Proteja-se de Ameaças Internas

Devido ao bombardeio de vírus nos últimos meses, é compreensível que várias empresas de pequeno porte tenham como prioridade a preocupação em proteger seus dados de ataques externos. Mas enquanto isso encoraja esforços em reforçar a segurança externa para verificar seus negócios, podem estar negligenciando um perigo oculto em sua própria casa: a ameaça interna.

De acordo com o CERT (Computer Emergency Response Team) da Carnegie Mellon University, uma “intrusão Interna” é qualquer infecção de uma rede, sistema ou banco de dados que é executada por alguém que tenha, ou costumava ter, acesso legítimo a essa rede, sistema ou dados. Podem ser considerados internos os funcionários e ex-funcionários, temporários, parceiros de negócios, consultores e prestadores de serviços.

Qual a proporção do problema? A “2003 Computer Crime and Security Survey” (Pesquisa de segurança e crime de computadores 2003) junto com o Computer Security Institute (Instituto de Segurança de Computadores) e o FBI descobriram que 62% dos entrevistados informaram um incidente de segurança envolvendo pessoal interno, acima dos 57% em 2002. Entretanto, os executivos de TI presentes na última reunião de cúpula da segurança de TI da Gartner citaram que as ameaças internas de funcionários e parceiros comerciais são as suas principais preocupações.

Uma variedade de ameaças
Ameaças originadas dentro da empresa podem representar um alto custo, pois o intruso possui acesso e informações sobre a localização dos dados vulneráveis e importantes.

As ameaças internas podem incluir uso indevido e abuso de ativos importantes, dados vulneráveis e computação. Se for um ato deliberado de sabotagem iniciado por um funcionário descontente, ou um engano inocente causado por um funcionário bem-intencionado que tem um nível impróprio de acesso a um sistema crítico, o impacto causado por transgressão, roubo, dano ou exclusão de dados pode ser considerável.
Ameaças internas podem incluir também o uso inadequado do acesso à Internet pelos funcionários, além de questões que podem resultar no envio de materiais ofensivos via Internet pelos funcionários.

Um estudo realizado recentemente pela Novell, Universidade de Stanford e Universidade de Hong Kong oferece os seguintes exemplos de ameaças internas:

• Uma funcionária de um banco de investimentos, agora trabalhando para um concorrente, foi capaz de acessar seu voice mail meses após sair do banco, tendo acesso a todas as informações internas do banco.
• Um funcionário em uma empresa de software pôde criar uma conta de acesso simplesmente telefonando para uma secretária eletrônica, o que permitiu a ele editar e fazer o download do banco de dados da mala direta de uma empresa.
• De acordo com os entrevistados da pesquisa, é comum o compartilhamento de senhas entre usuários, até mesmo dos sistemas mais críticos, como aplicações de Planejamento de Recursos Empresariais (Enterprise Resource Planning – ERP).

Começando do início
Você pode realmente se proteger de ameaças dentro do firewall? Não completamente. Mas você pode adotar padrões que diminuam as razões para as ameaças de funcionários. E controles apropriados podem ser disponibilizados de forma que, se ocorrer um incidente, você possa agir o mais rápido possível.

1. Crie uma política de segurança eficiente. Embora isso possa parecer uma atividade mais apropriada para empresas maiores, as empresas de pequeno porte devem considerar seriamente a criação de uma política de segurança. Use-a para descrever os ativos de informações da empresa e todos os direitos de acesso a essas informações. Certifique-se de que todos os usurários estejam informados da política. Treine-os sobre os riscos envolvidos ao permitir que outros tenham acesso às suas contas e senhas. Alerte-os sobre os perigos da rede, através da qual os intrusos buscam ganhar acesso não autorizado às informações de usuários desatentos para roubá-los. (Um e-mail que parece vir de um amigo, acompanhado por um anexo executável que contém um vírus).

2. Certifique-se de que os funcionários somente acessem os dados e sistemas que eles necessitam. Isto pode parecer óbvio, mas não é raro funcionários acessarem de 10 a 20 vezes mais recursos dos que eles realmente precisam para fazer seu trabalho.

Caso ache necessário, você pode restringir o acesso implementando um software especializado em controle de acesso. Ele pode ser utilizado para limitar as atividades de um usuário associado a sistemas ou arquivos específicos e guardar registros das ações individuais dos usuários no computador.

3. Se prestadores de serviços externos com "relações confiáveis" solicitam acesso à sua rede, certifique-se de que o acesso só seja designado para os serviços específicos requeridos. É comum que usuários precisem acessar informações de diferentes níveis de valor. Quando atribuir níveis de acesso, assegure-se de que aquele nível de proteção não exponha recursos mais importantes.

Uma tática que algumas empresas usam é fornecer aos funcionários fixos e temporários contas de rede que tenham "datas de encerramento" automáticas após eles cessarem suas atividades, e que possam ser prorrogadas, se necessário.

4. Estabeleça um completo e documentado procedimento para gerenciar as rescisões dos funcionários. De um ponto de vista de segurança, o processo de permitir que as pessoas saiam pode ser caótico, tanto para aqueles diretamente afetados quanto para aqueles deixados para trás. Uma política de segurança que especifica os passos que devem ser adotados pode atenuar bastante a confusão.

Por exemplo, uma boa política deve deixar claro como neutralizar o acesso aos sistemas de informação de um funcionário afetado. O estudo da Novell, Universidades de Stanford e Hong Kong, citado acima, descobriu que quase metade das empresas avaliada leva mais de dois dias, e várias delas mais do que duas semanas, para negar o acesso de funcionários desligados à rede.

Certifique-se de que os controles estejam configurados para negar o acesso no último dia de qualquer funcionário, indiferente da razão pela qual a pessoa tenha deixado a empresa.

5. Coloque em prática. Manter-se a par das ameaças de segurança, sejam elas internas ou externas, deve ser um trabalho permanente. Assim que uma política de segurança começar a existir, você precisa de um modo para determinar se a política está sendo seguida, e se as violações de segurança devem ser avaliadas para assegurar que nenhum dos eventos ocorra novamente. Um eficiente e significativo modo para gerenciar a segurança vai além das estatísticas de invasão e mede o desempenho atual de segurança contra critérios predeterminados.

Conclusão
Nunca é fácil mencionar o assunto das ameaças internas. Em um mundo ideal, deveríamos confiar incondicionalmente em todos nossos funcionários. A realidade, entretanto, é que trabalhamos em um ambiente imperfeito, onde as ameaças podem surgir dentro de nossas próprias paredes. Enquanto as políticas e os procedimentos são essenciais para enfrentar esse problema, a vigilância e determinação são necessárias para resolvê-lo.