Estratégias eficazes para minimizar os riscos de cibersegurança

O «fator humano» é um aspeto fundamental a ter em conta na criação de uma estratégia eficaz para minimizar os riscos de cibersegurança. No entanto, esta afirmação envolve muitos aspetos, já que os nossos colaboradores são uma parte essencial do sucesso da nossa organização; em vez de atribuir culpas, temos de distinguir as ações maliciosas das acidentais, detetando as primeiras e prevenindo as segundas.

Através de formação específica em sensibilização para a segurança, é possível mitigar os fatores humanos que levam a falhas humanas. Vê aqui como e por que é que o risco de cibersegurança pode ser gerido através da sensibilização para a segurança.

Por que é que os fatores humanos levam a riscos de cibersegurança

O fator humano no risco de cibersegurança costuma ser chamado de «ameaça interna». Esses «internos» podem ser funcionários ou pessoas que não são funcionários, como consultores. O simples facto de os internos fazerem parte integrante dos processos de uma organização e utilizarem recursos de TI com autorização torna difícil lidar com as falhas humanas que levam a riscos de cibersegurança.

O risco de cibersegurança relacionado com ameaças internas é um problema grave: um Relatório sobre Ameaças Internas de 2020, elaborado pela Cyber Security Insiders, destaca que 68% das organizações se sentem «moderadamente a extremamente vulneráveis» a ameaças internas. Isto não é surpreendente quando vês algumas das notícias de última hora sobre ciberataques do ano passado, como o ataque ao Twitter de 2020, em que contas de grande visibilidade, incluindo a do Barack Obama, foram acedidas e usadas para enganar os utilizadores do Twitter e levá-los a fazer transações ilícitas com bitcoin. Estima-se que as perdas tenham rondado os 180 milhões de dólares (129 milhões de libras) e que o preço das ações do Twitter tenha caído 4%. O ataque envolveu spear-phishing a funcionários do Twitter e o roubo de credenciais privilegiadas.

Os cibercriminosos aproveitam-se dos fatores humanos para conseguir acesso não autorizado, roubar credenciais e infetar sistemas de TI e terminais com malware, como o ransomware. Sem o efeito «humano na máquina», o cibercrime seria muito mais difícil.

Os fatores humanos que levam a falhas humanas

De acordo com um estudo da IBM, as três principais áreas a que deves prestar atenção ao criar estratégias de segurança para mitigar os riscos de cibersegurança são:

1. 1. Phishing

1. 1. Analisar e explorar

1. 1. Utilização não autorizada de credenciais

Os três vetores têm um elemento que envolve o fator humano em algum ponto da cadeia de ataque.

Phishing e spear-phishing – fatores humanos: Isto requer que uma vítima clique num link ou abra um anexo infetado para dar início à cadeia de infeção. Muitas vezes, o phishing é usado para visar utilizadores com privilégios (spear-phishing) e roubar as suas credenciais. Os utilizadores com privilégios têm acesso a recursos mais importantes – o roubo de credenciais privilegiadas é o Santo Graal da pirataria informática. Aqui, entra em jogo um fator humano, como a resposta automática de clicar.

Analisar e explorar – falha humana: os hackers aproveitam tudo o que lhes facilita a vida, e a capacidade de analisar automaticamente em busca de vulnerabilidades é um vetor útil para a infeção por malware. Os componentes dos sistemas de TI, como servidores web, bases de dados e aplicações na nuvem, podem acabar mal configurados se o impacto de uma segurança deficiente não for totalmente compreendido. Aplicações e componentes web inseguros resultam em falhas de segurança que os hackers podem explorar. Neste caso, a falha humana leva a riscos de cibersegurança.

Utilização não autorizada de credenciais – falhas humanas e fatores humanos: o roubo de credenciais leva ao acesso não autorizado a sistemas e recursos de TI. As formas como as credenciais podem ser utilizadas sem autorização incluem:

• • Espiar por cima do ombro: as credenciais são roubadas quando alguém mal-intencionado observa outra pessoa a introduzir uma palavra-passe.

