Guia do CISO: Como criar uma cultura security awareness

A maioria dos programas de segurança concentra-se em tecnologia e processos. Para a maioria dos CISOs, essa é a parte mais fácil. Foi para isso que eles foram treinados.

A parte difícil, a parte que compromete até mesmo as estratégias de segurança mais bem elaboradas, são as pessoas.

As pessoas ignoram os gerenciadores de senhas. As pessoas clicam em links phishing . As pessoas deixam os laptops nos táxis. E se você é um CISO, já sabe: nenhuma ferramenta pode corrigir uma cultura que não leva a segurança a sério.

Este guia trata dessa parte mais difícil. Trata-se de criar uma verdadeira cultura security awareness . Não uma que marque uma caixa, mas uma que realmente mude o comportamento.

O que é uma cultura security awareness ?

A cultura não é uma declaração de missão, um documento de política ou um treinamento anual. É a soma do que as pessoas acreditam e de como elas se comportam, especialmente quando ninguém está observando.

Em uma empresa com uma forte cultura security awareness :

• Os funcionários sabem quais ameaças são importantes.
• Eles entendem o que é esperado.
• Eles agem de acordo com esse conhecimento sem precisar ser informados.

Por que isso é importante? Porque quase todas as violações - 95%, na verdade - estão ligadas a erros humanos. Clicar no link errado. Reutilização da senha errada. Baixar o arquivo errado no Wi-Fi errado.

E quanto mais distribuída for sua força de trabalho, maiores serão os riscos. Você não pode impor tudo. Você precisa de pessoas que se importem.

A cultura Security awareness transforma o risco passivo em defesa proativa. Mas isso não acontece por acaso. É necessário um projeto.

Veja como construí-lo.

1. Comece pelo topo (ou pare antes de começar)

A cultura de segurança começa onde a cultura da empresa começa: na liderança.

Se o seu CEO não falar sobre segurança, ninguém mais falará. Se os executivos pularem o treinamento, o mesmo acontecerá com todos os demais. E se a sua diretoria vê a segurança como um centro de custos, adivinhe como ela verá suas iniciativas?

É por isso que sua primeira tarefa não é security awareness . É a adesão interna.

Use um painel simples que mostre como a conscientização está melhorando - ou onde está faltando. Faça relatórios consistentes sobre o número de riscos cibernéticos relatados, a participação em treinamentos e quais tópicos requerem mais atenção. O objetivo é tornar a cultura de segurança uma prioridade em toda a empresa, não um projeto paralelo.

Quando a liderança estiver alinhada, desça um nível. Os chefes de departamento e os líderes de equipe são seus amplificadores. Dê a eles visibilidade sobre o desempenho de sua equipe. Peça feedback e torne-os coproprietários dos resultados.

Dica: se estiver gerenciando dezenas de partes interessadas, use um rastreador simples ou um mapa das partes interessadas. Não perca o fio da meada.

2. Defina sua marca antes que os outros o façam

Todo programa de segurança tem uma reputação, quer você a tenha moldado ou não.

Alguns são vistos como bloqueadores. Outros, como aliados. Se quiser que sua organização se envolva, defina como você se apresenta.

Crie uma declaração de marca de segurança. Não se trata de um slogan, mas de um guia interno que responde a perguntas reais:

• Para quem ligamos quando algo parece errado?
• Como a segurança responderá?
• Quais são os comportamentos que recompensamos?

Então, em vez de apenas transmiti-lo, viva-o. Como diz a CISO Jadee Hanson: "Não comunique o fato - celebre-o". Quando alguém denunciar uma tentativa de phishing , diga seu nome no Slack. Quando uma equipe acertar as pontuações do treinamento, diga o nome dela na reunião geral. Prova social > documento de política.

A cultura é contagiosa quando é visível.

3. Treinar semanalmente (ou não treinar)

A maioria das empresas realiza treinamentos de segurança uma ou duas vezes por ano. Geralmente, para marcar uma caixa de conformidade, e não porque realmente esperam alguma mudança de comportamento tangível de seus funcionários.

A verdadeira mudança de comportamento exige repetição. Pesquisas mostram que 90% do que as pessoas aprendem em uma única sessão é esquecido em 24 horas, quanto mais em 4 semanas. Você precisa tratar a conscientização como um músculo, algo que se desenvolve com o tempo.

Os melhores programas são curtos, frequentes e focados em cenários do mundo real:

• Phishing e smishing
• Trabalho remoto seguro
• Fraude do CEO
• Atualizações de software
• Higiene do ransomware

Não confie em especialistas internos para ministrá-los manualmente. O ensino é uma habilidade própria, e a maioria das equipes de segurança não tem tempo nem experiência para criar currículos envolventes.

Use uma solução desenvolvida para a mudança de comportamento. Por exemplo, o Guardey oferece desafios gamificados semanais de 3 minutos, projetados por especialistas em segurança e especialistas em educação. É leve, consistente e mensurável.

4. Comunicar-se em excesso (e depois comunicar-se novamente)

A segurança só é prioritária se você a mantiver ativamente.

Assim como uma cultura empresarial sólida exige a repetição constante dos mesmos valores, uma cultura de segurança forte precisa de uma comunicação contínua e visível.

Isso significa que:

• Compartilhamento de atualizações e vitórias em canais públicos
• Destaque do desempenho da equipe em painéis de treinamento
• Comemorando a notificação rápida de incidentes
• Responder a perguntas publicamente, não apenas em mensagens diretas

Exemplo: "Peter identificou um e-mail suspeito esta semana e o informou antes que alguém clicasse nele. Esse tipo de vigilância protege a todos nós. 🙌"

Na Royal Koopmans, eles até entregaram um troféu ao departamento que ficou no topo da tabela de classificação de sua plataforma de security awareness .

Quando as pessoas percebem que esse comportamento é reconhecido, elas o reproduzem.

Além disso: Torne sua equipe de segurança de fácil acesso. Se alguém não tiver certeza se deve ou não denunciar algo, essa hesitação pode lhe custar caro.

5. Medir o que importa (e o que não aparece nos relatórios)

A maioria dos CISOs acompanha as taxas de participação, as pontuações dos questionários ou os cliques phishing .

Esses são úteis, mas são indicadores defasados.

Os sinais mais reveladores geralmente são mais difíceis de rastrear:

• Os funcionários estão relatando mais incidentes ao longo do tempo?
• As equipes estão sinalizando os riscos potenciais antes que eles aumentem?
• Você está vendo conversas orgânicas sobre segurança fora do seu departamento?

Essa é a diferença entre conformidade e cultura. Quando seu pessoal começar a se responsabilizar mutuamente - quando começarem a fazer perguntas antes de implantar novas ferramentas - você terá atingido a velocidade de escape.

Quer acelerar esse insight? Realize pesquisas de pulso regularmente. Faça perguntas abertas. Use o que aprender para aperfeiçoar seu treinamento e suas comunicações.

Em seguida, feche o ciclo. Mostre como o feedback dos funcionários moldou sua estratégia.

A cultura é o verdadeiro firewall

A maioria das empresas ainda trata a cultura de segurança como um projeto paralelo. Mas a verdade é que ela é sua única defesa sustentável.

O software evolui. As ameaças evoluem. Mas se você criar uma cultura em que todos os funcionários assumam a responsabilidade, suas chances de mitigar os riscos serão maiores do que a média.

Não é possível chegar lá com um treinamento anual. Você chega lá com consistência, clareza e liderança que dá o exemplo.