Segurança da Informação

É importante que as companhias e os líderes entendam o que está em jogo com o deslocamento dos espaços de trabalho

Na rua, em casa, no aeroporto, no hotel e, quem sabe, às vezes no escritório. Na era da transformação digital, o espaço de trabalho pode ser e estar em qualquer lugar. Afinal de contas, com o avanço da tecnologia e da Internet, ganhamos uma série de novas ferramentas que estão revolucionando a disponibilidade das informações. Por outro lado, o acesso móvel das plataformas de negócios também provoca suas questões. A maior delas, sem dúvida, é que os dados sigilosos de sua operação podem estar em risco, diante de ameaças cada vez mais sofisticadas. Mas como uma companhia pode se preparar para lidar com o trabalho remoto de forma segura e adequada?

Esse é um desafio e tanto, ainda mais porque a demanda por trabalho remoto é inevitável. De acordo com um levantamento da Confederação Nacional das Indústrias (CNI), mais de 80% dos trabalhadores brasileiros admitem que gostariam de ter algum tipo de atividade remota. Outra análise, dessa vez da consultoria Robert Half, aponta o Brasil como o terceiro país do mundo no ranking com o maior aumento das iniciativas de flexibilização e digitalização dos espaços de trabalho.

A questão, portanto, não é mais pensar se o trabalho remoto é bom ou ruim. Agora, os líderes e executivos estão sendo chamados a entender como implementar essas ações com segurança, extraindo o máximo valor e qualidade da distribuição móvel das forças de trabalho. Segundo pesquisas do Gartner, até 2021, aproximadamente 75% de todas as iniciativas para alavancar novas formas de trabalho digital ao redor do mundo falharão. Entre os motivos, estão a falta de liderança, dificuldades relacionadas a infraestrutura e, ainda, a falta de atenção às brechas de segurança geradas a partir da maior mobilidade dos colaboradores.

Para não fazer parte dessa projeção e, ao mesmo, lidar com as exigências dessa nova geração de colaboradores, as companhias precisam adotar medidas práticas para reforçar a cultura interna e aprimorar as barreiras de proteção em torno dos ativos digitais e estruturas internas. É missão dos líderes tornar a experiência móvel dos colaboradores muito mais proveitosa e produtiva para a organização, sem descuidar das questões práticas de segurança.

Neste cenário, é importante que as companhias entendam o que está em jogo com o deslocamento dos espaços de trabalho. Por exemplo: para que a mobilidade corporativa funcione efetivamente, é preciso garantir a alta disponibilidade dos sistemas e a conectividade à disposição dos profissionais. Esse passo é essencial para garantir uma experiência adequada aos colaboradores.

No entanto, o trabalho remoto deve ser trabalhado de forma adequada, sem descuidar da segurança. Por isso, é sempre importante que as companhias desenvolvam planos voltados à identificação e mitigação das ameaças externas, criando ambientes realmente preparados para combater as possíveis vulnerabilidades ou riscos e, ao mesmo tempo, maximizar a oferta de tecnologia aos profissionais. Após essa análise, as empresas poderão adotar soluções práticas e totalmente direcionadas as suas necessidades operacionais.

Uma das ações fundamentais para garantir a disponibilidade de dados de forma segura é a implementação de um firewall na rede. Essa é uma ação de segurança primordial e bastante eficiente, pois é esse o recurso que ajudará a filtrar as solicitações, protegendo os sistemas corporativos. O firewall é uma importante peça de controle, capaz de avaliar e identificar os comportamentos suspeitos dos usuários.

Outra dica é construir políticas de Controle de Acesso mais ajustadas, estabelecendo os níveis de identificação, autenticação e disponibilidade das informações a partir do perfil, cargo e área do colaborador. Reforçar a necessidade de proteger os dados mais sigilosos é importante, principalmente, com o avanço dos programas de BYOD (Traga seu próprio Dispositivo – de Bring Your Own Device, em inglês) em que cada funcionário pode usar seus próprios equipamentos. Desta forma, ao estabelecer diferentes níveis de privilégio no acesso, evita que um colaborador tenha acesso a dados que não são de sua competência.

Vale destacar, ainda, que os líderes de tecnologia também devem reforçar as regras e modalidades dos processos de identificação e autenticação do acesso aos sistemas corporativos. Criar regras específicas para a definição de senhas e combinar diferentes fatores de autenticação para login e visualização de conteúdo são duas etapas muito indicadas. O objetivo dessas ações é simples: quanto mais camadas de proteção no acesso aos seus sistemas, maior o nível de proteção de seus sistemas.

Além disso, é essencial que as companhias consigam monitorar e controlar a performance de suas redes. Nesse contexto, uma opção é investir em ações de Shadow IT com a contratação de serviços direcionados à avaliação contínua da rede. Essa prática possibilita um ciclo de inovação mais rápido e orientado aos resultados, sem a necessidade de alteração física do ambiente. Dessa forma, é possível reduzir o tempo e a burocracia das aprovações internas e consolidar mecanismos de controle muito mais rápidos. Em tempos de transformação diária da área de TI, agilizar a análise é fundamental para avaliar o uso de aplicações desconhecidas ou não autorizadas e para prevenir vazamentos de dados e outros incidentes.

Hoje, não há mais dúvidas de que o trabalho remoto é o futuro das operações. Com esse caminho, as companhias terão mais agilidade e oportunidades para integrar novos talentos, tornar a tomada de decisão mais rápida e satisfazer os consumidores de forma completa. A boa notícia é que até mesmo os desafios para a gestão das informações, hoje, estão mais simples e fáceis de se vencer. O mercado está preparado para apoiar as organizações que querem trilhar com sucesso essa jornada. Sem dúvida, os executivos que optarem por liderar suas empresas com segurança vão garantir o sucesso e a perpetuidade dos negócios na nova era digital.

*Marcel Mathias é Diretor P&D da Blockbit

Adequação à LGPD é apenas uma batalha. Guerra para garantir proteção dos dados e manter o compliance é interminável

Inspirada na europeia GDPR (General Data Protection Regulation), a LGPD (Lei Geral de Proteção de Dados) foi criada com a finalidade de proteger os dados pessoais de pessoas que residam no Brasil. A semelhança entre as duas regulações padroniza, de certa forma, o nível de governança e segurança da informação e facilita o estabelecimento de acordos entre países – ajudando também na atuação de empresas europeias ou multinacionais no país, além de estimular a entrada de companhias e de novos negócios no território nacional.

A LGDP entra em vigor em agosto de 2020, e deve ser encarada como o início de uma nova era de proteção de dados, e não apenas como um prazo exato a ser cumprido – uma vez que dificilmente os negócios estarão 100% preparados ou compatíveis com todos os requisitos da lei. Por isso, as organizações devem aprender, adaptar e adotar as melhores práticas, à medida que continuam se aprimorando em suas obrigações de proteção das informações de seus clientes e funcionários.

Assim como com a GDPR na Europa, a nova lei no Brasil exige que se uma organização sofrer uma violação, ela terá que revelar o fato publicamente, o que consequentemente impacta negativamente a confiança do cliente. Nesse sentido, a regulação eleva sensivelmente o nível de transparência das comunicações organizacionais – que deixa de estar apenas numa esfera ética e passa a assumir caráter jurídico. Nesse sentido, para conseguir ser transparente e implementar uma forte governança de dados, as empresas precisarão ter visibilidade de quais dados pessoais possui e como eles estão sendo utilizados – isso para identificar o uso indevido ou processos falhos de negócios.

Se dados pessoais forem roubados ou usados incorretamente, a organização deve comunicar o incidente à autoridade supervisora relevante em até 72 horas. Dependendo da categoria e da sensibilidade dos dados, uma organização pode precisar se reportar às autoridades nacionais de supervisão, e isso é ainda mais complicado se a violação afetar seus negócios em vários países. Há muita coisa em jogo, desde reputação à questão financeira, e por isso a notificação de violação e o gerenciamento correto das respostas são fatores imperativos.

É altamente provável que o erro humano e o mau uso dos dados surjam como as principais causas de violações de dados, o que significa que a educação deve ser contínua, particularmente quando se trata de segurança na nuvem.

É válido questionar: será difícil para as empresas se adequarem? No caso da GDPR, que já está no caminho para o segundo ano de aplicação prática, as empresas ainda estão no processo de compliance – e a previsão é que as empresas brasileiras levem em média dois anos para se adequarem completamente. A questão está muito relacionada à maturidade tecnológica e de gestão de cada organização em relação aos investimentos em segurança da informação.

E outros questionamentos vêm à tona. Para as pequenas e médias empresas será diferente? Elas têm menos chance de se adequar a tempo? As PMEs têm menor grau de maturidade? A possível consequência monetária do descumprimento estará sujeita a multas de até R$5 milhões, ou até 2% da receita.

Para dar algumas dicas às empresas brasileiras, listo aqui alguns pontos a serem considerados. Se a empresa manipula dados pessoais, é necessário saber onde esses dados estão armazenados; compreender por que a empresa possui esses dados; e como obter os controles apropriados de segurança para protegê-los. Muitas empresas não estenderam completamente suas políticas e processos de proteção de dados com o uso da nuvem ou ambientes tecnologicamente híbridos – com armazenamento na nuvem e on-premise. Muitas vezes não sabem como os dados estão sendo manipulados e, principalmente, como estão sendo protegidos em cada ambiente. Se uma empresa está armazenando dados fora do país, por exemplo, é preciso garantir a segurança de todo o processo, incluindo a governança e compliance com LGPD de fornecedores e parceiros de negócios envolvidos.

Manter um registro preciso do processamento é um requisito essencial da regra do GDPR, e será também para a LGPD – e exige que todas as atividades de processamento de dados pessoais sejam registradas, gerenciadas e atualizadas em um nível granular, uma tarefa de importância significativa que exigirá automação para ser viável para muitas organizações.

Uma dica simples e eficaz é gerenciar serviços de dados desnecessários, a fim de reduzir o escopo e aumentar a segurança. Uma empresa utiliza em média 1200 aplicações na nuvem, e precisam revisar todas elas neste ambiente, se dados pessoais estiverem sendo processados dentro da aplicação, para garantir que estejam de acordo com LGDP. Ao gerenciar o número de serviços é possível manter somente determinados dados, por razões específicas, e facilitar os controles apropriados de monitoramento. Essa é uma forma de otimizar o ambiente e tornar os processos mais eficientes e menos custosos.

A adequação à LGPD é apenas uma batalha, já que a guerra para garantir a proteção dos dados e manter o compliance é interminável. A orientação fornecida com esse regulamento também evoluirá com o tempo, e as empresas precisam estar preparadas para acompanhar outras mudanças nos padrões de segurança dos dados pessoais.

Por isso, é preciso enxergar valor no processo educacional que virá com essas mudanças, ao invés de enxergar a LGPD como um mal necessário. Há um enorme ganho de aprendizado com a regulação. As empresas mais preparadas terão a oportunidade de fazer mais do que apenas aprimorar a proteção, elas serão capazes de aplicar uma abordagem mais ética, que impacta diretamente no aumento da confiança dos clientes na marca.

*Neil Thacker é CISO EMEA da Netskope