Embora muitos acreditem que incidentes de segurança da informação sejam sempre causados por ataques sofisticados, a verdade é que a maioria deles são ocasionados por brechas simples que podem passar batido pela equipe de especialistas.
Mesmo com a criação de regulamentos de proteção de dados e normas de orientação que visam ajudar as empresas a otimizar seu plano de segurança da informação, o número de incidentes continua aumentando e gerando manchetes nos jornais ao redor do mundo inteiro. Para os mais leigos, a impressão que fica costuma ser só uma: a de que os atores maliciosos empregam ataques altamente sofisticados com o objetivo de invadir sistemas computacionais e roubar dados preciosos.
A verdade é que as coisas não são bem assim — a maioria dos incidentes ocorrem por erros simples e até bobos, que acabam passando despercebidos pela equipe de segurança da informação. Vários deles estão relacionados com o fator humano, o que torna todo o investimento em ferramental tecnológico inútil perante a um deslize pontual. Existem várias “pequenas brechas” que podem comprometer um plano inteiro de SI, mas, neste capítulo, vamos nos focar somente em quatro deles.
Falta de familiaridade com novas tecnologias
As ameaças cibernéticas evoluem o tempo todo, tal como novos conceitos de defesa e infraestruturas tecnológicas que permitem novos modelos de negócio. Logo, é normal que o stack tecnológico da empresa também sofra mudanças drásticas em curtos intervalos de tempo, com a adoção de novos softwares-como-serviço (SaaS) e soluções de segurança. Contudo, excesso nem sempre significa qualidade — especialmente quando este excesso se torna um fardo de novos conhecimentos para a equipe de SI.
Diversas pesquisas já constataram que um analista costuma utilizar até 40 ou mais ferramentas diferentes em seu cotidiano; um número que leva à tendência de consolidação de soluções a médio e longo prazo. Até lá, porém, a falta de familiaridade com determinadas tarefas, funcionalidades e infraestruturas técnicas pode levar a um olhar desatento para determinadas configurações do ecossistema computacional, por exemplo — o que fatalmente criará um gap que, por sua vez, se torna um risco cibernético.
Falta de gerenciamento de identidade e acesso
Se até poucos anos atrás uma combinação de login e senha era o suficiente para lhe identificar perante um sistema digital, hoje em dia, o crescente número de credenciais roubadas ou vazadas torna tal forma de identificação altamente ineficaz. Não é à toa que o mercado de soluções de gerenciamento de identidade e acesso (identity and access management ou IAM) cresceu tanto em tão pouco tempo — nossa identidade no mundo cibernético se tornou algo altamente valioso.
Em uma era na qual o trabalho remoto é algo comum e os colaboradores acessam recursos críticos remotamente através de uma grande variedade de dispositivos (sejam eles pessoais ou corporativos), ter a capacidade de gerenciar e validar identidades, seja através de análises comportamentais com a ajuda de inteligência artificial ou outros métodos, pode fazer a diferença entre manter seu ecossistema seguro ou permitir que um ator malicioso utilize credenciais furtadas para se passar por um funcionário.
Falta de conscientização do fator humano
De acordo com uma recente pesquisa realizada pela Universidade de Stanford, nos Estados Unidos, nada menos do que 88% dos vazamentos de dados são causados pelo fator humano. Esse fenômeno é compreensível — diferente de um software, que só faz aquilo ao qual ele foi programado, o ser humano pode ser manipulado através de táticas de persuasão que exploram as suas emoções. E, desta forma, colaboradores podem ser incentivados a adotar um comportamento inadequado.
De nada adianta investir em alarmes para a sua residência caso os habitantes não estejam educados a não desativá-los para a entrada de um estranho. Conscientizar e gerenciar o risco humano vai além de simples treinamentos pontuais sobre as ameaças cibernéticas — é necessário trabalhar de maneira contínua para que, a longo prazo, possamos observar a criação de uma cultura interna de proteção à informação. Isso é algo que cada indivíduo fará não apenas no ambiente de trabalho, mas levará para a vida toda.
Falta de atualizações e uso de sistemas legados
Esse é um gap que atinge principalmente empresas de infraestrutura crítica, que tiveram que rapidamente convergir antigas tecnologias operacionais (operational technology ou OT) com tecnologias da informação (TI), adicionando assim conexão a maquinários, sensores e outros dispositivos que não foram inicialmente projetados para tal. Para garantir que nada saia do controle, é crucial ter visibilidade sobre todos esses ativos e monitorá-los constantemente, já que dificilmente podem ser substituídos por algo mais moderno.
Já no caso de ativos que possuem atualizações de segurança disponível, ter um plano de gerenciamento de patches é importante para que vulnerabilidades conhecidas e/ou de dia zero sejam exploradas pelos criminosos cibernéticos.