Uma pontuação de risco humano fiável precisa de mais do que simulações de phishing

Muitos programas de sensibilização resumem a pontuação de risco humano de cada colaborador num único número, quantas vezes caiu numa simulação de phishing. É um dado útil, mas conta apenas parte da história. Alguém pode nunca ter falhado uma simulação e, ainda assim, reutilizar a mesma palavra-passe em dez serviços, ignorar os alertas do seu fornecedor de identidade ou autorizar aplicações que ninguém reviu. Esse risco existe. A simulação, por si só, não o vê.

Como responsável pelas integrações da plataforma, converso com frequência com equipas de segurança que já têm a telemetria para o ver. A informação está lá, distribuída entre o fornecedor de identidade, o endpoint e o SIEM. Ainda assim, a pontuação de risco das pessoas é calculada a partir de uma única fonte, e o resto dos sinais fica noutro painel.

O que é uma pontuação de risco humano e o que a torna fiável?

Uma pontuação de risco humano é uma estimativa, por pessoa, da probabilidade de o seu comportamento levar a um incidente de segurança. Serve para estabelecer prioridades: quem reforçar primeiro, que áreas precisam de outro tipo de conteúdo, onde convém ajustar uma política.

A sua fiabilidade assenta em três aspetos. O primeiro é o número de fontes que alimentam o cálculo, porque uma única dimensão deixa pontos cegos. O segundo é a frequência de atualização, já que o comportamento muda e uma pontuação de há seis meses descreve uma pessoa que talvez já não exista. O terceiro é a rastreabilidade. A equipa tem de conseguir explicar porque é que alguém tem a pontuação que tem, sem ficar só pelo número.

Quando a pontuação é construída unicamente com resultados de simulações, falha na primeira condição. Mede bem um comportamento específico e deixa o resto por observar.

Porque é que as simulações, sozinhas, não chegam?

Uma simulação de phishing mede uma capacidade específica num momento controlado: reconhecer um email de phishing e não interagir com ele. É um sinal valioso e acionável, e é a base de qualquer programa sério. Dedicamos boa parte da plataforma a manter essa medição limpa, como descrevo em como se desenha uma campanha que muda realmente o comportamento.

O limite surge quando esse sinal é usado como se descrevesse todo o risco de uma pessoa. Os ataques reais não se esgotam no email de phishing. Segundo o Data Breach Investigations Report da Verizon, as causas mais frequentes das violações continuam a envolver de forma marcada o elemento humano, incluindo engenharia social, credenciais roubadas e phishing. Grande parte disso acontece fora do alcance de uma simulação: um início de sessão a partir de uma localização impossível, um segundo fator recusado várias vezes, um dispositivo com uma configuração de risco.

Um colaborador que passa em todas as simulações pode, ainda assim, estar por trás de vários desses sinais. Se a pontuação não os incorporar, o programa vê uma face do risco e assume que é a única.

Que sinais o SIEM ou o security stack acrescentam ao risco por pessoa?

Um SIEM (Security Information and Event Management) centraliza e correlaciona eventos de segurança de toda a organização. Em conjunto com o fornecedor de identidade, o endpoint e as soluções de XDR, forma aquilo a que costumamos chamar security stack: o conjunto de sistemas que já observam o que acontece no ambiente real.

Esse stack produz sinais que se ligam diretamente ao comportamento das pessoas. Do lado da identidade, tentativas de acesso anómalas, fatores de autenticação recusados repetidamente ou inícios de sessão a partir de localizações incoerentes. Do lado do endpoint e do XDR, deteções de software malicioso, configurações que se afastam da política ou ligações a destinos suspeitos. Cada um desses sinais diz algo sobre o risco de uma pessoa que nenhuma simulação irá captar.

O sinal da sensibilização e o do stack somam-se. O resultado é uma pontuação que reflete tanto a resposta a um exercício como o comportamento diário perante os sistemas que a pessoa usa todos os dias.

Como combinar simulação e telemetria sem observar a máquina do colaborador?

