O ponto de partida: um cavaleiro que não iria vencer a batalha
Quando Elske van der Horst assumiu o cargo de CISO na Prefeitura de Nunspeet, ela herdou um programa de conscientização sobre segurança que já estava em funcionamento há anos: uma pergunta por semana, apresentada por um personagem animado chamado “o Cavaleiro”, além de vários módulos de e-learning.
No papel, o programa parecia bom. Na prática, a participação havia caído para cerca de 50% e não passava disso, por mais que Elske tentasse. Conversas com os funcionários rapidamente deixaram claro que a abordagem já não se encaixava mais na organização, em um momento em que novas exigências, na verdade, demandavam um maior envolvimento com a segurança da informação e a privacidade.
“Eu soube na hora: não vou vencer essa batalha contra o Cavaleiro.”
Assim, juntamente com a Diretora de Privacidade da época, Elske começou a buscar uma alternativa. Elas exploraram o mercado com um conjunto claro de requisitos. Nada de treinamentos que dependessem excessivamente de vídeos, pois era improvável que os funcionários que trabalhavam em um escritório em plano aberto ligassem o som. Além disso, elas queriam um conteúdo abrangente que cobrisse não apenas segurança da informação e privacidade, mas também temas como a Lei de IA e a Lei de Governo Aberto.
Mais importante do que qualquer requisito específico, porém, era uma coisa: tinha que se adequar à própria organização.
Quando Elske descobriu o Guardey e soube que outro município já o estava utilizando com sucesso, Nunspeet decidiu realizar um projeto-piloto com embaixadores de diferentes setores da organização. Todos os participantes ficaram imediatamente entusiasmados. Para Elske, aquele foi o momento em que ela percebeu que haviam encontrado a solução certa.
Por que essa abordagem deu certo
Uma das primeiras coisas que chamou a atenção foi o quanto tudo parecia familiar. Em vez de fotos de banco de imagens distantes, as ilustrações mostram pessoas em situações que os funcionários reconhecem do próprio dia a dia de trabalho: checando o celular, sentados diante de uma tela ou lidando com um cenário familiar no ambiente de trabalho. Elske também apreciou a diversidade dos personagens, com diferentes gêneros e tons de pele representados, o que facilita que as pessoas se identifiquem com o que veem.
Mas o que realmente fez essa abordagem decolar foi o elemento lúdico.
A Prefeitura de Nunspeet é uma organização naturalmente competitiva, e não demorou muito para que isso ficasse evidente. Equipe contra equipe, colegas mais jovens contra os mais velhos, funcionários comparando pontuações e se desafiando mutuamente para não ficarem para trás. Elske não precisava mais ficar atrás das pessoas, pois os próprios colegas já faziam isso uns pelos outros.
E os funcionários não se limitaram a responder às perguntas e seguir em frente. Eles começaram a discutir o assunto.
Alguns procuraram a Elske porque não entendiam por que haviam respondido algo incorretamente. Outros admitiram abertamente que haviam procurado a resposta ou pedido ajuda a um colega. Para a Elske, esse era exatamente o objetivo. As pessoas estavam refletindo ativamente sobre o conteúdo, em vez de simplesmente cumprir mais uma exigência de treinamento.
"Somos uma organização competitiva, e isso ficou evidente logo de cara. Equipe contra equipe, jovens contra veteranos, todo mundo comparando pontuações. Não preciso mais ficar atrás de ninguém, os colegas fazem isso uns pelos outros. E eles não se limitam a responder à pergunta e seguir em frente; eles realmente conversam sobre o assunto."
A adoção não acontece por si só
A Prefeitura de Nunspeet começou a utilizar o Guardey em março de 2026, mas Elske sabia que a simples introdução de uma nova plataforma não levaria automaticamente a uma maior participação.
Juntamente com o CISO, o Encarregado da Proteção de Dados, o Encarregado da Privacidade, o administrador de sistemas e até mesmo o coordenador da Lei de Governo Aberto do município, ela planejou cuidadosamente a implementação. Os modelos de comunicação da Guardey serviram de ponto de partida, mas a equipe reescreveu tudo no tom de voz próprio do município e criou pelo menos dois momentos de comunicação por semana na preparação para o lançamento.
A diretoria também esteve envolvida desde o início. Cada gerente de equipe recebeu uma breve apresentação e foi explicitamente informado de que tinha um papel a desempenhar para envolver suas equipes. Solicitou-se à equipe de gestão que apoiasse o lançamento por meio da comunicação interna e, o que é igualmente importante, que participasse ativamente.
E então veio o prêmio.
A Prefeitura de Nunspeet colocou em jogo um churrasco coletivo para a equipe com mais pontos. Não era um prêmio simbólico, mas algo que as pessoas realmente queriam ganhar. Comida é assunto sério em Nunspeet, então, de repente, todo mundo queria aquele churrasco. Os colegas se incentivavam ativamente a completar seus desafios porque queriam que sua equipe saísse vencedora.
Desde então, a abordagem evoluiu. Em vez de premiar sempre a equipe com melhor desempenho, agora a pessoa com a maior pontuação em cada equipe pode ganhar um prêmio, o que também gera uma competição saudável dentro das equipes.
Na metade da primeira temporada, Nunspeet deu um empurrãozinho extra: um prêmio de incentivo “intermediário”, barras de chocolate da Tony’s Chocolonely com a inscrição “Winnaar Aanmoedigingsprijs Guardey”. Segundo Elske, um pequeno prêmio como esse no meio da temporada funciona bem para manter todo mundo treinando.
