A redução do risco de violação do GDPR começa na caixa de entrada

Por ser um dos pontos de entrada mais frequentemente explorados em uma empresa, o e-mail representa uma grande ameaça à segurança dos dados. Sejam os dados na caixa de entrada do usuário, em caixas de correio compartilhadas, no acesso a unidades de armazenamento ou a sistemas de terceiros, como plataformas de CRM, a caixa de entrada pode servir como ponto de partida para muitas violações.

Uma violação de segurança no e-mail é uma porta de entrada para os dados da sua empresa

Um desses casos envolveu umescritório de advocacia que teve sua conta de e-mail do Outlook comprometida.O invasor conseguiu, então, redirecionar pagamentos destinados a beneficiários em um processo sucessório.

É por isso que uma estratégia de segurança robusta, que começa na caixa de entrada, não só é essencial para a segurança geral, mas também ajuda diretamente sua empresa a cumprir suasobrigações previstas no GDPR.

No entanto, esse não é um desafio que possa ser resolvido apenas com tecnologia. É necessário contar com as ferramentas certas, combinadas com usuários bem treinados, trabalhando em conjunto em uma abordagem coordenada para a segurança do e-mail.

Os seres humanos são a maior fonte de violações — comece por aí

Estima-se que 90% das violações de segurança sejam causadas por erro humano; portanto, é aí que reside a principal área a ser aprimorada. Comas ameaças por e-mail se tornando cada vez mais sofisticadas e direcionadas, é mais importante do que nunca que os usuários saibam o que devem observar em relação aos ataques de phishing.

A Datatilsynet, autoridade de proteção de dados da Dinamarca, relata conclusões semelhantes, atribuindo mais de 80% dos incidentes recentes a erros humanos. Dentre esses, o phishing foi a principal causa das violações.

Isso deixa claro que uma boa defesa começa com seus usuários:

• Treine-os de forma eficaz. Não basta cumprir as exigências uma vez por ano, apenas para marcar uma caixa. O treinamento precisa estar atualizado, ser envolvente e ser ministrado regularmente. Ferramentas capazes de automatizar o treinamento e apresentar conteúdos que fiquem na memória permitirão que os usuários lidem melhor com as ameaças que afetam suas caixas de entrada. Complemente isso com questionários para testar a retenção de conhecimento e identificar pontos fracos.

• Coloque o treinamento em prática. Crie simulações de phishing que vão além da teoria e observe como os usuários reagem às tentativas de phishing em suas caixas de entrada. Veja quais tentativas podem ter enganado os usuários e identifique lacunas no treinamento para que você possa fortalecer sua resposta.

• Analise e adapte. Quanto maior for a organização, mais dados você poderá utilizar. Identifique tendências, monitore os resultados dos testes e veja o que está causando dificuldades aos usuários na prática. Não se trata apenas de uma fonte útil de informações que podem ser colocadas em prática — ela também demonstra uma cultura de treinamento e processos claros, ambos necessários paradiretrizes como a NIS2.

Bons hábitos no tratamento de dados são a base para a conformidade com o GDPR

Além de treinar os usuários para identificar ameaças, é fundamental incorporar os princípios do GDPR ao comportamento cotidiano. Isso ajuda a prevenir problemas antes que uma tentativa de phishing resulte em um incidente.

No que diz respeito ao GDPR, vale a pena reforçar certas práticas, especialmente no que se refere aos dados. Eles são um ativo da empresa e devem ser tratados como tal.

Cada segundo conta durante uma violação de segurança. Bons hábitos em relação aos dados podem mitigar alguns dos efeitos de um ataque e, no mínimo, retardar a exposição durante um incidente.

• **Incentive o uso dos sistemas corporativos.** Os dados muitas vezes acabam espalhados por planilhas, registros em papel e armazenamentos pessoais. Isso dificulta sua proteção e gerenciamento. Certifique-se de que os usuários utilizem ferramentas aprovadas pela empresa, como CRMs, sistemas de marketing e ferramentas de gerenciamento de tickets, para armazenar seus dados.

• Nunca envie dados confidenciais por e-mail, mesmo internamente.Mesmo internamente, o e-mail cria cópias persistentes que são difíceis de controlar. Armazene os dados em sistemas centralizados, como plataformas de CRM ou o SharePoint. Ao compartilhar externamente, utilize mecanismos de compartilhamento controlados que permitam monitorar e revogar o acesso. Internamente, incentive o compartilhamento a partir do SharePoint ou do OneDrive. Quaisquer dados armazenados temporariamente para uma finalidade específica devem ser excluídos assim que seu objetivo for cumprido.

• Utilize políticas de retenção quando for o caso.Em nível corporativo, é possível definir políticas de retenção de dados e, ao mesmo tempo, permitir que os usuários limitem manualmente o tempo de vida dos e-mails. Se um e-mail contiver informações confidenciais destinadas a um uso de curto prazo, incentive os usuários a definirem eles mesmos uma política de retenção mais rigorosa para o e-mail enviado.

A melhor tentativa de invasão é aquela que nunca chega à caixa de entrada

Você treinou suas equipes, ministrou treinamentos e elaborou seus relatórios. No entanto, impedir que as tentativas de phishing cheguem à caixa de entrada dos usuários deve continuar sendo a primeira linha de defesa.

No evento Kaseya Local Connect, realizado em Londres, os MSPs subiram ao palco paradiscutir como a evolução das ameaças provenientes de e-mailsse devia, em grande parte, à IA. No entanto, eles também enfatizaram que a IA é igualmente importante na defesa contra essas ameaças.

A IA pode oferecer análise de conversas capaz de compreender a intenção de um e-mail, leitura de códigos QR para localizar URLs ocultos e acessá-los, além de aprendizado de máquina para identificar e-mails anteriores de spam e phishing e se adaptar dinamicamente aos e-mails que chegarem no futuro.

Você também pode ajudar os usuários regularmente,classificando os e-mails e seu nível de risco, o que os ajuda a manter a segurança em mente ao lidar com cada mensagem.

Falhas podem custar caro

As organizações podem ser multadas em até 4% do faturamento global anual ou 20 milhões de euros (ou 17,5 milhões de libras) por violarem o GDPR. Os danos à reputação também podem ser devastadores.

A segurança do e-mail é apenas um dos aspectos da conformidade com o GDPR, mas é um aspecto fundamental. Em um estudo da Kaseya, 56% das PMEs afirmaram ter sido afetadas por mensagens de phishing, com 40% citando incidentes anteriores de comprometimento de e-mail corporativo (BEC). Nesse contexto, a probabilidade de uma violação do GDPR torna-se cada vez maior.

 Seja você uma empresa que busca melhorar sua conformidade com o GDPR e a NIS2, ou um MSP que presta serviços aos seus clientes, suas prioridades são, de certa forma, semelhantes. Os processos manuais não são suficientes, e não se pode confiar exclusivamente apenas no comportamento humano ou apenas nas tecnologias.

É essencial adotar uma abordagem integrada. Em cada etapa, você deve procurar automatizar seus processos de treinamento, geração de relatórios e detecção de ameaças, a fim de garantir que a parte tecnológica da sua abordagem esteja funcionando adequadamente no âmbito da conformidade com o GDPR.