[Novo relatório] 79% dos CISOs querem adotar uma abordagem mais estratégica à gestão do risco cibernético humano. Lê o relatório.

Índice

As equipas de segurança passaram anos a tentar resolver um problema complicado: como é que se mantém a cibersegurança em destaque quando os colaboradores já têm imensas outras prioridades a disputar a sua atenção?

Para muitas organizações, a resposta tem sido a frequência. Mais formação, mais lembretes, mais simulações de phishing e mais campanhas de sensibilização criam mais oportunidades para reforçar comportamentos seguros.

As nossas nossa mais recente investigação sugere que as organizações podem já estar a atingir os limites dessa abordagem. Atualmente, os colaboradores recebem conteúdos de sensibilização para a segurança, em média, seis a sete vezes por mês, mas 75% dos CISOs continuam a acreditar que os colaboradores não compreendem totalmente o seu papel na prevenção de incidentes de segurança. Ao mesmo tempo, três quartos dos CISOs afirmam que a relevância é mais importante do que a frequência quando se trata de influenciar comportamentos seguros através da formação.

Quando todos os colaboradores recebem, em geral, a mesma formação, independentemente da sua função, comportamento ou nível de risco, aumentar o volume pode rapidamente tornar-se contraproducente. Os colaboradores deixam de prestar atenção, as equipas de segurança gastam tempo em atividades que podem ter pouco impacto e as organizações têm dificuldade em perceber se o seu investimento está realmente a reduzir o risco.

Um programa de sensibilização para a segurança maduro não se resume, portanto, a dar mais formação, mas sim a tornar a formação mais relevante para as pessoas, os comportamentos e os riscos que mais importam.

Por que razão mais formação se torna a opção por defeito

A maioria das equipas de segurança não tem a intenção de sobrecarregar os colaboradores. Os programas com grande volume de trabalho são, muitas vezes, o resultado de decisões individuais sensatas que se vão acumulando aos poucos.

Surge uma nova ameaça e, por isso, acrescenta-se mais uma formação ao programa. Uma campanha de phishing identifica uma vulnerabilidade e, por isso, marca-se mais uma simulação. É preciso cumprir um requisito regulamentar e, por isso, surge mais um módulo obrigatório. Chega o Mês da Sensibilização para a Cibersegurança e mais uma campanha entra no calendário.

Cada atividade tem um objetivo válido, mas, no seu conjunto, formam um programa fortemente centrado na execução.

O nosso Estudo «Rethinking Human Cyber Risk» revelou que, apesar de os colaboradores receberem conteúdos de sensibilização para a segurança seis a sete vezes por mês, nenhuma das organizações inquiridas referiu fornecer conteúdos de forma dinâmica com base em ameaças atuais ou sinais de risco em tempo real. Em muitos casos, os programas continuam a ser vagos e genéricos, concebidos com o objetivo de dar cobertura geral, em vez de se centrarem no risco individual.

Isso faz com que a frequência seja uma alavanca fácil de usar. Se uma organização não tiver a certeza de que os colaboradores estão a mudar o seu comportamento, lançar mais uma campanha parece ser uma medida concreta. O problema é que o colaborador que demonstra consistentemente um comportamento seguro pode receber a mesma intervenção que alguém que mostra repetidamente sinais de maior risco.

O custo de treinar demais os funcionários

A consequência mais óbvia de uma comunicação excessiva sobre segurança é a fadiga de formação. Os colaboradores têm uma capacidade de atenção limitada, o que significa que, quando as mensagens de sensibilização parecem repetidamente genéricas ou irrelevantes para o seu trabalho, tornam-se mais fáceis de ignorar. Uma notificação de formação torna-se mais uma tarefa para concluir, enquanto uma mensagem de segurança se torna mais um e-mail a disputar espaço numa caixa de entrada já cheia.

A nossa investigação ajuda a explicar porquê. 81% dos CISOs dizem que a formação em sensibilização para a segurança falha porque é demasiado genérica para parecer relevante a nível pessoal.

Há também um custo para a organização. Criar, gerir e implementar campanhas de sensibilização requer orçamento e capacidade da equipa de segurança. Além disso, 77% dos CISOs dizem que se espera que comprovem o retorno do investimento (ROI) de forma mais rigorosa nas iniciativas relacionadas com riscos cibernéticos humanos do que nos controlos técnicos. No entanto, só 39% se sentem totalmente confiantes para explicar o valor das iniciativas de sensibilização para a segurança ao conselho de administração ou à direção executiva.

Quando os recursos são utilizados para dar formação repetidamente a colaboradores de baixo risco, juntamente com aqueles que realmente precisam de intervenção, torna-se mais difícil demonstrar esse valor. Uma abordagem mais direcionada dá aos responsáveis pela segurança a oportunidade de aproveitar melhor tanto a atenção dos colaboradores como o investimento em segurança.

Por que é que mais atividade não garante menos risco

Uma das razões pelas quais o volume de formação se mantém é que as atividades de sensibilização são relativamente fáceis de medir. As taxas de conclusão da formação podem mostrar que 98% dos colaboradores concluíram um módulo, as simulações de phishing podem revelar a taxa de cliques e os painéis de controlo das campanhas podem indicar quantas pessoas receberam uma mensagem de sensibilização.

