Novas formas de trabalho criam riscos de cibersegurança

Fonte: Valor Econômico (03 de janeiro de 2020)

Vivemos em um mundo de hackers e adversários cada vez mais habilidosos e empenhados em roubar dados de pessoas e empresas para ganhar dinheiro, conhecimento ou derrubar sistemas. À medida que as empresas mergulham na transformação digital e em novas formas de trabalho, garantir a segurança das informações é um desafio crescente, tanto para os empregadores, quanto para os funcionários.
 
O local de trabalho vem mudando rápido, especialmente os escritórios. Um estudo feito em 2019 pelo International Workplace Group, que opera espaços de trabalho compartilhados e aluga escritórios, revelou que, no mundo, 50% dos funcionários trabalham fora de suas salas pelo menos 2,5 dias por semana.
 
Alguns analistas preveem que até metade da força de trabalho mundial vai ser autônoma dentro de dez anos, uma vez que os empregos de curto prazo têm se tornado mais comuns. Além disso, muitas empresas trabalham com cadeias de abastecimento cada vez mais extensas e globais. Tais mudanças, inevitavelmente, chegam acompanhadas de novos riscos de cibersegurança.
 
“Quando sua superfície – todos os sistemas e redes que você usa para trabalhar – é grande, a cibersegurança torna-se muito mais complicada”, diz Justin Harvey, chefe de reação a incidentes globais na divisão de segurança da consultoria Accenture.
 
Chris Miller, diretor regional para Reino Unido e Irlanda da firma de cibersegurança RSA Security , ressalta a dificuldade em saber se as pessoas são realmente quem dizem ser no mundo on-line. “Uma nova força de trabalho dinâmica e digitalmente apta pode operar de vários locais e esses trabalhadores remotos trazem novos problemas de garantia de identidade”, diz.
 
Muitos assessores de cibersegurança recomendam que as empresas transfiram seus aplicativos de trabalho para a nuvem, de forma que, não importa onde os funcionários estejam localizados, os dados fiquem armazenados em servidores da empresa.
 
“O uso de ambientes virtuais é chave para proporcionar competência e flexibilidade, mas isso significa colocar aplicativos na nuvem pública para facilitação de acesso”, diz Alex Schlager, diretor de produtos da equipe de cibersegurança da operadora americana Verizon. Isso significa também que “soluções tradicionais de segurança de perímetro ‘físico que protegiam aplicativos críticos no passado não são mais eficazes”.
 
Em consequência, as empresas precisam controlar com mais rigor quem tem acesso a seus dados e por quanto tempo. Por exemplo, se um funcionário temporário sair de um projeto, o acesso precisa ser revogado. “Quando não se tem controle sobre quem teve acesso ao que, em qual momento, os dados e a rede como um todo vão estar sujeitos a um risco maior de erro humano e de ataques mal-intencionados”, diz Miller.
 
Há muitas ferramentas de software que proporcionam “os meios necessários para colocar em vigor boas proteções aos dados, como a codificação e o controle de acesso”, diz Eric Haller, vice-presidente de operações de segurança na Palo Alto Networks, empresa americana de cibersegurança, acrescentando que os chamados “sistemas legados” podem precisar de atualizações.
 
Os empregadores também precisam oferecer treinamento. As críticas construtivas devem ser encorajadas. “Notifique os funcionários sobre maus comportamentos no momento em que o fazem”, diz Amir Ben-Efraim, cofundador e executivo-chefe da empresa americana Menlo Security.
 
Acima de tudo, pouca clareza sobre quais são as fronteiras entre o trabalho em casa e no escritório pode ser um fator problemático. “Um dos maiores riscos das novas formas de trabalho é o ‘BYOD’”, a sigla em inglês para “traga o próprio aparelho”, diz Harvey, da Accenture. “As empresas vêm pagando milhões de dólares por ano para proteger seus sistemas”, afirma, citando “firewalls”, detecção de intrusões e antivírus. “Quando você introduz o BYOD, você está essencialmente confiando que seus funcionários estejam tomando as precauções adequadas”.
 
