Um estudo recente da Wing Security descobriu que 63% das empresas podem ter ex-funcionários com acesso a dados organizacionais, e que a automação da Segurança SaaS pode ajudar a mitigar os riscos de offboarding.

O offboarding de funcionários geralmente é visto como uma tarefa administrativa de rotina, mas pode representar riscos substanciais de segurança se não for feito corretamente. Não remover rapidamente e de forma completa o acesso de funcionários que estão de saída introduz sérias ameaças internas, deixando a empresa vulnerável a vários tipos de riscos, como violações de dados, roubo de propriedade intelectual e descumprimento regulatório.

Hoje, onde as aplicações SaaS são facilmente integradas e são comumente utilizadas por usuários dentro e fora da organização, procedimentos eficazes de offboarding são essenciais para evitar casos de vazamentos de dados e outros problemas de cibersegurança. Vamos explorar em mais detalhes a gestão de riscos internos e o offboarding de usuários, considerando seus riscos de segurança e discutindo as melhores práticas para garantir uma organização segura.

Primeiramente, Os Riscos de Segurança das Demissões em Massa

No primeiro semestre de 2024, uma onda de demissões em massa continuou, afetando mais de 80.000 funcionários de tecnologia. Quando as demissões acontecem rapidamente e em grande escala, pode ser ainda mais difícil realizar o offboarding e remover efetivamente o acesso, especialmente considerando que o funcionário médio utiliza 29 aplicativos SaaS diferentes.

O offboarding geralmente é um esforço em equipe envolvendo TI, RH e outros gerentes departamentais. Sem papéis claros e processos consistentes, erros podem passar despercebidos, deixando as organizações vulneráveis a terem suas informações confidenciais vazadas ou comprometidas. Considerando o ritmo e a frequência da rotatividade de pessoal, o offboarding continuará sendo uma prioridade para as equipes de segurança, à medida que gerenciam riscos e conformidade.

Tempo Desperdiçado com o Offboarding Manual

Revogar manualmente o acesso em várias plataformas e aplicativos pode ser um incômodo demorado. Por isso, a automação da segurança SaaS se tornou crucial. Quando se trata de revisões de acesso para garantir e comprovar que apenas os usuários relevantes têm acesso adequado a arquivos e dados, a complexidade e o tempo envolvido para fazer isso manualmente podem sobrecarregar as organizações. Sem sistemas simplificados ou software de segurança SaaS automatizado, as organizações permanecem expostas a um grau de riscos internos, ao mesmo tempo em que lutam para provar seus esforços de conformidade.

Quatro Riscos de Práticas de Offboarding Precárias

Um offboarding adequado é essencial para gerenciar o ciclo de vida dos funcionários e mitigar riscos internos, seja por descuido ou más intenções. Garante que, quando os funcionários deixam a empresa, não tenham mais acesso aos ativos da empresa. Não offboardar corretamente os funcionários que estão saindo da organização pode resultar em grandes riscos.

1 – Violações de Dados

Se ex-funcionários ou empreiteiros não forem prontamente removidos dos sistemas, aplicativos e redes da empresa, eles podem manter acesso a dados sensíveis. Isso representa sérios riscos para a confidencialidade, integridade e disponibilidade desses dados. Ex-funcionários descontentes ou aqueles que mantêm acesso sem querer podem expor, alterar ou excluir dados críticos da empresa, informações de clientes, registros financeiros ou segredos comerciais. Por exemplo, um ex-funcionário de uma empresa de pagamentos móveis baixou relatórios contendo as informações pessoais de usuários dos EUA, afetando potencialmente 8 milhões de pessoas. Tais incidentes podem levar a grandes perdas financeiras, danos à reputação e problemas legais para a empresa.

2 – Violações de Conformidade

Processos de offboarding fracos ou manuais também podem resultar em violações de conformidade, especialmente em setores regulamentados como saúde, finanças e governo. Essas indústrias têm regras rígidas sobre privacidade de dados, segurança da informação e controle de acesso. Não remover privilégios de acesso e ex-funcionários das listas de usuários autorizados pode resultar em não cumprimento dessas regulamentações – resultando em grandes multas, penalidades, questões legais e prejuízos à reputação e credibilidade.

