Quando falamos de consciencializa\u00e7\u00e3o em ciberseguran\u00e7a pensamos normalmente no curso anual, na palestra obrigat\u00f3ria, no m\u00f3dulo que tem de ser conclu\u00eddo at\u00e9 ao fim do m\u00eas. Tudo isso \u00e9 forma\u00e7\u00e3o, o meio. A consciencializa\u00e7\u00e3o \u00e9 o que fica depois, quando a pessoa fechou o curso e volta a uma caixa de entrada cheia de e-mails. \u00c9 a\u00ed que se joga o programa inteiro, num dia qualquer, e esse dia n\u00e3o chega a nenhum painel.<\/p>\n
Por isso uma organiza\u00e7\u00e3o pode ter 100% da forma\u00e7\u00e3o conclu\u00edda e continuar vulner\u00e1vel. O certificado diz que a forma\u00e7\u00e3o aconteceu. N\u00e3o diz nada sobre o que as pessoas fazem o resto do ano, na sua caixa de entrada real.<\/p>\n
A consciencializa\u00e7\u00e3o em ciberseguran\u00e7a \u00e9 a capacidade de uma pessoa para reconhecer um risco digital no momento em que surge e responder bem no momento, sem parar para raciocinar. Nota-se menos no que algu\u00e9m consegue explicar sobre seguran\u00e7a e mais no que faz quando lhe chega o e-mail estranho numa ter\u00e7a-feira \u00e0s cinco da tarde, com quinze coisas pendentes e vontade de terminar.<\/p>\n
Essa distin\u00e7\u00e3o importa porque o ataque n\u00e3o chega em formato de exame. Chega disfar\u00e7ado de algo normal, um aviso do banco, uma fatura, uma mensagem do chefe. E a pessoa n\u00e3o o enfrenta com a parte da cabe\u00e7a que estudou o curso, enfrenta-o com o reflexo, que \u00e9 r\u00e1pido e n\u00e3o consulta apontamentos. Treinar esse reflexo \u00e9 o verdadeiro trabalho da consciencializa\u00e7\u00e3o.<\/p>\n
E \u00e9 uma coisa coletiva. Uma pessoa atenta rodeada de uma equipa que reencaminha qualquer coisa sem olhar fica igualmente exposta. Por isso o foco \u00e9 a cultura do grupo, mais do que a forma\u00e7\u00e3o individual. A consciencializa\u00e7\u00e3o vive naquilo que o grupo trata como normal, em se perguntar \u201cisto \u00e9 verdadeiro?\u201d \u00e9 visto como razo\u00e1vel ou como fazer os outros perder tempo.<\/p>\n
Muitos programas ficam a meio porque medem o que \u00e9 f\u00e1cil de contar. Contam quantas pessoas conclu\u00edram o curso, quantas horas foram dedicadas, que nota tiraram no question\u00e1rio. Tudo isso confirma que a forma\u00e7\u00e3o aconteceu. Nada disso confirma que o comportamento mudou.<\/p>\n
O caso mais comum \u00e9 o curso anual. Uma vez por ano juntamos tudo o que h\u00e1 para saber, metemo-lo num m\u00f3dulo longo e damos o tema por coberto. A pessoa conclui-o, passa, e ao fim de poucos dias a curva do esquecimento j\u00e1 levou a maior parte (n\u00e3o por desinteresse, \u00e9 assim que funciona a mem\u00f3ria com aquilo que usamos pouco). Onze meses depois esperamos uma rea\u00e7\u00e3o impec\u00e1vel a um ataque real com o pouco que sobreviveu.<\/p>\n
O outro cl\u00e1ssico \u00e9 tratar a consciencializa\u00e7\u00e3o como um tr\u00e2mite de conformidade mais do que como uma mudan\u00e7a de h\u00e1bitos. Faz-se para mostrar o certificado na auditoria. Ter o certificado est\u00e1 muito bem, mas um programa pensado s\u00f3 para a auditoria nota-se logo, aborrece, n\u00e3o liga. E o que aborrece n\u00e3o se ret\u00e9m. Um curso que a pessoa esquece assim que o fecha \u00e9, na pr\u00e1tica, uma falha de seguran\u00e7a em forma de caixa assinalada.<\/p>\n
