Como a cibersegurança centrada no ser humano pode transformar a sua organização

No atual panorama de ameaças, uma cibersegurança bem-sucedida exige uma mudança fundamental: a segurança deve trabalhar com a natureza humana, e não contra ela. Quando os agentes de ameaças exploram ativamente o comportamento humano, as organizações não podem dar-se ao luxo de ignorar o elemento humano na conceção da sua segurança.

As soluções de segurança eficazes devem alinhar-se perfeitamente com os fluxos de trabalho naturais dos utilizadores, transformando fundamentalmente a segurança de uma barreira num facilitador.

Ao recolher histórias centradas nas pessoas e integrar a proteção nas operações diárias, as organizações criam um ambiente onde as práticas seguras se tornam naturais.

Temos de conceber sistemas que complementem o comportamento humano, mantendo simultaneamente uma proteção robusta, e organizações que promovam uma consciência proativa das ameaças em todos os seus níveis. 

1. Compreender o panorama de ameaças em evolução

Compreender o panorama de ameaças em evolução significa reconhecer que não se trata apenas de impedir a entrada de hackers, mas também de reconhecer as vulnerabilidades humanas. A engenharia social, por exemplo, manipula a psicologia humana para obter acesso a sistemas, contornando as defesas tecnológicas que trabalhou arduamente para implementar.

Por exemplo, um atacante faz-se passar por um funcionário de um banco. Ganha a sua confiança durante uma chamada telefónica e, em seguida, através de uma manipulação subtil, obtém as suas credenciais de início de sessão. Isto não é um ataque informático tradicional — é uma exploração da confiança.

É necessária uma abordagem multicamada para evitar táticas tão sofisticadas. Pode combinar tecnologias como a proteção de endpoints e os sistemas de deteção de intrusões com a sensibilização dos utilizadores. Em última análise, o fator humano é o alvo preferido de muitos cibercriminosos, mas, se concebermos soluções tendo em conta o fator humano, este pode constituir a linha de defesa mais robusta — dependendo do grau de preparação dos seus colaboradores.

2. Implementar a autenticação multifator (MFA)

Num mundo onde as palavras-passe podem ser comprometidas em segundos, confiar exclusivamente nelas é um convite aos problemas. Uma das formas mais eficazes de reforçar a sua segurança consiste em implementar a autenticação multifator (MFA). A MFA acrescenta camadas adicionais de verificação — para além das palavras-passe — para provar a identidade do utilizador. Quer se trate de um código enviado para um telemóvel, de uma impressão digital ou até de um token de hardware, o objetivo é acrescentar outra barreira para os potenciais atacantes.

As palavras-passe fracas são frequentemente responsáveis por ciberataques bem-sucedidos. Pior ainda, muitas pessoas continuam a utilizar a mesma palavra-passe em várias contas, o que significa que uma palavra-passe comprometida pode desencadear um efeito dominó.

Quando implementa a MFA, está a afirmar: "Uma palavra-passe roubada não é suficiente." Mesmo que alguém obtenha uma palavra-passe, a MFA garante que não consegue obter rapidamente acesso. É uma das medidas mais simples e acessíveis que pode adotar, mas reduz drasticamente o risco de acesso não autorizado.

3. Realizar auditorias de segurança regulares

As auditorias de segurança regulares são necessárias para detetar os pontos fracos da sua organização antes que os cibercriminosos o façam. Isto significa testar a sua tecnologia, os seus processos e o comportamento das pessoas que interagem com os seus sistemas.

As auditorias de segurança devem ser tratadas como um processo dinâmico e recorrente — não como um esforço pontual. Isto envolve realizar testes de penetração, rever os protocolos de acesso dos utilizadores e avaliar os sistemas de software PKI para identificar potenciais falhas de segurança. Pergunte a si próprio: Até que ponto são os seus sistemas realmente seguros? Qual é o grau de preparação das suas pessoas?

A vulnerabilidade nem sempre resulta de portas traseiras complexas; por vezes, é tão simples como software desatualizado ou permissões de utilizador não verificadas.

10 Principais softwares de gestão de palavras-passe!

Here's my pick of the 10 best software from the 10 tools reviewed.

Clicks on the links below may earn a commission, which supports our independent testing and review of software and services. Learn more about how we stay transparent.

1. 1. Securden Unified PAM — Best with just-in-time privileged access controls
2. 2. LastPass — Best for individual users and small businesses
3. 3. 1Password — Best for multi-platform password synchronization
4. 4. Dashlane — Best for a built-in VPN feature
5. 5. ManageEngine Password Manager Pro — Best for large organizations with complex needs
6. 6. NordPass — Best for a straightforward user interface
7. 7. Bitwarden — Best for organizations valuing open-source software
8. 8. Keeper — Best for providing advanced two-factor authentication
9. 9. Passportal — Best for IT service providers
10. 10. Specops Password Security Software — Best for integrating with Active Directory

4. Formar os colaboradores em sensibilização para a segurança

Quando os sistemas e as tecnologias de segurança não se alinham com o comportamento humano natural, criam vulnerabilidades desnecessárias que os atacantes exploram avidamente. As conceções tradicionais de segurança dão frequentemente prioridade à complexidade técnica em detrimento da facilidade de utilização, conduzindo a lacunas inevitáveis na proteção.

A solução não consiste em obrigar os utilizadores a adaptarem-se a sistemas complexos, mas em desenvolver medidas de segurança intuitivas que complementem a forma como as pessoas trabalham e pensam naturalmente.  

Em vez de tratarem a sensibilização para a segurança como uma lista de verificação anual, as organizações que integrem oportunidades de aprendizagem interativas e breves nos fluxos de trabalho diários estarão mais bem preparadas para impedir os atacantes.

Promova uma cultura em que a verificação seja incentivada e recompensada — em que dedicar tempo a rever cuidadosamente os e-mails, confirmar pedidos invulgares e questionar anomalias se torne uma prática normal. As organizações podem criar resiliência contra até os ataques mais sofisticados.

Este ambiente, apoiado por ferramentas bem concebidas e pelo reforço positivo, cria uma postura de segurança sustentável que se fortalece ao longo do tempo.

5. Desenvolva um plano de resposta a incidentes

Nenhum sistema é completamente invulnerável. A diferença entre um incidente menor e um incidente catastrófico reside no grau de preparação para responder. Um plano de resposta a incidentes é o seu manual para minimizar os danos quando algo corre mal.

Os melhores planos de resposta a incidentes são ensaiados e conhecidos por todas as pessoas envolvidas. Não basta que o departamento de TI tenha um plano de resposta — todos os funcionários devem saber quem contactar e o que fazer em caso de uma violação de segurança. Isto inclui tudo, desde isolar os sistemas afetados até escalar prontamente os incidentes e gerir a comunicação interna e externa.

Um plano de resposta a incidentes também implica compreender que dados devem ser recolhidos e durante quanto tempo devem ser conservados. 

Reforçar a sua segurança significa tornar a cibersegurança um princípio central da cultura da sua empresa. Temos de criar um ambiente onde todas as pessoas, desde os funcionários da linha da frente até aos executivos da administração, levam a segurança a sério e se sentem capacitadas para agir em sua defesa.

Quando a cibersegurança é encarada como uma responsabilidade coletiva, as empresas têm maiores probabilidades de permanecer resilientes perante ameaças em constante mudança.

Subscreva a newsletter do The CTO Club para obter mais informações sobre segurança.