A cibersegurança é da responsabilidade de todos. Como seres humanos, somos naturalmente cooperativos, prosperando na colaboração e no sucesso partilhado. Este sentido de união não só fortalece as nossas comunidades, como também é vital para construir organizações robustas e eficientes face às crescentes ciberameaças.

Neste artigo, vamos explorar a forma como os funcionários desempenham um papel crucial em estratégias de segurança eficazes e contribuem para a gestão do risco humano. Discutiremos a importância de promover uma cultura empresarial em que a cibersegurança seja vista como uma responsabilidade colectiva e como a união de esforços numa só direção pode ajudar a criar uma organização cibersegura. No entanto, para o conseguir, é necessário um planeamento e uma preparação cuidadosos para garantir que todos compreendem o seu papel no controlo moderno das ameaças à cibersegurança.

A cibersegurança é mais do que tecnologia

Os atacantes de segurança procuram um caminho fácil; afinal, porquê tornar a vida difícil para ti? A “viagem fácil” surge sob a forma de cenários de ataque à cibersegurança que recorrem a um ser humano, normalmente um empregado ou um parceiro de negócios, para abrir a porta da rede empresarial.

Normalmente, os cibercriminosos utilizam técnicas de engenharia social e phishing para entrar na rede e, uma vez lá dentro, os ciberatacantes podem banquetear-se com os dados, instalar ransomware e causar o caos geral.

Os investigadores da Universidade de Stanford descobriram que 88% das violações de segurança têm um elemento de erro humano, sendo que os funcionários muitas vezes não estão dispostos a admitir os erros. O relatório também identificou os e-mails de phishing como a causa de 25% das violações, com os esquemas de phishing a apanharem os empregados utilizando engenharia social e truques psicológicos para manipular o comportamento.

Para agravar o sucesso do elemento humano nos ciberataques, foi demonstrado que as ferramentas de segurança tradicionais, como o software antivírus, são apenas 50% eficazes na deteção de ameaças. Este duplo golpe da engenharia social, juntamente com tecnologias de segurança menos de 100% eficazes, levou a que as equipas de TI compreendessem que necessitam de uma abordagem mais holística para proteger os recursos.

Em vez disso, os profissionais de segurança sabem que, para enfrentar os ciberataques, têm de incorporar uma combinação de formação em sensibilização para a segurança e medidas tecnológicas conduzidas por uma aplicação sólida das políticas.

Em última análise, todos os elementos de uma organização têm um papel a desempenhar na criação de uma camada protetora contra os ciberataques. A utilização de cinco valores fundamentais ajuda a cimentar a responsabilidade de todos dentro de uma empresa.

Cria uma mentalidade de cibersegurança responsável através de cinco valores fundamentais

O reconhecimento de que a cibersegurança é uma responsabilidade de todos e de que os empregados são uma parte crucial de uma estratégia de cibersegurança eficaz conduz ao conceito de firewall humana. Esta é uma ideia que se baseia em permitir que os funcionários actuem como um escudo contra as ciberameaças centradas no ser humano.

Os funcionários são um alvo dos cibercriminosos que procuram formas fáceis de entrar numa organização. Uma responsabilidade eficaz e acionável exige ferramentas de proteção contra ataques que se centram nos empregados; um empregado com poderes reduz a probabilidade de um ataque bem sucedido.

A construção de uma firewall humana robusta exige uma mudança de mentalidade. Esta mudança de mentalidade cria uma cultura de cibersegurança, assente numa boa educação em matéria de segurança e em ferramentas e medidas que fornecem aos empregados e a outros não empregados os meios para ajudar a detetar e combater o phishing e outras fraudes, como o Business Email Compromise (BEC).

Esta mentalidade de colocar a segurança em primeiro lugar é defendida pelo Instituto Nacional de Normas e Tecnologia (NIST). Uma publicação de 2018 do NIST, intitulada “A segurança é tarefa de todos“, estabelece cinco valores fundamentais que são utilizados para criar uma cultura de cibersegurança que o NIST considera “crítica” para uma postura de cibersegurança bem sucedida:

1/ Valor essencial 1 – Mentalidade

O NIST afirma que uma cultura de segurança cibernética é fundamental para imbuir toda a organização de uma mentalidade de segurança em primeiro lugar. Esta pedra basilar da segurança empresarial prepara o cenário para uma melhor segurança através da sensibilização para os truques e fraudes que levam à exposição de dados, ransomware e outras violações de segurança.

2/ Segundo valor essencial – Liderança

O tom da responsabilidade pela segurança deve vir do topo para encorajar e impor a mentalidade de segurança necessária para impedir os ciberataques.

Esta liderança descendente em matéria de segurança está a ser formalizada, uma vez que a Gartner, Inc., prevê que “até 2025, 40% dos conselhos de administração terão um comité dedicado à cibersegurança supervisionado por um membro qualificado do conselho de administração”. Os líderes devem dar o exemplo e agir para influenciar e modelar bons hábitos de segurança.

3/ Valor essencial três – Formação e sensibilização

O NIST reconhece que um elemento fundamental de uma organização segura é a implementação da formação em sensibilização para a segurança. Ao educar os funcionários sobre truques de engenharia social e ao treiná-los para detetar e-mails de phishing, os funcionários podem “bater com a porta da ciberameaça” na cara do cibercriminoso.

4/ Valor essencial quatro – Gestão do desempenho

Os objectivos da organização devem estar alinhados com os objectivos de desempenho individual. O NIST sugere a utilização de incentivos e desincentivos para ajudar a modificar o mau comportamento em matéria de cibersegurança.

5/ Valor essencial cinco – Reforço técnico e político

As medidas técnicas, como a autenticação multifactor (MFA) e as políticas de palavra-passe, devem ser utilizadas para reforçar e aplicar uma boa higiene de segurança.

A cibersegurança é da responsabilidade de todos: Ciber-segurança através da ciber-responsabilidade

A cibersegurança é da responsabilidade de todos. Mas quando responsabilizas alguém por algo, tens de lhe dar as ferramentas para agir de acordo com essa responsabilidade.

Para iniciar o processo de se tornar uma organização ciber-responsável, uma empresa deve criar uma cultura em que a segurança seja uma segunda natureza. Os seres humanos são naturalmente cooperativos, e um sentido de responsabilidade pode ser cultivado através da implementação dos cinco valores fundamentais do NIST, como mostrado acima.

Estes valores permitem-te sublinhar e impor um sentido de responsabilidade em matéria de cibersegurança e fornecer aos empregados os meios para cumprirem essa responsabilidade e actuarem como uma força combinada contra os ataques de engenharia social.

Formação em sensibilização para a segurança para leigos