O grande prêmio ajudou a dar o pontapé inicial, mas, após a primeira temporada, Elske percebeu algo ainda mais importante: os funcionários precisavam cada vez menos de incentivo. Isso estava se tornando um hábito. A terça-feira simplesmente passou a significar:“É terça-feira, hora do Guardey.”
O resultado: de 50% a 86% de participação
Antes de Guardey, a participação na Gemeente Nunspeet havia estagnado em cerca de 50%. Hoje, ela está em 86%.
Elske está muito satisfeita com esse número, especialmente considerando que sempre haverá funcionários que se ausentam por períodos mais longos ou prestadores de serviços externos que trabalham para o município apenas algumas horas por semana.
As simulações de phishing também mostram uma mudança clara. Durante a primeira simulação, 40% dos funcionários ainda clicaram. Após uma temporada com o Guardey, esse número caiu para 20% — uma melhora significativa em apenas três meses.
Mas a maior mudança não é necessariamente visível nos números.
No passado, os funcionários raramente procuravam a Elske com dúvidas sobre e-mails suspeitos ou incidentes de segurança. Havia confusão sobre a diferença entre spam, phishing, incidentes de segurança e violações de dados, e os funcionários não estavam relatando ativamente esses casos.
Agora, os colegas ligam para ela ou passam na mesa dela para perguntar se um e-mail é legítimo. Eles sabem que podem denunciar mensagens suspeitas no Outlook e conversam entre si sobre o que aprenderam com o Guardey. Às vezes, chegam até a discutir como estão aplicando esse conhecimento em casa.
Esse momento a mais de atenção faz toda a diferença para Elske. As pessoas verificam antes de agir, e ela fica genuinamente feliz quando isso acontece. A segurança da informação deixou de ser algo que se esperava que os funcionários fizessem para se tornar simplesmente parte do trabalho cotidiano.
Conscientização sobre segurança, de cima para baixo
Essa mudança não se limita aos funcionários.
O diretor de operações participa todas as semanas, e a nova diretoria executiva do município também já passou a integrar o Guardey. A importância disso ficou especialmente clara durante uma campanha de phishing, quando a Prefeitura de Nunspeet percebeu que as pessoas sem uma conta no Guardey tiveram um desempenho visivelmente pior do que os colegas que já haviam passado pelo treinamento.
Elske utilizou essa percepção internamente para reforçar uma mensagem simples: todos precisam participar, incluindo a diretoria executiva e os diretores. Qualquer um de nós pode ser o elo fraco, e quanto mais você praticar, menor será a chance de cair em um ataque.
Esse envolvimento da alta administração ajudou a transformar a conscientização sobre segurança em uma responsabilidade compartilhada por toda a organização, em vez de algo de responsabilidade exclusiva do CISO.
"Antes de começarmos a usar o Guardey, realizamos um teste de phishing e quarenta por cento dos nossos funcionários clicaram no link. Após uma temporada de desafios semanais do Guardey, repetimos o mesmo tipo de teste e apenas vinte por cento clicaram. Isso representa uma redução de metade em três meses. Foi aí que percebi que essa abordagem realmente funciona, e não apenas no papel."
Aproveitar o que já funciona
A Prefeitura de Nunspeet está utilizando agora as informações fornecidas pela Guardey para tornar sua abordagem mais ampla de conscientização sobre segurança ainda mais direcionada.
No caso de simulações de phishing, por exemplo, a equipe de segurança pode utilizar modelos específicos para diferentes grupos e analisar os resultados para identificar onde é necessário dedicar mais atenção. As equipes que apresentam dificuldades com um determinado tema podem, então, receber um treinamento mais direcionado.
Elske também continua a combinar os desafios semanais da Guardey com sessões em equipe e treinamentos direcionados para funções específicas. O objetivo não é simplesmente concluir o treinamento, mas manter o conhecimento atualizado e continuar praticando situações que os funcionários possam realmente enfrentar no trabalho.
Seu conselho para outras organizações que estão iniciando um programa de conscientização sobre segurança vem diretamente do que funcionou na Gemeente Nunspeet: não trate a implementação como algo secundário. Escolha um incentivo pelo qual as pessoas realmente queiram competir e envolva a diretoria desde o início, para que a conscientização não se torne “o projeto do CISO”.
E recorra a embaixadores de todas as áreas da organização. Eles podem compartilhar suas próprias experiências com os colegas, o que, segundo Elske, costuma funcionar melhor do que ouvir a mensagem apenas do CISO.
Quando a segurança vira assunto de conversa na máquina de café
Talvez o sinal mais claro de progresso nem se encontre em um painel de controle. Está na máquina de café.
Os funcionários comparam suas pontuações, conversam sobre as questões em que erraram e se lembram mutuamente de concluir o desafio semanal. A conscientização sobre segurança tornou-se um assunto que os colegas discutem entre si, em vez de algo que a Elske precise insistir constantemente.
Hoje em dia, é mais provável que a conversa perto da máquina de café gire em torno de se você já completou o desafio do Guardey ou do que achou daquela pergunta complicada.
E é exatamente assim que Elske quer que a conscientização sobre segurança seja: parte da conversa, parte do dia a dia de trabalho e algo pelo qual toda a organização assuma responsabilidade em conjunto.
"A maior mudança não está no painel de controle, mas na minha mesa. Antes do Guardey, ninguém nunca me perguntava se um e-mail parecia legítimo. As pessoas nem sabiam a diferença entre spam e um incidente de segurança de verdade. Agora, os colegas passam por aqui ou ligam para verificar antes de clicar e conversam entre si sobre o que aprenderam, às vezes até sobre como isso os ajuda em casa também."
Quer saber como seria uma taxa de participação de 86% na sua organização? Agende uma demonstração e vamos explicar tudo para você, ou comece um teste gratuito e veja por si mesmo.
