Controles de acesso discricionários (DAC)

Os Controles de Acesso Discricionário (DAC, na sigla em inglês) são tipos de medidas de cibersegurança que permitem ou restringem o acesso com base na decisão do funcionário, e não do proprietário do arquivo ou recurso. Por exemplo, se Bob tiver direitos administrativos em seu computador, ele poderá instalar qualquer software que desejar, a seu próprio critério. Da mesma forma, se uma pasta de arquivos rotulada como "Recursos Humanos" tiver permissão de leitura para todos no servidor de arquivos, os funcionários poderão acessar esses arquivos restritos a seu critério (correndo o risco de serem demitidos). No entanto, a decisão de instalar ou acessar um arquivo fica a critério do funcionário. Em contraste com o DAC, os Controles de Acesso Obrigatório (MAC, na sigla em inglês) estabelecem restrições tecnológicas que impedem os funcionários de instalar software em seus computadores, removendo os direitos administrativos de cada usuário final. Eles impedem o acesso a arquivos de RH definindo permissões restritivas nos diretórios em que esses arquivos estão armazenados e limitam o acesso apenas aos funcionários de RH. O MAC impede que as ações ocorram mesmo quando um funcionário tenta realizá-las. O DAC permite que as ações do funcionário ocorram mesmo quando uma política de governança declara que tais atividades não são permitidas.

O que isso significa para minha PME?

A configuração de Controles de Acesso Discricionários (DACs) é algo que todas as empresas devem adotar. A CyberHoot recomenda que MSPs e PMEs estabeleçam políticas de governança para orientar o comportamento e a tomada de decisões dos funcionários quando os controles MAC não forem possíveis. Isso incluiria o seguinte:

1. Adotando um gerenciador de senhas para facilitar a conformidade com os requisitos de comprimento de senha discricionários em aplicativos SaaS on-line.
2. Orientar e treinar funcionários sobre por que o comprimento de uma senha é mais importante do que a complexidade, para que eles escolham sabiamente ao criar senhas exclusivas para todas as suas contas on-line individuais.
3. Estabelecer uma Política de Tratamento de Informações que exija que os funcionários destruam documentos confidenciais em vez de jogá-los na lixeira de reciclagem. Essa mesma política proíbe o envio de dados críticos e sensíveis por e-mail sem criptografia. Esses são controles discricionários que dependem da conscientização e do bom comportamento dos funcionários.

Práticas recomendadas adicionais para proteger MSPs e PMEs

A CyberHoot também recomenda as seguintes práticas recomendadas para proteger indivíduos e empresas contra ataques cibernéticos online e limitar os danos causados por eles:

• Exigir autenticação de dois fatores em qualquer Solução SaaS ou contas críticas
• Exija senhas com mais de 14 caracteres em seu Políticas de Governança
• Treinar funcionários para identificar e evitar mensagens baseadas em e-mail Phishing ataques
• Verifique se os funcionários pode identificar e evitar e-mails de phishing testando-os
• Dados de backup usando o Método 3-2-1
• Incorpore o Princípio do Menor Privilégio
• Realizar uma avaliação de risco a cada dois a três anos

Para saber mais sobre controles discricionários, assista a este breve vídeo:

Termo relacionado : Controles de Acesso Obrigatórios (MAC)

Fonte : Techopedia