Como podemos evitar que os funcionários violem as políticas de segurança?
Os funcionários violam as políticas de segurança regularmente, daí a razão pela qual a maioria das violações de dados são causadas por pessoas internas, de uma forma ou de outra. Claro, às vezes os incidentes de segurança são causados por funcionários insatisfeitos ou oportunistas; entretanto, na maioria das vezes os motivos são menos suspeitos.
Então, quais são os principais motivos pelos quais os funcionários violam as políticas de segurança?
1. Falta de treinamento de conscientização sobre segurança
De acordo com um relatório da Clutch.co, mais de 28% dos funcionários não sabem se a sua empresa tem uma política de segurança cibernética e apenas 56% dos funcionários sentem que a sua empresa está preparada para ameaças à segurança de TI.
Educar os funcionários sobre segurança cibernética é talvez a maneira mais eficaz de as empresas protegerem seus dados confidenciais. As técnicas de engenharia social podem ser muito difíceis de detectar. Sabe-se que até mesmo profissionais experientes em segurança de TI clicam em um link suspeito ou baixam um anexo malicioso. No entanto, na maioria das vezes, ataques de phishing bem-sucedidos são resultado de funcionários descuidados ou ingênuos.
Além disso, os funcionários muitas vezes não conseguem proteger os seus dispositivos. Por exemplo, muitas vezes baixam aplicativos não confiáveis, acessam dados confidenciais em uma conexão Wi-Fi pública não criptografada, armazenam dados confidenciais não criptografados na nuvem ou simplesmente perdem um dispositivo que tem acesso a dados confidenciais.
2. Uma necessidade de realizar o trabalho
Antes de culparmos demais os funcionários pela violação das políticas de segurança, é importante observar que muitas vezes eles quebram as regras devido a inconveniência ou frustração.
Talvez um funcionário precise compartilhar informações regularmente com outro funcionário, mas os protocolos para fazer isso são desconcertantes e árduos. Nesse caso, eles procurarão naturalmente um atalho, como compartilhar credenciais de login entre si.
De acordo com uma pesquisa recente da Dell, “72% dos funcionários estão dispostos a compartilhar informações sensíveis, confidenciais ou regulamentadas da empresa”. A pressão é outra razão pela qual os funcionários violam as políticas de segurança. Por exemplo, se um funcionário estiver sob pressão para cumprir um prazo, poderá ser incentivado a ignorar determinados procedimentos.
Além disso, os funcionários podem violar as políticas de segurança quando estão sob pressão para serem úteis. Os golpes de comprometimento de e-mail comercial (BEC) são um tipo de ataque de engenharia social em que empresas e indivíduos são induzidos a enviar pagamentos por transferência eletrônica a um invasor - disfarçando-se de uma entidade confiável, como um parceiro de negócios.
Os golpes BEC estão se tornando cada vez mais populares. De acordo com o Internet Crime Complaint Center (IC3), houve um aumento de 136% nas perdas globais expostas identificadas, entre dezembro de 2016 e maio de 2018. O invasor frequentemente inventará uma história sobre como precisa do pagamento o mais rápido possível e tentará tirar vantagem da disposição das pessoas em ajudar.
3. Acessando dados confidenciais por curiosidade
De acordo com uma pesquisa da Oneidentity.com, 23% dos profissionais de segurança relataram que os funcionários frequentemente tentavam acessar dados que não são necessários para o desempenho de seu trabalho. Embora possa haver uma variedade de razões para isso, pode ser simplesmente uma questão de curiosidade. Talvez eles quisessem espionar alguém que conhecem ou talvez estivessem em busca de informações relacionadas a uma determinada celebridade.
Conclusão
A falta de formação em matéria de sensibilização para a segurança, combinada com direitos de acesso irrestritos e não monitorizados, são normalmente a principal causa dos incidentes de segurança. As empresas devem primeiro desenvolver uma política de segurança formal e certificar-se de que todos os funcionários foram treinados adequadamente.
Para evitar que os funcionários obtenham acesso a dados que não são necessários para o desempenho adequado de suas funções, as empresas precisarão impor direitos de acesso de “privilégio mínimo” por meio de controles de acesso baseados em funções (RBAC) e implementar um sofisticado DCAP (Auditoria Centrada em Dados). & Protection) para acompanhar quaisquer alterações feitas nesses direitos em tempo real.