Segurança da informação nas empresas: um guia para iniciantes

Os dados são um dos principais ativos de um negócio. Por esta razão, implementar medidas de segurança da informação nas empresas é fundamental para preservar as operações.

A empresa ESET, fabricante de softwares antivírus, apresentou um dado preocupante há algum tempo: 65% das empresas brasileiras passaram por problemas de segurança da informação em algum momento de sua existência.

A consultoria especializada PwC também chama a atenção para o problema: uma pesquisa de 2014 revelou que 24% dos respondentes haviam perdido dados em decorrência de problemas de segurança no ano anterior. Paralelamente a isso, a empresa afirma que os ataques aumentam 18% ano a ano.

A conclusão é clara: é cada vez mais importante que haja investimentos em segurança da informação nas empresas. Além de criar uma cultura de segurança, é importante que a escolha do sistema de gestão seja feita com cuidado e que sejam usadas medidas para evitar que terceiros tenham acesso aos dados.

Clique para ir direto ao assunto que te interessa:

• O que é a segurança da informação?
• Quais são os pilares da segurança da informação?
• Quais são as principais técnicas usadas para burlar a segurança da informação nas empresas?
• Por que investir em segurança da informação?
• Mas, isso também é importante em minha pequena empresa?
• Como implementar medidas de segurança da informação nas empresas?

A informatização facilitou muito a vida das empresas. Se elas antes viviam afogadas em papeis, hoje praticamente todas usam recursos digitais.

Entretanto, isso também tem seus riscos. Hackers e crackers podem explorar vulnerabilidades nos sistemas para impedir o acesso a eles, roubar os dados, corrompê-los ou vendê-los.

É aí que entra a segurança da informação. Ela é um conjunto de técnicas usadas para preservar as informações de uma empresa, garantindo que não sejam vazadas, roubadas ou corrompidas, e que o acesso a elas não seja bloqueado.

É, sem dúvida, algo complexo. É impossível chegar a um nível satisfatório de segurança apenas com ajustes técnicos: o fator humano também é muito importante, já que a maioria dos ataques acontece devido a uma falha da pessoa que opera o computador.

Os profissionais da área trabalham com o chamado tripé de segurança da informação. São três pilares que, quando cumpridos, garantem um bom nível de resguardo dos dados. Eles são:

• Princípio da integridade. Prega a completude dos dados. Em outras palavras, devem ser empregadas medidas para que eles não sejam corrompidos e estejam sempre disponíveis por inteiro.
• Princípio da disponibilidade. Prega que os dados devem estar sempre disponíveis para quem precisa deles. Assim, é preciso armazená-los em um local confiável e estável, que grave corretamente todas as alterações.
• Princípio da confidencialidade. Prega que os dados não devem ser públicos, e que devem ser empregadas medidas para garantir isso. A liberação de acesso deve ser dada apenas a quem realmente precisar daquele dado. Via de regra, quanto mais sensível ele for, menos pessoas devem ter acesso a ele.

Hackers e crackers são habilidosos e dispõem de uma série de ferramentas para burlar as medidas de segurança da informação das organizações.

Entretanto, eles não costumam inovar muito: os ataques geralmente são muito semelhantes. Isso quer dizer que a maioria deles usa as mesmas ferramentas. Algumas delas são:

• Engenharia Social. A engenharia social é um conjunto de práticas que manipula o comportamento do usuário, de modo a conquistar sua confiança e convencê-lo a executar uma ação. No caso da segurança da informação, essa ação visa criar uma vulnerabilidade a ser explorada pelo atacante.

• Phishing. A engenharia social normalmente é usada com o objetivo de praticar phishing. É um golpe no qual o atacante engana o usuário, de modo que eles lhe forneçam voluntariamente seus dados – que serão usados com fins maliciosos. Isso geralmente é feito com e-mails ou páginas da web que, embora falsos, são muito parecidos com os originais. É o caso do golpe da página de internet banking falsa, que, na verdade, não tem nada a ver com o banco.

• Exploração das vulnerabilidades do sistema e/ou rede corporativa. Muitas empresas usam soluções de TI, mas poucas se preocupam em garantir que elas sejam seguras. Nesse caso, uma pessoa mal intencionada pode aproveitar as brechas para fazer uma invasão, sequestrar informações ou, até mesmo, bloquear o acesso a elas.
• Confiança. Infelizmente, às vezes a ameaça vem de dentro. Há inúmeros casos de colaboradores que roubaram os dados da organização onde trabalhavam de modo a repassá-las ou vendê-las a terceiros. Para evitar, é importante seguir à risca o pilar da confidencialidade: uma pessoa só deve ter acesso a dados quando eles forem necessários para a execução do seu trabalho.

