Os ciberataques são tão comuns que aparecem regularmente nas notícias nacionais. Há muitas razões para o aumento dos esquemas fraudulentos e do cibercrime. Ainda assim, a manipulação e a engenharia social dos nossos colaboradores e do software que utilizam são um ponto de partida típico para estes ataques.
Organizações em todo o mundo estão a trabalhar para criar uma cultura de segurança que contrarie o fator humano nos ciberataques. Mas se a tua organização ainda precisa de criar essa mentalidade de «segurança em primeiro lugar» e as ameaças e vulnerabilidades estão cada vez mais a colocar a tua empresa em risco, tens de te perguntar: será que uma boa formação em cibersegurança pode mudar uma cultura de cibersegurança deficiente?
Sinais de uma má cultura de cibersegurança e formas de a corrigir
Uma cultura de cibersegurança deficiente apresenta sinais de alerta reveladores a que deves estar atento. Abaixo estão alguns dos mais óbvios, juntamente com algumas ações que podem mudar uma cultura de cibersegurança deficiente, recorrendo a boas técnicas de formação em cibersegurança:
Só conversa e nada de ação
A cultura de segurança espalha-se tanto de cima para baixo como de baixo para cima. É preciso incentivar toda a gente a fazer parte de um todo maior, a trabalhar em prol de um objetivo comum em que a segurança seja levada a sério. Todos, desde a direção até ao pessoal temporário, devem perceber o que significa dar prioridade à segurança e saber exatamente como o fazer.
Nada vai mudar se a tua organização falar de segurança, mas não oferecer formas práticas de lidar com as ameaças. Ao explicar como se proteger, os colaboradores vão conseguir reagir da forma correta caso ocorram tentativas de ciberataques, como e-mails de phishing ou situações de engenharia social.
Como passar das palavras aos atos: para passar das palavras aos atos, a liderança tem de concretizar medidas práticas que apoiem os esforços de segurança. Isso vai exigir uma formação contínua e positiva em matéria de segurança em toda a organização, dando aos colaboradores as ferramentas necessárias para ajudar nos esforços de segurança da empresa.
Uma cultura de culpa, não de segurança
A cultura de atribuir culpas é tóxica e prejudicial, e pode surgir rapidamente quando ocorrem ciberataques, especialmente se estes se repetirem. É fácil apontar o dedo e culpar os colaboradores por contratempos, como abrir um e-mail potencialmente malicioso. No entanto, quanto mais se apontar o dedo, mais o ambiente geral em torno dos comportamentos de segurança vai deteriorar-se.
Além disso, este comportamento de culpar os outros é tão prejudicial como clicar num link de phishing, pois cria um ambiente de desconfiança e perpetua comportamentos inadequados em matéria de segurança.
Acaba com o jogo das culpas através de uma comunicação aberta: procurar bodes expiatórios e atribuir culpas são o oposto de uma boa cultura de cibersegurança. Em vez disso, concentra-te em criar confiança, para que, se um colaborador cometer um erro, se sinta à vontade para revelar esse lapso. Uma boa cultura de segurança precisa de boa comunicação. Se um colaborador informar a equipa de TI sobre um erro de segurança, como a divulgação acidental de dados confidenciais, a equipa pode agir mais rapidamente para minimizar a exposição dos dados.
Ignorar o que os indicadores te dizem
Quando a cultura de segurança dá para o torto, o problema reflete-se nas métricas de vulnerabilidade da organização: o fator humano na cibersegurança é amplamente reconhecido, com estatísticas chocantes, como o facto de 82% de todos os ciberataques envolverem um elemento humano. O erro humano acontece quando as pessoas não têm consciência de como as suas ações podem levar à fuga de dados ou colocar uma empresa em risco. Por isso, se notares um aumento de violações potenciais ou reais, isso pode ser atribuído a colaboradores e a outras pessoas que não fazem parte da empresa.
