Eventualmente, todas essas regras e pol\u00edticas prejudicam a agilidade do neg\u00f3cio, porque impedem a capacidade das pessoas de experimentar<\/strong>. \u00c0s vezes voc\u00ea entra em uma grande organiza\u00e7\u00e3o e sente sua alma vazar. Todos t\u00eam o mesmo laptop. Eles podem visitar apenas 600 sites. N\u00e3o podem receber informa\u00e7\u00f5es de outras fontes. Torna mais dif\u00edcil colaborar e criar.”<\/p>\n\n\n\nOutra abordagem que vem sendo adotada \u00e9 anotar tudo o que acontece no neg\u00f3cio, cada a\u00e7\u00e3o tomada regularmente, depois analisar os dados, detectar qualquer atividade incomum e intervir antes que se torne perigosa. Mas em um grande neg\u00f3cio, pode haver dez milh\u00f5es de coisas acontecendo todos os dias. Este \u00e9 o tipo de problema que o Machine Learning \u00e9 bom em resolver. Ele pode detectar padr\u00f5es e detectar anomalias, em escala e velocidade. O neg\u00f3cio diz ao sistema: ‘Quero que voc\u00ea v\u00e1 e aprenda o que \u00e9 normal, e depois me diga o que \u00e9 interessante.'”<\/p>\n\n\n\n
Provavelmente nunca ocorreu ao cassino que havia um computador embaixo do aqu\u00e1rio, e muito menos que algu\u00e9m deveria estar monitorando-o. No papel parecia com todos os outros dispositivos conectados a sua infraestrutura.<\/p>\n\n\n\n
Depois do vazamento de dados de Edward Snowden da NSA e da transfer\u00eancia de intelig\u00eancia militar de Chelsea Manning para WikiLeaks, governos e empresas acordaram para os perigos da Insider Sabotage. O presidente Obama estabeleceu a For\u00e7a-tarefa Nacional de Amea\u00e7a Interna e ordenou que todas as ag\u00eancias governamentais tomassem medidas para se protegerem de funcion\u00e1rios desviantes. A possibilidade de que algu\u00e9m dentro do governo pudesse buscar prejudicar suas opera\u00e7\u00f5es n\u00e3o \u00e9 nova: Robert Hanssen, um agente do FBI, vazou milhares de p\u00e1ginas de material classificado para os servi\u00e7os de intelig\u00eancia sovi\u00e9ticos e russos de 1979 a 2001. Mas conforme computadores conectados \u00e0 internet se tornaram centrais para a maioria das organiza\u00e7\u00f5es, a popula\u00e7\u00e3o de poss\u00edveis delinquentes se expandiu enormemente. De acordo com um relat\u00f3rio do Cybersecurity Insiders, dois ter\u00e7os das empresas dos EUA agora consideram amea\u00e7as internas mais prov\u00e1veis do que ataques externos. At\u00e9 mesmo insiders de m\u00e9dio escal\u00e3o podem acessar vastas quantidades de dados sens\u00edveis e lev\u00e1-los para fora do edif\u00edcio num piscar de olhos. Suas motiva\u00e7\u00f5es? Dinheiro, ideologia, vingan\u00e7a mesquinha, e o puro deleite de quebrar regras.<\/p>\n\n\n\n
Sasse co-escreveu um artigo, “The user is not the enemy” (O usu\u00e1rio n\u00e3o \u00e9 o inimigo), baseado em suas descobertas, que agora \u00e9 considerado seminal pelos acad\u00eamicos de ciberseguran\u00e7a. No mundo dos neg\u00f3cios, ainda h\u00e1 uma cortina de ferro entre o departamento de TI e o resto da empresa. Ou seja, os t\u00e9cnicos e pessoas de neg\u00f3cios n\u00e3o falam sobre como podem trabalhar juntos para serem resilientes. As pessoas de SI fazem parte de um conluio de especialistas que estabelecem regras e depois tentam for\u00e7\u00e1-las para as organiza\u00e7\u00f5es e indiv\u00edduos. Mas voc\u00ea n\u00e3o pode apenas adotar os mandamentos da montanha, precisa entender as prioridades das pessoas em sua empresa, e n\u00e3o pode fazer isso se n\u00e3o ouvir. Se tudo o que voc\u00ea faz \u00e9 emitir san\u00e7\u00f5es, ningu\u00e9m o ouvir\u00e1.<\/p>\n\n\n\n
Debi Ashenden, professora de ciberseguran\u00e7a na Universidade de Portsmouth, concorda. E dia que tudo come\u00e7a com como voc\u00ea entende o risco. Tradicionalmente, a ciberseguran\u00e7a usou modelos de risco da matem\u00e1tica e das ci\u00eancias duras. Mas qualquer vez que voc\u00ea tem seres humanos interagindo com tecnologia, o risco \u00e9 nebuloso. \u00c9 sobre contexto social, ela argumenta: como essa pessoa est\u00e1 se sentindo; qual \u00e9 seu apetite pelo risco. Esta informa\u00e7\u00e3o n\u00e3o pode ser avaliada por um question\u00e1rio. Tipicamente, as pessoas apenas fornecem a informa\u00e7\u00e3o m\u00ednima necess\u00e1ria, ou falsificam suas respostas, apenas para poderem prosseguir com seu trabalho. A \u00fanica maneira de chegar \u00e0 verdade \u00e9 ter conversas abertas. Um profissional de seguran\u00e7a uma vez me disse que quando voc\u00ea tem um relacionamento de confian\u00e7a com a equipe, eles ‘confessam’ coisas que nunca o diriam de outra forma.<\/p>\n\n\n\n
