Quando falamos de consciencialização em cibersegurança pensamos normalmente no curso anual, na palestra obrigatória, no módulo que tem de ser concluído até ao fim do mês. Tudo isso é formação, o meio. A consciencialização é o que fica depois, quando a pessoa fechou o curso e volta a uma caixa de entrada cheia de e-mails. É aí que se joga o programa inteiro, num dia qualquer, e esse dia não chega a nenhum painel.
Por isso uma organização pode ter 100% da formação concluída e continuar vulnerável. O certificado diz que a formação aconteceu. Não diz nada sobre o que as pessoas fazem o resto do ano, na sua caixa de entrada real.
O que é a consciencialização em cibersegurança?
A consciencialização em cibersegurança é a capacidade de uma pessoa para reconhecer um risco digital no momento em que surge e responder bem no momento, sem parar para raciocinar. Nota-se menos no que alguém consegue explicar sobre segurança e mais no que faz quando lhe chega o e-mail estranho numa terça-feira às cinco da tarde, com quinze coisas pendentes e vontade de terminar.
Essa distinção importa porque o ataque não chega em formato de exame. Chega disfarçado de algo normal, um aviso do banco, uma fatura, uma mensagem do chefe. E a pessoa não o enfrenta com a parte da cabeça que estudou o curso, enfrenta-o com o reflexo, que é rápido e não consulta apontamentos. Treinar esse reflexo é o verdadeiro trabalho da consciencialização.
E é uma coisa coletiva. Uma pessoa atenta rodeada de uma equipa que reencaminha qualquer coisa sem olhar fica igualmente exposta. Por isso o foco é a cultura do grupo, mais do que a formação individual. A consciencialização vive naquilo que o grupo trata como normal, em se perguntar “isto é verdadeiro?” é visto como razoável ou como fazer os outros perder tempo.
Porque é que tantos programas ficam a meio?
Muitos programas ficam a meio porque medem o que é fácil de contar. Contam quantas pessoas concluíram o curso, quantas horas foram dedicadas, que nota tiraram no questionário. Tudo isso confirma que a formação aconteceu. Nada disso confirma que o comportamento mudou.
O caso mais comum é o curso anual. Uma vez por ano juntamos tudo o que há para saber, metemo-lo num módulo longo e damos o tema por coberto. A pessoa conclui-o, passa, e ao fim de poucos dias a curva do esquecimento já levou a maior parte (não por desinteresse, é assim que funciona a memória com aquilo que usamos pouco). Onze meses depois esperamos uma reação impecável a um ataque real com o pouco que sobreviveu.
O outro clássico é tratar a consciencialização como um trâmite de conformidade mais do que como uma mudança de hábitos. Faz-se para mostrar o certificado na auditoria. Ter o certificado está muito bem, mas um programa pensado só para a auditoria nota-se logo, aborrece, não liga. E o que aborrece não se retém. Um curso que a pessoa esquece assim que o fecha é, na prática, uma falha de segurança em forma de caixa assinalada.
Há um terceiro ponto, mais de fundo. Muitos programas partem de uma ideia que não ajuda, a de que a pessoa é o elo mais fraco. Se a mensagem de base é que o problema são os humanos, a formação transforma-se numa repreensão disfarçada e as pessoas aprendem a esconder os erros em vez de os reportar (e um erro escondido é justamente aquele que não conseguimos corrigir a tempo). A consciencialização que funciona faz o contrário, trata a pessoa como a primeira linha de defesa e dá-lhe com que se defender. O objetivo é que algo a proteja e que possa continuar a trabalhar tranquila.
O que separa o saber do fazer?
Entre o saber e o fazer há um vazio que a formação sozinha não fecha. Podemos compreender perfeitamente o que é o phishing e mesmo assim clicar, porque no momento do clique não estamos a analisar, estamos a despachar tarefas em piloto automático.
Já o desenvolvemos em porque é que o phishing não é um problema de conhecimento: a maioria das armadilhas não vinga por falta de informação, apanha-nos com a guarda em baixo. Por isso o trabalho verdadeiro é que as pessoas reconheçam a armadilha quando a têm à frente. Isso treina-se com repetição em contexto, pondo-as frente à armadilha até o reflexo a registar, muito mais do que acumulando definições para um exame que nunca chega.
A forma mais honesta de treinar esse reflexo é deixar a pessoa errar num sítio onde errar não custa nada. Uma simulação bem feita ensina mais do que um aviso, porque nos deixa tropeçar, perceber porque caímos e sair com essa marca (contamo-lo em aprender com o erro a jogar). Da próxima vez, o reflexo já traz a experiência lá dentro.
