Etapas rápidas para melhorar a segurança do trabalho em casa

Shutterstock / Sharomka

O novo normal envolve menos pessoas em escritórios e mais pessoas trabalhando em casa. Em tempo integral ou parcial, grande parte da força de trabalho agora trabalha remotamente. Isso apresenta um novo conjunto de desafios de segurança.

O novo normal

Há um motivo pelo qual os profissionais de segurança odeiam mudanças repentinas, especialmente as de natureza drástica. O risco de uma vulnerabilidade ser introduzida porque algo foi esquecido ou alguém agiu com pressa — embora tendo os melhores interesses em mente — é muito real.

A pandemia COVID-19 trouxe exatamente essa mudança para a maioria das organizações. Os trabalhadores foram forçados a ficar em casa e trabalhar remotamente. As empresas que tinham alguns recursos de trabalho remoto tiveram que tentar escalar rapidamente. Outras organizações tiveram que tentar montar algo o mais rápido possível. A segurança raramente vem em primeiro lugar nesses cenários.

Desnecessário dizer que as empresas que não tinham nenhuma capacidade de trabalho remoto foram as menos preparadas para lidar com a mudança. Não ter capacidade de trabalho remoto significava que não havia nenhum ou poucos laptops no mercado. Muitos deles tiveram que permitir que os trabalhadores domésticos usassem seus próprios computadores domésticos para trabalhar.

O departamento de TI — que repentinamente se viu distribuído e trabalhando em casa — agora precisava oferecer suporte a um estado de TI que havia sofrido mutações durante a noite para incluir sistemas operacionais desatualizados e sem suporte, roteadores domésticos e hardware de qualquer número dos fabricantes.

Se isso soa familiar, aqui estão algumas etapas eficazes para trazer um pouco de segurança de volta à situação.

Use criptografia

Uma organização preocupada com a segurança já criptografará dispositivos portáteis e móveis, como laptops, tablets e smartphones. Em PCs corporativos, é fácil de fazer e gratuito, contanto que você esteja usando a versão correta do Microsoft Windows. Microsoft Windows 10 Pro, Enterprise e Education oferecem suporte à criptografia de dispositivo BitLocker. O Windows 10 Home não. Por outro lado, se você usar um computador Apple, o macOS oferece suporte à criptografia de dispositivo por padrão e em todos os níveis.

A criptografia do seu computador protege seus dados de acesso caso o dispositivo caia nas mãos erradas. Mesmo que os agentes da ameaça removam o disco rígido e tentem lê-lo em outro dispositivo, eles serão impedidos.

No entanto, um tipo diferente de exposição ao risco ocorre quando os arquivos são transmitidos eletronicamente. Se forem interceptados por agentes da ameaça, eles poderão lê-los, a menos que sejam criptografados antes de serem transmitidos. Isso é fácil de fazer. Todos os produtos Microsoft Office permitem que você salve seus arquivos com uma senha. Isso os criptografa, protegendo-os de olhares indiscretos.

Outros aplicativos podem não oferecer esse recurso. Se você usar um pacote de software que não oferece criptografia de dentro do aplicativo, ainda poderá criptografar os arquivos antes de enviá-los. Use um utilitário gratuito como o 7Zip ou um dos outros aplicativos de arquivamento para compactar seus arquivos e criptografá-los com uma senha. Também reduz o tamanho dos arquivos, reduzindo o tempo de transmissão e os requisitos de armazenamento.

Compactar arquivos é uma ótima maneira de encapsular coleções de arquivos distintos que foram criados com diferentes pacotes de software que devem ser distribuídos como um pacote de documentos relacionados. Compactá-los em um único arquivo significa que você só precisa enviar aquele arquivo para alguém e sabe que essa pessoa tem o conjunto completo de arquivos.

Comunique a senha ao destinatário usando uma mídia diferente — ou, pelo menos, uma mensagem diferente — daquela que contém os arquivos. E não reutilize senhas nem as torne previsíveis ou padronizadas. Não use o nome de um cliente e a data, por exemplo.

Para usuários com versões antigas do Windows, você também pode deixá-los levar o computador do escritório para casa. Se você não fizer isso, ele ficará sem uso em um escritório vazio, depreciando. Por que não permitir que eles usem um dispositivo seguro e atual conhecido por sua equipe de TI, que esteja em seu registro de ativos de hardware e sobre o qual você possa exercer controle total?

