GDPR: Uma análise de contexto

[av_slideshow_full size=’entry_without_sidebar’ min_height=’0px’ stretch=” animation=’slide’ autoplay=’false’ interval=’5′ control_layout=’av-control-default’ src=” attachment=” attachment_size=” position=’top left’ repeat=’no-repeat’ attach=’scroll’]
[av_slide_full slide_type=’image’ id=’9777′ video=’http://’ mobile_image=” video_format=” video_ratio=’16:9′ title=” custom_title_size=” custom_content_size=” caption_pos=’caption_bottom’ link_apply=” link=’lightbox’ link_target=” button_label=’Click me’ button_color=’light’ link1=’manually,http://’ link_target1=” button_label2=’Click me’ button_color2=’light’ link2=’manually,http://’ link_target2=” font_color=” custom_title=” custom_content=” overlay_opacity=’0.5′ overlay_color=” overlay_pattern=” overlay_custom_pattern=”][/av_slide_full]
[/av_slideshow_full]

[av_textblock size=” font_color=’custom’ color=’#0a0a0a’]

GDPR: Uma análise de contexto

“As políticas de privacidade foram atualizadas”

O primeiro semestre de 2018 foi marcado por caixas de e-mail lotadas de mensagens com a mesma linha de assunto: “Atualizamos nossas Políticas de Privacidade”. A comoção foi tanta, que a maior parte das pessoas notou essa enxurrada de comunicações em torno do mesmo assunto – ao ponto de perderem a paciência.

Os mais bem-humorados fizeram piada sobre como parecia impossível se livrar do tema.

política de privacidade

Tweet de Marques Brownlee, o MKBHD, em tradução livre: “Encontra ilha deserta / uma mensagem em uma garrafa chega à praia trazida pela maré / *abre a garrafa* / Nós atualizamos nossa Política de Privacidade”

Mesmo assim, a maior parte dos usuários desconhecia o motivo por trás dessa avalanche de mensagens: todas as empresas que lidam com dados de usuários europeus estavam rapidamente adaptando suas políticas por conta de uma nova regulação europeia, a Global Data Protection Regulation, ou GDPR.

O que é a GDPR?

A GDPR, ou, em português, a Regulação Geral de Proteção de Dados é uma nova norma adotada pela União Europeia e que entrou em vigor em 25 de maio de 2018 após o escândalo de uso indevido de dados envolvendo o Facebook e a Cambridge Analytica. As implicações deste incidente ultrapassam as consequências já muito graves para o usuário no caso de um vazamento de dados, já que teve influência no processo democrático das eleições de 2016 nos Estados Unidos.

Considerando o imenso volume de dados que produzimos todos os dias, é de extrema importância que sua segurança e manipulação sejam reguladas, já que muitas vezes sequer temos noção da quantidade e natureza desses dados.

Nesta linha, o objetivo principal da GDPR é a proteção da privacidade dos dados pessoais de cidadãos europeus, evitando o vazamento de informações.

As consequências associadas a um vazamento de dados são inúmeras. Para usuários finais que têm seus dados vazados, pode ocorrer prejuízo financeiro, como uso de dados pessoais e de cartão de crédito para realização de compras indevidas; ou mesmo uso das informações para roubo de identidade, em casos nos quais o cibercriminoso usa os dados das vítimas para criar contas falsas e bots, ou até para tomar empréstimos fradulentos.

Contudo, estas não são as únicas possíveis consequências para um indivíduo derivadas de um vazamento de dados. Na verdade, há outras de natureza ainda mais complexas e mais graves, envolvendo a própria liberdade de exercício da cidadania plena.

É por isso que, ao tratar de autoridades responsáveis pelo monitoramento e aplicação da norma, a GDPR ressalta que tem o intuito proteger “os direitos e liberdades fundamentais das pessoas naturais em relação ao processamento de dados”.

Você já se perguntou o porquê?

A resposta curta para essa pergunta é o que viemos falando: a preocupação pública com a privacidade. Em geral, a Europa tem regras mais rigorosas sobre como as empresas usam os dados pessoais de seus cidadãos. A GDPR substitui a Diretiva de Proteção de Dados da UE, que entrou em vigor em 1995.

Isso foi bem antes de a Internet se tornar o centro de negócios on-line que é hoje. Consequentemente, a diretiva estava desatualizada e não abordava muitas maneiras pelas quais os dados são armazenados, coletados e transferidos hoje.

A preocupação pública com a privacidade cresce a cada grande caso de vazamento de dados. De acordo com o RSA Data Privacy & Security Report, para o qual a RSA entrevistou 7.500 consumidores na França, Alemanha, Itália, Reino Unido e EUA, 80% dos consumidores disseram que os dados bancários e financeiros perdidos são uma das principais preocupações. Informações de segurança perdidas (por exemplo, senhas) e informações de identidade (por exemplo, passaportes ou carteira de motorista) foram citadas como uma preocupação de 76% dos entrevistados.

Uma estatística alarmante para empresas que lidam com dados de consumidores é que 62% dos entrevistados afirmaram que culpariam a empresa por seus dados perdidos no caso de uma violação, e não o hacker.

Os autores do relatório concluíram que, “à medida que os consumidores se tornam mais informados, eles esperam mais transparência e capacidade de resposta dos administradores de seus dados”.

A falta de confiança em como as empresas tratam suas informações pessoais levou alguns consumidores a tomar suas próprias medidas defensivas. De acordo com o relatório, 41% dos entrevistados disseram que falsificam dados intencionalmente quando se inscrevem para serviços online. Entre suas principais preocupações estavam a segurança, um desejo de evitar marketing indesejado e o risco de ter seus dados revendidos.

Um exemplo disso é o site https://www.10minutemail.com/ que oferece a criação de endereços de e-mail válidos, randômicos, mas que existem por apenas dez minutos. Muitas pessoas usam estes e-mails temporários para preencher formulários e logins em plataformas das quais não precisarão de contato futuramente, e nas quais não querem depositar seus dados.

O crescimento do cibercrime como fator intensificador

E esse cenário só tende a piorar: até 2021, o custo do cibercrime deve chegar a US$ 6 trilhões por ano – um valor 15 vezes maior do que o registrado em 2015, de US$ 400 bilhões. A previsão é da empresa de pesquisa em cibersegurança Cybersecurity Ventures, com sede nos Estados Unidos.

Os prejuízos incluem danos à integridade, confiabilidade ou disponibilidade de dados, roubo de dinheiro, perda de produtividade, roubo de propriedade intelectual e de dados pessoais e financeiros, fraudes, interrupção de processos de negócio, investigações forenses, restauração e deleção de dados e sistemas infectados, e danos à reputação.

Como vimos, o vazamento de informações como nome, documentos, endereço, conversa pessoal, dentre outros, pode ter consequências gravíssimas para um usuário. Cibercriminosos podem se aproveitar da situação e usar estes dados para criação de perfis falsos, roubo de identidade, chantagem e extorsão, difamação, discriminação, facilitação de ataques de engenharia social e spear phishing, e até para execução de ameaças de violência física, como sequestro e assalto a residências ou locais de trabalho.

Em 2011, a Playstation Network (PSN) da Sony teve dados de mais de 70 milhões de clientes vazados, incluindo mais de 10 milhões de informações de cartões de crédito. Enquanto a rede esteve for a do ar (por mais de um mês), estima-se que as perdas ultrapassem 170 milhões de dólares. Em 2014, a Sony concordou com um acordo preliminar em uma ação judicial coletiva para o pagamento de 15 milhões de dólares aos clientes afetados.

Outro exemplo emblemático foi o vazamento de informações de quase 150 milhões de clientes da Equifax, uma das maiores agências de monitoramento de crédito dos EUA. Dados como número de identidade, endereço, data de nascimento, e até número de carteira de motorista foram expostos.

O vazamento provavelmente começou em maio de 2017, e a empresa só descobriu em julho, tendo ido a público com a informação apenas em setembro do mesmo ano. Embora mais de 20 mil reclamações formais tenham sido submetidas contra a agência, até o presente momento ela não foi condenada.

Vale ressaltar que quanto mais tarde uma empresa informa o público do vazamento ocorrido, por mais tempo os dados vazados ficam expostos sem que sejam tomadas as devidas providências e precauções por parte dos indivíduos afetados, como alterar senhas e informar bancos e operadoras de crédito, por exemplo.

Esta questão é mais uma das que é abordada pela GDPR. De acordo com a nova norma, os usuários têm de ser informados assim que seja possível, considerando-se sempre a sensibilidade dos dados vazados e o perigo que o incidente representa. Em caso de descumprimento, as multas podem ser altíssimas.

Conclusão

Não podemos falar de proteção de dados, sem dar destaque para questões de privacidade. Este é, para alguns, o calcanhar de Aquiles da Internet enquanto ferramenta.

A informação e a comunicação são mais acessíveis, democráticas, e verdadeiramente horizontais do que jamais foram – e como idealizou-se que seriam com a internet. Contudo, questões sérias de privacidade são relevantes no contexto, e por conta disso, precisamos pensar segurança como também nunca havíamos antes.

Nas palavras da presidente e CEO da IBM, Ginni Rommety, “dados são o fenômeno do nosso tempo. É o novo recurso natural do mundo. É a base da vantagem competitiva, e está transformando todos as profissões e indústrias. Se tudo isso é verdade – e até inevitável –, então o cibercrime, por definição, é a maior ameaça a toda profissão, toda indústria e toda companhia no mundo.”

Como vimos, a GDPR é um bom passo na direção de um ambiente de fluxo de dados mais seguro e transparente, e tem o potencial de incentivar regulamentações semelhantes em outros lugares do mundo.

