O risco interno refere-se ao potencial que um funcionário, contratado ou outra parte com acesso legítimo tem para impactar negativamente as pessoas, dados ou recursos de uma empresa, aonde este impacto pode ser tanto intencional, como não intencional, variando de sabotagem e roubo de propriedade intelectual (PI) a erros humanos e negligência.
Esta pessoa pode ser funcionários atuais ou também antigos, bem como contratados, fornecedores ou parceiros, aonde estes riscos podem ser intencionais, como por exemplo uma sabotagem, o roubo, a espionagem e a fraude, já os não intencionais, pode ser: um erro humano, uma decisão ruim, cair em um phishing, iniciar um malware, uso de credenciais roubadas.
Mas independentemente destas intenção ou não, o risco interno pode afetar negativamente as finanças, a reputação, os relacionamentos comerciais, as pessoas e a missão de uma empresa, e sobre isto que queria falar e refletir um pouco mais hoje abaixo.
Tipos e Fontes de Ameaças Internas
As ameaças internas podem ser definidas pelo papel da pessoa que introduz a ameaça como:
- Funcionários atuais: que usam acesso privilegiado para roubar dados sensíveis ou valiosos para ganho financeiro pessoal.
- Ex-funcionários: que retêm acesso aos sistemas da empresa ou sabotam medidas de cibersegurança como forma de vingança ou ganho pessoal.
- Agentes externos: que ganham a confiança de um funcionário atual para obter acesso interno a sistemas e dados, muitas vezes usando engenharia social.
- Ameaças não intencionais: causadas por funcionários que, inadvertidamente, expõem a empresa a riscos significativos devido à não conformidade com políticas de segurança ou uso negligente dos sistemas da empresa.
Nunca podemos esquecer de que as pessoas são o ativo mais valioso de uma empresa, impulsionando operações e realizando tarefas que agregam valor. No entanto, elas também representam um grande risco para a segurança da empresa, tanto virtualmente quanto fisicamente.
As ameaças internas são difíceis de detectar, mesmo usando ferramentas avançadas de detecção de ameaças, pois geralmente não se revelam até o momento do ataque. Além disso, um ator malicioso pode se parecer com um usuário legítimo, dificultando a distinção entre comportamento normal e atividade suspeita nos dias, semanas e meses que antecedem um ataque.
Um aspecto fundamental da proteção contra ameaças internas é o controle de acesso, que envolve regras e políticas que decidem quem pode acessar locais, informações e sistemas restritos, assim abordagens como o controle de acesso baseado em funções e o princípio do menor privilégio são essenciais. O modelo de segurança de confiança zero também é eficaz, exigindo verificação de identidade rigorosa para cada pessoa e dispositivo que busque acesso a um recurso corporativo, mesmo se já estiverem dentro da rede.
O controle de acesso é um aspecto fundamental na proteção contra ameaças internas, pois define um conjunto de regras e políticas que determinam quem pode acessar locais, informações e sistemas restritos dentro da empresa, para limitar a exposição de dados sensíveis e reduzir o risco de atividades maliciosas ou negligentes.
Controle de Acesso Baseado em Funções
As permissões de acesso devem ser atribuídas com base nas funções específicas que os indivíduos desempenham dentro da empresa, ou seja cada pessoa tem acesso apenas às informações e sistemas necessários para executar suas responsabilidades de trabalho. Essa abordagem garante que os funcionários não tenham acesso desnecessário a dados que não estão relacionados às suas funções, minimizando assim o risco de acesso indevido ou uso indevido de informações sensíveis.
Por exemplo um profissional de recursos humanos pode precisar visualizar informações salariais dos funcionários, enquanto um programador pode necessitar alterar o código-fonte. No entanto, o profissional de RH não precisa acessar o código-fonte, e o programador não precisa visualizar as informações salariais. Essa segregação de acesso ajuda a proteger os dados e garante que cada função tenha apenas as permissões essenciais para suas tarefas.
Princípio do Menor Privilégio
O Princípio do Menor Privilégio é outro componente crítico da segurança de rede que complementa o ponto acima, pois defende que os funcionários e outros tenham acesso apenas ao que é estritamente necessário para o desempenho de suas funções, sem permissões adicionais que não sejam essenciais. Implementar este princípio reduz significativamente a superfície de ataque, limitando as oportunidades de que um usuário interno possa causar danos, intencionalmente ou não.
