O Mês da Sensibilização para a Cibersegurança, na Europa e nos EUA, faz parte de um grande esforço para ajudar as pessoas a manterem-se seguras na Internet. A iniciativa foi lançada em 2004 nos EUA e em 2012 na Europa. Este ano, o evento nos EUA centrou-se no tema «See Yourself in Cyber». Na Europa, a iniciativa promoveu a sensibilização para o phishing e o ransomware.
É óbvio que apoiamos todos os esforços para promover a sensibilização para a cibersegurança. As pessoas são o elo mais fraco nas medidas de segurança de uma organização. É importante ensinar-lhes passos simples que podem seguir para se protegerem online. Continua a ser muito mais fácil para um adversário enganar alguém para que revele uma palavra-passe ou clique num link de e-mail do que penetrar numa rede bem protegida. Uma boa sensibilização para a cibersegurança pode proteger as organizações de perdas financeiras, sanções por incumprimento de regulamentos e danos à reputação.
No entanto, mesmo depois de anos de eventos em torno de um «Mês da Sensibilização» anual, aproveitar-se da falta de sensibilização para a cibersegurança continua a ser o principal vetor de ataque nas violações de dados.
O Relatório de Investigação sobre Fugas de Dados da Verizon de 2022 revelou que 82% das fugas de dados do ano anterior envolveram engenharia social e que as taxas de cliques em phishing continuam a aumentar. Assim que os atacantes conseguem entrar no sistema, podem estabelecer canais de comando e controlo, mover-se lateralmente para identificar os dados alvo, encriptar dados para exigências de ransomware ou roubar informações confidenciais.
«Mês» da Sensibilização para a Cibersegurança?
Então, sim, apoiamos o Mês da Sensibilização para a Cibersegurança. Chama a atenção necessária para um problema que há anos tentamos resolver. Pode levar algumas organizações a dar os primeiros passos para melhorar a sensibilização para a segurança entre os seus colaboradores ou a reforçar os programas que já têm. Só não concordamos em tratar a sensibilização para a cibersegurança como um evento anual.
Aprender não é algo que se faz de uma vez só. Ninguém aprende a falar uma nova língua ou a tocar um instrumento musical dedicando-se a isso só uma vez por ano. O mesmo se aplica a reconhecer e evitar ameaças à cibersegurança. Aprender a fazer qualquer uma destas coisas leva tempo e repetição.
Quando as sessões de formação são eventos que se realizam uma ou duas vezes por ano para cumprir os requisitos de conformidade, os alunos não retêm os conhecimentos. A famosa Curva do Esquecimento de Ebbinghaus mostra que os alunos esquecem mais de 75% do que aprenderam numa aula só na primeira semana. No final de um mês, os alunos retêm apenas 21% do que aprenderam.
Sensibilizar os colaboradores
Ensinar é um processo, não um evento. Isso inclui ensinar sensibilização para a cibersegurança. Os estudos mostram que a inclinação descendente da Curva do Esquecimento pode ser reduzida com o reforço regular das lições. Esses reforços não precisam de incluir toda a informação da lição. O objetivo é fazer com que o aluno continue a pensar no conteúdo e a aplicá-lo na prática.
Criar uma cultura de sensibilização para a segurança cibernética
O «mês» da sensibilização para a cibersegurança pode parecer apenas um artifício. Um programa eficaz de sensibilização para a cibersegurança tem de ser posto em prática durante os 12 meses do ano, recorrendo a uma variedade de ferramentas e técnicas.
As aulas de eLearning fazem, sem dúvida, parte de qualquer programa de sucesso, mas as equipas devem reforçar os conhecimentos regularmente através de lembretes, simulações de phishing, microaulas, protetores de ecrã e cartazes. As aulas devem ser adaptadas às diferentes ameaças que uma organização enfrenta.
A formação para as equipas financeiras deve ser adaptada às ameaças específicas do departamento. As equipas de TI têm de estar atentas ao roubo de credenciais privilegiadas. Toda a gente precisa de formação contínua sobre ataques de phishing e ransomware.
Um programa de sensibilização para a cibersegurança é uma parte importante de uma avaliação global de riscos. Quem está responsável por esses programas tem de conseguir acompanhar o progresso através de relatórios e tomar medidas corretivas sempre que ainda houver riscos na organização. Se alguém ou alguma equipa tiver maus resultados na formação, deve ser agendada automaticamente uma formação de recuperação.
Acima de tudo, as organizações que se empenham na sensibilização para a cibersegurança e na segurança online reconhecem a necessidade de apoio por parte da direção. Mensagens regulares, vindas diretamente da liderança sénior, sobre a importância das boas práticas de cibersegurança – e porque é que isso é uma prioridade para a empresa – ajudam a construir uma cultura de segurança duradoura.