A mensagem certa, no momento certo: por que é que o momento certo é importante na sensibilização para a segurança

Índice

• • Porque é que mais formação nem sempre significa menos risco
  • Aproveitar ao máximo o momento
  • Uma melhor orientação depende de uma melhor visibilidade
  • Criar uma ligação mais clara entre a formação e o comportamento
  • Desenvolver a sensibilização para a segurança sem ter de começar do zero
  • A mensagem certa. O momento certo. Impacto real.
  • Cria uma abordagem mais ágil ao risco cibernético humano
  • FAQs

Os programas de sensibilização para a segurança têm seguido, tradicionalmente, um calendário bastante previsível. Há formações anuais para abordar o essencial, simulações de phishing a intervalos regulares e campanhas ao longo do ano para reforçar temas importantes ou manter os colaboradores a par das ameaças emergentes.

É claro que os colaboradores precisam de lembretes regulares para manterem a cibersegurança sempre em mente e refrescarem o que aprenderam, mas depender demasiado de um calendário pode criar uma lacuna entre o momento em que a formação acontece e aquele em que os colaboradores precisam realmente de a pôr em prática.

O risco cibernético não espera pelo próximo módulo de formação; aparece a meio de um dia de trabalho agitado, quando alguém recebe um e-mail de phishing convincente enquanto tenta dar conta de uma caixa de entrada a transbordar. Pode ser um pedido de pagamento inesperado ou uma mensagem urgente que parece ter vindo de um colega sénior. São nestes momentos que os colaboradores precisam de reconhecer o risco e tomar a decisão certa, muitas vezes numa questão de segundos.

Pode ser que alguém tenha abordado exatamente esse cenário numa formação há alguns meses, mas o que é que vai mesmo vir à cabeça quando estiverem ocupados, distraídos ou sob pressão?

Para os responsáveis pela segurança, isso faz com que o momento certo seja uma parte importante da conversa sobre a relevância da formação. Já sabemos que os colaboradores estão mais propensos a envolverem-se na formação em segurança quando esta reflete os riscos que enfrentam no seu dia-a-dia. A próxima questão é se conseguimos tornar essa formação ainda mais útil, ministrando-a mais perto do momento em que é necessária.

O nosso Repensar o risco cibernético humano rA investigação sugere que os CISOs vêem aqui uma oportunidade real. Três quartos dizem que a relevância é mais importante do que a frequência quando se trata de promover comportamentos seguros através de formação em sensibilização para a segurança, enquanto 83% acham que poderiam reduzir o risco cibernético humano mais rapidamente se tivessem melhores formas de priorizar quem precisa de que intervenção e quando.

Por que é que mais formação nem sempre significa menos risco

É fácil pensar que mais ações de sensibilização para a segurança vão levar a melhores comportamentos em matéria de segurança. Mais cursos, mais simulações e mais comunicações significam que os colaboradores estão a ver mais mensagens sobre segurança, por isso, certamente que parte disso deve traduzir-se numa redução do risco, certo?

Infelizmente, não é assim tão simples. A nossa investigação revelou que os colaboradores recebem agora conteúdos de sensibilização para a segurança, em média, seis a sete vezes por mês; no entanto, 81% dos CISOs afirmam que a formação continua a falhar porque é demasiado genérica para parecer relevante a nível pessoal.

Quando pensas nas diferentes pessoas e funções dentro de uma organização, é fácil perceber como é que isso acontece. Alguém que trabalha nas finanças pode passar o dia a lidar com faturas, pedidos de pagamento e e-mails dos líderes seniores, o que torna a falsificação de identidade e o comprometimento de e-mails empresariais particularmente relevantes. Alguém nos RH lida com informações confidenciais dos colaboradores, enquanto os programadores e os colaboradores com acesso privilegiado enfrentam, por sua vez, um conjunto de riscos completamente diferente.

O comportamento individual acrescenta mais uma dimensão. Um colaborador pode ser muito bom a identificar e-mails suspeitos, mas ter dificuldades noutras áreas de segurança, enquanto outro pode cair repetidamente no mesmo tipo de técnica de phishing. Dar a ambos exatamente a mesma formação, ao mesmo tempo, pode ser prático, mas é bem provável que parte dessa formação não pareça particularmente útil para nenhum deles.

Uma abordagem mais direcionada dá às equipas de segurança a oportunidade de serem muito mais seletivas. Quem é que realmente precisa de apoio? Em que é que precisam de ajuda? E quando é que esse apoio seria mais útil? Responder a essas perguntas pode fazer com que cada ação de formação tenha um impacto maior, sem ter de ir adicionando constantemente mais conteúdo à carga de trabalho dos colaboradores.

