A formação em sensibilização para a segurança é um método de prevenção de ameaças cibernéticas do qual as empresas de serviços financeiros podem tirar partido. Aqui vais encontrar uma análise das principais razões para recorrer a este tipo de formação, se fores uma organização de serviços financeiros.
O setor dos serviços financeiros tem vindo a passar por uma enorme transformação digital nos últimos anos. O setor está a adotar novas tecnologias para garantir melhores experiências aos clientes e otimizar as operações.
No entanto, a transformação digital fez com que o setor também se tornasse um alvo para os cibercriminosos: um inquérito sobre cibersegurança realizado em 2020 junto de CISOs e CIOs do setor dos serviços financeiros revelou que 65% das grandes organizações financeiras tinham sofrido um ciberataque nos 12 meses anteriores. Outro relatório, desta vez da Boston Consulting, revelou que o setor financeiro sofreu até 300 vezes mais ciberataques do que outros setores.
Formação cibersegurança para serviços financeiros
O hacker já não vive na cave dos pais, vestido com um casaco com capuz. Em vez disso, são grupos de hackers sofisticados, movidos por motivos financeiros e, por vezes, apoiados pelo Estado, que estão a tornar o cibercrime acessível a toda a gente.
Os modelos de negócio que oferecem ferramentas de pirataria informática «como serviço» estão disponíveis de forma fácil e barata na dark web. Estas ferramentas, aliadas às competências de engenharia social cada vez mais aperfeiçoadas dos cibercriminosos, levaram a uma onda gigantesca de ciberataques. Junta a isto o trabalho remoto ou a partir de casa e vais perceber que os astros das ameaças cibernéticas estão alinhados.
A Covid-19 abriu os olhos às organizações de todo o mundo, à medida que proliferavam os esquemas fraudulentos que se aproveitavam do medo em torno da pandemia. Esses esquemas, que tinham como alvo os funcionários, usavam táticas de phishing com temas relacionados à Covid-19 para roubar credenciais de acesso ou dados pessoais, ou para fazer com que um funcionário instalasse software malicioso (incluindo ransomware). À medida que o panorama do trabalho muda, as táticas de phishing e a engenharia social continuam a ser as principais escolhas dos cibercriminosos que querem causar danos.
As consequências da engenharia social e do phishing são dispendiosas. Um relatório de 2021 da Sophos revelou que as empresas de serviços financeiros de média dimensão gastam cerca de 2 milhões de dólares para se recuperarem de um ataque de ransomware; isto é mais do que a média global de 1,85 milhões de dólares. O relatório também destaca que 34% das organizações de serviços financeiros sofreram um ataque de ransomware em 2020.
A formação em sensibilização para a segurança é uma resposta eficaz à engenharia social utilizada pelos hackers.
Benefícios da formação em sensibilização para a segurança no setor dos serviços financeiros
Para impedir que os cibercriminosos se aproveitem dos funcionários através de técnicas de engenharia social e phishing, as empresas podem recorrer à Formação em Consciencialização de Segurança. No setor dos serviços financeiros, há cinco vantagens principais em participar num programa de consciencialização:
Mudar o comportamento de segurança de negativo para positivo
Os fraudadores, os cibercriminosos, os burlões… seja qual for o nome que se use para descrever estas atividades nefastas, todos se concentram no comportamento humano. A sensibilização para a segurança serve para mudar comportamentos inadequados em matéria de segurança e criar uma abordagem positiva em relação à segurança da empresa.
Promover comportamentos positivos em matéria de segurança ajuda a sensibilizar os colaboradores para os perigos da engenharia social. A formação de sensibilização também aborda os erros que podem levar à exposição de dados: isto é importante quando se tem em conta que os resultados do EC-Council mostram que 64% dos casos de perda de dados são atribuídos a pessoas internas que «tinham boas intenções».
A Formação em Consciência de Segurança ensina aos colaboradores de toda a organização a importância da segurança. Um programa de formação eficaz vai ensinar a equipa, através de conteúdos interativos e envolventes, sobre táticas e esquemas de segurança, além de oferecer exercícios de simulação de phishing que ensinam os colaboradores a identificar mensagens de phishing. Uma Formação em Consciência de Segurança contínua e eficaz cria um ciclo de feedback positivo, incentivando a equipa a lidar com ataques de segurança.
