Gerir os riscos de cibersegurança é difícil para empresas de qualquer dimensão. Mas pode ser especialmente desafiante para startups com pessoal e recursos financeiros limitados para investir em software de cibersegurança robusto — um facto que conheço bem, com base na minha experiência a ajudar a supervisionar a cibersegurança de uma startup no sector da gestão de custos da nuvem.
Felizmente, é possível encontrar formas de maximizar os orçamentos de cibersegurança. Tudo começa por tirar partido de "frutos mais fáceis de alcançar" – medidas que as empresas podem adoptar para reforçar a segurança, com um custo reduzido mas um impacto elevado.
Eis alguns exemplos destas práticas e as razões pelas quais as startups preocupadas com os custos devem adoptá-las como forma de reduzir os riscos sem limitar o crescimento.
Porque é que as startups têm dificuldades com a cibersegurança
Antes de abordar as medidas económicas que as startups podem tomar para reduzir os riscos de segurança, consideremos por que razão as startups tendem a não ter um historial excelente no domínio da cibersegurança.
A principal razão é simples: a maioria das startups está numa fase de crescimento e pode ser demasiado tentador relegar a segurança para segundo plano. Na ânsia de colocar produtos no mercado e gerar ou aumentar receitas, as startups fazem demasiadas vezes da segurança uma preocupação secundária.
Além disso, a maioria das startups simplesmente não dispõe de dinheiro e pessoal suficientes para dedicar aos desafios de segurança. Isto significa que, mesmo quando levam a segurança a sério, podem nem sempre ter os meios para implementar práticas de segurança com o rigor que gostariam.
Obter o máximo retorno do investimento em cibersegurança
Mas o facto de a segurança tender a ser um desafio para as startups não significa que tenham de se expor a riscos indevidos. Mesmo as empresas novas com recursos muito limitados podem tirar partido de práticas como as seguintes para reforçar a segurança com pouco ou nenhum custo.
Have an account? Log In
1. Ministrar formação de sensibilização para a segurança
O phishing continua a ser um dos tipos mais comuns de ameaças de cibersegurança, com mais de 90 por cento das empresas a enfrentarem um ataque de phishing em 2023.
A boa notícia é que a formação de sensibilização para a segurança dos funcionários é eficaz na redução do risco de uma empresa ser vítima de ataques de phishing. Também não é muito dispendiosa — especialmente para empresas pequenas. A formação pode assumir a forma de apresentações breves por parte do pessoal de segurança, e os testes podem envolver o envio de mensagens de phishing simuladas aos funcionários para verificar quem clica em conteúdo malicioso.
Implementei esta prática na minha startup e tenho todo o gosto em dizer que, após algumas rondas de formação, alcançámos uma taxa de cliques de zero por cento no conteúdo de phishing simulado — o que significa que todos os nossos funcionários demonstram plenamente a sensibilização para a segurança que a nossa formação pretendia incutir.
2. Activar complementos de segurança gratuitos
Muitas aplicações e serviços disponibilizam funcionalidades de segurança que pode activar gratuitamente para reforçar a protecção. Por exemplo, a maioria dos fornecedores de nuvem oferece funcionalidades opcionais de Autenticação multifator (MFA) sem custos adicionais. Também poderá activar funcionalidades como a encriptação de dados por predefinição ou a desactivação do acesso público aos recursos, a menos que o configure explicitamente.
A utilização destes complementos é uma forma fácil e essencialmente gratuita de melhorar a segurança. O seu único custo é o tempo mínimo despendido a activar as funcionalidades, e esse pequeno investimento de tempo vale bem a pena se melhorar a sua postura geral de segurança.
3. Aplicar correcções, correcções e mais correcções
Mais de 50 por cento dos ciberataques bem-sucedidos ocorrem devido a uma falha simples: software sem correcções, ou seja, aplicações que as empresas não mantêm actualizadas.
Ao trabalhar numa startup, sei como as equipas de TI podem estar sobrecarregadas e compreendo por que razão por vezes não dão prioridade à aplicação de correcções. Mas, tendo em conta que as correcções de muitas aplicações podem ser configuradas para serem instaladas automaticamente, não existe realmente uma boa razão para evitar a aplicação de correcções.
