Gestão do risco cibernético humano: a abordagem multifuncional de que ninguém fala

Quando acontece um incidente de cibersegurança, a resposta das empresas costuma ser imediata. As equipas de segurança investigam o que aconteceu, a direção procura explicações, os RH comunicam com os colaboradores, a TI trabalha para conter o problema e as equipas de conformidade começam a analisar quaisquer implicações regulamentares.

Durante um curto período, toda a gente está concentrada no mesmo objetivo. Depois, o incidente passa, as prioridades mudam e cada departamento volta às suas próprias responsabilidades. A sensibilização para a segurança volta a ser problema da equipa de segurança, os RH concentram-se nas iniciativas relacionadas com as pessoas, as TI voltam aos projetos de infraestrutura e os líderes empresariais passam para a próxima prioridade estratégica.

Este ciclo repete-se todos os dias em várias organizações e é uma das principais razões pelas quais o risco cibernético relacionado com o fator humano continua a ser tão difícil de reduzir.

O nosso Relatório «Repensar o Risco Cibernético Humano» , baseado num inquérito a 200 CISOs no Reino Unido, França, Alemanha e Suécia, revelou que, embora as organizações reconheçam de forma geral a importância de gerir o risco cibernético humano, a responsabilidade por isso raramente é partilhada de forma significativa. Melhorar a colaboração entre as equipas de Segurança, RH, TI e Conformidade surgiu como uma prioridade máxima para 22% dos CISOs. No entanto, concretizar isso não é fácil. Um em cada quatro (25%) afirmou que as prioridades empresariais concorrentes continuam a limitar o tempo e o investimento disponíveis para iniciativas relacionadas com o risco humano, enquanto 21% apontaram a capacidade limitada das equipas e 16% identificaram o baixo interesse da administração como um obstáculo contínuo ao progresso.

Isto significa que o risco cibernético relacionado com o fator humano encontra-se numa situação complicada, mas nenhuma função específica é responsável por ele do início ao fim. Espera-se que as equipas de segurança reduzam esse risco, mas muitos dos fatores que influenciam o comportamento dos colaboradores — desde a integração e a cultura no local de trabalho até às práticas de gestão e aos processos empresariais — estão a cargo de outras áreas da organização.

Enquanto essa desconexão não for resolvida, os programas de sensibilização vão continuar a funcionar isoladamente da forma como uma empresa opera, o que torna muito mais difícil alcançar a mudança de comportamento a longo prazo que as organizações procuram para mitigar os riscos de cibersegurança.

Porque é que o risco humano fica por onde ninguém repara

Os riscos técnicos de cibersegurança costumam ter um responsável claro. Seja na gestão de identidades e acessos, na gestão de vulnerabilidades ou na aplicação de correções, há normalmente uma equipa definida responsável por gerir esse risco, apoiada por processos estabelecidos, responsabilidades claras e resultados mensuráveis. Todos sabem quem é o responsável pelo problema e como se mede o sucesso.

O risco humano funciona de forma diferente. As equipas de segurança conseguem cumprir o seu papel, mas não controlam muitos dos fatores que influenciam o comportamento dos colaboradores no dia a dia.

Muitos dos fatores que influenciam o risco cibernético humano estão fora da área de segurança. Os Recursos Humanos definem como os novos colaboradores são apresentados às expectativas de segurança através da integração e da formação contínua; a TI concebe os sistemas, as ferramentas e os controlos de acesso de que as pessoas dependem todos os dias; os gestores influenciam os comportamentos através de conversas regulares com as suas equipas; e a liderança determina quais as iniciativas que recebem investimento, atenção e apoio a longo prazo.

Cada uma destas funções desempenha um papel importante na redução do risco para as pessoas, mas muitas vezes trabalham com objetivos diferentes e medem o sucesso de formas distintas. Como resultado, a sensibilização para a segurança pode tornar-se um programa isolado, gerido quase exclusivamente pela equipa de segurança, em vez de fazer parte de uma estratégia organizacional mais ampla para promover comportamentos seguros.

Essa desconexão refletiu-se ao longo de toda a nossa investigação. Embora 22% dos CISOs tenham identificado a melhoria da colaboração entre as áreas de Segurança, RH, TI e Conformidade como uma prioridade máxima, também destacaram os obstáculos práticos que se interpõem no caminho. Um quarto (25%) afirmou que as prioridades empresariais concorrentes continuam a limitar o tempo e o investimento disponíveis para iniciativas relacionadas com riscos humanos; outros 21% apontaram a capacidade limitada das equipas e 16% referiram o fraco interesse da administração como um desafio significativo.

Nada disto quer dizer que as organizações não estejam a investir tempo ou esforço na redução do risco cibernético relacionado com o fator humano. Pelo contrário, isto mostra como é difícil avançar quando as equipas responsáveis por influenciar o comportamento dos colaboradores não partilham os mesmos objetivos nem avaliam o sucesso da mesma forma.