Impede os burlões do BEC de continuarem a agir
O ransomware pode ser notícia de primeira página, mas o Business Email Compromise (BEC) afeta mais empresas. Os dados de 2020 do Centro de Denúncias de Crimes na Internet ( IC3) do FBI mostram que o BEC afeta quatro vezes mais empresas do que o ransomware. As empresas de serviços financeiros correm tanto risco de fraude por BEC como qualquer outra organização.
Uma reportagem de 2020 da BankInfoSecurity revelou vários casos de fraude do tipo BEC, incluindo um que envolveu um banco sediado nos EUA. Nesse banco, um funcionário recebeu um e-mail de fraudadores que se faziam passar pelo CEO do banco. O e-mail pedia ao funcionário que enviasse urgentemente uma transferência já agendada no valor de 1 milhão de dólares. A mensagem incluía uma alteração nos dados da conta, especificando que isso se devia «ao surto de coronavírus e aos processos e precauções de quarentena».
Os esquemas de BEC envolvem frequentemente uma vigilância complexa dos funcionários. Os fraudadores chegam mesmo ao ponto de estabelecer relações com os operadores do serviço de assistência e com outras pessoas nos departamentos relevantes, para obterem informações sobre os processos da empresa. A formação em sensibilização para a segurança ensina aos funcionários os sinais dos esquemas de BEC e os tipos de táticas de engenharia social usadas pelos burlões.
Ajuda a garantir a conformidade regulamentar
Os colaboradores são parte integrante da garantia da proteção de dados e da privacidade. As suas ações podem facilmente levar uma organização de serviços financeiros a incorrer em incumprimento. Algo tão simples como enviar um e-mail para a pessoa errada pode resultar numa multa. Um inquérito recente revelou que 58% dos colaboradores admitiram já ter enviado um e-mail para a pessoa errada.
A formação em sensibilização para a segurança ajuda a evitar que os colaboradores cometam erros. Ter um programa eficaz que ofereça métricas e automatização da formação também demonstra o compromisso da empresa com a segurança. A implementação de formação em sensibilização para a segurança é obrigatória ou fortemente recomendada por várias normas e regulamentos, incluindo a ISO 27001 e a PCI-DSS, que inclui o seguinte no Requisito 12:
«Implementa um programa formal de sensibilização para a segurança, para que todo o pessoal fique a par da política e dos procedimentos relativos à segurança dos dados dos titulares de cartões.»
Cria uma «firewall humana»
Medidas de segurança como um controlo de acesso robusto, firewalls, proteção de terminais e encriptação são importantes, mas a engenharia social foi concebida para contornar as soluções de segurança tradicionais. Os colaboradores bem informados e seguros em matéria de segurança são uma parte essencial das medidas de cibersegurança de uma empresa de serviços financeiros.
Ao recorrer à Formação em Consciencialização de Segurança, uma empresa pode criar uma«firewall humana». Cada membro de uma equipa, em toda a organização, passa então a contribuir para reforçar os outros membros dessa equipa. Ao realizar formações regulares sobre segurança, a firewall humana torna-se mais forte e mais eficaz a detetar táticas de engenharia social.
Reforçar o ânimo dos funcionários
Um relatório da Carbonite mostra o impacto de um ciberataque nas pessoas, com 24% dos funcionários a registarem uma quebra na moral após um ataque. A confiança reforça a moral da equipa. A Formação em Consciencialização de Segurança é uma abordagem centrada nas pessoas para proteger os ativos de uma organização. Ao dar aos funcionários as ferramentas para ajudar a combater o cibercrime, uma organização está a capacitar a sua equipa para prevenir um ciberataque. A formação em sensibilização para a segurança não só ajuda a manter a organização segura, como também contribui para a moral da equipa.
As organizações de serviços financeiros em todo o mundo são um alvo privilegiado para os cibercriminosos e os fraudadores. Ter uma equipa bem formada faz parte de uma visão mais ampla, de 360 graus, para proteger uma empresa dos estragos causados por estes ataques maliciosos e sinistros.