As ameaças internas são muito mais que os funcionários mal-intencionados que praticam atos criminosos contra a rede corporativa. Nem toda ação ruim de um funcionário é intencional, feita com o objetivo de prejudicar a empresa ou roubar informações, muitas vezes, os usuários internos são “apenas” negligentes ou ameaças internas acidentais.

Os usuários negligentes são aqueles que estão cientes das políticas de segurança, mas acham que não vai acontecer nada se as regras forem “contornadas” para vencer um desafio maior. É o caso, por exemplo, de um usuário que precisa enviar um arquivo pesado para um usuário e acaba usando uma ferramenta que não foi aprovada pela TI para isso. As ameaças internas acidentais são causadas pelos usuários que simplesmente cometeram um erro, algo não intencional, que acabou colocando os ativos corporativos em perigo.

A pior parte desses dois tipos de ameaça interna é que são praticamente impossíveis de controlar, pois não são intencionais, logo, são de difícil previsão. Para evitar acidentes de segurança, o melhor que as empresas podem fazer é treinar e educar os usuários. Os usuários negligentes, por outro lado, devem receber um reforço das políticas e boas práticas de segurança.

Praticamente todos os funcionários atualmente têm múltiplos dispositivos que podem comprometer milhões de informações de maneira praticamente imediata. Ou seja, o impacto não se limita mais à quantidade de papéis que um funcionário pode levar na bolsa.

Como reduzir as vulnerabilidades

Para diminuir as vulnerabilidades, as empresas devem começar pelo risk assessment para analisar todas as informações disponibilizadas pela empresa, categorizá-las e estudar o que pode acontecer se forem comprometidas.

Quanto mais valiosos forem os dados, mais bem protegidos devem ser. Os treinamentos e os programas de conscientização também podem ser baseados nas descobertas do risk assessment.

É importante também estabelecer uma política de privilégios mínimos. Isso se estende também aos executivos. Por que um CFO precisa ter acesso aos dados de desempenho dos funcionários, que só interessam ao RH, por exemplo? É preciso limitar o acesso às informações àqueles que realmente precisam delas.

Além disso, é preciso ter em mente que a confiança ainda tem um papel importante. Ferramentas de monitoramento permitem que as empresas avaliem o grau de confiança que podem ter nos funcionários. No entanto, tudo deve ser comunicado de maneira apropriada para não destruir a confiança dos funcionários na empresa.

Os funcionários devem estar sempre cientes de que também é sua responsabilidade proteger os dados corporativos e as empresas precisam se certificar de que as políticas atuais são apropriadas para a maneira como fazem negócios.

O risk assessment é o início da construção de uma estratégia de segurança efetiva e pode indicar quais são as soluções mais apropriadas para reduzir riscos e manter os ativos da empresa protegidos. Baixe o whitepaper da PROOF Saiba como implementar um risk assessment efetivo e obtenha a base perfeita para a criação de um bom plano de segurança da informação.

Com CSO