Comportamento do trabalhador remoto, expondo as organizações a riscos cibernéticos
Costuma-se dizer que os funcionários são o elo mais fraco na cadeia de segurança cibernética corporativa. Isso certamente explicaria por que os ataques de phishing se tornaram o vetor de ameaça número um para ataques cibernéticos. Durante a crise do COVID-19, as organizações provavelmente ficaram mais expostas do que nunca ao comportamento do usuário potencialmente inseguro de seus funcionários remotos.
Isso ocorre em parte porque, dado o grande número de trabalhadores domésticos envolvidos, muitos podem não se dar ao luxo de usar um laptop corporativo. O equipamento pessoal pode ser menos protegido, enquanto o ambiente doméstico pode apresentar mais distrações do que o escritório. Além do mais, orçamentos e equipes de gerenciamento de TI sobrecarregados significam que aqueles que têm um problema relacionado à segurança podem não obter o suporte que normalmente obteriam.
Não há dois funcionários iguais
Isso é uma preocupação. Então, até que ponto precisamos nos preocupar com nossos funcionários? Um estudo global recente da Trend Micro com base nas respostas de mais de 13.000 trabalhadores remotos em 27 países destaca onde as melhores práticas estão ocorrendo e onde as coisas podem estar dando errado. Com mais de três quartos (78%) a mais de entrevistados trabalhando em casa durante a pandemia, os líderes de TI e de negócios precisam saber onde estão os riscos, para que possam tomar medidas concretas para lidar com eles.
Ao fazer isso, eles também devem se lembrar de que não há dois funcionários iguais. Trabalhamos com uma especialista em ciberpsicologia independente, a Dra. Linda K. Kaye, para analisar os resultados do estudo e descobrimos que, na verdade, existem quatro personas distintas em cada organização. Entendê-los ajudará a informar o treinamento e a conscientização da equipe de segurança cibernética, embora os controles de tecnologia também sejam uma parte essencial de qualquer estratégia de segurança.
A primeira boa notícia é que, apesar de trabalhar em isolamento físico de colegas e gerentes, um número esmagador de funcionários (72%) disse que se tornou mais consciente da segurança durante o bloqueio, com apenas 4% afirmando ter menos. O que isso significa na prática?
Significa compreender que plataformas corporativas aprovadas devem ser usadas para enviar arquivos e reconhecer que usar um aplicativo não profissional para os negócios da empresa é um risco de segurança. É também levar a sério as instruções da equipe de TI, como 85% disseram que fazem, e concordar que eles têm a responsabilidade importante de manter a segurança da organização.
É também entender que é arriscado clicar em e-mails não solicitados, mesmo aqueles que prometem ofertas atraentes, como armazenamento em nuvem gratuito ou velocidades de Internet mais rápidas. E sabendo definitivamente não clicar se estiver usando um laptop corporativo.
Mas ainda há um longo caminho a percorrer
Infelizmente, é aí que termina a maioria das boas notícias. Também descobrimos uma grande quantidade de práticas de segurança inadequadas que podem expor as organizações a sérios riscos cibernéticos. Estes incluíam:
Problemas de Wi-Fi e trabalho remoto: Quase dois quintos dos entrevistados disseram que sempre ou frequentemente usam Wi-Fi público sem usar a VPN da empresa, potencialmente expondo sua navegação e senhas a bisbilhoteiros. Um terço até trabalhou em documentos confidenciais para membros do público sem usar qualquer proteção de tela de privacidade, aumentando para 44% para contratados, 48% para aqueles que trabalham em funções jurídicas e 47% para profissionais de RH.
Exposição de laptops de trabalho a ameaças online: Apenas 20% disseram que nunca usam seus laptops de trabalho para fins pessoais. Mais de um terço o faz gratuitamente e outros 45% apenas em viagens de negócios. Tal atividade pode significar expor dados corporativos a malware encontrado em sites de torrent, lojas de aplicativos não aprovadas, sites de conteúdo adulto e muito mais.
Dispositivos pessoais usados para acessar dados de trabalho: O risco cibernético também é multiplicado ao contrário: se os funcionários remotos usarem dispositivos pessoais potencialmente menos protegidos para acessar sistemas corporativos. Dois quintos (39%) dos entrevistados disseram que costumam ou sempre fazem isso.
Shadow IT e aplicativos não profissionais: Talvez ainda mais preocupante seja o fato de que dois quintos (38%) dos trabalhadores remotos carregaram dados corporativos em um aplicativo não comercial. Embora possam ser aplicativos legítimos, o fato de não serem sancionados pela TI aumenta os desafios de visibilidade e controle associados à shadow IT.
Recomendações
Felizmente, há muito que as organizações podem fazer para reduzir o comportamento de risco dos funcionários, mesmo no contexto de trabalho remoto em massa.
Os gerentes de segurança de TI devem combinar políticas rígidas de uso aceitável, como revisar a política corporativa para BYOD e avaliar o risco com base na sensibilidade ou criticidade dos dados, combinadas com educação aprimorada e treinamento de conscientização. O último deve se concentrar nas melhores práticas de segurança, incluindo como detectar ataques de phishing, usando tarefas práticas e simulações do mundo real para conduzir mudanças comportamentais.
O trabalho remoto está definido para se tornar a norma muito depois que a atual pandemia tenha diminuído. Agora que a pressa inicial para apoiar a força de trabalho distribuída diminuiu, faz sentido começar a planejar seriamente para mitigar os riscos destacados neste estudo.
- Bharat Mistry, principal estrategista de segurança, Trend Micro.