Os computadores próprios dos funcionários não têm as mesmas proteções que os do trabalho, nem a mesma capacidade de monitoramento das atividades. Se você ficar comprometido enquanto estiver fora do escritório, um hacker poderia “colar” em você (ou seja, entrar nos sistemas do escritório) quando você for trabalhar no dia seguinte, segundo Harvey.
 
Pode ser difícil para as empresas definirem suas políticas. Steven Booth, diretor de segurança na firma de cibersegurança americana FireEye, destaca que cada abordagem é “altamente dependente da empresa”. Alguns locais de trabalho, como hospitais, têm computadores portáteis especiais utilizados apenas no atendimento aos pacientes. Outros criam uma “lista especial” de sites que podem ser acessados.
 
Dar aparelhos para trabalho remoto pode ser algo custoso, então muitas empresas fazem com que os funcionários usem os próprios equipamentos pessoais. “Enquanto empresa de tecnologia do Vale do Silício, eu teria problemas de perda de pessoal [caso os equipamentos pessoais fossem proibidos]. As pessoas iriam se demitir”, diz Booth.
 
Empresas como a FireEye normalmente adotam medidas adicionais de segurança, como concedendo a gestão dos aparelhos móveis a terceiros. Isso pode incluir a introdução do monitoramento de um telefone ou garantir que quando um funcionário confira seus e-mails a partir de um dispositivo pessoal, seja um do qual a empresa tenha conhecimento.
 
Os empregadores também precisam considerar o que aconteceria se acidentalmente pegassem dados pessoais dos funcionários, diz Sharon Chand, diretora de área de risco de cibersergurança na consultoria Deloitte. “A questão de como os funcionários podem acompanhar e monitorar seus dados pessoais é realmente guiada a partir do ponto de vista da privacidade. Quais direitos os funcionários têm à privacidade e quais dados pessoais estão sendo usados?”, pergunta ela, acrescentando que isso depende da cultura no ambiente de trabalho e das leis locais.
 
Os funcionários precisam estar alertas às armadilhas usuais do dia a dia da cibersegurança, como senhas frágeis. Segundo um relatório deste ano da Verizon sobre violações de dados, 29% das infrações envolvem o uso de credenciais de identidade roubadas.
 
Assessores de segurança recomendam uma autenticação dupla. Alguns ressaltam a crescente tendência entre os empregadores de usar a segurança biométrica, como a impressão digital ou a identificação por reconhecimento facial. Há ferramentas ainda mais complexas chegando ao mercado, destaca Schlager, da Verizon, como pedir aos usuários para digitar frases secretas – do tipo perguntas e respostas. O software verifica a resposta e também “determina como o usuário digita, valendo-se de variáveis como o tempo entre cada letra”, explica Schlager.
 
Os empregadores precisam estar atentos para saber se os funcionários utilizam uma “TI [tecnologia da informação] paralela” – ou seja, quando usam seus próprios sistemas em vez dos fornecidos pela empresa. Isso ocorre muitas vezes porque é uma opção mais fácil ou porque não conseguem descobrir como usar os da companhia. Por exemplo, um funcionário pode abrir uma vulnerabilidade ao querer compartilhar documentos via Dropbox, quando a empresa não tem parceria com o serviço de armazenamento na nuvem. Um exemplo de alta visibilidade foi a ex-candidata presidencial americana Hillary Clinton, que usou o servidor de seu e-mail pessoal para realizar tarefas oficiais durante a eleição de 2016.
 
Consultores de segurança recomendam enfrentar esse problema com treinamento, mas também tornando o sistema o menos complicado possível. “A forma mais rápida de ter um monte de TI paralela é caminho difícil para a TI normal”, diz Charles Henderson, chefe global da unidade X-Force Red, da IBM, especializada em invasões de hackers. “Se você tornar o acesso a certos dados muito difícil, os usuários vão acessá-los de alguma nova forma curiosa”.