Embora as organizações tenham que enfrentar vazamentos de dados de funcionários, mais da metade delas (53%) preferem não divulgar esses incidentes publicamente. Olhando para o outro lado da moeda, as equipes são carentes de conhecimentos básicos sobre cibersegurança para se proteger, pois apenas 54% das empresas oferecem treinamentos de conscientização. Essas são algumas das conclusões do estudo Kaspersky Employee Wellbeing de 2021.
Uma estratégia eficiente de segurança empresarial é impossível sem a educação de todos os funcionários. A tecnologia é importante para evitar incidentes, mas o fator humano desempenha um papel crucial e este está vinculado a 85% dos ciberincidentes. Neste contexto, a pesquisa global da Kaspersky com decisores de tecnologia oferece informações valiosas para a tomada de decisão sobre como as organizações e funcionários colaboram e protegem seus clientes e uns aos outros.
Na maioria dos países pesquisados, as violações estão mais associadas ao roubo de informações de clientes. Porém, os resultados da pesquisa no Brasil mostram que os criminosos acabaram tendo acesso principalmente às informações pessoais dos funcionários. Em 2021, quase metade (47%) das organizações não conseguiram proteger esse tipo de dado – índice superior aos 43% associados aos registros de clientes (43%).
Além disso, o fato de que 53% das organizações decidirem não comunicar publicamente uma violação de dados pessoais de funcionários sinaliza que o problema é maior do que parece. Quando a análise é sobre a quantidade de empresas que proativamente avisam sobre esses incidentes, apenas 28% o fazem – um índice muito abaixo da média global, que é de 43%. Soma-se a isso os 8% das companhias que tornam a violação pública após o fato ser publicado na imprensa. Este contexto mostra a falta de responsabilidade com os funcionários.
“Há um ditado popular que diz ‘o que os olhos não veem, o coração não sente’. É dessa maneira que a maioria das empresas reagem após uma violação. Porém, as pessoas já mudaram e elas estão mais propensas a dar uma segunda chance para aquelas marcas que foram transparentes e éticas. Esta é a primeira mudança que os donos e as lideranças empresariais precisam enxergar”, afirma o gerente-executivo da Kaspersky no Brasil, Roberto Rebouças. “Nesse novo contexto entre as relações empresas-clientes, a confiança passou a ser uma peça-chave e eu pergunto: se não há respeito com quem trabalha junto do dono ou da liderança todos os dias, por que um cliente — que não tem o convívio diário com a empresa, deve confiar seus dados a elas? Entender essa conexão permitirá compreender os riscos comerciais e de reputação que uma organização corre ao esconder um incidente de seus trabalhadores e os potenciais impactos disso nos seus clientes. A divulgação proativa demonstra que a empresa está assumindo seu erro e quer ajudar na solução dele e de suas consequências e é isso que reforçará a transparência e a ética na relação empresa-funcionário-cliente”.
Outra conclusão importante do estudo é que a falta de conhecimento das pessoas sobre incidentes de cibersegurança precisam ser mais bem endereçadas pelas empresas. O relatório mostra que metade (54%) das organizações já implementaram programas de educação e de treinamento de segurança para garantir que os funcionários tenham informações essenciais sobre o tema. Por outro lado, quase a metade (41%) delas tiveram pelo menos um problema relacionado a esses serviços — o que inclui a insatisfação com a alta complexidade dos cursos e a falta de suporte ou experiência por parte do provedor do treinamento.
Funcionário que não recebe orientação de maneira correta e clara, não saberá seguir as novas políticas da empresa. Este conceito está bem disseminado para quase todas as áreas, mas quando se trata de cibersegurança, parece que as empresas ignoram suas responsabilidades. Tanto que em 2021, a conformidade da equipe e o desafio de lidar com a falta de conhecimento dos funcionários comuns sobre segurança estão entre as três maiores preocupações (com 42%) para as empresas quando se trata dos temas de TI.
Prevenir uma violação requer ações efetivas de todos que interagem com a infraestrutura corporativa e podem ser alvos potenciais de ataques para permitir que uma invasão ocorra. Para proteger melhor os funcionários, as empresas devem combinar medidas de proteção (via tecnologias e processos) com conhecimento para o fator humano, por meio de treinamentos de conscientização ou técnicos. Entre as boas práticas de segurança, estão:
– Executar as correções e atualizações o mais rápido possível para evitar ter brechas que permitam a entrada indevida na rede.
– Usar criptografia (high-grade), senhas fortes e autenticação multifator para proteger dados confidenciais.
– Contar com uma proteção endpoint com recursos de respostas a incidentes para bloquear tentativas de acesso.
– Reduzir ao máximo o número de pessoas com acesso a dados cruciais. A chance de existir uma violação aumenta quanto maior a quantidade de funcionários que consigam acessar informações confidenciais que podem ser vendidas ou usadas pelos criminosos de alguma forma.
– Educar os funcionários com o conhecimento de segurança que eles precisam. Há opções de cursos on-line e modulares que as pessoas podem fazer de forma independente, enquanto os gestores podem definir os níveis necessários e gerenciar o progresso individualmente.
Imagem: Divulgação.
