A área de Recursos Humanos e de Departamento Pessoal sempre lidou com informações extremamente sensíveis. Mas, na era digital, essa responsabilidade se ampliou, tornando a Segurança da Informação no RH uma prioridade estratégica.

Além de garantir a conformidade com legislações como a LGPD, também é função do setor adotar práticas eficazes para evitar vazamentos de dados de colaboradores e candidatos, bem como fraudes e ciberataques.

Mas como manter todos esses cuidados em dia?

É exatamente sobre isso que vamos falar neste conteúdo: os principais riscos que ameaçam a Segurança da Informação no RH e como preveni-los!

O que é a Segurança da Informação no RH?

Em geral, a Segurança da Informação, também conhecida como SI, é um conjunto de práticas, processos e tecnologias voltadas à proteção de dados contra acessos não autorizados, alterações indevidas, perdas ou vazamentos.

Esse conceito se apoia em quatro pilares fundamentais — confidencialidade, integridade, disponibilidade e autenticidade das informações — e precisa estar presente em todas as áreas da empresa.

Mas, no contexto do RH, essa responsabilidade é ainda maior. Afinal, o setor administra informações altamente sensíveis de colaboradores e candidatos, como dados pessoais, bancários e históricos de saúde.

Quando falamos sobre a Segurança da Informação no RH, portanto, estamos tratando da aplicação de boas práticas que assegurem que esses dados sejam armazenados, acessados e utilizados de maneira ética, responsável e segura.

Esses cuidados também garantem a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD), legislação que regula como empresas devem gerenciar informações pessoais.

Principais riscos cibernéticos que o RH está sujeito

Para evidenciar ainda mais a importância de adotar boas práticas de Segurança da Informação no RH, precisamos alertar para o que acontece quando esse cuidado é negligenciado.

Em primeiro lugar, temos um dado preocupante:

Hoje, por exemplo, o Brasil é o vice-campeão em ataques cibernéticos, com 1.379 golpes por minuto, segundo dados do Panorama de Ameaças para a América Latina 2024.

Ou seja, empresas e setores estratégicos, como o RH, estão constantemente expostos a ameaças que podem comprometer a segurança dos negócios.

A seguir, confira os principais riscos identificados pelas organizações, conforme aponta o gráfico abaixo da pesquisa inédita de Riscos Cibernéticos, da Grant Thornton:

1.     Phishing

Mencionado por 69% dos respondentes da pesquisa, o phishing é um tipo de fraude em que os criminosos usam comunicações eletrônicas para enganar as pessoas e roubar informações confidenciais.

Um exemplo recente envolveu um alerta emitido pelo governo sobre golpes relacionados ao eSocial.

Nesse caso, os empregadores recebiam e-mails que pareciam notificações oficiais do sistema, informando sobre uma suposta pendência de atualização cadastral. Mas, ao clicar no link e fornecer os dados solicitados, as informações eram interceptadas por criminosos.

Os profissionais de Departamento Pessoal lidam com acessos a diversos sistemas como fornecedores de benefícios, operadoras de plano de saúde, entre outros, que podem ou não ser integrados ao software de geração da folha de pagamento.

É preciso estar atento, pois, esses sistemas geram múltiplas formas de contato (e-mails, portais) que podem ser imitadas em golpes de phishing.

2.     Vazamento de dados

Outro risco apontado por 68% dos respondentes é o vazamento de dados: aquele que ocorre quando informações sensíveis e pessoais são expostas, intencionalmente ou por descuido, a pessoas não autorizadas.

No RH, esse tipo de falha pode acontecer de diversas formas, entre elas:

• E-mails enviados para destinatário errado: informações de candidatos ou colaboradores acabam sendo compartilhadas com pessoas não envolvidas no processo.
  
  
• Documentos impressos esquecidos: relatórios de recrutamento, documentos de folha ou históricos de avaliação deixados em áreas comuns, salas de reunião, ou descartados indevidamente podem ser acessados por qualquer pessoa.
  
