Simulações de phishing para empresas: realizá-las internamente ou recorrer a um parceiro?

Para a maioria das empresas, o phishing é uma das formas mais comuns pelas quais os invasores conseguem se infiltrar e, desde a entrada em vigor da NIS2, muitas organizações são obrigadas a comprovar que treinam seus funcionários. Uma simulação de phishingé a maneira mais concreta de fazer isso: você utiliza e-mails de phishing realistas, mas inofensivos, para testar como sua equipe reage, antes que um invasor de verdade o faça.

A verdadeira questão é como você vai organizar isso. Você pode contratar um parceiro que assuma totalmente a responsabilidade pelos testes de phishing, ou optar por uma solução administrada pela sua própria organização. Neste artigo, abordamos ambas as opções, incluindo os três tipos de empresas que podem ajudá-lo e os critérios para escolher entre elas.

O que faz uma empresa especializada em simulações de phishing?

Uma empresa especializada em simulação de phishing envia e-mails falsos e controlados aos seus funcionários. As mensagens parecem verdadeiras, com assuntos urgentes, remetentes falsificados e links para páginas de login falsas, mas nada acontece quando alguém cai no golpe. Em vez disso, os resultados são medidos: quem abriu o e-mail, quem clicou, quem inseriu credenciais.

Esses resultados mostram onde sua organização apresenta vulnerabilidades e, mais importante ainda, constituem o ponto de partida para o treinamento. Uma simulação sem acompanhamento é apenas um instantâneo. O verdadeiro valor surge quando os funcionários que cometeram erros recebem treinamento de conscientização direcionado e quando o teste é repetido regularmente, para que você possa verificar se o comportamento realmente melhora.

Há também um aspecto formal. Se a sua organização está sujeita à NIS2, simulações recorrentes combinadas com treinamento estão entre as formas mais concretas de demonstrar que o seu programa de conscientização realmente existe, e não apenas no papel.

Três tipos de empresas que oferecem simulações de phishing

O mercado divide-se, grosso modo, em três tipos de prestadores de serviços. Eles se sobrepõem no que oferecem, mas diferem no quanto assumem as suas responsabilidades e no quanto de controle você mantém.

1. Consultores de segurança

Os consultores orientam as organizações no sentido de alcançarem uma melhor segurança da informação como um todo. Uma simulação de phishing faz parte, então, de um programa mais amplo: uma avaliação inicial, campanhas de conscientização, políticas e, muitas vezes, preparação para certificações como a ISO 27001 ou a conformidade com a NIS2. Uma empresa como a Fendix atua dessa forma, apoiando as organizações em toda a gama de segurança da informação e proteção contra phishing.

Essa opção é ideal para organizações que possuem pouca experiência interna em segurança ou que estão passando por um processo de conformidade ou certificação e desejam orientação especializada do início ao fim.

2. Parceiros de TI e prestadores de serviços gerenciados

Muitas empresas já contam com um parceiro de TI de confiança que gerencia seus locais de trabalho, sua rede e seu ambiente do Microsoft 365. Um número cada vez maior desses parceiros oferece simulações de phishing como parte de seus serviços, geralmente em conjunto com uma plataforma de conscientização sobre segurança. A Promo Systems é um exemplo de parceiro de TI que combina a gestão cotidiana de TI com serviços de segurança.

A vantagem é contar com um único ponto de contato que já conhece seu ambiente de TI. A simulação, o acompanhamento e as medidas técnicas relacionadas, como filtragem de e-mails e autenticação multifatorial, passam a ser gerenciadas por um único responsável.

3. Plataformas de conscientização sobre segurança

A terceira opção é uma plataforma que você mesmo pode usar, ou em conjunto com seu parceiro de TI. Com o Guardey, você configura uma simulação realista de phishing em poucos minutos, vê exatamente quem clica e combina o teste com um treinamento gamificado de conscientização sobre segurança que mantém os funcionários engajados semana após semana.

Essa opção é ideal para organizações que desejam realizar testes continuamente, em vez de apenas uma vez por ano, e que querem manter o controle sobre o cronograma, os modelos e o acompanhamento. É também a opção com a menor barreira de entrada: sem projeto, sem prazo de preparação, basta começar.

