*Por Renee Tarun
Durante a primeira metade de 2020, a equipe do FortiGuard Labs, da Fortinet, constatou que ambientes de trabalho em evolução e uma maior dependência de dispositivos pessoais apresentavam novas oportunidades para os criminosos cibernéticos explorarem redes corporativas. Um método no qual os agentes de ameaças têm utilizado de forma frequente é a criação de e-mails de phishing de aparência legítima que podem ser usados para adaptar e lançar ataques com facilidade. Embora essa não seja uma tática nova, esses tipos de ataques de engenharia social se tornaram mais sofisticados e prejudiciais à medida que os funcionários continuam a trabalhar remotamente e permanecem isolados de suas equipes.
Comportamentos descuidados e negligentes podem ter um efeito duradouro nas organizações, especialmente no caso de violação de dados. E com mais funcionários trabalhando em casa, incapazes de ir até a mesa de um colega de trabalho para obter informações sobre um e-mail de aparência suspeita, esses indivíduos são mais suscetíveis a ataques de engenharia social. Com isso em mente, é mais importante do que nunca que os CISOs priorizem a conscientização de seus funcionários sobre a segurança cibernética para ajudá-los a entender o papel que desempenham em manter as redes seguras e reduzir o risco de ameaças internas.
Criação de um firewall humano por meio de uma cultura de segurança
Considerando que os funcionários podem ser a melhor linha de defesa, é crucial que os CISOs protejam suas organizações incluindo a educação e a conscientização dos funcionários em sua estratégia de segurança cibernética. Ao adotar essa técnica, os líderes podem garantir que a força de trabalho esteja preparada para enfrentar as ameaças. Independentemente de cargos ou funções, todos os funcionários devem compreender as repercussões de um evento de segurança e como isso pode afetar a organização e cada um deles pessoalmente.
O estabelecimento de uma boa higiene cibernética pode ser alcançado das seguintes maneiras:
Priorize o treinamento de conscientização cibernética
Os ataques de engenharia social são prevalentes nas organizações simplesmente porque funcionam. Para combater esse risco, os CISOs devem educar seus funcionários sobre ataques comuns que podem aparecer na forma de phishing, spear phishing, smishing ou outros golpes disfarçados de suporte técnico. Ainda que fornecidas por meio de reuniões online, chat de vídeo ou e-mail, as sessões de treinamento devem ser priorizadas. Entender essas ameaças e seus sinais será fundamental para ajudar os funcionários a não serem vítimas de e-mails falsos ou sites maliciosos.
Além de ensinar sobre indicadores comuns de fraudes cibernéticas, essas ofertas de treinamento também devem apresentar exercícios de phishing simulados projetados para testar o conhecimento e determinar quais funcionários podem precisar de mais assistência. Por meio de táticas como essas, os funcionários estarão mais bem equipados para saber quando são o alvo de um ataque de engenharia social e podem, portanto, agir de acordo.
Crie uma parceria entre a equipe de segurança e outros departamentos
A cibersegurança não pode recair sobre os ombros das equipes de segurança e TI sozinhas, especialmente porque as ameaças cibernéticas continuam a se tornar mais sofisticadas e difíceis de detectar. Por meio de esforços colaborativos, os CISOs podem garantir que todos os indivíduos da organização não apenas estejam cientes das políticas de segurança, mas também entendam o impacto que suas ações podem ter na organização como um todo. Ajudar os funcionários a entender as práticas de segurança cibernética e as ramificações que suas ações podem ter leva a melhorias na forma como esses indivíduos respondem quando confrontados com um e-mail ou site suspeito, mesmo quando trabalham em casa.
Quando os funcionários sabem o que é esperado e sentem que fazem parte da equipe, eles são mais encorajados a seguir as melhores práticas e ajudar a eliminar os comportamentos que causam problemas internos acidentais, como esquecer de alterar as senhas padrão ou negligenciar o uso senhas. E à medida que mais funcionários fizerem o mesmo, o firewall humano, atuando como a primeira linha de defesa para a organização, ficará cada vez mais forte.
Estabeleça as melhores práticas diretas
Mesmo quando os funcionários estão cientes do que procurar no caso de um ataque de engenharia social, eles ainda podem precisar de alguma orientação quando se trata das próximas etapas. Embora seja fácil ignorar ou excluir um e-mail de aparência suspeita, o que acontece com aqueles que parecem normais e sobre os quais o destinatário ainda não tem certeza? Nesse cenário, os CISOs devem incentivar os funcionários a se fazerem certas perguntas para ajudar a fazer o julgamento correto: Eu conheço o remetente? Eu estava esperando este e-mail? Este e-mail está invocando uma emoção forte, como empolgação ou medo? Estou sendo instruído a agir com urgência?
Embora essas perguntas devam ajudar a esclarecer qualquer confusão sobre se o e-mail é malicioso, o destinatário ainda deve tomar medidas extras para proteger a si mesmo e sua organização. Isso inclui passar o mouse sobre os links para ver se eles são legítimos antes de clicar, não abrir anexos inesperados, ligar para o remetente para verificar se ele realmente enviou o e-mail e relatar todos os e-mails suspeitos para a equipe de TI ou de segurança. Ao explicar essas etapas a seus funcionários desde o início, os CISOs podem evitar repercussões negativas no futuro.
Pensamentos finais
A capacidade de estar atento é uma peça crítica do quebra-cabeça quando se trata de manter as organizações seguras. Quer os funcionários percebam ou não, suas ações podem abrir a porta para que os cibercriminosos acessem informações confidenciais, o que significa que a passividade em relação à segurança não é mais aceitável.
Ao priorizar o treinamento e a colaboração entre os departamentos e a equipe de segurança, os CISOs podem estabelecer as bases para uma forte cultura de segurança. A identificação de comportamentos suspeitos, a manutenção de dispositivos atualizados e a prática de comportamento cibernético seguro devem ser parte integrante de todas as funções de trabalho para garantir que o firewall humano continue firme. As informações são de total responsabilidade do autor, não refletindo, necessariamente, o posicionamento do Portal IPNEWS.
*Renee Tarun, vice-presidente de Segurança da Informação da Fortinet
Participe das comunidades IPNews no Facebook, LinkedIn e Twitter