Além da sua inquestionável relevância atual e da urgência de sua edição para o contexto mundial, a GDPR pavimenta o caminho para um futuro mais seguro.
[/av_textblock]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_textblock size=” font_color=” color=”]

Gostou do conteúdo? Que tal dar uma olhada no nosso blog? 😉

[/av_textblock]

[av_postslider link=’post_tag,162′ columns=’3′ items=’9′ offset=’0′ contents=’title’ preview_mode=’custom’ image_size=’entry_without_sidebar’ autoplay=’no’ interval=’5′]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_icon_box position=’top’ boxed=” icon=’ue8d2′ font=’entypo-fontello’ title=’PRODUÇÃO DE CONTEÚDO’ link=’manually,http://www.proof.com.br/material-rico/’ linktarget=” linkelement=’both’ font_color=” custom_title=” custom_content=” color=’custom’ custom_bg=’#1f211f’ custom_font=” custom_border=”]

PROOF está se posicionando no mercado como uma empresa referência em segurança e produção de conteúdo relevante. Nosso objetivo é disseminar e compartilhar conhecimento para contribuir ao máximo no amadurecimento do mercado de segurança no Brasil. Isso porque, nós da PROOF, como uma empresa atenta às inovações do mercado de cibersegurança, estamos sempre nos atualizando das principais tendências tecnológicas do mundo, além dos novos vetores de ataque por parte da indústria do cibercrime.

[/av_icon_box]

[av_one_fifth first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_three_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/THREAT-ANATOMY-REPORT.png’ attachment=’8902′ attachment_size=’full’ align=’center’ styling=” hover=” link=” target=’_blank’ caption=” font_size=” appearance=’on-hover’ overlay_opacity=’0.7′ overlay_color=’#1f211f’ overlay_text_color=’#ffffff’ animation=’no-animation’]
WANNACRY THREAT ANATOMY REPORT
[/av_image]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_button_big label=’BAIXE O THREAT ANATOMY REPORT’ description_pos=’below’ link=’manually,https://d335luupugsy2.cloudfront.net/cms/files/9568/1507148257WannaCry_Threat-Reportd.pdf’ link_target=” icon_select=’yes-left-icon’ icon_hover=’aviaTBicon_hover’ icon=’uf130′ font=’flaticon’ custom_font=’#e7e6e6′ color=’custom’ custom_bg=’#1f211f’ color_hover=’custom’ custom_bg_hover=’#fc9a1a’][/av_button_big]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_three_fifth]

[av_one_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/cultura-300×209.png’ attachment=’9757′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/info-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

CULTURA DE SEGURANÇA DA INFORMAÇÃO

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/buyers_guide-300×211.png’ attachment=’9756′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/buyers-guide-mssp’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

BUYER’S GUIDE: PROGRAMA DE CONSCIENTIZAÇÃO

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/vazamento_informação1-300×210.png’ attachment=’9758′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

EBOOK VAZAMENTO DE INFORMAÇÕES

[/av_textblock]

[/av_one_third][av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_social_share title=” style=” buttons=”]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_comments_list]

GDPR: Entenda tudo sobre a regulação que entrou em vigor

[av_slideshow_full size=’entry_without_sidebar’ min_height=’0px’ stretch=” animation=’slide’ autoplay=’false’ interval=’5′ control_layout=’av-control-default’ src=” attachment=” attachment_size=” position=’top left’ repeat=’no-repeat’ attach=’scroll’]
[av_slide_full slide_type=’image’ id=’9745′ video=’http://’ mobile_image=” video_format=” video_ratio=’16:9′ title=” custom_title_size=” custom_content_size=” caption_pos=’caption_bottom’ link_apply=” link=’lightbox’ link_target=” button_label=’Click me’ button_color=’light’ link1=’manually,http://’ link_target1=” button_label2=’Click me’ button_color2=’light’ link2=’manually,http://’ link_target2=” font_color=” custom_title=” custom_content=” overlay_opacity=’0.5′ overlay_color=” overlay_pattern=” overlay_custom_pattern=”][/av_slide_full]
[/av_slideshow_full]

[av_textblock size=” font_color=’custom’ color=’#0a0909′]

GDPR: Entenda tudo sobre a regulação que entrou em vigor  

 

A GDPR, ou, em português, a Regulação Geral de Proteção de Dados é uma nova regulação adotada pela União Europeia e que entrou em vigor em 25 de maio de 2018. 

A lei foi criada com a intenção de proteger a privacidade dos dados pessoais de cidadãos europeus, e se aplica à atuação tanto de empresas da União Europeia, quanto de empresas estrangeiras que processem informações de cidadãos europeus.  

Mas não se engane, a lei também se aplica para residentes em países da União Europeia, não somente cidadãos europeus. Fique tranquilo, nós vamos explicar o que isso significa mais para frente. 

O objetivo principal da lei é de evitar o vazamento de informações, que, por definição, é um incidente de segurança da informação envolvendo processamento de dados sensíveis ou confidenciais em desconformidade legal, seja de maneira intencional ou não. 

Muitas vezes associamos o vazamento de dados apenas à publicação indevida de informações, mas é importante ressaltar que também abrange hipóteses de perda, destruição, acesso indevido, ou alteração indevida de dados. 

A GDPR visa principalmente dar mais controle aos cidadãos e residentes de sua jurisdição (União Europeia) sobre seus dados pessoais, simplificando o ambiente regulatório para negócios internacionais, unificando o regulamento dentro da União Europeia. 

Espera-se que a norma estabeleça um novo padrão geral para os direitos do consumidor em relação aos seus dados, e as empresas encontrarão desafios à medida que implementarem sistemas e processos para o cumprimento. 

 

GDPR – Global Data Protection Regulation 

 

Um dos conceitos mais importantes a se ter em mente para entender a GDPR é o de informação de identificação pessoal, ou seja, informações que permitam a identificação inequívoca do indivíduo. Há diferentes concepções do que caracteriza uma informação de identificação pessoal: pode ser algo simples e direto como nome completo ou número de documentos, ou um cruzamento de dados como data de nascimento e endereço. 

Também é feita a diferenciação de dados considerados sensíveis, com dados pessoais. Dados sensíveis envolvem crenças religiosas, convicções políticas, orientação sexual, informações médicas e biológicas, associações sociais e sindicais, biometria, etc.; já os dados pessoais são números de documentos, nome completo, data de nascimento, endereço de IP, foto, endereço residencial, dados bancários, etc. 

O vazamento de qualquer uma das informações elencadas é grave, mas considere que o cruzamento de dados pessoais com dados sensíveis pode ser catastrófico. 

As empresas precisarão do mesmo nível de proteção para coisas como o endereço IP de um indivíduo ou dados de cookies, como fazem para os dados bancários, endereço residencial e identidade. 

Nesse sentido, as diretrizes que compõem a GDPR são orientadas de acordo com cinco princípios essenciais, cinco objetivos que a norma pretende contribuir para que sejam atingidos no contexto da manipulação de informações de modo incentivar negócios e relações mais seguros e confiáveis. São eles: 

  • Transparência: a empresa deve divulgar claramente qualquer coleta de dados, declarar a base legal para efetuá-la e a finalidade do processamento desses dados, além de por quanto tempo serão armazenados e se estão sendo compartilhados com terceiros, especialmente se para fora da União Europeia. 
  • Minimização e especificação de propósito: a empresa deve coletar o mínimo de dados que ela precise para validar o cadastro do usuário e deve reduzir a extensão de formulários de cadastro. De mesmo modo, todos os requisitados têm que ter o seu propósito especificado. Isso faz com que as empresas sejam obrigadas a otimizar o processamento da informação, requerendo do usuário apenas dados relevantes à sua atividade ou serviço. 
  • Retificação da informação: dados incorretos ou desatualizados deverão ser retificados. O titular dos dados tem o direito de revogar sua permissão a qualquer momento e o direito de ter seus dados apagados sob certas circunstâncias. 
  • Direito à portabilidade de dados: Os titulares de dados têm o direito de solicitar uma cópia portátil de suas informações coletados por um processador (empresa que processe dados) em um formato comum, ou seja, de fácil consumo para o usuário, como .txt, ou .html. Este é um recurso atual do Facebook, por exemplo – você pode requisitar a visualização e o download de seus dados que estejam sob custódia da rede social em Configurações > Your Facebook information. 
  • Direito ao Esquecimento: o usuário tem o direito de perguntar para empresa quais dados seus ela tem e o que ela está fazendo com isso. Os dados que não forem mais necessários deverão ser excluídos. 

 

Quais empresas a GDPR afeta? 

 

Qualquer empresa que armazene ou processe informações pessoais sobre cidadãos da UE deve cumprir a GDPR, mesmo que não tenha presença comercial na UE. Critérios que caracterizam uma empresa como sujeita ao disposto pela GDPR: 

  • Presença em um país da UE; 
  • Processamento dados pessoais de residentes europeus – independente de presença física ou de negócio na Europa; 
  • Mais de 250 funcionários; 
  • Menos de 250 empregados, mas o processamento de dados afeta os direitos e liberdades dos titulares de dados, ou não é ocasional, ou inclui determinados tipos específicos de dados pessoais sensíveis. 

 

A GDPR aplica-se a toda entidade que processar dados pessoais e sensíveis de cidadãos europeus, independentemente da localidade, e incide sobre toda a cadeia da empresa, incluindo – mas não restrito a – funcionários, terceiros, fornecedores, sistemas e data centers (inclusive os baseados na nuvem). 

Isso significa dizer, em resumo, quase todas as empresas no mundo. Uma pesquisa da PwC mostrou que 92% das empresas dos EUA consideram a GDPR como uma das principais prioridades a serem observadas quando se trata de proteção de dados. 

As autoridades públicas e as empresas cujas principais atividades se concentrem em processar dados pessoais de maneira regular ou sistemática são requeridas a contratar um diretor de proteção de dados (DPO), que será o responsável por gerenciar a conformidade da organização com a GDPR.

O que acontece quando você não está em conforme?

Todos esses objetivos e mudanças da lei não seriam possíveis se as penalidades para incidentes não fossem mais duras, de modo a realmente significarem prejuízos reais para as empresas envolvidas. 

Com a GDPR, na ocorrência de um vazamento de dados, as autoridades competentes devem ser notificadas em até 72 horas, e os clientes e usuários pertinentes também devem ser informados o mais rápido seja possível (sempre levando em consideração o risco que o vazamento represente). 

