Há uma série de razões pelas quais os governos necessitam de Formação de Sensibilização para a Segurança para reduzir o risco de ataques bem sucedidos, proteger informação sensível, e manter a confiança pública nas instituições governamentais. Os governos e departamentos do sector público estão na mira dos cibercriminosos. A investigação da Checkpoint corrobora esta afirmação; um inquérito da empresa mostra que o Governo e os sectores militares no Reino Unido e na Irlanda lidaram com uma média de 352 ataques cibernéticos por semana durante meados de 2021.
O Reino Unido como um todo viu um aumento de 20% nos ataques cibernéticos durante 2020, com tipos de ataques como os resgates a aumentar 80% nos últimos 3 meses de 2020. Este tsunami de ataques cibernéticos segue um padrão típico de manipulação do factor humano, geralmente um empregado ou fornecedor.
Para ajudar a aliviar a investida de ameaças cibernéticas de phishing, exposição acidental de dados, e engenharia social, os departamentos governamentais devem recorrer à Formação de Sensibilização para a Segurança.
Como acontecem a perda de dados e os ataques cibernéticos nos governos
Os hackers estão a par do sucesso de ataques passados a organismos governamentais.
Talvez o mais infame tenha sido o ataque de resgate do WannaCry que foi sentido em todo o mundo, e particularmente agudo pelo NHS do Reino Unido. Como com todos os ataques de resgate, o WannaCry foi devastador, fechando hospitais a novos pacientes e exercendo enorme pressão sobre um NHS já sobrecarregado. O governo é um alvo para os cibercriminosos porque provou ser uma opção bem sucedida, o equivalente ao cibercrime de fruta de baixo peso.
Ataques como os de resgate, muitas vezes começam com um empregado a ser manipulado para clicar num link malicioso num e-mail ou descarregar um anexo infectado.
Um pedido de Liberdade de Informação (FoI) realizado pelo think tank, Parliament Street, descobriu que o Tesouro de Sua Majestade conseguiu bloquear quase 5 milhões de e-mails de phishing, malware, e spam durante os três anos até Setembro de 2021. Um outro relatório da Parliament Street descobriu que a Câmara dos Comuns tinha bloqueado 126 milhões de tentativas de correio electrónico malicioso.
Mas não são apenas os ciberataques que devem preocupar os oficiais de segurança e conformidade do governo.
Um relatório do Ministério da Defesa (MoD), e analisado pela Parliament Street, mostra um aumento de 18% nos incidentes de perda de dados. A maioria destes incidentes foi causada pela divulgação não autorizada de dados, o resto deveu-se à perda de equipamento electrónico, dispositivos ou documentos, a partir de instalações governamentais, ou à eliminação insegura de documentos em papel.
Os cibercriminosos jogam um jogo longo e estão continuamente a melhorar as suas técnicas de evasão. Um único e-mail malicioso que desliza pela rede pode tornar-se outro incidente de nível WannaCry. Um único portátil perdido num comboio pode acabar às portas dos meios de comunicação, tratado como uma questão de não conformidade regulamentar pelo Gabinete de Comissários de Informação (ICO).
A tempestade cibernética perfeita composta por uma mistura de crimes cibernéticos e eventos acidentais internos está a juntar-se como uma nuvem negra sobre os departamentos governamentais do Reino Unido.
Como a Formação de Sensibilização para a Segurança Cibernética pode ajudar um Departamento Governamental a Manter-se Ciber-Safe
O ICO do Reino Unido declarou que 90% das violações de dados são causadas por erro humano: o papel que o factor humano desempenha na perda de dados e nas ciber-interrogações é claro a partir da investigação da Parliament Street. No entanto, o factor humano na segurança também constitui uma oportunidade para os departamentos governamentais reduzirem o risco.
