0 
0 Outubro é o Mês de Conscientização sobre Segurança, um momento emocionante, pois organizações em todo o mundo treinam pessoas para serem cibersegurança, tanto no trabalho quanto em casa. Mas o que exatamente é conscientização de segurança e, mais importante, por que devemos nos preocupar com isso?
Conscientização sobre segurança tem muitos outros nomes, dependendo da organização: influência de segurança, cultura, engajamento, treinamento, educação, etc. Todos esses nomes diferentes podem parecer confusos, mas, em última análise, todos estão falando sobre a mesma coisa – gerenciamento de risco humano.
A abordagem tradicional não funciona
Organizações, líderes de segurança cibernética e a comunidade de segurança cibernética dirão a mesma coisa: as pessoas representam o maior risco de segurança no mundo altamente conectado de hoje. As organizações o veem em seus próprios incidentes e nós o vemos em conjuntos de dados globais.
O mais recente Relatório de Investigações de Violação de Dados (DBIR) da Verizon – um dos relatórios mais confiáveis do setor – apontou que as pessoas estavam envolvidas em mais de 80% das violações em todo o mundo. Esses incidentes podem envolver pessoas sendo alvo de e-mails de phishing ou ataques de smishing, ou pessoas cometendo erros (por exemplo, administradores de TI configurando incorretamente suas contas na nuvem e compartilhando acidentalmente dados confidenciais com o mundo inteiro).
Se as pessoas representam um risco tão alto, o que devemos fazer a respeito?
A abordagem tradicional tem sido (e muitas vezes continua a ser) lançar mais tecnologia no problema. Se os invasores cibernéticos conseguirem phishing de pessoas com e-mail, implantaremos tecnologias de segurança que filtram e interrompem os ataques de phishing por e-mail. Se os invasores cibernéticos estiverem comprometendo as senhas das pessoas, implementaremos a autenticação multifator. O problema é que os invasores cibernéticos contornam essas tecnologias visando pessoas.
À medida que melhoramos a identificação e a interrupção dos ataques de phishing por e-mail, os invasores cibernéticos atacam os telefones celulares das pessoas com ataques de smishing (SMS ou baseados em mensagens). À medida que mais e mais organizações implantam a MFA, os cibercriminosos começaram a incomodar as pessoas com solicitações de MFA até que aprovassem uma (como aconteceu recentemente na Uber).
É aqui que também nos deparamos com nosso segundo desafio: as equipes de segurança muitas vezes culpam as pessoas como a causa raiz do problema de risco humano – como evidenciado em frases frequentemente usadas como “As pessoas são o elo mais fraco” e “Se nossos funcionários o que lhes dissermos para fazer, eles e nós estaríamos seguros.”
Mas quando olhamos para a segurança cibernética da perspectiva do funcionário médio, verifica-se que a comunidade de segurança geralmente é a culpada. Tornamos a segurança cibernética tão confusa, assustadora e esmagadora que preparamos as pessoas para o fracasso. As pessoas muitas vezes não têm ideia do que fazer ou, se sabem o que fazer, fazer a coisa certa se tornou tão difícil que erram ou simplesmente escolhem outra opção.
Basta olhar para as senhas, um dos maiores impulsionadores de violações. Há anos dizemos que as pessoas continuam a usar senhas fracas de maneira insegura, mas o problema persiste porque as políticas de senha que ensinamos são confusas e mudam constantemente. Por exemplo, muitas organizações ou sites têm políticas que exigem senhas complexas de 15 caracteres, incluindo letras maiúsculas e minúsculas, símbolos e números. Então, exigimos que as pessoas alterem essas senhas a cada noventa dias, mas não fornecemos uma maneira segura de proteger todas essas senhas longas, complexas e mutáveis.
Em seguida, lançamos o MFA para ajudar a proteger as pessoas, mas, mais uma vez, isso é extremamente confuso (mesmo para mim!). Primeiro, temos vários nomes diferentes para MFA, incluindo autenticação de dois fatores, verificação em duas etapas, autenticação forte ou senhas de uso único. Então, temos várias maneiras diferentes de implementá-lo, incluindo notificação por push, mensagens de texto, aplicativos de autenticação baseados em token FIDO, etc. Cada site que você acessa tem um nome e implementação diferentes dessa tecnologia e, mais uma vez, culpamos as pessoas por não usando isso.
Da conscientização de segurança ao gerenciamento de riscos humanos
O treinamento de conscientização de segurança tem sido a abordagem tradicional e envolve a comunicação e o treinamento de sua força de trabalho sobre como ter segurança cibernética. Embora seja um passo na direção certa, precisamos dar um passo adiante: precisamos gerenciar o risco humano.
A gestão do risco humano requer uma abordagem muito mais estratégica. Baseia-se na conscientização de segurança, para incluir:
- Riscos: A equipe de conscientização de segurança precisa ser uma parte integrada da equipe de segurança, mesmo se reportando diretamente ao CISO. Seu trabalho deve incluir trabalhar em estreita colaboração com outros elementos de segurança (como o centro de operações de segurança, os analistas de inteligência de ameaças cibernéticas e os respondentes de incidentes) para identificar claramente os principais riscos humanos para a organização e os principais comportamentos que gerenciam esses riscos. Depois que esses principais riscos e comportamentos forem identificados e priorizados, podemos nos comunicar e treinar nossa força de trabalho sobre esses comportamentos.
- Políticas: Precisamos começar a criar políticas de segurança, processos e procedimentos que sejam muito mais simples para as pessoas seguirem, devemos projetar políticas (e as ferramentas que as suportam) com as pessoas em mente. Se queremos que as pessoas usem autenticação forte, devemos nos concentrar em algo que seja fácil para as pessoas aprenderem e usarem. Quanto mais confuso e manual for o processo, mais fácil será para os cibercriminosos tirarem vantagem disso.
- Equipe de segurança: precisamos que as equipes de segurança se comuniquem com sua força de trabalho em termos simples e “humanos” que todos possam entender, inclusive explicando o PORQUÊ de seus requisitos: por que os gerenciadores de senhas são importantes, que valor a MFA tem para eles e por que habilitar atualizar é bom para eles. Devemos mudar a percepção dos funcionários sobre a equipe de segurança: de arrogante para acessível.
O gerenciamento de riscos humanos está se tornando uma parte fundamental da estratégia de todos os líderes de segurança. A conscientização sobre segurança é o primeiro passo na direção certa à medida que tentamos nos comunicar, envolver e treinar nossa força de trabalho, mas precisamos de um esforço estratégico mais dedicado para realmente gerenciar o risco humano. Talvez um dia até cresçamos e substituamos o papel do Security Awareness Officer pelo Human Risk Officer.
FONTE: HELPNET SECURITY