Vivemos um momento curioso na cibersegurança.
Nunca investimos tanto em tecnologia. Firewalls mais inteligentes, autenticação multifator, EDR, XDR, soluções em nuvem, inteligência artificial… A cada ano surgem novas ferramentas prometendo elevar o nível de proteção das organizações.
Ao mesmo tempo, nunca vimos tantos incidentes de segurança.
Se estamos investindo mais, por que continuamos enfrentando os mesmos problemas?
Talvez a resposta esteja na forma como enxergamos os riscos.
Costumamos direcionar nossa atenção para aquilo que é mais visível: a tecnologia. Mas será que estamos dedicando a mesma atenção aos fatores que realmente determinam o sucesso ou o fracasso de uma estratégia de segurança?
Essa é uma reflexão importante.
O usuário não é o problema
Durante muito tempo ouvimos que “o usuário é o elo mais fraco da segurança”.
Particularmente, nunca gostei dessa definição.
O usuário não é o problema. Muito menos o elo mais fraco.
Na verdade, ele é um dos pontos mais importantes de toda a arquitetura de segurança.
É ele quem recebe um e-mail.
É ele quem aprova uma transação.
É ele quem compartilha uma informação.
É ele quem decide clicar ou não clicar.
É nele que a tecnologia encontra o negócio.
Os atacantes perceberam isso há muito tempo.
Por isso, vêm investindo cada vez menos em quebrar tecnologias e cada vez mais em explorar comportamentos humanos. Engenharia social, phishing, golpes utilizando inteligência artificial e outras técnicas existem porque, no final, sempre haverá uma pessoa tomando decisões.
A pergunta que fica é simples:
Se os atacantes estão investindo em pessoas, sua organização também está?
Temos investido em equipamentos.
Temos investido em processos.
Mas será que estamos investindo na mesma intensidade na preparação das pessoas que utilizam toda essa tecnologia?
Conscientização não é um treinamento realizado uma vez por ano.
É um processo contínuo de construção de cultura.
Porque tecnologia protege sistemas.
Pessoas preparadas protegem negócios.
Estar na nuvem não significa estar protegido
Outro tema que merece atenção é a crescente adoção do Microsoft 365.
A nuvem trouxe mobilidade, produtividade e colaboração como nunca vimos antes.
Mas também criou uma percepção equivocada em muitas organizações: a de que simplesmente mover os dados para a nuvem significa que eles estão completamente protegidos.
Nem sempre.
Existe uma diferença importante entre disponibilidade do serviço e proteção dos dados.
Imagine, por exemplo, um arquivo excluído acidentalmente, uma conta comprometida por ransomware ou uma exclusão em massa causada por um erro operacional.
Quantas organizações sabem exatamente como recuperar essas informações?
Em quanto tempo?
Com qual impacto para o negócio?
São perguntas que muitas vezes só aparecem quando o problema já aconteceu.
E, quando aparecem, normalmente já é tarde para descobrir que algumas responsabilidades continuam sendo da própria organização.
Os riscos são conhecidos. Os impactos nem sempre.
Talvez o ponto em comum entre esses dois temas seja justamente este:
Não estamos falando de riscos desconhecidos.
Todos sabem que pessoas podem cometer erros.
Todos sabem que utilizam o Microsoft 365 diariamente.
O problema é que muitas vezes subestimamos os impactos dessas situações.
Investimos para impedir ataques.
Mas será que estamos igualmente preparados para detectá-los, responder a eles e minimizar seus efeitos?
Porque, no final, cibersegurança não é apenas sobre impedir que algo aconteça.
É sobre garantir que, quando algo acontecer, o negócio continue funcionando.