Por exemplo em uma empresa um analista financeiro pode precisar acessar relatórios financeiros, mas não precisa de acesso aos registros médicos dos funcionários. Da mesma forma, um desenvolvedor de software pode precisar modificar o código, mas não precisa visualizar contratos legais. A aplicação rigorosa do menor privilégio ajuda a evitar que informações sensíveis sejam acessadas ou alteradas por pessoas sem a devida autorização.
Segurança de Confiança Zero
O modelo de Segurança de Confiança Zero, mais conhecido pelo mercado como: "Zero Trust", se baseia na premissa de que não se deve confiar implicitamente em nada dentro ou fora dos perímetros da rede. Cada tentativa de acesso, seja de um usuário ou dispositivo, deve ser verificada antes de conceder acesso aos recursos corporativos. Este modelo é particularmente eficaz na mitigação de ameaças internas, pois limita o acesso de usuários e dispositivos de maneira rigorosa e baseada na identidade.
A confiança zero envolve a verificação contínua de identidades, autenticação multifator, e a aplicação de políticas de segurança adaptativas baseadas no contexto, como localização do usuário e comportamento anômalo.
Por exemplo, se um funcionário normalmente acessa o sistema de uma localização geográfica específica e de repente tenta acessar de outro país, isso pode ser um indicativo de comportamento suspeito e pode acionar verificações adicionais ou bloqueios de acesso.
- Comparação de Impacto: Controle de Acesso Efetivo vs. Ineficaz:
A eficácia do controle de acesso pode ser ilustrada pela analogia entre perder um único cartão de crédito e perder uma carteira inteira. No primeiro caso, o impacto é limitado ao cartão perdido, e as medidas de mitigação são relativamente simples. No segundo caso, a perda é muito mais significativa, pois envolve múltiplos cartões, documentos de identidade e possivelmente dinheiro, aumentando consideravelmente o esforço e o custo para recuperação.
Da mesma forma, um controle de acesso eficaz que limita estritamente as permissões pode conter rapidamente um incidente de segurança, minimizando o impacto e os danos. Por outro lado, controles de acesso ineficazes que concedem permissões excessivas ou inadequadas podem resultar em consequências graves, incluindo a exposição de grandes volumes de dados sensíveis e disrupções operacionais significativas.
Implementação de Controles de Acesso
A implementação de controles de acesso robustos envolve várias etapas abaixo:
Definição de Políticas de Acesso: Estabelecer políticas claras que definam quem tem acesso a quais recursos e em que circunstâncias.
Classificação de Dados: Identificar e classificar dados sensíveis para garantir que os controles de acesso apropriados sejam aplicados.
Autenticação e Autorização: Utilizar métodos fortes de autenticação (como MFA) e autorização para verificar identidades e permissões.
Monitoramento e Auditoria: Monitorar continuamente o acesso aos recursos e realizar auditorias regulares para detectar e corrigir quaisquer anomalias.
Treinamento e Conscientização: Treinar funcionários sobre a importância do controle de acesso e como eles podem contribuir para a segurança da informação.
Sinais de Alerta de Ameaça Interna:
Alguns sinais comuns que podem indicar a presença de atividade interna inadequada são:
Comportamento de funcionário descontente, como exibição de raiva ou atitude negativa.
Tentativas de contornar controles de acesso.
Desativação ou negligência de controles de segurança, como criptografia.
Trabalhar frequentemente fora do horário normal.
Violação de outras políticas corporativas.
Acessar ou baixar grandes quantidades de dados.
Acessar dados ou aplicações não relacionados às responsabilidades do indivíduo.
Conectar dispositivos pessoais aos sistemas da empresa ou tentar transmitir dados para fora da empresa.
Buscar e escanear vulnerabilidades de segurança.
