Funcionários que não admitem "pequenos erros" e má conduta online podem gerar consequências ainda piores para uma empresa quando o assunto é segurança digital. De acordo com o relatório ''O Fator Humano na Segurança de TI: como os funcionários tornam as empresas vulneráveis de dentro para fora'', da Kaspersky Lab e da B2B International, que ouviu cinco mil empresas ao redor do mundo, quando um problema acontece, os funcionários não costumam ser sinceros para evitar punições, ou até mesmo demissões, e escondem essas falhas.
Segundo a pesquisa, o fator ''funcionário descuidado ou desinformado'' só perde para ataques de malware entre as prováveis causas de incidentes envolvendo segurança virtual. Além disso, numa investida de cibercriminosos, é provável que a primeira brecha explorada seja o controle humano sobre as máquinas atacadas.
Funcionários tendem a esconder incidentes de segurança de TI (Foto: Pond5)
David Jacoby, pesquisador em segurança da Kaspersky Lab, explica que é comum o fato de criminosos usarem funcionários de determinada empresa como ponto de entrada para ter acesso à infraestrutura corporativa. Algumas das ações envolvem e-mails de phishing e chamadas falsas do suporte técnico, por exemplo.
''Até um cartão de memória comum caído no estacionamento do escritório ou perto da mesa da recepção pode comprometer toda a rede. Basta que alguém dentro da organização não tenha conecimento ou não preste atenção à segurança para que o dispositivo possa ser facilmente conectado à rede [checado em um PC conectado], onde é capaz de causar verdadeiros desastres'', explica.
Por que funcionários escondem os incidentes
... ?
Por trás da postura de funcionários que omitem incidentes — preferindo colocar a organização em risco e o seu pescoço a salvo — há o medo de punições ou constrangimentos. Esse comportamento é comumente observado em empresas com regras rígidas e que impõem responsabilidade excessiva sobre funcionários, em vez de treiná-los e incentivá-los a ficarem atentos e cooperarem nesses casos.
Isso significa, portanto, que a proteção virtual também deve fazer parte da cultura e do treinamento da companhia, não ficando restrita ao setor de tecnologia da firma. Nesse ponto, é essencial o envolvimento da diretoria e também do RH.
A proteção virtual deve fazer parte da cultura e do treinamento da companhia
''Em alguns casos, as empresas adotam políticas rígidas, mas confusas, e colocam pressão demais sobre a equipe, com advertências para que não façam isso ou aquilo, pois serão responsabilizados caso ocorra algo errado'', afirma Slava Borilin, gerente do programa de educação sobre segurança da Kaspersky Lab.
''Essas políticas alimentam o medo e dão apenas uma opção aos funcionários: evitar as punições a qualquer custo. Se você tem uma cultura de segurança virtual positiva, baseada na educação e não em restrições, os resultados são óbvios", diz.
Os números do relatório:
28% dos ataques direcionados contra empresas e redes corporativas tiveram início em abordagens de phishing e engenharia social;
53% dos incidentes ocorreram por conta de ataques de malware envolvem funcionários inconscientes e descuidados sobre o tema;
Em 40% das empresas pesquisadas, os funcionários tendem a esconder incidentes de segurança de TI;
52% das empresas reconhecem que suas equipes são o ponto mais fraco quando o tema é segurança virtual;
35% das empresas tentam aprimorar a segurança por meio do treinamento dos funcionários;
43% das empresas implementam um software mais sofisticado como método mais popular de defesa cibernética.
Como proteger sua empresa
De acordo com o relatório, a melhor forma de proteger sua empresa contra ataques virtuais que miram funcionários, é associar as ferramentas e as práticas corretas. Ou seja, incentivar os funcionários a ficarem atentos e procurarem ajuda em caso de incidentes desse tipo. Além disso, substituir documentos extensos por treinamentos com apresentações de instruções claras é uma medida que também contribui para um ambiente de trabalho protegido de ciberataques na firma.