A capacidade de educar os utilizadores sobre questões de segurança cibernética e risco de dados é uma parte importante de uma política e estratégia de segurança global. A Formação de Sensibilização para a Segurança fornece um programa formal para ministrar esta formação; os cinco fundamentos de uma Formação de Sensibilização para a Segurança eficaz são
Prevenir Quebras de Dados
As violações de dados estão tipicamente ligadas a uma campanha de phishing em alguma fase de uma violação. Um empregado ou outra entidade associada, como um contratante ou fornecedor, será vítima de uma mensagem de phishing e o resultado pode ser uma infecção de resgate (ou outro malware) ou roubo de credenciais.
A Formação de Sensibilização para a Segurança treina o pessoal e outros para detectar sinais contundentes de mensagens de phishing e outros esquemas de engenharia social. As simulações de phishing podem ser utilizadas para ajudar nesta formação e para captar métricas para mostrar a eficácia da formação. Num departamento de TI do governo com um orçamento limitado, os programas de formação em segurança podem ser altamente rentáveis.
Prevenir a Exposição Acidental de Dados
A exposição acidental de dados abrange uma gama de eventos, desde a entrega incorrecta de e-mails até à simples entrega de documentos sensíveis numa impressora. A Formação de Sensibilização para a Segurança educa o pessoal sobre os elementos de higiene da segurança online, bem como sobre os elementos mais tecnológicos. Os funcionários e outros são formados em boas práticas, tais como manter-se a par de uma política de secretária limpa e garantir que não partilham palavras-passe.
Segurança Contínua
Os cibercriminosos estão sempre à procura de formas de contornar as medidas de segurança tradicionais, o que inclui mudar as tácticas para enganar os empregados no sentido de realizarem actividades maliciosas em seu nome. A Formação de Sensibilização para a Segurança não é um evento pontual, mas trabalha com base no princípio da educação contínua para assegurar que um departamento governamental (e os seus funcionários) se mantenha a par das mudanças na paisagem da ameaça da segurança cibernética.
Segurança para todos
Cada empregado, consultor e fornecedor é um alvo potencial para um cibercriminoso tirar partido. Cada empregado e fornecedor actua também como um factor humano na exposição acidental de dados. Como tal, os programas de Formação de Sensibilização para a Segurança são mais eficazes quando são utilizados em toda a organização e incluem fornecedores. Com os departamentos governamentais a utilizarem serviços e pessoal subcontratado, este aspecto da Formação de Sensibilização para a Segurança é importante para assegurar que o pensamento de segurança em primeiro lugar é universal.
A Firewall Humana e Aumento de Medidas Técnicas
O conceito de uma firewall humana é uma ideia que se baseia na educação proporcionada por um programa de Formação de Sensibilização para a Segurança. Se bem feita, a educação para a segurança pode capacitar todos dentro de uma organização, assegurando ao mesmo tempo que o grupo beneficia como um todo desta formação.
Conformidade Regulamentar, Normas de Protecção de Dados e Governo
Uma outra coisa que resulta de um programa eficaz de sensibilização para a segurança é o cumprimento dos requisitos regulamentares em matéria de segurança da informação. O governo deve dar o exemplo ao resto da indústria, assegurando que cumprem o mandato dos vários regulamentos sobre dados no Reino Unido, bem como os que possam ter impacto para além das fronteiras do Reino Unido. Muitas normas e regulamentos de protecção de dados, incluindo ISO27001 e DPA2018/UK GDPR, mandatam agora ou encorajam fortemente uma organização a formar os seus funcionários para estarem atentos à segurança.
Embora as medidas tradicionais de segurança, tais como autenticação de dois factores e encriptação, possam ajudar a aliviar as violações de dados, não há nada como sensibilizar os empregados para os riscos que uma organização corre com ataques de phishing e outros ataques de engenharia social.
Os departamentos governamentais estão em risco tanto pela perda de dados e ataques cibernéticos como qualquer outra indústria. Ao fornecer formação essencial em matéria de segurança aos funcionários, um departamento governamental pode desriscar a sua exposição e dar o exemplo e a precedência a outras indústrias a seguir.
