Com a tecnologia cada vez mais interligada com todos os aspectos dos negócios, o CNET @ Work pode ajudá-lo - prosumers para pequenas empresas com menos de cinco funcionários - para começar.

O senso comum vai tão longe e você precisa ter certeza de que as melhores práticas em segurança não vão de um lado para o outro. Aqui está seu plano de ataque.

Quando se trata de segurança cibernética, a empresa de software AutoClerk garante que seus 25 funcionários saibam que estão na linha de frente de algo parecido com uma batalha de vida ou morte.

"Se eles não estiverem cientes da segurança cibernética antes de contratá-los, nós os alertaremos", disse Charlotte Gibb, co-proprietária da Walnut Creek, desenvolvedora da Califórnia que fornece software para a indústria hoteleira e hoteleira. "Nossos clientes são frequentemente alvo de ataques cibernéticos e por isso temos que estar muito alertas sobre como isso pode afetar nossos clientes. Levamos a segurança cibernética muito a sério."

Ela deveria. Os cibercriminosos estão tendo um objetivo especial nas pequenas empresas. Cerca de 18% das campanhas de phishing segmentaram pequenas empresas em 2011; Desde então, o número subiu para mais de 43% do total, com o phishing sendo agora o principal veículo para o fornecimento de ransomware e ataques de malware.

As ameaças não estão limitadas a e-mails de phishing. A maioria das violações de segurança resulta de decisões descuidadas dos funcionários. Os cibercriminosos tentarão se infiltrar em uma organização usando táticas de engenharia social para ganhar a confiança dos funcionários. Ou eles podem simplesmente deixar em torno de drives USB infectados, esperando que alguém pegue um e conecte-o ao computador. Um novo truque popular é o compromisso de e-mail comercial em que os golpistas visam os funcionários que têm acesso às finanças da empresa para enganá-los e fazer transferências eletrônicas para contas bancárias falsas.

Tudo pode causar estragos. Cerca de 60% das pequenas empresas não conseguem manter seus negócios mais de seis meses depois de sofrer um ataque cibernético, segundo a National Cyber ​​Security Alliance dos EUA.

Revidar a ameaça depende de convencer os funcionários a colocar em prática o que aprendem sobre segurança cibernética. Mesmo assim, ainda não há garantias de que os funcionários façam a coisa certa.

"A menos que você esteja disposto a deixar seu local de trabalho desconfortável e ficar pendurado no ombro de alguém, você realmente não sabe", disse Gibb. "Você basicamente tem que confiar em seus funcionários. Em algum momento, você precisa ter um nível de confiança com as pessoas que contratou porque está confiando a elas seus clientes e suas informações críticas."

Fazendo a mensagem ficar

É um clichê popular - e preciso - no setor de segurança que os funcionários constituem a primeira linha de defesa de uma empresa contra atividades maliciosas ou criminosas. E é por isso que é essencial continuar pregando o evangelho até que as práticas recomendadas em relação à segurança cibernética se tornem uma segunda natureza para o seu povo.

A educação é a chave para ensinar aos funcionários um senso compartilhado de responsabilidade pelos dados com os quais trabalham. Qualquer campanha deve se tornar parte de um processo contínuo. Enquanto algumas pequenas empresas podem sentir que não dispõem dos recursos, existem maneiras de direcionar uma campanha eficaz de educação em segurança cibernética sem quebrar o banco.

● Não opte por táticas de intimidação. O objetivo é construir uma cultura de consciência cibernética, então trate a conscientização de segurança como uma campanha de marketing com a intenção de persuadir.

Comece pequeno com alguns vídeos ou infográficos para dar o pontapé inicial. Inclua cartazes, concursos e outros lembretes para levar para casa uma mensagem fácil de entender: segurança é responsabilidade pessoal de todos.

● Não perca tempo enviando mensagens longas que serão ignoradas. Mantenha-o divertido, mantenha-o curto. Você está tentando educar os funcionários sobre as práticas recomendadas, não forçando-os a comer o espinafre. Quando todos podem dar boas risadas, eles também podem aprender ao mesmo tempo.

● Promover o tema com campanhas de acompanhamento trimestrais que enfatizam a conscientização sobre segurança cibernética. Acompanhar o treinamento, testando o quão bem a lição foi aprendida. Envie e-mails ocasionais de phishing para verificar quantos funcionários ainda não reconhecem a ameaça.

Mudar o comportamento dos funcionários pode soar como uma tarefa assustadora. Mas mesmo que você não consiga eliminar todos os ataques cibernéticos contra a organização, você ainda pode criar condições que ajudem a reduzir a ameaça. Se os funcionários se afastarem do programa com uma apreciação mais séria da segurança cibernética básica, isso já é um progresso em espadas.

Cenouras e varas

"Uma violação de segurança destruiria nossa reputação e poderia levar à falência da empresa", diz David Cox, CEO da LiquidVPN, fornecedora de VPN em Cheyenne, Wyoming.

É um cenário preocupante e é por isso que ele usa uma mistura constante de cenouras e palitos para manter sua equipe "na ponta dos pés". Por exemplo, Cox periodicamente deixa cair um dispositivo de injeção de teclas disfarçado como pen drive USB em um corredor, banheiro ou lobby. "Se alguém conecta em uma das nossas estações de trabalho, eu recebo um relatório que contém sua conta de usuário e ID do dispositivo", disse ele.

Ele também contrata um serviço de terceiros especializado em phishing e ataques de malware. Se alguém falhar em um teste ou for atingido por um ataque real, ele será retirado e entrevistado para descobrir por que foi bem-sucedido.

"Tentamos demonstrar o que poderia acontecer se eles não levassem a segurança cibernética a sério e eu recompensasse os funcionários que são proativos", segundo Cox.

Ao mesmo tempo, se um funcionário faz algo excepcional ou de alguma forma demonstra um alto nível de consciência situacional, ele é recompensado com ingressos para um jogo, jantar para dois ou um certificado de presente da Amazon.

Mas no final, os riscos são altos demais para permitir que o desempenho insatisfatório da segurança cibernética continue indefinidamente.

"Damos aos funcionários treinamento adequado e, se eles não são capazes de demonstrar o tipo de consciência situacional que nossa indústria exige, eu não teria escolha senão deixá-los ir", disse ele. "Isso ainda não aconteceu. E eu sinceramente espero que isso não aconteça."