Construindo um Firewall Humano

Os ambientes de trabalho estão evoluindo, apresentando novas oportunidades para cibercriminosos comprometerem os sistemas e redes das empresas. A mudança para o trabalho remoto forçou os empresários a se adaptarem, estabelecendo medidas técnicas para garantir a produtividade e a segurança remotas. Controles técnicos são vitais para proteger os dados da empresa, mas todas as soluções técnicas do mundo não são suficientes para proteger as empresas se seus funcionários não estiverem totalmente treinados nas habilidades de segurança cibernética necessárias para proteger a si mesmos e aos seus negócios hoje. Este artigo analisa as diversas áreas de treinamento de conscientização necessárias para criar um Firewall Humano forte, confiante, produtivo e eficaz em todos os seus funcionários.

Ameaça privilegiada

Quando as pessoas ouvem a expressão " ameaça interna ", pensam em funcionários revoltados se vingando de uma empresa que os prejudicou de alguma forma. É fundamental que as empresas entendam que as ameaças internas nem sempre são maliciosas. Ameaças internas acidentais ocorrem quando os funcionários cometem erros não intencionais que resultam em prejuízo para a empresa. Por outro lado, funcionários bem-intencionados podem realizar ações legítimas, porém perigosas, como clicar em links maliciosos, descumprir políticas e procedimentos ou responder a e-mails de phishing como se fossem solicitações legítimas (comprou algum cartão-presente recentemente?). De acordo com o Instituto Ponemon , essas ameaças acidentais representam 62% de todos os incidentes relacionados a ameaças internas.

Quer tenham consciência disso ou não, os funcionários representam um risco para a segurança das redes da empresa e dos dados que elas armazenam. Um estudo da Fortinet mostrou que as empresas consideram os ataques de phishing (38%) a principal causa de ameaças internas acidentais, seguidos por spear-phishing (21%), senhas fracas (16%) e navegação em sites suspeitos ou maliciosos (7%). Essas atividades abrem as portas para cibercriminosos em sua empresa simplesmente clicando em um link, baixando um arquivo ou respondendo a uma solicitação de phishing falsa comprando cartões-presente. Eduque seus funcionários para que dediquem um tempo para determinar se uma solicitação ou ação é segura e legítima. Essas ameaças devem ser mitigadas sem controles técnicos, por meio da construção de uma barreira humana mais eficaz através de treinamentos de conscientização.

O Firewall Humano

Criar uma cultura de conscientização sobre segurança cibernética é essencial. Todos têm um papel a desempenhar, desde os executivos até o departamento de expedição. Se os funcionários virem algo suspeito, devem relatar. No entanto, os funcionários precisam de treinamento adequado para entender quando e por que algo pode ser suspeito e para saber a quem devem relatar esses incidentes. Os funcionários devem compreender como podem contribuir para estratégias eficazes de segurança cibernética, em vez de simplesmente depender da equipe de TI para resolver todos os problemas.

Treinamento de Conscientização do Funcionário

Considerando que os funcionários podem ser a melhor linha de defesa, é crucial que as PMEs protejam suas organizações, incluindo a educação e o treinamento de conscientização dos funcionários como um componente-chave de sua estratégia geral de segurança cibernética. Ao adotar essa técnica, as PMEs podem garantir que a força de trabalho esteja preparada para enfrentar ameaças comuns e emergentes. Treinar a equipe para identificar e evitar ataques de phishing, engenharia social, ransomware, requisitos de autenticação de dois fatores, inseguranças de Wi-Fi e outras ameaças reduz significativamente as chances de se tornarem vítimas de hackers. Escolha um sistema de treinamento aberto, para que você possa se adaptar rapidamente e treinar sua equipe sobre ameaças emergentes, como ataques de phishing que exigem o preenchimento de um formulário de rastreamento de contatos, como era comum em 2020 devido à COVID-19.

Definindo políticas

As empresas também devem analisar suas políticas de governança. As políticas são uma ótima maneira de manter os funcionários informados e responsáveis pelas expectativas da empresa em relação a comportamentos e uso de tecnologia. A CyberHoot recomenda a adoção das quatro políticas fundamentais de governança a seguir, caso você ainda não tenha definido nenhuma (não se sinta mal, muitas empresas ainda não definiram suas políticas de governança de segurança cibernética):

1. uma política de senha
2. uma política de uso aceitável
3. uma política de tratamento de informações e
4. uma política de segurança da informação escrita (WISP) 

Juntas, essas quatro políticas de governança fornecem uma base sólida para o desenvolvimento do seu programa de segurança cibernética. Treinamento e governança são essenciais para proteger sua empresa. Treine os funcionários sobre os ataques e as políticas que regem seus comportamentos. No entanto, a maioria dos profissionais de segurança cibernética dirá que você deve apoiar essas medidas com proteções técnicas robustas para quando seus funcionários esquecerem o treinamento e a governança e clicarem naquele e-mail de ataque de phishing.