A nossa investigação revelou que 70% dos CISOs afirmam que os seus sistemas se baseiam em métricas de atividade como estas. No entanto, 74% dizem que os seus relatórios atuais sobre riscos cibernéticos, elaborados por pessoas, geram painéis de controlo que não oferecem informações suficientes para tomar melhores decisões, enquanto 89% não conseguem associar com segurança as suas atividades de sensibilização à redução de incidentes ou de situações que quase deram azo a incidentes.

Isso cria um ciclo complicado. As organizações conseguem ver que a formação aconteceu, mas têm menos visibilidade sobre se isso mudou o comportamento ou reduziu o risco. Sem essa informação, intensificar as ações de sensibilização pode tornar-se a resposta por defeito.

Para resolver isto Ao longo desse ciclo, as equipas de segurança precisam de ir além da quantidade de formação que estão a ministrar e ter uma ideia mais clara de onde é que a intervenção terá maior impacto.

Como é a sensibilização para a segurança direcionada

Uma abordagem mais direcionada começa por reconhecer que os colaboradores não representam níveis ou tipos idênticos de risco cibernético.

Imagina dois funcionários. Um trabalha no departamento financeiro, tem acesso a sistemas de pagamentos e, recentemente, interageu com um e-mail de phishing que simulava uma fatura. O outro ocupa um cargo com acesso limitado a sistemas confidenciais e denuncia regularmente tentativas simuladas de phishing.

Enviar a ambos os funcionários mais um módulo genérico de phishing pode cumprir um requisito de formação, mas não é uma forma particularmente eficiente de aproveitar o tempo de nenhum dos dois.

As intervenções relevantes podem ser muito diferentes. O funcionário do departamento financeiro pode beneficiar de formação imediata sobre fraude em faturas, juntamente com simulações de phishing que reflitam os pedidos de pagamento com que se depara regularmente. O segundo funcionário pode precisar de pouca intervenção adicional para além do programa básico de sensibilização da organização.

A função, o departamento, os direitos de acesso, o comportamento anterior e outros sinais de risco podem ajudar as organizações a tomar essas decisões de forma mais inteligente.

A nossa investigação revelou que 83% dos CISOs acham que poderiam reduzir o risco cibernético relacionado com o fator humano mais rapidamente se tivessem melhores formas de definir prioridades quanto a quem precisa de que tipo de intervenção e quando. No entanto, 76% dizem que, neste momento, não é claro quais as intervenções que funcionam melhor para as diferentes funções ou perfis de risco.

O desafio, então, é transformar esse princípio num programa de sensibilização para a segurança que consiga responder às diferentes situações de risco sem criar mais trabalho para as equipas de segurança.

Seis formas de tornar a sensibilização para a segurança mais relevante

Abandonar a sensibilização genérica para a segurança não significa deixar de dar formação regularmente nem reconstruir um programa inteiro do zero. As organizações continuam a precisar de atividades básicas de sensibilização para comunicar políticas, cumprir requisitos regulamentares e estabelecer expectativas comuns em matéria de segurança.

A oportunidade consiste em desenvolver uma maior inteligência e relevância a partir dessa base.

