Índice
- O que é que um painel de controlo típico de riscos humanos mede?
- Por que é que as métricas de atividade só contam parte da história
- O problema de confiar nas taxas de cliques em phishing
- O que os CISOs realmente precisam dos relatórios de risco humano
- Passar da atividade para a redução do risco
- Repensa a forma como medis o risco cibernético humano
As equipas de segurança têm mais dados ao seu alcance do que nunca. As taxas de conclusão de formações, os resultados das simulações de phishing, as taxas de comunicação de incidentes, as interações com as políticas e uma lista cada vez maior de outras métricas podem ser todas integradas em painéis de controlo e apresentadas à empresa.
O problema é que ter mais dados não significa necessariamente ter uma visão mais clara do risco cibernético relacionado com as pessoas.
O nosso Estudo «Repensar o Risco Cibernético Humano» revelou que 74% dos CISOs dizem que os seus relatórios atuais sobre riscos cibernéticos relacionados com o fator humano geram painéis de controlo, mas não proporcionam uma compreensão clara o suficiente para tomarem melhores decisões. E o que é ainda mais revelador: 89% não conseguem associar com confiança as atividades de sensibilização para a segurança à redução de incidentes ou quase-acidentes.
Isso cria uma situação complicada para os responsáveis pela segurança. Estão a recolher dados e a apresentar relatórios sobre os seus programas de sensibilização, ao mesmo tempo que enfrentam uma pressão cada vez maior para provar que esses programas estão a reduzir o risco.
Então, o que é que falta?
O que é que um painel de controlo típico de riscos humanos mede?
A maioria dos painéis de controlo de sensibilização para a segurança é boa a mostrar a atividade. Podem dizer-te quantos colaboradores concluíram um curso de formação, quem abriu um e-mail de phishing simulado, quem clicou num link, quantos e-mails suspeitos foram comunicados ou se uma determinada campanha chegou ao público-alvo pretendido.
Cada uma destas métricas tem um objetivo. As taxas de conclusão podem ajudar a demonstrar conformidade, enquanto os dados das simulações de phishing podem destacar comportamentos que possam merecer maior atenção. O problema surge quando a atividade se torna a principal forma de avaliar o sucesso.
De acordo com a nossa pesquisa, 70% dos CISOs dizem que os seus relatórios atuais sobre sensibilização para a segurança se baseiam em métricas de atividade, como a conclusão de formações ou as taxas de cliques em mensagens de phishing. Estes números são fáceis de recolher, fáceis de colocar num painel de controlo e fáceis de apresentar aos responsáveis de topo.
O que eles têm mais dificuldade em responder é a pergunta que os CISOs precisam cada vez mais de responder: o risco cibernético relacionado com o fator humano está a diminuir?
Por que é que as métricas de atividade só contam parte da história
Imagina que 98% dos colaboradores concluam a sua formação anual em cibersegurança. No papel, parece excelente, mas o que é que isso te diz sobre como esses colaboradores vão reagir quando um e-mail de phishing convincente chegar à sua caixa de entrada três meses depois? Será que reconhecem os sinais de alerta? Sabem o que fazer? Será que algumas equipas, funções ou locais demonstram consistentemente um comportamento mais arriscado do que outros?
A taxa de conclusão, por si só, não dá essa informação. O mesmo problema aplica-se a muitas das métricas em que as equipas de segurança têm vindo a confiar tradicionalmente. Elas confirmam que uma atividade ocorreu, mas muitas vezes dão poucas pistas sobre se o comportamento mudou em consequência disso.
Os CISOs estão sob uma pressão cada vez maior para demonstrar o seu valor, com 77% dos CISOs que inquirimos a afirmar que se espera que comprovem o retorno do investimento (ROI) de forma mais rigorosa nas iniciativas relacionadas com os riscos cibernéticos de natureza humana do que nos controlos técnicos.
Se os dados de que dispõem medem principalmente a atividade, fica muito mais difícil demonstrar esse retorno. Os responsáveis pela segurança podem mostrar que os colaboradores receberam formação ou que foram realizadas simulações, mas estabelecer uma ligação credível entre essa atividade e uma redução significativa do risco é outra história completamente diferente.
