En

Pt

QUAL O IMPACTO DE VAZAMENTO DE DADOS EM PEQUENAS E MÉDIAS EMPRESAS

De acordo com uma pesquisa conduzida pelo Instituto Ponemon, 66% das pequenas e médias empresas nos EUA, Reino Unido e Europa presenciaram um ataque cibernético malicioso nos últimos 12 meses.

Além do mais, há um aumento constante nos ataques mais sofisticados que causam vazamento de dados críticos nas empresas. 63% das pequenas e médias empresas entrevistadas pela Ponemon relataram que também sofreram com vazamento de dados em 2019, aumento de quase 10% desde 2017.

Os ataques cibernéticos e o vazamento de dados não são apenas disruptivos para as pequenas empresas, eles custam muito caro. Ainda de acordo com os relatórios da Ponemon, em 2019 as pequenas e médias empresas gastaram cerca de US$1,2 milhões para reparar e restaurar sua infraestrutura e ativos de TI após um ataque e gastando mais US$1,9 milhões relacionadas as perturbações nas suas operações regulares. Com base em algumas estimativas, cerca de 60% das pequenas e médias empresas fecham as portas cerca de 6 meses após sofrer um ataque com vazamento de dados.

Phishing, engenharia social e ataque via web estão no topo da lista das ameaças de cybersegurança que alvejam especificamente as pequenas e médias empresas. Essas ameaçam acabam sendo facilitadas por:

  • Dispositivos de endpoint inseguros e não monitorados, especialmente notebooks, dispositivos móveis e dispositivos IoT em um ambiente de trabalho com o “Bring your own device”.
  • Senhas fracas para as contas de usuário
  • Compartilhar informações com terceiros sem um inventário de dados compreensivo.
  • Comportamento negligente dos colaboradores.

Felizmente, você pode mitigar estes riscos e vulnerabilidades na sua empresa implementando um plano de segurança e prevenção a perda de dados eficiente para a sua infraestrutura de pequena empresa.

Planejamento de segurança para pequenas e médias empresas

Ataques cibernéticos por falhas de segurança têm tido um constante aumento nas pequenas e médias empresas em todo o mundo. Diante disso, deve-se planejar a criação de métodos de defesas para impedir que a sua pequena ou média empresa faça parte das estatísticas negativas de segurança.

A criação de um plano de segurança deve seguir alguns passos preliminares. Primeiramente identifique as principais ameaças cibernéticas que a sua empresa enfrenta. Então, use este artigo para determinar as melhores ações que você pode tomar para melhorar a segurança da rede, dos dados e dos endpoints da sua empresa.

Abaixo, listamos 5 itens de atenção.

1 – Estabeleça políticas de segurança.

2 – Eduque e treine os seus funcionários.

3 – Leve em consideração a medida de confiança zero.

4 – Monitore de perto a atividade dos usuários no seu ambiente.

5 – Mantenha a segurança da sua infraestrutura com as ferramentas certas

1 – ESTABELEÇA POLÍTICAS DE SEGURANÇA

As políticas de segurança garantem que todo o pessoal da sua empresa esteja na mesma página quando se trata de manusear, usar e armazenar os dados críticos do negócio. Elas também garantem que os seus especialistas de TI sigam de forma apropriada os protocolos definidos para assegurar os dados e mitigar os danos à infraestrutura em caso de um evento de ataque cibernético.

As suas políticas de segurança devem ser originadas no nível mais alto de TI da sua empresa e devem ser comunicadas de forma clara para cada um dos seus colaboradores. Uma vez disseminada e adotada de forma bem sucedida, as políticas de segurança devem ser embutidas nos processos da sua empresa.

Política de segurança de dados

A política de segurança de dados protege os dados da empresa e do cliente assegurando que:

  • Apenas os dados requisitados são coletados
  • Informação sensível está armazenada de forma segura e acessível apenas para os indivíduos autorizados.
  • Os dados são seguramente destruídos quando não forem mais necessários

Há uma ligação direta entre a segurança dos seus dados e os compliances de privacidade de dados como a LGPD. Em essência, a segurança oferece os meios de garantir o cumprimento das normas.

Sua política de segurança de dados deve claramente dizer todos os detalhes e orientações associados com a segurança da rede, os controles de acesso e a resposta a incidentes, além de outras preocupações de segurança.

Política de senhas

Uma política de senha estabelece as regras que regem o quão forte é a segurança, o uso e execução das senhas para as contas de usuários. Essa política pode incluir requisitos como:

  • As senhas devem ter um tamanho mínimo e incluir uma combinação de caracteres especiais, minúsculos, maiúsculas e numéricos.
  • Senhas não podem ser reusadas e devem ser alteradas em intervalos regulares
  • Falha em cumprir com a política de senhas resultará em negação de acesso a conta e outras penalidades impostas pelo departamento de TI.

