Vulnerabilidades humanas desafiam a segurança digital

Imagem do freepik

Há anos vemos acontecer, na prática o que tanto se fala no ambiente corporativo - "Incidentes têm origem em erro ou má intenção de humanos". Relatórios da Verizon e da CyberArk de 2024 confirmam - mais de 2/3 dos incidentes decorrem de ação humana. Claramente o desafio não é tecnológico, mas comportamental, cultural e de liderança. 

Quando usuários com alto nível de acesso cometem falhas, negligências ou agem sob influência indevida, o impacto potencial é enorme. Alto nível, em alguns contextos pode ser uso de um crachá para entrar na empresa - isso vai depender de quanto de informação, bens, ficam espalhados nas mesas ou em estações de trabalho sem senha, abertas para uso por qualquer pessoa.

"A vulnerabilidade humana é a mais previsível, explorada com frequência e paradoxalmente a lente das empresas não está apontando para ela."  - Karina Queiroz, Executiva de Cyber Segurança e Proteção de Criança e Adolescente no Ambiente Digital.

É preciso elevar a maturidade da Gestão de Riscos de Segurança.É indispensável trazer a vulnerabilidade humana para a mesa de discussão. À primeira vista, pode parecer simples, mas lidar com pessoas significa lidar com tendências, vieses, receios e zonas de conforto. É nesse momento que se distingue quem protege o negócio de quem protege os "amigos do happy hour".

Podemos começar lembrando que a imparcialidade, deve ser uma habilidade essencial de quem atua com segurança. Além disso, a cultura não se implanta com decretos, mas com exemplos. O olhar das e para as lideranças deve ser único: 

• Cada exceção de controle deve ser rastreável, justificada e o mais importante, temporária; 

• Todo relatório de risco humano e privilégios deve ser assinado pelos líderes, sem exceção.

• Indicadores de segurança devem ser integrados aos KPIs da liderança e colaboradores com níveis de acesso elevados;

• A revisão periódica de acesso funciona muito melhor quando se analisa acessos por função, onde vieses não serão considerados;

• A cultura da liderança autêntica que é comprometida, não ignora o processo, deve ser reforçada porque entende e age com segurança - é security by design na prática;

• Discursos devem ser alinhados, a cultura deve ser clara, assim como o uso de metodologias de análise de comportamento (Ex.: UEBA).

Garantir que a equipe não seja o elo mais vulnerável do ecossistema é, hoje, uma questão estratégica de Gestão de Riscos de Segurança Digital e quando as pessoas, especialmente as que possuem mais privilégios, de todos os tipos, entendem que segurança não é uma camada de controle, mas um valor organizacional, o risco humano deixa de ser o elo vulnerável e passa a ser a primeira linha de defesa.

Karina Queiroz, vCyber & Instituto Teckids