Há uma questão de tom que muda bastante o resultado. Um reflexo treinado a partir do medo gera paralisia. A pessoa duvida de absolutamente tudo, esgota-se, e muitas vezes acaba por desligar o alarme interno só para conseguir trabalhar em paz. Um treinado a partir de reconhecer a armadilha por já a ter visto gera critério, que é o oposto da paralisia. A pessoa sabe onde olhar e segue com o seu dia sem viver de sobreaviso.
Como se constrói uma cultura de segurança que dure?
Uma cultura de segurança dura quando a consciencialização deixa de ser um evento anual e passa a ser algo contínuo, breve e bem colocado no tempo. Em vez de uma dose enorme uma vez por ano, muitos contactos pequenos distribuídos pelos meses.
Três coisas ajudam a que isso funcione, e nenhuma é complicada:
- A cadência. O gotejamento contínuo, conteúdos curtos e espaçados, sustenta a aprendizagem muito melhor do que a fartadela anual. O detalhe está em microaprendizagem em cibersegurança.
- O momento. Um lembrete serve quando chega mesmo antes de uma decisão arriscada. Três semanas antes, dentro de um curso, já não pega. É o terreno dos nudges, os pequenos empurrões no momento certo.
- O formato. Se o conteúdo aborrece, não importa quão correto seja, não fica. Por isso trabalhamos com histórias, banda desenhada e jogo, qualquer coisa que segure a atenção o tempo suficiente para a ideia entrar (aqui explicamos porque é que a gamificação muda o comportamento).
Ajuda muito, além disso, que o conteúdo fale a cada um na sua língua. Não precisa de ter presente as mesmas coisas uma pessoa das finanças, que convive com faturas e transferências, e alguém do suporte, que recebe pedidos de acesso e credenciais o dia todo. Quando o exemplo se parece com o trabalho real de quem o recebe, a ideia chega de outra maneira e fica mais tempo.
A cultura aparece quando estas coisas passam a fazer parte da paisagem. Ninguém tem de se lembrar de “fazer segurança” porque a segurança já está tecida no dia, em doses que não pesam.
Como saber se a consciencialização está a funcionar?
A consciencialização funciona quando muda o que as pessoas fazem, por isso é isso que há que medir. Não quantas concluíram o curso, mas como respondem a uma tentativa real ao longo do tempo: se reportam mais, se caem menos, se hesitam antes de entregar uma credencial.
O indicador que vale é a tendência ao longo dos meses, mais do que a fotografia de um dia. Uma organização que melhora tem cada vez mais pessoas que reconhecem e reportam, e cada vez menos que mordem o isco. Esse dado, além disso, é o que se pode levar a um conselho de administração sem baralhar ninguém (preparámos um guia para isso em reporting para o conselho de administração). Se o relatório do teu programa se centra em horas e deixa de fora o comportamento, provavelmente mede o esforço e perde o resultado.
O que observar em concreto? A taxa de reporte de e-mails suspeitos costuma ser o melhor termómetro, porque mostra as pessoas que detetam e avisam, a parte ativa do programa. Serve também ver quanto tempo a equipa demora a dar o primeiro alerta perante uma campanha simulada. Se esse tempo baixa, o reflexo está mais afiado. E convém desconfiar de uma única métrica isolada: a taxa de cliques olhada sozinha empurra a desenhar simulações fáceis para o número sair bonito, que é exatamente o que não queremos.
Na SMARTFENSE construímos a plataforma à volta desta ideia. As ferramentas de consciencialização não perseguem a nota positiva num exame, procuram que a pessoa desenvolva hábitos seguros com conteúdo que não aborrece, no momento em que serve, e com dados que mostram se o comportamento se moveu. O fator humano continua entre as causas mais frequentes das violações, segundo o Verizon DBIR, e nenhuma palestra anual chega para o mover. O que o move é uma cultura que cuida de si própria, sustentada ao longo do tempo.
Numa linha
A consciencialização em cibersegurança joga-se no dia comum, na microdecisão de olhar duas vezes antes de clicar, muito mais do que no curso. Aí quem responde é o reflexo que treinámos. A teoria fica na sala. E um reflexo treina-se com prática, em contexto e sem aborrecer, porque o que aborrece não se retém, e o que não se retém não protege ninguém.
Deixe um comentário