  
• Armazenamento inseguro: cadastros de candidatos, admissão e desligamento mantidos em locais físicos não controlados ou em nuvem sem a proteção adequada ficam vulneráveis a acessos indevidos, bem como a vazamentos.
  
  

Esses incidentes não só comprometem a privacidade dos colaboradores, mas também expõem a empresa a riscos legais e prejudicam a confiança na gestão de pessoas.

3.     Ransomware

Enquanto isso, o ransomware, risco apontado por 67% das empresas, é um tipo de malware que bloqueia o acesso a sistemas ou arquivos e exige o pagamento de um resgate para liberá-los.

No contexto do RH, um ataque desse tipo pode atingir, por exemplo, o sistema de gestão de pessoas, bloqueando o acesso às informações de folha de pagamento, históricos de colaboradores e outros dados críticos.

4.     Roubo de credenciais ou compartilhamento de acessos

Apontado por 36% dos respondentes da pesquisa, o roubo de credenciais ocorre quando hackers ou pessoas mal-intencionadas obtêm login e senha de colaboradores, permitindo acesso não autorizado a sistemas e informações sensíveis da empresa.

Em geral, o roubo de credenciais pode gerar consequências graves, como exposição de dados sensíveis, alterações indevidas em sistemas, fraudes internas e prejuízos à conformidade com a LGPD.

No RH, esse risco é potencializado pelo uso de diversos softwares, como, por exemplo, plataformas de gestão de pessoas ou de folha de pagamento, aplicativos de recrutamento e seleção, portais de solicitação de benefícios e até ambientes de inteligência artificial que não estão sob controle seguro.

Integrações manuais entre sistemas e o hábito de emprestar senhas aumentam ainda mais a vulnerabilidade, além do acesso a dados corporativos por meio de equipamentos pessoais não protegidos.

As 5 melhores práticas de Segurança da Informação no RH

Agora que os principais riscos foram apresentados, vamos ao que mais importa: as melhores boas práticas que o RH pode adotar no dia a dia para proteger o setor, os colaboradores e a empresa.

Dê só uma olhada:

1.     Gerenciamento de acessos

Controlar quem tem acesso a cada tipo de informação ou de sistema é um passo para reduzir riscos de vazamento ou, então, o uso indevido de dados.

Entre as medidas que o RH pode seguir para melhorar esse gerenciamento, estão:

• Conceder acesso apenas a quem realmente precisa das informações. Cada função pode exigir acesso a sistemas diferentes. Por isso, nem todas as pessoas do setor devem ter acessos habilitados a todos os programas;
  
  
• Trocar senhas periodicamente e evitar o compartilhamento de login. Inserir a cultura da segurança da informação por meio de treinamentos;
  
  
• Realizar revisões periódicas para revogar permissões de quem não utiliza mais os sistemas. Isso deve ocorrer sempre que houver movimentação de pessoal, seja por mudança de cargo ou transferência entre setores.
  
  

2.     Gestão de documentos e informações

Como já falamos, o RH lida com uma grande quantidade de dados sensíveis que precisam ser armazenados, utilizados e descartados de forma segura.

Para cumprir essa missão com excelência, é importante:

• Manter os dados pessoais e contratuais dos colaboradores, das folhas de pagamento e aquisição dos benefícios em locais controlados e protegidos;
  
  
• Descartar documentos de maneira adequada, respeitando os prazos legais, como currículos após o encerramento de processos seletivos, comprovantes e arquivos de colaboradores desligados;
  
  
• Registrar quem acessa e manipula documentos críticos para aumentar a rastreabilidade. Isso permite identificar procedimentos realizados indevidamente e monitorar acessos não permitidos.
  
  

3.     Desenvolvimento de regras e políticas internas

Estabelecer normas claras de Segurança da Informação, tanto para o RH quanto para toda a empresa, ajuda a orientar comportamentos e reduzir riscos de erros ou descuidos.

Algumas regras que podem ser incluídas:

• Proibir o compartilhamento de senhas e acessos;
  
  
• Implementar políticas de desligamento que revoguem acessos imediatamente. ;
  
  
• Definir diretrizes sobre o uso de equipamentos corporativos e pessoais fora da empresa;
  
  
• Realizar treinamentos e reciclagens periódicas sobre segurança e proteção de dados.
  
