Empresas de todos os tamanhos devem alocar recursos para reduzir o risco crescente das ameaças de segurança cibernética. Todos os dias há notícias de novos vazamentos de dados, hacks ou ataques de ransomware. Enquanto muitas multinacionais parecem ser os alvos primários, diversos hackers focam em pequenas empresas e mais vulneráveis. Por isso preparamos essas dicas de segurança para pequenas empresas.
- Acesse também: As melhores práticas de segurança mais negligenciadas
As 7 principais ameaças de segurança cibernética para pequenas empresas
- Phishing – Ataques de Phishing se tornam cada vez mais sofisticados ao passar dos anos, evoluindo muito além de e-mails de phishing básico até formas mais complexas que são surpreendentemente efetivas. Por exemplo, os autores estão transformando clipes de áudio em frases de conversação realistas para enganar funcionários que pensam que estão falando com uma figura de autoridade da empresa revelando assim informações valiosas.
- Ataques com base na web – Esses ataques parecem ganhar acesso a sistemas que armazenam ou interagem com seus dados através de serviços expostos a internet como sites, aplicações e APIs. Os hackers tipicamente exploram uma vulnerabilidade dentro de um sistema operacional ou uma aplicação associada.
- Malware – Instalar Malware ou software malicioso para se infiltrar e causar dano aos computadores continua um vetor de ataque popular. Vírus básicos e avançados, spyware, worms, cavalos de tróia e rootkits são formas de malware.
- Dispositivos comprometidos e roubados – Hackers que roubam dispositivos físicos tem diversas formas de entrar dentro deles, mesmo que as senhas sejam protegidas ou seguro de outras formas, dados sensíveis não criptografados como informação de cartão de crédito podem ser vendidas e usadas para cometer roubo de identidade.
- Roubo de credenciais – Criminosos cibernéticos alvejam credenciais como tokens, cookies de sessão, certificados digitais, combinações de ID de usuário e senha e outras chaves com base de acesso. Eles podem usar essas credenciais para se infiltrar na sua rede e roubar dados valiosos.
- Ataques de Zero-Day – Ataques de zero day alvejam vulnerabilidades nos softwares antes que o fabricante saiba do problema ou possa desenvolver um patch.
- Ataques de negação de serviço (DoS) – Ataques de DoS são um tipo particular de ataque com base na web. Os hackers tentam interromper uma máquina ou recurso de rede a enchendo de requisições ou usando um protocolo ou usando um ataque na camada de aplicação.
8 dicas para aprimorar a segurança da informação para pequenas empresas
Donos de pequenas empresas não tem que investir em recursos de segurança cibernética caros para reduzir riscos, as oito dicas a seguir ajudará bastante na proteção contra ataques de segurança cibernética comuns.
1. Adote e force a utilização do modelo de privilégio mínimo.
Dê a cada usuário apenas o acesso a sistemas e informações que eles precisam para completar suas tarefas. Reforçar de forma rígida esse princípio limita o dano que um usuário pode causar seja de forma deliberada ou acidental ao mesmo tempo em que limita o alcance de um ataque ou um malware que toma as credenciais de um usuário. Conduza analises de função regularmente para ter certeza que todos os acesso fiquem atualizados enquanto seu ambiente de TI e a sua força de trabalho evoluem.
2. Use camadas de segurança.
As melhores práticas de segurança para computador (ou empresas) envolve camadas. Seu programa de segurança deve ter:
- Inventário de ativos – Reveja regularmente quais hardwares e softwares você tem e garanta que eles estejam atualizados e suportados pelo fabricante. Mantenha um inventário dos seus dados sensíveis e críticos para o negócio. Reveja regularmente as contas de computador e usuário e desabilite e então delete aquelas que não são mais necessárias já que contas inativas podem ser alvo de roubo de credencial.
- Segurança de rede e perímetro – Divida a sua rede em zonas diferentes com diferentes níveis de segurança. Considere usar soluções como firewalls de aplicação web para bloquear tráfego suspeito indo e vindo das aplicações web e fortaleça o código SQL para que ele fique menos vulnerável a tentativas de injeção de SQL.
- Auditoria de atividade – Reveja rotineiramente a atividade das contas de computador e usuário, incluindo quem acessou quais informações e recursos
3. Configure os softwares propriamente e mantenha os patches de segurança atualizados
Tenha certeza de configurar as aplicações e sistemas operacionais propriamente, incluindo os de dispositivos móveis e implemente patches assim que eles forem lançados e testados.
4. Centralize o gerenciamento de hardware
Centralize o gerenciamento de hardware na empresa e de dispositivos móveis que viajam com os funcionários, incluindo manter uma configuração base para diferentes dispositivos. Mantenha um inventario de ativo detalhado de todo equipamento e audite os logs de rede para acessos de dispositivos não autorizados.
5. Fortaleça a sua política de senhas
Reforce uma autenticação forte e implemente políticas de segurança de senhas rígidas através da sua organização. Tenha certeza que que a política de senha seja mostrada e explicada claramente e por que é vital criar senhas fortes e protege-las. Trocar de senhas regularmente também é uma boa prática. Reforce a sua política de senhas através de configurações apropriadas na política de grupo.
6. Monitore o seu ambiente atrás de atividade suspeita.
Monitorar a atividade e as alterações através do seu ambiente é uma das melhores práticas de segurança. Alvejar rapidamente alterações suspeitas e eventos de acesso pode te ajudar a detectar um ataque e prevenir o dano em tempo real.
7. Realize o backup regularmente
Crie backups regulares e armazene ao menos uma cópia fora do ambiente. Dessa forma, se você for vítima de um desastre ou ataque você pode repor o backup sem ter que pagar por uma chave de ransomware.
8. Eduque seus funcionários
De acordo com a pesquisa da Ponemon, 53% dos ataques a pequenas empresas são por phishing ou outra forma de engenharia social. Veja novamente os 7 ataques citados acima; as chances deles serem bem sucedidos depende do conhecimento de segurança dos seus funcionários. Em particular, treine seus funcionários para usar senhas fortes e reconhecer e se recusar a abrir e-mails suspeitos e nunca deixar seus dispositivos desbloqueados. Eduque-os também como reportar eventos suspeitos e incidentes de segurança. Altere o treinamento para diferentes grupos de usuários e teste regularmente os funcionários usando estratégias como e-mails e phishing falsos.
