Então tudo mudou
De repente, o mundo passou abruptamente a funcionar de forma remota. Os dados foram transferidos de sistemas físicos bem protegidos e mantidos em segurança dentro do perímetro interno para serviços na cloud, fornecidos a partir de data centers distantes. A corrida por uma maior flexibilidade dos dispositivos e aplicações traduziu-se em preocupações a nível da proteção de dados fazendo com que estes ficassem em segundo plano em relação à crescente necessidade de acesso a esses dados, por parte dos colaboradores, a partir de fora da empresa.
De acordo com dados do UK Information Commissioner’s Office (ICO), 90% de todas as fugas de dados, em 2019, foram causadas por erro humano. Com um maior número de pessoas a trabalhar remotamente, devido à pandemia do Coronavírus, esse número tem tendência a aumentar ainda mais.
O cenário de ameaças como o conhecíamos ainda existe. Mas hoje, com os dados amplamente espalhados fora da rede, os possíveis “ladrões de dados” não precisam de perder o seu tempo a tentar abrir os seus cadeados cuidadosamente dispostos - eles podem simplesmente sentar-se e esperar que um colaborador deixe as suas chaves de acesso cair inconscientemente.
Este “novo normal” exige que se criem novas abordagens no âmbito da proteção dos dados e cibersegurança. Mas como é que pode ser possível proteger os seus dados, de forma eficaz e em qualquer lugar, quando o perímetro se pode, em teoria, expandir para qualquer lugar?
Perceber qual é a sua maior vulnerabilidade: os humanos
O primeiro passo para proteger melhor os seus dados é entender, de forma exata, como é que estes podem cair nas mãos erradas, nos dias de hoje. Normalmente, isso implica quase sempre um determinado grau de erro humano.
Existe um número ilimitado de formas pelas quais o erro humano pode originar, direta ou indiretamente, o furto ou perda de dados:
- Dispositivos atribuídos a funcionários podem ser atacados por malware ou fisicamente roubados;
- Colaboradores que usam as mesmas credenciais de login para contas pessoais e profissionais podem, inadvertidamente, entregar as passwords de ferramentas e sistemas críticos na nuvem;
- As pessoas podem ser facilmente enganadas através de e-mails de phishing, ou mensagens e páginas da internet enganadoras, técnicas que nos dias de hoje têm vindo a ser cada vez mais sofisticadas;
- Com a própria habitação a tornar-se o local de trabalho para milhões de pessoas, qualquer um poderá entrar efetivamente no seu escritório quando um dispositivo não estiver a ser vigiado;
- As equipas podem desleixar-se e usar ferramentas de colaboração e partilha de arquivos não aprovados que tornam as suas vidas mais fáceis, mas colocam os seus dados em risco.
A lista continua e continua. Longe dos sofisticados desafios de proteção de perímetro que as equipas de segurança têm vindo a enfrentar, este é um tipo totalmente novo de vulnerabilidade - todos aparentemente simples, mas incrivelmente difíceis de prevenir de forma significativa.
Aprender
sozinho não é a resposta - e nunca foi
Como o erro humano é um problema de “pessoas”, as soluções para combater as vulnerabilidades associadas, descritas acima, têm-se aproximado em direção a soluções centradas nessas mesmas pessoas. Não é necessário efetuar longas pesquisas na internet para encontrar inúmeros comentários que levam a pedidos de uma formação melhor, capaz de dar resposta a estas questões.
A formação na área é um ótimo ponto de partida. Se existe a possibilidade de educar as pessoas para que elas percebam que as suas ações podem levar à exposição dos seus dados confidenciais, existe também a possibilidade de reduzir a oportunidade de concretizar esse tipo de acontecimentos.
O problema é que a vigilância de ciber-ameaças ao nosso redor é complexa. Não importa o quão bem uma equipa possa vir a ser treinada, existem sempre algumas coisas que irão acabar por cair por terra. Existirão sempre cenários e eventos em que a formação acabará por ser esquecida e caso algo falhe, os dados acabarão por ir parar a lugares onde não deveriam estar.
Então o que é que se pode fazer?
Temos de aceitar que o erro humano não pode simplesmente ser evitado a 100%. De seguida, devemos trabalhar para chegar a um consenso para o facto de que a perda de alguns dados é praticamente inevitável nos dias de hoje.
Isso vai contra tudo aquilo que tem vindo a ser trabalhado ao longo dos anos. Mas aceitar isso é um passo essencial para mudar o nosso pensamento sobre a proteção dos dados e proteger a sua empresa da maneira o mais eficaz possível.
Depois de aceitar que a perda dos dados poderá acontecer, a sua atenção terá de ser redirecionada imediatamente para onde pode fazer uma diferença maior: a importância de detetar rapidamente essa perda, antes que qualquer dano sério possa ocorrer.
As novas ferramentas e recursos terão um grande papel a desempenhar nesse sentido. Por exemplo, a monitorização da Dark Web. Quando existe uma fuga de dados por erro humano, a maioria das vezes você pode até nem ter conhecimento desse facto até que seja tarde demais. Certamente não irá chegar às manchetes dos jornais, pelo menos, imediatamente - mas vai começar a aparecer na Dark Web, simplesmente partilhados gratuitamente ou oferecidos em troca de qualquer custo. Quando isso acontecer, a sua presença é fundamental para que tenha conhecimento do sucedido e para que possa agir imediatamente.
Porque acreditamos na proteção contra os riscos digitais
Na DigitalSkills, em parceria com a Skurio, há algum tempo que tomamos como adquirido que as violações de dados se estão a tornar inevitáveis. Desde então, concentramos os nossos esforços na criação de serviços e soluções que podem ajudar as organizações a reagir de uma forma rápida e apropriada sempre que um evento desses sucede.
Se quiser conhecer as soluções de proteção de risco digital, entre em contacto connosco.
Artigo traduzido e disponibilizado pela DigitalSkills Consulting - Distribuidora oficial de soluções de cibersegurança do fabricante Skurio. Para mais informações: www.digitalskills.pt | [email protected] | 217 923 841