Além da dor de cabeça, as brechas de segurança da informação nas empresas podem causar um tremendo prejuízo financeiro. Por exemplo: já pensou se os dados da conta bancária do negócio são roubados? Nesse caso, o criminoso poderia fazer transferências e pagamentos livremente, como se fosse você.

Tampouco são raros os casos de máquinas contaminadas por um malware (software malicioso) chamado ramsonware. Ele bloqueia o acesso a determinados dados – ou ao computador como um todo – e cobra um “resgate” para que ele seja recobrado.

Contudo, o pior cenário é a venda de dados a terceiros. Planilhas de orçamentos, fluxo de caixa, clientes, fornecedores, estratégias… Tudo isso pode cair nas mãos de um concorrente. Já pensou?

Não é comum que micro e pequenos empresários deem a devida importância à segurança da informação. Para eles, os hackers estão mais preocupados em ataques maiores e mais lucrativos, como o roubo de dados de multinacionais.

Entretanto, as estatísticas mostram que não é bem assim. O relatório Verizon Data Breach Investigations Report revelou que 60% dos ataques cibernéticos bem-sucedidos tiveram pequenas e médias empresas como vítimas.

A despreocupação dos proprietários desses negócios explica essa estatística. Os hackers sabem que as MPEs não têm o costume de investir em segurança, e que roubar seus dados será fácil.

Felizmente, ao contrário da crença comum, não é preciso investir grandes somas de dinheiro para garantir um bom nível de segurança da informação, como veremos a seguir.

Há uma série de práticas recomendadas para manter um bom nível de segurança da informação nas organizações. Boa notícia: praticamente todas exigem um investimento bastante baixo. Confira:

• Uso de um sistema de gestão ERP com armazenamento em nuvem. O ideal é que suas informações não estejam gravadas no hardware de seu computador. O armazenamento em nuvem é o ideal. Além de ser o modo mais seguro de armazenar dados na atualidade, ele é remoto. Assim, em caso de invasões ou danos físicos a seu computador, a informação segue preservada.
• Restrição ao acesso de dados. É importante que cada funcionário tenha acesso apenas às informações necessárias para realizar o seu trabalho. Um sistema de gestão ERP que limite o acesso aos dados de forma personalizada para cada usuário é uma boa prática padrão para isso.
• Anti-spam para e-mail. Os servidores de e-mail são plenamente conscientes de que há muitas mensagens suspeitas, que, normalmente, são tentativas de phishing. Portanto, eles próprios oferecem filtros anti-spam, com a função de impedir que esses e-mails maliciosos cheguem à caixa de entrada. Use-os sem medo!
• Firewall corporativo. As redes corporativas costumam ter uma série de vulnerabilidades, comumente exploradas pelos hackers. O firewall é a ferramenta que te protege disso, controlando as informações que entram e saem e “blindando” a rede. Deste modo, as chances de que uma ameaça externa realize um ataque bem-sucedido são muito menores. Contudo, como ele não interfere no funcionamento de programas baixados pelo usuário, não substitui o antivírus.
• Conscientização da equipe. Por mais que seus dados estejam armazenados em máquinas ou servidores, o fator humano é de suma importância para a sua proteção: muitas vezes, é quem opera o equipamento que abre as portas para invasões e roubos de informações. Deste modo, é fundamental para que a cultura da empresa favoreça a segurança da informação: ofereça treinamentos e qualificações constantes à sua equipe.
• Bloqueio de sites. Alguns tipos de sites são conhecidos por serem a porta de entrada de vários malwares, como os de conteúdo adulto. Portanto, é desejável que você use um programa para bloquear o acesso a eles nos equipamentos corporativos. Isso pode ser feito por meio da configuração do Firewall.

Outro fator importante para se levar em conta é que o colaborador que gera a vulnerabilidade e abre a porta para o ataque nem sempre age de forma maliciosa: na maioria das vezes, ele age da maneira incorreta por puro desconhecimento.

Portanto, reforçamos a importância de que todos os seus colaboradores sejam educados a respeito de ameaças, ações suspeitas e os riscos que ambos representam. Os invasores têm uma série de ferramentas à disposição e podem escolher qualquer colaborador como vítima, do zelador ao gerente.  Uma cultura de segurança é a sua melhor arma contra as invasões!

Agora que você já sabe a importância da segurança da informação nas empresas, confira esse material, gratuito e exclusivo, para que o seu negócio seja um sucesso: