O que a AFAS aprendeu sobre como manter 700 funcionários engajados na conscientização sobre segurança

A AFAS é uma das maiores empresas do setor de software de gestão de recursos humanos e folha de pagamento da Holanda, e a segurança sempre foi algo que a empresa leva muito a sério.

A forma como a AFAS e a Guardey entraram em contato pela primeira vez, no entanto, foi um pouco incomum. Um cliente em comum estava realizando uma simulação de phishing com a Guardey e utilizou um modelo de phishing baseado na AFAS. Alguns funcionários que receberam o e-mail simulado de phishing não comunicaram o ocorrido à sua própria equipe de TI ou de segurança. Em vez disso, entraram em contato diretamente com a AFAS para alertá-la de que e-mails suspeitos estavam sendo enviados em seu nome.

Para a AFAS, aquilo, a princípio, parecia um verdadeiro incidente de segurança.

Isso levou às primeiras conversas entre a AFAS e a Guardey e, por fim, à criação de uma forma de contornar o uso da AFAS em simulações de phishing. Também deu início a um debate mais amplo sobre conscientização em segurança. Pouco tempo depois, a AFAS adotou o programa de conscientização em segurança da Guardey para sua própria organização.

Hoje, o programa abrange todos os 700 funcionários da AFAS, desde desenvolvedores até os colegas da cozinha e da equipe de limpeza. Mas, como explicam Ignaece Bliekendaal, CISO da AFAS, e Rik ten Wolde, que trabalha com marketing e comunicação interna, a implementação de um programa de conscientização sobre segurança é apenas o começo. Fazer com que as pessoas participem e dar a elas um motivo para continuarem participando exige atenção ativa da própria organização.

Indo além do treinamento anual de segurança

Antes da Guardey, a AFAS contava com um programa de conscientização sobre segurança que certamente soará familiar para muitas empresas: um treinamento ou webinar obrigatório, realizado aproximadamente uma vez por ano, complementado por atualizações ocasionais sempre que algo relevante ocorresse.

“As pessoas nunca se envolvem de verdade dessa forma”, explica Ignaece. “Na hora, elas pensam: ‘Sim, a segurança é importante, você está certo’. Uma semana depois, esse sentimento já se esvaiu, e no ano seguinte dá para contar praticamente a mesma história de novo.”

Naquela época, a AFAS já vinha investindo seriamente em resiliência digital. A empresa havia implementado várias camadas técnicas de defesa para limitar o impacto do erro humano. Por exemplo, os funcionários eram obrigados a usar um gerenciador de senhas e só podiam acessar os aplicativos da empresa a partir de sistemas gerenciados pela AFAS. A conscientização sobre segurança, no entanto, ainda não havia recebido a atenção que merecia.

À medida que a empresa crescia, esse cálculo começou a mudar.

“Você se torna um alvo mais importante, mais relevante para certos grupos”, diz Ignaece. “Temos até que levar em conta a possibilidade de que atores estatais estejam interessados em nós. Isso muda o cenário e reforça a necessidade de realmente envolver seus funcionários nas questões de segurança cibernética.”

Era isso que o atraía na abordagem de Guardey: em vez de depender de um único grande evento anual de treinamento, os funcionários se deparam com temas de segurança repetidamente por meio de pequenos desafios.

“Se você fizer algo dez mil vezes, acaba ficando bom nisso. Isso vale para os esportes profissionais, e acho que vale aqui também. A repetição é realmente a única maneira de criar o hábito.”

Um lançamento baseado na forma como a AFAS já se comunica

A AFAS não apresentou o Guardey apenas por meio de um e-mail anunciando que os funcionários agora teriam mais um treinamento para concluir. Em vez disso, a empresa utilizou o “Culture Half Hour”, um programa on-line que a AFAS grava em seu próprio estúdio e compartilha com toda a organização. Esse formato já existente tornou-se uma das principais formas de apresentar o Guardey.

