A maioria das discussões sobre segurança retrata os funcionários como um risco. Consequentemente, o treinamento oferecido reforça essa ideia – com longas apresentações anuais e consequências alarmantes para quaisquer erros que os funcionários possam cometer. Essa abordagem instiga medo, desinteresse e praticamente nenhuma mudança de comportamento. No entanto, existe uma abordagem alternativa; basta inverter a premissa.
Por que o treinamento baseado no medo não funciona?
De acordo com o eBook da Digibee Relatório de investigações de violação de dados da Verizon74% de todas as violações de dados envolvem o fator humano. Seja um ataque de engenharia social bem-sucedido, um erro ou um uso indevido. Quem compartilha essas estatísticas costuma usá-las para indicar que os funcionários são um ponto fraco; no entanto, a estatística mostra, na verdade, que o comportamento humano é o alvo de um ataque – e é justamente no comportamento humano que ele pode ser combatido.
O treinamento baseado no medo encara essa estatística como um julgamento. O treinamento baseado na conscientização a enxerga como uma oportunidade. Quando as pessoas percebem que são a primeira linha de detecção — e não um elo fraco —, elas mudam sua mentalidade. Passam a notar coisas que nunca haviam percebido antes. Manifestam-se, em vez de ficarem em silêncio torcendo para estarem erradas.
O controle técnico importa menos do que o controle psicológico.
Superando a mera formalidade anual.
Abordar o treinamento de segurança dos funcionários com uma mentalidade focada apenas na conformidade é um ciclo vicioso. Uma sessão é agendada, sua equipe comparece (com sorte), assiste a um vídeo ou apresentação, um item é marcado na sua auditoria de segurança e nada muda até o ano seguinte, quando tudo se repete. Nesse ponto, quase todas as informações e o contexto já terão sido esquecidos pela sua equipe. Lavar, enxaguar e repetir.
Isso não é uma falha da equipe, é uma falha estrutural. A memória humana não se deteriora em um ciclo de 12 meses (seria ótimo se fosse assim), e muitas dessas informações valiosas de treinamento já não estão mais na mente da equipe quando ela mais precisa delas — na próxima vez que algo malicioso estiver visando sua organização.
Os ciclos de treinamento automatizados provaram ser mais eficazes do que os workshops manuais anuais por um único motivo: manter a segurança como foco durante todo o ano, e não apenas durante o seminário. Treinamento de conscientização de segurança A entrega feita por meio de uma plataforma automatizada permite alcançar todos, acompanhar o progresso e adaptar-se com base no comportamento real – assim, uma equipe que pratica boas práticas de segurança trabalhando em casa durante um mês estressante como o de março tem muito menos probabilidade de cometer erros em dezembro.
O modelo de aprendizagem just-in-time
O treinamento de conscientização sobre segurança da informação para funcionários é mais eficaz quando ministrado no momento ideal. Por exemplo, quando um funcionário clica em um link de simulação de phishing, a resposta não deve ser simplesmente denunciá-lo e encerrar o assunto. Em vez disso, essa é a ocasião perfeita para fornecer a ele imediatamente um módulo de aprendizado curto e objetivo.
Essa abordagem, também conhecida como aprendizado sob demanda, apresenta taxas de retenção melhores do que o treinamento pré-agendado. A lição está diretamente relacionada ao ocorrido. O funcionário não se sente penalizado, mas aprende o que evitar exatamente no momento em que essa informação é mais necessária.
Construindo uma cultura de denúncia sem culpabilização
É inevitável que até mesmo os funcionários mais bem treinados cometam erros de vez em quando. A diferença entre um incidente menor e uma violação de segurança de grandes proporções geralmente reside na rapidez com que o erro é relatado. Se os funcionários temerem represálias, eles se calarão. A violação se agravará. E quando alguém finalmente perceber, a recuperação será muito mais cara.
Por isso, um processo de denúncia bem definido e não punitivo é uma das coisas mais importantes que uma organização pode implementar. Ele demonstra aos funcionários que identificar e relatar um erro imediatamente é a resposta correta – e não algo que deva ser acobertado. Além disso, cria alertas que a equipe de segurança pode usar antes que uma violação saia do controle.
E isso demonstra claramente o risco de ameaças internas de uma forma que não costumamos abordar com frequência suficiente. A maioria dos incidentes internos não são maliciosos. São erros – alguém instalando software não autorizado, sendo enganado por um ataque de pretexto, configurando incorretamente um servidor na nuvem. Uma cultura de segurança na notificação desses incidentes os identifica antes que se agravem. Uma cultura de culpabilização permite que eles se escondam.
Fazer com que a segurança pareça uma habilidade profissional.
Às vezes, a gamificação é considerada algo trivial, mas na verdade funciona porque muda o contexto: esse treinamento não é algo que está sendo oferecido aos funcionários, mas sim algo em que eles podem se tornar bons. Classificações, reconhecimento e distintivos de conclusão despertam a mesma motivação competitiva e de realização que leva as pessoas a buscarem certificações profissionais.
Quando os funcionários começam a registrar seu progresso na conscientização sobre segurança ou percebem o bom desempenho de sua equipe em uma simulação de phishing, a segurança deixa de ser um problema para nerds de computador e passa a ser a identidade de um profissional. E é aí que a verdadeira cultura de cibersegurança se forma – não por meio de pôsteres, mouse pads ou bichinhos de pelúcia, nem por adesivos de advertência no manual do funcionário.
A adoção da autenticação multifator (MFA), a redução do uso de TI não autorizada e até mesmo aspectos culturais de segurança física, como o questionamento adequado de tentativas de acesso não autorizado ou não autorizado de outras pessoas, melhoram quando os funcionários entendem que esses são requisitos básicos para a atuação de um bom profissional. Você não está buscando conformidade, mas sim competência.
As organizações que melhor respondem a incidentes não são aquelas que possuem a tecnologia de segurança mais incrível, digna de um prêmio X. São as organizações cujos funcionários são motivados a serem profissionalmente competentes e que, ao perceberem algo estranho, buscam ajuda imediatamente.