De vinte horas para três, o que muda quando a triagem deixa de ser manual

O mês de que esta série vem falando teve 183 emails reportados pelos próprios colaboradores. A peça anterior seguiu um deles desde o botão até à decisão da equipa de segurança, e esse percurso levou quatro minutos. Esta peça olha para o mesmo mês do outro lado da secretária, quando a triagem dos reportes de phishing ainda era trabalho manual e aqueles 183 emails abriam-se um a um. Os números são de uma organização concreta, a mesma das peças anteriores, e não médias do setor.

Quanto tempo consome classificar à mão um email reportado?

Cada reporte pedia exatamente o mesmo. Abrir o email original. Revisar os cabeçalhos e a autenticação do remetente. Verificar a reputação do domínio e de cada link, um a um. Analisar os anexos. E só então classificar.

Cada reporte levava entre cinco e quinze minutos, conforme o caso estivesse mais ou menos ambíguo. Somavam cerca de vinte horas por mês, meia semana de trabalho dedicada na sua enorme maioria a confirmar que 160 emails eram inofensivos.

O primeiro passo dessa lista é também aquele que ninguém quer fazer. Abrir o email original significa manipular à mão o ficheiro que alguém reportou justamente porque lhe pareceu perigoso, com o cuidado que isso exige e no computador de quem o está a revisar.

Há algo pior do que o total de horas, e é a ordem. Uma fila processada por data de chegada trata igual o email do fornecedor novo e o ataque dirigido, porque até alguém os abrir não há forma de saber qual é qual. A prioridade não existe antes da classificação, por isso a classificação é a primeira coisa a tirar do caminho.

Que trabalho fica quando a triagem é automática?

Os reportes entram na consola já resolvidos. Cada um chega com o seu veredicto, com uma pontuação de risco de 0 a 100 que indica também a que banda pertence, e com o detalhe do que foi verificado para chegar ali. A lista continua ordenada por data, como qualquer caixa de entrada, mas agora pode filtrar-se por veredicto e ler a gravidade num relance, sem abrir nada.

A tua equipa deixa de classificar emails e começa a revisar decisões.

O mês muda de forma. Revêem-se a fundo os que vieram marcados como phishing, que são poucos e já trazem a evidência montada, e faz-se uma passagem pelos falsos alarmes para auditar que estão bem classificados. Três horas. As outras dezassete ficam para investigar as ameaças confirmadas, que é o trabalho para o qual essa pessoa foi contratada.

Convém não confundir essa pontuação com a pontuação de risco humano da pessoa que reportou. Uma mede o quão perigoso é um email. A outra mede comportamento ao longo do tempo, e reportar pesa a favor.

Quem tem a última palavra sobre o veredicto?

A análise propõe e a tua equipa dispõe, e isso está sustentado na mecânica e não numa promessa. Qualquer reporte confirma-se ou corrige-se à mão a partir do seu próprio detalhe, num clique. Se alguém corrigir o veredicto enquanto a análise ainda está a correr, ganha a correção da pessoa.

A consola também não perde de vista quem decidiu o quê. Cada reporte mostra com um ícone se o seu veredicto foi deixado pela análise automática ou por uma pessoa, e essa mesma distinção segue para a lista exportada. O nome, a hora e a classificação que existia antes da mudança ficam na trilha de auditoria do reporte.

É isso que responde à pergunta que aparece seis meses depois, quando alguém quer saber por que motivo um email foi classificado de certa maneira. A resposta está registada, com autor e com data, e quando o autor foi a análise o registo também o diz.

O que acontece quando a análise se engana?

Engana-se, como se engana o email security e como se engana uma pessoa às seis da tarde de uma sexta-feira. O que decide se isso é um problema é o quão barato sai corrigir esse erro e o quão visível fica a mudança.

A passagem de auditoria pelos falsos alarmes é esse controlo, e rende mais com um critério explícito. Um email perigoso arquivado como falso alarme custa muitíssimo mais do que um falso alarme tratado como phishing, por isso a revisão concentra-se num só lado e não em discutir os acertos.

Quando alguém corrige um veredicto, esse reporte deixa de contar como resolvido pela análise e passa a contar como resolvido por uma pessoa. É a leitura que corresponde e é a que mantém limpa a contagem do mês, porque o que o painel apresenta como classificação automática é exatamente o que ninguém teve de tocar.

Como se evita que os alertas saturem a equipa?

Os alertas controlam-se com três avisos independentes, cada um com o seu próprio interruptor.

• Aviso de novo reporte. Toca cada vez que alguém usa o botão, sem esperar nenhuma análise.
• Alerta de phishing confirmado por IA. Sai quando a análise fecha o caso como ataque real.
• Aviso de falso alarme detetado por IA. Sai quando a análise descarta o email.

Os dois últimos têm além disso a sua própria lista de destinatários, por isso o alerta de um ataque real e o registo de um falso alarme não têm de chegar às mesmas pessoas.

A responsável de segurança desta história ligou apenas um, o de phishing confirmado, dirigido à sua equipa. O aviso de novo reporte ficou desligado, porque saber 183 vezes por mês que alguém reportou algo não lhe muda nenhuma decisão. O de falso alarme também, porque são 160 emails que não precisam de interromper ninguém para fechar.

Um SOC grande pode querer os três ligados, cada um com os seus próprios destinatários. Uma equipa de duas pessoas pode não ligar nenhum e olhar para o painel uma vez por dia. A diferença entre uma ferramenta que ajuda e uma que desgasta decide-se quase sempre em quem controla quando toca o telefone.

O que se olha no painel quando a triagem já não ocupa o mês?

O painel de reportes mostra o que a classificação automática resolveu no mês em curso, quantos reportes continuam sem decisão, as análises mais recentes e a atividade mês a mês dos últimos seis meses.

Dos quatro, o que diz mais sobre o estado do programa é o dos reportes sem decisão. São um acumulado e não um fluxo do mês, por isso um que ficou aberto há três meses continua a contar hoje. Esse número é a dívida real da triagem, e com a análise automática em marcha deveria tender para zero sem que ninguém trabalhe mais horas.

O que muda além das horas que se libertam?

É fácil ler tudo isto como uma conta de produtividade, e é. Dezassete horas por mês valem o que valem e qualquer pessoa pode multiplicá-las pelo que custa uma hora da sua equipa.

Mas a mudança que importa é outra. Quando a triagem é manual, o tempo que a tua organização leva a saber de um ataque depende de quanta fila tem uma pessoa nessa semana, de se está de férias e de se o reporte chegou a uma segunda ou a uma sexta. Com a classificação resolvida antes de alguém olhar, a velocidade de contenção deixa de ser uma variável de agenda.

É assim que trabalha o Smart Triage dentro da consola de reportes da SMARTFENSE, sobre os emails que a tua gente reporta com o botão. Os avisos, os destinatários e o nível de detalhe são configurados por cada organização segundo o seu protocolo.

Na última peça da série o reporte deixa de ser um assunto da equipa de segurança e volta ao programa de sensibilização, onde muda o que cada pessoa recebe depois. E chega a pergunta do comité.