Mantendo as forças de trabalho remotas seguras Parte I

Mantendo as forças de trabalho remotas seguras Parte I
Mantendo as forças de trabalho remotas seguras Parte I

Este artigo em duas partes integra uma série de publicações que fizemos para ajudar as organizações a se ajustar às novas realidades de trabalho conforme as diretrizes relacionadas à COVID-19. Sugerimos a leitura de “Como liderar equipes remotas em tempos de incerteza”, “O coronavírus força uma nova abordagem de gerenciamento de crises”, “Como proteger os ativos da sua organização em tempos de crise” e “Trabalho remoto? O Microsoft Teams pode ajudar”.

A pandemia de COVID-19 tomou conta do planeta. Não é surpreendente que o mundo dos negócios tenha mudado, forçando organizações de todos os lugares a se adaptar em várias frentes para manter as operações durante a crise. Uma dessas frentes é a tarefa de permitir que os funcionários trabalhem exclusivamente de forma remota. Pode ser uma tarefa desafiadora para algumas organizações, especialmente se não tinham a capacidade necessária para a administração e o trabalho remoto antes desse evento. Independentemente do preparo, as empresas que estão migrando para uma força de trabalho remota enfrentam um risco maior por causa do aumento da superfície de ataque e da possível redução na eficácia dos controles existentes – o que provavelmente será aproveitado por agentes mal-intencionados. As mudanças associadas à transição para o trabalho remoto devem ser examinadas pela perspectiva do gerenciamento de riscos. Em decorrência da transformação do ambiente de negócios, é preciso reavaliar os riscos operacionais e de segurança. Tenha em mente os pontos a seguir ao considerar as operações e a segurança contínuas da sua organização.  Essas mudanças incluem, entre outras:

  • Maior dependência da conectividade com a rede privada virtual (virtual private network, ou VPN)
  • Segurança no acesso remoto
  • Uso de tecnologias de nuvem
  • Gerenciamento de dados sensíveis
  • Administração de sistemas remotos
  • Dependência de software de teleconferência de terceiros
  • Mudanças no monitoramento da segurança
  • Atualizações no treinamento de conscientização dos usuários

Quase todo o tráfego para a rede corporativa ocorrerá por uma VPN. Isso cria um ponto único de falha para a organização. Se a VPN estiver indisponível, seja por ataque deliberado ou simplesmente por uso excessivo, os funcionários não serão capazes de acessar a rede corporativa, o que resultará em interrupções nos negócios para toda a organização. É extremamente importante configurar a redundância para a infraestrutura crítica, pois ela oferece um alvo para qualquer invasor que deseja executar um ataque de negação de serviço contra uma organização. As VPNs são um equipamento importante. A maioria das empresas reconhece a importância de protegê-las, mas poderão ignorar ataques que visam simplesmente inundar o servidor com tráfego. Embora as VPNs sempre tenham sido um ponto de preocupação na rede, a transição para uma força de trabalho remota apenas fez com que esse componente da infraestrutura se tornasse mais importante.

Como configurar sua VPN para conseguir a segurança ideal e reduzir os riscos

As empresas que desejam migrar para o trabalho remoto, mas não têm uma VPN configurada, devem, sem dúvida, providenciá-la. A alternativa seria expor serviços internos à internet. Expondo máquinas internas, é possível que você exponha mais do que pretendia na forma de portas abertas ou outros serviços, que podem não estar devidamente protegidos. Ao configurar uma VPN, também é importante garantir que o servidor exposto esteja devidamente configurado e atualizado com as correções de segurança. No que diz respeito à configuração adequada, o provedor da VPN implementada pela sua empresa deve ser contatado para que forneça informações corretas e atualizadas. Entretanto, uma boa regra de ouro é expor apenas as portas e os recursos de VPN que precisam ser usados, bloqueando todo o resto. Se possível, insira IPs ou intervalos de IP em listas de desbloqueio. Isso ajudará a impedir que invasores mal-intencionados se conectem aos servidores. Para a configuração dos usuários, a autenticação multifatorial é essencial para o acesso remoto. Uma senha única pode ser adivinhada ou descoberta por força bruta por um invasor. Medidas adicionais devem ser impostas para evitar o comprometimento de contas críticas.

