Gestão do RH pode reduzir riscos de ataques cibernéticos nas empresas

A segurança digital deixou de ser uma atribuição restrita aos departamentos de tecnologia. Com dados pessoais, contratos, informações financeiras e documentos estratégicos armazenados em sistemas corporativos, a gestão dos acessos concedidos aos funcionários passou a exigir atenção também das áreas de Recursos Humanos.

O cuidado é especialmente importante em três momentos da relação entre trabalhador e empresa: admissão, movimentação interna e desligamento. Nessas etapas, a criação, alteração ou revogação de permissões pode determinar quem terá acesso a sistemas, arquivos e informações sensíveis.

Segundo dados citados pela Trust Control, 26% dos ataques cibernéticos registrados em empresas no levantamento mencionado tiveram participação intencional de funcionários, enquanto erros humanos acidentais responderam por 38% dos incidentes. Os números reforçam a importância de procedimentos internos para reduzir vulnerabilidades.

Para Alberto Jorge, especialista em cibersegurança e CEO da Trust Control, a proteção depende da integração entre gestão de pessoas, processos internos e tecnologia.

“O RH é um dos primeiros filtros de segurança da empresa, porque gerencia o ciclo de vida de quem entra, circula e sai da organização. A falta de integração entre pessoas, processos e tecnologia amplia a exposição das companhias a ataques e incidentes internos”, afirma.

Acesso deve acompanhar a função do funcionário

Uma das medidas recomendadas é estabelecer critérios objetivos para definir quais sistemas e informações cada profissional pode acessar. Quando há mudança de cargo ou de setor, as permissões também precisam ser revistas.

Sem esse controle, funcionários podem acumular ao longo do tempo acessos que já não são necessários para suas atividades. A revisão periódica reduz a exposição de informações e ajuda a limitar os efeitos de uma eventual conta comprometida.

Entre os riscos mais recorrentes estão phishing, engenharia social, senhas frágeis, compartilhamento inadequado de arquivos e utilização de equipamentos não autorizados para acessar os sistemas da empresa.

O trabalho remoto e os modelos híbridos acrescentaram outro componente ao problema, uma vez que funcionários passaram a acessar informações corporativas a partir de diferentes redes, equipamentos e locais.

“Cibersegurança não é só tecnologia; é disciplina operacional, processo e comportamento”, diz Alberto Jorge. Segundo ele, as empresas devem adotar o princípio do menor privilégio — pelo qual cada profissional recebe somente os acessos necessários ao exercício de sua função —, revisar permissões, manter políticas de confidencialidade e promover treinamentos periódicos.

Desligamento exige ação imediata

O encerramento do vínculo de um funcionário é apontado como uma das etapas mais sensíveis. A comunicação entre RH e TI deve permitir que contas corporativas e credenciais sejam desativadas no momento adequado, evitando que antigos colaboradores continuem com acesso a e-mails, sistemas, documentos ou bancos de dados.

O mesmo procedimento deve alcançar acessos a plataformas externas utilizadas pela companhia e equipamentos corporativos que estejam sob responsabilidade do profissional.

Para Jorge, falhas nessa rotina podem ter consequências que ultrapassam a área de tecnologia.

“Toda empresa que trata dados sem governança corre risco de parar operações, perder receita e comprometer sua reputação. Por isso, a integração entre RH e segurança da informação não é mais uma boa prática: tornou-se uma necessidade corporativa”, afirma.

A prevenção, portanto, passa tanto por ferramentas de proteção quanto pela definição clara de responsabilidades dentro da empresa. Para o RH, isso significa incorporar a segurança da informação aos procedimentos que acompanham toda a trajetória do funcionário na organização — da contratação ao encerramento do vínculo.