Contramedidas técnicas

Embora os humanos possam ser uma das melhores defesas contra ataques, eles são falíveis e cometem erros. Nesses casos, medidas técnicas podem ser uma poderosa proteção para ajudar usuários e empresas a se manterem seguros e livres de comprometimento. Duas das proteções técnicas mais importantes e eficazes disponíveis atualmente incluem a autenticação de dois fatores e os gerenciadores de senhas . Ambas oferecem fortes contramedidas técnicas contra os ataques que todos enfrentamos hoje.

Autenticação de dois fatores

Primeiro, uma breve introdução. A autenticação de dois fatores é a combinação de dois dos três seguintes fatores de identificação:

1. Algo que você sabe – Geralmente uma senha para sua conta.
2. Algo que você tem – Como um celular com um código de autenticação temporário.
3. Algo que você é – como sua impressão digital ou reconhecimento facial.

Usar dois desses três fatores de identificação é a melhor maneira de proteger suas contas críticas. Os hackers contam com o fato de seus funcionários reutilizarem senhas. Eles visitam fóruns online para encontrar todas as senhas expostas de funcionários em seu "domínio da internet" e, em seguida, começam a tentar acessar contas (VPN, O365, soluções SaaS) que não são protegidas por nada além de um nome de usuário e senha. No momento em que veem todos esses serviços online protegidos por autenticação de dois fatores (2FA), eles partem para alvos mais fáceis (na maioria dos casos), pois sabem que podem não conseguir penetrar essas proteções.

Infelizmente, muitos aplicativos atuais ainda não integram a autenticação de dois fatores e dependem da boa gestão de senhas dos funcionários. A maneira mais rápida de educar e melhorar a segurança das senhas na sua empresa é adotar um gerenciador de senhas . Essas ferramentas geram senhas aleatórias e seguras, eliminam as dúvidas na hora de acessar aplicativos online e ainda aumentam a eficiência, abrindo os sites e fazendo o login automaticamente após a autenticação de dois fatores no gerenciador de senhas.

Gerenciadores de Senhas

Profissionais de cibersegurança recomendam o uso de senhas fortes, únicas e longas (com 14 ou mais caracteres) para todas as suas contas. A pessoa comum consegue memorizar apenas de 3 a 4 senhas fortes, longas e únicas. Indivíduos diligentes e criativos, utilizando técnicas de memorização mnemônica, podem aprender de 10 a 15 frases-senha fortes e longas, também únicas. No entanto, de acordo com um estudo com 20,000 usuários do Dashlane , a pessoa média hoje em dia possui mais de 90 contas online. A única maneira de lidar com essa proliferação de contas online é adotar e aprender a usar um dos muitos gerenciadores de senhas gratuitos (para uso pessoal) disponíveis. Existem diversas opções de gerenciadores de senhas no mercado atualmente, incluindo LastPass , 1Password e Dashlane . Mais importante do que escolher o certo para você, é usar apenas um.

Os gerenciadores de senhas sincronizam automaticamente todos os seus dados de conta entre dispositivos (smartphones, laptops e tablets). Um plugin para navegador monitora sua atividade de login e solicita que você salve suas credenciais sempre que se autenticar em um novo site. Seu nome de usuário e senha para o domínio (ou URL, como gmail.com) são armazenados em um cofre de senhas criptografado.

Se você clicar acidentalmente em um link de phishing e for parar em uma página da web que se passa por uma de suas contas de gerenciador de senhas, ele se recusará a inserir suas credenciais, alertando você de que foi enganado! Todos os gerenciadores de senhas incluem um gerador de senhas aleatório que você pode usar para criar senhas novas, fortes e exclusivas. Alguns gerenciadores alertam sobre senhas fracas ou reutilizadas, até mesmo solicitando que você as altere para automatizar a correção de alguns dos problemas de segurança de senhas que você está enfrentando. Isso tornará você e sua equipe mais seguros, eficazes, confiantes e eficientes.

Seguindo em frente: Considerações finais

A segurança cibernética é responsabilidade de todos os funcionários. Funcionários não ligados à área de TI devem se engajar e ajudar a reduzir os riscos do negócio, aprendendo o que precisam saber sobre as melhores práticas de segurança cibernética. Treinamentos de conscientização em segurança cibernética, governança de políticas e ferramentas técnicas adequadas darão à sua empresa uma vantagem sobre a concorrência e os hackers, fornecendo aos funcionários um caminho para o sucesso na segurança cibernética, tornando-se firewalls humanos mais fortes. 

Fontes

CSO Online – Construindo um Firewall Humano

DarkReading – Construindo o Firewall Humano

Termo Cybrary de autenticação de dois fatores

Ameaça interna acidental - Termo Cybrary

Leituras Adicionais

Trabalhando remotamente com segurança

Como a COVID-19 agravou os problemas de segurança cibernética corporativa