Aproveitar ao máximo o momento

Vejamos, por exemplo, uma simulação de phishing. Um colaborador clica num link que não devia, o que dá à equipa de segurança uma indicação útil sobre onde pode ser necessário algum apoio adicional. Isto cria uma oportunidade de aprendizagem realmente valiosa, porque o cenário ainda está fresco na memória desse colaborador.

Se, logo a seguir a essa experiência, houver formação relevante, cria-se uma ligação muito mais forte entre as duas coisas. O colaborador consegue identificar os sinais de alerta que não tinha percebido, perceber por que é que o e-mail era suspeito e aprender o que pode fazer de forma diferente da próxima vez. Esse contexto pode fazer com que a aprendizagemparecer muito mais útil do que abordar a mesma técnica de phishing vários meses depois, num módulo de formação geral.

É aqui que entram as intervenções no fluxo de trabalho. Os sinais comportamentais e de risco podem ajudar as organizações a identificar oportunidades para dar apoio adicional quando faz mais sentido, em vez de esperar até à próxima atividade do calendário de sensibilização.

Uma falha numa simulação de phishing, por exemplo, pode dar origem a uma breve formação relacionada com a técnica com que o colaborador acabou de se deparar. Uma equipa que esteja a ser alvo de um tipo específico de ataque pode receber formação adaptada a essa ameaça, enquanto os colaboradores que apresentem comportamentos de risco recorrentes podem beneficiar de apoio ou reforço adicional.

Claro que ninguém quer que os colaboradores recebam uma notificação de formação sempre que fizerem algo que gere um sinal de risco; isso é o caminho mais rápido para uma fadiga de formação ainda maior. O valor está em usar a informação que já tens sobre os teus colaboradores para tomares decisões mais inteligentes sobre quando uma intervenção seria realmente útil e como é que essa intervenção deveria ser.

Uma melhor segmentação depende de uma melhor visibilidade

Para que tudo isto resulte, as equipas de segurança precisam de saber onde é que o risco cibernético relacionado com o fator humano se concentra na organização, e essa é uma área em que muitas ainda têm dificuldades.

A nossa investigação revelou que 76% dos CISOs não têm uma ideia clara de quais as intervenções que funcionam melhor para diferentes funções ou perfis de risco. No entanto, 81% concordam que uma abordagem mais direcionada é a solução para melhorar a sensibilização para a segurança, o que destaca uma lacuna significativa entre o que as organizações pretendem alcançar e a visibilidade de que dispõem atualmente.

Criar essa visibilidade significa analisar os diferentes sinais que já estão a ser gerados pelos colaboradores e pelos programas de segurança. Os resultados das simulações de phishing, as atividades de formação e outros sinais comportamentais ou de segurança mais amplos podem todos ajudar a construir uma imagem mais clara de onde se encontram os riscos, quais os grupos que podem precisar de mais apoio e como essa imagem evolui ao longo do tempo.

Assim que as equipas de segurança tiverem essa perceção, podem agir de forma muito mais ponderada quanto ao que se segue. Um grupo que apresente um risco mais elevado em relação a uma ameaça específica pode receber formação que aborde diretamente essa questão, enquanto os colaboradores que demonstrem consistentemente bons hábitos de segurança podem precisar de menos intervenção.

Além disso, dá às organizações uma base melhor para responder a uma questão muito mais importante: o programa de sensibilização está mesmo a reduzir o risco?

Criar uma ligação mais clara entre a formação e o comportamento

As equipas de segurança não têm, de certeza, falta de dados. As taxas de conclusão de formações, os cliques em mensagens de phishing, os e-mails denunciados e muitas outras métricas podem ser todas acompanhadas e adicionadas a um painel de controlo. O mais difícil é perceber o que esses números realmente te dizem sobre se as pessoas estão a mudar o seu comportamento.

Esse desafio ficou bem claro na nossa investigação. Quase três quartos (74%) dos CISOs dizem que os relatórios atuais sobre riscos cibernéticos relacionados com o fator humano lhes dão painéis de controlo sem uma compreensão suficientemente clara para tomarem melhores decisões. E o que é ainda mais impressionante: 89% não conseguem associar com segurança as atividades de sensibilização à redução de incidentes ou quase-acidentes.

Intervenções oportunas e direcionadas podem ajudar a tornar essa ligação mais fácil de perceber. Se um determinado comportamento levar a uma intervenção, as equipas de segurança podem então analisar o que acontece a seguir. Talvez um colaborador passe a identificar melhor a técnica de phishing com a qual antes tinha dificuldades, um grupo de maior risco melhore ao longo de várias simulações ou o comportamento de comunicação de incidentes comece a mudar após uma formação direcionada.

