Como reconhecer um insider em uma empresa e prevenir suas atividades?

A lei, claro, protege seu negócio contra o roubo de segredos comerciais, mas o faz depois do fato, quando o dinheiro já foi perdido e sua reputação não pode mais ser salva. Especialistas do laboratório de segurança cibernética da Universidade do Novo México dividem os ataques internos em dois tipos: situacionais, ou seja, vazamentos isolados de informação ocorridos por negligência ou falha do sistema, e planejados. Em outras palavras, de uma forma ou de outra, são resultado de intenção maliciosa. ‘A toupeira pode ser qualquer pessoa: seu braço direito ou outro economista cujo nome você nem sequer se lembra.

Segundo um relatório da Secure Automatic Technologies, 99% das organizações europeias já sofreram perdas financeiras pelo menos três vezes ao longo de sua história por causa de atividades internas maliciosas. No relatório Insider Threat 2023 da American Insider Threat Association, 74% das organizações pesquisadas afirmam que os ataques internos se tornaram mais frequentes. E um número igual afirma estar, no mínimo, vulnerável a ameaças internas. Mais da metade das organizações sofreu uma ameaça interna no último ano, e 8% sofreram mais de 20 ameaças. O relatório também observa que 61% das falências nos EUA hoje são causadas por pessoas internas, sendo a ameaça particularmente acentuada em momentos de grandes contratos.

"Um insider" é um funcionário de uma organização que tem acesso a informações que não são de domínio público. Um insider é um funcionário de uma organização que tem acesso a informações que não são de domínio público.

Qualquer pessoa pode se tornar um insider (ou seja, absolutamente qualquer um). No entanto, a psicologia comportamental e o profiling de RH permitem identificar uma toupeira já na etapa de entrevista, ou prevenir o roubo de dados em uma equipe já estabelecida. Psicólogos de pessoal distinguem seis tipos de insiders: negligente, manipulado, ressentido, desleal, funcionário com "bico" e infiltrado. De forma bem situacional, quem pode ser considerado o elo menos perigoso nessa escala?

Funcionários "negligentes" podem vazar informações de forma involuntária (e isso pode ser irreparável), enquanto as atividades dos funcionários «infiltrados» visam diretamente prejudicar seu negócio.

• Insider "negligente" é o tipo mais comum de insider corporativo, também chamado de "descuidado". Normalmente, trata-se de um funcionário comum que executa um fluxo de trabalho mecânico. As violações da política de segurança não são motivadas, sendo em sua maioria a remoção não intencional de informações do circuito digital de uma organização. O incidente em si não é tão perigoso, mas a ameaça aumentará se dados sensíveis caírem em mãos erradas. Um e-mail descuidado ou um adesivo com dados de login de uma conta de rede corporativa colado cuidadosamente no monitor do computador de trabalho é outra questão.

• Insider "manipulado" ou "Pinóquio". Assim como no conto de fadas de Carlo Collodi, o principal problema desse tipo de funcionário é a ingenuidade e a credulidade excessiva. Tudo conspira contra o funcionário manipulado: desde os colegas até o que hoje se chama de "engenharia social" (o golpe banal). Vamos imaginar: uma ligação é feita, a voz do outro lado da linha se apresenta como diretor de uma filial real da empresa, descreve o problema com o máximo de detalhes e pede (em nome da eficiência, claro) para contornar a política de segurança comercial existente e enviar documentos críticos para seu e-mail pessoal. Sem sequer pensar na possível ameaça, nosso "Pinóquio", esfregando as mãos na expectativa de um bônus substancial, envia o arquivo diretamente para o e-mail do concorrente. Pronto – o vazamento aconteceu.

• "Ressentido" ("sabotador"). Esse tipo de funcionário não busca roubar as informações da sua empresa, nem se importa com o valor da propriedade intelectual ou os benefícios práticos do uso não autorizado dos bancos de dados. Ele busca causar dano de qualquer forma que puder. O ressentimento que motiva esse funcionário pode ser qualquer coisa: remuneração insuficiente, falta de reconhecimento na equipe, posição inadequada na hierarquia do escritório... O funcionário não pretende deixar a empresa, ele ficará "nas sombras" até causar o dano máximo. Por exemplo, pode falsificar ou destruir documentos importantes, roubar utensílios de escritório ou ficar ocioso no local de trabalho. Com base em suas próprias ideias sobre o valor da informação, esse funcionário determina quais dados vale a pena roubar e a quem repassá-los. Frequentemente é para a imprensa ou estruturas paralelas.

• Insiders "desleais". Na maioria das vezes coincidem com o tipo "ressentido", mas já decidiram firmemente mudar de emprego ou abrir seu próprio negócio e se tornar um concorrente audacioso. Por algum motivo, tornou-se comum que um funcionário que sai do departamento comercial leve consigo uma cópia da base de clientes, e do departamento financeiro – a base financeira. Este é o velho hábito de "levar lembranças da mesa" e deveria ser eliminado. A forma mais comum de desvio é a "necessidade industrial". Funcionários desleais diferem dos insiders "ressentidos" porque, após roubar informações, não escondem o fato do roubo, e às vezes o usam como garantia de uma demissão confortável, com compensação e recomendações positivas.

• Insiders "de bico", ou seja, o tipo do qual os especialistas da EY falavam. São funcionários que estão em grande necessidade de dinheiro. Na verdade, é o tipo mais abrangente de insider. Isso inclui pessoas que decidiram ganhar alguns milhares a mais, bem como aquelas que se tornaram insiders involuntariamente, como resultado de chantagem, extorsão ou influência de terceiros. Dependendo das condições, podem forjar uma necessidade de produção e, nos casos mais graves, podem invadir sistemas ou subornar outros funcionários.