Em caso de violação às regras da Regulação, podem ser aplicadas multas de 20 milhões de euros ou 4% da receita global anual da empresa (o que representar o valor mais alto); e havendo, por parte da empresa, negligência ou violação de direitos ou acordos de ‘Termos & Condições’, os valores das multas passíveis de aplicação dobram. Se o Google violasse essas regras, por exemplo, as multas poderiam chegar a 4 bilhões de dólares (por conta do faturamento anual da Alphabet, que em 2017 foi de mais de 100 bilhões). 

De acordo com a Ovum, 52% das empresas acreditam que serão multadas por não cumprimento. Em concordância com essa estatística, a análise da consultoria de gestão Oliver Wyman mostra que se a GDPR estivesse em vigor nos últimos cinco anos, as empresas do FTSE 100 seriam multadas em até £25 bilhões (isso mesmo, em libras). 

 

Qual é a relevância da GDPR no Brasil? 

A tendência é que o Brasil também caminhe para legislações e punições mais duras para incidentes de segurança da informação e cibersegurança, tanto a partir da criação de leis e regulamentações como por uma maior participação do Ministério Público Federal nesse tipo de caso. 

Neste sentido, a Câmara dos Deputados aprovou o projeto de lei federal 4.060/12 que está, atualmente, em votação no Senado. Existem mais outros dois projetos de lei semelhantes (5.276/16 e 6.291/16), que são extremamente semelhantes à GDPR, com diferenças de penalidade e controle. Contudo, todas estas propostas ainda estão em tramitação. 

Importante ressaltar que hoje não existe em vigor nenhuma legislação brasileira clara e objetiva que faça com que as empresas venham a público informar um incidente, muito menos que preveja uma multa por danos aos consumidores. Apenas alguns casos de vazamento de informação tiveram grande exposição midiática, como por exemplo o da Netshoes e o da Uber, e isso apenas porque os dados vazados incluíam alguns associados a pessoas do Planalto ou de alto escalão do governo. 

Porém, a lei europeia é aplicável no Brasil através dos Supervisory Authorities, que são autoridades públicas independentes fornecidas por Estados-membros da EU para ficarem responsáveis por monitorar a aplicação da GDPR. Isso é ainda mais relevante quando se considera empresas que tem matriz na Europa e operações em outros países, como Mercedez Benz, Santander, Nestlé, Allianz, etc. Além disso, existindo alguma informação sobre qualquer cidadão europeu em qualquer base de dado fora da Europa, esses dados também são regidos pela GDPR. 

 

O que fazer para estar em compliance? 

 

Antes de entrarmos nas considerações práticas, é interessante definir o que é compliance (conformidade, em português), para ficarmos na mesma página. Compliance é basicamente todo o processo adaptativo de uma empresa para estar em conformidade com uma regulamentação (exs: norma, política, lei, código de ética, SOX, PCI, etc.), e para manter uma operação de acompanhamento da referida conformidade. 

Todo processo de uma empresa para estar em conformidade com uma regulamentação precisa manter uma operação de acompanhamento dessa conformidade. Diferente do conceito de segurança da informação ao qual estamos acostumados, as regras de conformidade têm origem quase sempre no negócio, isto é, elas se aplicam aos processos e a tecnologia deve se adaptar a elas. A tecnologia deve dar suporte à conformidade, ajudando os gestores do negócio a monitorar desvios de conformidade, gerando alertas para tratamento de incidentes. 

Se uma empresa não tem certeza se está ou não em conformidade, o melhor a se fazer é conduzir um processo de avaliação da situação e implementação novas medidas que possa posteriormente ser mantido e reavaliado para manter a estrutura de gerenciamento de conformidade e riscos; um plano de trabalho para aderência aos requisitos que porventura estejam defasados.  

 

Treinamento e Conscientização 

 

Sempre ressaltamos que segurança da informação não se baseia apenas em processos, tecnologias, e proteção digital ou estrutural. Na verdade, as pessoas envolvidas na sua operação e no seu negócio são o fator mais essencial para manter as informações da sua empresa mais seguras. Isso não vale apenas para as equipes de TI ou segurança – outras equipes que tenham menos contato com boas práticas podem ser ainda mais importantes de se dar atenção, como as equipes do financeiro e de operações. 

Usuários bem treinados, conscientizados e inseridos numa cultura de segurança de modo que estejam preparados para lidar com as ameaças com as quais se deparam todos os dias – sejam elas cibernéticas ou de engenharia social – são o verdadeiro escudo para uma manter os dados da sua empresa seguros. 

A conclusão, então, é simples: a resposta é treinar colaboradores, conscientizar sobre segurança da informação e criar uma cultura de segurança na empresa. Contudo, apesar de óbvia, a solução é trabalhosa, já que depende do abandono de hábitos ruins para a construção e cultivo de novos hábitos orientados à segurança. 

Para garantir a adequação do comportamento de colaboradores às boas práticas de segurança, é preciso primeiro ter uma política de segurança da informação sólida, elaborada a partir da realidade de necessidades e demandas da empresa. A partir do disposto nesta política, o ideal é que se desenvolva uma cultura de segurança da informação, um verdadeiro mindset de comportamentos quase que automáticos e intrínsecos às ações do dia a dia.  

Entretanto, isso pode ser complexo, pois depende de uma aproximação da política de segurança à realidade dos colaboradores, e para isso, ela precisa ser simples, acessível, e bem comunicada. Para isso servem os programas de conscientização. 

Os programas de conscientização são processos de longo prazo e que dão resultados a longo prazo também – são aprendizados verdadeiramente duradouros. Nisso, os programas de conscientização se diferem de campanhas de conscientização ou campanhas de phishing, por exemplo. Ao passo que campanhas fornecem uma fotografia do momento de uma característica da maturidade de segurança de uma empresa, um programa de conscientização avalia e impacta diversos aspectos para combiná-los na construção de um ambiente verdadeiramente seguro. 

Por isso, um bom programa de conscientização faz a comunicação por diversos canais e formatos diferentes, com segmentação de público e informação constantemente reforçada. Além disso, funciona em ciclos e é reavaliado e adaptado de acordo com os melhores resultados e as demandas percebidas durante o processo. 

Com isso, o programa de conscientização é a melhor forma de maximizar o potencial aliado dos seus colaboradores para não apenas se manter em conforme com as normas mais atuais, mas também com as mais relevantes boas práticas para blindar a sua empresa contra incidentes de segurança da informação. 

Conclusão 

A GDPR é um passo regulatório para esclarecer relações e influenciar a criação de uma cultura mais responsável em torno do fornecimento, armazenamento, uso, e processamento de dados. 

Mesmo se esforçando para estarem de acordo com as novas regras, muitas empresas temem serem punidas nos primeiros meses por não conseguirem estar perfeitamente dentro do exigido, mas há formas de conduzir essa adaptação na sua empresa. 

Para garantir que a sua empresa está em compliance, sugerimos seguir os seguintes passos:  

  1. Entenda onde você está no cenário de compliance (determinação do nível de aderência à norma e projeto do plano de ação);  
  2. Implemente controles e padrões (com a reestruturação dos processos e tecnologias);  
  3. Faça uma pré-auditoria dos controles para verificar sua eficácia. Se a sua equipe não possui braço para realizar essas ações, considere a contratação de uma consultoria. 

[/av_textblock]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_textblock size=” font_color=” color=”]

Gostou do conteúdo? Que tal dar uma olhada no nosso blog? 😉

[/av_textblock]

[av_postslider link=’post_tag,162′ columns=’3′ items=’9′ offset=’0′ contents=’title’ preview_mode=’custom’ image_size=’entry_without_sidebar’ autoplay=’no’ interval=’5′]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_icon_box position=’top’ boxed=” icon=’ue8d2′ font=’entypo-fontello’ title=’PRODUÇÃO DE CONTEÚDO’ link=’manually,http://www.proof.com.br/material-rico/’ linktarget=” linkelement=’both’ font_color=” custom_title=” custom_content=” color=’custom’ custom_bg=’#1f211f’ custom_font=” custom_border=”]

PROOF está se posicionando no mercado como uma empresa referência em segurança e produção de conteúdo relevante. Nosso objetivo é disseminar e compartilhar conhecimento para contribuir ao máximo no amadurecimento do mercado de segurança no Brasil. Isso porque, nós da PROOF, como uma empresa atenta às inovações do mercado de cibersegurança, estamos sempre nos atualizando das principais tendências tecnológicas do mundo, além dos novos vetores de ataque por parte da indústria do cibercrime.

[/av_icon_box]

[av_one_fifth first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_three_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/THREAT-ANATOMY-REPORT.png’ attachment=’8902′ attachment_size=’full’ align=’center’ styling=” hover=” link=” target=’_blank’ caption=” font_size=” appearance=’on-hover’ overlay_opacity=’0.7′ overlay_color=’#1f211f’ overlay_text_color=’#ffffff’ animation=’no-animation’]
WANNACRY THREAT ANATOMY REPORT
[/av_image]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_button_big label=’BAIXE O THREAT ANATOMY REPORT’ description_pos=’below’ link=’manually,https://d335luupugsy2.cloudfront.net/cms/files/9568/1507148257WannaCry_Threat-Reportd.pdf’ link_target=” icon_select=’yes-left-icon’ icon_hover=’aviaTBicon_hover’ icon=’uf130′ font=’flaticon’ custom_font=’#e7e6e6′ color=’custom’ custom_bg=’#1f211f’ color_hover=’custom’ custom_bg_hover=’#fc9a1a’][/av_button_big]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_three_fifth]

[av_one_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/cultura-300×209.png’ attachment=’9757′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/buyers-guide-mssp’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

CULTURA DE SEGURANÇA DA INFORMAÇÃO

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/buyers_guide-300×211.png’ attachment=’9756′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

BUYER’S GUIDE: PROGRAMA DE CONSCIENTIZAÇÃO

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/vazamento_informação1-300×210.png’ attachment=’9758′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

EBOOK VAZAMENTO DE INFORMAÇÕES

[/av_textblock]

[/av_one_third][av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_social_share title=” style=” buttons=”]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_comments_list]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/cultura-300×209.png’ attachment=’9757′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/info-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

CULTURA DE SEGURANÇA DA INFORMAÇÃO

[/av_textblock]
[/av_one_third]

[av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/cultura-300×209.png’ attachment=’9757′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/info-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

CULTURA DE SEGURANÇA DA INFORMAÇÃO

[/av_textblock]
[/av_one_third]

Visual Hacking: Olhe em volta… você está seguro?

