Um dos aspectos mais desafiadores da Segurança da Informação é o controle do acesso privilegiado e o gerenciamento de perfil dos usuários. Trata-se de adequar e ajustar o acesso a dados que um determinado profissional precisa para desempenhar a sua atividade: nem mais, nem menos. É uma sintonia fina que deve sempre ser feita e ajustada, para que um determinado profissional não tenha acesso a informações que devem, muitas vezes, ser confidenciais e restritas para apenas algumas pessoas ou departamentos.
Esse tema está em destaque pois a onda de ataques cibernéticos vem crescendo em todo mundo explorando os famosos “credenciais de acesso”. Em cenários mais complexos, cibercriminosos têm usado, inclusive, aliciamento de funcionários prometendo grandes quantias em troca de login e senha para acessar os ambientes corporativos. E aqueles que tem perfil de acesso mais amplo, obviamente, são os mais assediados.
Já presenciei, em minhas atividades profissionais, tanto como advogado ou como profissional de segurança da informação, muitos casos criminosos de concorrência desleal, em que profissionais da própria empresa enviavam informações confidenciais, restritas e sigilosas, com alto valor financeiro, tais como dados de clientes e propostas comerciais estratégicas, para concorrentes, em troca de benefícios financeiros e, em outras situações, apenas como forma de se vingar da empresa em razão de alegados “maus tratos”.
Até mesmo por “diversão” isso pode acontecer. Veja o caso da Tesla, empresa renomada e de alta tecnologia do empresário Elon Musk, que está sendo investigada em razão dos seus profissionais terem acessado as câmeras de vigilância dos carros apenas para assistir atos íntimos dos clientes.
Entretanto, os danos são os mais perturbadores, desde violação e roubo de dados à paralisação de sistemas e interrupção do negócio.
Esse cenário, segundo o último relatório divulgado sobre Atividade Criminosa Online no Brasil, desenvolvido pela Axur, é desafiador tanto para empresas privadas quanto para o setor público. Entre o segundo semestre de 2021 e março de 2022, o levantamento identificou 480 mil credenciais com características e indícios de acesso privilegiado, especialmente em ambientes virtuais. Do total de vazamentos identificados, 43 milhões são de domínios corporativos e 227 mil são de domínios do governo. A maioria das credenciais (91,8% delas) estava na Deep & Dark Web.
Assim sendo, por mais que se invista em tecnologia para obter um ambiente robusto e seguro, um pequeno erro pode colocar em risco toda a organização.
Neste contexto, um bom sistema de segurança deve estabelecer investimentos 3 pilares: tecnologia, processos e pessoas.
Por isso, capacitação e sensibilização a respeito de governança e proteção de dados é uma das melhores diligências a serem adotadas pela empresa.
Afinal, mais de 85% das infrações de dados ocorrem por erros humanos. Lembrem-se disso.
Artigo escrito por Paulo Perrotti, CEO da ESG Solution, Head Cybersecurity LGPD Solution
Deixe seu comentário