Educação dos colaboradores: a chave para a segurança da informação

É consenso que uma das principais ameaças à segurança da informação reside dentro das próprias empresas, justamente em seu ativo mais valioso: os colaboradores. Porém, raramente os ataques virtuais são gerados por empregados mal intencionados ou descontentes. Na maioria das vezes, os responsáveis pelas quebras de segurança nas organizações são funcionários mal informados ou mal treinados.

O mais comum é que estas pessoas visitem websites infectados com malware, cliquem em e-mails com links de phishing, guardem credenciais de acesso em locais não seguros, ou transmitam informações sigilosas (via telefone, ou pessoalmente) por meio de engenharia social. De todas estas maneiras, o funcionário estará se expondo e expondo a empresa sem que sequer tenha consciência do fato.

Só o que se perde com furto de notebooks é algo muito representativo, especialmente no Brasil e mais ainda em São Paulo. O uso mais abrangente de técnicas de criptografia de disco reduziria este tipo de perda praticamente ao custo do hardware, mantendo a informação protegida nos equipamentos furtados. Isso, entretanto, parece ainda não ter importância.

Mesmo com tudo o que temos ouvido recentemente sobre hackers, botnets e vazamento de informações pessoais, é fato que muito do discurso da segurança passa como “aqui isso não acontece”, ou “não na nossa empresa”.

Como sempre, a percepção da importância do treinamento e a conscientização dos funcionários começa de forma lenta. Porém, gradativamente ganham relevância à medida que a alta gerência começa a tomar conhecimento de dados como os revelados pela McAfee em 2005, aqui transcritos:

•Cerca de 21% dos funcionários permitem que membros de sua família utilizem notebooks corporativos para acesso à internet;

•Mais da metade dos funcionários conecta seus próprios equipamentos à rede da empresa, em uma tendência chamada BYOD (Bring Your Own Device) em franco crescimento. Desses que usam seus próprios equipamentos, metade o faz diariamente;

•Um a cada dez funcionários nos Estados Unidos confessou ter feito download de conteúdo indevido na empresa pelo menos uma vez. No Brasil a proporção é sem dúvida maior;

•62% dos funcionários admitiram ter muito pouco conhecimento sobre segurança da informação;

•51% não fazem a menor ideia de como atualizar o antivírus em seu computador;

•5% declararam já ter tido acesso indevido a informações dentro da rede da empresa.

Outro exemplo é uma pesquisa recentemente conduzida no website do ISACA, líder global na disseminação de conhecimentos de sistemas da informação, que perguntava aos colaboradores de uma empresa quais componentes do treinamento de segurança estavam, na opinião deles, mais adequados às suas percepções de real necessidade de uso. Em primeiro e segundo lugar foram apontados o uso correto do e-mail e do gerenciamento de senhas, de fato importantes e necessários. O curioso foi notar que itens como engenharia social e criptografia de dados apareceram bem no final da lista, como se não tivessem grande importância ou conexão com o mundo real. Contudo, muitos são os estudos que apontam um grande percentual de eventos associados justamente a estes dois fatores.

Neste cenário, podemos entender que ainda há muito o que ser feito acerca da segurança da informação no ambiente corporativo. Uma das melhores maneiras de reduzir o risco relacionado a ações inadequadas é instituir iniciativas que promovam conscientização, a fim de que reduzam drasticamente o número de incidentes. Como, por exemplo, treinamentos, avisos na intranet corporativa e, periodicamente, e-mails e banners em computadores, materiais impressos etc.

Entre outras coisas, deve constar no conteúdo dos treinamentos as políticas de segurança da informação, classificação e manuseio da informação, segurança física, uso de redes sem fio, manutenção de senhas, uso de correio eletrônico, compartilhamento de arquivos, direitos autorais, acesso à internet e uso de redes sociais. É de fundamental importância que as empresas revisem, ou preparem pela primeira vez, esses materiais que precisam ser mantidos atualizados. Tarefa complexa e que exige apoio incondicional da alta gerência, sem a qual não será bem sucedida.

Como certa vez disse o grande ator Clint Eastwood, “se você quer garantia, compre uma torradeira”. Os únicos sistemas 100% seguros são os que estão desconectados da rede, desligados e trancados em uma sala. Como não é possível deixá-los desse jeito em uma empresa faz-se necessário entender os riscos a que estão submetidos e preparar-lhes defesas. Esta preparação começa justamente pela conscientização de todos os colaboradores.

*Flávio Carvalho é diretor de serviços da Arcon, empresa especializada em serviços gerenciados de segurança