As métricas são tuas aliadas: usa as métricas fornecidas pelos programas de formação em sensibilização para a segurança e pelos programas de simulação de phishing para identificar pontos que suscitam preocupação. As métricas permitem-te adaptar a formação para que seja mais eficaz. Além disso, a formação pode ser ajustada com base nas funções, para centrar a atenção em áreas vulneráveis específicas.
Entra por um ouvido e sai pelo outro
Uma cultura de segurança ineficaz pode levar a uma aprendizagem ineficaz sobre segurança. Materiais de formação aborrecidos e repetitivos, ao estilo das aulas em sala de aula, podem desmotivar os colaboradores e prejudicar as tuas hipóteses de construir uma cultura de segurança sólida.
A aprendizagem ativa acontece quando as pessoas estão envolvidas e conseguem criar uma ligação emocional com o conteúdo. Por exemplo, se não ofereceres conteúdos de sensibilização para a segurança que já tenham sido testados e comprovados. Nesse caso, podes acabar por ver que a informação entra por um ouvido e sai pelo outro, com os colaboradores a esquecerem experiências de aprendizagem essenciais e os maus hábitos de segurança a permanecerem inalterados.
O material estimulante faz maravilhas: oferece material de aprendizagem estimulante que se adapte aos teus colaboradores. Recorre à formação orientada para as necessidades específicas, para que os colaboradores aprendam à medida que recebem formação e ajudem a mudar comportamentos negativos para positivos. O material envolvente fica na memória dos colaboradores e cria aquela mentalidade de «segurança em primeiro lugar» necessária para consolidar uma cultura de segurança.
A formação está desarticulada
Todas as culturas, sejam elas quais forem, assentam na confiança e na comunicação. Pode surgir uma cultura de segurança deficiente se os colaboradores não falarem das suas preocupações ou problemas com os seus chefes diretos. O problema surge quando esses mesmos chefes diretos se sentem desligados da cultura de segurança. Isto pode acontecer quando os programas de formação não incluem a gestão ou quando o material de formação não é adaptado a departamentos e funções específicos.
Relacionar funções e departamentos:
- Cria laços e quebra barreiras ao desenvolver programas de formação em segurança, concebendo campanhas à medida de funções específicas.
- Inclui todos os colaboradores na formação; todos numa organização têm o seu papel na empresa e todos têm de fazer parte da cultura de segurança.
- Usa material de formação que promova a criação de laços entre a direção e os colaboradores através de atividades de formação colaborativas, como jogos do tipo «escape room».
Falta de envolvimento
As culturas florescem quando envolvem toda a gente. As pessoas são seres sociais e o comportamento pró-social faz parte da construção de comunidades sólidas e cooperativas. Se não incluíres toda a gente na tua Formação de Sensibilização para a Segurança, vão formar-se grupos cujo comportamento em matéria de segurança é pior do que o daqueles que já passaram pela formação. A falta de envolvimento de alguns vai afetar o desenvolvimento de uma cultura e comunidade de segurança coesas.
Ouve e aprende: ouvir a tua equipa pode ajudar a criar um espírito de comunidade e confiança. Adota uma política de porta aberta para estabelecer laços, o que leva a melhores respostas em matéria de segurança. Ouve e aprende, envolve os colaboradores na Formação de Sensibilização para a Segurança através de iniciativas como a semana anual de sensibilização para a cibersegurança. Saber ouvir bem é uma excelente estratégia de envolvimento. Também ajuda a desenvolver um espírito de comunidade essencial para criar uma cultura de segurança robusta e eficaz.
Há um provérbio que, sem dúvida, já deves ter ouvido: «unidos vencemos, divididos caímos». Esta frase resume bem a importância de trabalharmos juntos em prol de um objetivo comum; ao fazê-lo, «o todo torna-se maior do que a soma das partes». A formação em sensibilização para a segurança deve envolver toda a comunidade da organização e construir pontes com base em experiências e preocupações partilhadas. Ao oferecer um programa de formação em sensibilização para a segurança que seja divertido, envolvente e informativo, a tua empresa pode criar essa cultura de segurança que parece difícil de alcançar, mas que é essencial.