Seus ex-funcionários ainda podem ter acesso a dados corporativos?

Qual seu grau de confiança de que ex-funcionários não têm mais acesso a informações corporativas da sua empresa? Como a prática mostra, esta não é uma pergunta irrelevante. Recentemente, nossos colegas analisaram o nível de preparação das pequenas e médias empresas (SMBs) para ciberincidentes em um mundo imprevisível. O estudo constatou que quase metade das empresas pesquisadas não tinha 100% de certeza de que funcionários demitidos não poderiam acessar dados comerciais por meio de serviços em nuvem ou contas corporativas.

Que mal pode fazer um ex-funcionário com acesso a dados corporativos?

Se um ex-funcionário ainda tem acesso a serviços de trabalho ou sistemas de informação, ele pode fazer muito mal ao seu antigo empregador – caso tenha esse objetivo. As SMBs geralmente se preocupam com ameaças fantasmas, como um ex-funcionário usando dados corporativos para lançar um negócio concorrente ao seu atual core business ou aceitando um emprego com um concorrente e roubando os clientes da empresa. Mas em termos de danos nos negócios, estes estão no final da lista.

Se um ex-funcionário tem acesso a um banco de dados de clientes que contém dados pessoais, o que ele pode fazer é vazá-lo para o domínio público (por exemplo, como vingança por demissão) ou vendê-los na dark web. Para começar, isso prejudicaria a reputação do seu negócio. Em segundo lugar, pode comprometer seus clientes, que podem tomar medidas legais – se não por danos, então pelo menos por terem seus dados pessoais vazados. Terceiro, você recebe uma multa pesada dos reguladores. Este último depende, naturalmente, das leis do país onde você opera, mas há uma tendência crescente em todo o mundo para endurecer as penalidades sobre este tipo de problema.

Problemas potenciais sem intenção maliciosa

Algumas questões não são resultado de esquemas de ex-funcionários, ou mesmo vazamentos diretos. Um ex-colega pode nem se lembrar que teve acesso a tal recurso. Mas uma verificação de rotina por esses mesmos reguladores pode revelar que pessoas não autorizadas têm de fato acesso a informações confidenciais, o que ainda resultaria em uma multa.

E mesmo que tenha certeza de que todas as demissões foram amigáveis, isso não significa que esteja fora de perigo. Quem pode garantir que eles não usaram uma senha fraca ou não exclusiva para acessar sistemas de trabalho, que cibercriminosos podem utilizar ataques de força bruta ou até mesmo causar um vazamento não relacionado? Qualquer acesso redundante a um sistema – seja um ambiente colaborativo, e-mail de trabalho ou máquina virtual – aumenta a superfície de ataque. Até mesmo um simples bate-papo entre colegas sobre questões não diretamente relacionadas a trabalho podem ser usadas para ataques de engenharia social.

Como minimizar os riscos

A maioria das medidas para combater vazamentos de dados por meio das contas de ex-funcionários são organizacionais. Assim, recomendamos:

• Minimizando o número de pessoas com acesso a dados corporativos importantes.
• Definindo políticas de acesso rigorosas para recursos corporativos – incluindo e-mail, pastas compartilhadas e documentos online.
• Mantendo registro de credenciais de acesso: tenha documentação e processo dos acessos concedidos e a quem. Revogue imediatamente se o colaborador deixar a empresa.
• Criando instruções didáticas para criar e alterar senhas.
• Introduzindo rotina de treinamento de conscientização de cibersegurança para os funcionários.