Segurança cibernética corporativa: quando a ameaça é interna

A cibersegurança tornou-se uma prioridade mundial em um cenário cada vez mais conectado, moderno e ágil. A preocupação é tanta que o Relatório Global de Riscos de 2024 do Fórum Econômico Mundial coloca a insegurança cibernética como a quarta maior ameaça para os próximos dois anos, ficando atrás apenas da desinformação e informação falsa, eventos climáticos extremos e polarização social. Nas empresas, embora muitas invistam em tecnologias avançadas para proteger seus sistemas e dados, frequentemente o papel humano em ataques é subestimado. É nesse momento que a ameaça se torna interna, pois os colaboradores muitas vezes são responsáveis por abrir brechas para que as companhias sejam atacadas.

A chave principal para solucionar esse ponto está na conscientização dos funcionários. Pode parecer óbvio, mas muitas empresas ainda não colocaram em prática programas de treinamento com foco em segurança cibernética. E as defesas das instituições dependem, e muito, dessa iniciativa, pois diversas violações de segurança ocorrem devido a ações inadvertidas ou à falta de conhecimento por parte das equipes. Ao capacitar esses times com conhecimentos sólidos sobre segurança virtual, as companhias podem reduzir significativamente as chances de incidentes.

Em um mundo no qual a engenharia social dita grande parte dos riscos cibernéticos, um simples clique equivocado em um e-mail malicioso pode significar oportunidades de invasões cibernéticas que, sem dúvidas, são capazes de comprometer dados corporativos sensíveis. À medida que as táticas dos hackers e as tecnologias que eles utilizam, como Inteligência Artificial e deepfakes, evoluem, respostas estratégicas para proteger a integridade dos dados e sistemas devem ser ampliadas.

Segundo o relatório da Mordor Intelligence, a receita do mercado de segurança cibernética no Brasil foi avaliada em US$ 3,03 bilhões em 2023, e deve alcançar US$ 4,95 bilhões até 2028. É importante que investimentos no setor também sejam refletidos em ações para preparação dos times, em uma abordagem corporativa proativa e abrangente em relação à segurança. A interconexão contínua entre dispositivos, a ascensão da sofisticação usada para invadir sistemas e a constante evolução do cenário online demandam uma resposta holística.

A capacitação voltada para a conscientização de segurança deve ser apresentada como um programa educacional formal, buscando aumentar a percepção dos funcionários sobre as melhores práticas a serem adotadas no cotidiano. Desde reuniões especiais até simulações de ataques e testes de phishing, há uma variedade de maneiras de treinar os colaboradores de forma acessível e adaptável às necessidades de cada organização. Vale lembrar, inclusive, que este tipo de preparação é apontado como uma das maneiras mais econômicas de reduzir os perigos gerais de segurança da informação. Usuários bem-informados são capazes de reconhecer sinais de possíveis tentativas de invasão, adotar medidas preventivas e reportar atividades suspeitas, ajudando a promover uma cultura organizacional que valorize a segurança em todos os níveis.

Para criar um programa eficaz de conscientização, é importante seguir algumas dicas:

1 – Regularidade: Realize treinamentos constantes para manter as equipes realmente atualizadas sobre as evoluções e tendências de ameaças cibernéticas e melhores práticas de segurança. Comunicações regulares, inclusive por meio de boletins informativos e alertas de segurança, ajudam a reforçar mensagens importantes.

2 – Teoria e prática: Aborde aspectos teóricos e práticos para que todos da organização entendam efetivamente os riscos e como agir quando suspeitar de um possível problema.

3 – Comunicação acessível: Transmita informações de forma clara e acessível, evitando jargões muito técnicos que possam confundir os trabalhadores. Se necessário, segmente o treinamento por público, considerando a função, nível de experiência e de conhecimento de segurança online dos colaboradores.

4 – Simulação e testes: Realize simulações de ataques e testes de phishing, por exemplo, para que haja uma avaliação efetiva de que o time está compreendendo como deve agir diante de possíveis perigos, incluindo mensagens e e-mails suspeitos. Dessa forma, é possível avaliar a capacidade dos usuários de identificar e evitar ataques reais.

5 – Políticas de segurança transparentes: Tenha políticas de segurança bem definidas e transparentes, que abordem as melhores práticas, além das expectativas em relação aos comportamentos das pessoas em relação ao tema. Entre os tópicos abordados devem estar políticas sobre senhas, uso de dispositivos pessoais no local de trabalho e procedimentos em caso de incidentes.

Ao implementar programas de conscientização efetivos, as empresas podem capacitar suas equipes a serem defensoras ativas contra ameaças cibernéticas. Investir na educação contínua e na criação de uma cultura de segurança contribuirá não apenas para a proteção dos ativos digitais da empresa, mas também para o fortalecimento da resiliência organizacional em um cenário cada vez mais desafiador.

*Por Guilherme Fontes de Araújo, Diretor de Serviços da Blockbit