Política de classificação de dados

Uma política de classificação de dados forma o pilar da vida útil do gerenciamento de informação da sua empresa, isso é, retenção, uso e destruição apropriada dos seus dados.

Todos os dados ativos devem ser inventariados de acordo com o seu nível de sensibilidade, nível de acesso, requisitos de criptografia e outras categorias relacionadas à segurança. Desta forma, sua política de classificação de dados pode funcionar em conjunto com a sua política de segurança de dados , iniciando os protocolos de acesso apropriados e as investigações de vazamentos com base nos tipos de dados em questão.

2 – EDUQUE E TREINE OS SEUS FUNCIONÁRIOS

Educação dos funcionários é um dos principais pontos para proteger os seus dados. Por exemplo, mesmo que a sua empresa tenha uma política de senhas oficial, isso não servirá caso seus funcionários e colaboradores não estejam totalmente cientes dos processos.

Entendendo que a negligencia dos funcionários são as principais causas das brechas sofridas por pequenas e médias empresas; o modelo de plano de segurança da sua pequena empresa deve incluir um programa sólido de treinamento interno e preocupação com a segurança. Faça esse treinamento obrigatório para os funcionários e reveja e atualize o material do treinamento anualmente mantendo atualizados com os principais riscos e potenciais ameaças.

3 – LEVE EM CONSIDERAÇÃO A MEDIDA DE CONFIANÇA ZERO

Confiança zero é um framework de segurança cibernética onde nada e ninguém, de dentro ou fora da rede privada de uma empresa, pode ser confiável.

Apesar de poucas pequenas empresas possuírem o orçamento ou os recursos necessários para adotarem as técnicas e estratégias da confiança zero; os empresários destes pequenos negócios ainda tem acesso a uma variedade das melhores técnicas a sua disposição para minimizar os riscos de segurança na TI.

Independentemente do tamanho do seu negócio, você irá querer implementar essas técnicas de controle essenciais.

Acesso de privilégio mínimo

Adote e force a utilização do modelo de privilégio mínimo, no qual os usuários apenas têm acesso aos sistemas e recursos que eles precisam para realizarem suas tarefas.

Crie grupos para usuários que compartilham certos níveis de privilégio, tornando mais fácil o monitoramento desses usuários. Colocando em prática o modelo de privilégio mínimo, você limita o escopo de hackeamento de uma conta de usuário e ainda aumenta a efetividade de medidas preventivas.

Revisão de permissões

Fique de olho em quaisquer anomalias e alterações na sua estrutura de permissões. Rastreie e desative contas de usuários inativas em tempo hábil visando eliminar pontos fracos que possam ser alvejados em ataques.

É importante revisar a sua estrutura de permissões periodicamente e endereçar vulnerabilidades ou inconsistências dentro da sua estrutura de trabalho atual. Monitore todas as alterações na política de senhas, nas configurações de senha e configurações de conta pois uma alteração não autorizada pode indicar a presença de um ataque.

Autenticação e senhas fortes

Aproximadamente metade das pequenas e médias empresas entrevistadas pelo Ponemon disseram que já passaram por brechas na segurança devido a senhas fracas dos funcionários.

Senhas fracas podem permitir que pessoas maliciosas ganhem acesso e tenham controle a múltiplas contas usando o efeito dominó de senha única. Entretanto, como discutido anteriormente, uma política de senhas forte elimina essa vulnerabilidade.

Dependendo da segurança do seu escritório e dos requisitos de segurança para a internet, você pode querer aprimorar sua política de senhas com políticas de segurança cibernética como a autenticação de múltiplos fatores, que deixam as senhas ainda mais fortes requerendo uma ou mais formas adicionais de autenticação.

Lembre-se que uma política de senha é tão forte quanto a sua aplicação. Abaixo estão algumas das melhores práticas para garantir que seus usuários mantenham-se em compliance de acordo com os padrões mandatários.

  • Bloqueio das contas de usuário automaticamente após diversas tentativas não sucedidas de logon com a senha errada.
  • Use a GPO para adotar a política de senhas nos domínios do AD
  • Identifique contas sem requisitos para senhas (ou senhas que nuca expirem) e ajuste os requisitos de autenticação de acordo com a sua política

Segurança do e-mail

A comunicação por e-mail pode facilmente se tornar um alvo de ataque para os malwares e os criminosos cibernéticos, visto que usuários negligentes ou distraídos costumam abrir links perigosos escondidos em mensagens.

A educação dos funcionários sobre phishing e malware pode ajudar a aumentar a segurança dos canais de e-mail das pequenas e médias empresas. Outras medidas preventivas incluem criptografia das mensagens junto a filtros de spam e antivírus que detectam potenciais ameaças antes delas alcançarem usuários que podem não suspeitar do conteúdo.

