Por que o Fator Humano é Essencial para o Sucesso em Cibersegurança

A complexidade da cibersegurança cresceu exponencialmente à medida que o número de dispositivos digitais interconectáveis aumentou. Como infraestruturas de computadores interdependentes suportam quase todas as organizações hoje, proteger dados digitais tornou-se crucial.

O Elemento Humano como Chave

Trinta e sete por cento dos CEOs pesquisados dizem que risco significativo reside nos parceiros de negócios estendidos e empresas-chave. E medidas preventivas sozinhas não são mais suficientes. O novo ambiente exige monitoramento vigilante e inovação criativa. Exige participação de todas as partes interessadas.

O elemento humano é fundamental. O quão bem você verifica, treina e equipa funcionários fará ou quebrará seu sistema de cibersegurança, sua reputação com clientes e parceiros, e talvez até seu próprio negócio.

Estatísticas Alarmantes

Enquanto 89% da C-suite acredita que os funcionários protegerão informações responsavelmente, 22% dizem que seus funcionários desconhecem políticas de dados offsite. Dispositivos mais em risco são celulares da empresa (50%), laptops da empresa (45%) e dispositivos de armazenamento USB (41%).

Em seu relatório 2018 Views From the C-Suite, a A.T. Kearney descobriu que 85% das empresas sofreram violações de segurança no último ano. Apenas 40% projetaram e implementaram estratégias de cibersegurança em resposta.

Quatro Táticas Principais

Além de focar nos funcionários, é importante trazer toda a cadeia de suprimentos a bordo. Líderes corporativos citam quatro táticas principais para garantir cibersegurança viável:

• Medidas abrangentes de segurança da informação,
• Contratação de profissionais de TI altamente qualificados,
• Análise de comportamento de cibersegurança, e
• Programas de treinamento de funcionários.

O Novo Paradigma

O novo paradigma para cibersegurança é envolver, convencer, educar, converter e recompensar. Usuários finais são frequentemente estereotipados injustamente como não cooperativos, avessos a controle e relutantes em mudar comportamento. Ao mesmo tempo, eles são o elo mais fraco na cibersegurança. Mesmo especialistas técnicos profundos podem ser tão vulneráveis quanto usuários regulares menos treinados e preparados.

Um Exemplo Real

Anos atrás, como CISO de uma operadora de wireless na América do Sul, fui encarregado de reduzir o número crescente de vazamentos de dados. Um executivo sênior recomendou imposição pesada de políticas de segurança. Usuários finais, disse ele, haviam sido não comprometidos com segurança, e não responsivos a campanhas para melhorar controles internos.

Decidi tomar uma posição contrária. A experiência me convenceu de que, para criar soluções viáveis, tínhamos que envolver todas as partes interessadas — cada indivíduo impactado por políticas, tecnologias e decisões — não apenas aqueles sentados nas salas de diretoria.

Em vez de punir usuários finais e focar apenas em impor controles, convocamos uma série de reuniões com funcionários para compartilhar melhores práticas, determinar seus pontos de dor e dar orientação passo a passo sobre como empregar adequadamente ferramentas de segurança.

Descobriu-se que muitas políticas de segurança estavam desatualizadas devido a uma série de fusões. Além disso, usuários lidavam com uma prática incômoda de expiração de senha de 30 dias escrevendo seus códigos de acesso em notas autoadesivas. Pessoas mal-intencionadas assim obtinham acesso não autorizado.

Com base no feedback dos funcionários, atualizamos políticas e reescrevemos procedimentos e padrões para que fossem relevantes e claros. Cartões de pontuação foram usados para acompanhar progresso, e um sistema de recompensa instituído. Vazamentos de dados caíram, e um ciclo de feedback foi estabelecido entre usuários e o departamento de segurança para manter o programa relevante. Usuários finais foram trazidos ao processo, com loops educacionais para identificar problemas potenciais.

Conclusão

A experiência reconfirmou que um processo de design centrado no ser humano e nas partes interessadas, baseado em envolver, educar, converter e recompensar em vez de punir, produz as soluções de cibersegurança mais abrangentes e sustentáveis.

J. Eduardo Campos lidera a empresa de consultoria Embedded-Knowledge Inc.