H\u00e1 um terceiro ponto, mais de fundo. Muitos programas partem de uma ideia que n\u00e3o ajuda, a de que a pessoa \u00e9 o elo mais fraco. Se a mensagem de base \u00e9 que o problema s\u00e3o os humanos, a forma\u00e7\u00e3o transforma-se numa repreens\u00e3o disfar\u00e7ada e as pessoas aprendem a esconder os erros em vez de os reportar (e um erro escondido \u00e9 justamente aquele que n\u00e3o conseguimos corrigir a tempo). A consciencializa\u00e7\u00e3o que funciona faz o contr\u00e1rio, trata a pessoa como a primeira linha de defesa e d\u00e1-lhe com que se defender. O objetivo \u00e9 que algo a proteja e que possa continuar a trabalhar tranquila.<\/p>\n
Entre o saber e o fazer h\u00e1 um vazio que a forma\u00e7\u00e3o sozinha n\u00e3o fecha. Podemos compreender perfeitamente o que \u00e9 o phishing e mesmo assim clicar, porque no momento do clique n\u00e3o estamos a analisar, estamos a despachar tarefas em piloto autom\u00e1tico.<\/p>\n
J\u00e1 o desenvolvemos em porque \u00e9 que o phishing n\u00e3o \u00e9 um problema de conhecimento<\/a>: a maioria das armadilhas n\u00e3o vinga por falta de informa\u00e7\u00e3o, apanha-nos com a guarda em baixo. Por isso o trabalho verdadeiro \u00e9 que as pessoas reconhe\u00e7am a armadilha quando a t\u00eam \u00e0 frente. Isso treina-se com repeti\u00e7\u00e3o em contexto, pondo-as frente \u00e0 armadilha at\u00e9 o reflexo a registar, muito mais do que acumulando defini\u00e7\u00f5es para um exame que nunca chega.<\/p>\n A forma mais honesta de treinar esse reflexo \u00e9 deixar a pessoa errar num s\u00edtio onde errar n\u00e3o custa nada. Uma simula\u00e7\u00e3o bem feita ensina mais do que um aviso, porque nos deixa trope\u00e7ar, perceber porque ca\u00edmos e sair com essa marca (contamo-lo em aprender com o erro a jogar<\/a>). Da pr\u00f3xima vez, o reflexo j\u00e1 traz a experi\u00eancia l\u00e1 dentro.<\/p>\n H\u00e1 uma quest\u00e3o de tom que muda bastante o resultado. Um reflexo treinado a partir do medo gera paralisia. A pessoa duvida de absolutamente tudo, esgota-se, e muitas vezes acaba por desligar o alarme interno s\u00f3 para conseguir trabalhar em paz. Um treinado a partir de reconhecer a armadilha por j\u00e1 a ter visto gera crit\u00e9rio, que \u00e9 o oposto da paralisia. A pessoa sabe onde olhar e segue com o seu dia sem viver de sobreaviso.<\/p>\n Uma cultura de seguran\u00e7a dura quando a consciencializa\u00e7\u00e3o deixa de ser um evento anual e passa a ser algo cont\u00ednuo, breve e bem colocado no tempo. Em vez de uma dose enorme uma vez por ano, muitos contactos pequenos distribu\u00eddos pelos meses.<\/p>\n Tr\u00eas coisas ajudam a que isso funcione, e nenhuma \u00e9 complicada:<\/p>\n Ajuda muito, al\u00e9m disso, que o conte\u00fado fale a cada um na sua l\u00edngua. N\u00e3o precisa de ter presente as mesmas coisas uma pessoa das finan\u00e7as, que convive com faturas e transfer\u00eancias, e algu\u00e9m do suporte, que recebe pedidos de acesso e credenciais o dia todo. Quando o exemplo se parece com o trabalho real de quem o recebe, a ideia chega de outra maneira e fica mais tempo.<\/p>\n A cultura aparece quando estas coisas passam a fazer parte da paisagem. Ningu\u00e9m tem de se lembrar de \u201cfazer seguran\u00e7a\u201d porque a seguran\u00e7a j\u00e1 est\u00e1 tecida no dia, em doses que n\u00e3o pesam.