá-la a público e falar sobre ela.

There should be no mystery or secrecy within an organization.

Não devia haver mistérios ou segredos numa organização.

When something is invisible and it's working,

Quando uma coisa é invisível e funciona,

we don't know that it's there until it's not there.

só sabemos que está lá quando já lá não está.

Kind of like toilet paper.

É como o papel higiénico.

When the COVID-19 pandemic began,

Quando a pandemia de Covid-19 começou,

what has been there all of a sudden became super important

o que havia sempre, de repente tornou-se muito importante

because we couldn't find it anywhere.

porque não havia em lado nenhum.

Cybersecurity is just like that:

A segurança cibernética é exatamente assim:

when it's working, we don't know, and we don't care.

quando funciona, não damos conta dela e não nos preocupamos.

But when it's not working,

Mas quando não funciona,

it can be really, really bad.

pode ser mesmo mau.

Toilet paper is pretty straightforward.

O papel higiénico é simples.

Cybersecurity is mysterious and complex.

A segurança cibernética é misteriosa e complexa.

And I actually think it starts with the notion of psychological safety.

E acho que começa com a noção de segurança psicológica.

This notion was popularized by an organizational behavior scientist,

Esta noção advém de uma cientista do comportamento organizacional,

Amy Edmondson.

Amy Edmondson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

Amy estudou o comportamento de equipas médicas em situações difíceis,

where mistakes could be fatal.

em que os erros podiam ser fatais.

And she found out that nurses were not comfortable

E descobriu que as enfermeiras sentiam-se pouco à vontade

bringing up suggestions to the doctors

para fazerem sugestões aos médicos

because of the fear of questioning authority.

por causa do medo da autoridade interrogativa.

Amy helped improve medical teams

Amy ajudou a melhorar as equipas médicas

to make nurses more comfortable bringing up suggestions to the doctors

para as enfermeiras terem maior segurança ao fazer sugestões aos médicos

for patient treatment

sobre o tratamento dos doentes

without the fear of being scolded or demeaned.

sem medo de serem repreendidas ou rebaixadas.

For that to happen, doctors needed to listen and be receptive --

Para isso acontecer, os médicos precisaram ouvir e ser recetivos

without judging.

— sem fazerem julgamentos.

Psychological safety is when everybody is comfortable speaking up

A segurança psicológica é quando todos estão confortáveis para falar

and pointing things out.

e chamar a atenção.

I want cybersecurity to be the same.

Quero o mesmo para a segurança cibernética.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

Quero que os profissionais da segurança cibernética

se sintam à vontade para fazer sugestões

to senior executives or software developers,

a executivos sénior ou programadores,

without being dismissed as those people who continue to talk about

sem serem etiquetados como as pessoas

horrors and errors,

que só falam de horrores e erros,

and say no.

e digam não.

Not doing so is really hard

Não fazer isso é mesmo difícil

for the individuals who are responsible for the creation of digital products

para as pessoas responsáveis pela criação de produtos digitais

because fundamentally, it's about their pride and joy in their creations.

porque fundamentalmente trata-se do orgulho e do prazer nas suas criações.

I once tried talking to a senior software development executive

Uma vez tentei falar com um programador executivo sénior

about the need to do better security.

sobre a necessidade de melhor segurança.

You know what he said?

Sabem o que me disse?

"Are you telling me we're developing insecure code?"

“Estás-me a dizer que o código é inseguro?”

In other words, what he heard was, "Your baby is ugly."

Por outras palavras, o que ele ouviu foi “o teu bebé é feio.”

What if instead of focusing on what not to do,

Se, em vez de nos focarmos no que não fazer,

we focused on what to do?

nos focássemos no que fazer?

Like, how do we develop better software

Como desenvolver um “software” melhor

and protect our customer information at the same time?

e proteger as informações do nosso cliente ao mesmo tempo?

Or how do we make sure that our organization is able to operate

Como asseguramos que a nossa organização consegue funcionar em crise,

in crisis, under attack or in an emergency?

debaixo de um ataque ou numa emergência?

And what if we reward good things that people do in cybersecurity in some way

E se premiarmos as coisas boas que as pessoas fazem em segurança cibernética

and encourage them to do so,

e as encorajarmos a fazê-lo,

like reporting security incidents,

como notificar incidentes de segurança,

reporting potential phishing emails,

reportar potenciais emails de “phishing”,

or finding and fixing software security bugs

ou encontrar e resolver falhas de segurança do “software”

in the software that they develop?

no “software” que desenvolvem?

And what if we tied these good security actions to performance evaluations

E se associássemos estes bons exemplos de segurança a avaliações de desempenho

to make it really matter?

para que se torne importante?

I would love for us to communicate these good cybersecurity things

Gostava muito de partilhar os bons exemplos de segurança cibernética

and encourage them in some sort of company-wide communications

e incentivá-los nas comunicações transversais nas empresas

like newsletters, blogs, websites, microsites --

tais como “newsletters”, blogues, “websites”, “microsites”,

whatever we use to communicate to our organization.

tudo o que usamos para comunicação na nossa organização.

