Os funcionários são o elo mais fraco na luta de uma organização contra a cibersegurança …

Os funcionários são o elo mais fraco na luta de uma organização contra a cibersegurança ...

As ameaças internas são um tópico importante no mundo da segurança cibernética devido às ameaças únicas que elas representam devido ao acesso interno a uma organização.

ameaças internas

Enquanto o software de detecção de ameaças internas está se tornando cada vez mais sofisticado, graças à análise comportamental da inteligência artificial até que esses sistemas sejam absolutamente perfeitos, o elemento humano continuará sendo um desafio para a segurança cibernética organizacional.

Mesmo quando as ameaças internas são detectadas, o esforço para conter os danos que causam exige imenso tempo e recursos. O Relatório Global de Custo de Ameaças Internas para 2020, do Ponemon Institute, indica que leva uma média impressionante de 77 dias para conter um incidente.

As amea̤as internas assumem duas formas principais Рmalicioso e negligente.

Malicioso ameaças internas conscientemente se envolvem no dano que causam e negligente ameaças internas inadvertidamente causam danos por maus hábitos ou por serem vítimas de tentativas de maus atores que tentam obter acesso aos dados e sistemas da organização. O relatório do Ponemon Institute mencionado acima também revela que ameaças internas negligentes causam 62% dos incidentes de segurança – elas serão o foco principal do artigo de hoje.

As ameaças internas são o elo mais fraco da cibersegurança?

Onde existe uma vulnerabilidade e o motivo para obter acesso aos dados e sistemas de uma organização é forte o suficiente, ela pode e será explorada. Um relatório da IBM descobriu que em 2015 60% de todos os ataques contra uma organização foram realizados por pessoas de dentro da empresa, tornando os funcionários alvos consideráveis ​​para pessoas nefastas usarem como um método de obter acesso não autorizado. À medida que o tempo passa e a tecnologia se torna mais sofisticada, o mesmo ocorre com os métodos de ataque usados ​​contra as organizações.

O que torna os funcionários vulneráveis

Os métodos exatos de transformar funcionários em ameaças internas involuntárias podem variar, embora eles tendam a explorar muitas das mesmas causas-raiz – maus hábitos causados ​​por sua natureza confiante ou falta de conhecimento de segurança cibernética.

Os funcionários são humanos e os humanos confiam demais

O software é muito mais previsível e consistente do que os humanos jamais serão. Embora as políticas de segurança sejam um componente fundamental necessário do plano de cibersegurança de uma organização, os humanos não podem ser programados exatamente para segui-las perfeitamente todas as vezes.

Qualquer pessoa que tenha passado tempo suficiente em um pr̩dio com portas de acesso ao carṭo-chave pode ver em primeira ṃo a vulnerabilidade da confian̤a humana: duas pessoas se aproximam de uma porta de acesso imposta por carṭo-chave ao mesmo tempo, a Pessoa A desativa a trava com seu carṭo-chave Рo que acontece depois?

Em uma utopia totalmente irrealista centrada em segurança:

  • A Pessoa A passará pela porta e esperará que ela se feche completamente, garantindo que a Pessoa B permaneça no lado oposto da porta durante todo o processo.
  • A pessoa B respeita sua responsabilidade de esperar pacientemente do lado de fora da porta até que ela se feche completamente e volte a engatar a fechadura.
  • Com a porta agora fechada e trancada com segurança, a Pessoa B agora desativa a trava com seu cartão-chave e passa através dela, continuando somente depois que a porta é verificada como fechada com a trava novamente engatada.

Embora o cenário acima seja tecnicamente o processo mais seguro, está longe de ser realista.

Aqui está o que geralmente acontece no mundo real:

  • A Pessoa A destranca a porta e continua em seu caminho alegre, talvez prestando um pouco de atenção ao que a Pessoa B decide fazer, talvez não; ou
  • A pessoa A destranca a porta e passa a manter a porta aberta para a pessoa B com uma pausa mínima.

