O que acontece entre a assinatura e a primeira campanha

O contrato já está assinado e o acesso à plataforma foi entregue no próprio dia. A primeira campanha, essa, demora a sair.

Esse intervalo entre a assinatura e o arranque da primeira campanha é onde se define boa parte do que vem a seguir, e costuma ficar de fora de qualquer planeamento. A norma, pelo contrário, trata-o como trabalho formal. A revisão 1 da NIST SP 800-50, Building a Cybersecurity and Privacy Learning Program, publicada em setembro de 2024, organiza o programa segundo as cinco fases do modelo ADDIE (análise, conceção, desenvolvimento, implementação e avaliação). As duas primeiras terminam antes de um único conteúdo chegar a alguém.

Na SMARTFENSE vemos esse troço todas as semanas, em implementações de organizações de dimensões muito diferentes. O tempo que vai da assinatura ao primeiro envio quase nunca depende da plataforma. Depende de decisões que só a organização que faz a contratação pode tomar.

Quanto tempo demora realmente a arrancar um programa de sensibilização?

Depende dessas decisões, não da implementação técnica.

Criar o ambiente, carregar o catálogo de conteúdos e deixar a plataforma operacional é questão de horas. O que estica o calendário é tudo o resto. Quem entra no programa, com que dados, com autorização de quem e sob que mensagem interna.

Uma equipa que chega com a lista de pessoas depurada, o patrocínio definido e o aval da área de TI pode arrancar em dias. Quando esses três fatores começam a resolver-se depois da assinatura, o arranque transforma-se num projeto com calendário próprio. A diferença entre um caso e outro não está no software.

O que resolve o fornecedor e o que só a sua organização pode resolver?

A divisão é mais nítida do que parece, e vale a pena pô-la por escrito antes da reunião de arranque.

Resolve o fornecedor	Só a sua organização resolve
Ambiente, catálogo de conteúdos e configuração da plataforma	Quem faz parte do programa e como é agrupado
Modelos de simulação, relatórios e automatizações	A qualidade e a atualização do cadastro de pessoas
Documentação técnica de entregabilidade	A aplicação dessa configuração no seu correio e na sua rede
Acompanhamento, formação de administradores e apoio	O patrocínio interno e a mensagem com que se anuncia
Boas práticas de calendário e frequência	As datas que a sua organização consegue sustentar

A leitura prática dessa tabela é que a coluna da direita não se delega. Um fornecedor pode aconselhar, documentar e acompanhar. Não pode decidir quem entra no programa nem conseguir, em seu lugar, o apoio da direção.

Porque é a lista de utilizadores o estrangulamento mais frequente?

Porque é o único elemento que ninguém além da organização consegue produzir, e está quase sempre pior do que se pensa.

O NIST coloca esta tarefa no segundo passo da fase de análise, antes de qualquer conteúdo: identificar o público do programa. Na prática, essa identificação revela coisas que estavam escondidas. Pessoas que já não trabalham na organização e continuam no diretório. Caixas partilhadas por uma área inteira. Prestadores externos sobre os quais ninguém sabe se devem receber formação. Instalações com o campo de país vazio, que depois impedem, por exemplo, a segmentação por idioma.

Nada disso é um problema da plataforma, mas tudo isso chega à plataforma. Se o cadastro entrar sujo, os primeiros relatórios vão descrever um problema de dados e não um problema de comportamento, que é precisamente o que o programa vinha medir.

Vale a pena resolvê-lo antes do primeiro envio e não depois. Definir o público do programa com critério, mesmo que custe duas semanas, poupa um ano de métricas que não se conseguem defender.

O que tem de ficar fechado com a área de TI antes da primeira simulação?

Três coisas, e as três vivem fora da plataforma de sensibilização.

1. Entregabilidade. As mensagens de simulação têm de chegar à caixa de entrada. Isto exige que a equipa que administra o servidor de correio autorize os envios do programa e os exclua da filtragem, com o âmbito acordado por escrito.
2. Navegação. As páginas de destino das simulações têm de abrir a partir da rede da empresa. Se o filtro web as bloquear, a simulação mede a configuração do proxy em vez da reação das pessoas.
3. Domínio de envio. Convém decidir cedo sob que domínio saem as notificações do programa, porque afeta a confiança do público-alvo. Desenvolvemos o tema em porque o domínio próprio impulsiona a adoção do programa.

