24 de outubro de 2023 - Cyber security
95% de todas as invasões e fugas de dados são causadas por erros humanos, tais como:
- Clicar numa ligação phishing
- Não actualiza regularmente o software
- Trabalhar em Wi-Fi público sem uma VPN
- Utilizar palavras-passe fracas
A maioria destes erros humanos pode ser evitada melhorando o estado do ciberespaço security awareness na tua organização.
Neste artigo, aprenderás as noções básicas de security awareness e como a tua organização pode começar a melhorá-lo hoje mesmo.
O que é security awareness: uma definição
Security awareness refere-se a uma compreensão das ciberameaças e das melhores práticas para salvaguardar informações e sistemas sensíveis. Implica reconhecer potenciais riscos, aderir a comportamentos seguros e manter-se informado sobre a evolução das ciberameaças para se proteger contra violações de dados, malware e outros desafios de segurança online.
Porque é que o security awareness é mais importante do que nunca
Há muitas ideias erradas sobre security awareness. Aqui estão algumas que ouvimos muito:
→ "A segurança é da responsabilidade do departamento de TI, não minha"
→ "Os cibercriminosos estão demasiado avançados para que a formação em security awareness seja eficaz"
→ "Os cibercriminosos só pirateiam grandes empresas, porque é que me iriam atacar a mim?"
→ "Os meus empregados não precisam de formação, são utilizadores experientes da Internet"
Tal como referido na introdução deste artigo, 95% de todas as invasões e fugas de dados são causadas por erro humano. Por muito software cyber security que tenhas instalado, não te pode proteger de erros humanos, como clicar numa ligação phishing ou utilizar palavras-passe fracas. Isto significa que cada funcionário da tua organização tem a responsabilidade de manter os dados da empresa seguros.
Muitas das tácticas utilizadas pelos criminosos informáticos não são tão avançadas como se pensa. Quando a tua equipa estiver ciente do básico, as hipóteses de uma violação de dados diminuem muito. Por exemplo, a maioria das fugas de dados ainda é causada por palavras-passe fracas e pela ausência de autenticação de dois factores.
Aqui tens um exemplo de um hacker ético a piratear o sistema de uma organização. Não com ferramentas sofisticadas, mas com engenharia social simples:
Se a tua organização estiver ciente destas ameaças e tiver os procedimentos correctos em vigor, é muito menos provável que ocorram exemplos de pirataria como este.
A maior parte das grandes empresas investiu a fundo em cyber security. É por isso que os cibercriminosos estão a alargar o seu âmbito e a visar empresas de qualquer dimensão. Em 2022, os ciberataques a pequenas empresas foram mais frequentes do que os ataques às grandes empresas. No mesmo ano, registou-se um aumento global de 22% nos ciberataques globais.
Tudo isto significa que é obrigatório que empresas de todas as dimensões invistam em security awareness para toda a sua organização.
Como desenvolver security awareness dentro de uma organização
Para desenvolver um programa security awareness forte na tua organização, terás de seguir os seguintes passos.
Obtém a adesão da liderança
Antes de iniciares qualquer campanha em security awareness , certifica-te de que obténs o apoio da tua equipa de liderança. Se a liderança não estiver empenhada, todo o teu trabalho árduo acabará por ser em vão. Se o teu CEO não se importa, porque é que o resto da empresa se deveria sentir investida?
Partilha a importância do security awareness (ou simplesmente partilha este artigo 😉 ) e cria uma cadência regular para os actualizares sobre os projectos de segurança em curso.
Quando a sua equipa de liderança acreditar verdadeiramente na necessidade da cibersegurança security awareness, pode começar a concentrar-se nos chamados campeões departamentais. Estes são frequentemente chefes de equipa que estão mais próximos do resto da empresa e que podem precisar de te ajudar a levar a cabo iniciativas de segurança. São as pessoas através das quais comunicas as preocupações e as novas medidas de segurança.
Se trabalhas numa organização maior e precisas de convencer muitas partes interessadas, pode ser útil registá-las num modelo de gestão das partes interessadas.
Ao apresentares os teus planos à equipa de liderança, é importante deixar claro que se trata de um programa a longo prazo. Se isto não for claro, algumas pessoas podem pensar que vais organizar um evento único. Mas, para ser eficaz, o teu programa de sensibilização tem de ser uma maratona e não um sprint.
Estabelece políticas e procedimentos claros
As políticas e os procedimentos de segurança são a base da defesa de qualquer organização contra ataques cibernéticos. Estas políticas servem como um conjunto de directrizes que não só definem como proteger dados, sistemas e redes, mas também ditam como os funcionários se devem comportar no mundo digital.
Dois exemplos de políticas de segurança essenciais são:
- Política de controlo do acesso aos dados: Esta política define quem pode aceder a dados sensíveis e em que circunstâncias. Define as funções e as permissões dos utilizadores, os métodos de autenticação de acesso e as restrições à partilha de dados. Evita que pessoas não autorizadas visualizem e modifiquem informações confidenciais.
- Política de palavras-passe: Uma política de palavra-passe sólida estabelece directrizes para a criação e gestão de palavras-passe. Determina critérios para a complexidade, expiração e proteção da palavra-passe. Isto reduz o risco de acesso não autorizado à conta.