<\/p>\n A consciencializa\u00e7\u00e3o funciona quando muda o que as pessoas fazem, por isso \u00e9 isso que h\u00e1 que medir. N\u00e3o quantas conclu\u00edram o curso, mas como respondem a uma tentativa real ao longo do tempo: se reportam mais, se caem menos, se hesitam antes de entregar uma credencial.<\/p>\n O indicador que vale \u00e9 a tend\u00eancia ao longo dos meses, mais do que a fotografia de um dia. Uma organiza\u00e7\u00e3o que melhora tem cada vez mais pessoas que reconhecem e reportam, e cada vez menos que mordem o isco. Esse dado, al\u00e9m disso, \u00e9 o que se pode levar a um conselho de administra\u00e7\u00e3o sem baralhar ningu\u00e9m (prepar\u00e1mos um guia para isso em reporting para o conselho de administra\u00e7\u00e3o<\/a>). Se o relat\u00f3rio do teu programa se centra em horas e deixa de fora o comportamento, provavelmente mede o esfor\u00e7o e perde o resultado.<\/p>\n O que observar em concreto? A taxa de reporte de e-mails suspeitos costuma ser o melhor term\u00f3metro, porque mostra as pessoas que detetam e avisam, a parte ativa do programa. Serve tamb\u00e9m ver quanto tempo a equipa demora a dar o primeiro alerta perante uma campanha simulada. Se esse tempo baixa, o reflexo est\u00e1 mais afiado. E conv\u00e9m desconfiar de uma \u00fanica m\u00e9trica isolada: a taxa de cliques olhada sozinha empurra a desenhar simula\u00e7\u00f5es f\u00e1ceis para o n\u00famero sair bonito, que \u00e9 exatamente o que n\u00e3o queremos.<\/p>\n Na SMARTFENSE constru\u00edmos a plataforma \u00e0 volta desta ideia. As ferramentas de consciencializa\u00e7\u00e3o<\/a> n\u00e3o perseguem a nota positiva num exame, procuram que a pessoa desenvolva h\u00e1bitos seguros com conte\u00fado que n\u00e3o aborrece, no momento em que serve, e com dados que mostram se o comportamento se moveu. O fator humano continua entre as causas mais frequentes das viola\u00e7\u00f5es, segundo o Verizon DBIR<\/a>, e nenhuma palestra anual chega para o mover. O que o move \u00e9 uma cultura que cuida de si pr\u00f3pria, sustentada ao longo do tempo.<\/p>\n A consciencializa\u00e7\u00e3o em ciberseguran\u00e7a joga-se no dia comum, na microdecis\u00e3o de olhar duas vezes antes de clicar, muito mais do que no curso. A\u00ed quem responde \u00e9 o reflexo que trein\u00e1mos. A teoria fica na sala. E um reflexo treina-se com pr\u00e1tica, em contexto e sem aborrecer, porque o que aborrece n\u00e3o se ret\u00e9m, e o que n\u00e3o se ret\u00e9m n\u00e3o protege ningu\u00e9m.<\/p>\n","protected":false},"excerpt":{"rendered":" A consciencializa\u00e7\u00e3o em ciberseguran\u00e7a n\u00e3o se mede em horas de forma\u00e7\u00e3o. O que \u00e9 realmente, porque tantos programas ficam a meio e como faz\u00ea-la durar.<\/p>\n","protected":false},"author":17,"featured_media":43833,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,687],"tags":[2172,2256,436,449],"class_list":["post-43838","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-pt-pt","tag-cultura-de-seguridad","tag-fator-humano","tag-mudanca-de-comportamento","tag-sensibilizacao"],"acf":[],"yoast_head":" \nComo se constr\u00f3i uma cultura de seguran\u00e7a que dure?<\/h2>\n
\n
Como saber se a consciencializa\u00e7\u00e3o est\u00e1 a funcionar?<\/h2>\n
Numa linha<\/h2>\n