Analisar esses padrões ao longo do tempo pode dar às equipas de segurança muito mais informações sobre se uma intervenção resultou e onde podem precisar de ajustar a sua abordagem. Também facilita concentrar o tempo e o orçamento nas atividades que estão a ter maior impacto.

Isso é especialmente importante quando pedem aos CISOs para justificarem as suas despesas. A nossa investigação revelou que espera-se que 77% deles comprovem o retorno do investimento (ROI) de forma mais rigorosa nas iniciativas relacionadas com os riscos cibernéticos humanos do que nos controlos técnicos. Conseguir mostrar como uma intervenção influenciou o comportamento dá aos responsáveis pela segurança argumentos muito mais convincentes para apresentar ao conselho de administração do que apenas as taxas de conclusão.

Desenvolver a sensibilização para a segurança sem ter de começar do zero

Tudo isto pode parecer uma grande mudança, mas as organizações não precisam de reconstruir os seus programas de sensibilização para a segurança do zero. Na verdade, a nossa investigação sugere que a maioria dos CISOs prefere ir aperfeiçoando o que já têm através de projetos-piloto e melhorias graduais.

As simulações de phishing podem ser um bom ponto de partida. As organizações podem começar por associar os resultados das simulações a formação de acompanhamento relevante e por analisar se o comportamento dos colaboradores melhora depois disso. A partir daí, podem introduzir formação mais específica para cada função, usar a pontuação de risco a nível de grupo para ajudar a priorizar as intervenções e incluir uma gama mais ampla de sinais comportamentais à medida que a sua abordagem vai amadurecendo.

Estas mudanças podem acontecer gradualmente, com base nas ações de formação e sensibilização já em curso. Com o tempo, o programa torna-se mais sensível ao que os colaboradores estão a passar e aos riscos que vão surgindo em toda a organização.

A mensagem certa. O momento certo. Um impacto real.

A sensibilização para a segurança ainda precisa de consistência. Os colaboradores precisam de oportunidades regulares para atualizar os seus conhecimentos, aprender sobre ameaças emergentes e manter a segurança sempre em mente. Mas há muito mais que as organizações podem fazer nos intervalos entre essas atividades programadas.

Quando alguém tem um comportamento de risco ou um determinado grupo começa a dar sinais de um risco acrescido, há uma oportunidade de agir enquanto esse apoio ainda é relevante. Com uma melhor visibilidade, as equipas de segurança conseguem perceber onde estão essas oportunidades e tomar decisões muito mais informadas sobre a formação que oferecem.

Além disso, cria uma ligação muito mais estreita entre as atividades de sensibilização e a gestão mais ampla do risco cibernético humano. As equipas de segurança podem identificar onde o risco está concentrado, decidir onde concentrar os seus esforços, ver como o comportamento muda e usar esses resultados para definir o que vai acontecer a seguir.

No fim de contas, todas as organizações têm uma quantidade limitada de tempo, orçamento e atenção dos colaboradores à qual podem recorrer. Tornar a formação em segurança mais relevante e mais oportuna dá às equipas de segurança a oportunidade de usar esses três recursos de forma mais eficaz, ao mesmo tempo que oferece aos colaboradores um apoio que faz sentido no contexto do seu dia de trabalho.

Criar uma abordagem mais ágil ao risco cibernético humano

A MetaCompliance ajuda as organizações a criar programas de sensibilização para a segurança com base nos riscos que os seus colaboradores enfrentam realmente. Formação personalizada formação em sensibilização para a segurança, simulações avançadas de phishinge informações sobre riscos e intervenções automatizadas ajudam as equipas de segurança a perceber onde é preciso dar apoio e a oferecer formação relevante com base nos riscos e no comportamento dos colaboradores.

Isto dá às organizações uma maior visibilidade sobre os riscos cibernéticos relacionados com o fator humano e mais controlo sobre a forma como respondem, ajudando-as a tirar melhor partido dos sinais comportamentais, a direcionar as intervenções de forma mais eficaz e a avaliar como o risco evolui ao longo do tempo.

Isto é apenas uma parte de uma mudança muito maior na forma como as organizações encaram o risco cibernético humano. A nossa investigação explora os desafios mais amplos que os responsáveis pela segurança enfrentam, desde tornar a formação mais relevante e perceber quais as intervenções que funcionam, até medir a mudança de comportamento e demonstrar o valor da sensibilização para a segurança ao nível do conselho de administração.

Descarrega o nosso Relatório «Repensar o Risco Cibernético Humano» para teres acesso a todas as perspetivas de 200 CISO de França, Alemanha, Suécia e Reino Unido, juntamente com orientações práticas sobre como as organizações podem evoluir a sua abordagem e criar uma estratégia de gestão de riscos humanos mais direcionada, mensurável e eficaz.