Crescimento das Ameaças Internas:
Queria também dizer de que estas ameaças internas estão se tornando um problema crescente, e estava olhando outro dia um estudo do Ponemon Institute chamado de: "Cost of Insider Threats: Global Report”, que exatamente dados sobre a frequência, causas e impactos financeiros das ameaças internas nas empresas, e queria trazer e compartilhar alguns destes números que me chamaram mais atenção:
60% das empresas relataram mais de 30 incidentes relacionados a funcionários por ano. Isso mostra que uma parcela significativa das empresas está lidando regularmente com múltiplas ocorrências de ameaças internas, indicando uma necessidade urgente de reforçar as medidas de segurança e monitoramento.
O estudo também destacou um aumento significativo no número de incidentes, em apenas dois anos, o número de incidentes aumentou em 47%, mostrando bem esta tendência crescente de ameaças internas e a necessidade de estratégias de mitigação mais eficazes.
Causas dos Incidentes Internos:
Este estudo também traz números interessantes sobre as causas de todos estes incidentes:
62% dos incidentes foram atribuídos à negligência. Esta categoria inclui ações como falhas em seguir procedimentos de segurança, uso inadequado de dados sensíveis, e má gestão de credenciais de acesso. A negligência geralmente não é maliciosa, mas pode ter consequências devastadoras se não for abordada adequadamente.
23% dos incidentes foram atribuídos a funcionários criminosos. Estes são funcionários ou associados que agem intencionalmente para causar dano ou roubar informações por motivos pessoais ou financeiros. A detecção e prevenção deste tipo de ameaça é particularmente desafiadora devido ao acesso legítimo que esses insiders possuem.
14% dos incidentes foram causados por roubo de credenciais de usuário. Isso ocorre quando as credenciais de acesso de um usuário são comprometidas e usadas por terceiros para obter acesso não autorizado aos sistemas da empresa. Esta forma de ameaça é frequentemente facilitada por práticas de segurança fracas, como senhas fracas ou falta de autenticação multifator.
Diante destas ameaças internas crescentes, isto que requer atenção contínua e medidas proativas, e segue abaixo algumas que deve considerar:
Fortalecer as Políticas de Segurança e Treinamento: Implementar políticas de segurança rigorosas e fornecer treinamento contínuo aos funcionários sobre as melhores práticas de segurança e a importância de seguir os procedimentos corretos.
Implementar Tecnologias de Detecção e Prevenção: Utilizar soluções avançadas de monitoramento e análise para detectar comportamentos anômalos e prevenir acessos não autorizados. Ferramentas de detecção de anomalias e sistemas de prevenção de perda de dados (DLP) podem ser especialmente úteis.
Adotar o Princípio do Menor Privilégio: Garantir que os funcionários tenham apenas as permissões necessárias para realizar suas funções. Isso ajuda a limitar a exposição de dados sensíveis e reduzir o risco de abuso de privilégios.
Realizar Auditorias Regulares de Segurança: Conduzir auditorias periódicas para identificar e corrigir vulnerabilidades nos sistemas de segurança. Auditorias regulares ajudam a garantir que as políticas de segurança estão sendo seguidas e que quaisquer brechas estão sendo tratadas prontamente.
Promover uma Cultura de Segurança: Fomentar uma cultura organizacional que valorize a segurança da informação e encoraje os funcionários a relatar comportamentos suspeitos sem medo de retaliação.
Exemplos Reais de Ameaças Internas:
Funcionário da empresa configura incorretamente o controle de acesso, um site ou a nuvem.
Funcionários enganados por phishing.
Administrador de sistemas demitido sabota empregador.
Funcionário rouba detalhes de cartões de pagamento dos clientes.
Funcionário rouba segredos comerciais.
Funcionários da área de pesquisa roubam propriedade intelectual.
Funcionários expõem credenciais de login em redes sociais.
Ex-funcionário rouba dados confidenciais.
Campanha de spearphishing compromete contas do Twitter.
Consequências da Má Gestão de Riscos Internos:
Por fim, sempre bom lembrar das potenciais perdas de uma má gestão de riscos internos como:
Perdas financeiras: Custos de resposta a incidentes, compensações e multas por não conformidade.
Perda de propriedade intelectual: Roubo ou dano de segredos comerciais e métodos únicos.
Perdas reputacionais: Perda de confiança de clientes e parceiros.
Disrupção operacional: Recursos gastos na eliminação de perturbações e reparo de sistemas.
