Conscientização Cibernética: Fortalecendo o “elo mais fraco” da corrente – Por: Robson Rocha – Entelgy

É urgente compreender que Cibersegurança não é mais um assunto meramente técnico. Trata-se de um risco cada vez mais latente à continuidade dos negócios para corporações de todos os segmentos e tamanhos. Exemplos não faltam de ataques bem sucedidos nos mais diversos contextos, tanto no setor público quanto no privado.

 

O modelo de proteção mais utilizado pelas empresas considera uma estrutura em camadas como abordagem prática para a defesa cibernética, adaptada às necessidades específicas de cada organização. Cada camada desempenha um papel crucial na proteção contra ameaças cibernéticas e na garantia da segurança da informação.

Podemos ter variações em função das especificidades de cada empresa ou segmento de negócio, mas para fins didáticos podemos considerar:

Camada 1: Ativos de Missão Crítica – Esta camada se concentra na proteção dos ativos de missão crítica da organização, que são os elementos essenciais para a operação. Isso pode incluir servidores, sistemas de armazenamento e outros recursos fundamentais para o core business.

Camada 2: Dados – A proteção de dados é de extrema importância. Esta camada aborda a segurança dos dados, incluindo criptografia, controle de acesso e prevenção contra vazamento de informações. Questões regulatórias e legais estão intrinsecamente ligadas a essa camada.

 Camada 3: Aplicação – A segurança das soluções de negócio e aplicativos é fundamental, pois de forma geral é o ponto de contato principal entre a empresa e seus clientes. Isso envolve garantir que as aplicações sejam desenvolvidas e sustentadas de forma segura, com testes de intrusão regulares.

Camada 4: Dispositivo – A segurança de dispositivos, como computadores, smartphones e tablets, é vital para a proteção da empresa, sobretudo em um modelo cada vez mais frequente em que os dispositivos das empresas e dos colaboradores convivem no mesmo ambiente. Isso inclui medidas como utilização de antivírus, atualizações de software e políticas de segurança de dispositivos.

Camada 5: Rede – A proteção da infraestrutura de rede é crítica frente a ameaças cada vez mais frequentes. Isso envolve a implementação de firewalls, detecção de tentativas de intrusões e políticas de segmentação de rede.

Camada 6: Perímetro – A camada de perímetro está relacionada à proteção da fronteira da rede contra ameaças externas. Isso pode incluir firewalls de última geração, VPNs para viabilizar trabalho remoto e sistemas de detecção e prevenção de intrusões (IDPS).

Interessante notar que a maior parte dos investimentos das empresas contra ataques cibernéticos se concentra nessas 6 camadas. Entretanto, e aqui está o contraditório, segundo pesquisas recentes aproximadamente 80% dos ataques cibernéticos exploram a chamada camada 7: o ser humano.

Camada 7: Humano – Uma abordagem realista para tratar a segurança cibernética deve reconhecer que os seres humanos desempenham um papel crítico na proteção ou na vulnerabilidade das organizações. Assim sendo, é urgente educar e conscientizar os colaboradores, parceiros de negócio e fornecedores sobre práticas de segurança cibernética.

Fig1: Modelo de Referência – Cibersegurança em Camadas – Entelgy

Em nossa experiência consultiva temos notado que, mesmo aquelas empresas que se preocupam com o “elo mais fraco da cadeia”, geralmente utilizam técnicas e métodos pouco eficazes para treinamento dos colaboradores: palestras, cursos, treinamentos presenciais ou mesmo e-learnings não garantem que os colaboradores adotarão práticas seguras no seu dia a dia.

“Just because I’m aware doesn’t mean that I care”

A máxima de Perry Carpenter* numa tradução livre “Só porque estou ciente não significa que eu me importe” resume bem o contexto.

É preciso adotar uma abordagem transformadora de comportamentos que, de fato, altere definitivamente a cultura da empresa para estabelecer e manter uma mentalidade de mitigação de riscos cibernéticos.

Se quisermos melhorar a maturidade dos nossos colaboradores, precisamos alterar a forma como abordamos este tema. Precisamos ter uma forte Cultura Organizacional de Cibersegurança e sabemos que cultura está intimamente relacionada a pessoas, suas motivações e interesses.

Na Entelgy utilizamos um Programa Contínuo de Conscientização da cultura de cibersegurança, tendo o colaborador como eixo central, transformando-o no elo mais forte da corrente.

Tal Programa se baseia em uma plataforma de streaming chamada The Firewall Mindset*.

Trata-se de uma websérie em 12 episódios, lúdica e gamificada, em que cada colaborador participa em primeira pessoa como investigador de uma agência de investigação de crimes cibernéticos.

Cada episódio apresenta de forma simples, mas envolvente, casos reais com técnicas de ataque utilizadas por hackers em uma linguagem acessível a todos os níveis de conhecimento em tecnologia da informação. Temas como phishing, smishing, ransomware, sequestro de identidade, engenharia social, manuseio de informação confidencial, dentre outros, vão deixando de ser apenas termos técnicos de cibersegurança para se tornarem pontos de atenção extremamente importantes nos ambientes de trabalho e na vida pessoal dos colaboradores. E o colaborador atua na resolução desses casos, entendendo o contexto, as técnicas de ataque realizadas, como os ataques poderiam ter sido evitados com mudanças de comportamento, e respondendo perguntas para conclusão dos casos.

Por meio de uma sequência pedagógica contínua e progressiva, os colaboradores incorporam o mantra do OPDA –  diante das mais diversas situações do cotidiano, controle seu lado emocional e não realize ações precipitadas: Observe, Pense, Decida e Aja.

A plataforma The Firewall Mindset oferece também ferramentas de gamificação para engajamento dos colaboradores e relatórios para gerenciamento da evolução dos participantes, área de compartilhamento de assuntos relevantes ao tema, além de espaço para discussão e aprendizagem coletiva. E, para melhor quantificar a efetividade do programa, temos a possibilidade de execução de ataques simulados para avaliarmos o quanto a conscientização está realmente transformando a cultura corporativa.

Costumamos dizer que diferente de uma chuva torrencial de conteúdo que molha uma única vez no ano, adotamos um modelo de chuva fina que vai semana a semana encharcando o colaborador com novos conhecimentos e práticas.

É fundamental aceitar que a formação tradicional já não garante a mudança de comportamento. Precisamos muito mais do que treinar, conscientizar as corporações sobre a necessidade urgente de alterar comportamentos. E que cada colaborador tem a responsabilidade em ser um agente relevante dessa mudança.

Você está pronto para a mudança?

*Perry Carpenter é um pensador internacionalmente reconhecido na área de Comportamento frente a Riscos Cibernéticos. É autor de The Security Culture Playbook: An Executive Guide To Reducing Risk and Developing Your Human Defense Layer e Transformational Security Awareness: What Neuroscientists, Storytellers, and Marketers Can Teach Us About Driving Secure Behaviors.

 

*The Firewall Mindset é a plataforma de Conscientização Cibernética da Entelgy