  

4.     Uso da tecnologia como aliada

A adoção de sistemas e ferramentas adequadas aumenta consideravelmente a proteção e a rastreabilidade das informações. Por isso, vale a pena investir nessa frente.

Entre as boas práticas que se destacam, estão:

• Utilizar autenticação de dois fatores (2FA) e criptografia em sistemas críticos;
  
  
• Utilizar VPNs (rede virtual privada) para garantir acesso seguro em mobilidade e em dispositivos pessoais, quando necessário;
  
  
• Definir e contratar softwares de folha de pagamento e das plataformas de gestão relacionadas que adotem procedimentos seguros e sejam devidamente homologados e alinhados junto à equipe de TI;
  
  
• Implementar auditoria e monitoramento de acessos, registrando quem e quando as informações foram acessadas.
  
  

5.     Plano de Resposta a Incidentes (PRI)

Ter um protocolo de ação em caso de incidentes relacionados à Segurança da Informação é fundamental – não apenas para minimizar danos, mas também para atender às definições da LGPD, que reforça a importância desse procedimento nos programas de governança em privacidade.

Um Plano de Resposta a Incidentes bem estruturado permite que o RH e o Departamento Pessoal ajam de forma rápida e coordenada diante de vazamentos, acessos indevidos ou ataques cibernéticos. Para isso, o plano deve incluir:

• Identificação de incidentes: definir claramente o que caracteriza um incidente de segurança da informação, desde acessos não autorizados até falhas em sistemas.
  
  
• Papéis e responsabilidades: determinar quem será acionado em cada etapa, incluindo líderes de TI, RH, jurídico e comunicação interna.
  
  
• Procedimentos de contenção: ações imediatas para limitar os danos, como bloqueio de contas, isolamento de sistemas ou reversão de alterações indevidas.
  
  
• Análise e investigação: identificar a causa do incidente, os dados afetados e possíveis vulnerabilidades exploradas.
  
  
• Comunicação e registro: notificar os envolvidos de forma adequada, manter arquivos detalhados do ocorrido e registrar todas as ações tomadas.
  
  
• Recuperação e correção: restaurar sistemas e dados comprometidos, corrigir falhas e atualizar políticas e controles para evitar recorrências.
  
  
• Treinamento e simulações: capacitar a equipe regularmente para responder de forma eficiente e testar periodicamente o plano por meio de exercícios simulados.
  
  

Segurança também é sobre pessoas

Manter a segurança digital no RH não se limita apenas à proteção técnica da empresa. Outros fatores organizacionais são igualmente essenciais, especialmente o fator humano.

Mesmo diante de toda a tecnologia disponível, um ambiente seguro não resiste à falta de preparo ou comportamento antiético. Portanto, é evidente que investir em treinamentos e conscientização recorrentes pode garantir que os colaboradores saibam identificar riscos e ameaças, ajam de forma proativa e encaminhem as ocorrências aos responsáveis para o devido tratamento.

Resumindo: toda segurança depende do olhar para o ser humano como peça-chave para que tudo funcione.

Considerações finais

Vazamentos, ataques de phishing, ransomware e roubo de credenciais podem gerar consequências graves, como danos à reputação da empresa, perdas financeiras, comprometimento da conformidade legal e queda na confiança interna.

Por isso, adotar as melhores práticas de segurança, desde o gerenciamento de acessos até o uso de tecnologia adequada, é essencial para proteger o RH e a empresa como um todo.

A plataforma NydusRH é um exemplo de solução tecnológica que pode apoiar o setor nessa jornada. Afinal, nosso sistema de folha de pagamento integra tudo o que a gestão de pessoas precisa, em um ambiente seguro e confiável.

Quer entender como garantimos segurança em múltiplas camadas para o RH e asseguramos a conformidade com a LGPD? Então, acesse o site e saiba mais!

Fonte:

https://www.grantthornton.com.br/insights/artigos-e-publicacoes/pesquisa-riscos-ciberneticos/

Acesse também: