O que é OPSEC?
O termo OPSEC ( “Operação de Segurança”) foi criado pelos militares dos EUA durante a Guerra do Vietnã. Comandantes descobriram que algumas operações falhou porque seus adversários foram capazes de garantir informações sobre eles. Os oficiais militares, em seguida, codificada medidas preventivas e recomendações para evitar tais situações e chamou o processo de “Security Operation”.
O termo é agora amplamente utilizados em cibersegurança e privacidade online. Em termos mais gerais, isto significa que a protecção de dados utilizados num processo ou operação que um adversário (por exemplo, um cybercriminal ou uma empresa concorrente) poderia recolher e abuso.
Um monte de coisas caem sob esse guarda-chuva:
- Uma senha que acidentalmente apareceu em uma foto;
- Nossas pegadas digitais;
- Os dados pessoais disponíveis em público;
- Nossa metadados;
- conexões pessoais em mídias sociais;
- Uma imagem identificando a nossa localização, etc.
Na era da coleta de dados intenso e técnicas de hackers avançados, mesmo o mais ínfimo, a maioria dos detalhes triviais pode ser usado contra você. Por exemplo, um e-mail fora do escritório pode dizer um hacker que um funcionário importante é fora do escritório e que é uma excelente oportunidade para iniciar um ataque. os detalhes do fundo do seu selfie pode indicar o seu paradeiro e abrir a porta para stalkers.
Para evitar tais vazamentos, as empresas costumam pedir aos seus funcionários a assinar acordos de não divulgar (NADA). NADA muitas vezes obrigá-los a não divulgar ainda essa informação aparentemente inocente, como endereço, os produtos da empresa, relações com outras empresas, etc. Em um contexto não-corporativo, você deve sempre prestar atenção se a sua informação pública sobre a mídia social não expõe demais detalhes pessoais, reduzir a sua pegada digital sempre separar vida onlines pessoais e profissionais, etc.
O processo de cinco passos OPSEC
OPSEC é um processo de cinco passos. Uma entidade deve considerar cuidadosamente cada passo para identificar e salvaguardar a sua informação:
1. Identificar informação significativa
O primeiro passo é identificar dados que possam comprometer a organização se ele acaba nas mãos erradas. Isso pode ser qualquer coisa de registros financeiros para metadados de mídia social. Às vezes é realmente difícil determinar quais informações pode ser prejudicial. Sempre manter-se atualizado sobre novos perigos e ameaças. Coisas aparentemente inofensivas como um skyline da cidade no fundo, um anúncio de emprego no LinkedIn ou um e-mail fora do escritório pode causar danos.
2. Análise ameaça potencial
Identificar ameaças externas e internas para a organização. Nome específico ou adversários gerais que podem explorar os dados mencionados na etapa 1. Considere o que os dados seria o mais interessante para eles. Por exemplo, seus adversários poderia ser:
- A empresa rival;
- Um grupo de empregados não confiáveis;
- Hackers.
3. Análise de Vulnerabilidade
Considere as principais vulnerabilidades seus adversários poderiam abusam de acessar seus dados (por exemplo, lacunas, backdoor acesso, fraquezas de configuração, vazamentos de dados potenciais, etc.). Algumas situações possíveis:
- A empresa rival pode descobrir que certos empregados deixam suas posições de seus perfis do LinkedIn;
- Um grupo de empregados não confiáveis pode iniciar escalação de privilégios ataque usando seus direitos de administrador;
- Hackers pode quebrar sua chave de segurançs para ver o que chega ao seu escritório ou mesmo para entrar.
4. A avaliação de risco
Quando você descobrir seus pontos fracos, você deve avaliar o nível de ameaça que eles representam. Você deve considerar a probabilidade de um ataque, que tipo de danos que faria, e como é difícil de defender. Isso irá ajudá-lo a priorizar seus esforços. Por exemplo, você pode potencialmente perguntar se um dispositivo Anel hackeado pode fazer mais danos do que skim através de seus empregados um rival empresas perfis de mídia social.
5. Aplique medidas de segurança
Depois de identificar as vulnerabilidades e os seus riscos, você deve identificar as medidas de mitigação apropriadas para proteger a si mesmo. Isso pode incluir:
- New práticas e políticas de segurança;
- Treinamento de funcionário;
- software de segurança atualizado, etc.
O processo de cinco etapas OPSEC é útil não só em ambientes corporativos, mas também para a gestão de risco dos usuários todos os dias. Cada um de nós tem informações importantes, como senhas ou propriedade intelectual. O programa OPSEC pode servir como uma diretriz de segurança boa cibernético. Estar um passo à frente para evitar violações de dados.
