O que você precisa aprender com o escândalo de espionagem de ex-funcionários do Twitter | IT Forum
15:11 pm - 13 de novembro de 2019
A situação envolvendo funcionários que atuam como espiões em nome de autoridades do governo despertou a atenção de especialistas em segurança cibernética. Para Mike Chapple, diretor sênior de TI e professor associado da Universidade de Notre Dame, o caso fez levantar duas questões importantes. Primeiro, "por que os funcionários que não tinham nada a ver com interações com usuários tiveram acesso aos sistemas que contêm essas informações?", questiona. "Qualquer pessoa que esteja na cibersegurança há algum tempo sabe que existe esse princípio de 'menos privilégio' que adotamos há décadas. Diz que as pessoas devem ter apenas o acesso necessário para realizar seu trabalho."
"Se o Twitter tivesse controlado rigidamente o número e os tipos de funcionários que tinham acesso às informações, seria muito mais difícil, então, para as agências de inteligência estrangeiras visarem alguém com esse acesso."
A noção de "menor acesso" é consagrada em uma série de estruturas de segurança cibernética e desempenha um papel de destaque na estrutura padrão-ouro, lançada pela primeira vez pelo Instituto Nacional de Padrões e Tecnologia em 2014 – e atualizado desde então.
Uma das principais funções do controle de acesso dentre as várias funções incorporadas na estrutura diz que um dos principais resultados desejados das práticas de proteção à segurança cibernética é garantir que "as permissões de acesso sejam gerenciadas, incorporando os princípios de menor privilégio e separação de tarefas".
Outro incidente de alto nível envolvendo violações do princípio de acesso mínimo sugere que o problema pode ser mais comum que o imaginado. Em 2014, surgiram notícias de que o software "God View" da Uber permitia que muitos funcionários rastreassem a localização em tempo real de passageiros, incluindo políticos, celebridades e até mesmo namoradas de funcionários.
Como a Uber, "as organizações que experimentam violações provavelmente concordariam que o custo de remediar uma violação em termos de reputação provavelmente superaria em muito o que seria gasto para implementar os controles de segurança necessários."
"Você está restringindo o trabalho das pessoas, o que exige uma consideração cuidadosa, porque se você o restringir demais, poderá realmente impedir que alguém faça seu trabalho", observa Bort. "Ninguém quer afetar as operações."
Para enfrentar o desafio de estabelecer políticas de acesso mais sofisticadas, comece pelos sistemas mais sensíveis da organização, aconselha Chapple. "Se você pensar sobre isso da perspectiva de alguém de fora que esteja interessado em ganhos econômicos e informações financeiras, ou mesmo que esteja envolvido em alguma forma de espionagem, comece com os sistemas que seriam de maior interesse para essas pessoas."
Bort acredita que, mesmo antes de as organizações começarem a pensar em proteger ativos valiosos ou estrategicamente importantes, elas precisam começar pela base, fazendo inventários de ativos reais. "Quantas empresas conhecem todos os seus ativos? Se nem eu sei quais são as ferramentas que estão criando e computando dados, como vou começar a mexer neles?"