Cibersegurança: uma lista de tarefas para sua empresa. Seis estratégias que as empresas podem implementar para proteger seus dados em um ambiente de trabalho híbrido.
À medida que as forças de trabalho continuam a operar fora dos limites tradicionais dos escritórios, elas estão usando mais plataformas digitais. O resultado é um perfil de risco de segurança cibernética aumentado com mais pontos de ataque em potencial, muitos dos quais estão sujeitos a protocolos de segurança de terceiros.
Aqui estão seis estratégias que as empresas podem implementar para proteger seus dados em um ambiente de trabalho híbrido:
Identifique onde os dados críticos para os negócios são salvos e acessados
Para proteger seus dados cruciais, as empresas precisam saber, em primeiro lugar, que eles existem. Para estabelecer um quadro de dados abrangente, as empresas devem inventariar seus ativos internos e externos e identificá-los em bancos de dados estruturados e em fontes não estruturadas, como e-mails, planilhas, apresentações e arquivos compartilhados gerados nas operações do dia-a-dia.
“Uma das maiores dificuldades que as organizações enfrentam hoje é identificar onde estão seus dados confidenciais”, diz Sekhara Gudipati, diretor administrativo de consultoria da empresa de serviços de contabilidade, consultoria e tecnologia Crowe.
Classificar os dados de acordo com o nível de sensibilidade – incluindo onde foram gerados, onde estão armazenados interna e externamente, onde e como podem ser acessados e quem é responsável por eles – pode ajudar as empresas a entender como lidar efetivamente com diferentes tipos de informações. Essa classificação também permite que as empresas controlem seus dados e garantam que estejam visíveis para quem precisa.
Entenda como parceiros de negócios e provedores de tecnologia lidam com dados
Uma vez que existe um inventário de dados, a próxima etapa é esclarecer, do ponto de vista da segurança, como os usuários, parceiros de negócios e fornecedores trabalham com os dados.
À medida que as organizações se unem a vários provedores de serviços de nuvem para transformação digital e parceiros de negócios para serviços de negócios, informações confidenciais podem viajar entre vários sistemas, cada um com sua própria estrutura de segurança. Em um ambiente tão complexo, diz Gudipati, as organizações precisam saber quais informações estão sendo compartilhadas, como estão sendo protegidas e quem é responsável por essa proteção.
“Os maus atores visam ambientes vulneráveis. Se o seu fornecedor for vulnerável, ele pode ser explorado e os agentes mal-intencionados poderão comprometer seus dados ou entrar em sua rede. As empresas precisam garantir que seus fornecedores pratiquem uma forte higiene cibernética”, diz Gudipati.
Ao classificar os fornecedores com base no nível de risco, as empresas podem simplificar o gerenciamento de segurança de terceiros para garantir que os recursos sejam investidos onde terão um impacto ideal. As organizações devem estabelecer o gerenciamento de obrigações e incluir obrigações de segurança da informação nos acordos de nível de serviço de acordo com os níveis de risco dos fornecedores e devem agendar revisões regulares.
A frequência de revisão deve ser baseada no nível de risco, e as revisões devem abordar aspectos de confidencialidade, integridade, disponibilidade e privacidade, indo além de uma abordagem de check-the-box. As organizações devem perceber que suas dependências comerciais de fornecedores são muito maiores do que geralmente pensam.
Limitar o acesso do usuário a dados e sistemas com base nas necessidades do trabalho
“Uma vez que as organizações identificam dados confidenciais, elas devem limitar o acesso de funcionários, contratados e usuários de terceiros a dados e sistemas conforme necessário”, diz Gudipati. Um usuário que não pode fazer login em um sistema em primeiro lugar não pode representar um risco de segurança.
As empresas devem estabelecer um processo de gerenciamento de contas e acesso forte e salvaguardas para implementar o princípio do privilégio mínimo. Os usuários devem receber apenas os privilégios necessários para concluir a tarefa em questão.
Além disso, as empresas devem aumentar as revisões de acesso para ambientes híbridos nos quais mais funcionários fazem logon por meio de conexões de internet de consumidor potencialmente menos seguras para acessar sistemas de informações locais e baseados em nuvem. “As revisões de acesso nem sempre são eficazes porque é um processo complicado. As organizações devem pensar em como podem estruturar, automatizar e agilizar o processo usando qualquer tecnologia com a qual se sintam confortáveis”, diz Gudipati.
