Como o fator humano interfere na segurança da informação em empresas

Em tempos de sistemas de informação digitais e de ferramentas online de armazenamento de dados, a preocupação com a proteção e com a manutenção da confidencialidade dessas informações são essenciais para pessoas físicas e empresas. Programas, aplicativos e sistemas de proteção oferecem um bom respaldo para esse tipo de problema. Mas o que nem todo mundo considera quando avalia os reais riscos de invasão e vazamento de dados é a importância que o fator humano possui nessa situação.

O uso inadequado de ferramentas, o desconhecimento de regras de segurança e a utilização despercebida de itens maliciosos são alguns dos erros mais comuns quando se pensa na influência humana em sistemas de proteção informacional. No entanto, ter uma consciência direcionada para esse aspecto, assim como obter um treinamento claro e objetivo sobre as maneiras de assegurar-se em ambiente digital é essencial para ambientes domésticos ou empresariais.

Quando se trata de ambientes corporativos, no entanto, a preocupação precisa ser ainda maior, já que abrange informações não só da instituição em si, mas de toda sua gama de clientes, funcionários, fornecedores e outros. Da mesma forma, uma quantidade muito maior de pessoas precisa ter acesso aos dados privativos, de forma que os pontos vulneráveis tornam-se muito mais frequentes e difíceis de identificar.

"Cada empresa utiliza soluções de armazenamento, sistemas operacionais, firewalls e máquinas diferentes. Por isso, não é possível criar uma fórmula geral para que tudo isso fique protegido sempre, já que existem métricas, condições e soluções diferentes para cada situação", explica Dario Caraponale, sócio da Strong Security Brasil (www.strongsecurity.com.br), empresa pioneira em produtos e serviços na área de segurança da informação. "Entender cada ambiente levando em consideração o fator humano e somente depois disso fazer um plano de segurança é o caminho mais apropriado para seguir nessa questão", aponta.

Fazer um plano de segurança sem pensar nos usuários pode colocar em risco toda a organização. "Um simples e-mail malicioso que contenha links (fishing) pode instalar no computador do usuário um malware, pode colocar em check todo um investimento em segurança da informação", esclarece Caraponale

Pilares da segurança da informação

Para estruturar um bom plano de segurança, é preciso considerar primeiramente as três necessidades básicas de um sistema: confidencialidade, integridade e disponibilidade. Ou seja, todos os dados precisam estar restritos somente a quem precisa, sendo confidenciais; estar protegidos de ameaças externas, mantendo-se não corrompidos; e disponíveis sempre que a empresa precise acessá-los.

Para driblar a problemática do fator humano, vale considerar a proteção a cada uma dessas etapas. A questão da confidencialidade pode ser tratada, por exemplo, a partir da análise da função de cada colaborador para estabelecer os dados ao que cada um deles realmente precisa ter acesso. Essa restrição evita que o manuseio desnecessário de informações permita brechas de acesso externo e também que cada máquina da empresa precise estar programada para lidar com ameaças daqueles tipos de arquivos. Dados financeiros, por exemplos, rodam somente em programas específicos; restringir o acesso dos dados e dos programas necessários para os funcionários que realmente os utilizarão ajuda a protegê-los e a ainda economiza esforços de instalação em cada computador.

Já a integridade refere-se exatamente à proteção de cada arquivo. Ela é a garantia de que um dado não será alterado sem devida autorização. Isso quer dizer que uma fraude pode ser impedida por meio desta proibição, uma vez que um funcionário ou pessoa externa pode alterar um dado de conta corrente caso trabalhe em um banco.

A disponibilidade, por sua vez, é o tributo de se ter a informação disponível sempre que for necessário. Isso porque ela possui uma ambiguidade intrínseca, ligada ao fato de que precisa estar acessível aos usuários ao mesmo tempo em que não pode cair nos erros particulares de cada máquina. A solução para estes problemas é a utilização de sistemas de alta disponibilidade, backup ou redundância. O Rasonware afeta exatamente este atributo e o dado não é roubado ou modificado, somente bloqueado para uso.