Os funcionários hoje têm acesso a 17 milhões de arquivos segundo o relatório Data Gets Personal: 2019 Global Data Risk Report, produzido pela Varonis Data Lab com base na análise de 54 bilhões de arquivos durante Risk Assessments feitos em 785 empresas de mais de 30 indústrias em 30 países. A informação veio acompanhada de outro dado impactante: 53% das empresas descobriram mais de 1.000 arquivos sensíveis expostos e 40% de contas de usuários ativas, porém, obsoletas.
Segundo o vice-presidente da Varonis para a América Latina, Carlos Rodrigues, considerando que basta apenas um login comprometido ou arquivo sensível vazado para virar notícia, os dados são preocupantes. "Essa pesquisa mostra que as empresas têm muito a fazer para equiparar suas práticas de segurança e armazenamento de dados, e que os negócios são muito suscetíveis a uma violação de dados, e estão, inclusive, infringindo uma série de regras que, com a chegada da LGPD, vão precisar de atenção", explica.
Os grupos de acesso global dão às ameaças internas e aos hackers fácil acesso aos arquivos, colocando as empresas em risco, inclusive. Basta um clique acidental, um e-mail de phishing ou qualquer outra técnica de invasão para criar uma reação em cadeia que criptografe e destrua todos os arquivos acessíveis. De acordo com o estudo, 17% de todos os arquivos sensíveis estão acessíveis a todos os funcionários, e 15% das organizações descobriram mais de 1 milhão de arquivos abertos a todos os funcionários.
Alguns dos arquivos analisados durante os Risk Assessments, inclusive, precisavam atender regulamentações como o General Data Protection Regulation (GDPR) e o Payment Card Industry Data Security Standard (PCI DSS). "Todos esses dados expostos podem custar às empresas dinheiro, reputação e confiança. Os dados sensíveis obsoletos, que guardam informações importantes sobre clientes, projetos, funcionários e outros conteúdos críticos para o negócio, são ainda mais preocupantes", afirma.
O armazenamento de informações além do período necessário de retenção é uma prática que, além de expor a empresa a uma série de riscos, deve ser combatida com a implementação da LGPD, que deixa claro que as empresas só podem usar dados do usuário enquanto forem necessários e, caso não atendam a esse requisito, não podem mantê-los. Além disso, esses dados, mesmo que não tenham mais valor para as operações, podem ter custos enormes se envolvidos em uma violação de dados e, mesmo com a GDPR já em vigor na Europa, as organizações continuam acumulando dados confidenciais desnecessários, já que a maioria das empresas têm dados sensíveis obsoletos.
Usuários e senhas desprotegidos
Outra boa prática que vem sendo deixada de lado pela maioria das empresas é a expiração das senhas. De acordo com o estudo, 61% das empresas têm mais de 500 usuários com senhas que nunca expiram. Além disso, a pesquisa observou que, em média, metade das contas de usuários das empresas estão obsoletas. "Contas de usuários com senhas que não expiram e não mudam oferecem aos cibercriminosos uma grande oportunidade. Uma vez violadas, essas contas fornecem acesso indefinido aos dados e, quando os hackers encontram contas administrativas com senhas que não expiram, podem causar grandes estragos", pontua.
Além disso, segundo o executivo da Varonis, contas de usuários e serviços inativas e ativas (os famosos "usuários fantasmas") são alvos perfeitos para os hackers, pois permitem que eles explorem toda a estrutura da organização. Isso dificulta sua detecção por sistemas de segurança, uma vez que se trata de uma conta com autorização da empresa. Sem monitoramento, os cibercriminosos podem passar despercebidos enquanto roubam dados e causam interrupções no negócio.
"Hoje a maioria dos líderes de segurança considera que é apenas uma questão de tempo até que o perímetro de segurança seja violado, e isso ressalta a importância da proteção de dados. Esse nível de exposição e excesso no permissionamento com o qual a maioria das organizações precisa lidar deve alertar os conselhos corporativos e acionistas", finaliza.
