A redução do risco de violação do GDPR começa na caixa de entrada

Por ser um dos pontos de entrada mais frequentemente explorados em uma empresa, o e-mail representa uma grande ameaça à segurança dos dados. Sejam os dados na caixa de entrada do usuário, caixas de correio compartilhadas, acesso a unidades de armazenamento ou sistemas de terceiros, como plataformas de CRM, a caixa de entrada pode servir como ponto de partida para muitas violações. 

Uma violação de e-mail é uma porta de entrada para os dados da sua empresa

Um desses casos envolveu umescritório de advocacia que teve sua conta de e-mail do Outlook comprometida.O invasor conseguiu, então, redirecionar pagamentos destinados a beneficiários em um processo sucessório. 

É por isso que uma estratégia de segurança robusta, que começa na caixa de entrada, não só é essencial para a segurança geral, mas também ajuda diretamente a sua empresa a cumprir suasobrigações decorrentes do GDPR. 

No entanto, esse não é um desafio que possa ser resolvido apenas com tecnologia. É necessário contar com as ferramentas certas, combinadas com usuários bem treinados, trabalhando em conjunto em uma abordagem coordenada para a segurança do e-mail. 

Os seres humanos são a principal causa das violações de segurança — comece por aí 

Estima-se que 90% das violações de segurança sejam causadas por erro humano; portanto, é aí que reside a principal área a ser aprimorada. Comas ameaças por e-mail se tornando cada vez mais sofisticadas e direcionadas, é mais importante do que nunca que os usuários saibam o que devem observar em relação aos ataques de phishing.  

A Datatilsynet, autoridade de proteção de dados da Dinamarca, apresenta conclusões semelhantes, atribuindo mais de 80% dos incidentes recentes a erros humanos. Dentre esses, o phishing foi a principal causa das violações.   

Isso deixa claro que uma boa defesa começa com seus usuários:   

• Treine-os de forma eficaz. Não basta cumprir as normas uma vez por ano, apenas para marcar presença. O treinamento precisa estar atualizado, ser envolvente e ser ministrado regularmente. Ferramentas capazes de automatizar o treinamento e apresentar conteúdos que fiquem na memória permitirão que os usuários lidem melhor com as ameaças que chegam às suas caixas de entrada. Reforce o aprendizado com questionários para testar a retenção de conhecimento e identificar pontos fracos.  

• Coloque o treinamento em prática. Crie simulações de phishing que vão além da teoria e observe como os usuários reagem às tentativas de phishing em suas caixas de entrada. Veja quais tentativas podem ter enganado os usuários e identifique lacunas no treinamento para que você possa fortalecer sua resposta.  

• Analise e adapte. Quanto maior for a organização, mais dados você poderá utilizar. Identifique tendências, monitore resultados de testes e veja o que está causando dificuldades aos usuários no mundo real. Não se trata apenas de uma fonte útil de informações acionáveis — ela também demonstra uma cultura de treinamento e processos claros, ambos necessários paradiretrizes como a NIS2.  

Bons hábitos no tratamento de dados são fundamentais para a conformidade com o RGPD 

Além de treinar os usuários para identificar ameaças, é fundamental incorporar os princípios do GDPR ao comportamento cotidiano. Isso ajuda a prevenir problemas antes que uma tentativa de phishing resulte em um incidente. 

No que diz respeito ao GDPR, vale a pena reforçar certas práticas no que se refere especificamente aos dados. Eles são um ativo da empresa e devem ser tratados como tal. 

Cada segundo conta durante uma violação de segurança. Bons hábitos em relação aos dados podem mitigar alguns dos efeitos de um ataque e, no mínimo, retardar a exposição durante um incidente. 

• Incentive o uso dos sistemas corporativos.Muitas vezes, os dadosacabam espalhados por planilhas, registros em papel e armazenamentos pessoais. Isso dificulta a proteção e o gerenciamento desses dados. Certifique-se de que os usuários utilizem ferramentas aprovadas pela empresa, como CRMs, sistemas de marketing e ferramentas de gerenciamento de tickets, para armazenar seus dados. 

• Nunca envie dados confidenciais por e-mail, mesmo internamente.Mesmo internamente, o e-mail gera cópias persistentes que são difíceis de controlar. Armazene os dados em sistemas centralizados, como plataformas de CRM ou o SharePoint. Ao compartilhar externamente, utilize mecanismos de compartilhamento controlados que permitam monitorar e revogar o acesso. Internamente, incentive o compartilhamento a partir do SharePoint ou do OneDrive. Quaisquer dados armazenados temporariamente para uma finalidade específica devem ser excluídos assim que seu objetivo for cumprido.   

• Utilize políticas de retenção sempre que for adequado.Em nível corporativo, é possível definir políticas de retenção de dados e, ao mesmo tempo, permitir que os usuários limitem manualmente o tempo de vida das mensagens de e-mail. Se uma mensagem de e-mail contiver informações confidenciais destinadas a um uso de curto prazo, incentive os usuários a definirem eles próprios uma política de retenção mais rigorosa para as mensagens enviadas. 

A melhor tentativa de invasão é aquela que nunca chega à caixa de entrada

Você treinou suas equipes, ministrou cursos de treinamento e elaborou seus relatórios. No entanto, impedir que as tentativas de phishing cheguem à caixa de entrada dos usuários deve continuar sendo a primeira linha de defesa. 

No evento Kaseya Local Connect, realizado em Londres, os MSPs subiram ao palco paradiscutir como a evolução das ameaças por e-mailse devia, em grande parte, à IA. No entanto, eles também enfatizaram que a IA é igualmente importante na defesa contra essas ameaças. 

A IA pode oferecer análise de conversas capaz de compreender a intenção de um e-mail, leitura de códigos QR para localizar URLs ocultos e acessá-los, além de aprendizado de máquina para identificar e-mails anteriores de spam e phishing e se adaptar dinamicamente aos e-mails que chegarem no futuro. 

Você também pode ajudar os usuários regularmente,classificando os e-mails e seu nível de risco, o que os ajuda a manter a segurança em mente ao lidar com cada mensagem. 

Falhas podem sair caras

As organizações podem ser multadas em até 4% do faturamento global anual ou 20 milhões de euros (ou 17,5 milhões de libras) por violarem o RGPD. Os danos à reputação também podem ser devastadores. 

A segurança do e-mail é apenas um dos aspectos da conformidade com o GDPR, mas é fundamental. Em um estudo da Kaseya, 56% das PMEs afirmaram ter sido afetadas por mensagens de phishing, com 40% citando incidentes anteriores de comprometimento de e-mails comerciais (BEC). Nesse contexto, a probabilidade de uma violação do GDPR torna-se cada vez maior.  

 Quer você seja uma empresa que busca melhorar sua conformidade com o GDPR e a NIS2, ou um MSP que presta serviços aos seus clientes, suas prioridades são, em certa medida, semelhantes. Os processos manuais não são suficientes, e você não pode depender exclusivamente apenas do comportamento humano ou apenas das tecnologias. 

É essencial adotar uma abordagem integrada. Em cada etapa, você deve procurar automatizar suas atividades de treinamento, geração de relatórios e detecção de ameaças para garantir que a parte tecnológica da sua abordagem esteja funcionando corretamente, como parte da conformidade com o GDPR.