Gudipati explica que as empresas podem configurar bots ou scripts que podem verificar os privilégios do usuário em relação à função de trabalho, separação de tarefas, status do usuário e padrões de registro e acesso para detectar e marcar anomalias. As revisões podem ser agendadas trimestralmente ou mensalmente, dependendo da criticidade dos diferentes sistemas, e podem ser acionadas por eventos como pessoas que mudam de função.
Adote um modelo de segurança Zero Trust
“Com o aumento de ambientes de trabalho híbridos e sistemas interconectados em vários parceiros de tecnologia e negócios, as organizações precisam olhar para a segurança além dos maus atores externos e além do perímetro”, diz Gudipati. As organizações devem considerar a adoção de uma estratégia de segurança de confiança zero para aprimorar a proteção de ambientes de trabalho remotos e híbridos e limitar os danos em um cenário comprometido.
A confiança zero não é um produto de tecnologia de prateleira. Em vez disso, é uma iniciativa que as organizações devem entender, adotar e implementar, diz Gudipati.
Desenvolvido como um modelo de segurança para redes definidas por software, a confiança zero busca eliminar o conceito de redes confiáveis e não confiáveis (por exemplo, internas e externas). A confiança zero inclui três princípios fundamentais:
- Verificar se todos os recursos do sistema de informação são acessados com segurança, independentemente da localização
- Adotando um modelo de privilégio mínimo e aplicando rigorosamente o controle de acesso
- Inspecionando e registrando todas as atividades
Crie uma cultura de segurança em primeiro lugar
“Em ambientes de trabalho remotos e híbridos, os funcionários estão acessando, mantendo e compartilhando informações proprietárias fora de suas organizações com mais frequência do que nunca”, diz Gudipati. “É por isso que é fundamental educá-los sobre novas ameaças e riscos e fornecer a eles uma missão de segurança organizacional centrada no cliente.”
O treinamento de conscientização de segurança ajuda a abordar uma das principais causas de violação de segurança: erro humano em uma situação de engenharia social. Em um contexto de segurança cibernética, erro humano significa ações não intencionais – ou falta de ação – por usuários que causam ou espalham uma violação de segurança ou permitem que uma violação de segurança ocorra. Uma cultura de segurança em primeiro lugar começa com um claro entendimento, crença e aceitação de que a segurança da informação é responsabilidade de todos.
A liderança deve enfatizar continuamente o papel vital que a segurança cibernética desempenha no propósito organizacional e na reputação de seus negócios, acrescenta Gudipati. Novas políticas de uso aceitável com o que fazer e o que não fazer para o trabalho híbrido podem orientar os funcionários à medida que abordam atividades potencialmente arriscadas, como armazenar dados confidenciais em unidades locais, usar dados em dispositivos pessoais ou fazer upload de arquivos para armazenamento em nuvem pessoal.
Crie proteções de segurança cibernética que abordem ameaças e riscos comerciais
Embora as defesas de segurança cibernética em profundidade que empregam criptografia de dados, proteção contra malware, gerenciamento oportuno de patches, configurações seguras, ferramentas de proteção de endpoint, treinamento de segurança de funcionários e gerenciamento de contas e acesso com autenticação multifator sejam vitais, as empresas podem otimizar orçamentos dimensionando as proteções de acordo com os riscos e como importantes sistemas de informação particulares são.
“Uma das coisas importantes é esta: antes que as organizações invistam em uma nova solução de tecnologia de segurança, elas devem considerar como essa solução pode ajudar a reduzir os riscos de alta prioridade já existentes ou quaisquer riscos emergentes”, diz Gudipati.
As organizações ainda estão altamente focadas na segurança defensiva, que muitas vezes se mostra insuficiente diante de ataques. Juntamente com os controles de proteção, as empresas também devem se concentrar nos recursos de detecção e resiliência para se preparar para os piores cenários. A resiliência cibernética não é apenas a capacidade de responder; trata-se também de antecipar ataques a alvos críticos, resistir e resistir a ataques e recuperar e adaptar-se a ataques com agilidade.
“Embora o gerenciamento de incidentes e os planos de continuidade de negócios sejam importantes, as organizações devem reconhecer que o inventário adequado de dados críticos, sistemas e dependências de terceiros são essenciais na construção de uma estrutura de resiliência cibernética adaptável e ágil”, diz Gudipati.
Quer o trabalho seja realizado em ambientes de escritório tradicionais ou remotamente, essas seis estratégias podem ajudar as organizações a fortalecer suas posturas de segurança para atender aos novos níveis de risco.
Fonte: Forbes por Natasha Stokes
