A importância da união entre RH e TI

De acordo com o relatório da Kaspersky Lab e B2B International, cerca de 46% dos incidentes de segurança são causados pelos próprios funcionários, o que gera uma fragilidade nas empresas que deve ser resolvida em vários níveis, não apenas pelo departamento de segurança de TI.

Há vários níveis que precisam ser abortados quanto ao tema para minimizar o impacto. Travar navegação, bloquear programas e limitar acessos nem sempre é a melhor solução. Na verdade, este tipo de ação pode gerar apenas um desconforto entre os colaboradores e fazer com que a empresa perca produtividade, seja por descontentamento, ou pela limitação de recursos/acessos.

É fundamental que as empresas possuam uma política de segurança e um regulamento de uso dos recursos tecnológicos da empresa e que seja, se possível, entregue aos funcionários pelo RH já no início do contrato de trabalho. Essa política precisa abordar temas como utilização de e-mails, navegação em sites, utilização de arquivos, políticas de senhas, programas instalados, etc.

A equipe de Rh deve estar alinhada ao time de TI quanto as informações contidas na política de utilização dos recursos tecnológicos para que possam sanar possíveis dúvidas e até mesmo auxiliar no cumprimento dos tópicos ali desenhados.

Conscientizar os funcionários, entretanto, vai além de uma política de segurança bem desenhada.

A política é o pontapé inicial do assunto, se tratando de conscientização. Os funcionários precisam estar cientes das boas práticas de navegação, da importância que a “informação” representa para a empresa.

A “informação” é um dos bens mais valiosos de uma empresa, que pode fazer o diferencial frente a concorrência ou simplesmente derrubar as vendas, se mal utilizada. Sem os funcionários terem essa ciência, sem saberem da importância que a informação representa, o mal-uso da informação será inevitável, podendo gerar vazamentos dessas informações, conscientes ou não.

Os funcionários precisam ser lembrados constantemente sobre as boas práticas de TI, precisam estar antenados com os perigos que assolam o meio digital e isso requer que haja uma parceria forte entre TI e RH, que poderá difundir melhor essa informação entre os funcionários, promovendo treinamentos sobre os temas, levantando dicas para o dia-a-dia e repassando notícias do meio tecnológico.

O meio corporativo sofreu, há algum tempo, ataques de nível global com ransomwares, programas maliciosos que sequestram as informações, codificando-as e cobrando um valor de resgate. O impacto seria bem menor se os funcionários, por exemplo, soubessem como manter o sistema operacional sempre atualizado e o quanto esse processo é simples e importante para a segurança da informação.

Uma das práticas mais comuns de ataque é através do phishing, que consiste em uma tentativa de enganar usuários através de um e-mail, aparentemente idôneo, mas que tenta obter informações para o uso de cibercriminosos.

Outra questão imprescindível na integração do RH com TI são os processos de contratação e desligamento de funcionários. Quando não há essa parceria entre áreas, o processo pode ser falho e gerar brechas de segurança, principalmente no processo de desligamento.

Se o funcionário foi desligado da empresa, por exemplo, e TI não foi comunicada de forma adequada, o funcionário desligado pode permanecer com acesso a sistemas, contas de e-mail e servidores de arquivos.

Com essa falha de processo geramos uma das piores brechas de segurança no que diz respeito aos funcionários. Um funcionários desligado e insatisfeito com a empresa pode causar danos a sistemas que podem levar horas para serem sanados, podendo, até mesmo, causar paradas na operação ou vazamento de informações para concorrentes.

RH e TI juntos para atuar no combate a segurança da informação não deve ser uma opção e sim parte de um processo integrado e bem desenhado. Por este motivo, é muito importante que o RH e TI trabalhem juntos para a conscientização dos funcionários.

De nada adianta bloquear acessos, travar navegação, restringir redes sociais se o funcionário não for parceiro da empresa na proteção das informações.