A AFAS é uma das maiores empresas na área do software de gestão de recursos humanos e de processamento salarial na Holanda, e a segurança sempre foi algo que a empresa leva muito a sério.
A forma como a AFAS e a Guardey entraram em contacto pela primeira vez, no entanto, foi um pouco invulgar. Um cliente comum estava a realizar uma simulação de phishing com a Guardey e utilizou um modelo de phishing baseado na AFAS. Alguns funcionários que receberam o e-mail de phishing simulado não o comunicaram à sua própria equipa de TI ou de segurança. Em vez disso, contactaram diretamente a AFAS para os alertar de que estavam a ser enviados e-mails suspeitos em nome deles.
Para a AFAS, aquilo parecia, à primeira vista, um verdadeiro incidente de segurança.
Isso levou às primeiras conversas entre a AFAS e a Guardey e, por fim, a uma forma de contornar a utilização da AFAS em simulações de phishing. Também deu início a uma discussão mais ampla sobre a sensibilização para a segurança. Pouco tempo depois, a AFAS adotou o programa de sensibilização para a segurança da Guardey na sua própria organização.
Hoje, o programa abrange todos os 700 colaboradores da AFAS, desde os programadores até aos colegas da cozinha e à equipa de limpeza. Mas, como explicam Ignaece Bliekendaal, CISO da AFAS, e Rik ten Wolde, que trabalha em marketing e comunicação interna, implementar um programa de sensibilização para a segurança é só o começo. Conseguir que as pessoas participem e dar-lhes um motivo para continuarem a participar requer uma atenção ativa por parte da própria organização.
Ir além da formação anual em segurança
Antes da Guardey, a AFAS tinha um sistema de sensibilização para a segurança que vai parecer familiar a muitas empresas: uma formação ou webinar obrigatório mais ou menos uma vez por ano, complementado por atualizações ocasionais quando acontecia algo relevante.
«As pessoas nunca se envolvem realmente de forma ativa dessa maneira», explica Ignaece. «Na altura, pensam: sim, a segurança é importante, tens razão. Uma semana depois, esse sentimento já se esvaiu e, no ano seguinte, quase se pode contar a mesma história outra vez.»
Nessa altura, a AFAS já estava a investir a sério na resiliência digital. A empresa tinha implementado várias camadas técnicas de defesa para limitar o impacto do erro humano. Por exemplo, os colaboradores eram obrigados a usar um gestor de palavras-passe e só podiam aceder às aplicações da empresa a partir de sistemas geridos pela AFAS. A sensibilização para a segurança, no entanto, ainda não tinha recebido a atenção que merecia.
À medida que a empresa foi crescendo, essa equação começou a mudar.
«Tornas-te um alvo mais importante, mais relevante para certos grupos», diz Ignaece. «Temos até de ter em conta a possibilidade de que agentes estatais estejam interessados em nós. Isso muda as regras do jogo e reforça a importância de envolveres mesmo os teus colaboradores na cibersegurança.»
Era isso que lhe agradava na abordagem do Guardey: em vez de depender de uma única grande sessão de formação anual, os colaboradores vão-se deparando com temas de segurança repetidamente, através de pequenos desafios.
«Se fizeres algo dez mil vezes, acabas por ficar bom nisso. Isso é verdade no desporto profissional e acho que também se aplica aqui. A repetição é mesmo a única forma de criar o hábito.»
Se fizeres algo dez mil vezes, acabas por ficar bom nisso. Isso é verdade no desporto profissional e acho que também se aplica aqui.
Um lançamento baseado na forma como a AFAS já comunica
A AFAS não apresentou o Guardey apenas com um e-mail a anunciar que os funcionários tinham agora mais uma formação para fazer. Em vez disso, a empresa usou o seu «Culture Half Hour», um programa online que a AFAS grava no seu próprio estúdio e partilha por toda a organização. Esse formato já existente tornou-se uma das principais formas de apresentar o Guardey.
