Melhores práticas para proteger os dados de seus funcionários
As organizações têm a responsabilidade de proteger os dados pessoais dos seus funcionários. Mas como se pode esperar que tenham sucesso se os próprios funcionários não estão bem informados sobre as melhores práticas de segurança ou não recebem as ferramentas necessárias para proteger os seus dados?
Os funcionários podem espalhar descuidadamente seus dados confidenciais em unidades, dispositivos, e-mails e documentos - muitas vezes nos locais mais evidentes. Se essas informações caírem em mãos erradas, poderão resultar em uma grave violação de dados. Não é apenas com os incidentes em si que precisamos nos preocupar, mas também com as possíveis multas que podem ocorrer. O GDPR, por exemplo, não faz distinção entre violações que envolvem dados de funcionários e aquelas que envolvem dados de clientes.
Não podemos realmente culpar os funcionários por não compreenderem as implicações de não armazenarem os seus dados pessoais de forma segura. Afinal, a maioria de nós tem muitas informações confidenciais que precisamos armazenar - sejam essas informações credenciais de login, dados bancários, digitalização de passaportes, memorandos importantes e assim por diante. Não só isso, mas muitos funcionários fazem a suposição natural de que a empresa implementou os controles de segurança necessários para proteger a rede contra hackers e pessoas internas mal-intencionadas. A verdade é que muitas organizações ainda lutam para controlar quais ativos armazenam, onde esses ativos estão localizados e quem tem acesso a eles.
Muitas empresas não estão conseguindo implementar os controles de segurança necessários para impor o acesso com “privilégios mínimos”. Se você quiser um teste rápido para ver como está se saindo em termos de privilégios mínimos, dê uma olhada em quantas pastas você tem abertas para todos em sua organização. Estou disposto a apostar que são muitos. Depois, há o problema do BYOD - uma tendência crescente em que os funcionários trazem os seus próprios dispositivos para o local de trabalho. Embora haja uma série de vantagens do BYOD, se não for gerenciado corretamente, pode tornar muito difícil para as organizações acompanhar como os dados confidenciais estão sendo acessados e se estão sendo acessados com segurança.
Como garantir que os funcionários possam proteger adequadamente suas PII
O primeiro e mais óbvio passo que as organizações devem tomar é implementar um programa robusto de formação de sensibilização para a segurança. Os funcionários devem estar cientes dos riscos associados ao armazenamento de informações de identificação pessoal (PII) de maneira insegura. Por exemplo, a maioria dos funcionários não sabe que outros usuários da rede podem conseguir acessar as PII armazenadas em seus dispositivos.
É imperativo que as empresas saibam exatamente quais dados armazenam e onde esses dados estão localizados. Existem ferramentas de descoberta e classificação de dados disponíveis que podem automatizar o processo de identificação e classificação de dados confidenciais. A classificação de dados tornará muito mais fácil para as empresas priorizar e alocar recursos de forma mais eficaz. Além disso, quaisquer dados que não sejam mais necessários devem ser excluídos o mais rápido possível. As organizações devem manter um inventário de todos os dispositivos conectados à rede e usar software de gerenciamento de dispositivos móveis para garantir que quaisquer dados confidenciais sejam criptografados ou excluídos no caso de um dispositivo ser perdido ou roubado. Devem ser implementados controles para garantir que os dados nunca sejam enviados para um dispositivo que não esteja na lista de dispositivos autorizados, e as empresas também devem reservar-se o direito de inspecionar e-mails relacionados ao trabalho.
Os funcionários prefeririam naturalmente armazenar suas informações confidenciais em um único local, e isso não é necessariamente uma coisa ruim. O importante é que essas informações sejam armazenadas de forma segura. Com relação às credenciais de login, há diversas ferramentas disponíveis para nos ajudar a lembrar e proteger nossas senhas. Por exemplo, a maioria dos navegadores modernos possui um sistema básico de gerenciamento de senhas integrado, e as senhas armazenadas podem ser acessadas em vários dispositivos. Existem também várias extensões de navegador que fazem um trabalho semelhante. Outras ferramentas comerciais incluem 1Password, Dashlane e LastPass.
Finalmente, as organizações devem ter as soluções necessárias para impor o acesso às contas com “privilégios mínimos”. Os funcionários só devem ter direitos de acesso aos dados de que necessitam para o desempenho das suas funções. Embora seja possível fazer isso manualmente, existem várias soluções acessíveis que podem tornar essa tarefa muito mais fácil. Por exemplo, a Lepide Data Security Platform permite que as organizações revisem as permissões de acesso atuais por meio de um console intuitivo, que inclui detalhes sobre como as permissões são concedidas e quando são alteradas. Essas soluções podem reduzir significativamente o risco de os dados pessoais dos funcionários serem comprometidos por hackers ou pessoas mal-intencionadas.