Quando todos são responsáveis pelo risco humano, ninguém é realmente responsável por ele

Vais ouvir muitas vezes dizer que a cibersegurança é da responsabilidade de todos e, à primeira vista, é difícil contestar isso. Cada colaborador tem um papel a desempenhar na proteção da organização, seja denunciando um e-mail suspeito, tratando informações confidenciais de forma adequada ou seguindo os processos estabelecidos ao aprovar pagamentos ou conceder acesso.

A dificuldade é que a responsabilidade partilhada não implica automaticamente uma responsabilidade conjunta.

Se todos têm um papel a desempenhar, ainda assim é preciso que alguém coordene a forma como os comportamentos seguros são desenvolvidos, reforçados e avaliados em toda a organização. Quem decide se os programas de sensibilização estão a mudar os comportamentos? Quem identifica onde é preciso apoio adicional? Quem reúne os dados para perceber se o risco humano está a aumentar ou a diminuir ao longo do tempo?

Sem respostas claras a essas perguntas, a responsabilidade pode rapidamente tornar-se fragmentada. Muitas vezes, espera-se que as equipas de segurança reduzam o risco cibernético humano e são responsabilizadas quando ocorrem incidentes, mas muitos dos fatores que influenciam o comportamento dos colaboradores estão fora do seu controlo. Sozinhas, não conseguem definir programas de integração, determinar as prioridades da gestão nem incorporar comportamentos seguros em todos os processos empresariais.

Um CISO que entrevistámos para a nossa investigação resumiu este desafio na perfeição: «Não cabe ao CISO aceitar o risco – cabe à empresa.»

Essa observação vai direto ao cerne da questão. O risco cibernético relacionado com as pessoas não é algo que a equipa de segurança possa gerir sozinha; é um risco empresarial que abrange vários departamentos, processos e todas as fases do ciclo de vida dos colaboradores. Enquanto as organizações não o reconhecerem como uma responsabilidade operacional partilhada, as equipas de segurança vão continuar a arcar com a responsabilidade sem terem a influência necessária para impulsionar mudanças significativas em toda a organização.

Porque é que o apoio do conselho de administração não é a mesma coisa que o alinhamento do conselho de administração

Conseguir o apoio da direção para iniciativas relacionadas com os riscos cibernéticos não costuma ser o maior desafio; o verdadeiro desafio é manter esse apoio a longo prazo.

Quando ocorre um incidente de segurança, o risco cibernético humano passa rapidamente a ser uma prioridade na agenda da direção. A direção quer perceber o que aconteceu, se pode voltar a acontecer e que medidas estão a ser tomadas para reduzir a probabilidade de um incidente semelhante se repetir. Os orçamentos são revistos, os programas de sensibilização recebem uma atenção renovada e a segurança torna-se uma prioridade imediata para a empresa.

A dificuldade é que este nível de envolvimento costuma ser de curta duração. A nossa investigação revelou que 79% dos CISOs acham que o interesse do conselho de administração nos programas de sensibilização para a segurança diminui assim que o impacto imediato de um incidente passa. À medida que outras prioridades estratégicas disputam a atenção, as conversas sobre os riscos cibernéticos relacionados com o fator humano tornam-se menos frequentes, até que outro incidente as volte a colocar em destaque.

Esta abordagem de avanços e recuos dificulta a criação de mudanças comportamentais duradouras. Mudar a forma como as pessoas pensam e agem não é algo que aconteça no espaço de algumas semanas após um incidente; requer um apoio contínuo da liderança, reforço consistente e um compromisso partilhado por toda a organização.

Manter esse ritmo torna-se ainda mais difícil quando os responsáveis pela segurança têm dificuldade em demonstrar o valor dos seus programas de sensibilização. Apenas 39% dos CISOs sentem-se totalmente confiantes para explicar o valor das iniciativas de sensibilização para a segurança ao conselho de administração ou à equipa executiva.

Parte do problema reside na forma como muitas organizações medem o sucesso. Os relatórios costumam centrar-se em indicadores como as taxas de conclusão de formações ou os resultados de simulações de phishing, porque são fáceis de recolher e simples de apresentar. Embora estes números mostrem que as atividades de sensibilização para a segurança foram realizadas, dão pouca informação sobre se os colaboradores estão a tomar melhores decisões em matéria de segurança ou se o risco cibernético humano global está a diminuir.

Sem essas provas, torna-se muito mais difícil para os CISOs demonstrarem o retorno do investimento, justificarem a continuação do financiamento e manterem o risco cibernético humano como uma prioridade estratégica da empresa, em vez de uma questão que só chama a atenção depois de algo ter corrido mal.

Como é um bom alinhamento

As organizações que mais avançam não o conseguem simplesmente incentivando os departamentos a colaborarem mais de perto. Em vez disso, criam uma abordagem comum para gerir o risco cibernético humano, em que cada função percebe o papel que desempenha na influência do comportamento dos colaboradores e na redução do risco.

