Segurança da Informação nas mídias sociais

As redes sociais são um instrumento fundamental nos dias atuais para interagir com a audiência das instituições e na UFRJ não é diferente. Os gestores destas mídias tendem a preocupar-se com os conteúdos, com objetivo de fortalecer as relações estabelecidas. Entretanto, podem acabar negligenciando a segurança da informação, grande responsável pela legitimidade das mensagens.

Nesta publicação, exploraremos tópicos relacionados a utilização com segurança das plataformas de mídia sociais. Descrevendo boas práticas para que usuários e gestores estejam cientes sobre as medidas preventivas para atuar contra as diversas ameaças, que expõem ao risco de segurança a UFRJ diariamente.

Os principais riscos na utilização das redes sociais são: contato com pessoas mal-intencionadas, furto de identidade, invasão de perfil, uso indevido de informações, invasão de privacidade, recebimento de mensagens maliciosas, acesso a conteúdos impróprios ou ofensivos e danos à imagem e à reputação.

Para mitigar os riscos, medidas preventivas são necessárias visando a utilização segura das redes sociais.

Protegendo seu perfil

Acesse o site da rede social sempre usando conexão segura (HTTPS);
Seja cuidadoso ao usar e ao elaborar as suas senhas:
- use senhas longas, compostas de diferentes tipos de caracteres;
- não use dados pessoais, como nome, sobrenome e datas;
- evite usar a mesma senha para acessar diferentes sites.
Habilite a notificação de login e a verificação em duas etapas, sempre que estes recursos estiverem disponíveis;
Evite cadastrar perguntas de segurança que possam ser facilmente descobertas;
Procure cadastrar um e-mail de recuperação que você acesse regularmente;
Solicite o arquivo com suas informações ou verifique o registro de atividades, caso desconfie que seu perfil tenha sido indevidamente usado;
Use opções como silenciar, bloquear e denunciar, caso identifique abusos;
A SegTIC possui um validador de senhas. Valide as suas: www.security.ufrj.br/validador-de-senhas

Mantenha seu computador e dispositivos móveis seguros

Mantenha todos os programas instalados com as versões mais recentes;
Aplique todas as atualizações disponíveis;
Utilize e mantenha atualizados mecanismos de segurança, como antispam, antivírus e firewall pessoal;
Desconfie de mensagens recebidas, mesmo que tenham sido enviadas por conhecidos;
Seja cuidadoso ao acessar links reduzidos:
- Use complementos que permitam expandir link encurtado posicionando o mouse sobre o endereço do site, sem necessidade de clique;
- Por segurança, teste o link reduzido em umas das ferramentas oferecidas pelos mecanismos de busca. Tais ferramentas permitem verificar o conteúdo do link sem acessar a página.

Proteja a sua privacidade

Considere que você está em um local público, que tudo que você divulga pode ser lido ou acessado por qualquer pessoa;
Pense bem antes de publicar alguma coisa, pois é a única forma de evitar problemas. Lembre-se que, num mundo tão conectado, ter cuidado antes de publicar é a melhor atitude;
Use as configurações de privacidade oferecidas pelos sites e seja o mais restritivo possível;
Mantenha seu perfil e seus dados privados;
Restrinja o acesso ao seu endereço de e-mail;
Seja cuidadoso ao aceitar seus contatos e ao se associar a grupos;
Desconfie da promessa de anonimato oferecida por redes sociais e aplicativos, de acordo com as informações divulgadas é possível inferir a sua identidade e de outras pessoas;
Seja cuidadoso ao fornecer a sua localização;
Atente-se a sempre deslogar (logoff) de suas contas.

Para saber mais sobre segurança nas redes socias, acesse: https://cartilha.cert.br/fasciculos/redes-sociais/fasciculo-redes-sociais.pdf

Proteja a conta institucional:

Para criar, gerir e proteger a conta institucional, além das orientações descritas nas seções anteriores, é importante:

Ter atenção ao tipo de conta criada para representação de um perfil institucional. Lembre-se: não é um perfil pessoal. Algumas plataformas oferecem este tipo de conta, portanto ao criar um perfil institucional, atente-se:
- E-mail, telefone e perfil pessoais vinculados:
  - Em geral, todas as plataformas exigem, no momento do cadastro para a criação de uma página ou de um perfil, de uma conta de e-mail válida, isto é, em atividade. Isto porque será disparado, ao longo do processo, um e-mail que pretende confirmar a ação ou, ainda, um número de telefone móvel (celular) que receberá um código de SMS para confirmação da conta;
  - Se possível e com a finalidade de obter credibilidade junto a comunidade acadêmica, adote o recurso de conta verificada;
  - Para evitar problemas e garantir a segurança durante o procedimento:
    - Cadastre um e-mail que represente a unidade que vai cuidar do canal social, sem centralizar no endereço do correio eletrônico de uma pessoa;
    - Certifique-se dos níveis de acesso a este e-mail, ou seja, quem é o responsável pelo perfil e que pode visualizar as informações recebidas;
    - No caso de confirmação por SMS, evite utilizar um número de celular pessoal. O ideal é ter um número corporativo para, em casos extremos ou de necessidade de novas confirmações de alteração de configurações, ser acessível pelos gestores;
    - Caso a vinculação do perfil pessoal seja regra ou política da rede social, lembre-se de adicionar mais de uma pessoa da equipe com os devidos níveis de acesso.