Reforçar o Wi-Fi doméstico

O Wi-Fi doméstico pode ser seguro, mas geralmente não é configurado dessa forma. Comece um projeto agora para que sua equipe de TI trabalhe com os trabalhadores domésticos, certificando-se de que as credenciais de administração do roteador padrão foram alteradas, que senhas seguras e robustas estão em uso e atualizando o firmware.

Certifique-se de que o protocolo mais seguro que o dispositivo oferece está sendo usado e altere a senha para uma senha única e segura. Isso significa que amigos e visitantes não conseguirão acessar o Wi-Fi durante a visita, que é o ponto. Se o dispositivo for compatível, crie um Wi-Fi de convidado para que familiares e amigos possam acessar a Internet. Eles terão o acesso de que precisam, serão separados do Wi-Fi principal e não precisarão obter a senha Wi-Fi privada.

Você pode pensar em ocultar a rede Wi-Fi principal por completo, mas a maioria dos usuários domésticos achará que é um sistema problemático para se viver. Infelizmente, o mesmo se aplica à filtragem de endereços MAC.

Ligue o firewall e verifique as regras do firewall. Se o roteador for arcaico, substitua-o.

VPNs, RDP e 2FA

Use métodos de comunicação criptografados seguros, como Redes Privadas Virtuais (VPNs) ou Protocolo de Área de Trabalho Remota (RDP) da Microsoft. Ou, falando mais estritamente, eles ficam seguros quando são atualizados e todos usam senhas exclusivas e robustas. Certifique-se de limitar o número de tentativas antes que uma conta seja bloqueada.

Onde quer que seja compatível, implemente a autenticação de dois fatores (2FA) ou a autenticação multifator (MFA). Use sistemas que tenham aplicativos autenticadores ou dispositivos que gerem códigos. Os sistemas que usam mensagens de texto do Small Messaging System (SMS) são menos seguros.

Se sua força de trabalho usa serviços baseados em nuvem, lembre-se de que muitos deles serão capazes de fornecer autenticação de dois fatores sem nenhum custo extra. Ative-o e aproveite esses recursos gratuitos a seu favor.

Teste de penetração

Atores de ameaças são muitas coisas, mas eles não são burros. Eles sabem que houve uma mudança fundamental nos hábitos de trabalho e que a força de trabalho agora está remota e acessando remotamente os recursos de TI no escritório principal.

Eles também sabem que muitas organizações tiveram que estabelecer suas soluções de trabalho remoto o mais rápido possível fisicamente. E eles saberão que muito poucos deles terão sido revisitados. Portanto, as proibições e falhas de segurança que foram ignoradas quando o C-suite gritava para “ apenas fazê-lo funcionar ” ainda estará presente.

Seja pró-ativo. Faça um teste de penetração em sua organização antes que os cibercriminosos o façam. Faça o teste, analise os resultados e lide com as piores vulnerabilidades imediatamente.

Priorize o restante e trabalhe com eles em ordem de gravidade.

Conformidade e padrões

A mudança no ambiente e nas práticas de trabalho significa que muitos dos seus processos e procedimentos precisarão de alterações. Sua governança precisará ser revisada para garantir que a orientação e os controles colocados na equipe ainda façam sentido e se apliquem à nova situação. Se eles precisarem de emendas ou atualizações, faça isso o mais rápido possível.

Em particular, verifique sua política de senha, sua política de uso aceitável e suas regras sobre armazenamento e transmissão de dados. A mudança para o trabalho em casa pode ter infringido as regras existentes sobre levar equipamentos de TI para casa, não se conectar a redes domésticas, acessar recursos corporativos apenas de computadores corporativos e assim por diante. É vital que a equipe entenda quais regras ainda se aplicam, quais foram substituídas e por quê.

Lembre-se de revisar suas certificações e acreditações de padrões. Se sua organização alcançou a conformidade com quaisquer padrões, como ISO 27001, Cyber ​​Essentials ou Cybersecurity Framework, o estado de TI para o qual você descreveu, documentou e criou processos não existe mais. Você precisa alinhar toda a sua governança com a nova situação.

A legislação de proteção de dados precisará ser revisada para ver como ela se relaciona com suas atividades atuais de processamento de dados. Se você fizer alterações em suas políticas e procedimentos de proteção de dados, certifique-se de atualizar sua Política de Privacidade para que os titulares dos dados sejam informados das alterações.

Lave as mãos por 40 segundos

Como outros regimes de higiene que são essenciais no momento, lembre-se também de sua higiene básica de segurança cibernética. Acertar no básico é uma grande ajuda para vencer a batalha.