Comecemos com uma reflexão sobre o que é o 'culto da carga'. Em sociedades primitivas, a observação de aviões despejando suprimentos levou à imitação de seus aspectos externos, como a construção de pistas de pouso e torres de rádio com materiais locais, na esperança de atrair os mesmos 'presentes'. Na segurança da informação (SI), o 'culto da carga' se manifesta na adesão cega às 'melhores práticas', muitas vezes sem considerar sua eficácia real.
Um exemplo comum é a política de troca de senhas a cada 30 dias, uma prática que, embora amplamente aceita, pode ser ineficaz. Estudos e recomendações, como as do NIST, sugerem que a troca frequente de senhas pode levar os usuários a usar senhas semelhantes ou anotá-las, comprometendo a segurança. Outras práticas, como a implementação de sistemas DLP sem considerar o uso de dispositivos pessoais ou a obrigatoriedade de treinamentos de SI que geram mais irritação do que conscientização, ilustram essa abordagem.
O artigo também destaca como a busca por conformidade, em vez de segurança real, pode prejudicar os processos de negócios e a experiência do usuário. A imposição de restrições, como a desativação do modo de navegação anônima em navegadores corporativos ou a proibição de direitos de administrador em laptops, pode levar os usuários a buscar soluções alternativas, contornando as medidas de segurança. A solução reside em uma abordagem mais estratégica, que priorize a avaliação de riscos, a adaptação às necessidades do usuário e a busca por soluções técnicas modernas e especialistas qualificados. Em vez de focar em um número máximo de proibições, a segurança deve priorizar a redução de riscos com o mínimo de restrições.
Para uma abordagem mais eficaz, o artigo sugere:
- Manter-se atualizado: Acompanhar as 'melhores práticas', mas com mais frequência, considerando a evolução constante da SI.
- Buscar especialistas: Contratar especialistas e integradores que se especializem em segurança.
- Investir em tecnologia: Utilizar soluções técnicas modernas, como simuladores de ataques e sistemas de detecção de intrusão.
- Coletar feedback: Obter feedback dos usuários sobre a usabilidade dos serviços de SI.
- Adaptar-se: Reconhecer que os usuários se adaptarão às medidas de segurança, e que é preciso estar preparado para as mudanças no cenário de ameaças e proteção.
