As opiniões expressas pelos colaboradores do Entrepreneur são próprias.
Se sua empresa fosse atingida por um ransomware hoje, para quem você ligaria? Ou talvez uma pergunta melhor: como você os chamaria? Parece absurdo, mas como especialista em segurança cibernética, já vi organizações paralisadas nas primeiras horas após um incidente simplesmente porque ninguém sabe mais o número do celular de ninguém. Sem acesso a e-mail ou sistemas de mensagens, a comunicação é interrompida e os funcionários, clientes e fornecedores ficam se perguntando o que está acontecendo. O pânico rapidamente se transforma em uma crise.
Há uma tendência de pensar na segurança cibernética como sendo responsabilidade do departamento de TI ou segurança. Mas proteger sua empresa se resume a duas coisas: cultura organizacional e planejamento. É por isso que algumas das pessoas mais importantes em defesa cibernética não estão na equipe de TI — estão nos recursos humanos.
A equipe de RH está em uma posição única para incorporar a preparação para segurança cibernética no trabalho diário de uma organização. Ele é responsável por criar as políticas e processos para mitigar riscos e garantir que a empresa tenha as competências para ser resiliente a desafios previsíveis, incluindo ataques cibernéticos. E como guardiões das informações pessoais confidenciais dos funcionários, as próprias equipes de RH são os principais alvos dos hackers.
Infelizmente, esse papel vital é frequentemente negligenciado. Então, aqui estão cinco maneiras pelas quais o RH pode ajudar a tornar sua empresa um alvo difícil para os cibercriminosos.
Relacionado: 78% dos empregadores estão usando ferramentas de trabalho remoto para espioná-lo. Aqui está uma abordagem mais eficaz (e ética) para rastrear a produtividade dos funcionários.
Construir uma cultura de segurança cibernética
Vigilância eterna é o preço de nossa liberdade de navegar na Internet. O número de ameaças é alucinante – um relatório recente descobriu que uma instituição educacional média enfrenta mais de 2.300 tentativas de violação de seus sistemas em uma semana, enquanto as organizações de saúde se defendem de mais de 1.600 ataques. Com tantas granadas digitais sendo lançadas, é incrivelmente difícil pegá-las todas. No entanto, uma forte cultura de segurança cibernética ajuda uma organização a se defender contra ataques e limita o raio de explosão quando alguém consegue passar. A parte difícil: todos precisam estar na mesma página quando se trata de comportamentos online.
O primeiro passo é garantir que você tenha as ferramentas de treinamento para que os funcionários saibam o que devem e não devem estar fazendo. A maioria das organizações é razoavelmente boa nisso. Visto que muitos ficam aquém de não colocar essas informações em prática todos os dias. A melhor maneira de garantir que todos considerem a segurança cibernética uma parte fundamental de suas responsabilidades é incorporá-la nas avaliações de desempenho. Isso não deve assumir a forma de chamar os trabalhadores para cada link duvidoso em que clicam. Em vez disso, deve ser uma conversa construtiva sobre como eles estão acompanhando seu treinamento de alfabetização cibernética. Existem ferramentas de verificação de integridade cibernética que os funcionários podem usar para analisar seu comportamento on-line e abordar pontos fracos (como reutilizar Pa$$w0rd em metade da Internet ou não usar autenticação de dois fatores) e, muitas vezes, podem ser usadas para rastrear o progresso em direção às metas de segurança cibernética a nível organizacional.
Quando as precauções de segurança são discutidas regularmente, elas se tornam parte de como você faz negócios.
Proteja suas joias da coroa
O RH tem a custódia de algumas das informações mais confidenciais de uma organização — e os hackers sabem disso. Nos últimos cinco anos, muitas empresas adotaram plataformas que permitem que os funcionários atendam a tarefas rotineiras como solicitações de férias. No entanto, plataformas de terceiros apresentam riscos. Os hackers os atacam nos chamados ataques à cadeia de suprimentos, sabendo que, se tiverem sorte, podem acessar um tesouro de informações de várias empresas. Em 2021, mais de 300 organizações foram invadidas em um hack de um sistema de transferência de arquivos amplamente utilizado. Um deles foi a Universidade da Califórnia, que disse que as informações expostas incluíam números de previdência social, carteiras de motorista e detalhes do passaporte dos funcionários (o sistema UC oferecia serviços gratuitos de monitoramento de identidade a seus funcionários).