Terceirizar sua simulação de phishing ou fazer você mesmo?

Terceirizar totalmente sua simulação de phishing, com um teste único realizado por uma entidade externa, fornece uma linha de base. Mas a resiliência ao phishing é uma questão de comportamento, e o comportamento só muda por meio da repetição. É por isso que a questão da frequência é mais importante do que a questão de quem realiza o teste. Seja qual for a opção escolhida, certifique-se de que as simulações sejam realizadas ao longo do ano e estejam vinculadas ao treinamento.

Na prática, muitas organizações acabam adotando um modelo híbrido: uma plataforma para simulações e treinamento contínuos, com um consultor ou parceiro de TI atuando em conjunto para lidar com políticas, tecnologia e o panorama geral de segurança. Os três tipos de empresas mencionados acima não são tanto concorrentes entre si, mas sim complementares.

Como escolher uma empresa especializada em simulação de phishing

Seja qual for o tipo de prestador de serviços com quem você conversar, esses são os critérios que diferenciam uma boa simulação de phishing de um mero exercício de preenchimento de formulários:

• Modelos realistas no seu idioma. Um modelo americano traduzido chama a atenção imediatamente. As simulações precisam refletir os e-mails que sua equipe realmente recebe, em holandês, de remetentes que eles reconhecem.
• Relatar em nível de equipe, sem apontar culpados nem expor publicamente. O objetivo é aprender, não punir. Bons prestadores de serviços relatam em nível de organização e de departamento e tratam os resultados individuais com cuidado.
• Treinamento vinculado ao teste. Um funcionário que clicar deve receber um breve momento de aprendizado imediato. Sem essa vinculação, uma simulação apenas avalia, mas não melhora nada.
• Frequência. Você consegue realizar simulações com facilidade várias vezes por ano, com variações, ou cada teste é um novo projeto?
• Privacidade e comitê de empresa. As simulações envolvem dados de funcionários. Verifique como o provedor lida com o GDPR e consulte o comitê de empresa antes de começar.
• Relatórios de conformidade. Se a NIS2 ou a ISO 27001 se aplicarem ao seu caso, você precisará ser capaz de comprovar que os treinamentos de conscientização estão sendo realizados. Pergunte como o provedor auxilia na comprovação disso.

Simulação de phishing como parte dos serviços oferecidos pelas empresas de segurança cibernética

As simulações de phishing raramente são realizadas isoladamente. As empresas de segurança cibernética geralmente as oferecem como parte de um pacote mais amplo que também abrange testes de penetração, monitoramento de segurança e resposta a incidentes. Se sua organização precisa de mais do que apenas conscientização — por exemplo, porque lida com dados confidenciais ou se enquadra na NIS2 como entidade essencial —, faz sentido considerar esse panorama mais amplo.

O contrário também é verdadeiro: se o fator humano for seu ponto fraco, você não precisa adquirir o pacote completo de uma empresa de segurança cibernética para começar. Uma simulação de phishing direcionada, acompanhada de treinamento, aborda a via de ataque mais utilizada pelos criminosos, com uma fração do esforço necessário.

Perguntas frequentes

Com que frequência você deve realizar uma simulação de phishing?

Mais de uma vez por ano. Um único teste mede um momento específico; simulações recorrentes, distribuídas ao longo do ano com cenários variados, realmente alteram o comportamento e mostram se as taxas de cliques diminuem.

É permitida uma simulação de phishing nos termos do RGPD?

Sim, desde que você lide com isso com cuidado. Informe aos funcionários, em termos gerais, que as simulações fazem parte da sua política de segurança, envolva o comitê de empresa e apresente os resultados em nível de grupo, em vez de expor indivíduos.

O que acontece depois que alguém clica?

Nada prejudicial. Em uma boa estrutura, o funcionário recebe imediatamente uma breve explicação ou um momento de treinamento. O clique se torna uma oportunidade de aprendizado, em vez de um incidente.

Quer você acabe trabalhando com um consultor, seu parceiro de TI ou uma plataforma, o primeiro passo é o mesmo: descubra qual é a sua situação atual. Quer comparar os fornecedores primeiro? Confira nossa visão geral das melhores ferramentas de software de simulação de phishing.