Após o problema da Equifax, mais uma grande empresa teve sérios problemas gerados pela falta de segurança e consequente vazamento de dados: a Deloitte. Em setembro, a empresa confirmou que, devido a uma vulnerabilidade no acesso a uma conta com privilégios de administrador, hackers conseguiram invadir todo o sistema interno de e-mails (incluindo nomes, senhas, dados pessoais e endereços de IP) e tiveram acesso a todas as áreas da empresa. Estima-se que 5 milhões de e-mails foram acessados.
Como resultado, informações estratégicas que eram confidenciais, referentes aos planos de negócios de alguns de seus maiores clientes, acabaram tornando-se públicas indevidamente. O ataque aconteceu nos Estados Unidos, onde a Deloitte presta serviços de auditoria, assessoria fiscal e consultoria para empresas multinacionais e órgãos governamentais de todo o mundo.
Infelizmente, estes problemas ocorridos com a Deloitte e com a Equifax não são casos isolados. Pior que isso: no estudo global divulgado este ano pela Varonis, intitulado Data Risk Report, vimos que, em 2016, mais de 48 milhões de pastas de arquivos nas empresas pesquisadas estavam acessíveis para qualquer usuário e, também, que havia muitas informações armazenadas em locais inadequados. Os dados mostram que existe uma ampla falta de conscientização sobre a importância da privacidade.
Mas proteger os dados é mesmo algo tão difícil que torna os sistemas sensíveis e vulneráveis a invasões repetidamente? A verdade é que proteger dados é algo que pode (e deve) ser resolvido “sem dor de cabeça”, com a implementação de políticas de segurança e estratégias focadas em proteger dados, não o perímetro.
No Brasil, estamos tão sujeitos a violações desse tipo quanto no exterior. Exatamente por isso o Marco Civil da Internet passou a regulamentar o uso da internet no Brasil, tendo a segurança como um de seus pilares.
– Monitoramento – Saiba quem tem acesso à determinada informação e o que o usuário pode fazer com ela (e também quando pode fazer), e entenda quando arquivos confidenciais e e-mails são abertos, movidos, modificados ou excluídos. Com isso, é fácil tomar a providência certa para bloquear o compartilhamento ou outra ação inadequada por e-mail. O monitoramento permite gerenciar todos os tipos de dados (arquivos de texto, planilhas e apresentações, entre outros), além de detectar possíveis falhas de segurança e ameaças internas.
– Investimento em mão de obra – Além de investir em tecnologia de segurança, é fundamental o investimento em profissionais especializados em segurança da informação, os quais certamente já são capacitados para trabalhar com proteção de sistemas de e-mail (exemplo: identificação de contas de e-mail com acesso livre a arquivos que deveriam estar bloqueados).
– Criar uma “cultura de segurança” no usuário – De nada vai adiantar ter um profissional de segurança na empresa se o usuário não fizer a parte dele. É preciso trabalhar a “cultura de segurança”, fazer com que o usuário tenha as noções básicas das boas práticas de proteção, e manuseie os dados da maneira correta, sem apresentar riscos de atividades suspeitas e possível violação de dados.
Ao adotarem esse “trio de segurança”, as empresas certamente vão estar em vantagem competitiva nos negócios porque gerenciam suas informações e seus e-mails de forma mais efetiva, evitando qualquer tipo de acesso que venha a comprometê-las em nível administrativo, financeiro ou jurídico.
*Carlos Rodrigues é vice-presidente da Varonis para a América Latina
