Segurança, proteção e privacidade dos dados: quando a responsabilidade passa pelo fator humano

por Reinhold Spandl, Diretor da Athena Soluções Inteligentes

“Segurança da informação, proteção e privacidade de dados? Isso é um problema da empresa, do pessoal da TI e não é minha responsabilidade!” Vamos com calma… você está bem equivocado!

Vamos dar uma olhada nas perguntas abaixo. 

• Você possui um smartphone?
• Em sua casa você tem uma Smart TV?
• Você faz monitoramento por CFTV de sua residência via internet?
• Redes sociais fazem parte do seu cotidiano?
• Você tem um cartão de crédito e realiza compras via internet ou aplicativo?
• Você mora em um condomínio?
• Na sua opinião, segurança da informação é só no mundo digital?

Se respondeu SIM para qualquer uma dessas perguntas; segurança da informação, proteção e privacidade de dados tem a ver diretamente com você!

O risco está mais próximo do que você imagina

Atualmente, a vida das pessoas está cada vez mais conectada por diversos meios: smartphones, TVs inteligentes, CFTV e, em breve, vários de seus eletrodomésticos estarão popularizados quanto à integração com o mundo altamente conectado. 

Para se ter uma ideia do quanto o risco relacionado a segurança da informação está próximo de todos nós, de acordo com matéria publicada no jornal The Washington Post, a voz de um estranho, fazendo ameaças e gritando palavrões, surgiu através de um monitor, que estava ligado a uma câmera da babá eletrônica no quarto de uma criança nos Estados Unidos.

Em outro caso semelhante, um casal da Carolina do Sul alegou que as lentes da câmera do monitor do bebê começaram a se mover sozinhas e suspeitou que um cibercriminoso havia assumido o controle. O casal encontrou posteriormente fotos de seu bebê em um site de imagens obtidas de câmeras hackeadas.

Obviamente o problema não se limita às babás eletrônicas e, claro, não é só a segurança nas empresas que se faz necessário, mas a proteção digital na vida das pessoas também. Então, como se utilizar disso para fazer a proteção da organização? 

É fato que pessoas são o elo mais fraco na segurança da informação, e muitas empresas estão fazendo a abordagem errada na hora de sensibilizá-los sobre os riscos relacionados a crimes cibernéticos, roubo de dados e ameaças à privacidade.

Se você quiser ter sucesso na prevenção de ataques, foque no ser humano e na sua conscientização. Na prática, a segurança da informação é vista por muitos como algo chato, que atrapalha e que cria burocracia nos processos de negócio. Porém, quando o foco passa a ser diretamente a pessoa e as consequências do crime cibernético, fica muito mais fácil ter a percepção da importância da proteção digital.

Quando, conscientes do risco e seus impactos, a tendência das pessoas é de se tornarem “evangelistas” das boas práticas de segurança da informação, aplicando não só na empresa, mas em seu ambiente familiar. Não basta fazer o certo, é preciso sensibilizar todos que apenas uma falha pode ser o suficiente para colocá-los em risco.

O risco do mundo digital é real e atinge a todos

Mesmo com todo acesso à informação e a divulgação de vários incidentes relacionados a segurança da informação, roubo de dados e invasão a privacidade, ainda hoje, não é totalmente compreendido. Muitas pessoas ainda não possuem real percepção dos riscos a que estão expostas no mundo digital e no alvo da engenharia social. 

A alta conectividade – aliada às técnicas utilizadas por criminosos virtuais para induzir usuários desavisados a enviarem seus dados confidenciais ou abrirem links para sites infectados – tem acarretado um vertiginoso aumento do risco de ataques virtuais. 

A primeira coisa a ser feita para mudar esse cenário de ameaças é desmistificar que a gestão de riscos é algo que diz respeito somente às empresas e instituições do Estado. O processo base da segurança em geral somos nós e a gestão de riscos já faz parte de nossas vidas em vários aspectos, como por exemplo:

• Quando atravessamos uma rua.
• Ao realizar uma ultrapassagem no trânsito.
• Quando decidimos realizar investimentos financeiros.
• Na compra de um carro ou imóvel.
• Ao jogar na Mega-Sena (risco positivo também conta).

Fazemos naturalmente uma gestão de riscos em nosso cotidiano. O medo, por exemplo, em situações arriscadas ou de conflito, nos leva ao estado de cuidado e alerta, disparando uma resposta fisiológica para cada situação. 

O problema é quando minimizamos o risco, o que nos leva a situações que podem resultar em ataques virtuais. Mas a conscientização pode ser nossa aliada.

O risco da engenharia social

A engenharia social, de uma forma resumida, tem por objetivo manipular pessoas e acessar informações para diversos fins, desde um sequestro até mesmo uma simples abordagem para um relacionamento pessoal. 

Ela consiste em manipulação das fraquezas e ingenuidades que todos nós temos, e não há como impedir. Quem já não caiu em brincadeira de um amigo pensando que iria se dar bem? É possível reduzir a probabilidade de sucesso de uma abordagem por engenharia social, capacitando e treinando as pessoas para que, por exemplo:

• Desconfiem da urgência para resolver situações fora do normal.
• Suspeitem de ações persuasivas em momentos que levem a decisões sob pressão.
• Questionem perguntas que não tenham a ver com sua função ou que a pessoa deveria saber e não perguntar.
• Não compartilhem informações sensíveis, a exemplo de segredos ou dados pessoais.
• Desconfiem de vantagens e ganhos exagerados.

Vale ressaltar que as abordagens excessivas são as que mais se deve desconfiar. Algumas vezes são abordagens focadas na pressão e, outras, na presteza. Os dois extremos são estratégias para que se “baixar a guarda” (por intimidação ou simpatia). A recomendação vale também para sua empresa.

O comportamento nas redes sociais pode ser a porta de entrada para ataques de engenharia social, visando atingir as empresas. Portanto, conscientize os colaboradores quanto ao risco de expor informações pessoais e corporativas em seus perfis.

Na prática, a primeira abordagem utilizada por cibercriminosos é utilizar dados do cotidiano para gerar conexão direta com suas vítimas. São informações quanto a localização da residência, do trabalho ou locais de diversão, ações rotineiras sobre compras, passeios e outras obrigações do dia a dia. Tudo pode ser usado.

Não existe segurança 100% e jamais existirá. Capacitação e conscientização serão sempre os melhores aliados para garantir a proteção de dados, privacidade e impedir crimes virtuais que podem impactar sua empresa e família. 

Por fim, mantenha a máxima de que sua segurança é tão forte quanto seu elo mais fraco. Por isso, controles que visem políticas de segurança da informação são fundamentais, afinal, somos todos vulneráveis e as falhas humanas podem nos levar a situações de risco.