What if a company announced a competition for who finds the most security bugs

E se uma empresa criasse um concurso para descobrir falhas de segurança

and fixes them in a two-week development sprint

e as resolvesse num projeto de desenvolvimento de duas semanas

and then announces the winner of the competition for the quarter

e a seguir anunciasse o vencedor do concurso do trimestre

at a large company virtual town hall,

numa grande reunião da empresa,

and then rewards these people, these winners, with something meaningful,

e a seguir recompensasse os vencedores com algo significativo,

like a week's vacation or a bonus.

como uma semana de férias ou um bónus.

Others will see the celebration and recognition,

Outros irão ver a celebração e o reconhecimento,

and they'll want to do the same.

e vão querer fazer o mesmo.

In the energy industry,

Na indústria da energia,

there is a really strong culture of safety.

há uma cultura de segurança muito forte.

People care about this culture, are proud of it,

As pessoas precocupam-se e têm orgulho nela,

and there is a collective reinforcement of this culture

e há um fortalecimento coletivo desta cultura

to make sure that nobody gets hurt.

para assegurar que ninguém se magoa.

One of the ways they exhibit and keep this safety conscious culture going

Uma das formas de expor e manter a consciência da cultura de segurança

is by counting and visibly displaying days since the last safety incident.

é contar e exibir os dias desde o último incidente de segurança.

And then everybody works really hard not to have that count go back to zero

Assim, todos contribuem para que a contagem não volte ao zero

because that means that somebody did get hurt.

porque isso significa que alguém se magoou.

Cybersecurity is the same as safety.

Segurança cibernética é o mesmo que segurança.

What if we all agree

E se todos concordássemos

to keep that count of days since the last cybersecurity incident

em manter para sempre a contagem de dias

desde o último incidente de segurança cibernética

going on forever

and then work really hard not to have it reset to zero?

e depois trabalhássemos muito para não ter de voltar ao zero?

And then certain things are a no-no,

E há algumas coisas que são não-não,

and we need to clearly communicate to our organizations what they are

e temos de comunicar claramente às nossas organizações o que são

in an easily digestible and maybe even fun way,

de forma fácil e digerível e talvez mesmo divertida,

like gamification or simulations,

como a gamificação ou as simulações,

to make sure that people can remember this.

para ter a certeza de que as pessoas se vão lembrar.

And if somebody does something they're not supposed to do,

Se alguém faz alguma coisa que não deve,

they should face some sort of consequences.

devia enfrentar as consequências.

So, for example, if an employee buys equipment on Amazon or eBay

Por exemplo, se um empregado compra equipamento na Amazon ou no eBay

or uses personal Dropbox for their company business,

ou usa a Dropbox pessoal para o negócio da empresa,

then they should face some sort of consequences.

devia enfrentar algum tipo de consequências.

And when this happens, executives should get the same treatment

E se isso acontecer, os executivos deviam ter o mesmo tratamento

as regular employees,

que os empregados regulares.

because if they don't, then people won't believe that it's real

porque, se não for assim, as pessoas não vão acreditar

and will go back to their old behaviors.

e voltam aos comportamentos antigos.

It's OK to talk about mistakes,

Não há problema em falar de erros,

but just like a teenager who violates the rules tells us about it,

mas tal como um adolescente que viola as regras e nos conta,

we appreciate that they told us about it,

agradecemos terem-nos contado,

but there should still be some sort of consequences.

mas ainda assim, devia haver consequências.

Cybersecurity is a journey.

A segurança cibernética é uma viagem.

It's not a destination,

Não é um destino,

and we need to keep working on it.

e precisamos de continuar a trabalhar nela.

I would love for us to celebrate cybersecurity people

Eu gostava que celebrássemos as pessoas da segurança cibernética

like the heroes that they are.

como os heróis que são.

If we think about it, they are firefighters,

Se pensarmos bem, eles são como os bombeiros,

emergency room doctors and nurses,

os médicos e os enfermeiros de urgência,

law enforcement, risk executives and business strategists

os agentes da lei, os profissionais de risco e os estrategas de negócio,

all in the same persona.

tudo numa só pessoa.

And they help us protect our modern life that we like so much.

E ajudam-nos a proteger a vida moderna de que gostamos tanto.

They protect our identities, our inventions, our intellectual property,

Protegem as nossas identidades, invenções e propriedade intelectual,

our electric grid, medical devices,

a rede elétrica e os dispositivos médicos,

connected cars and myriad other things.

os carros com rede e muitas outras coisas.

And I'd like to be on that team.

Eu gostava de estar nessa equipa.

So let's agree that this thing is with us to stay,

Vamos concordar que esta coisa veio para ficar,

let's create a safe environment to learn from our mistakes,

e vamos criar um ambiente seguro, para aprender com os erros

and let's commit to making things better.

e vamo-nos empenhar em fazer melhor.

Thank you.

Obrigada.