Colocar a segurança centrada no ser humano é base das soluções oferecidas pela Proofpoint, tendo como foco principalmente as ameaças que acontecem através de phishings enviados por e-mail, que resultam em ataques de ransomware.
Em vez de focar em tentar proteger aplicativos, dados e infraestrutura, as empresas precisam priorizar estrategicamente das ameaças que trazem mais riscos, geralmente o ocasionadas por falhas humanos, muitas vezes não intencionalmente, explica Brian Reed, evangelista de segurança cibernética na Proofpoint.
"Uma parte do gerenciamento de risco humano que analisamos muito de perto são os riscos internos e as ameaças interna, pois também existem pessoas que são realmente maliciosas, que estão tentando fazer coisas ruins", diz Reed. "As organizações contratam e demitem pessoas o tempo todo, trazem novos fornecedores, contratam terceiros. Essas relações comerciais em algum momento podem ser uma área de risco, onde a ferramenta da Proofpont se concentra em evitar problemas".
Para exemplificar a Proopoint lançou seu primeiro relatório Data Loss Landscape, que explora como as abordagens atuais de prevenção contra perda de dados (DLP) e as ameaças internas estão resistindo aos desafios macro atuais, como proliferação de dados, agentes de ameaças sofisticados e inteligência artificial generativa (GenAI). As descobertas revelam que a perda de dados é um problema decorrente da interação entre pessoas e máquinas — "usuários descuidados" têm muito mais probabilidade de causar esses incidentes do que sistemas comprometidos ou mal configurados.
Embora as organizações estejam investindo em soluções DLP, o relatório da Proofpoint mostra que esses investimentos são muitas vezes inadequados, com 85% das organizações pesquisadas no Brasil enfrentando perda de dados no ano passado. Mais de nove em cada 10 pessoas afetadas enfrentaram um resultado negativo, como interrupção dos negócios e perda de receita (relatada por mais de 50% das organizações afetadas) ou danos à reputação (40%). ?No entanto, surpreendentemente, os dados da plataforma de proteção de informações da Proofpoint revelam que apenas 1% dos usuários em todo o mundo são responsável por 88% dos alertas.?
As organizações precisam repensar suas estratégias de DLP para abordar a causa subjacente da perda de dados – as ações das pessoas – para que possam detectar, investigar e responder a ameaças em todos os canais que seus funcionários usam, incluindo nuvem, endpoint, e-mail e web.
O relatório Data Loss Landscape 2024? examinou respostas de 600 profissionais de segurança terceirizados de organizações com, no mínimo, 1 mil funcionários em 17 setores? e 12 países, incluindo o Brasil?. Esses insights foram complementados com dados da plataforma de proteção de informações da Proofpoint e da Tessian, que a Proofpoint adquiriu em 2023, para transmitir a escala da perda de dados e das ameaças internas que as organizações enfrentam.
As principais descobertas incluem:
- A perda de dados é um problema generalizado, mas evitável: quase nove em cada dez (87%) das organizações no Brasil sofreram perda de dados no ano passado (uma média de 12 incidentes por organização), e 63% dos profissionais de segurança brasileiros disseram que a principal causa foram usuários descuidados. O descuido inclui o direcionamento incorreto de e-mails, a visita a sites de phishing, a instalação de software não autorizado e o envio de dados confidenciais por e-mail para uma conta pessoal. Todos esses são comportamentos evitáveis que poderiam ser mitigados com práticas como a implementação de regras de política DLP para e-mail, uploads na web, sincronização de arquivos na nuvem e outros métodos comuns de exfiltração de dados.
- O e-mail mal direcionado é uma das fontes mais simples e significativas de perda de dados: de acordo com dados de 2023 da Tessian, cerca de um terço dos funcionários enviou um ou dois e-mails para o destinatário errado. Isso significa que uma empresa de 5 mil funcionários pode esperar lidar com cerca de 3.400 e-mails mal direcionados por ano. Um e-mail mal direcionado contendo dados de funcionários, clientes ou pacientes pode potencialmente desencadear uma multa significativa, de acordo com o LGPD e outras estruturas legais.
- A IA generativa é a área de preocupação que mais cresce: ferramentas como ChatGPT, Grammarly, Bing Chat e Google Gemini estão aumentando em poder e utilidade, e mais usuários estão inserindo dados confidenciais nessas aplicações. "Navegar em sites de geração de IA" se tornou uma das cinco principais regras de alerta de DLP e ameaças internas configuradas por organizações que usam a plataforma de proteção de informações da Proofpoint.
- As consequências de ações maliciosas podem custar caro: 18% dos entrevistados brasileiros disseram que pessoas mal-intencionadas, como funcionários ou prestadores de serviços, estavam por trás dos incidentes de perda de dados. Ações maliciosas e desligamento de funcionários que buscam prejudicar a organização podem ter implicações ainda maiores do que pessoas internas, porque esses indivíduos são motivados por ganhos pessoais.?
- Os funcionários que estão saindo da empresa foram identificados como a terceira categoria de usuários de maior risco no Brasil: quem está saindo nem sempre pensa que está agindo de forma maliciosa – alguns simplesmente se sentem no direito de sair com as informações que produziram. Os dados da Proofpoint mostram que 87% do vazamento anormal de arquivos entre locatários da nuvem durante um período de nove meses foi causado por funcionários que saíram, ressaltando a necessidade de estratégias preventivas, como a implementação de um processo de revisão de segurança para essa categoria de usuários.
- Os usuários privilegiados são os que apresentam mais riscos: 64% dos profissionais brasileiros de segurança identificaram os funcionários com acesso a dados confidenciais, como profissionais de RH e finanças, como representando o maior risco de perda de dados. Além disso, os dados da Proofpoint mostram que 1% dos usuários globais é responsável por 88% dos eventos de perda de dados. Estas descobertas indicam que as organizações devem priorizar as melhores práticas, como o uso da classificação de dados para identificar e proteger dados críticos para os negócios e as "joias da coroa", além de monitorar pessoas com acesso a dados confidenciais ou privilégios de administrador.
- Os programas de prevenção contra perda de dados das organizações estão amadurecendo: embora muitos programas tenham sido inicialmente implementados em resposta a regulamentações legais, 67% dos participantes da pesquisa no Brasil citaram a proteção da privacidade de clientes e funcionários como o principal motivador. O setor financeiro é uma exceção – a regulamentação foi a resposta mais comum para estas organizações, seguida pelos setores da saúde e governamental.
Para Reed, estratégias como a implementação de plataformas DLP criadas especificamente para esse fim podem ajudar a avançar os programas de segurança, permitindo que as equipes de segurança obtenham visibilidade total do usuário e dos dados em todos os incidentes e abordem todo o espectro de cenários de perda de dados centrados no ser humano, uma variável crítica de segurança de dados – e os programas de prevenção contra perda de dados devem reconhecer isso.