E, em vez de começar com uma explicação sobre a plataforma, a AFAS começou com algo que realmente havia acontecido. Um desenvolvedor recém-contratado havia caído em uma tentativa de phishing. Apesar de ter conhecimento técnico e achar que reconheceria algo assim, isso também aconteceu com ele. Ele concordou em falar abertamente sobre a experiência durante a “Culture Half Hour”.

Isso proporcionou à AFAS uma maneira muito mais acessível de apresentar o programa. O phishing não era mais um cenário abstrato de segurança. Era algo que poderia acontecer com qualquer pessoa dentro da empresa, inclusive alguém com conhecimento técnico.

A AFAS reforçou a divulgação por meio de sua intranet e de outros canais internos. A ideia era simples: para que a conscientização sobre segurança se tornasse parte da rotina das pessoas, os funcionários precisavam, antes de tudo, entender por que isso era importante.

Encontrar um incentivo que realmente interessasse aos funcionários

A comunicação foi apenas uma parte do lançamento. A AFAS também queria aproveitar o espírito competitivo de Guardey para dar aos funcionários um motivo a mais para participar. Isso levantou uma questão que parece simples, mas que se tornou fundamental para a abordagem da empresa:o que as pessoas da AFAS realmente gostariam de ganhar?

A equipe considerou incentivos já conhecidos, como cartões-presente, AirPods e iPads. Mas um prêmio mais caro não é, automaticamente, mais motivador.

“Na verdade, a gente não sabe se as pessoas estão esperando por isso”, explica Rik. “O prêmio pode ser caro sem ser algo que as pessoas queiram.”

Então, em vez de começar com uma lista de prêmios, a AFAS analisou o que as pessoas em toda a organização já estavam comentando. Na época, o assunto em pauta era a próxima viagem anual da empresa. Como a AFAS já havia reservado um hotel inteiro para a viagem, alguns quartos eram, naturalmente, mais luxuosos do que outros. Um dos quartos mais agradáveis, equipado com banheira de hidromassagem, tornou-se o prêmio principal do concurso da Guardey.

“Não nos custou nada a mais”, explica Rik. “Esses quartos já faziam parte do hotel que havíamos reservado. Só tivemos que decidir transformar um deles no prêmio, em vez de sorteá-lo aleatoriamente.”

O resultado foi uma taxa de participação no lançamento de quase 90%. A lição para a AFAS não foi que todo programa de conscientização sobre segurança precisa de um prêmio espetacular. Foi que um incentivo funciona melhor quando está ligado a algo com que os funcionários já se importam.

Dar a mais pessoas um motivo para continuarem no jogo

O primeiro incentivo funcionou bem, mas a AFAS também descobriu por que o engajamento não pode ser planejado uma vez e depois deixado de lado. Após cerca de dez semanas, a participação começou a diminuir. Com um grande prêmio em jogo, os funcionários que já não acreditavam mais que poderiam chegar ao topo tinham menos motivos para continuar competindo. Assim, a AFAS ampliou as formas pelas quais os funcionários poderiam ser recompensados.

Em vez de se concentrarem apenas naquele que alcançou a maior pontuação, eles introduziram uma recompensa coletiva, com franquia extra de bagagem para o grupo que obtivesse o melhor resultado coletivo. Também houve recompensas pela consistência e para o funcionário que apresentou a maior melhora entre duas temporadas.

Essa última categoria era particularmente importante.

“Na verdade, não estamos procurando o desenvolvedor que já está no topo do ranking, porque ele geralmente se sai bem de qualquer maneira”, explica Ignaece. “Estamos tentando alcançar os outros grupos também.”

Isso inclui os colegas das equipes de cozinha e de limpeza da AFAS, que têm muito menos contato com computadores em seu trabalho diário e não têm necessariamente acesso a sistemas confidenciais. Mas isso não significa que a conscientização sobre segurança seja irrelevante para eles.

“Isso não diz respeito apenas ao seu trabalho”, diz Ignaece aos funcionários que questionam se um determinado assunto se aplica à função que desempenham. “Tem a ver também com você como pessoa, com a sua própria situação e com a consciência de como você lida com as coisas.”