[av_slideshow_full size=’entry_without_sidebar’ min_height=’0px’ stretch=” animation=’slide’ autoplay=’false’ interval=’5′ control_layout=’av-control-default’ src=” attachment=” attachment_size=” position=’top left’ repeat=’no-repeat’ attach=’scroll’]
[av_slide_full slide_type=’image’ id=’9690′ video=’http://’ mobile_image=” video_format=” video_ratio=’16:9′ title=” custom_title_size=” custom_content_size=” caption_pos=’caption_bottom’ link_apply=” link=’lightbox’ link_target=” button_label=’Click me’ button_color=’light’ link1=’manually,http://’ link_target1=” button_label2=’Click me’ button_color2=’light’ link2=’manually,http://’ link_target2=” font_color=” custom_title=” custom_content=” overlay_opacity=’0.5′ overlay_color=” overlay_pattern=” overlay_custom_pattern=”][/av_slide_full]
[/av_slideshow_full]

[av_textblock size=” font_color=’custom’ color=’#2d2d2d’]

Visual Hacking: Olhe em volta… você está seguro?

Visual Hacking é uma forma de se obter informações sensíveis apenas bisbilhotando a mesa, o celular ou o computador do seu alvo. Você nunca percebeu ninguém olhando para a tela do seu smartphone no metrô? Então… 

Você poderia estar sendo um alvo, naquele exato momento.  

Calma, isso não quer dizer que você estava de fato sofrendo visual hacking. É da natureza curiosa do ser humano olhar para o lado e se entreter com o que estiver ao alcance dos seus olhos. Ou era apenas uma pessoa entediada mesmo 😉

76% dos entrevistados alegaram já ter olhado para o dispositivo de outra pessoa

Muitas vezes o ato de olhar para uma tela ou um aparelho que não seja seu vem por reflexo. Uma pesquisa realizada pela 3M em parceria com o Ponemon Institute, a “Public Spaces Interview Study” de 2017 indica que 76% dos entrevistados alegaram já ter olhado para o dispositivo de outra pessoa. 

Mas como você não vai saber diferenciar uma coisa da outra, o jeito mesmo é se prevenir. 

Esse conceito é bem intuitivo, “Visual“, como você pode imaginar significa uso de meios visuais e “Hacking” remete a métodos alternativos de se obter algum tipo de informação. 

Apesar de você achar que esse pode não ser o método mais efetivo de se obter informações, a mesma pesquisa “Public Spaces Interview Study” de 2017 revelou que o visual hacking não demora muito tempo! Pode levar menos de 15 minutos para que um invasor obtenha alguma informação que possa comprometer toda a estrutura de uma companhia.  

Não existe um nicho específico o qual essa ameaça afete mais, ela afeta qualquer indústria de qualquer seguimento. Onde existe informação sensível e confidencial, existe o risco de vazamento. 

As informações sensíveis podem estar dispostas em notebooks, tablets, smartphones, assim como em documentos impressos que são deixados em mesas, salas de reunião, ou até esquecidos na impressora. 

Visual Hacking é fácil, rápido, e não recebe a atenção necessária tanto pelos colaboradores, quanto pelas organizações.

Como Visual Hacking se aplica no ambiente de trabalho?

A organização física do escritório tem um grande papel no risco de Visual Hacking.  

Hoje em dia, muitas empresas investem em ambientes de trabalho com um conceito “open office”, um modelo sem baias ou divisórias entre as mesas. 

Essa organização promete facilitar o contato entre colaboradores, aumentando a produtividade e a sensação de trabalho em equipe. 

Como toda ação tem uma consequência, os documentos, papéis, post-it, e principalmente as telas dos computadores ficam à uma espichada de olho de distância. 

Essa estrutura de escritório é ideal para a prática de Visual Hacking. Todas as companhias que adotam esse modelo devem contabilizar esse novo risco à segurança de informação sensível.

Toda tela que você possa ver, pode ser vista por um visual hacker

Outro fator que deve ser considerado é que existem áreas específicas de todo escritório que são mais vulneráveis à prática do Visual Hacking. Em teoria, toda tela que você possa ver, também pode ser vista por um Visual Hacker. Porém, recepções e áreas com alto trafego de pessoas, como locais próximos aos banheiros ou à copa ficam naturalmente mais comprometidas. 

Dando um passo além da organização física do escritório, os colaboradores muitas vezes não percebem que as informações com que eles trabalham são desejáveis por Visual Hackers, que são informações sensíveis e/ou confidenciais.  

Isso também afeta diretamente a segurança dessas informações já que, desconhecendo os riscos, não são tomadas as medidas de segurança necessárias para evitar que essas informações fiquem disponíveis a um atacante. 

Além disso, pesquisas mostram que os colabores são “tímidos” na hora de confrontar um visual hacker. A pesquisa, Global Visual Hacking Experiment, conduzida pela Ponemon Instutute indica que em 68% das tentativas de obter informação sensível as pessoas não questionaram ou reportaram as ações do Visual Hacker. Mesmo depois de presenciar uma situação atípica ou suspeita. 

Fica evidente que um trabalho de prevenção em Visual Hacking é essencial no plano de conscientização de segurança de qualquer empresa.  

 

Como Visual Hacking se aplica no ambiente externo à empresa?  

 

As políticas de segurança da informação não devem abranger somente a segurança dentro dos muros da empresa. Afinal, todos os colaboradores são sujeitos ao Visual Hacking quando estão trabalhando remotamente, em cafés, aeroportos ou até em meios de transporte. 

Poucas pessoas se preocupam com o conteúdo que deixam disponíveis aos olhos curiosos, sendo esse conteúdo profissional ou pessoal. 

Segundo àquela mesma pesquisa “Public Spaces Interview Study” de 2017, que já mencionamos anteriormente: 

  • 87% das pessoas que trabalham em ambientes públicos já presenciaram alguém espiando por cima de seus ombros. E talvez os outros 13% não tenham virado a cabeça rápido o suficiente.  
  • O Visual Hacking desperta preocupação, 3 de cada 4 colaboradores entrevistados alegaram já ter se sentido desconfortáveis e preocupados em algum nível 
  • 51% dos entrevistados alegaram que não tomam nenhum cuidado especial na hora de fazer o trabalho em um lugar público. 
  • E em um número mais assustador, mas não muito surpreendente, 87% dos entrevistados nunca sequer haviam escutado o termo “Visual Hacking”. 

 

Por que o Visual Hacking deve ser uma preocupação para as empresas? 

 

Para mostrar a importância de se proteger contra essa ameaça chamada visual hacking, e mostrar a urgência do tema, nós escolhemos apresentar dois estudos de caso que foram realizados pelo Ponemon Institute, o primeiro nos Estados Unidos e o segundo com uma abrangência global. 

O primeiro estudo do instituto Ponemon sobre “Visual Hacking” foi realizado em 2015 e mostra o quão fácil é extrair informação sensível de qualquer tipo de empresa utilizando apensas meios visuais. 

Um hacker muitas vezes só necessita de uma informação para comprometer toda a estrutura de uma organização. Ameaças não estão presentes somente no campo de alta tecnologia, alternativas Low-Tech também podem causar danos tão rapidamente quanto.  

Também foi levantada a diferença entre Visual Hacking e Visual Privacy. Visual Hacking, é um método que envolve baixa tecnologia usado para capturar informação sensível, confidencial ou privada somente por meios visuais. Visual Privacy é o ato de proteger informação sensível, confidencial ou privada de Visual Hackers.

88% das tentativas de visual hacking foram bem sucedidas

Os resultados do experimento são assustadores. A grande maioria (88%) das tentativas de Visual Hacking foram bem-sucedidas. 

Dentre as informações sensíveis obtidas: 47% foram credenciais de login e acesso; 35% eram documentos classificados como confidenciais ou sigilosos12% eram informações financeiras ou sobre o orçamento. 

As informações mais sensíveis de uma companhia são vulneráveis. 20% de todo o conteúdo obtido foi considerado como muito valioso. 

Pessoas não gostam de confrontar quem apresenta um comportamento suspeito. Em 70% das tentativas de hacking os colaboradores não questionaram ou reportaram o Visual Hacker. Mesmo após presenciar comportamento suspeito e inusitado. 

Escritórios amplos e abertos são ideais para a prática do Visual Hacking. Escritórios tradicionais, com a divisão por cubículos, fazem com que seja muito mais fácil proteger documentos impressos ou impedir a visualização de uma tela. Evitar alterar a organização tradicional do escritório minimiza consideravelmente os riscos de Visual Hacking. 

Em todos os ataques o invasor conseguiu obter informação sensível em menos de 15 minutos. 

Nas vezes que detectaram as ações do Visual Hacker, já era tarde demais, múltiplas informações já haviam sido divulgadas na mesma tentativa.

Em 2016 a Ponemon, conduziu o primeiro experimento em escala global visando avaliar o nível de vulnerabilidade ao Visual Hacking. Chamado de “Global Visual Hacking Experimental Study. 

O estudo foi a extensão do mesmo projeto realizado em 2015, apresentado anteriormente. Dessa vez, foram analisadas empresas de 8 países diferentes, incluindo: EUA, China, França, Alemanha, Índia, Japão, Coréia do Sul e Reino Unido. 

O objetivo dessa pesquisa foi detectar o quão preparadas essas companhias estão para lidar com a ameaça que é o Visual Hacking. 

Segundo a Ponemon, o Visual Hacking acontece quando um colaborador faz escolhas ruins de como acessar e visualizar informação sensível, que é então vista por um curioso ou por um hacker malicioso.  

Com essa pesquisa pode-se perceber que existe uma necessidade em quase todas as empresas de criar conscientização dentre os usuários sobre a proteção de informações sensíveis. 

O instituto Ponemon conduziu um hacker “white hat” dentro de lugares reais de trabalho em diversas localidades ao redor do mundo.  