As equipas de segurança continuam a ser responsáveis por identificar riscos comportamentais, realizar intervenções específicas e fornecer as informações necessárias para perceber onde o risco está a aumentar ou a diminuir. Essas informações servem então de base para a tomada de medidas em toda a organização, em vez de ficarem restritas à área de segurança.

Os Recursos Humanos reforçam esses esforços ao integrar a segurança em todas as fases do ciclo de vida dos colaboradores, desde a integração e a formação obrigatória até às comunicações contínuas e ao desenvolvimento profissional. As TI complementam esta abordagem ao conceberem sistemas que tornam o comportamento seguro a opção mais fácil, utilizando predefinições seguras, controlos de acesso adequados e processos bem concebidos para reduzir oportunidades desnecessárias de erro humano.

Os gestores também têm um papel importante a desempenhar, porque muitas vezes estão na melhor posição para reforçar comportamentos seguros no dia-a-dia do trabalho. Quer se trate de lidar com informações confidenciais de clientes, aprovar pagamentos a fornecedores ou utilizar ferramentas de IA, conversas regulares com os gestores diretos podem ajudar os colaboradores a reconhecer situações de maior risco, a fazer perguntas quando algo parecer estranho e a seguir os processos estabelecidos antes de tomarem decisões importantes.

A liderança completa o quadro, oferecendo um apoio visível e consistente. Em vez de deixar que o risco cibernético relacionado com o fator humano só se torne uma prioridade depois de um incidente, as organizações maduras tratam-no como um objetivo empresarial contínuo, garantindo que o investimento, a prestação de contas e a responsabilização sejam consistentes ao longo do ano.

Quando todas as partes da organização trabalham em prol do mesmo objetivo, a sensibilização para a segurança deixa de ser apenas um programa de formação isolado. Torna-se um elemento de uma estratégia mais ampla, apoiada por um sentido de responsabilidade partilhado, indicadores significativos e ações coordenadas em toda a empresa.

A gestão dos riscos humanos requer um compromisso partilhado

Muitas organizações ainda encaram o risco cibernético humano como algo que as equipas de segurança têm de resolver sozinhas.

Os dados sugerem que essa é uma das principais razões pelas quais é difícil avançar.

O risco humano surge das atividades diárias da empresa, é influenciado pela cultura, reforçado pelos gestores e moldado pelos sistemas que os colaboradores utilizam. Reduzir esse risco exige o mesmo nível de coordenação.

As organizações que estão a fazer mais progressos não são necessariamente aquelas que oferecem mais formação de sensibilização do que as outras. Estão a criar um alinhamento mais forte entre as pessoas responsáveis por influenciar o comportamento, a medir o que é importante e a atribuir a cada parte interessada um papel claro na redução do risco.

Quando o risco cibernético relacionado com as pessoas passa a ser uma responsabilidade partilhada, em vez de uma iniciativa de segurança, torna-se muito mais fácil passar das ações de sensibilização para uma redução mensurável do risco.

Como a MetaCompliance ajuda a melhorar a gestão de riscos humanos interfuncional

Gerir os riscos cibernéticos relacionados com as pessoas requer mais do que apenas dar formação sobre sensibilização para a segurança. É preciso proporcionar às equipas de Segurança, RH, TI, Gestão de Risco e à liderança uma visão comum sobre onde é que existem riscos comportamentais, quais as intervenções que estão a ter maior impacto e onde é necessário apoio adicional.

A nossa plataforma de Gestão de Riscos Humanos ajuda as organizações a ir além dos programas de sensibilização genéricos, combinando formação personalizada em segurança, análises comportamentais, simulações de phishing, intervenções automatizadas e relatórios sobre riscos humanos numa única plataforma. Isto dá aos responsáveis pela segurança as provas de que precisam para demonstrar o progresso, dar prioridade aos utilizadores de alto risco e envolver as partes interessadas em toda a empresa com resultados significativos e mensuráveis.

Ao ajudar as organizações a compreender, medir e reduzir o risco cibernético humano ao longo do tempo, a MetaCompliance faz com que a sensibilização para a segurança passe a fazer parte de uma estratégia empresarial coordenada, em vez de ser apenas uma iniciativa de segurança isolada.

Estás à procura de orientações práticas para reduzir o risco cibernético humano, alinhando as equipas em toda a tua organização? Faz o download do nosso guia, Quem é responsável pelo risco cibernético humano: cinco princípios para criar uma responsabilidade partilhada pelo risco cibernético humano entre as equipas, para descobrires como as equipas de Segurança, RH, TI, Gestão de Risco e a liderança podem trabalhar em conjunto para criar uma abordagem mais coordenada à gestão do risco cibernético humano.

Estás pronto para criar uma abordagem mais coerente em relação ao risco cibernético humano? Pede uma demonstração hoje mesmo para descobrires como a MetaCompliance pode ajudar a tua organização a medir, gerir e reduzir o risco humano em grande escala.