• Insiders "infiltrados" ou espiões de thrillers de Guerra Fria de Hollywood. Como exemplo, um dos casos recentes da Anexet: a empresa se dedicava à produção de peças usando máquinas CNC (controle numérico). O cliente suspeitava que o departamento de desenvolvimento estivesse "vazando" documentação técnica, nomeadamente desenhos, para concorrentes. A dificuldade era que não se tratava apenas de desenhos, mas de programas, segundo cujos algoritmos as máquinas funcionavam. O software era carregado no equipamento por meio de uma rede local diretamente do escritório da empresa. Na própria máquina, era organizado em pastas, de onde os operadores os retiravam e carregavam no software de processamento. O detalhe era que os gabinetes das máquinas eram lacrados e selados, com apenas o monitor, o mouse e o teclado saindo para fora. Era fisicamente impossível conectar um leitor diretamente ao computador. Descobriu-se que o mouse estava conectado à máquina via USB. Um colega de trabalho encontrou um dispositivo semelhante e instalou um pequeno hub USB dentro do mouse, no qual o pen drive espião era conectado. Ao longo de um mês, o dispositivo espião roubou informações e depois foi parar com um concorrente. A Anexet descobriu a causa do vazamento ainda na fase de teste de uso.

Como combater a ameaça interna

Se você dividir os funcionários negligentes entre aqueles que já não têm mais jeito e aqueles que ainda podem ser salvos, o grupo de RH da Anexet recomenda que seu departamento de RH preste atenção especial aos funcionários "negligentes" e "manipuláveis". Talvez eles simplesmente careçam de uma cultura de segurança da informação. Eles não percebem o dano que seu gesto imprudente pode causar ao seu negócio, enquanto os "ressentidos", "desleais" e "aproveitadores" devem ser afastados o quanto antes. Principalmente os "ressentidos", já que você nunca mais se beneficiará das atividades deles.

Instale um sistema DLP. O software criará um circuito digital seguro e robusto ao redor da rede interna da sua organização e sinalizará qualquer tentativa de levar informações confidenciais para fora do perímetro da empresa. O sistema permite filtrar e analisar o tráfego por valor estatístico e semântico, o que torna automática a busca por funcionários desleais, insiders e colaboradores que prejudicam a segurança econômica do seu negócio. Atuando dentro de uma política de segurança definida, o sistema de proteção de informações DLP notificará o pessoal autorizado quando os protocolos forem violados, seja um e-mail com conteúdo questionável ou a impressão de documentos confidenciais. A função de auditoria e monitoramento do sistema DLP permitirá rastrear a atividade dos funcionários no local de trabalho e identificar pontos fracos no sistema de segurança.

Monitore contas que não estão atualizadas. Frequentemente, vazamentos de informação são causados por funcionários que deixaram a organização e ainda possuem dados de login válidos. No entanto, eles podem não ser os responsáveis – logins e senhas podem cair nas mãos de funcionários atuais que cometem atos ilegais de dentro da organização e desviam a suspeita de si mesmos. Para identificar essas pessoas, use iscas e preste atenção aos "rastros" do trabalho delas. Insiders conscientes tendem a excluir grandes quantidades de arquivos na tentativa de disfarçar suas atividades. O sistema DLP salva toda a cronologia das atividades dos funcionários e faz backup offline de todos os arquivos na rede corporativa.

Um método comum de identificar insiders é a isca. Um invasor está constantemente "vasculhando" a rede corporativa em busca de informações críticas. Você pode "deixar" um conjunto de arquivos extremamente valiosos em domínio público e ver quem envia o arquivo para USB, nuvem ou impressão.

Como reconhecer um insider?

Não é apenas a funcionalidade dos sistemas DLP que pode reconhecer um insider; isso pode ser feito até mesmo na etapa de entrevista. Ferramentas universais semelhantes – entrevistas e experimentos – podem ser usadas para esse fim. Uma entrevista significa uma pesquisa processada usando a metodologia sociométrica. Os mesmos métodos podem ser aplicados em uma equipe já estabelecida. O serviço de RH da Samsung analisa o risco entre o quadro de funcionários da corporação por meio de um simples questionário verbal: "Com quem você não levaria em uma viagem de negócios?" ou "Com quem você compartilharia uma nova ideia criativa?". Pesquisas repetidas podem ser realizadas, mas com perguntas diferentes, para garantir a confiabilidade das informações. Ao observar as escolhas de um indivíduo, é possível estudar sua tipologia de comportamento social no grupo. A técnica sociométrica não exige mais de 15 minutos.

O experimento consiste em criar deliberadamente condições especiais para a pessoa observada, a fim de determinar, por meio de suas ações em determinadas situações, o quão egocêntrica ela é e se consegue ter empatia com outras pessoas.

Lembre-se de que informações sensíveis em um ambiente de amplo acesso são como um cubo de gelo – a cada etapa o gelo diminui, e suas mãos ficam na água. Os sistemas DLP (prevenção de vazamento de dados) podem ajudar a lidar com essa e outras possíveis ameaças. Sua principal tarefa é detectar, controlar e prevenir ameaças potenciais, proteger dados importantes e monitorar os funcionários em seu local de trabalho. Nosso sistema DLP é uma solução acessível nessa área.