Estas três tarefas costumam ser curtas para a área de TI e demoradas de agendar. É esse o verdadeiro motivo pelo qual se tornam o bloqueio mais caro do arranque: não por dificuldade, mas por entrarem na fila de outra equipa que tem as suas próprias prioridades.

Quem tem de estar de acordo antes de sair a primeira mensagem?

Mais gente do que a que costuma aparecer na reunião inicial.

A área de segurança impulsiona o programa, mas raramente controla os canais por onde ele chega. Os recursos humanos têm voz sobre qualquer atividade obrigatória para o pessoal. A comunicação interna decide como se anuncia. Em algumas organizações, a representação dos trabalhadores tem de ser informada antes de uma simulação ser executada, e em vários países esse passo não é opcional.

Nenhuma dessas conversas é longa se abrir a tempo. Todas se tornam longas se abrirem quando a primeira campanha já está agendada. Quando um programa arranca sem acordo interno, o primeiro incidente não é técnico. É uma queixa que chega à direção e trava o calendário inteiro.

Por isso a figura do patrocinador importa tanto. Não é preciso que venha da área de segurança. É preciso que tenha autoridade para convocar essas três áreas para a mesma sala e sair com uma decisão.

Convém abrir com formação ou com simulação?

Com formação, salvo que tenha uma razão concreta para fazer o contrário.

Uma simulação como primeiro contacto chega antes de alguém saber que existe um programa. Mede bem, porque capta uma linha de base sem enviesamento, mas deixa as pessoas com a sensação de terem sido avaliadas sem aviso. Esse arranque sai caro em confiança, e a confiança é o que sustenta o programa no resto do ano.

Abrir com conteúdo formativo, anunciado pelo patrocinador, arruma as expectativas. As pessoas sabem que vai haver um programa, para que serve e o que se espera delas. A simulação chega depois, com o terreno preparado, e os seus resultados leem-se sem ruído.

Há uma exceção razoável. Quando a direção pede uma medição inicial para justificar o investimento, a linha de base tem de ser recolhida antes de qualquer formação, porque depois já não é uma linha de base. Nesse caso convém acordar de antemão o que se fará com os resultados obtidos e o que não, algo que tratamos em o seu programa de awareness está a medir o que importa.

O arranque também faz parte do programa

As semanas anteriores ao primeiro envio não são tempo perdido à espera de que o programa arranque. São a primeira fase do programa, e o NIST trata-as como tal.

Quando essa fase é bem feita, o resto do ano parece-se com o que foi planeado. A segmentação funciona, os relatórios leem-se sem reservas e o calendário de campanhas sustenta-se sem renegociações mensais. Quando se salta, reaparece mais à frente convertida em dados que ninguém defende e em campanhas que se adiam.

Se está prestes a arrancar, a conversa útil não é sobre a plataforma. É sobre o cadastro, o patrocínio e a agenda da área de TI. Uma vez resolvido isso, o resto é questão de dias.

Perguntas frequentes

Quanto tempo passa entre contratar uma plataforma de sensibilização e enviar a primeira campanha?
Depende de quantas decisões internas já estejam tomadas no momento da assinatura. A implementação técnica resolve-se em horas. O que marca o prazo é ter a lista de pessoas depurada, um patrocinador com autoridade e as tarefas de entregabilidade agendadas com a área de TI.

O que é a fase de análise de um programa de sensibilização?
É a primeira das cinco fases do modelo ADDIE que a NIST SP 800-50 Rev. 1 aplica a estes programas. Consiste em identificar as necessidades de aprendizagem, definir o público, cruzar ambos, avaliar o nível de conhecimento atual e determinar as lacunas. Termina antes de ser distribuído o conteúdo.

Porque falha o carregamento inicial de utilizadores?
Porque o diretório da empresa quase nunca está preparado para segmentar formação. Costuma conter pessoas que já saíram, caixas partilhadas, prestadores externos sem critério definido e campos vazios que impedem agrupar por instalação ou por idioma.

O que tem a área de TI de configurar antes de uma simulação de phishing?
Autorizar os envios do programa para que cheguem à caixa de entrada, permitir a navegação para as páginas de destino a partir da rede da empresa e acordar o domínio sob o qual saem as comunicações.

É melhor começar com uma simulação ou com formação?
Com formação na maioria dos casos, porque arruma as expectativas antes de qualquer avaliação. A simulação como ponto de partida só faz sentido quando é necessária uma linha de base sem enviesamento prévio, e convém acordar antecipadamente como se vão usar os resultados obtidos.