A María tem o seu programa de sensibilização a funcionar há um ano e há um número que a deixa orgulhosa. A taxa de reporte de emails suspeitos subiu 40%. Os seus 800 colaboradores usam o botão de reporte no Outlook e no Gmail, e quando veem algo estranho, avisam. Exatamente o que ela lhes ensinou a fazer.
Na reunião semanal, o analista do SOC mostra-lhe outro número. Este mês entraram 183 reportes de emails reais e 47 continuam sem revisão. Alguns estão ali há três dias.
A María faz a única pergunta possível. Algum desses 47 é phishing real? O analista ainda não os abriu, por isso não tem com que responder.
Os números deste artigo descrevem o mês de uma organização concreta e não uma média do setor. A aritmética, essa, repete-se em qualquer programa que comece a funcionar.
O que acontece a um email suspeito depois de alguém o reportar?
A triagem de emails reportados é o trabalho de decidir, um a um, se aquilo que um colaborador reportou é um ataque real ou um falso alarme. Alguém tem de o fazer, e na maioria das organizações esse alguém é uma pessoa.
O analista da María processa-os por ordem de chegada. Em cada reporte:
- Abre o email original num ambiente controlado.
- Verifica os cabeçalhos e a autenticação do remetente.
- Confirma para onde levam realmente os links, que raramente é para onde dizem levar.
- Analisa os anexos, incluindo o ficheiro que finge ser uma fatura.
- Classifica o caso e fecha-o.
Cada reporte leva-lhe entre cinco e quinze minutos, conforme o caso esteja mais ou menos turvo. Com 183 por mês e a subir, não consegue dar conta.
E é aqui que aparece a parte incómoda. O programa funcionou. As pessoas reportam. O que não cresceu ao mesmo ritmo foi a capacidade da organização para processar aquilo que reporta, pelo que quanto melhor formas as tuas pessoas, mais comprida fica a fila.
Essa fila não estava no plano de ninguém. Apareceu como consequência do êxito da sensibilização e raramente figura numa apresentação de resultados. O reporte é a outra metade do funil que começa no clique, e sobre a metade do clique já escrevemos em o que tem de estar configurado antes de acreditares na taxa de cliques.
Essa fila tem uma resposta na SMARTFENSE, o Smart Triage, um agente de inteligência artificial que classifica cada email reportado como phishing real ou falso alarme em segundos em vez de horas. Mais adiante nesta série contamos isso em detalhe. Aqui o foco está no problema que resolve, porque é o que quase ninguém mede.
Porque é que a maioria dos emails reportados não são ataques?
Dos 183 reportes desse mês, 160 revelaram-se inofensivos. Havia uma fatura verdadeira com aspeto estranho, uma promoção e o email de um fornecedor novo que ninguém tinha visto antes.
Esses 160 emails são o sinal de que as pessoas estão atentas. Um colaborador que hesita diante de um email legítimo e avisa fez exatamente o que lhe foi pedido, e desincentivar essa hesitação é a forma mais rápida de ficar sem reportes.
A dificuldade está noutro lado. Cada uma dessas dúvidas custa o tempo de alguém, e esse custo não aparece em nenhum indicador do programa. A taxa de reporte sobe e celebra-se em comité; as horas que essa subida consome não se medem em parte alguma. Já discutimos neste blogue que métricas refletem verdadeiramente um programa de awareness, e esta é uma das que quase nunca está no painel.
Quanto custa deixar um ataque real à espera na fila?
Os outros 23 emails desse mês eram ataques. Cada um esperou a sua vez atrás de uma pilha de falsos alarmes, porque a fila é processada por ordem de chegada e não por risco.
O tempo que passa entre o reporte e a decisão é tempo em que esse email continua nas caixas de entrada do resto da organização. Ninguém pode avisar, bloquear ou conter algo que ainda não foi visto. Se o reporte mais antigo tem três dias, o pior caso em vigor da tua organização é um ataque com três dias que ninguém abriu.
Um botão de reporte sem uma classificação rápida por trás funciona como um alarme de incêndio que toca enquanto ninguém olha para o painel para saber de que zona vem.
Vale a pena separar duas coisas que costumam andar juntas na mesma conversa. Uma é a capacidade de deteção da organização, que no caso da María é boa e melhorou durante o ano. A outra é a sua velocidade de resposta, que depende da fila que uma pessoa tem nessa semana. A primeira mede-se com a taxa de reporte e apresenta-se com orgulho. A segunda quase nunca se mede.
Essa distinção também muda a leitura do risco humano da organização. Uma empresa cujas pessoas detetam e avisam, mas que leva três dias a agir, tem um problema de processo e não de pessoas.
O que deveria receber a tua equipa quando alguém reporta um email?
Quando um colaborador reporta um email, a tua equipa precisa de uma resposta a três perguntas: o que é esse email, qual o seu nível de risco e porquê. Com isso, a pessoa responsável deixa de classificar e começa a decidir, que é aquilo para que a contrataste.
A diferença entre as duas tarefas é concreta. Classificar é abrir um ficheiro e descobrir o que tem dentro. Decidir é ler um veredicto, confirmá-lo ou corrigi-lo e ativar o que for necessário. A primeira cresce com o número de reportes. A segunda, não.
O botão de reporte de phishing da SMARTFENSE instala-se como suplemento do Outlook, Gmail e Thunderbird, e integra-se também com o botão nativo de reporte do Outlook, pelo que ninguém tem de aprender um gesto novo. Do lado do colaborador, a parte de avisar está resolvida. O que decide se o programa se sustenta é o que acontece depois, quando esse aviso chega à consola de relatórios de alguém.
Há uma conta que convém fazer antes da próxima reunião de comité: quantos reportes entraram no mês passado, quantos continuam sem decisão e quantos dias tem o mais antigo. O primeiro número é o que costuma apresentar-se. O terceiro é o que descreve o risco, e é o único dos três que ninguém pede.
A outra metade da história
Tudo isto olha para a fila do lado da equipa de segurança. Falta a outra metade, que é a que decide se no ano seguinte continuam a haver reportes.
A Lucía, das operações, hesitou diante de um email, decidiu não clicar e avisou. De onde ela está, depois disso não aconteceu nada. Nem uma resposta, nem um sinal de que o seu aviso tenha servido para algo. É disso que trata o que acontece ao hábito de reportar quando ninguém responde, a próxima peça desta série. A pergunta ali é o que acontece ao hábito de avisar quando avisar não tem consequência visível.
Deixe um comentário