0 
0 As pessoas são o maior problema na infosec corporativa. Faça deles o maior patrimônio.
Os números são tão ruins porque estamos fazendo as pessoas erradas.
Aqui estão as notícias que você pode usar. Se você estiver tentando proteger uma rede corporativa, quase certamente não conseguirá. Quando você não pode, essa rede pode ser aberta e limpa de coisas boas em poucas horas.
Sabemos disso porque é claro que sabemos, mas também por causa de uma pesquisa do SANS Institute com 300 profissionais de segurança . Não aqueles que tentam repelir os atacantes, mas os outros, que tentam derrubar as paredes e entrar em seus sistemas. O tipo de teste de caneta que busca consentimento ético, é claro, mas os invasores, no entanto.
Em uma tentativa fracassada de animá-lo, o instituto aponta os diferentes períodos de tempo que cada estágio de um ataque bem-sucedido leva, para ajudá-lo a planejar onde colocar seus recursos de detecção. O que não aponta é o que está implícito na estrutura da pesquisa. Os ataques online éticos são uma fonte de informação como nenhuma outra. Se você pudesse ter uma equipe de chapéus brancos permanentemente à mão, olhando para cada mudança que você faz, quão melhor você dormiria à noite?
Não desista cedo demais. A outra coisa que a pesquisa não menciona é por que, depois de todos esses anos e bilhões gastos na melhoria da segurança dos dados, está pior do que nunca.
A equipe que você realmente tem à mão é composta, infelizmente, pelos melhores amigos do atacante. De acordo com o Relatório de Investigação de Violações de Dados de 2022 da Verizon, mais de 80% são bem-sucedidos devido a más ações dos funcionários. Existem muitas classes de erros, desde deslizes de e-mail até fraudes ativas por trás do número da manchete, mas tudo se resume à primeira regra da segurança cibernética: as pessoas são o problema.
A reação de muitas organizações, especialmente as maiores, é impor regras rígidas de segurança da informação com punições severas para a transgressão. E é assim que chegamos a esses 80%, é claro. Ninguém se atreve a admitir nada, muito menos as coisas que eles fazem para burlar as regras para fazer seu trabalho.
Mas você não precisa de uma companhia de colegas de trabalho intimidados. O que você quer é uma empresa de hackers.
Isso pode soar suicida para aqueles que pensam que hackear é atacar, mas menos para aqueles que pensam que hackear é uma mentalidade. Hollywood e a mídia diária estão no primeiro campo: os atacantes online são, na melhor das hipóteses, caçadores de emoções amorais, mas principalmente são quase-criminosos empenhados em travessuras ou crimes reais. Os leitores do Reg estarão no segundo campo, e com razão.
Hacking como uma mentalidade é caracterizada por temas de curiosidade, tenacidade, imaginação e as alegrias da descoberta e invenção. Não é um conjunto de habilidades, embora naturalmente evolua um. É lúdico, correspondência de padrões e resolução de problemas. Ensinar as pessoas a pensar como hackers é melhor do que ensiná-las a temer o bicho-papão, em muitas dimensões.
Tome phishing. A abordagem corporativa padrão para treinar pessoas não-infosec para evitar phishing é explicar os princípios, mostrar alguns exemplos, talvez executar algumas campanhas de phishing falsas para envergonhar aqueles que não “entendem” e seguir em frente. Outra parte desses 80% é conectada.
É muito melhor ensinar as pessoas a escrever e-mails de phishing. Exponha os princípios da engenharia social e recompense os melhores esforços. Não importa quais habilidades técnicas ou consciência as pessoas tenham, na pior das hipóteses elas aprenderão tanto quanto com o método tradicional. Mas alguns começarão a pensar criativamente sobre segurança.
A maioria das pessoas só precisa de conhecimento básico, e isso é bom, mas você pode aprofundar a mentalidade hacker o quanto quiser. Pensar em segurança em profundidade como um conjunto de componentes que precisam ser reforçados, testados, mantidos é um monte de trabalho.
Pensando na cadeia de morte, o caminho através de um sistema que extrai o prêmio, é muito mais envolvente. Se você quiser ler o histórico de declarações de despesas do CEO, como você faria? Digamos que isso não seja muito mais divertido do que perguntar como proteger os sistemas de RH e financeiro, nós o desafiamos duas vezes. É um salto desconfortável, oferecendo recompensas por vulnerabilidades no lugar de avisos por escrito, mas onde você ficaria mais feliz trabalhando?
Há consequências em inculcar essa mentalidade o mais amplamente possível. Você não poderá demitir pessoas por bisbilhotar sua infraestrutura, mas poderá fazê-lo se eles fizerem isso, encontrarem algo e não lhe disserem. Você precisará de regras diferentes, do tipo que os pen testers externos trabalham, sobre o que fazer quando as vulnerabilidades são descobertas e como se comportar de forma responsável quando receber responsabilidade.
O maior risco pode parecer ser o sucesso, se você se encontrar com muitos hackers na equipe que aprenderam demais sobre seus sistemas. Isso é melhor abordado observando o triângulo da fraude: a maioria das pessoas comete fraude se estiver motivada, tiver a oportunidade e puder racionalizar o que está fazendo como não tão errado.
A motivação não muda com uma mentalidade de hacker corporativo. A oportunidade certamente aumenta com a aquisição de habilidades – mas a racionalização se torna mais difícil. A empresa não está sendo estúpida, desconfiada ou indiferente, está pedindo que seu pessoal entre, se divirta com problemas sérios e siga as regras.
No lado positivo, você não apenas recebe muito mais atenção em segurança – sua equipe de testes permanente – você recebe pessoas com a mentalidade hacker de análise criativa e solução de problemas. Isso é contagioso para o trabalho que é realmente impresso em seus cartões de visita. E se você estiver em uma empresa que tem um problema com isso, sugerimos que você faça da correção sua prioridade número um.
Sim, seus sistemas são vulneráveis. Sim, os atacantes passarão. Sim, as pessoas são o problema. Eles também são seu maior ativo de segurança. Basta comprar-lhes alguns chapéus brancos.
FONTE: THE REGISTER