Desenvolver uma cultura de conformidade é tão importante quanto criar uma cultura de trabalho nas organizações. Empresas como a Equifax e a Capital One geram grande alvoroço nos meios de comunicação quando os dados sob a sua responsabilidade são expostos; no entanto, as fugas de dados assumem muitas formas e ocorrem em todas as escalas. Um dos mais prejudiciais é o vazamento acidental de dados por parte de um colaborador. As consequências dessa exposição de dados podem ter implicações enormes para uma organização, pois a perda de dados confidenciais não só é embaraçosa e prejudicial à reputação, como também pode afetar a tua conformidade e resultar em multas pesadas.
Criar uma «cultura de conformidade em matéria de cibersegurança» pode ajudar a evitar que a tua empresa passe a fazer parte das estatísticas de incumprimento; eis como e porquê.
Quando os bons «insiders» se tornam, sem querer, maus
Muitos setores são afetados pelo simples problema dos acidentes e erros causados por pessoas, como uma configuração errada de uma base de dados ou o envio por engano de um e-mail confidencial. Estes incidentes de cibersegurança são, infelizmente, muito comuns, tendo o Relatório de Investigações sobre Violações de Dados da Verizon de 2021 revelado que 22% dos incidentes de segurança foram causados por pessoas internas.
Algumas ameaças internas podem muito bem ter intenções maliciosas, mas mesmo as que são acidentais podem ter um impacto enorme na situação de conformidade de uma empresa – a Universidade Nacional Australiana (ANU) é um bom exemplo disso. Um membro sénior do pessoal da universidade expôs acidentalmente 700 MB de dados que incluíam nomes, moradas, números de contribuinte, dados de contas bancárias, etc. O incidente ocorreu quando uma campanha bem-sucedida de spear-phishing, que visava dezenas de e-mails de funcionários da ANU, resultou no acesso de hackers à rede através de um nome de utilizador e palavra-passe com privilégios.
Os e-mails enviados para o destinatário errado são outra causa comum de fugas de dados. É fácil enviar um e-mail para o destinatário errado, sendo que usar o campo «cc» em vez do «bcc» é uma forma comum de partilhar acidentalmente informações confidenciais. Isto aconteceu em 2020 à Sonos, quando um funcionário expôs acidentalmente mais de 450 endereços de e-mail ao adicionar endereços de clientes ao campo «cc» em vez de «bcc» ao responder às reclamações dos clientes. O incidente foi comunicado à ICO por um cliente lesado que constava da lista de «cc».
Uma forma eficaz de combater este comportamento é sensibilizar os colaboradores para o impacto que acidentes simples ou e-mails de phishing podem ter na conformidade de uma organização. Se for bem feita, esta interação com os colaboradores sobre questões de conformidade vai resultar numa cultura coerente de conformidade em matéria de cibersegurança.
Como criar uma cultura de conformidade em matéria de cibersegurança
A formação em conformidade exige que percebas as leis e os regulamentos que afetam a tua organização. Esses regulamentos estão intimamente ligados à cibersegurança no que diz respeito às leis de proteção de dados, como o Regulamento de Proteção de Dados do Reino Unido (DPA2018) e o Regulamento Geral sobre a Proteção de Dados da UE (RGPD). Promover a sensibilização dos colaboradores para a conformidade é o caminho para uma cultura de conformidade em matéria de cibersegurança.
O uso da palavra «cultura» é importante. Uma cultura empresarial engloba ideias, costumes e, sobretudo, comportamentos. O comportamento humano está na origem de muitas fugas acidentais de dados, especialmente as que envolvem phishing. A vontade de clicar é forte nas pessoas, porque fomos condicionados a usar os computadores de uma determinada forma, tanto em casa como no trabalho. Quebrar esse padrão e substituí-lo por uma cultura empresarial baseada no conhecimento e na compreensão de como a cibersegurança e a conformidade interagem começa no topo e espalha-se por toda a organização.
5 passos para criar uma cultura de conformidade que valorize a cibersegurança:
- Investir em segurança e conformidade: defender e incentivar as mudanças necessárias para sensibilizar para as expectativas em matéria de conformidade. Isso vai exigir um investimento em tempo, recursos e dinheiro; é preciso que a direção se comprometa a construir esta cultura de conformidade.
- Cria um programa de conformidade envolvente para promover uma mudança cultural: uma cultura de conformidade em matéria de cibersegurança rompe barreiras e comportamentos enraizados. É preciso quebrar esses comportamentos de uma forma divertida e envolvente. Recorre a sessões de formação que envolvam ativamente os colaboradores e a direção.
- Promove a compreensão e o conhecimento sobre a conformidade: as pessoas não conseguem mudar nem cumprir uma política se não perceberem por que é que lhes pedem para fazer algo. Explica aos teus colaboradores os motivos e as razões por trás dos requisitos de conformidade. Cria um programa de conformidade eficaz que defina o papel de cada um na manutenção da segurança dos dados e da conformidade.
- A segurança e a conformidade são para todos: construir uma nova cultura de conformidade é uma experiência partilhada. O teu programa tem de refletir isso. Todas as áreas da tua organização são parceiros em pé de igualdade na construção da tua cultura de conformidade em matéria de cibersegurança. No entanto, nem todos os aspetos da cultura de conformidade são iguais, e os programas devem ser adaptados a departamentos específicos. Por exemplo, os RH podem precisar de dar mais ênfase ao envio errado de e-mails, enquanto a TI pode precisar de se concentrar mais na configuração incorreta de bases de dados e servidores. Todos devem estar a par dos requisitos dos regulamentos e das políticas de conformidade que se aplicam ao teu setor e à tua região.
- Feedback e melhoria contínua da cultura: as regras mudam, as pessoas esquecem-se da formação e os sistemas são atualizados. Construir uma cultura de conformidade que integre os esforços de cibersegurança e conformidade não é uma tarefa pontual. O programa tem de ser atualizado e implementado regularmente. Uma forma de avaliar a tua cultura de cibersegurança e conformidade é ouvir os teus colaboradores. Isto também ajuda a reforçar o envolvimento deles na construção dessa cultura e a garantir a conformidade.
Os nossos colaboradores são os principais responsáveis pelos dados que as nossas organizações geram, partilham, armazenam e eliminam. A tua equipa tem de estar ciente das consequências das suas ações na conformidade da empresa e do papel que desempenha na manutenção dessa conformidade. No entanto, não basta só passar a mensagem!
Para mudar comportamentos e crenças profundamente enraizados, a cultura de conformidade tem de ser um valor fundamental que reflita as necessidades decorrentes das ameaças atuais à cibersegurança e dos requisitos regulamentares em matéria de segurança de dados; e, tal como todas as mudanças culturais, isto só pode ser eficaz com o apoio daqueles que são afetados por essa mudança.