Como reduzir o risco humano na tua organização

O risco humano na cibersegurança é uma preocupação crescente, com vários estudos a indicarem que os erros humanos, intencionais ou acidentais, são uma das principais causas das violações de segurança. De acordo com um estudo da Universidade de Stanford e da Tessian, 88% das violações de dados são causadas por erros dos funcionários. O envolvimento dos seres humanos na cadeia de cibersegurança é um fator de risco significativo, uma vez que as organizações têm frequentemente provas anedóticas do impacto dos erros humanos nos incidentes de segurança. Para atenuar eficazmente estas ameaças, as organizações têm de enfrentar os riscos de gestão dos recursos humanos, abordando as vulnerabilidades não só dos empregados, mas também dos não empregados.

Este guia explora os vários tipos de risco humano dentro de uma organização e oferece estratégias para reduzir esses riscos, com foco na construção de uma força de trabalho segura e resiliente.

Errar é humano: Definindo o risco humano

A definição do significado de “erro humano” é importante para se saber como minimizar o risco de um erro de segurança relacionado com o ser humano.

O erro humano pode ser classificado em dois domínios:

Supervisões

Os enganos e os erros acontecem e, quando acontecem, a ameaça para uma organização aumenta. Um exemplo típico de descuido é o facto de um funcionário enviar acidentalmente uma mensagem de correio eletrónico com informações sensíveis para a pessoa errada, ou seja, uma entrega incorrecta de uma mensagem de correio eletrónico.

Outro exemplo de descuido é a configuração incorrecta de um componente da nuvem, como uma base de dados. Outro exemplo é pensar que não há problema em partilhar uma palavra-passe com um colega. As omissões abrangem a área geral do manuseamento incorreto de dados sensíveis por parte dos funcionários, que pode levar à não conformidade, a multas e à perda de confiança dos clientes.

Deceção

As fraudes de engenharia social aumentam o risco humano numa organização. As burlas de engenharia social, como os e-mails de phishing que contêm anexos ou ligações maliciosas, podem aumentar o risco humano numa organização.

Outro exemplo de um empregado que é enganado por um agente malicioso é o Business Email Compromise (BEC), um esquema em que um cibercriminoso engana os empregados para que paguem facturas fraudulentas. Quer um empregado seja enganado ou cometa um erro involuntário, o resultado pode ser catastrófico. O relatório da unidade de crimes na Internet do FBI, IC3, sobre o crime de BEC, por exemplo, concluiu que as perdas devidas ao BEC em 2020 ascenderam a 1,8 mil milhões de dólares.

Para uma discussão mais pormenorizada do papel dos empregados na cibersegurança organizacional, consulta o artigo Building a Human Firewall, que salienta a importância da formação e sensibilização dos empregados para a criação de uma primeira linha de defesa forte.

Cinco estratégias para mitigar o risco humano

Para reduzir os riscos de gestão dos recursos humanos, as organizações podem implementar cinco estratégias-chave para melhorar a higiene da segurança e diminuir o risco associado ao erro humano:

1) Quebra o ciclo do clique

Os hábitos dos funcionários, influenciados pelo design UI/UX de fácil utilização, podem levar a acções descuidadas, como clicar em links maliciosos sem pensar. Para contrariar esta situação, os testes de phishing controlados podem ajudar a modificar o comportamento de clique, incentivando os funcionários a serem mais cautelosos nas suas acções.

2) Constrói uma cultura de segurança

O risco cibernético diz respeito a todos. Ao criar uma cultura de cibersegurança, deves concentrar-te nas áreas que aumentam o risco numa empresa ou num processo, tendo em conta que podem existir níveis de risco diferentes ou variáveis, dependendo do departamento ou mesmo do funcionário. Os exercícios de construção de uma cultura de cibersegurança têm de refletir as necessidades granulares de uma empresa e, ao criar uma cultura de sensibilização para a cibersegurança, pode ajudar a reduzir o risco através do conhecimento.  

3) Apoia melhores decisões

Muitos dos erros humanos que conduzem ao aumento do risco cibernético são simplesmente erros de julgamento. O erro humano abrange uma vasta gama de questões que conduzem à exposição de dados e a outros incidentes de segurança. Por vezes, trata-se simplesmente de não ter a informação necessária para tomar uma boa decisão. E, por vezes, trata-se de criar estruturas para que não se possa tomar a decisão errada. A higiene da segurança é um exemplo disso.

Um estudo da Yubico revelou que 69% dos funcionários partilham palavras-passe para facilitar o acesso às contas. Para reduzir o risco do fator humano no trabalho, ensina os funcionários sobre a importância de não partilharem palavras-passe e reforça esta ideia impondo a utilização da autenticação de segundo fator (2FA) em todas as aplicações que suportem 2FA.

4) Higiene cibernética para reduzir o risco de erro humano

Ensinar os empregados sobre a ciber-higiene acrescenta peso às questões de higiene de segurança mencionadas acima. A ciber-higiene abrange uma série de áreas e inclui uma política de secretária limpa que é aplicável. As melhores práticas de ciber-higiene minimizarão os riscos de segurança em linha e manterão os sistemas de TI saudáveis. Ajudará também a cumprir as normas de segurança, como a ISO 27001.

A prática da ciber-higiene estende-se dos empregados a uma atenção geral aos cuidados de saúde dos sistemas de TI; isto inclui a utilização de ferramentas adequadas para monitorizar potenciais ameaças, assegurando que os certificados digitais são actualizados, que as correcções são rapidamente implementadas, etc. As boas práticas de ciber-higiene implicam garantir que qualquer erro humano na configuração dos sistemas ou nos processos empresariais seja detectado antes de ser explorado.

Para mais informações sobre como aplicar a ciber-higiene e minimizar o risco humano, vê o artigo Human Risk Management in Cyber Security: Proteger a tua organização com práticas de higiene eficazes.

5) Faz com que as pessoas façam parte da tua abordagem em camadas à segurança

Os funcionários são muitas vezes a fonte de um aumento do risco cibernético, mas também são onde uma organização pode reduzir o risco do fator humano. Ao garantir que os funcionários e os não funcionários fazem parte de uma abordagem estratificada da cibersegurança, a sua empresa pode garantir uma redução holística do risco de “pessoas, processos e tecnologia”.

Ao envolver todo o pessoal na formação, desde o CEO até ao funcionário mais recentemente nomeado, cobre todas as lacunas em que os dados podem vazar ou em que podem ocorrer falhas de segurança.

Reduzir o risco na gestão de recursos humanos

Os erros humanos e a engenharia social continuam a ser algumas das maiores ameaças à segurança cibernética de uma organização. No entanto, ao tomar medidas proactivas – tais como fomentar uma cultura de segurança forte, promover a ciber-higiene e integrar os funcionários num quadro de segurança robusto – as organizações podem reduzir significativamente os seus riscos de gestão de recursos humanos. Uma força de trabalho bem informada e empenhada é essencial para transformar a vulnerabilidade humana num ativo estratégico, reforçando a resiliência geral da organização às ciberameaças.

[faq_posts]