O risco humano na cibersegurança é uma preocupação crescente, com vários estudos a indicarem que os erros humanos, intencionais ou acidentais, são uma das principais causas das violações de segurança. De acordo com uma investigação da Universidade de Stanford e da Tessian, 88% das violações de dados são causadas por erros dos funcionários. O envolvimento dos seres humanos na cadeia de cibersegurança é um fator de risco significativo, uma vez que as organizações têm frequentemente provas anedóticas do impacto dos erros humanos nos incidentes de segurança. Para atenuar eficazmente estas ameaças, as organizações têm de enfrentar os riscos de gestão dos recursos humanos, abordando as vulnerabilidades não só dos empregados, mas também dos não empregados.
Este guia explora os vários tipos de risco humano dentro de uma organização e oferece estratégias para reduzir esses riscos, com foco na construção de uma força de trabalho segura e resiliente.
Errar é humano: Definição de risco humano
A definição do significado de "erro humano" é importante para se saber como minimizar o risco de um erro de segurança relacionado com o ser humano.
O erro humano pode ser amplamente categorizado em duas áreas:
Superintendência
Erros e erros acontecem, e quando acontecem, a ameaça a uma organização aumenta. Um exemplo típico de supervisão é um funcionário que envia acidentalmente um e-mail com informações sensíveis à pessoa errada, também conhecido como incorrectamente entregue de um e-mail.
Outro exemplo de um esquecimento é a má configuração de uma componente de nuvem, tal como uma base de dados. Ainda outro, é pensar que não há problema em partilhar uma palavra-passe com um colega. A supervisão abrange a área geral do tratamento incorrecto de dados sensíveis por parte dos empregados, o que pode levar ao não cumprimento, multas e perda de confiança dos clientes.
Engano
Os esquemas de engenharia social aumentam o risco humano numa organização. Os esquemas de engenharia social, tais como e-mails de phishing contendo anexos ou ligações maliciosas, podem aumentar o risco humano numa organização.
Outro exemplo de um funcionário que é enganado por um agente malicioso é o Business Email Compromise (BEC), um esquema em que um cibercriminoso engana os funcionários para que paguem facturas fraudulentas. Quer um empregado seja enganado ou cometa um erro involuntário, o resultado pode ser catastrófico. O relatório da unidade de crimes na Internet do FBI, IC3, sobre o crime de BEC, por exemplo, concluiu que as perdas devidas ao BEC em 2020 ascenderam a 1,8 mil milhões de dólares.
Para uma discussão mais pormenorizada sobre o papel dos trabalhadores na cibersegurança organizacional, consulte o artigo Human Firewall: o que é um Human Firewall e como construir um?, que destaca a importância da formação e sensibilização dos trabalhadores para a criação de uma primeira linha de defesa forte.
Cinco estratégias para mitigar o risco humano
Para reduzir os riscos de gestão dos recursos humanos, as organizações podem implementar cinco estratégias-chave para melhorar a higiene da segurança e diminuir o risco associado ao erro humano:
1) Quebre o Ciclo do Clique
Os hábitos dos funcionários, influenciados pelo design UI/UX de fácil utilização, podem levar a acções descuidadas, como clicar em links maliciosos sem pensar. Para contrariar esta situação, os testes de phishing controlados podem ajudar a modificar o comportamento de clique, incentivando os funcionários a serem mais cautelosos nas suas acções.
2) Construir uma cultura de segurança
O risco cibernético diz respeito a todos. Ao criar uma cultura de cibersegurança, deve centrar-se nas áreas que aumentam o risco numa empresa ou num processo, tendo em conta que podem existir níveis de risco diferentes ou variáveis consoante o departamento ou mesmo o funcionário. Os exercícios de construção de uma cultura de cibersegurança têm de refletir as necessidades granulares de uma empresa e, ao criar uma cultura de sensibilização para a cibersegurança, pode ajudar a reduzir o risco através do conhecimento.
3) Apoiar melhores decisões
Muitos dos erros humanos que conduzem ao aumento do risco cibernético são simplesmente erros de julgamento. O erro humano abrange uma vasta gama de questões que conduzem à exposição de dados e a outros incidentes de segurança. Por vezes, trata-se simplesmente de não ter a informação necessária para tomar uma boa decisão. E, por vezes, trata-se de criar estruturas para que não se possa tomar a decisão errada. A higiene da segurança é um exemplo disso.
A investigação da Yubico descobriu que 69% dos empregados partilham palavras-passe para facilitar o acesso à conta. Para desarmar o factor humano no trabalho, ensinar ao pessoal sobre a importância de não partilhar palavras-passe, e apoiar isto através da imposição do uso da autenticação de segundo factor (2FA) a quaisquer aplicações que suportem o 2FA.
4) Ciber-higiene para reduzir o risco de erro humano
Ensinar os empregados sobre ciber-higiene acrescenta peso às questões de higiene de segurança mencionadas acima. A ciber-higiene abrange uma série de áreas e inclui uma política de secretária limpa que é aplicável. As melhores práticas de ciber-higiene minimizarão os riscos de segurança em linha e manterão os sistemas informáticos saudáveis. Ajudará também a cumprir as normas de segurança, como a ISO 27001.
A prática da ciber-higiene estende-se dos empregados a uma atenção geral aos cuidados de saúde dos sistemas de TI; isto inclui a utilização de ferramentas adequadas para monitorizar potenciais ameaças, garantindo que os certificados digitais são actualizados, que as correcções são rapidamente implementadas, etc. As boas práticas de ciber-higiene implicam garantir que qualquer erro humano na configuração dos sistemas ou nos processos empresariais seja detectado antes de ser explorado.
Para mais informações sobre como aplicar a ciber-higiene e minimizar o risco humano, consulte o artigo Human Risk Management: gestão de risco humano em cibersegurança.
5) Faça as pessoas parte da sua abordagem estratificada da segurança
Os funcionários são muitas vezes a fonte de um aumento do risco cibernético, mas são também onde uma organização pode reduzir o risco do fator humano. Ao garantir que os empregados e os não empregados fazem parte de uma abordagem estratificada da cibersegurança, a sua empresa pode assegurar uma redução holística do risco de "pessoas, processos e tecnologia".
Ao envolver todo o pessoal em formação, desde o CEO até ao mais recente nomeado, cobre todas as lacunas onde os dados podem vazar, ou onde podem ocorrer contratempos de segurança.
Redução do risco na gestão de recursos humanos
Os erros humanos e a engenharia social continuam a ser algumas das maiores ameaças à segurança cibernética de uma organização. No entanto, ao tomar medidas proactivas - tais como fomentar uma cultura de segurança forte, promover a ciber-higiene e integrar os funcionários num quadro de segurança robusto - as organizações podem reduzir significativamente os seus riscos de gestão dos recursos humanos. Uma força de trabalho bem informada e empenhada é essencial para transformar a vulnerabilidade humana num ativo estratégico, reforçando a resiliência geral da organização às ciberameaças.