O hacker “white hat” é um tipo hacker que utiliza os seus conhecimentos para aumentar o nível de segurança, isto é, procura a exploração e detecção de erros e de conceito, que posteriormente são evidenciados e podem ser corrigidos. 

Os testes duravam de uma a duas horas em cada locação e o hacker procurou por diversos tipos de informação considerados importantes. Informações sobre clientes ou sobre funcionários, credenciais de acesso e login, correspondência da companhia, material de treinamento, dentre outros. 

A pesquisa prova: o Visual Hacking é um problema global. Ele ocorreu em todos os países e 91% de todas as 157 tentativas foram bem-sucedidas. 

De todas as informações obtidas pelos hackers, grande parte (27%) é considerada informação sensível. 

Certas situações facilitam o Visual HackingDocumentos deixados em cima de mesasesquecidos em salas de reuniões e principalmente informação visualmente disponível em computadores como notebooks, smartphones, tablets dentre outros. 

Metade das tentativas de Hacking foram bem-sucedidas em menos de 15 minutos. E mais da metade (52%) das informações sensíveis foi obtida através de monitores de computador. 

Uma média de 3.9 “pedaços de informação” diferentes foram obtidas pelo hacker, por tentativa. Isso representa qualquer tipo de informação sensível que ajude um invasor a conquistar seus objetivos. 

27% das vezes tais informações eram credenciais de login ou informação financeira e privilegiada e, novamente, em 68% das tentativas o atacante não foi percebido ou questionado pelos colaboradores. 

 

Boas práticas para evitar Visual Hacking 

 

Agora vamos ao que interessa? 

Como parte de nossa missão é ajudar a tornar pessoas e negócios mais seguros, não podíamos deixar de indicar as boas práticas para se proteger contra essa ameaça.

certifique-se do quão vulnerável você está

Antes de acessar qualquer tipo de informação sensível, se certifique o quão vulnerável você está. Caso esteja em um lugar muito cheio, como uma cafeteria ou avião, considere esperar até estar em um lugar mais seguro, ou procurar um novo lugar, para trabalhar com tais informações.  

Especialmente se a sua empresa tiver o conceito de “open office”, fique a atento as pessoas ao seu redor quando for trabalhar com informações sigilosas.  

O Visual Hacking é um assunto que precisa ser discutido com todos os colaboradores para que possa ser prevenido em toda a organização. Uma estratégia de privacidade visual é imprescindível. Vale também levar em consideração colaboradores que trabalham diretamente com informações sensíveis, verifique a possibilidade deles serem alocados em ambientes afastados de visitantes e de membros de outros departamentos. 

Utilizar bloqueios físicos, como uma trava biométrica, para evitar o trânsito de funcionários em áreas que eles não trabalhem diretamente também é algo que deve ser levado em conta.  

As políticas de Segurança da Informação de uma empresa devem instruir os colaboradores a bloquear o computador ou quaisquer dispositivos quando esses não estão em uso. Além de, indispensavelmente, proteger os dispositivos com senhas fortes. 

A política de Mesa Limpa também ajuda a evitar que documentação sigilosa ou confidencial fique exposta nas mesas dos colaboradores. Juntamente com os esforços de usar um triturador de papel para descarte de documentos que não forem mais necessários. 

Os colaboradores são a ferramenta mais forte na defesa contra o Visual Hacking, mas alterar comportamento humano pode ser difícil. Todas as políticas de Segurança de Informação implementadas devem ser reforçadas com esforços de comunicação interna, treinamentos e com a tentativa da criação de uma cultura de privacidade. 

Uma combinação simples de pessoas, processos e tecnologia é o primeiro passo em direção a prevenção do Visual Hacking. A prevenção precisa ser uma constante, uma vez que pessoas mal-intencionadas continuam buscando novas maneiras de extrair informação sensível. 

Lembre-se: muitas pessoas transitam diariamente pelo escritório, e QUALQUER UM pode ser um Visual Hacker. 
[/av_textblock]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_textblock size=” font_color=” color=”]

Gostou do conteúdo? Que tal dar uma olhada no nosso blog? 😉

[/av_textblock]

[av_postslider link=’post_tag,250′ columns=’3′ items=’9′ offset=’0′ contents=’title’ preview_mode=’custom’ image_size=’entry_without_sidebar’ autoplay=’no’ interval=’5′]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_icon_box position=’top’ boxed=” icon=’ue8d2′ font=’entypo-fontello’ title=’PRODUÇÃO DE CONTEÚDO’ link=’manually,http://www.proof.com.br/material-rico/’ linktarget=” linkelement=’both’ font_color=” custom_title=” custom_content=” color=’custom’ custom_bg=’#1f211f’ custom_font=” custom_border=”]

PROOF está se posicionando no mercado como uma empresa referência em segurança e produção de conteúdo relevante. Nosso objetivo é disseminar e compartilhar conhecimento para contribuir ao máximo no amadurecimento do mercado de segurança no Brasil. Isso porque, nós da PROOF, como uma empresa atenta às inovações do mercado de cibersegurança, estamos sempre nos atualizando das principais tendências tecnológicas do mundo, além dos novos vetores de ataque por parte da indústria do cibercrime.

[/av_icon_box]

[av_one_fifth first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_three_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/THREAT-ANATOMY-REPORT.png’ attachment=’8902′ attachment_size=’full’ align=’center’ styling=” hover=” link=” target=’_blank’ caption=” font_size=” appearance=’on-hover’ overlay_opacity=’0.7′ overlay_color=’#1f211f’ overlay_text_color=’#ffffff’ animation=’no-animation’]
WANNACRY THREAT ANATOMY REPORT
[/av_image]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_button_big label=’BAIXE O THREAT ANATOMY REPORT’ description_pos=’below’ link=’manually,https://d335luupugsy2.cloudfront.net/cms/files/9568/1507148257WannaCry_Threat-Reportd.pdf’ link_target=” icon_select=’yes-left-icon’ icon_hover=’aviaTBicon_hover’ icon=’uf130′ font=’flaticon’ custom_font=’#e7e6e6′ color=’custom’ custom_bg=’#1f211f’ color_hover=’custom’ custom_bg_hover=’#fc9a1a’][/av_button_big]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_three_fifth]

[av_one_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’https://www.proof.com.br/wp-content/uploads/2015/06/INSIDER-THREAT-HORIZONTAL-300×211.png’ attachment=’7258′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/info-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

INSIDER THREAT

[/av_textblock]
[/av_one_third]

[av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/buyers_guide-300×211.png’ attachment=’9756′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/buyers-guide-mssp’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

BUYER’S GUIDE

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2018/07/cultura-300×209.png’ attachment=’9757′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

EBOOK CULTURA

[/av_textblock]

[/av_one_third][av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_social_share title=” style=” buttons=”]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_comments_list]

Spear Phishing: Uma das ameaças mais efetivas

[av_slideshow_full size=’entry_without_sidebar’ min_height=’0px’ stretch=” animation=’slide’ autoplay=’false’ interval=’5′ control_layout=’av-control-default’ src=” attachment=” attachment_size=” position=’top left’ repeat=’no-repeat’ attach=’scroll’]
[av_slide_full slide_type=’image’ id=’9636′ video=’http://’ mobile_image=” video_format=” video_ratio=’16:9′ title=” custom_title_size=” custom_content_size=” caption_pos=’caption_bottom’ link_apply=” link=’lightbox’ link_target=” button_label=’Click me’ button_color=’light’ link1=’manually,http://’ link_target1=” button_label2=’Click me’ button_color2=’light’ link2=’manually,http://’ link_target2=” font_color=” custom_title=” custom_content=” overlay_opacity=’0.5′ overlay_color=” overlay_pattern=” overlay_custom_pattern=”][/av_slide_full]
[/av_slideshow_full]

[av_textblock size=” font_color=” color=”]

[/av_textblock]

[av_textblock size=” font_color=’custom’ color=’#161515′]

Spear Phishing: uma das ameaças mais efetivas
 

O que é Spear Phishing?

 Spear phishing é um ataque  de phishing pequeno e direcionado, focado em uma pessoa, grupo de pessoas, ou organização específica com o objetivo de penetrar suas defesas. 

É executado após um processo de pesquisa sobre o alvo e tem algum componente personalizado através de engenharia social inteligente e relevante, projetado para fazer o alvo executar alguma ação contra seus próprios interesses (como clicar em um link ou baixar um arquivo malicioso, ou até efetuar transferências bancárias). 

Normalmente esses ataques têm origem em alguma fonte confiável para o usuário – como um e-mail ou website com o qual ele habitualmente interage – e que tenha sido comprometida, ou pela qual o atacante esteja se passando. 

Por exemplo, se você vai participar de algum evento em São Paulo, mas faz check-in no Facebook no Rio de Janeiro, um atacante pode te enviar a seguinte mensagem: “Oi, Sérgio! Soube que você está indo para São Paulo na semana que vem.Enquanto você estiver lá, vale a pena visitar esse restaurante maravilhoso, tenho certeza de que você vai gostar!” 

Nesse caso, a mensagem de e-mail ou em redes sociais (link de post de redes sociais) – onde os ataques são cada vez mais comuns – pode vir acompanhada de um link para o site do suposto restaurante, ou um PDF do suposto cardápio, ambos, claro, maliciosos. 

Por um lado, um ataque de phishing comum pode ser algo como “você é o usuário número X do nosso serviço, clique aqui e insira seus dados para obter seu prêmio”, uma mensagem genérica, enviada a uma imensa base de vítimas.

Já o spear phishing, por ser baseado em pesquisa e orientado por engenharia social, costuma se dirigir à vítima por nome e/ou cargo e tratando sobre um assunto que interesse ou seja pertinente ao contexto da vítima.

O Spear phishing é muito mais difícil de detectar do que o phishing comum

Assim, é muito mais difícil não só de ser identificado, como também reportado (tornando-se conhecido), do que um ataque de phishing comum, porque levanta menos suspeitas já que é direcionado e atinge um número menor de vítimas em potencial a cada campanha, quando comparado ao phishing regular. 

Ataques como estes têm por objetivo roubar informações pessoais como login, senhas, dados do cartão de crédito, ou mesmo dados sensíveis de uma organização, como sua base de clientes e contatos, dados desses clientes, e dados internos da organização em si.  

Quando os ataques são bem-sucedidos e as informações são efetivamente roubadas, elas podem ser usadas para manipular preços de ações, efetuar transferências bancárias, assumir identidades, revelar segredos industriais ou governamentais, espionar concorrência, dentre outras possibilidades.  

Diversas formas de ataque…

 Além de vir por mensagens personalizadas, que podem chegar por e-mail ou redes sociais, por exemplo, spear phishing pode ser conduzido aproveitando-se de um watering hole em websites comprometidos, explorando vulnerabilidades zero-day altamente cobiçadas.  

Um ataque watering hole é um exploit de segurança em que o atacante procura comprometer um grupo específico de usuários finais (como o time financeiro de determinada empresa, ou o departamento de inspeção de uma agência governamental específica), infectando sites que eles normalmente visitam. 

O objetivo é infectar o computador de um usuário-alvo e obter acesso à rede no local de trabalho do mesmo. O termo “zero-day” refere-se à natureza desconhecida da vulnerabilidade (a não ser para os hackers). Este ponto cego de segurança é então explorado por hackers antes que o servidor tenha conhecimento e possa corrigi-lo. 

Vale lembrar que o atacante nem sempre rouba seus dados na hora, às vezes o spear phishing é porta de entrada para um ataque ainda pior: segundo a TrendMicro91% dos ciberataques com alvo específico começam com um email de spear phishing, sendo eles a isca mais comum de infiltração de Ameaças Avançadas e Persistentes (APTs).

Spear Phishing é o maior vetor de advanced persistent threats

APTs usam malwares sofisticados para permanecerem numa rede por muito tempo, adaptando-se às defesas dela de modo a permanecer não-detectado enquanto procura a melhor forma de obter as informações cobiçadas. 

Os ataques APTs que entram em uma organização através spear phishing representam uma mudança clara na estratégia dos cibercriminosos.

Eles não precisam mais de campanhas de spam em massa já que a efetividade de um ataque de spear phishing bem feito é muito maior, sendo ele essencial para fazer com que indivíduos com acesso privilegiado (que normalmente têm algum treinamento de boas práticas de segurança) sejam fisgados pela fraude que parece ser completamente legítima.
 

Os segmentos mais afetados

 Ainda de acordo com a TrendMicro, em contextos de empresas ou organizações governamentais, as pessoas normalmente compartilham arquivos (como relatórios, documentos, e currículos) por e-mail, já que fazer download da internet é mal visto. Por isso, esse tipo de lugar recebe mais spear phishing por anexo de email do que qualquer outro meio. 

Já os sem anexos, com link para download de um arquivo, por exemplo, costumam ser enviados para organizações não-governamentais, grupos de ativistas e organizações internacionais que ficam localizadas em diversos pontos ao redor do mundo, de modo que um link para download de arquivo de localização remota não parece suspeito. 

Governos, ativistas, e empresas do setor financeiro são as três verticais mais afetadas por ataques de spear phishing como meio para uma APT.

Isso se dá, provavelmente, por conta da quantidade de informações publicamente disponíveis sobre estas organizações, inclusive as de contato direto e sobre seus colaboradores. 

Entretanto, negócios menores, com menos defesas e menos preparação de segurança, são alvos mais fáceis para conseguir quantias de dinheiro rapidamente, e os ataques contra as pequenas empresas continuaram a crescer.

Um dos métodos mais comuns nestes casos, chamamos também de CEO Fraud ou Whaling. São ataques de spear phishing focados em equipes financeiras e de contabilidade, afirmando partirem do CEO, requisitando transferências de grandes quantidades de dinheiro.

Nenhum negócio está livre do risco

Isso mostra que nenhum negócio é sem risco. Atacantes motivados puramente por lucro podem ser tão tecnicamente sofisticados e bem organizados como qualquer instituição patrocinada por governos, para ataques de cunho político.
 

Para começar a se proteger 

Deve-se sempre lembrar que os atacantes só têm que ter sucesso uma vez, enquanto as empresas devem bloquear múltiplas tentativas de ataque para permanecerem seguras. As empresas devem começar a pensar sobre o que fazer quando (e não “se”) tal violação ocorrer. A primeira dica, portanto, é: assuma que você será atacado. 

Porém, a maioria das soluções tradicionais não está preparada para lidar com as ameaças avançadas, como ransomwaresspear phishingvulnerabilidades zero-day e APTs. Antes que um antivírus tradicional possa detectar e parar um ataque, o ransomware já criptografou todos os arquivos e bloqueou o acesso ao sistema. Nesse sentido, os softwares de próxima geração, ou next-generation antivirussão as melhores ferramentas para proteger o seu negócio. 

NGAV tem uma visão centrada no sistema de segurança de endpoint, examinando todos os processos em cada extremidade para detectar e bloquear as ferramentas, táticas, técnicas e procedimentos maliciosos usados pelos atacantes, através de algoritmos, o que o torna mais adequado para lidar com esse tipo de ameaça complexa. 

Entretanto, vale lembrar que uma plataforma de TI só é segura até onde os usuários fazem dela segura. Em outras palavras, você é tão seguro quanto o seu elo mais fraco, que, já sabemos, na maioria esmagadora das vezes, é o fator humano.

Por isso, os funcionários precisam ser treinados devidamente quando o assunto é segurança. Conscientização de segurança deve ser a sua primeira linha de defesa contra todos os tipos de phishingspear phishing, e outras diversas ameaças contra a segurança da sua empresa. 

Cibercriminosos estão aumentando seus recursos para explorar qualquer informação pessoal descoberta através de engenharia social.

A partir do momento em que qualquer um pode virar um alvo de um ataque de spear phishing, combater esta ameaça requer treinamentos de conscientização contínuos para todos os usuários para que, por exemplo, eles sejam cuidadosos com o que eles compartilham, de modo que evitem revelar informações pessoais online para não se tornarem vítimas de roubo de identidade. 

Um exemplo recente de ataque de phishing

No início de 2018, a Politico reportou que o Departamento de Estado dos Estados Unidos (United States Department of State) teria enviado um alerta a seus funcionários sobre uma ‘tsunami’ de mensagens maliciosas para levar colaboradores a abrirem as portas para hackers. 

De acordo com a mensagem enviada pelo Departamento de Estado, os cibercriminosos estavam usando como assunto do e-mail de spear phishing uma menção a uma conferência de ciências políticas, ou uma conferência de tecnologia, de modo a tentar as vítimas a clicarem nos links para download de anexos infectados. Outros assuntos ainda mencionavam segredos de mercado financeiro. 

Na época, o Departamento de Estado não confirmou se havia ou não enviado o alerta, mas declarou que seus funcionários são frequentemente alertados em treinamentos de cibersegurança e por notificações a estarem sempre alertas para atividades suspeitas que podem ter o Departamento de Estado como alvo. 

Como vimos, funcionários do Departamento de Estado dos Estados Unidos precisam ser treinados em cibersegurança, fazer treinamentos regulares, e estarem alertas e conscientizados… e os seus estão preparados? E você? 

E, por isso, a segunda dica é… 

 …Conscientização! Ela é a chave para a proteção. Isso porque não há firewall que impeça um ser humano de ser vítima de um golpe de engenharia social, ou de descuido e distração, ou mesmo de ter uma iniciativa maliciosaA forma como agimos e nos comportamos é a única maneira de nos resguardarmos.

Conscientização é a chave para a proteção

Para isso, fique atento a algumas medidas fundamentais: 

  • Usar senhas fortes: são as que contêm letras maiúsculas e minúsculas, números, e caracteres especiais. Elas demoram muito mais para serem quebradas por programas e algoritmos; 
  • Altere suas senhas com frequência; 
  • Não use a mesma senha para mais de um aplicativo, sistema ou website: uma para cada login, já que ter senhas variadas impede a exposição de todas as suas contas se uma delas vazar; 
  • Tenha um gerenciador de senhas para administrar senhas fortes e variadas sem precisar decorá-las, de modo que você pode gerar novas senhas aleatoriamente (que não significam nada para você e não serão adivinhadas por engenharia social), além de não precisar anotar em uma planilha ou até em um papelzinho, e pode inseri-las automaticamente; 
  • Use um gerenciador de senhas para compartilhar informações de login com segurança e privacidade com o time; 
  • Não clicar em links suspeitos: ao passar o cursor do mouse em cima de um hiperlink, você verá seu URL. Se for encurtado (bit.ly), por exemplo, pode ser uma fraude. 
  • Não abrir anexos não solicitados: eles podem possuir malwares ou documentação falsa, como um boleto fraudulento; 

Pode parecer muita coisa para se lembrar, muito trabalho a fazer, mas na verdade, tudo isso é uma questão de hábito, que será facilitada pela atuação de um programa de conscientização sólido, como o PSAP da PROOF.  

Ter a certeza de que seus funcionários estão atentos e conscientes faz de um programa de conscientização um recurso valioso para garantir que toda a empresa receba treinamento, educação e conscientização apropriados em consonância com as políticas e procedimentos organizacionais da empresa.
 

Conclusão 

spear phishing vem crescendo e se diversificando: não atinge mais apenas organizações gigantes, governos, e ativistas. Muito pelo contrário, é um método extremamente efetivo contra pequenos e médios negócios que ainda caminham os primeiros passos em direção a boas práticas de segurança. 

Ninguém está livre e todos são alvos. Muitas vezes o spear phishing não se encerra no ataque, roubo e publicação da informação, porque como vimos, é o maior vetor de APTs atual, e os riscos associados são substanciais.

São muito mais difíceis de serem identificados por sua característica de foco e especificidade e, por isso, são muito mais efetivos que o phishing comum. 

Apesar de ser uma ameaça amplamente conhecida, da qual conhecemos muitos métodos, técnicas e ferramentas, muitas pessoas e organizações continuam caindo e os números relativos aos prejuízos gerados – tanto em valor quanto em quantidade – continuam a aumentar.

Isso mostra o despreparo que ainda existe, enfatizando a importância do treinamento e capacitação dos colaboradores no que diz respeito à identificação de ameaças modernas e complexas como essa. 