E, em vez de começar com uma explicação sobre a plataforma, a AFAS começou com algo que tinha realmente acontecido. Um programador recém-contratado tinha caído numa tentativa de phishing. Apesar de ter conhecimentos técnicos e de achar que iria reconhecer algo assim, isso também lhe tinha acontecido. Ele concordou em falar abertamente sobre a experiência durante a «Culture Half Hour».
Isso deu à AFAS uma forma muito mais acessível de apresentar o programa. O phishing já não era um cenário de segurança abstrato. Era algo que podia acontecer a qualquer pessoa dentro da empresa, incluindo alguém com conhecimentos técnicos.
A AFAS reforçou a implementação através da sua intranet e de outros canais internos. A ideia era simples: para que a sensibilização para a segurança se tornasse parte da rotina das pessoas, os colaboradores tinham primeiro de perceber por que razão era importante.
Encontrar um incentivo que os funcionários realmente valorizassem
A comunicação foi só uma parte do lançamento. A AFAS também queria aproveitar o espírito competitivo do Guardey para dar aos funcionários mais um motivo para participarem. Isso levantou uma questão que parece simples, mas que se tornou fundamental para a abordagem deles:o que é que as pessoas da AFAS realmente gostariam de ganhar?
A equipa considerou incentivos já conhecidos, como cartões-presente, AirPods e iPads. Mas um prémio mais caro não é, automaticamente, mais motivador.
«Na verdade, não sabes se as pessoas estão à espera disso», explica o Rik. «O prémio pode ser caro sem ser algo que as pessoas queiram.»
Então, em vez de começar com uma lista de prémios, a AFAS analisou o que as pessoas em toda a organização já estavam a comentar. Na altura, o tema era a próxima viagem anual da empresa. Como a AFAS já tinha reservado um hotel inteiro para a viagem, alguns quartos eram, naturalmente, mais luxuosos do que outros. Um dos quartos mais bonitos, com jacuzzi e tudo, tornou-se o prémio principal do concurso Guardey.
«Não nos custou nada a mais», explica o Rik. «Esses quartos já faziam parte do hotel que tínhamos reservado. Só tivemos de decidir que um deles seria o prémio, em vez de o sortearmos.»
O resultado foi uma taxa de participação no lançamento de quase 90%. A lição para a AFAS não foi que todos os programas de sensibilização para a segurança precisam de um prémio espetacular. Foi que um incentivo funciona melhor quando está ligado a algo com que os colaboradores já se preocupam.
Dar a mais pessoas um motivo para continuarem no jogo
O primeiro incentivo funcionou bem, mas a AFAS também percebeu porque é que o envolvimento não pode ser planeado uma vez e depois deixado de lado. Passadas cerca de dez semanas, a participação começou a diminuir. Com um grande prémio em jogo, os colaboradores que já não achavam que conseguiam chegar ao topo tinham menos motivos para continuar a competir. Por isso, a AFAS alargou as formas como os colaboradores podiam ser recompensados.
Em vez de se concentrarem apenas naquele que conseguiu a pontuação mais alta, introduziram uma recompensa por equipas, com uma franquia de bagagem extra para o grupo com o melhor resultado coletivo. Também houve recompensas pela consistência e para o colaborador que apresentou a maior melhoria entre duas épocas.
Essa última categoria era particularmente importante.
«Na verdade, não estamos à procura do programador que já está no topo do ranking, porque, normalmente, esses já se saem bem de qualquer maneira», explica o Ignaece. «Também estamos a tentar chegar aos outros grupos.»
Isso inclui os colegas das equipas de cozinha e de limpeza da AFAS, que têm muito menos contacto com computadores no seu trabalho diário e não têm necessariamente acesso a sistemas confidenciais. Mas isso não significa que a sensibilização para a segurança não seja importante para eles.
«Isto não tem a ver só com o teu trabalho», diz a Ignaece aos colaboradores que questionam se um tema se aplica à sua função. «Tem a ver também contigo como pessoa, com a tua própria situação e com estares consciente de como lidas com as coisas.»
Isto não tem a ver só com o teu trabalho. Tem a ver também contigo como pessoa, com a tua própria situação e com estares atento à forma como lidas com as coisas.
