Erros de empregados causam maioria dos incidentes em ciberataques
O Identity Management Institute está a chamar a atenção para algo que muitas vezes é ignorado dentro das empresas: mais de 90% de todos os ciberataques são executados com informações roubadas de empregados das empresas, que fornecem dados de acesso inadvertidamente
O meio mais comum, fácil e barato de roubar esses dados de acesso para conduzir ciberataques é “phishing”, que normalmente chega em forma de email pedindo ao usuário que clique num link e digite informações, ou clique em anexos com malware.
“Apesar de toda a atenção e recursos que a cibersegurança está a receber da mídia, executivos e governos, as organizações ainda estão a falhar na proteção de seus ativos mais valiosos, porque elas focam muito na segurança da rede mas ignoram o risco de roubo e exploração da identidade dos empregados”, explica Henry Bagdasarian, fundador do Identity Management Institute.
Outros erros que as companhias estão a fazer, avisa o instituto, são a contratação de criminosos devido a falhas no processo de verificação de cadastro, permitir que contas de ex-funcionários continuem ativas e a partilha de senhas.
“A grande razão por que ignoramos relatórios que apontam para erros humanos como grande causa de vazamento de dados é a crença de que só a segurança da rede pode parar hackers no mundo da internet”, pontua Bagdasarian. “Essa noção não está correta, porque embora as companhias fortifiquem excessivamente a segurança de rede com tecnologia de deteção de intrusão e prevenção, os vazamentos de dados continuam a crescer.”
Ou seja: as organizações estão a falhar na prevenção de intrusão porque elas não olham para os elos mais fracos na cadeia de segurança da informação, que são as pessoas – desde funcionários a clientes e provedores.
A melhor solução contra ciberataques, defende o instituto, é ter uma abordagem equilibrada que reconhece as forças e limites da segurança da rede, melhorando os processos de gerenciamento de identidade e acesso para reduzir esses erros dos funcionários.
O Identity Management Institute diz ainda que um dos componentes mais importantes de um programa de cibersegurança é o treino obrigatório dos funcionários sobre os riscos de não cumprir as políticas de segurança da empresa. Os funcionários “devem também entender os riscos de levar dispositivos que contêm informações confidenciais para fora do espaço de trabalho e para onde podem ser roubados, como carros e casas”, além do envio de ficheiros e mensagens confidenciais através de canais inseguros ou para os destinatários incorretos.
O instituto tem um blogue, em inglês, sobre roubo de identidade e dicas de segurança.