O problema de confiar nas taxas de cliques do phishing
As taxas de cliques nas simulações de phishing são um dos indicadores mais conhecidos do desempenho em matéria de sensibilização para a segurança e podem ser úteis. Uma taxa de cliques elevada pode indicar uma área que merece atenção, enquanto as variações ao longo do tempo podem dar-te mais uma pista sobre o comportamento dos colaboradores.
Mas não se deve esperar que a taxa de cliques, por si só, explique o risco cibernético humano. O facto de alguém clicar num e-mail de phishing simulado não significa necessariamente que seja um colaborador de alto risco de forma permanente. Da mesma forma, alguém que não clique numa simulação não é automaticamente de baixo risco.
O contexto é importante aqui. Que tipo de ataque de phishing foi usado? Estava relacionado com as funções desse colaborador? Foi difícil de detectar? O colaborador já tinha demonstrado um comportamento semelhante antes? Ele comunicou o e-mail depois? O que aconteceu depois da simulação e o comportamento dele melhorou da próxima vez que se deparou com uma ameaça semelhante?
Analisar uma percentagem isolada pode ignorar grande parte desse contexto. O comportamento humano muda com o tempo e varia de acordo com o cargo, a situação e as ameaças com que os colaboradores se deparam. Por isso, para o medir de forma eficaz, é preciso mais do que um conjunto de indicadores de atividade individuais.
O que os CISOs precisam dos relatórios sobre riscos humanos
Um painel de controlo de riscos humanos útil deve ajudar as equipas de segurança a decidir o que fazer a seguir. Isso significa ir além de perguntas como «Quantas pessoas concluíram a formação?» e passar a questionar-se sobre como o risco está a evoluir em toda a organização.
Onde é que o risco cibernético humano se concentra? Que grupos estão a apresentar comportamentos que podem aumentar a exposição? Esses comportamentos estão a melhorar depois de uma intervenção? Que tipos de formação ou simulações de phishing parecem funcionar com grupos específicos? Em que é que a equipa de segurança deve concentrar a sua atenção a seguir?
Estas são perguntas muito mais úteis porque ligam a medição à ação. No entanto, a nossa investigação mostra como isso continua a ser difícil para muitas organizações. 76% dos CISOs afirmam que as diferentes partes interessadas esperam métricas diferentes de risco cibernético humano, enquanto os CISOs dos quatro países que inquirimos referiram dificuldades em estabelecer uma medição consistente entre funções, regiões e unidades de negócio.
Sem uma visão comum do que é um progresso significativo, os painéis de controlo podem rapidamente tornar-se meras coleções de números destinadas a satisfazer diferentes requisitos de relatório, em vez de ferramentas que ajudem a tomar melhores decisões em matéria de segurança.
Passar da atividade à redução do risco
Para avaliar melhor o risco cibernético humano, não precisas necessariamente de deixar de analisar as métricas que já tens. As taxas de conclusão, os resultados das simulações de phishing e o comportamento na comunicação de incidentes podem todos contribuir com informações úteis. A oportunidade está em reunir esses sinais e usá-los para construir uma imagem mais clara de como o risco cibernético humano está a mudar.
Em vez de analisar apenas se alguém concluiu a formação, por exemplo, as organizações podem verificar se o comportamento posterior mudou. Em vez de considerarem um clique numa tentativa de phishing como o fim da história, podem usá-lo como um sinal que ajuda a determinar se um colaborador ou um grupo beneficiaria de uma intervenção adequada.
Com o tempo, isto cria uma visão muito mais abrangente do risco. Pode ajudar as equipas de segurança a identificar padrões entre os diferentes grupos, a perceber onde é preciso apoio adicional e a verificar se as intervenções estão a ter o efeito pretendido. Além disso, dá aos CISOs algo muito mais significativo para abordar nas conversas com a administração.
