Fundamentos de gestao de risco interno

O risco que vem de dentro

Nem toda ameaca vem de fora. O risco interno refere-se a acoes de pessoas que ja tem acesso legitimo, funcionarios, prestadores ou parceiros, que resultam em dano aos dados ou sistemas da organizacao. Esse risco e particularmente dificil de detectar porque o ator ja passou pelas defesas de perimetro e possui credenciais validas.

O risco interno nem sempre e malicioso. Na verdade, a maioria dos incidentes decorre de descuido, e nao de intencao. Entender esse espectro e o primeiro passo para geri-lo.

O espectro do risco interno

Os riscos internos costumam se dividir em categorias com motivacoes muito diferentes:

Cada categoria exige uma resposta diferente. Tratar um erro acidental como ato malicioso destroi a confianca; ignorar um sinal malicioso deixa a organizacao exposta.

Sinais que merecem atencao

O Microsoft Purview Insider Risk Management analisa sinais de atividade para identificar padroes potencialmente arriscados. Alguns indicadores comuns incluem:

• Download em massa de arquivos incomum para o perfil do usuario.
• Acesso a dados sensiveis sem relacao com a funcao.
• Uso de dispositivos removiveis ou servicos de nuvem nao aprovados.
• Atividade anomala em periodo proximo a um desligamento.
• Tentativas de burlar controles de seguranca.

O sistema correlaciona esses sinais ao longo do tempo, gerando alertas quando um padrao ultrapassa limiares definidos, em vez de reagir a eventos isolados.

Privacidade em primeiro lugar

O aspecto mais sensivel da gestao de risco interno e o equilibrio com a privacidade dos funcionarios. Monitorar atividade de pessoas exige cuidado etico e, frequentemente, legal, especialmente sob a LGPD no Brasil e regulacoes correspondentes nos EUA.

O Purview foi projetado com protecoes de privacidade integradas:

1. Pseudonimizacao de identidades nas investigacoes, exibindo nomes apenas quando estritamente necessario.
2. Controle de acesso baseado em funcao, garantindo que apenas investigadores autorizados vejam os dados.
3. Escopo definido, monitorando apenas atividades relevantes ao risco, nao vigilancia geral.
4. Trilha de auditoria das proprias investigacoes.

A recomendacao e envolver as areas juridica e de recursos humanos desde o inicio e estabelecer politicas transparentes.

Uma abordagem equilibrada

Uma gestao de risco interno madura evita dois extremos. De um lado, ignorar o risco deixa a organizacao vulneravel a vazamentos e sabotagem. De outro, vigilancia excessiva corroi a confianca e a cultura. O equilibrio esta em:

• Focar em protecao de dados, nao em vigilancia de pessoas.
• Usar politicas de escopo restrito e proporcionais ao risco.
• Priorizar educacao e correcao de comportamento sobre punicao.
• Ser transparente sobre o que e monitorado e por que.

Integracao com o ecossistema

A gestao de risco interno nao opera isolada. Ela se conecta a outras capacidades do Purview e do Defender. Os rotulos de confidencialidade e as politicas de DLP ajudam a identificar quais dados sao sensiveis. O contexto de identidade do Entra ID enriquece a analise. E fluxos de resposta podem acionar revisao humana, notificacao ou, quando apropriado, medidas de contencao.

Casos de uso comuns

• Desligamentos: monitoramento reforcado no periodo em torno da saida de um funcionario, quando o risco de exfiltracao aumenta.
• Acesso a propriedade intelectual: atencao especial a codigo-fonte, formulas e dados estrategicos.
• Setores regulados: conformidade com requisitos que exigem controle sobre acesso a dados sensiveis.

Key takeaways

• Risco interno vem de quem ja tem acesso legitimo e a maioria dos casos e acidental.
• O Purview Insider Risk Management correlaciona sinais de atividade ao longo do tempo.
• Privacidade e central: use pseudonimizacao, escopo restrito e acesso controlado.
• Envolva juridico e RH desde o inicio e seja transparente sobre o monitoramento.
• Equilibre protecao de dados e confianca, priorizando educacao sobre punicao.

A RHC, Microsoft Solutions Partner, ajuda a implementar gestao de risco interno com Purview de forma proporcional, transparente e alinhada a LGPD e a requisitos dos EUA.