Não há questão de ‘se’ alguém pode ser vítima de cibercrime e, especialmente, do cada vez mais popular spear phishing; e sim de ‘quando’.

Mas não há ferramenta digital – seja antivírus ou firewall – que funcione contra engenharia social. Seus colaboradores estão afiados? Você conhece as ameaças? Você está preparado? 
[/av_textblock]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_textblock size=” font_color=” color=”]

Gostou do conteúdo? Que tal dar uma olhada no nosso blog? 😉

[/av_textblock]

[av_postslider link=’post_tag,250′ columns=’3′ items=’9′ offset=’0′ contents=’title’ preview_mode=’custom’ image_size=’entry_without_sidebar’ autoplay=’no’ interval=’5′]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_icon_box position=’top’ boxed=” icon=’ue8d2′ font=’entypo-fontello’ title=’PRODUÇÃO DE CONTEÚDO’ link=’manually,http://www.proof.com.br/material-rico/’ linktarget=” linkelement=’both’ font_color=” custom_title=” custom_content=” color=’custom’ custom_bg=’#1f211f’ custom_font=” custom_border=”]

PROOF está se posicionando no mercado como uma empresa referência em segurança e produção de conteúdo relevante. Nosso objetivo é disseminar e compartilhar conhecimento para contribuir ao máximo no amadurecimento do mercado de segurança no Brasil. Isso porque, nós da PROOF, como uma empresa atenta às inovações do mercado de cibersegurança, estamos sempre nos atualizando das principais tendências tecnológicas do mundo, além dos novos vetores de ataque por parte da indústria do cibercrime.

[/av_icon_box]

[av_one_fifth first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_three_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/THREAT-ANATOMY-REPORT.png’ attachment=’8902′ attachment_size=’full’ align=’center’ styling=” hover=” link=” target=’_blank’ caption=” font_size=” appearance=’on-hover’ overlay_opacity=’0.7′ overlay_color=’#1f211f’ overlay_text_color=’#ffffff’ animation=’no-animation’]
WANNACRY THREAT ANATOMY REPORT
[/av_image]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_button_big label=’BAIXE O THREAT ANATOMY REPORT’ description_pos=’below’ link=’manually,https://d335luupugsy2.cloudfront.net/cms/files/9568/1507148257WannaCry_Threat-Reportd.pdf’ link_target=” icon_select=’yes-left-icon’ icon_hover=’aviaTBicon_hover’ icon=’uf130′ font=’flaticon’ custom_font=’#e7e6e6′ color=’custom’ custom_bg=’#1f211f’ color_hover=’custom’ custom_bg_hover=’#fc9a1a’][/av_button_big]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_three_fifth]

[av_one_fifth min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]
[/av_one_fifth]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2015/06/A5_-_7_dicas_contra_phishing_durante_o_período_de_IR-300×211.png’ attachment=’7049′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/info-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING NO PERÍODO DE IMPOSTO DE RENDA

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2015/06/thumb_phishing-calendar-300×211.png’ attachment=’7050′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/buyers-guide-mssp’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING CALENDAR

[/av_textblock]

[/av_one_third][av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]

[av_image src=’https://www.proof.com.br/wp-content/uploads/2015/06/thumb_phishing-facts-300×211.png’ attachment=’7051′ attachment_size=’medium’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-ransomware’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING FACTS

[/av_textblock]

[/av_one_third][av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_social_share title=” style=” buttons=”]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_comments_list]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”][/av_one_third]

Qual a importância da conscientização de usuários para a Segurança da Informação?

[av_slideshow_full size=’no scaling’ min_height=’0px’ stretch=” animation=’slide’ autoplay=’false’ interval=’5′ control_layout=’av-control-default’ src=” attachment=” attachment_size=” position=’top left’ repeat=’no-repeat’ attach=’scroll’]
[av_slide_full slide_type=’image’ id=’8389′ video=’http://’ mobile_image=” video_format=” video_ratio=’16:9′ title=” custom_title_size=” custom_content_size=” caption_pos=’caption_bottom’ link_apply=” link=’lightbox’ link_target=” button_label=’Click me’ button_color=’light’ link1=’manually,http://’ link_target1=” button_label2=’Click me’ button_color2=’light’ link2=’manually,http://’ link_target2=” font_color=” custom_title=” custom_content=” overlay_opacity=’0.5′ overlay_color=” overlay_pattern=” overlay_custom_pattern=”][/av_slide_full]
[/av_slideshow_full]

[av_textblock size=’14’ font_color=” color=”]

Qual a importância da conscientização de usuários para a Segurança da Informação?

O universo da Segurança da Informação vem passando por um momento de mudanças graduais, constantes e significativas devido ao avanço tecnológico e ao crescimento do cibercrime.

Inicialmente, os problemas de Segurança da Informação se baseavam em vírus e pichações nas páginas da Internet. Atualmente, entretanto, a introdução de tecnologias como IoT, por exemplo, apesar de terem trazido mais velocidade e eficiência para os negócios, também ampliaram a superfície de ataque, aumentando, consequentemente, o êxito dos ataques cibernéticos.

Uma estimativa da Cybersecurity Ventures – consultoria internacional na área de Segurança da Informação – demonstra que os crimes cometidos por invasores virtuais causaram um prejuízo de US$ 5 bilhões para as empresas em 2016. E, além disso, a entidade prevê que esse custo subirá para US$ 6 trilhões até 2021.

Isso porque os cibercriminosos estão cada vez mais sofisticados. Ao invés de se exporem atacando diretamente as redes das organizações, em que sabem que existem muitos mecanismos de proteção e detecção implementados, atacam o elo mais fraco da cadeia, o usuário.

Segundo o Gartner Group, 70% dos incidentes de segurança que realmente causam prejuízos financeiros para as empresas, envolvem insiders. No caso da Yahoo!, que perdeu milhões de dólares em negociações devido à um vazamento de dados, tudo começou com um e-mail phishing, um dos golpes que usa táticas de engenharia social para atingir seus objetivos.

Atualmente, muitas empresas estão sendo invadidas por ataques simples e nada sofisticados. Os cibercriminosos tem utilizado técnicas de engenharia social, por exemplo, para persuadir as pessoas e conseguirem acesso às redes ou às informações. Ataques que poderiam ser totalmente evitados caso os usuários tivessem sido conscientizados.

A conscientização em Segurança da Informação é capaz de gerar mudança no comportamento de todos e por isso é vista como uma ferramenta com grande potencial para beneficiar as organizações.

Por que investir em Campanhas de Conscientização de Segurança da Informação?

A grande repercussão dos casos de ciberataque, seguidos de vazamentos de informação corporativa, tem despertado a atenção do público em geral para a questão da Segurança da Informação.

Esse ainda é um assunto novo para muitos e o investimento em conscientização e treinamento para todos os níveis da organização, é, ainda hoje, uma das melhores e mais efetivas práticas de gestão de Segurança da Informação.

Todos os guias de boas práticas de gestão de SI apontam para a necessidade de envolver os usuários no processo de segurança. E, por isso, assim como Firewall, Antispam e Antivírus, a conscientização em Segurança é parte essencial em qualquer processo de Segurança da Informação.

Funcionários conscientes do quão importante são os dados e informações, com os quais trabalham, e de seu papel na proteção desses ativos, redobram seus níveis de atenção e proteção.

Isso faz com que seja diminuído o sucesso dos ataques que poderiam vazar dados da empresa, dos colaboradores e até mesmo dos clientes, debilitando a imagem da empresa.

Portanto, os membros da organização ficarão mais atentos a ataques e dispostos a participar de treinamentos à medida que forem se conscientizando da importância do papel que desempenham dentro da empresa. Podendo, inclusive, propor novas medidas de segurança, deixando de ser apenas um usuário conscientizado, e passando a ser um usuário participativo.

O que para as empresas é extremamente valioso, levando em consideração que, hoje em dia, os funcionários são vistos pelos intrusos como potenciais alvos. E, por isso as empresas devem enxergar seus membros como soldados, e usá-los como uma extensão dos mecanismos de detecção e resposta.

De acordo com uma pesquisa sobre cibercrime elaborada pela PwC em 2014, companhias que não investiram em conscientização para a Segurança da Informação, tiveram um prejuízo anual de US$ 683 mil como resultado de ataques cibernéticos, enquanto as companhias que investiram em conscientização e treinamentos desse tipo perderam, em média US$ 162 mil.

Tendo em mente o atual cenário e as estatísticas apresentadas, fica claro que investir em campanhas de conscientização não só protegem a sua empresa, mas também qualificam o seu time, aumentando o engajamento dos colaboradores e agregam valor ao seu negócio.

Agora a questão é: por onde começar?

Criando conscientização voltada à área de Segurança da Informação

O primeiro passo é definir um objetivo. Não só identificar e entender as necessidades do seu negócio, mas também enxergar valor na ideia de conscientizar a sua equipe.

Em seguida, é importante que seja desenvolvida uma Política de Segurança da Informação. A PSI é a grande diretriz da organização em matéria de segurança da informação.

Contudo, somente a criação de uma Política de Segurança da Informação não garante a segurança da empresa. Os colaboradores devem cumprir com a política estabelecida e é aqui que as campanhas de conscientização entram como recurso, garantindo que toda a empresa seja treinada, educada e conscientizada de acordo com as políticas e procedimentos da organização.

E para isso, é imprescindível que os usuários aprendam algumas boas práticas de comportamento e uso da Internet, evitando que as ameaças afetem os negócios da empresa. Sendo assim, listaremos abaixo algumas práticas simples, mas que garantem mais segurança não só para o usuário, mas principalmente para a organização.

1. Bloquear o computador ao se ausentar do posto de trabalho a fim de que ninguém tenha acesso aos seus dados.

Imagine que você está trabalhando em uma proposta para um projeto de milhões de reais para sua empresa. Em um dado momento você sentiu sede e se levantou para pegar um copo d’água se afastando de seu computador.

Você estava distraído e não se preocupou em bloquear sua máquina. Nesse mesmo momento, alguém com más intenções poderá se aproveitar dessa brecha para colher informações, danificar seu projeto ou alterar dados, o que terá um impacto muito negativo no seu trabalho e consequentemente, na sua empresa.