Utilização de aplicativos para gestão dos canais:

Os aplicativos ajudam na gestão do canal. Eles permitem agendar a publicação de conteúdos, postar simultaneamente em mais de uma plataforma, entre outros mecanismos. Para realizar estas tarefas, entretanto, você terá de cadastrar todos os seus canais oficiais, com login e senha. E este processo aumenta os riscos. Por isso:

Não utilize diversos tipos de aplicativos para gerenciar seus perfis sociais. Analise os que estão disponíveis e escolha aquele que atenda às principais necessidades. Centralize esta gestão em uma única plataforma e com restrição de acesso a muitos usuários – boa parte deles em sua versão gratuita não permite identificar quem foi o responsável por realizar as operações dentro do aplicativo em caso de problemas futuros;
Certifique-se com frequência se novas permissões foram dadas para a utilização de outros aplicativos na gestão dos perfis. Essa mecânica pode ser realizada em campos de configuração das próprias mídias sociais.
Administre os gestores da página;
Pense bem antes de realizar publicações. Uma conta institucional da UFRJ fala em nome da universidade. Além disso, antes de compartilhar informações de outras unidades da universidade, confirme a veracidade das informações com a fonte;
Esteja atento aos comportamentos anormais, inapropriados e/ou inusitados;
Tenha cuidado com mensagens que supostamente se passam pela sua instituição e/ou plataforma, onde solicitam login e senhas de acesso. Nunca forneça as suas credenciais, nem mesmo as credenciais da conta institucional. Seja através de e-mail, mensagem ou qualquer outra forma de solicitação;
Uma vez utilizando um dispositivo que seja compartilhado com outros, não salve senhas de acesso, principalmente quando o dispositivo é compartilhado com outras pessoas. Mesmo que essas pessoas sejam de confiança;
Em caso de roubo e/ou invasão de conta, é fundamental que todos esses passos sejam executados:
- Troque a senha;
- Ao trocar a sua senha, verifique se existem outros dispositivos logados com a sua conta. Se houver, verifique a opção de deslogar dos todos dispositivos;
- Solicite que todos os administradores da página alterem suas senhas e ativem a 2FA (identificação por dois fatores);
- Certifique-se de que seu endereço de e-mail associado a esta conta está seguro. Na dúvida, troque a senha;
- Encerre todas as seções de outros dispositivos associados à conta;
- Revise os perfis habilitados para administrar a conta institucional;
- Notifique a SegTIC/UFRJ, cujos canais de comunicação estão ao final desta seção;
- Notifique a plataforma. Ex.: Facebook, Instagram etc;
- Comunique à comunidade (público) sobre o comprometimento da conta, através das demais mídias da unidade. Caso necessário, solicite apoio à CoordCom;
- Comunique ao encarregado de dados dados da UFRJ.

Em caso de detecção de atividades suspeitas na conta organizacional
- Troque a senha;
- Solicite que todos os administradores da página alterem suas senhas e ativem a 2FA (identificação por dois fatores);
- Atente-se a sempre deslogar (logoff) de suas contas;
- Certifique-se de que seu endereço de e-mail associado a esta conta está seguro. Na dúvida, troque a senha;
- Encerre todas as seções de outros dispositivos associados à conta;
- Revise os perfis habilitados para administrar a conta institucional;
- Caso seja confirmada atividade indevida, busque na plataforma as instruções para o caso de roubo e/ou invasão de conta;
- Se for o caso, contate a plataforma para esclarecer dúvidas e verifique as orientações específicas, quanto ao comprometimento do perfil. Cada ferramenta possui instruções que devem ser seguidas, cuidadosamente.

Em caso de detecção de perfis falsos que se passem por oficiais:
- Notifique a SegTIC/UFRJ, cujos canais de comunicação estão ao final desta seção;
- Notifique a plataforma. Ex.: Facebook, Instagram etc;
- Comunique à comunidade acadêmica sobre o comprometimento da conta. Solicite a CoordCom e além de publicar nas demais redes sociais que a unidade possui um perfil;
- Comunique ao encarregado de dados da UFRJ.

Em caso de dúvidas e/ou notificação de incidente

A Diretoria de Segurança da Informação (SegTIC), vinculada à Superintendência de Tecnologia da Informação e Comunicação (STIC) da UFRJ, é a equipe responsável pelo tratamento e resposta aos incidentes de segurança da informação, elaborar soluções, demandas de auditoria e implantar sistemas de segurança. Adicionalmente, realizamos atividades para educação e mudança cultural relacionada à segurança nas unidades da UFRJ. Em caso de dúvidas, suspeita de incidentes ou solicitação de palestras, contacte-nos através dos nossos canais.

Canais de Atendimento: