As pequenas e médias empresas precisam equilibrar necessidades e recursos de segurança cibernética

As pequenas e médias empresas (PMEs) não estão imunes a ataques cibernéticos, mas enfrentam um cenário de ameaças em evolução e sabem como gerir melhor os riscos.

Durante a “Mesa Redonda sobre Segurança Cibernética para PMEs: Navegando pela Complexidade e Construindo Resiliência” no início deste mês, a Sage reuniu um grupo de CISOs e outros profissionais de segurança cibernética de pequenas empresas, agências governamentais e organizações sem fins lucrativos para discutir algumas das maiores preocupações enfrentadas pelas PMEs e seus capacidade de proteger os ativos da empresa. Entre os principais desafios para pequenas e médias empresas e organizações sem fins lucrativos estão:

• O fator humano. Os funcionários continuam a cometer erros, como clicar em links em e-mails de phishing ou permitir acesso desprotegido aos seus dispositivos, que colocam as redes da empresa em risco.
• Necessidades de conformidade de terceiros. Organizações parceiras, prestadores de serviços, fornecedores e outras entidades terceirizadas exigem que as pequenas e médias empresas atendam aos seus requisitos de segurança cibernética, especialmente aquelas organizações, como instituições financeiras, que são altamente regulamentadas.
• Leis de privacidade de dados em estados e países. O não cumprimento desses requisitos de conformidade poderá resultar em sanções e multas.
• A força de trabalho híbrida. As pequenas e médias empresas não têm mais os mesmos níveis de supervisão de dispositivos e comportamentos on-line quando os funcionários trabalham remotamente, mesmo que parte do tempo.
• Plataformas e indústrias direcionadas. Os agentes de ameaças procuram organizações que utilizam aplicações concebidas para angariar dinheiro ou recolher grandes quantidades de informações pessoais.
• Mudando o cenário de ameaças. Novos vetores de ataque, novos malwares e novos atores de ameaças parecem surgir todos os dias.

Quase metade das pequenas e médias empresas sofreram um incidente de segurança cibernética no ano passado, de acordo com um novo estudo do Sage. Embora 69% dos entrevistados em todo o mundo afirmem que a segurança cibernética faz parte da cultura de sua empresa, quase o mesmo número não considera isso até que haja um incidente – apenas 4 em cada 10 entrevistados afirmam que sua empresa discute regularmente segurança cibernética.

A segurança cibernética não precisa ser cara

Depois de um ataque, é tarde demais para iniciar discussões sobre como proteger a rede e a empresa, mas muitas pequenas e médias empresas não possuem os sistemas certos em funcionamento. De acordo com a pesquisa da Sage, por exemplo, 46% das pequenas e médias empresas não utilizam firewalls e 19% dependem apenas de ferramentas muito básicas.

Sim, a segurança cibernética pode ser cara. Empresas empresariais pode ter mais de 100 ferramentas de segurança em uso. No entanto, não precisa ser tão complicado para pequenas e médias empresas, e algumas abordagens podem até ser gratuitas ou baratas.

Comece criando um programa de risco interno que supervisiona as políticas de segurança em toda a empresa com ênfase no comportamento dos funcionários, recomendou Shawnee Delaney, CEO do Vaillance Group, durante a mesa redonda.

“Isso exige que você tenha conversas, às vezes uma conversa desconfortável, porque ninguém quer pensar que seus próprios funcionários possam fazer algo malicioso”, disse Delaney. “Mas a verdade é que a grande maioria [dos incidentes cibernéticos] não é intencional.”

A gestão dos ciclos de vida do emprego humano é vital para um sistema de segurança cibernética eficaz. Tudo começa durante o processo de entrevista e contratação, garantindo que você tenha alguém que tenha uma boa adequação cultural e esteja disposto a reconhecer como a segurança cibernética se encaixa na estrutura organizacional, acrescentou Delaney. Depois de fazer a contratação, siga os processos de integração que enfatizam a higiene básica de segurança, incluindo privilégios mínimos e acesso conforme necessário. E quando o funcionário sair, certifique-se processos de desligamento desconecte o acesso completamente.