Essa filosofia já fazia parte da forma como a AFAS abordava a resiliência digital antes do Guardey. Não só se espera que os funcionários usem um gestor de palavras-passe no âmbito profissional, por exemplo, como também lhes é dada a oportunidade de o utilizarem na sua vida privada. A segurança é vista como algo de que os funcionários também podem beneficiar fora do local de trabalho.
O programa Guardey, por si só, é obrigatório, mas a AFAS opta deliberadamente por não impor a participação através de restrições técnicas, como bloquear o acesso aos sistemas até que a formação tenha sido concluída.
«Isso funcionaria, mas não se enquadra na nossa cultura», diz o Ignaece. «Preferimos chegar lá de uma forma positiva.»
Fazer com que a formação seja claramente identificável como da AFAS
O mesmo princípio aplica-se ao próprio conteúdo. A Guardey disponibiliza desafios, campanhas e modelos de comunicação já prontos, mas o conselho da AFAS para outras organizações é que não aceitem simplesmente tudo tal como está. Personalizem-no.
«É isso que ainda me entusiasma mesmo: a possibilidade de adaptar cada formação à tua própria organização», diz o Ignaece.
A AFAS substituiu os exemplos genéricos pelo seu próprio software e trocou as imagens de arquivo pelas suas próprias fotografias. São pequenas mudanças, mas que fazem com que os cenários pareçam mais próximos do ambiente real dos colaboradores.
«As pessoas nem sempre percebem que uma formação é mesmo relevante para elas», diz o Rik. «Mas assim que lhe dás o teu toque pessoal, elas percebem.»
A AFAS gostaria de fazer isto de forma ainda mais consistente. Nem sempre tem sido fácil arranjar tempo interno para personalizar o conteúdo, mas tanto o Ignaece como o Rik consideram que esta é uma forma importante de fazer com que a sensibilização pareça relevante, em vez de genérica.
O mesmo se aplica aos modelos de comunicação, aos programas de embaixadores e às ideias de campanha da Guardey. Podem servir de ponto de partida, mas a organização ainda tem de decidir como é que essas ideias se encaixam na sua própria cultura.
«Pega nas ideias, pega nos modelos», diz o Ignaece, «mas adapta-os ao teu estilo. Aplica-os ao que realmente funciona na tua organização, não ao que funcionou na nossa.»
As pessoas nem sempre percebem que uma formação é mesmo relevante para elas. Mas assim que lhe dás o teu toque pessoal, elas percebem.
A sensibilização para a segurança não funciona sozinha
Depois das primeiras temporadas, a AFAS continua a pensar no que vai manter os colaboradores motivados daqui para a frente. A viagem da empresa foi um grande chamariz para o lançamento, mas só fez sentido por causa do que se passava dentro da AFAS naquele momento específico. O próximo incentivo pode ter de ser completamente diferente.
E essa é talvez a lição mais útil que se pode tirar da experiência da AFAS até agora. A gamificação, a competição e os desafios curtos e recorrentes podem dar às organizações as ferramentas necessárias para tornar a sensibilização para a segurança mais envolvente. Os modelos e as campanhas já prontas podem facilitar a implementação. Mas nada disso elimina a necessidade de compreenderes os teus próprios colaboradores.
A AFAS usou a história real de um colaborador porque isso tornou o risco tangível. Apresentou o programa através de canais aos quais as pessoas já prestavam atenção. Associou a competição a algo que já entusiasmava os colaboradores. E quando uma forma de recompensar a participação já não conseguia motivar toda a gente, criou novas formas de as pessoas e as equipas terem sucesso.
Não existe um único incentivo, campanha de lançamento ou modelo de comunicação que consiga manter todos os colaboradores motivados para sempre. As organizações que tiram o máximo partido da sensibilização para a segurança são aquelas que continuam a fazer a mesma pergunta que a AFAS faz:
O que é que vai funcionar para a nossa gente agora?
Estamos sempre lá para ti, prometemos!
Regista-te agora gratuitamente e nunca mais te preocupes com o cibercrime.
Inicia um teste gratuito de 14 dias