Empresas do setor financeiro que fazem negócios com consumidores em Nova York estão sujeitas a regulamentações rigorosas sobre segurança de dados. Em caso de violação de dados que exponha Informações Não Públicas (NPI), essas empresas devem não apenas identificar o problema, mas também notificar o Departamento de Serviços Financeiros de Nova York (NY-DFS) dentro de 72 horas da descoberta, conforme exigido pelos Requisitos de Cibersegurança do NY-DFS. Uma grande empresa de seguro de título nos EUA foi encontrada violando as regulamentações do NY-DFS por não implementar controles de acesso adequados e medidas de segurança, resultando em uma multa de US$ 1 milhão e um acordo para implementar medidas corretivas para proteger os dados dos consumidores.

Ameaças Internas

Quando os funcionários não são offboardados corretamente, representam potenciais ameaças internas, sejam deliberadas ou acidentais. Ex-funcionários que mantêm acesso a sistemas e dados sensíveis podem buscar interromper operações, roubar informações ou comprometer processos comerciais, como exemplificado pelo caso de dois ex-funcionários da Tesla que vazaram dados de 75.000 usuários para uma mídia alemã. Mesmo quando não intencionais, manter o acesso após a saída pode expor inadvertidamente informações sensíveis ou criar vulnerabilidades. Detectar e lidar com ameaças internas é desafiador, destacando a importância de procedimentos rigorosos de offboarding e monitoramento vigilante de comportamentos suspeitos em torno da saída de um funcionário.

Roubo de Propriedade Intelectual

A pesquisa da Wing Security revela alarmantemente que 43% das empresas podem ter ex-funcionários que ainda podem acessar repositórios de código organizacional no GitHub ou GitLab. Um offboarding inadequado também pode resultar em exposição de código e roubo de propriedade intelectual. Se ex-funcionários não forem rapidamente removidos de sistemas e repositórios enquanto possuem acesso a informações proprietárias, segredos comerciais, código-fonte, pesquisa confidencial e outros dados da empresa, eles ainda podem acessar e usar indevidamente essa valiosa propriedade intelectual. Isso poderia resultar em grandes perdas financeiras, desvantagens competitivas e questões legais para a empresa.

Práticas de Automação

O uso da automação na Gestão da Postura de Segurança SaaS (SSPM) é um método simples e eficaz para offboardings consistentes e completos. A automação não apenas facilita a revogação de acesso em diversos aplicativos SaaS, mas também economiza muito tempo, libera recursos e reduz os riscos de erros e omissões manuais.

A automação também ajuda a simplificar o rastreamento de permissões e compartilhamento de dados, o que pode ser especialmente complicado, principalmente ao descobrir todo o acesso concedido antes que um funcionário saia, rapidamente. Saber quais dados foram compartilhados por quem e com que permissões é crucial para manter os dados seguros.

Um hospital de acesso crítico no Colorado pagou US$ 111.400 por uma violação da HIPAA depois que um ex-funcionário manteve o acesso a um calendário de agendamento com informações de saúde protegidas de 557 pacientes mesmo após a rescisão. Se processos automatizados estivessem em vigor para detectar e revogar prontamente o acesso do ex-funcionário após a separação, esse acesso indevido e a multa de conformidade poderiam ter sido potencialmente evitados.

A automação também alivia a pesada administração frequentemente necessária para auditorias regulares e relatórios de conformidade. O risco de acesso desconhecido persistente, após a saída de alguém, é uma ameaça tão preocupante que as políticas exigem sistemas para detectá-lo. O monitoramento contínuo e algumas automações simples podem identificar rapidamente e remover o acesso após o offboarding, para implementar as melhores práticas.

Ao não ter processos de offboarding sólidos, as empresas se expõem a uma série de riscos que podem ter sérias consequências para suas operações, reputação e finanças. Protocolos adequados de offboarding são essenciais para mitigar esses riscos e proteger os ativos críticos e as informações da empresa.