A cibersegurança no local de trabalho tem vindo a tornar-se cada vez mais importante, à medida que mais empresas migram para recursos digitais e para a nuvem. O ransomware está no topo da lista de ameaças que podem paralisar uma organização, e estes ataques começam muitas vezes com um e-mail de phishing malicioso dirigido a funcionários específicos. Basta que um único funcionário seja vítima de um ataque sofisticado para que a tua organização fique paralisada devido ao bloqueio do acesso a ficheiros, ao roubo de dados e a ameaças persistentes avançadas escondidas na rede.
A Colonial Pipeline, que transporta gás e combustível para aviões do Texas até à Costa Leste, foi alvo de um ataque de ransomware. O ataque interrompeu a produção e obrigou a infraestrutura energética a encerrar as operações. Este tipo de ataques só tem vindo a aumentar, e começa por visar um funcionário que não percebe que uma mensagem é maliciosa. Muitas vezes, trata-se de uma falha na formação e sensibilização em matéria de cibersegurança no local de trabalho.
O CryptoLocker, um dos primeiros e mais populares ataques de ransomware, começou com um e-mail de phishing. Afetou quase 500 000 computadores e causou uma perda generalizada de dados em todo o mundo. O malware foi disseminado através do envio de uma quantidade enorme de e-mails com um ficheiro ZIP em anexo. Assim que era aberto, o ransomware fazia uma análise aos computadores e encriptava os ficheiros, bloqueando-os e impedindo o acesso a eles, a menos que fosse pago um resgate. É importante que saibas que qualquer e-mail com um ficheiro ZIP em anexo deve ser considerado suspeito.
CISO: O valor de um «comedor de pecados»
O papel de um Diretor de Segurança da Informação (CISO) é muito parecido com o do mítico e medieval «comedor de pecados» do folclore inglês. Um comedor de pecados comia uma refeição e absorvia os pecados dos mortos. Depois, carregava consigo os pecados de outras pessoas para as absolver da culpa, da vergonha e das consequências na vida após a morte.
Um CISO desempenha um papel semelhante, em que os erros dos colaboradores internos afetam a reputação, o desempenho profissional e as perspetivas futuras do próprio CISO. Se um colaborador for vítima de escândalos internos de cibersegurança, isso arruína a reputação da organização e prejudica os serviços de produção. Para proteger um colaborador específico do impacto negativo e das consequências, o CISO assume a culpa da vítima infeliz e responde pelo erro dela.
O facto de só haver um CISO na organização não significa que a responsabilidade recaia exclusivamente sobre uma única pessoa. A organização como um todo assume essa responsabilidade. No caso da violação de dados da Equifax, os administradores de servidores e o CISO responsável pela monitorização e aplicação de correções de software poderiam ser os únicos responsáveis por uma das maiores violações de dados até à data, mas a organização Equifax como um todo foi vista como irresponsável e assumiu a culpa pelas consequências.
Além de ser responsável pela cibersegurança interna, um CISO tem uma carga de trabalho cada vez maior, à medida que mais organizações migram para a nuvem e adotam o digital durante os confinamentos da pandemia em 2020. Para se manterem produtivas, as organizações foram obrigadas a permitir que os colaboradores trabalhassem a partir de casa depois de a COVID se ter espalhado pelo mundo. Esta mudança nos ambientes de trabalho levou a uma transição repentina para a computação na nuvem e para fluxos de trabalho digitais. O resultado foi que as empresas passaram a estar na nuvem sem terem prestado muita atenção à cibersegurança. A cibersegurança foi deixada para segundo plano, e os autores das ameaças aproveitaram-se ao máximo dessa falha. O phishing e o ransomware prosperaram à medida que mais funcionários foram vítimas de campanhas sofisticadas direcionadas a indivíduos.
Os Sete Pecados Capitais da Cibersegurança no Local de Trabalho
A sensibilização para a cibersegurança é fundamental para evitar riscos. Se os teus colaboradores não souberem como funciona um ataque de phishing, não se pode esperar que o evitem. O erro humano é um dos principais fatores nas violações de dados, mas eis sete «pecados capitais» e formas de evitares ser a próxima vítima:
- Palavras-passe fracas. A complexidade e o comprimento das palavras-passe reduzem a probabilidade de um ataque de força bruta às credenciais dos funcionários. Os administradores podem definir regras para as palavras-passe que exijam um determinado comprimento e complexidade, e que impeçam os utilizadores de reutilizarem as mesmas.
- Riscos do Wi-Fi público. Deves estar ciente dos riscos associados ao Wi-Fi público. Quaisquer aplicações críticas devem ser utilizadas através de uma Rede Privada Virtual (VPN) e nunca deves transmitir dados sem encriptação.
- Antivírus instalado e atualizado. As organizações que adotam uma política de «traz o teu próprio dispositivo» (BYOD) devem sensibilizar os utilizadores para a importância do antivírus e de o manter atualizado. Os administradores podem forçar as atualizações nas estações de trabalho, mas dependem dos utilizadores para manterem os seus próprios dispositivos seguros com o software antivírus mais recente.
- Abrir anexos de e-mail. Os administradores podem bloquear mensagens de e-mail suspeitas, mas os falsos negativos dão aos autores de ameaças a oportunidade de enganar os destinatários para que abram anexos maliciosos. Os utilizadores devem saber que não devem abrir anexos, especialmente se forem de remetentes externos.
- Clicar em links nos e-mails. Os links maliciosos abrem sites controlados por atacantes, onde os utilizadores podem ser levados a revelar as suas credenciais de rede ou outras informações confidenciais. Os utilizadores devem saber que não devem introduzir credenciais depois de clicarem em links. Em vez disso, devem digitar o domínio diretamente no navegador para verificar se a mensagem é legítima.
- Partilha de credenciais com outros utilizadores. Os utilizadores nunca devem partilhar palavras-passe. Se o fizerem, um colaborador que já não faça parte da empresa pode continuar a ter acesso a sistemas críticos, mesmo que a sua conta tenha sido desativada.
- Falta de sensibilização para a cibersegurança. Sem formação, os utilizadores não têm os meios para identificar um ataque. É responsabilidade do CISO criar um ambiente em que a formação em cibersegurança promova uma melhor prevenção de riscos e reduza os erros humanos.
Ajudar os colaboradores a combater os ciberataques e a estarem mais atentos às ameaças cibernéticas
Se os CISOs não dedicarem tempo a formar os colaboradores, deixam uma grande brecha na armadura de cibersegurança da empresa. A sensibilização para a cibersegurança é a primeira linha de defesa contra ataques sofisticados que exploram erros humanos, por isso deve ser sempre uma formação obrigatória para os novos colaboradores e para o pessoal atual.
A sensibilização pode ser feita de várias formas: eLearning, formação prática e políticas. Os colaboradores não são hackers, por isso a informação deve ser fácil de perceber. Devem perceber as consequências de serem vítimas de um ataque e terem acesso a informações que lhes permitam questionar a legitimidade de um e-mail, uma chamada telefónica, um site ou qualquer outra forma de ciberataque. Não precisam de conhecimentos técnicos aprofundados, mas têm de ter acesso às informações certas.
As maiores ameaças para uma organização são o phishing e o ransomware, mas a formação reduz os riscos associados a estas ameaças. Os colaboradores, com os conhecimentos certos, vão identificar o ataque, evitar serem vítimas, alertar as pessoas certas e, assim, o CISO vai ter um trabalho muito mais tranquilo. Sem sensibilização para a cibersegurança, o CISO continua a reagir de forma passiva a ataques que podem arruinar a sua reputação e a da organização.