• • Phishing: induzir alguém a introduzir as credenciais de acesso numa página de login falsa.

• • Engenharia social: induzir alguém a revelar as suas credenciais de acesso por telefone, nas redes sociais ou através de outros meios de comunicação, como e-mails, serviços de apoio ao cliente e mensagens de texto.

Nos três principais vetores de ataque informático, tanto o fator humano como a falha humana têm um papel preponderante. O risco de cibersegurança está concentrado nos nossos colaboradores e em pessoas que não fazem parte da empresa, mas como é que podemos reduzir esse risco?

Melhores práticas para evitar que os fatores humanos se transformem em falhas humanas?

Um estudo da Kaspersky, que se centrou no papel que os fatores humanos desempenham no risco de cibersegurança, concluiu que «funcionários descuidados ou desinformados» são a segunda causa mais provável de uma falha de segurança grave; a infeção por malware é a primeira, mas muitas vezes é ela própria causada por funcionários descuidados ou desinformados. Com os elevados níveis de risco associados aos fatores humanos, reduzir as falhas é essencial para mitigar o risco de segurança.

Destacam-se duas áreas que abrangem tanto o pessoal descuidado como o desinformado:

Decisões descuidadas que levam a falhas de segurança: tomar más decisões em matéria de segurança, como configurar mal os sistemas e componentes de TI, ou clicar num link de phishing sem pensar, são falhas humanas que aumentam o risco de cibersegurança. A configuração incorreta de sistemas e componentes de TI é um exemplo de uma decisão descuidada em matéria de segurança. Clicar num link de phishing é outro exemplo. Tanto o pessoal de TI como o que não é de TI pode tomar decisões descuidadas que levam a falhas de segurança. Garantir que todo o pessoal, tanto técnico como não técnico, esteja ciente do impacto das suas escolhas é uma forma fundamental de mitigar o risco de cibersegurança.

Colaboradores desinformados levam a falhas de segurança: se os colaboradores não têm noção do que estão a fazer, como é que podem saber quais são as consequências para a segurança? As empresas costumam dar formação aos colaboradores noutras áreas do negócio, e isso devia estender-se à formação em sensibilização para a segurança. A formação dos colaboradores em segurança inclui perceber como funciona o phishing, bem como outras falhas de segurança comuns, como a partilha de palavras-passe e o envio errado de e-mails. É importante notar que o envio errado de e-mails continua a aumentar como forma de erro humano, de acordo com o Relatório de Investigação de Violações de Dados da Verizon (DBIR).

Como minimizar o fator humano no risco de cibersegurança

O estudo da Kaspersky identificou um elemento crucial da falha humana na segurança: a vontade de esconder os erros. O inquérito revelou que, em 40% das empresas, os colaboradores esconderam incidentes de segurança. Este número deve servir de alerta e levar as pessoas a reforçarem a sua formação em segurança. Mesmo que o colaborador compreendesse as implicações de um incidente de segurança, sentia-se na mesma compelido a esconder a informação. Isto levanta a questão do porquê, com uma resposta em duas partes:

Faz da segurança uma cultura: pode parecer um cliché, mas se a noção de segurança estiver enraizada na tua cultura empresarial, é menos provável que os colaboradores fiquem sobrecarregados e com medo quando algo acontecer. Cria-se uma cultura de segurança através de formações de sensibilização para a segurança, que ajudam a criar hábitos positivos de segurança nos colaboradores.

Facilita a comunicação de incidentes de segurança: os incidentes têm de ser comunicados para que possam ser tratados pelo pessoal com as competências adequadas, de acordo com o nível de risco. Um sistema de comunicação, concebido para tornar o processo super fácil para os colaboradores, vai simplificar a comunicação de incidentes e aumentar a probabilidade de que isso aconteça.

Os fatores humanos levam a falhas humanas. Através de formações de sensibilização para a cibersegurança, as organizações podem abordar os comportamentos humanos que causam erros por descuido e más decisões, reduzindo assim o risco de cibersegurança.