A primeira tarefa dos profissionais de RH é garantir que os dados dos funcionários permaneçam confidenciais. Realize uma extensa diligência antes de sua organização se inscrever em qualquer serviço terceirizado de RH. Considere apenas empresas que cumprem as normas internacionais (SOC 2 e ISO 27001 são as principais a serem observadas) e verifique online os relatos de incidentes de segurança ocorridos no local nos últimos anos. Além disso, verifique onde seus dados estão sendo armazenados e como está sendo feito o backup. Dependendo da sua localização e setor, você pode ter que cumprir as leis de residência de dados.
Pare de acumular dados
A atualização da política de retenção de dados deve estar na lista de tarefas de todos os departamentos de RH. Digo atualização porque toda empresa tem uma política de retenção de dados, sabendo ou não. Se o seu não estiver escrito, sua política é simplesmente manter tudo para sempre. E isso expõe você a riscos consideráveis. Quanto mais dados você tiver, pior pode ser a violação — é especialmente ruim se você estiver acumulando dados de que não precisa mais. Muitas jurisdições têm limites sobre quanto tempo as empresas devem reter informações confidenciais – geralmente é cerca de sete anos para registros de ex-funcionários.
Descubra quem dará as ordens quando ocorrer uma violação
A segurança cibernética pode ser responsabilidade diária de todos, mas quando um ataque ocorrer, deve haver uma pessoa encarregada da resposta. No jargão da segurança cibernética, chamamos isso de comandante do incidente. Embora todos possam ter uma opinião sobre o melhor curso de ação, o poder de decisão cabe a eles.
A especificação do cargo de comandante de incidente tem apenas uma linha: É quem melhor entende de questões de segurança cibernética em sua organização. Dependendo do tamanho da sua empresa, pode ser um líder de segurança cibernética, o chefe de TI ou pode ser Joanne, da contabilidade, que fez alguns cursos sobre esse assunto. Seja quem for, certifique-se de identificá-lo antes que um incidente aconteça e comunique isso claramente à sua equipe. Depois que um incidente de segurança cibernética acontece, os eventos acontecem rapidamente – em um caso em que participei, os hackers deram um aviso de 45 minutos antes de começar a postar informações confidenciais – então você não quer perder tempo tentando descobrir quem está no comando.
Execute alguns exercícios
O planejamento é apenas metade da equação. A prática é o outro. Muitas pesquisas mostraram que as pessoas não pensam com clareza em situações estressantes. Realizamos exercícios para incêndios e terremotos para nos dar uma estrutura para recorrer em caso de emergência. A mesma ideia funciona para incidentes de segurança cibernética. Reserve duas horas uma vez por ano para realizar um exercício de mesa com funcionários-chave que simule o que você fará se a empresa for hackeada. Nesses exercícios, alguém assume o papel de moderador para explicar a natureza do ataque e o que foi afetado, enquanto todos os outros representam como reagiriam.
A primeira vez que você realizar o exercício, provavelmente será uma bagunça – mas esse é o ponto. A luta para descobrir as coisas revelará as lacunas em seus planos. Com o tempo, os exercícios se tornarão uma segunda natureza.
Relacionado: Então, você foi hackeado. Estas são as melhores práticas para líderes de negócios pós-hack
E anote as informações de contato — no papel
Coloque os números de telefone da equipe de incidentes no papel e atualize a lista regularmente. Sim, é da velha escola. Sim, é irritante. E sim, um dia você vai agradecer por ter feito isso.
Confira o link original do post
Todas as imagens são de autoria e responsabilidade do link acima. Acesse para mais detalhes
Esse post foi traduzido automaticamente e pode conter erros.