Individualize o treinamento de segurança

Devido à ligação humana à segurança cibernética, todos numa empresa mais pequena, desde o CEO até ao final, têm de ter uma compreensão básica do que são as ameaças. Existem muitas opções de treinamento de conscientização em segurança, mas seria sensato que as pequenas e médias empresas evitassem uma opção única para todos.

O treinamento deve ser voltado para os trabalhadores individuais com base em critérios como função profissional e lacunas geracionais em conhecimentos e interesses tecnológicos. Os trabalhadores mais velhos têm muitas vezes um estilo de aprendizagem diferente dos trabalhadores mais jovens, tal como os trabalhadores que trabalham em empregos mais intensivos em mão-de-obra podem ter uma relação diferente com a tecnologia do que aqueles que estão ligados aos seus dispositivos o dia todo. O não respeito dessas diferenças resulta num treino desigual que pode acabar por fazer mais mal do que bem.

Faça da segurança cibernética um problema comercial

Há uma tendência, especialmente entre as pequenas e médias empresas, de pensar na segurança cibernética como um problema de TI para o qual todo o conhecimento está no espaço tecnológico, de acordo com Gustavo Zeidan, CISO da Sage.

Uma abordagem melhor é pensar em segurança cibernética como uma questão de negócios. A cultura de segurança é melhor conduzida a partir do topo, disse Zeidan durante a mesa redonda, e a gestão precisa discutir as ameaças cibernéticas e como os seus negócios podem ser visados.

“Os líderes empresariais reconhecem que é um problema, mas não falam sobre isso”, explicou Zeidan. A pior coisa que pode acontecer é não estar preparado para um incidente de segurança que interrompa as operações comerciais.

E quando houver um incidente cibernético dentro da empresa, não o mantenha oculto. A Comissão Federal de Comércio (FTC) oferece orientações sobre quem deve ser contatado, incluindo autoridades policiais, clientes e fornecedores.

Mas não pare por aí. Comunique-se com outras empresas e discuta estratégias para solucionar o incidente. Compartilhe essas informações através de organizações focadas no setor ou em locais Câmara de comércio reuniões - onde quer que você tenha contato com outros líderes empresariais.

“Se você tiver uma violação, seja aberto, honesto e compartilhe as lições aprendidas com outras empresas para que os profissionais possam aprender com isso”, disse Delaney. “Não importa se somos concorrentes. Quando você resume tudo, é tudo segurança nacional.”

Saiba onde procurar ajuda

Toda empresa, independentemente do seu tamanho, precisa de mais conhecimento em segurança cibernética do que possui. Independentemente de como a PME investe em segurança, a responsabilidade pela segurança cibernética precisa de ser espalhada por toda a empresa.

Estão disponíveis recursos para ajudar a orientar as pequenas e médias empresas em sua jornada de segurança. A Agência de Segurança Cibernética e de Infraestrutura (CISA), por exemplo, oferece um Guia de segurança cibernética para pequenas e médias empresas que fala especificamente das diferentes funções relacionadas à segurança que os indivíduos desempenham em um ambiente de pequenas empresas.

As parcerias com empresas de todos os tipos e tamanhos são fundamentais para a missão da CISA, disse Lauren Boas Hayes, consultora sênior de tecnologia e inovação da CISA, participante da mesa redonda.

“A paisagem está mudando; há novas ameaças todos os dias”, acrescentou Delaney.

Profissionais e empresas podem sentir que estão brincando com seus esforços para impedir essas novas ameaças, mas a boa notícia para as pequenas e médias empresas é que existem técnicas de mitigação. É apenas uma questão de encontrar o programa que funciona melhor para cada empresa.

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/edge/how-smbs-can-balance-cybersecurity-needs-and-resources