Avaliação de referência da conscientização em segurança: saiba qual é a situação da sua organização

Uma avaliação de referência da conscientização em segurança mapeia como seus funcionários lidam com o phishing e outras ameaças digitais atualmente, antes do início de qualquer treinamento. Na prática, ela combina uma simulação de phishing sem aviso prévio com uma breve avaliação de conhecimentos. O resultado é o seu ponto de partida: o conjunto de números com o qual todas as avaliações posteriores serão comparadas.

Se você pular essa etapa inicial, estará conduzindo um programa de conscientização em segurança apenas com base na intuição. Você ainda pode realizar o treinamento, mas não poderá demonstrar quais mudanças ele promove. Neste artigo, explicamos como é uma medição de linha de base, quais números são importantes e como realizá-la em cinco etapas.

O que é uma avaliação de referência da conscientização em segurança?

Uma avaliação de referência é a primeira medição estruturada do nível real de conscientização sobre segurança da sua organização. Ela responde a duas perguntas: o que os funcionários sabem sobre ameaças digitais e o que eles realmente fazem quando uma delas chega à sua caixa de entrada? Você avalia o conhecimento e o comportamento separadamente, pois os dois raramente coincidem. Muitas pessoas que sabem descrever perfeitamente o que é phishing ainda assim clicam em um e-mail falso que parece convincente.

Portanto, uma medição de referência completa possui dois ou três componentes:

• Uma simulação de phishing. Um e-mail falso de phishing, realista, mas inofensivo, que avalia o comportamento real: quem clica, quem insere credenciais e quem denuncia a mensagem.
• Uma avaliação de conhecimentos. Um breve questionário sobre temas como phishing, senhas e trabalho remoto seguro, que identifica onde estão as lacunas de conhecimento.
• Opcional: uma breve pesquisa sobre a cultura organizacional. As pessoas se atrevem a relatar um erro? E será que elas consideram a segurança parte de suas funções? A atitude é um indicador de como os números evoluirão no futuro.

Por que começar com uma medição de referência?

A razão mais importante é simples: sem uma linha de base, não é possível demonstrar progresso. “A conscientização melhorou” é uma opinião. “A taxa de cliques caiu de um em cada quatro para um em cada vinte” é um resultado. Essa diferença faz diferença quando você solicita orçamento à diretoria e também é importante para os auditores.

• Isso torna visível o efeito do treinamento. Cada medição de acompanhamento é comparada com o valor de referência, de modo que você pode verificar se o comportamento realmente muda, em vez de simplesmente supor que isso aconteça.
• Isso fornece evidências de conformidade. Estruturas como a NIS2 e a ISO 27001 exigem que as organizações ofereçam treinamento aos funcionários e demonstrem que o treinamento é eficaz. Uma linha de base, aliada a novas medições periódicas, constitui exatamente essa evidência.
• Isso mostra para onde direcionar os esforços. Os resultados por departamento e por tema indicam quem precisa de quê, de modo que os esforços de treinamento sejam direcionados para onde realmente valem a pena.
• Isso cria um senso de urgência. É fácil ignorar estatísticas genéricas; números da sua própria organização, não. De acordo com o Relatório de Investigações sobre Vazamentos de Dados da Verizon, o fator humano está presente em cerca de seis em cada dez vazamentos. Uma medição de referência mostra o que isso significa especificamente para a sua organização.

O que você mede? Os quatro números que importam

Uma boa medição de referência gera um pequeno conjunto de números que você pode acompanhar ao longo do tempo. Quatro métricas são suficientes para cobrir a maior parte do trabalho:

• Taxa de cliques. A porcentagem de destinatários que clicam no link do e-mail de phishing simulado. É o número mais citado, mas não o mais importante.
• Taxa de inserção de dados. A porcentagem de pessoas que vão um passo além e inserem suas credenciais na página de login falsa. É aí que ocorreria o verdadeiro dano.
• Taxa de denúncia. A porcentagem de pessoas que denunciam o e-mail suspeito. A métrica mais subestimada de todas: um funcionário atento que denuncia rapidamente protege todos os colegas que receberam a mesma mensagem.
• Pontuação de conhecimento. A pontuação média na avaliação de conhecimento, de preferência dividida por tema, para que você saiba se a lacuna está relacionada a phishing, senhas ou a algum outro assunto completamente diferente.

Faça a medição em nível de grupo: por equipe, departamento ou local. O objetivo de uma medição de referência é melhorar a organização, e não expor indivíduos. Essa escolha também garante que você permaneça em conformidade com a legislação de privacidade.

