Quando pensamos na proteção dos dados de uma empresa, muitas vezes esquecemos de considerar questões básicas que podem desencadear uma série de dores de cabeça para uma organização. “Hoje em dia, ainda é comum nos depararmos com companhias que estão investindo alto em tecnologia, mas negligenciando medidas simples como a falta de controle no acesso à internet, criptografia de e-mails e concessão de privilégios aos usuários dos sistemas”, diz Wander Menezes, especialista em segurança da informação do Arcon Labs.

Para ele, a preocupação em combater novas ameaças, algumas vezes, faz com que a companhia fique em dúvida na hora de priorizar os ativos de TI que devem ser monitorados. “Uma ameaça persistente avançada (APT), cujo objetivo é atingir computadores específicos com algum tipo de informação valiosa, geralmente pode decorrer de falhas básicas de segurança, como o simples controle de um e-mail”, alerta.

Outro ponto, levantado por pesquisa recente da Intel Security, é o desconhecimento dos profissionais brasileiros sobre os riscos da segurança cibernética. De acordo com o relatório, 46% dos entrevistados acreditam que os ataques têm se tornado bem-sucedidos devido, principalmente, à falta de conhecimento do usuário brasileiro sobre as ciberameaças. Confira a seguir três medidas que devem estar na lista de atenção das organizações:

1. Todos podem ser alvo de ataque
“O atacante normalmente tentará agir pelo elo mais fraco da cadeia para ter mais chances de sucesso”, simplifica Menezes. De acordo com a Pesquisa Global sobre Segurança da Informação 2015 da PwC, os funcionários internos foram os mais citados entre os responsáveis por incidentes. Entre 2013 e 2014, a porcentagem cresceu 10%. “Isso não quer dizer que todos os colaboradores possuem comportamentos maliciosos. No entanto, eles podem, sem querer, comprometer a perda de dados por meio de dispositivos móveis ou ser alvo de esquemas de phishing – prática em que os atacantes têm o objetivo de ‘pescar’ informações e dados pessoais importantes por meio de mensagens falsas”, pontua o especialista. Um hacker pode, em vez de atacar diretamente o CEO, focar em usuários mais “comuns” da empresa, que provavelmente não possuem informações valiosas, mas que compartilham a mesma rede, sendo usados como trampolim para o objetivo final. “Por isso, a concessão de privilégios e acessos livres dos usuários às redes não é aconselhável”, sintetiza.

2. De olho nos terceiros
Além dos funcionários, a atenção sobre os prestadores de serviços também deve estar em pauta. “A segurança da informação é feita em camadas e o fator humano desempenha um papel fundamental, tanto para o bem quanto para o mal”, afirma Menezes. Entre as medidas básicas, uma organização deve aplicar suas políticas de segurança a todos. Para o especialista, é necessário acompanhar a conduta dos terceiros para garantir que se comprometam com a proteção das informações, respeitando as políticas corporativas de segurança.

3. Programas de conscientização
A conscientização contínua sobre as políticas de segurança é um dos passos para sua aplicação. Para gerar a sensibilização por parte de toda a empresa, que resultará numa maior contribuição para a segurança eficaz, o compromisso com as políticas de proteção de dados deve ocorrer em todas as esferas e departamentos. “Simplesmente publicá-la na intranet não vai resolver. É recomendável que sejam estabelecidos programas de treinamento, reuniões e comunicações regulares”, completa Menezes. A segurança da informação de uma empresa é responsabilidade de todos.