Segurança dos sistemas e da rede

Tenha certeza de equipar os seus sistemas de TI com as ferramentas de segurança mais atualizadas instalando novos patches regularmente e atualizando o hardware e o software da sua empresa.

Sempre monitore as alterações e eventos de acessos aos seus sistemas críticos, incluído sistema de compartilhamento de arquivo e bancos de dados dos servidores. Fortaleça o perímetro de rede da sua empresa com os firewalls apropriados e configurando a conexão interna de wi-fi para maximizar a segurança e a proteção dos endpoints e dos dispositivos móveis.

Configure uma VPN segura para habilitar o acesso remoto aos ativos da TI.

Backup dos dados e sistemas

Tenha uma cópia redundante dos backups dos seus sistemas críticos e banco de dados em um local seguro fora da sua infraestrutura de TI. Isso permite que você recupere rapidamente ativos após um ataque e impede que o impacto do incidente se espalhe para todos os seus dados valiosos.

Por exemplo, backups externos podem ajudar a sua empresa a mitigar o dano causado por uma instancia de ransomware que deixa os seus sistemas inacessíveis criptografando o seu conteúdo.

4 – MONITORE DE PERTO A ATIVIDADE DOS USUÁRIOS NO SEU AMBIENTE

Para avaliar e reforçar as melhores práticas de segurança através da sua empresa, é importante que você monitore a atividade dos seus funcionários. Isso inclui medidas como:

  • Rastrear eventos como criação de contas e logins, que permita identificar atividades suspeitas e tomar decisões proativas na detecção de intrusão.
  • Expanda seus processos de auditoria para incluir todos os repositórios de dados sensíveis na sua rede privada, incluindo servidores de arquivos, SharePoint, banco de dados do SQL server e afins. Fique de olho tanto nas tentativas de acesso quanto na atividade que ocorre ao redor dos dados sensíveis.
  • Caso você use serviços na nuvem como o Office 365, monitore o logon nesses serviços assim como a atividade dos usuários neles.

5 – MANTENHA A SEGURANÇA DA SUA INFRAESTRUTURA COM AS FERRAMENTAS CERTAS

As soluções da sua pequena empresa devem ter um portfólio de tecnologias efetivas e ferramentas que visem proteger a sua infraestrutura de TI dos criminosos cibernéticos. Implementar e ter o suporte de ferramentas de segurança sofisticadas pode ter um custo alto.

Entretanto, implementar as seguintes ferramentas cobrem o básico:

  • Firewalls: O Firewall é a sua primeira linha de defesa e pode ser encontrado em sistemas de forma independente ou incluído em outros dispositivos como roteadores e servidores. Eles também podem ser encontrados como soluções tanto em hardware como software.
  • Software anti-malware com antivírus para empresa e funcionalidade anti-spyware: Esse software realiza o scan, identifica e elimina o malware como vírus, worms, ransomware, rootkits, spywares, keyloggers, etc, dos seus sistemas e dispositivos. Ele pode ser implementado em PCs, num servidor de gateway ou aplicado em uma rede dedicada.
  • Soluções de criptografia: Soluções de criptografia permite que os usuários criptografem os dispositivos, e-mails e dados. Podem ser encontrados como softwares e como hardwares. Criptografar os dispositivos garante que os dados armazenados estejam protegidos mesmo que o dispositivo seja roubado, perdido ou utilizado de forma incorreta. Criptografar e-mails garante que seus dados estarão seguros mesmo que a conta de e-mail e a informação de logon parem nas mãos erradas. O mesmo vale para os dados; criptografá-los ajuda a garantir que eles continuem seguros mesmo que caiam nas mãos erradas (a não ser que eles tenham a chave criptográfica)
  • Software de backup e recuperação: Uma solução contra tudo que vai desde deleção acidental a ataques de ransomware. O software de backup cria um backup off-site que ajuda a garantir a continuidade da sua empresa, assim como garante que você nunca precisará pagar valores exorbitantes para os hackers.
  • Soluções de auditoria da TI: Rastrear eventos de acesso manualmente ou usando as capacidades nativas do sistema é trabalhoso e toma muito tempo. Tempo é um recurso extremamente valioso que as pequenas empresas não têm muito. Logo, é crucial para a segurança do seu ambiente, que você tenha uma solução especializada que garanta visibilidade nas atividades e nos eventos de acessos, mantenha você alertado sobre potenciais ameaças e te ajuda a entender o estado atual da sua infraestrutura.

Existem soluções que garantem a segurança de todos os tamanhos e segmentos de organizações.

Para conhecer a melhor solução para a sua empresa, clique AQUI.

Compartilhe:

Você tem o direito à privacidade.
O nosso dever é preservá-la.