Como realizar uma medição de linha de base em cinco etapas

1. Defina o escopo e organize os aspectos básicos. Decida quem participará, de preferência todos que tenham uma caixa de e-mail, incluindo a gerência. Certifique-se de que sua política de segurança mencione, em termos gerais, que as simulações de phishing fazem parte dela, e envolva o comitê de trabalhadores. Divulgue a política, nunca o momento específico.
2. Realize uma simulação de phishing sem aviso prévio. Use um pretexto realista e atual e distribua o envio ao longo de vários dias, para que os colegas não possam alertar uns aos outros e o elemento surpresa seja mantido. Uma boa ferramenta de simulação de phishing faz essa aleatorização para você e monitora cliques, entradas de dados e gera relatórios automaticamente.
3. Adicione uma breve avaliação de conhecimentos. Dez a quinze perguntas sobre os temas principais já são suficientes. Seja conciso: o objetivo é obter uma alta taxa de resposta, não fazer um exame. Quer saber quais ferramentas podem fazer isso? Comparamos nove delas em nossa análise geral sobre avaliações de conscientização em segurança.
4. Analise por departamento e por tema. Combine o comportamento (a simulação) com o conhecimento (a avaliação). Um departamento que obtém nota alta em conhecimento, mas ainda comete erros, precisa de um acompanhamento diferente daquele que simplesmente nunca ouviu falar em “quishing”.
5. Defina metas e programe novas medições. Por exemplo: aumento na taxa de envio de relatórios, redução na taxa de entrada de dados. Planeje uma nova medição a cada trimestre, utilizando as mesmas métricas e com nível de dificuldade comparável, para que você compare elementos semelhantes.

Da linha de base ao programa: fazendo os números falarem por si

Uma medição inicial sem acompanhamento é apenas um instantâneo caro. O valor só se revela quando a medição se integra a um programa. A fórmula que funciona é o oposto da sessão anual de conscientização: momentos de treinamento curtos e recorrentes que mantêm o tema vivo semana após semana. É exatamente assim que o treinamento moderno de conscientização em segurança é estruturado: desafios de poucos minutos, gamificação para manter a participação alta e cenários atualizados que acompanham o panorama real das ameaças.

Em seguida, faça uma nova medição em um ritmo constante. É de se esperar que a taxa de cliques e a taxa de entrada de dados diminuam e, o que é pelo menos tão importante, que a taxa de envio de relatórios aumente. Compartilhe os resultados do grupo com toda a equipe e reconheça quem enviou os relatórios: uma taxa de envio de relatórios em ascensão é o sinal mais claro de que a conscientização está se transformando em comportamento.

Erros comuns na medição de referência

• Anunciar o momento exato. Assim, você avalia o nível de atenção das pessoas durante uma semana de provas anunciada, e não como elas se comportam em uma terça-feira comum.
• Expor publicamente. Divulgar os resultados por pessoa acaba com a cultura de comunicação que você está tentando construir e, além disso, gera problemas de privacidade.
• Focar apenas na taxa de cliques. A taxa de denúncias diz mais sobre a sua resiliência do que a taxa de cliques. Uma organização em que ninguém faz denúncias é frágil, por mais baixa que seja a taxa de cliques.
• Tratar isso como um caso isolado. Uma medição de referência só merece esse nome quando é seguida por uma segunda medição. Os números perdem a validade rapidamente.
• Não exagere na primeira simulação. Um e-mail de spear phishing impossível ou uma fraude óbvia geram resultados inúteis. Escolha um nível de dificuldade intermediário que se assemelhe ao que sua organização realmente recebe.

Perguntas frequentes sobre a avaliação de referência da conscientização em segurança

Com que frequência você deve repetir a medição?

Uma vez por trimestre é um ritmo comum e viável. Repita as mesmas métricas com dificuldade comparável; caso contrário, a tendência não terá significado algum. Após um ano, você terá cinco pontos de dados: a linha de base mais quatro novas medições, além de um relato que poderá apresentar à diretoria e aos auditores.

Simulações de phishing sem aviso prévio são permitidas?

Sim, desde que você as conduza com cuidado. Certifique-se de que os funcionários saibam, em termos gerais, que as simulações fazem parte da política de segurança, comunique os resultados ao nível do grupo e nunca aplique sanções por um clique errado. Envolva o comitê de trabalhadores antes de iniciar. Conduzida dessa forma, uma simulação é uma ferramenta de treinamento e está em conformidade com o GDPR.

Qual é uma boa taxa de cliques para uma primeira medição?

Não existe um parâmetro de referência universal: o resultado depende muito da dificuldade da simulação e do setor. Valores de dois dígitos não são exceção em uma primeira medição, portanto, não se surpreenda com o número. A linha de base não é uma nota, é um ponto de partida. O que importa é a tendência observada nas medições seguintes.

Quanto tempo leva para realizar uma medição de referência?

Preveja um total de duas a quatro semanas: uma simulação distribuída ao longo de vários dias, uma semana para a avaliação de conhecimentos e algum tempo para a análise. A preparação em si é rápida com as ferramentas modernas; o tempo previsto no calendário serve principalmente para garantir que a avaliação seja realizada sem aviso prévio e de forma representativa.

A avaliação inicial é a parte menos espetacular de um programa de conscientização em segurança, mas, discretamente, é a mais importante. Ela substitui suposições por números e transforma o treinamento de uma mera formalidade em algo que você pode realmente orientar. Avalie primeiro, depois treine: tudo o que você fizer depois funcionará melhor graças a isso.