Uma medida tão simples e que evita problemas tão grandes. Afinal, é melhor prevenir do que remediar, certo?

 2. Nunca disponibilizar logins e senhas, mesmo que para colegas de trabalho.

Se você fornece seus dados pessoais para alguém você precisa ter em mente que esta pessoa poderá utilizar esses dados para quaisquer ações.

Sendo assim, caso ele(a) utilize-os a fim de roubar informações, danificar sistemas ou cometer infrações, você não terá como provar que não foi o infrator.

Além disso, nem todos trabalham com acesso às mesmas informações, o que quer dizer que talvez você possua informações que são confidencias e que não devem ser compartilhadas com outros membros da empresa.

3. Ter atenção ao falar sobre a empresa, clientes ou negócios em táxis, elevadores e metros, por exemplo.

Pense que você está no elevador de sua empresa com um colega de trabalho conversando sobre a nova proposta de negócio que a empresa de vocês recebeu da empresa XPTO. Nesse momento, o elevador para e duas pessoas entram.

Vocês continuam conversando sobre a proposta, mencionando o nome da empresa XPTO, no que consiste o projeto, preços, etc.

O que você não poderia prever é que as duas pessoas que dividiam a cabine de elevador com você e seu colega, eram nada mais nada menos do que funcionários de uma empresa concorrente, que utilizaram as informações fornecidas ingenuamente por vocês para fazer uma contraproposta para a empresa XPTO e ganharam o projeto que seria da sua empresa, resultando em um grande prejuízo financeiro.

Portanto, é de extrema importância tomar cuidado ao falar publicamente sobre as informações confidenciais e importantes da sua empresa.

4. Utilizar as redes sociais com segurança, não disponibilizando informações sigilosas ou fazendo contato com desconhecidos.

Hoje em dia, cibercriminosos utilizam as redes sociais para coletarem informações relevantes, como ocupação, endereço, amigos e gostos, sobre seus alvos a fim de usá-las em ataques de engenharia social.

Ou mesmo para distribuir malware pelas máquinas! Sim, é possível. Você não ficou sabendo do caso de ataque de worm no Facebook Messenger que distribuiu o malware?

5. Verificar atentamente os e-mails.

Ataques de phishing são cada vez mais frequentes, e inclusive existe uma outra vertente desse golpe chamada de spear phishing que visa alvos específicos, em geral funcionários de empresas visadas pelos atacantes.

Sendo assim, é fundamental que ao receber um e-mail de um remetente desconhecido, você preste atenção ao conteúdo e aos comandos desse e-mail.

É importante ter em mente, que ainda que você esteja sendo pressionado a tomar uma atitude, é sempre melhor se certificar de que se trata de um email legítimo, evitando prejuízos financeiros e de reputação.

Inclusive, de acordo com o último relatório da Norton Cyber Security Insights de 2016, 42 milhões de brasileiros foram afetados por ciberataques, resultando em uma perda de US$ 10,3 bilhões.

E o mais alarmante é que 44% não sabiam identificar um phishing ou garantir se um e-mail era legítimo ou não.

6. Nunca fotografar o ambiente de trabalho, principalmente telas de computador e documentos.

Suponha que você fotografou alguns documentos e gráficos da empresa para poder trabalhar de casa.  Mas, acontece que você não sabia que seu telefone celular estava infectado com um malware, que permitia que um grupo de ciberatacantes tivesse acesso a todos os dados do seu celular.

Sendo assim, à medida que você disponibilizou informações sobre a empresa no seu dispositivo, os cibercriminosos tiveram acesso a esses dados, expondo sua empresa, ou seja, deixando-a vulnerável apenas por um comportamento negligente seu.

7. Reportar à equipe de Segurança de sua empresa qualquer problema ou desconfiança em relação às atitudes suspeitas na Internet.

A equipe de segurança da sua empresa precisa ser vista como sua aliada. Dessa forma, é extremamente importante relatar todo e qualquer tipo de problema ou suspeitas para esse time, a fim de que os especialistas fiquem cientes do que está acontecendo e possam analisar e reagir aos incidentes, diminuindo as chances de sucesso de possíveis ataques.

8. Seguir as políticas e práticas de segurança da empresa, a fim de que exista uma gestão funcional de segurança.

Aqui por exemplo, a fim de exemplificar esse ponto, citaremos um episódio que ocorreu em 2010. O jornalista americano Mat Honan, teve sua conta iCloud invadida, depois que um funcionário da Apple, passou seus dados para alguém que se dizia ser o titular de sua conta, descumprindo as políticas internas da organização.

Tendo esse cenário como base, torna-se evidente que investir em campanhas de conscientização de segurança é algo imprescindível. Hoje, na Era da Informação, os dados são vistos como o novo recurso natural, ou como a nova moeda de troca e, por isso, segurança precisa ser vista como um caminho que precisa ser seguido para que negócios sejam feitos.

Qual o papel das campanhas de conscientização na criação de uma cultura de segurança nas empresas?

De acordo com o consultor Michael Santarcangelo, conscientização para a segurança é “a percepção individual das consequências de uma ação, aliada à habilidade de avaliar sua intenção e impacto”

Ou seja, para ele o objetivo dos programas de conscientização é munir as pessoas com informações e experiências, a fim de que elas construam uma consciência própria e saibam como agir ao identificar um ataque.

Segundo o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, “a razão da conscientização é focar a atenção na segurança. Deve ajudar os indivíduos a reconhecer as preocupações da área de Segurança da Informação e responder corretamente” e é exatamente por isso, que as campanhas de conscientização para Segurança da Informação devem atingir todos os membros da empresa, mirando todos os níveis da organização, incluindo gerentes e profissionais de nível sênior.

Criar consciência para a questão da segurança é uma maneira de garantir que os membros da organização entendam seu papel na proteção dos dados sensíveis, e que compreendam a importância do constante preparo necessário para enfrentar novos desafios, dado que a criação de consciência para segurança é um ciclo.

Conclusão

As entidades que são referência na área de Segurança da Informação, apontam a conscientização do usuário, como um dos passos iniciais para que uma cultura de segurança seja criada dentro do ambiente empresarial.

Isso porque, as campanhas visam não só educar e conscientizar o colaborador, mas procura informá-lo sobre as reais ameaças as quais ele está exposto, ensinando como identificar e reagir aos diferentes ataques online.

Estar consciente não significa saber tudo sobre todos as possíveis formas de ataque às quais você pode ser submetido, mas sim, entender o grau de importância das informações com as quais você está lidando e redobrar sua atenção e cuidado a fim de proteger os dados mais sensíveis e os ativos essenciais da sua empresa.

Garantindo que esses ataques não sejam capazes de desestabilizar sua organização ou abalar sua reputação perante o mercado de atuação.

Sendo assim, tendo políticas e práticas de segurança bem definidas, aparatos tecnológicos capazes de identificar e impedir ataques e uma equipe conscientizada, educada e engajada com as suas causas, dificilmente você sofrerá com prejuízos causados por ciberataques.

E aí, curtiu o conteúdo e quer saber mais sobre como tirar suas políticas do papel? Visite a página da nossa oferta, a PSAP – PROOF Security Awareness Program, e fale com de nossos especialistas 😉


[/av_textblock]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_textblock size=” font_color=” color=”]

Gostou do conteúdo? Que tal dar uma olhada no nosso blog? 😉

[/av_textblock]

[av_postslider link=’post_tag,203′ columns=’3′ items=’9′ offset=’0′ contents=’title’ preview_mode=’custom’ image_size=’entry_without_sidebar’ autoplay=’no’ interval=’5′]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_icon_box position=’top’ boxed=” icon=’ue8d2′ font=’entypo-fontello’ title=’PRODUÇÃO DE CONTEÚDO’ link=’manually,http://www.proof.com.br/material-rico/’ linktarget=” linkelement=’both’ font_color=” custom_title=” custom_content=” color=’custom’ custom_bg=’#1f211f’ custom_font=” custom_border=”]

PROOF está se posicionando no mercado como uma empresa referência em segurança e produção de conteúdo relevante. Nosso objetivo é disseminar e compartilhar conhecimento para contribuir ao máximo no amadurecimento do mercado de segurança no Brasil. Isso porque, nós da PROOF, como uma empresa atenta às inovações do mercado de cibersegurança, estamos sempre nos atualizando das principais tendências tecnológicas do mundo, além dos novos vetores de ataque por parte da indústria do cibercrime.

[/av_icon_box]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_one_third first min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/A5_-_7_dicas_contra_phishing_durante_o_período_de_IR.png’ attachment=’7049′ attachment_size=’full’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/ebook-phishing’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING IR

[/av_textblock]
[/av_one_third]

[av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/thumb_phishing-facts.png’ attachment=’7051′ attachment_size=’full’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/phishing-facts-infografico’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING FACTS

[/av_textblock]
[/av_one_third]

[av_one_third min_height=” vertical_alignment=” space=” custom_margin=” margin=’0px’ padding=’0px’ border=” border_color=” radius=’0px’ background_color=” src=” background_position=’top left’ background_repeat=’no-repeat’ animation=” mobile_display=”]
[av_image src=’http://www.proof.com.br/wp-content/uploads/2015/06/thumb_phishing-calendar.png’ attachment=’7050′ attachment_size=’full’ align=’center’ styling=” hover=” link=’manually,http://insights.proof.com.br/phishing-calendar’ target=’_blank’ caption=” font_size=” appearance=” overlay_opacity=’0.4′ overlay_color=’#000000′ overlay_text_color=’#ffffff’ animation=’no-animation’][/av_image]

[av_textblock size=” font_color=” color=”]

PHISHING CALENDAR

[/av_textblock]
[/av_one_third]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_social_share title=” style=” buttons=”]

[av_hr class=’invisible’ height=’50’ shadow=’no-shadow’ position=’center’ custom_border=’av-border-thin’ custom_width=’50px’ custom_border_color=” custom_margin_top=’30px’ custom_margin_bottom=’30px’ icon_select=’yes’ custom_icon_color=” icon=’ue808′ font=’entypo-fontello’]

[av_comments_list]