Blog MEO Empresas - Inovação, Internet, 5G, Fibra, IoT e Cloud

Os modelos de Bring Your Own Device (BYOD) têm muitas vantagens, incluindo a de agradar a utilizadores avançados que querem usar um determinado tipo de smartphone ou computador e não querem estar limitados pelas opções das empresas, mas também trazem desvantagens. E a segurança é uma delas.

As más práticas de segurança pessoais podem pôr em risco a segurança de toda a empresa e é necessário que todos os colaboradores estejam sensibilizados para esta questão, assumindo a sua quota parte de responsabilidade.

Os ataques informáticos já entraram na lista das principais ameaças ao negócio e podem pôr em causa não só a reputação das empresas como a estabilidade financeira, causando paragem da atividade e multas elevadas, que com o RGPD podem chegar aos 20 milhões de euros ou 4% do volume de negócios global da organização.

Não é segredo que os hackers procuram explorar os pontos mais vulneráveis nas empresas, sejam eles falhas nas infraestruturas e deficiências na atualização de sistemas, sensores de IoT ligados às redes ou os colaboradores. E estes têm sido um dos alvos mais frequentes, até porque através deles os cibercriminosos podem transmitir infeções de malware a toda a rede ou lançar ataques para roubar informação comercial, aceder aos sistemas e até destruir dados importantes para o negócio.

A utilização dos dispositivos pessoais no trabalho deve por isso ser acompanhada de uma forte componente de segurança que se estende à rede doméstica e às práticas de ligação a outras redes de comunicações não seguras. As empresas devem definir políticas rigorosas de utilização e implementar soluções que protejam os dados e a informação de acesso à rede.

Este é um dos pontos abordados num White Paper publicado pela PT Empresas, que define os pontos estratégicos de segurança a aplicar nas organizações, mas nunca é demais reforçar a proteção do negócio, até porque os hackers são cada vez mais organizados e têm ferramentas que fazem a análise de vulnerabilidades de forma massificada, sem olharem à dimensão das empresas nem à sua localização geográfica ou âmbito de atividade.

E nem tudo tem a ver com tecnologia. Uma análise da consultora BCG às maiores perdas de dados conhecidas, que levaram à perda de informação de milhões de clientes, revela que a tecnologia só foi responsável por 28% dos problemas, ficando os outros 72% classificados como falhas organizacionais, de processos e de pessoas.

Se quer criar uma política mais segura, partilhe informação com os seus colaboradores nas políticas de utilização. A prática é cada vez mais comum e mesmo o Ministério da Saúde vai publicar em breve uma lista com os 10 mandamentos da segurança que será distribuída por todos os funcionários e serviços daquele organismo.

Aqui ficam oito recomendações que deve passar aos seus colaboradores:

• Proteger as redes WiFi com nomes e passwords mais seguras – se não mudar o nome da rede e deixar a definição pré-instalada está a facilitar a vida dos hackers, que podem explorar as vulnerabilidades do modelo específico. A rede WiFi é uma porta de acesso a outros dispositivos instalados em casa dos seus colaboradores, incluindo os smartphones e computadores. As recomendações para a password são as habituais: escolha até 20 caracteres incluindo números, letras e símbolos.
• Usar autenticação forte nos equipamentos – O bloqueio por palavra passe, impressão digital, reconhecimento de rosto ou PIN é essencial para evitar que outros possam aceder ao equipamento se este for perdido ou roubado. E deve ter associada a encriptação dos dados. Faça também a sensibilização para que sempre que se afastarem do computador bloqueiem a sessão para que ninguém possa usar esses momentos para aceder à informação.
• Pensar antes de clicar – por muito apetecíveis e personalizadas que pareçam as promoções que chegam por email, na caixa de correio profissional ou pessoal, podem trazer vírus e outro tipo de malware associado. Em muitos casos pode ser phishing, um esquema para recolha de dados pessoais como passwords ou informação de cartão de crédito. É importante treinar os colaboradores para validar algumas questões: Quem é o remetente? Isto é uma mensagem segura? Preciso mesmo de abrir este ficheiro ou seguir este link? Esta informação é realmente direcionada a mim ou é geral?
• Pensar antes de partilhar informação sensível nas redes sociais ou em sites públicos – é importante manter claro nas políticas que a informação de negócio não deve ser partilhada em redes sociais ou sites públicos. Ajude os colaboradores a perceberem as ferramentas de proteção de privacidade no Facebook e noutras redes e sensibilize-os para não aceitarem pessoas desconhecidas nas suas redes.
• Fazer updates e correções de software de forma regular – Ao contrário dos dispositivos da empresa que são geridos pela equipa de TI, os equipamentos pessoais estão dependentes do cuidado dos seus donos nestas atualizações, que são essenciais e podem evitar dissabores, como os recentes ataques de ransomware semelhantes ao Wanna Cry. É importante definir a atualização automática e aceitar as notificações dos sistemas.
• Usar uma VPN para acesso remoto – Se quer proteger a comunicação externa é importante disponibilizar uma VPN que possa cifrar as comunicações e que deve estar configurada nos equipamentos dos colaboradores. Desta forma evita roubo de dados mesmo quando estão ligados em redes públicas.
• Manter diferentes passwords para contas diferentes – usar uma única password pode ser mais fácil de recordar mas é muito menos seguro. Sobretudo se houver um roubo de dados. Cada serviço deve ter a sua própria password, e estas devem seguir as regras de dimensão e uso de letras maiúsculas e minúsculas, assim como números e símbolos. Avise para não escreverem a palavra chave e pode mesmo sugerir a utilização de uma aplicação de gestão de passwords segura.
• Fazer backups regulares – Este é um passo muitas vezes esquecido mas de grande importância. Normalmente os colaboradores só se lembram do backup quando perdem os computadores ou smartphones, e nessa altura já é muito tarde. Os sistemas operativos têm opções para fazer backups automáticos na Cloud e é fácil e rápido definir esta prática.

A formação e sensibilização de todos os empregados é importante, mas o exemplo deve estender-se a toda a empresa, a começar pela gestão. Ninguém está 100% seguro num mundo cada vez mais ligado, mas grande parte dos riscos podem ser mitigados com um nível de proteção mais assertivo nas empresas.