Isso não quer dizer que as necessidades da segurança cibernética organizacional mereçam uma reprogramação distópica da humanidade para erradicar o comportamento pró-social, como manter as portas abertas para outras pessoas. A atenuação eficaz de ameaças internas negligentes exige simplesmente uma compreensão realista de que as políticas por si só não são suficientes para a segurança cibernética – as organizações também precisam dar conta do comportamento humano.

Engenharia social e phishing

A cibersegurança geralmente concentra-se fortemente em ameaças externas, como hackers que tentam acessar remotamente dados e sistemas valiosos de uma organização a partir do exterior, mas com o poder da engenharia social, a maior ameaça de uma organização pode realmente vir de dentro.

A engenharia social é uma forma de engano usada por maus atores para explorar a confiança que os funcionários de uma organização têm em seus colegas e outras pessoas. Embora ameaças externas certamente precisem ser abordadas, não é a única ameaça à segurança cibernética de uma organização. Os funcionários internos podem inadvertidamente tornar-se vulnerabilidades, sendo um pouco úteis quando um colega de trabalho aparentemente confiável ou um fornecedor familiar começa a pedir recursos, informações ou favores que estejam fora do escopo de trabalho usual.

A razão pela qual a engenharia social é tão eficaz contra os funcionários é que, embora os humanos não sejam tão previsíveis quanto a tecnologia que eles são responsáveis ​​por proteger, eles conhecem peculiaridades psicológicas que os tornam mais fáceis de ignorar do que o ideal.

Isso pode ser visto no caso de Kevin Mitnick, que conseguiu acessar um servidor de desenvolvimento de propriedade da Digital Equipment Corporation, simplesmente ligando para eles e fingindo ser um desenvolvedor líder que precisava de uma alteração de senha. Embora o golpe de engenharia social de Kevin tenha sido feito em 1979 e certamente as organizações tenham se tornado mais conscientes desses tipos de práticas, algo tão simples quanto agir como se pertencesse pode fazer com que um estranho passe despercebido pelos funcionários, se não for diligente.

A engenharia social também pode assumir muitas outras formas, incluindo falsificar ou comprometer as contas de pessoas confiáveis, como uma maneira de induzir os funcionários a baixar arquivos maliciosos ou visitar links perigosos em um ataque de phishing.

Maus hábitos

Além da exploração direta, os funcionários podem causar vulnerabilidades, adotando maus hábitos. A origem de seus maus hábitos pode vir da ignorância genuína causada pela falta de treinamento contínuo e consistente, pelas organizações que não priorizam a cibersegurança na cultura de seu local de trabalho ou pelo desprezo negligente pelo papel que seus comportamentos têm para manter a organização segura.

    Os maus hábitos dos funcionários incluem:

  • Não bloquear as estações de trabalho quando não estiverem em uso, dando aos transeuntes a oportunidade de usar suas credenciais sem serem detectadas.
  • Apaixonado por e-mails de phishing (clicando em links para sites maliciosos, baixando malware de arquivos aparentemente inocentes).
  • Deixar informações confidenciais inadequadamente acessíveis (deixando anotações em suas estações de trabalho, deixando documentos impressos sem supervisão na bandeja da impressora, etc.).

Como trabalhar com funcionários para mitigar ameaças à segurança cibernética

Os funcionários são um vetor significativo para ameaças cibernéticas, mas, dada a combinação adequada de capacitação, treinamento e recursos, eles podem ser aproveitados juntamente com a infraestrutura existente de segurança cibernética da organização para se tornar um ativo crítico para a mitigação de ameaças.

Uma organização que capacita os funcionários a serem defensores da segurança cibernética em seu local de trabalho terá um ativo valioso para mitigar proativamente as ameaças à segurança cibernética. As organizações podem capacitar seus funcionários por meio de treinamento contínuo e constante em segurança cibernética, fornecendo aos funcionários um caminho claro para relatar preocupações de segurança a seus gerentes e reconhecendo abertamente o papel crítico que seus funcionários desempenham na manutenção da segurança da organização.

Os funcionários são o elo mais fraco na luta de uma organização contra ameaças à cibersegurança? Não necessariamente – de fato, com a combinação adequada de políticas, processos, produtos e procedimentos, as pessoas de uma organização podem muito bem ser seu maior patrimônio.

0 Shares