Essa filosofia já fazia parte da abordagem da AFAS em relação à resiliência digital antes da chegada de Guardey. Espera-se que os funcionários não apenas utilizem um gerenciador de senhas no âmbito profissional, por exemplo, mas também tenham a oportunidade de usá-lo em suas vidas particulares. A segurança é vista como algo de que os funcionários podem se beneficiar também fora do ambiente de trabalho.

O programa Guardey em si é obrigatório, mas a AFAS opta deliberadamente por não impor a participação por meio de restrições técnicas, como o bloqueio do acesso aos sistemas até que o treinamento seja concluído.

“Isso funcionaria, mas não se encaixa na nossa cultura”, diz Ignaece. “Preferimos chegar lá de uma maneira positiva.”

Fazer com que o treinamento seja reconhecidamente da AFAS

O mesmo princípio se aplica ao próprio conteúdo. A Guardey oferece desafios, campanhas e modelos de comunicação prontos para uso, mas a recomendação da AFAS a outras organizações é que não se limite a aceitar tudo tal como está. Personalize-os.

“É isso que ainda me deixa genuinamente entusiasmado: a capacidade de adaptar cada treinamento à sua própria organização”, diz Ignaece.

A AFAS substituiu os exemplos genéricos por seu próprio software e trocou as imagens de banco de imagens por fotografias próprias. São pequenas mudanças, mas que fazem com que os cenários pareçam mais próximos do ambiente real dos funcionários.

“As pessoas nem sempre percebem que um treinamento é realmente relevante para elas”, diz Rik. “Mas, quando você dá seu toque pessoal, elas percebem.”

A AFAS gostaria de fazer isso de forma ainda mais consistente. Nem sempre tem sido fácil encontrar tempo interno para personalizar o conteúdo, mas tanto Ignaece quanto Rik veem isso como uma forma importante de fazer com que a conscientização pareça relevante, em vez de genérica.

O mesmo se aplica aos modelos de comunicação, aos programas de embaixadores e às ideias de campanha da Guardey. Eles podem servir como ponto de partida, mas a organização ainda precisa decidir como essas ideias se encaixam em sua própria cultura.

“Peguem as ideias, peguem os modelos”, diz Ignaece, “mas adaptem-nos à sua realidade. Apliquem-nos ao que realmente funciona na sua organização, e não ao que funcionou na nossa.”

A conscientização sobre segurança não acontece por si só

Com as primeiras temporadas já concluídas, a AFAS continua buscando maneiras de manter o envolvimento dos funcionários daqui para frente. A viagem da empresa serviu como um forte atrativo para o lançamento, mas foi relevante devido ao que estava acontecendo dentro da AFAS naquele momento específico. O próximo incentivo talvez precise ser completamente diferente.

E essa é, talvez, a lição mais útil que se pode tirar da experiência da AFAS até o momento. A gamificação, a competição e os desafios curtos e recorrentes podem oferecer às organizações as ferramentas necessárias para tornar a conscientização sobre segurança mais envolvente. Modelos e campanhas prontas podem facilitar a implementação. Mas nada disso elimina a necessidade de compreender seus próprios funcionários.

A AFAS utilizou a história real de um funcionário porque isso tornou o risco tangível. Apresentou o programa por meio de canais aos quais as pessoas já prestavam atenção. Associou a competição a algo que já despertava o entusiasmo dos funcionários. E, quando uma forma de recompensar a participação deixou de motivar a todos, criou novas maneiras para que as pessoas e as equipes alcançassem o sucesso.

Não existe um único incentivo, campanha de lançamento ou modelo de comunicação capaz de manter todos os funcionários engajados para sempre. As organizações que tiram o máximo proveito da conscientização sobre segurança são aquelas que continuam fazendo a mesma pergunta que a AFAS faz:

O que vai funcionar para o nosso pessoal neste momento?