Isso é especialmente importante, tendo em conta que, atualmente, apenas 39% dos CISOs se sentem totalmente confiantes para explicar o valor das iniciativas de sensibilização para a segurança ao conselho de administração ou à direção executiva.
Um painel que diz que 97% dos colaboradores concluíram a formação mostra à direção que a atividade aconteceu. Uma abordagem de gestão comportamental que consiga demonstrar onde se concentram os riscos, que medidas foram tomadas e se o comportamento está a melhorar dá-lhes algo muito mais útil.
Repensa a forma como avalias o risco cibernético humano
Uma melhor avaliação dos riscos humanos passa por ligar os sinais de que já dispões e usá-los para perceber onde é que o risco está a mudar e onde é preciso agir.
A MetaCompliance ajuda as organizações a fazerem exatamente isso. A nossa plataforma de gestão de riscos humanos reúne dados de formação em sensibilização para a segurança, simulações de phishing e do comportamento dos colaboradores para dar às equipas de segurança uma maior visibilidade dos riscos em toda a sua força de trabalho.
Essas informações podem depois ser usadas para dar prioridade aos grupos de maior risco, implementar intervenções mais relevantes e acompanhar se o comportamento melhora ao longo do tempo. As equipas de segurança ficam com uma visão mais clara de onde é preciso prestar atenção, enquanto os CISOs têm dados mais significativos para apoiar as decisões e as conversas com a administração.
O objetivo é tornar a medição útil: ajudar-te a perceber onde está o risco, como está a evoluir e o que fazer a seguir, em vez de te dares conta apenas do que já aconteceu.
Descarrega o documento completo «Repensar o Risco Cibernético Humano» para descobrires o que 200 CISOs de França, Alemanha, Suécia e Reino Unido nos contaram sobre o desafio da medição e as mudanças práticas que os líderes de segurança acreditam que podem ajudar a fazer avançar a gestão do risco humano.
Perguntas frequentes
O que é um painel de controlo de riscos humanos?
Um painel de controlo de riscos humanos reúne dados e sinais comportamentais para ajudar as organizações a compreender e acompanhar riscos de cibersegurança associados ao comportamento dos colaboradores. Dependendo da organização, isto pode incluir formação em sensibilização para a segurança, resultados de simulações de phishing e relatórios comportamento e outros indicadores de risco cibernético humano.
Como é que se mede o risco cibernético humano?
O risco cibernético humano pode ser medido através de uma combinação de sinais comportamentais e dados sobre a sensibilização para a segurança. Em vez de se basearem numa única métrica, as organizações devem procurar padrões entre os grupos de colaboradores e ao longo do tempo para perceber onde é que o risco se concentra, se o comportamento está a mudar e onde pode ser necessária pode ser ser necessária.
Porque é que as taxas de conclusão da formação não são suficientes para avaliar a sensibilização para a segurança?
As taxas de conclusão da formação mostram se os colaboradores concluíram a formação que lhes foi atribuída, mas não demonstram se essa formação alterou o comportamento ou reduziu o risco cibernético. São úteis como um indicador da atividade do programa, especialmente para fins de conformidade, mas devem ser consideradas em conjunto com indicadores comportamentais e de risco.
As taxas de cliques em phishing são um bom indicador do risco cibernético humano?
As taxas de cliques em phishing podem ser um indicador comportamental útil, mas não devem serem analisadas isoladamente. Fatores como a dificuldade da simulação, a função do colaborador, comportamento anterior , a atividade de comunicação de e e intervenções intervenções fornecem, todas elas, um contexto importante na avaliação do risco cibernético humano.
Que indicadores devem os CISOs usar para avaliar a eficácia da sensibilização para a segurança?
Os CISOs devem ter em conta indicadores que ajudem a mostrar mudanças no comportamento e no risco ao longo do tempo, a par das medidas tradicionais de atividade. Isso pode incluir padrões no comportamento em simulações de phishing, no comportamento de comunicação de incidentes, mudanças entre diferentes grupos de risco e evidências de que as intervenções direcionadas estão a melhorar os comportamentos que se pretendia corrigir.