Como contratar um novo provedor de nuvem

Além disso, haverá uma maior dependência de aplicativos de nuvem e da conectividade. As organizações poderão se sentir pressionadas a contratar rapidamente novos provedores de nuvem para suprir a demanda dos usuários. Se possível, considere os possíveis impactos na segurança e na privacidade dos dados ao contratar novos provedores de nuvem, com o objetivo de garantir que a organização saiba quais informações estão sendo compartilhadas com terceiros, como estão sendo armazenadas e se existem implicações regulatórias (por exemplo, RGPD, CCPA).

Use laptops disponibilizados pela empresa para proteger dados

Outra consideração é aonde os dados estão sendo enviados. Com uma força de trabalho remota, os funcionários que trabalham em casa se conectarão à rede corporativa para acessar arquivos e recursos. Os dados precisarão ser transmitidos ao computador do funcionário e armazenados de alguma forma para serem usados. Dependendo da natureza do trabalho, esses dados poderão ser sensíveis. Isso cria uma dor de cabeça para os profissionais de segurança e privacidade que estão tentando proteger os dados. Com uma força de trabalho remota, a superfície de ataque cresce e aumentam as oportunidades de roubo de dados. Agora, um agente mal-intencionado não precisa mais invadir a rede da empresa para obter dados. Ele pode simplesmente atacar as redes domésticas de funcionários, roubando os dados enquanto estão atravessando a rede doméstica ou armazenados nos computadores dos funcionários. Portanto, é muito importante que a distribuição de dados sensíveis seja a mínima possível. A melhor estratégia para solucionar esse problema é fornecer aos funcionários laptops disponibilizados pela empresa. Esses computadores devem estar sempre atualizados com as correções de segurança mais recentes. De preferência, devem ser criptografados para proteger os dados que se encontram no disco. É preciso que exista uma política que determine que todos os dados corporativos sejam mantidos exclusivamente no dispositivo distribuído pela empresa, não transferidos para um computador pessoal. Como foi dito antes, uma VPN necessita desse tipo de proteção de dados, pois ele garante que todas as comunicações entre o funcionário e os ativos corporativos sejam criptografadas, impedindo que um invasor extraia informações transferidas. Quando a distribuição de dispositivos da empresa não for possível, deve-se usar uma estratégia semelhante. O funcionário deverá designar um dispositivo para ser usado para o trabalho e precisa ser instruído a tomar cuidado se/quando estiver usando o computador para uso pessoal. Ele precisa tomar cuidado com os sites que acessa, os e-mails que lê e os arquivos que baixa, assim como se estivesse no escritório. Se possível, use um esquema de criptografia para todos os arquivos que contêm dados sensíveis, exigindo que os funcionários desbloqueiem um arquivo ou pasta para acessar as informações. Essa criptografia protegeria os dados se fossem roubados sem a chave de criptografia.

A ICTS Protiviti oferece uma grande variedade de soluções de segurança e privacidade, adaptadas para atender às necessidades exclusivas de cada organização. Com nossa capacidade de funcionar nos níveis estratégico e tático, combinamos uma profunda competência em segurança técnica com comunicação e gerenciamento em nível executivo. Nossa abordagem completa começa entendendo o que é mais importante para as organizações. Depois, estruturamos e apoiamos programas para que sua empresa se prepare para crescer de forma segura. Para saber mais, entre em contato conosco.

Na Parte II, continuaremos essa análise detalhada sobre o que as equipes de segurança de TI corporativa devem fazer para evitar ataques cibernéticos em um momento em que a maioria da força de trabalho está trabalhando temporariamente de forma remota.

Clique here para acessar todas as séries