Também é importante estabelecer um processo de aplicação de correcções que permita à sua equipa rever e testar as correcções antes de as distribuir através de ferramentas automatizadas. Mais uma vez, o pequeno investimento de tempo necessário para configurar e manter uma rotina de aplicação de correcções proporcionará enormes benefícios através da protecção adicional que oferece.
4. Adicionar etiquetas aos recursos
A etiquetagem de recursos — que consiste em aplicar etiquetas para identificar a função do recurso, quem o criou, entre outros aspectos — é uma prática recomendada básica para controlar os custos, porque facilita determinar se está a pagar por recursos de que não necessita.
Mas a etiquetagem também desempenha um papel importante na segurança. Quando os seus recursos estão devidamente etiquetados, pode determinar rapidamente quem é o seu "proprietário" caso precise de efectuar uma alteração em resposta a um risco de segurança. Assim, a etiquetagem oferece uma forma económica de reduzir o Tempo médio de remediação (MTTR), uma medida fundamental da eficácia da cibersegurança.
5. Activar o RBAC
O controlo de acesso baseado em funções, ou RBAC, é outra funcionalidade da maioria das aplicações ou plataformas de software que pode ativar gratuitamente, mas que as startups frequentemente negligenciam. Em vez de conceder a cada utilizador um nível de acesso alinhado com as suas funções, com base no princípio do menor privilégio, as startups tendem a fazer coisas como tornar todos administradores, porque é mais rápido e simples.
Mas, mais uma vez, o esforço necessário para fazer o que é mais seguro — ativar o RBAC e configurar controlos de acesso granulares por utilizador — é muito menor do que o tempo e o custo de uma violação desencadeada por contas de utilizador com credenciais excessivas. Por mais pequena que seja a sua empresa, tire partido do RBAC.
More Articles
6. Simplifique a gestão de palavras-passe
A forma ideal de gerir palavras-passe é implementar uma solução de início de sessão único (SSO) que permita aos funcionários ligarem-se a todas as suas aplicações e serviços com apenas um início de sessão, reduzindo a superfície de ataque relacionada com credenciais que tem de proteger. No entanto, os serviços de SSO podem ser dispendiosos e as empresas podem precisar de recursos de desenvolvimento para integrar esses serviços nas suas aplicações. Por ambas as razões, o SSO nem sempre é uma solução viável para as startups.
Os gestores de palavras-passe são a opção seguinte. Geram automaticamente palavras-passe para aplicações individuais e desbloqueiam-nas utilizando uma palavra-passe principal introduzida pelos funcionários. A maioria dos gestores de palavras-passe tem algum custo, mas são menos dispendiosos do que os serviços de SSO e não requerem o apoio de programadores.
A questão aqui é que, mesmo que tenha um orçamento limitado, deve tomar medidas para reduzir o risco de os atacantes utilizarem indevidamente as credenciais de início de sessão — se não através de SSO, então através de um gestor de palavras-passe.
Fazer mais com menos
Num mundo perfeito, todas as startups teriam recursos ilimitados para investir em segurança. Mas, no mundo real, poucas startups têm esse luxo, razão pela qual precisam de se concentrar em medidas que proporcionem os maiores benefícios ao menor custo.
Ao adotarem esta abordagem, as pequenas empresas não só minimizam os seus riscos, como também ajudam a proteger as suas perspetivas de crescimento a longo prazo. Afinal, a capacidade de demonstrar o cumprimento das melhores práticas de cibersegurança é frequentemente importante ao estabelecer relações com investidores e clientes empresariais, bem como para obter as certificações necessárias para colocar produtos no mercado.
Isso significa que investir em práticas de cibersegurança economicamente eficientes não só é positivo do ponto de vista da segurança, como também constitui uma decisão empresarial inteligente para uma startup.
Para obter mais dicas sobre cibersegurança, subscreva o boletim informativo do The CTO Club.