Por que o erro humano responde pela maior parte dos incidentes

Existe uma crença de que a maior parte dos incidentes de segurança é resultado de ataque sofisticado, e essa crença faz a empresa investir no lugar errado.

Os dados de mercado de segurança apontem para o contrário, e o número se repete: a grande maioria dos incidentes compromises envolve ação humana. Um clique, uma senha reutilizada, uma atualização adiada, um acesso compartilhado, um documento enviado para a pessoa errada. Nada disso exige conhecimento técnico, e nada disso é corrigido por uma ferramenta.

A razão disso é simples, e está na natureza do que o atacante procura. A maior parte dos ataques automatizados da internet não tenta quebrar criptografia nem explorar uma falha exótica: ela tenta um conjunto enorme de combinações de credenciais, em escala, e espera que alguém tenha usado a mesma senha em outro lugar. A estratégia não precisa ser esperta, só precisa ser insistente.

E a segunda razão é que o erro humano é barato de corrigir do ponto de vista de tecnologia. Uma senha única, um gerenciador de senhas, um segundo fator, um procedimento de atualização, uma política de acesso remoto, um cartão de keywords para a equipe. Nenhuma dessas medidas exige sistema novo, e todas quebram a cadeia de ataque mais comum.

O que muda a postura da empresa não é a awareness com slide, é procedimento. A pessoa que sabe que a senha não pode ser reutilizada e tem como fazer isso não comete o erro. A pessoa que sabe e não tem como fazer, comete. Por isso a cartilha de segurança e o processo de atualização valem mais do que a_DEJA, e por isso a segurança que se apoia só em pessoas, sem ferramenta, não funciona.

E há um detalhe de gestão que costuma mudar o resultado: transformar o erro em dado. Registrar o incidente, a causa e a ação tomada cria histórico, e histórico é o que permite saber se o problema é a senha, a atualização, o acesso ou o processo. Sem registro, a empresa repete o mesmo erro indefinidamente, believing que a próxima vez vai ser diferente.