  1. Começa pela função e pela exposição: Os riscos que um colaborador enfrenta são fortemente influenciados pelo que faz. As equipas financeiras podem ser alvo de fraudes em faturas e de ataques a e-mails empresariais. Os administradores de TI podem ter acesso privilegiado, o que torna as credenciais comprometidas particularmente valiosas, enquanto os líderes seniores são alvos atraentes para a usurpação de identidade e engenharia social sofisticada. A formação em segurança pode refletir essas diferenças. Em vez de apresentar cenários idênticos a todos os colaboradores, as organizações podem usar a função, o departamento e o acesso para determinar quais as ameaças que merecem mais atenção.
  1. Usa o comportamento para identificar quem precisa de mais apoio: o cargo de uma pessoa pode dar às equipas de segurança algumas pistas sobre a sua exposição, mas o comportamento pode fornecer mais contexto. Os resultados das simulações de phishing, o comportamento na comunicação de incidentes, as atividades de formação anteriores e outros indicadores de risco podem ajudar a identificar onde pode ser útil uma intervenção adicional. Um colaborador que interage repetidamente com tentativas simuladas de phishing pode precisar de um apoio diferente do de alguém que as identifica e comunica de forma consistente. Isto ajuda as organizações a concentrarem a formação onde ela tem maior potencial para reduzir o risco, evitando ao mesmo tempo formação adicional desnecessária para colaboradores que já demonstram um comportamento seguro.
  1. Faz com que as simulações de phishing reflitam ambientes reais: um e-mail genérico de phishing pode testar se um colaborador reconhece sinais de alerta familiares, mas a relevância torna-se muito maior quando uma simulação reflete os pedidos que essa pessoa poderia, de facto, receber. Para um colaborador do departamento financeiro, isso pode significar um pedido de pagamento ou uma fatura. Para os RH, pode envolver um CV ou uma comunicação sobre benefícios. Os líderes seniores podem deparar-se com cenários que envolvam pedidos urgentes ou falsificação de identidade. Tornar as simulações mais representativas de situações reais ajuda os colaboradores a praticar a tomada de decisões seguras num contexto que reconhecem, em vez de tratarem os exercícios de phishing como algo separado das suas responsabilidades do dia-a-dia.
  1. Intervir mais perto do ponto de risco: O momento certo pode ser tão importante quanto o conteúdo. Se um colaborador tiver um comportamento de risco hoje, esperar semanas pela próxima campanha de sensibilização agendada pode fazer com que se perca grande parte do contexto que tornou a formação relevante em primeiro lugar. Sempre que possível, as organizações podem usar sinais comportamentais e de risco para ativar a formação mais perto do momento em que é necessária. Isso pode significar apoio adicional após uma simulação de phishing, conteúdo direcionado em resposta a uma ameaça emergente ou uma intervenção quando surge um padrão de risco específico. Isto torna mais fácil para os colaboradores associarem a formação à situação para a qual foi concebida.
  1. Mantém a formação básica e, depois, desenvolve intervenções específicas em torno dela: nem toda a formação precisa de ser personalizada individualmente. As organizações continuam a precisar de um programa básico que abranja políticas, comportamentos fundamentais de segurança, requisitos regulamentares e ameaças que afetam toda a força de trabalho. Isso cria uma base. As intervenções direcionadas podem ser construídas em torno dessa base, oferecendo apoio adicional aos colaboradores, funções ou departamentos onde os sinais de risco indicam que isso terá maior impacto. Isto cria um modelo mais equilibrado: todos recebem a formação em sensibilização para a segurança de que precisam, sem partir do princípio de que todos requerem as mesmas intervenções.
  1. Mede o comportamento, não só a atividade: As organizações precisam de perceber se a segmentação está a fazer a diferença. As taxas de conclusão, a execução das campanhas e as taxas de cliques em phishing são úteis, mas mostram apenas parte do quadro. As equipas de segurança também precisam de saber como o comportamento muda ao longo do tempo, onde o risco se concentra e se intervenções específicas estão a produzir melhores resultados. Isso significa ligar as ações de sensibilização aos dados de risco, em vez de ver cada campanha isoladamente. Há vontade para esta mudança. 81% dos CISOs concordam que uma melhor segmentação é a resposta, enquanto 80% investiriam mais em conteúdos de sensibilização concebidos para funções e perfis de risco específicos. O objetivo não é necessariamente enviar menos conteúdos de sensibilização sobre segurança aos colaboradores. É garantir que as intervenções que recebem têm uma razão de ser.

Como a MetaCompliance ajuda a tornar a sensibilização para a segurança mais direcionada

Avançar para uma abordagem mais direcionada exige mais do que criar variações adicionais do mesmo conteúdo de formação. As equipas de segurança precisam de ter uma visão clara do risco cibernético humano, de perceber onde é que esse risco está concentrado e de formas práticas de responder.

A nossa plataforma de Gestão de Risco Humano reúne essas capacidades, combinando formação adaptativa e personalizada sobre cibersegurança, simulações avançadas de phishing, análises comportamentais, informações sobre riscos em tempo real e intervenções automatizadas. Isto ajuda as organizações a identificar quem está em maior risco, a perceber porquê e a prestar apoio específico antes que um comportamento de risco se transforme num incidente.

Em vez de dependerem de campanhas genéricas como principal forma de gerir o risco humano, as equipas de segurança podem usar informações sobre funções e riscos para personalizar a formação, realizar simulações de phishing mais relevantes e automatizar intervenções com base nos comportamentos que realmente importam. Também podem criar uma visão mais clara do risco humano em toda a organização, o que as ajuda a priorizar recursos e a demonstrar como o seu programa está a evoluir ao longo do tempo.

Com mais de 20 anos de experiência na área da sensibilização para a cibersegurança e mais de nove milhões de utilizadores em todo o mundo, estamos aqui para ajudar as organizações a aproveitar os programas de sensibilização que já têm e a desenvolver uma abordagem mais direcionada e mensurável à gestão de riscos humanos.

Queres perceber como é que a tua abordagem atual poderia evoluir? Faz o download do nosso relatório «Repensar o Risco Cibernético Humano» para descobrires o que 200 CISOs do Reino Unido, França, Alemanha e Suécia nos disseram sobre o futuro da sensibilização para a segurança e da gestão do risco humano.

Ou marca uma demonstração para veres como a aprendizagem personalizada, as simulações de phishing, as análises comportamentais, a informação sobre riscos em tempo real e as intervenções automatizadas podem ajudar-te a chegar às pessoas certas, com o apoio certo, no momento certo.

FAQs

O que é a formação específica em sensibilização para a segurança?

A formação específica em sensibilização para a segurança usa informações como a função do colaborador, o departamento, o acesso, comportamento e a exposição a ameaças específicas para determinar quais as medidas de segurança mais relevantes. Em vez de dependerem inteiramente de formação genérica para toda a equipa, as organizações podem oferecer apoio adicional apoio adicional sempre que o risco indicar que é necessário.