Aqui está a parte que mais importa do ponto de vista do desenho, e é uma decisão de arquitetura, não um detalhe técnico. Enriquecer a pontuação com sinais do stack não significa instalar um agente no dispositivo de cada pessoa nem observar o que faz no ecrã. Significa integrar-se com os sistemas que a organização já opera e ler os sinais que esses sistemas já geram.

Resolvemos isto por API. A SMARTFENSE liga-se ao fornecedor de identidade, às plataformas de XDR e ao SIEM, sem pedir nada no endpoint do colaborador. É a mesma lógica que explico em porque nos integramos por API e não instalando um agente e que sustenta também a integração de identidade e o aprovisionamento por SSO. A superfície de integração vive do lado dos sistemas de segurança, não do posto de trabalho.

Essa distinção tem consequências concretas. Respeita a privacidade da pessoa, porque se leem eventos de segurança, não a sua atividade pessoal. Reduz o atrito da implementação, porque não é preciso tocar em milhares de dispositivos. E o sinal viaja nos dois sentidos. A pontuação enriquece-se com o stack e, ao mesmo tempo, o comportamento humano pode alimentar a estratégia de deteção, um ângulo complementar que Pablo Abratte abordou em o que o teu SIEM não vê.

O que muda quando a pontuação é multifonte?

A primeira coisa que muda é a definição de prioridades. Quando a pontuação combina a resposta às simulações com os sinais do stack, a lista de pessoas a reforçar deixa de estar ordenada apenas por quem falhou um email e passa a refletir o risco real. Na prática, as organizações que somam os sinais do security stack descobrem risco que a simulação sozinha não mostrava e, ao mesmo tempo, matizam casos que pareciam críticos e não eram.

A segunda é a qualidade do reforço. Com uma pontuação de fonte única, a única resposta possível são mais simulações. Com uma pontuação multifonte é possível dirigir o conteúdo ao problema concreto de cada grupo, seja a gestão de credenciais, a reação a alertas de identidade ou o cuidado com o dispositivo.

A terceira é a conversa com a direção. Uma pontuação que integra várias fontes é mais defensável perante um comité, porque não depende de um único indicador que sobe e desce a cada campanha. Sobre como levar isto a um board escrevi em reporting para o board em dois minutos, e sobre como traduzi-lo em orçamento em quantificar o risco humano para o CFO.

Nada disto exige começar do zero. Se a tua organização já tem um programa de sensibilização e um security stack em funcionamento, a maior parte do trabalho é de integração: ligar o que mede o comportamento ao que observa o ambiente, e deixar que a pontuação reflita as duas coisas.

Perguntas frequentes

Uma pontuação de risco humano substitui as simulações de phishing?
Não. As simulações continuam a ser uma fonte central e a forma mais direta de medir e treinar a resposta a um email de phishing. Uma pontuação multifonte incorpora-as e acrescenta-lhes os sinais do stack para cobrir o risco que elas não observam.

É preciso instalar um agente nos dispositivos para ler os sinais do SIEM?
Não. A integração faz-se por API com os sistemas de segurança que a organização já opera, como o fornecedor de identidade, o XDR e o SIEM. Não se instala nada no endpoint do colaborador nem se observa a sua atividade pessoal.

Que sinais do security stack acrescentam ao risco por pessoa?
Acessos anómalos, segundos fatores recusados repetidamente, inícios de sessão a partir de localizações incoerentes, deteções de software malicioso e configurações de dispositivo que se afastam da política. Todos se correlacionam com o comportamento de uma pessoa.

A privacidade do colaborador é respeitada?
Sim. Leem-se eventos de segurança gerados pelos sistemas corporativos, não a atividade privada da pessoa. A telemetria provém do security stack, não da observação do ecrã de ninguém.

Com que frequência deve a pontuação atualizar-se?
De forma contínua. O comportamento muda, e uma pontuação que se atualiza à medida que chegam novos sinais descreve a pessoa que é hoje, não a da última campanha.

Queres ver como isto se liga ao teu ambiente? A secção de integrações da plataforma mostra com que sistemas a SMARTFENSE se liga, e a de ferramentas de simulação mostra onde começa a medição do comportamento.