Formação em sensibilização para a segurança com fornecedores externos

Uma forma eficaz de gerir as vulnerabilidades dos fornecedores externos é implementar formação em sensibilização para a segurança junto desses fornecedores.

O ecossistema de fornecedores é parte integrante de muitas organizações e é fundamental para o sucesso dos negócios. Esta relação estreita, e muitas vezes complexa, entre fornecedores criou pontos fracos que os hackers exploram. A formação em sensibilização para a segurança com fornecedores externos é extremamente importante.

A dimensão destas vulnerabilidades de terceiros foi revelada num inquérito de 2020 realizado pela Opinion Matters: o inquérito explorou questões de segurança do ecossistema de terceiros junto de CIOs, CISOs e diretores de compras. Um dos resultados mais preocupantes do relatório foi que cerca de 82% das organizações do Reino Unido tinham sofrido uma falha de segurança com origem no ecossistema mais alargado de fornecedores. O inquérito também destacou que o Reino Unido é o país com menor visibilidade das vulnerabilidades de segurança na cadeia de abastecimento.

Gerir as implicações de segurança decorrentes da utilização de terceiros

A formação em sensibilização para a segurança com fornecedores externos é um processo abrangente que envolve muitos aspetos. Devido à complexidade destes sistemas, tanto a exposição acidental de dados como os ataques de cibersegurança dirigidos à cadeia de abastecimento resultam em graves ameaças à segurança e num aumento do risco para a empresa.

As empresas que recorrem a fornecedores e outros terceiros são, normalmente, responsáveis pelas consequências de um ciberataque, mesmo que a culpa seja de um terceiro. Normas como a ISO 27001 e a PCI DSS (Payment Card Industry Data Security Standard) têm requisitos que exigem que quaisquer riscos relacionados com dados associados a fornecedores terceiros sejam geridos.

Um estudo recente da ENISA revelou que 58% dos ataques têm como objetivo obter acesso aos dados, sendo que 62% deles dependem da manipulação da confiança dos clientes na cadeia de abastecimento. O relatório da ENISA afirma que:

«Uma proteção de segurança robusta já não é suficiente para as organizações, agora que os atacantes já passaram a centrar a sua atenção nos fornecedores.»

O relatório também destacou que a comunicação de incidentes é deficiente, o que acaba por afetar a visibilidade das vulnerabilidades ao longo da cadeia.

Como as cadeias de abastecimento são responsáveis por tantos ciberataques, é essencial focar-se no lado humano da cibersegurança, garantindo que todos os terceiros estejam plenamente conscientes dos desafios de segurança. Abordar o elemento humano na equação das ameaças à cibersegurança passa pela Formação em Consciencialização de Segurança. Mas como é que uma organização gere a Formação em Consciencialização de Segurança com fornecedores externos?

Questões importantes na gestão da formação em sensibilização para a segurança com fornecedores externos

Gerir as vulnerabilidades de segurança na cadeia de abastecimento resume-se à formação dos colaboradores ao longo de toda a cadeia. A gestão da Formação em Consciência de Segurança com fornecedores externos e colaboradores levanta várias questões importantes:

A empresa terceirizada tem alguma formação em sensibilização para a segurança?

Descobre se o teu fornecedor já tem um pacote de formação em sensibilização para a segurança em vigor? Mas lembra-te que nem todos os pacotes de sensibilização para a segurança são iguais. O nível da formação tem de estar à altura das expectativas da tua empresa. Verifica se a formação é ministrada com regularidade. Um pacote de formação de má qualidade, que não utilize materiais interativos e envolventes, pode não conseguir mudar comportamentos inadequados dos colaboradores em matéria de segurança.

O fornecedor recorre a simulações de phishing e a outras ações de sensibilização sobre o phishing?

Num inquérito realizado pela Thales em 2021, o phishing ficou em terceiro lugar no top 10 das principais preocupações em matéria de ameaças aos dados. O malware e o ransomware, muitas vezes desencadeados pelo phishing, ocuparam o primeiro e o segundo lugares, respetivamente.

As simulações de phishing levam os colaboradores a passar por exercícios automatizados e cuidadosamente configurados. Com o tempo, isto reforça a confiança da equipa em saber identificar os sinais reveladores do phishing e como, depois, comunicar a ameaça. Fala com o teu fornecedor para veres se eles usam simulações de phishing e, se não, ajuda-os a desenvolver um programa que simule esquemas típicos de phishing que afetam o teu setor.

Avalia qualquer campanha de formação em sensibilização para a segurança já existente com fornecedores externos

Depois de teres a certeza de que o fornecedor tem um programa de formação em sensibilização para a segurança, podes avaliar a sua eficácia verificando:

• Provas documentais da formação, por exemplo, a participação dos funcionários nas sessões de formação, o tipo de perguntas feitas pelos formandos, etc.
• Indicadores da eficácia da formação, por exemplo, quantos colaboradores conseguiram reconhecer uma mensagem de phishing e, em seguida, denunciá-la?

As métricas ajudam a fazer ajustes específicos num programa, o que resulta em resultados de treino ainda melhores.

E se o teu fornecedor externo não recorrer a formações de sensibilização para a segurança?

É cada vez mais importante lidar com a componente humana do risco cibernético. Outro relatório da ENISA revelou que 95% dos e-mails de phishing precisam de intervenção humana para dar início a uma infeção por malware. Além disso, também é preciso ter em conta a ameaça representada por colaboradores que, acidentalmente, comprometem a segurança; o Relatório de Investigações sobre Violações de Dados da Verizon, de 2021, revelou que 22% dos incidentes de segurança envolveram colaboradores.

O pessoal do fornecedor tem de receber formação com os mesmos padrões rigorosos de sensibilização para a segurança que o pessoal da tua própria empresa. Para gerir isto, o Acordo de Nível de Serviço (SLA) entre a tua empresa e o teu fornecedor tem de refletir o nível de formação que esperas que seja ministrado. Este acordo legal deve exigir que os detalhes do programa de formação em segurança sejam aprovados de acordo com as tuas próprias normas. Ter um SLA em vigor, que inclua uma cláusula sobre a formação em sensibilização para a segurança, mostra que o fornecedor está empenhado tanto na segurança deles como na tua.

Os bons fornecedores externos garantem uma vantagem competitiva, mas as falhas de segurança podem transformar um bom fornecedor num risco.

Os cibercriminosos procuram o elo mais fraco da cadeia: o fornecedor e os seus colaboradores. Para garantir que estas falhas na segurança da cadeia sejam minimizadas, certifica-te de que a formação em sensibilização para a segurança com fornecedores externos é gerida com cuidado, de forma a cumprir as expectativas e os padrões que esperas.