Também precisas de procedimentos claros sobre como os funcionários devem agir quando confrontados com uma ameaça cibernética ou mesmo uma violação.
Cria uma formação recorrente para os empregados
Depois de obteres a adesão da equipa de liderança, está na altura de organizar formação de sensibilização para todos dentro da organização. Durante estas formações, os funcionários devem ficar a conhecer todas as ameaças cibernéticas relevantes, que abordaremos mais adiante neste artigo.
Quando procurares uma solução de formação, considera os seguintes aspectos:
- Escolhe uma solução de formação que se baseie na gamificação. Um jogo security awareness como o Guardey permite que os utilizadores aprendam ativamente.
- Oferece formação recorrente. Muitas vezes, as empresas oferecem formação anual que proporciona um rápido aumento de conhecimentos, mas não resulta numa mudança de comportamento duradoura. Procura soluções de formação que ofereçam formação semanal, de tamanho reduzido.
- Certifica-te de que ofereces formação sobre todas as ameaças cibernéticas actuais. Por exemplo, se uma solução de formação não tiver conteúdos sobre as ameaças da IA, não é a solução certa. Os cibercriminosos evoluem rapidamente, o que significa que a tua solução de formação deve evoluir com a mesma rapidez para manter os teus funcionários informados.
Enquadra o teu programa com um tom positivo
Existe frequentemente um tom negativo associado à comunicação em torno de cyber security. Quando os funcionários falham um teste de phishing ou não obtêm pontuações elevadas durante a formação de sensibilização, podem sentir que vão ser julgados ou mesmo punidos por isso. É por isso que é fundamental posicionar o teu programa como algo que beneficia tanto a tua organização como o empregado.
Tendo isso em mente, compreende também que as pessoas não se preocupam com o seu programa de segurança da mesma forma que tu. Comunicar o porquê pode, portanto, fazer uma grande diferença. Mostra uma imagem vívida do impacto que pode ter quando não existe um programa security awareness .
Que ciberameaças devem ser incluídas na formação?
Security awareness implica mais do que apenas phishing e a gestão de palavras-passe. Quando dás formação ao teu pessoal, tens de te certificar que abranges todas as ameaças cibernéticas que possas enfrentar. Aqui está uma lista que está longe de ser completa e que te dá uma ideia das ameaças que devem ser incluídas na formação.
- Phishing ataques: Ensina a tua equipa a reconhecer e-mails phishing e ligações suspeitas e realça a importância de não partilhar informações sensíveis com fontes desconhecidas.
- Ransomware: Fornece orientações sobre a identificação de potenciais ameaças de ransomware e salienta a importância de fazer regularmente cópias de segurança dos dados.
- Engenharia social: Dá formação aos empregados para terem cuidado ao partilharem informações sensíveis pessoalmente, por telefone ou online, e para verificarem a identidade das pessoas que pedem dados confidenciais.
- Segurança da palavra-passe: Promove práticas de palavras-passe fortes, incluindo a utilização de palavras-passe complexas e únicas, activando a autenticação de dois factores e evitando a partilha de palavras-passe.
- Malware: Educa os funcionários sobre os riscos de descarregar software ou ficheiros de fontes não fidedignas e a importância de utilizar software antivírus de boa reputação.
- Ameaças internas: Sensibilizar para a possibilidade de acções maliciosas por parte de funcionários ou parceiros, realçando a necessidade de uma cultura de vigilância e confiança.
- Riscos BYOD (Bring Your Own Device): Fornece orientações para a utilização segura de dispositivos pessoais no local de trabalho e reconhece as potenciais ameaças à segurança associadas aos mesmos.
- Tratamento e proteção de dados: Dá instruções aos empregados sobre como manusear, armazenar e transmitir corretamente dados sensíveis para evitar violações de dados e acesso não autorizado.
- Segurança Wi-Fi: Educa os empregados sobre os perigos da utilização de redes Wi-Fi públicas não seguras e a importância de utilizar uma rede privada virtual (VPN) quando necessário.
- Segurança do correio eletrónico: Destaca as melhores práticas de correio eletrónico, tais como verificar os remetentes de correio eletrónico, não abrir anexos ou clicar em ligações em mensagens de correio eletrónico suspeitas e comunicar tentativas de phishing .
E a lista continua. Se uma solução de formação security awareness não abranger alguns dos tópicos acima referidos, considera-a incompleta e não adequada.
O resultado final
Contrariamente à crença popular, podes de facto ser mais esperto do que os hackers. As organizações conscientes da segurança têm simplesmente menos probabilidades de serem afectadas por ataques informáticos. A maioria das invasões e fugas de dados ainda acontece devido a erros humanos simples: clicar em phishing links, trabalhar a partir de uma rede não segura ou não utilizar a autenticação de dois factores.
Para estabelecer o ciberespaço security awareness na tua organização, deves considerar oferecer formação regular em security awareness . Isto permite que os teus empregados conheçam os maiores riscos cibernéticos e ajam em conformidade quando confrontados com um.
Com o jogo security awareness da Guardey, a tua equipa recebe um desafio semanal de 3 minutos sobre um tópico de segurança específico. O jogo é criado em colaboração com hackers éticos e pedagogos para conseguir uma mudança de comportamento duradoura. Podes começar agora um teste gratuito de 14 dias.
