O fator humano geralmente é mais difícil de controlar e prever quando se trata de proteção de dados. Enquanto algumas empresas investem no treinamento de funcionários, na esperança de que uma força de trabalho bem-educada, ciente das consequências financeiras e de reputação de violações de dados, seja suficiente para aumentar a vigilância e impedir más práticas de segurança. No entanto, a verdade é que, em muitos casos, são apenas um funcionário descuidado, longe de um incidente de segurança prejudicial. Também sempre há o risco potencial de pessoas mal intencionadas, funcionários descontentes que desejam prejudicar a reputação de uma empresa ou roubar dados quando saem de uma organização.
Mas quais são os incidentes e práticas internas mais comuns que representam uma ameaça à segurança de dados de uma empresa?
Vamos dar uma olhada nos cinco mais prevalentes:
1. Engenharia Social
Embora tecnicamente seja uma ameaça externa, a engenharia social funciona apenas se alguém dentro de uma empresa puder ser induzido a revelar informações. Isso implica que os funcionários são manipulados para renunciar a senhas ou outras informações confidenciais. A engenharia social pode assumir a forma de invasores que se passam por amigos ou outras fontes confiáveis e solicitam informações confidenciais ou ofertas e prêmios inesperados de marcas procuradas que contêm ou vinculam a malware.
Embora o software antimalware e antivírus possa ajudar a sinalizar esse tipo de e-mail malicioso, a engenharia social é melhor tratada através de treinamento. Os funcionários devem ser educados das várias maneiras pelas quais podem ser abordados por atacantes externos e como precisam reagir quando recebem solicitações suspeitas. Uma compreensão da engenharia social é essencial para evitá-la. O treinamento também deve ser testado para identificar possíveis fraquezas entre os funcionários.
2. Compartilhamento de dados fora da empresa
Os funcionários que compartilham dados confidenciais publicamente ou com terceiros fora da empresa podem significar desastre. Isso geralmente acontece por falta de cuidado: um botão de resposta a todos é pressionado em vez de uma resposta simples, as informações são enviadas para o endereço de e-mail errado, algo é acidentalmente publicado publicamente.
Esses tipos de incidentes raramente são ajudados pelo treinamento, pois representam erros humanos aos quais todos estamos sujeitos. Softwares especializados como as ferramentas de prevenção contra perda de dados (DLP) podem ajudar as organizações a rastrear dados confidenciais e garantir que sua transferência, seja por e-mail ou por outros serviços da Internet, seja limitada ou bloqueada.
3. TI de sombra
O uso de software, aplicativos ou serviços de Internet não autorizados de terceiros no local de trabalho é muitas vezes difícil de ser rastreado pelos departamentos de TI, e é daí que o termo sombra de TI vem. As razões para a prevalência da TI sombra são bastante simples: os funcionários usam aplicativos conhecidos por hábito, porque melhoram sua eficiência e diminuem sua carga de trabalho ou são mais amigáveis do que as alternativas autorizadas pela empresa.
Isso é problemático porque as empresas, na maioria das vezes, não sabem que isso está acontecendo, essencialmente criando um ponto cego nas estratégias de segurança cibernética. Um perigo adicional é a fraca segurança desses serviços de terceiros, que pode levar a vazamentos ou violações de dados, mas também a não conformidade com a legislação de proteção de dados, tornando a TI de sombra também uma responsabilidade legal.
A TI de sombra geralmente sinaliza uma falha por parte da empresa em fornecer aos funcionários as ferramentas certas para executar suas tarefas. As organizações devem ter um diálogo aberto com seus funcionários para entender suas necessidades tecnológicas e fazer o possível para atendê-las. As ferramentas de DLP também podem ajudar as empresas a impedir que os funcionários enviem informações confidenciais para esses serviços não autorizados e, monitorando essas tentativas, a alcançar um melhor entendimento da TI oculta em sua organização.
4. Uso de dispositivos não autorizados
Muitas políticas de proteção de dados se concentram nas transferências de dados para fora da rede da empresa pela Internet e não consideram outro método frequentemente usado: dispositivos portáteis. Os USBs, em particular, há muito tempo banem as estratégias de proteção de dados. Fáceis de perder ou roubar, mas convenientes de usar, os USBs levaram a algumas violações desastrosas de dados, como o infame incidente de segurança do Aeroporto de Heathrow, no qual um funcionário descuidado perdeu um USB com mais de 1.000 arquivos confidenciais, incluindo informações e informações pessoais e de segurança altamente sensíveis. .
A maneira mais fácil de evitar esse tipo de violação é bloquear todas as portas USB e periféricas. No entanto, não há como negar a utilidade dos USBs no local de trabalho. Para empresas que ainda desejam usar USBs, existem medidas que podem ser tomadas para fazer isso com segurança. A principal delas é a criptografia de todos os arquivos transferidos para pen drives, combinada com uma política de dispositivos confiáveis que permite que apenas dispositivos definidos como confiáveis se conectem ao computador da empresa.
5. Roubo físico de dispositivos da empresa
No ambiente de trabalho cada vez mais móvel de hoje, os funcionários costumam tirar seus computadores e dispositivos portáteis do escritório. Seja trabalhando remotamente, visitando clientes ou participando de eventos do setor, os dispositivos de trabalho geralmente deixam a segurança das redes da empresa e se tornam mais vulneráveis a roubos físicos e adulterações externas.
A criptografia é sempre uma boa solução para se proteger contra roubo físico. Seja laptops, telefones celulares ou USBs, a criptografia elimina a possibilidade de qualquer pessoa que os roubar acessar as informações neles. A ativação das opções de limpeza remota também pode ajudar as organizações a apagar todos os dados em dispositivos roubados à distância.