N\u00e3o obstante, est\u00e3o sendo feitas tentativas para quantificar o risco de um funcion\u00e1rio se tornar uma amea\u00e7a. A firma de consultoria EY aconselha seus clientes a desenvolver “programas de vigil\u00e2ncia abrangentes” que “iluminem os cantos escuros de sua empresa. Outras startups<\/em> oferecem ferramentas baseadas em dados que atribuem “pontua\u00e7\u00f5es de risco” aos funcion\u00e1rios, com base em itens como conformidade de despesas, hor\u00e1rios de login<\/em> e registros de presen\u00e7a. Algu\u00e9m est\u00e1 se envolvendo em conversas por email muito menos do que antes, indicando desengajamento com a empresa? Eles est\u00e3o procurando na rede por informa\u00e7\u00f5es de uma forma que sugere inten\u00e7\u00e3o maliciosa? O princ\u00edpio, de buscar anomalias, \u00e9 semelhante ao m\u00e9todo da Darktrace, mas com foco no humano em vez da m\u00e1quina. Michael Gelles, um psic\u00f3logo forense e especialista em amea\u00e7as internas, disse \u00e0 revista Security que quando v\u00e1rias anomalias se juntam, o pr\u00f3ximo passo \u00e9 analisar mais de perto o indiv\u00edduo: “Vemos um funcion\u00e1rio baixando muitas informa\u00e7\u00f5es, e tamb\u00e9m notamos que seu desempenho \u00e9 ruim, e ele n\u00e3o est\u00e1 vindo para o trabalho com frequ\u00eancia. Essas irregularidades precisam ser apuradas.”<\/p>\n\n\n\nConclus\u00e3o<\/p>\n\n\n\n
A Necessidade de uma Abordagem Integrada: Tecnologia e Humanidade<\/h2>\n\n\n\n
O cen\u00e1rio de ciberseguran\u00e7a contempor\u00e2neo apresenta um paradoxo: enquanto as organiza\u00e7\u00f5es investem bilh\u00f5es em sofisticadas solu\u00e7\u00f5es tecnol\u00f3gicas como a Darktrace, o verdadeiro vulner\u00e1vel permanece sendo o elemento humano. A hist\u00f3ria do aqu\u00e1rio no cassino ilustra perfeitamente esta realidade. N\u00e3o foi o per\u00edmetro da rede que falhou, mas sim a falta de compreens\u00e3o sobre o que deveria ou n\u00e3o estar conectado naquele ambiente.<\/p>\n\n\n\n
Os dados s\u00e3o inequ\u00edvocos: duas em cada tr\u00eas empresas americanas agora veem as amea\u00e7as internas como mais perigosas que os ataques externos. No entanto, a maioria das organiza\u00e7\u00f5es ainda aborda a ciberseguran\u00e7a como um problema estritamente t\u00e9cnico, implementando pol\u00edticas cada vez mais restritivas que prejudicam a inova\u00e7\u00e3o e a produtividade sem necessariamente aumentar a seguran\u00e7a real.<\/p>\n\n\n\n
A mudan\u00e7a de paradigma necess\u00e1ria n\u00e3o reside simplesmente em algoritmos mais sofisticados ou sistemas de vigil\u00e2ncia mais invasivos. Reside, fundamentalmente, em reconhecer que a seguran\u00e7a da informa\u00e7\u00e3o \u00e9, antes de tudo, uma quest\u00e3o humana. Profissionais como Angela Sasse e Debi Ashenden demonstraram que compreender como as pessoas realmente pensam e se comportam \u00e9 t\u00e3o crucial quanto qualquer ferramenta tecnol\u00f3gica.<\/p>\n\n\n\n
O caminho para frente exige di\u00e1logo aut\u00eantico entre departamentos de TI e gestores de neg\u00f3cios, substituindo mandatos por compreens\u00e3o, san\u00e7\u00f5es por confian\u00e7a. Quando as organiza\u00e7\u00f5es conseguem estabelecer relacionamentos baseados em confian\u00e7a m\u00fatua e escuta genu\u00edna, os funcion\u00e1rios deixam de ser vistos como amea\u00e7as potenciais e tornam-se parceiros na constru\u00e7\u00e3o de uma postura de seguran\u00e7a resiliente.<\/p>\n\n\n\n
A verdadeira defesa contra amea\u00e7as, internas ou externas, ser\u00e1 sempre aquela que alia tecnologia inteligente com psicologia humana bem compreendida. Sem essa integra\u00e7\u00e3o, as organiza\u00e7\u00f5es continuar\u00e3o construindo muros sofisticados enquanto deixam as portas abertas.
<\/p>\n\n\n