O ponto de partida: um cavaleiro que não ia ganhar a batalha
Quando a Elske van der Horst se tornou CISO na Câmara Municipal de Nunspeet, herdou um programa de sensibilização para a segurança que já estava em funcionamento há anos: uma pergunta por semana, apresentada por uma personagem animada chamada «o Cavaleiro», juntamente com vários módulos de e-learning.
No papel, o programa parecia estar tudo bem. Na prática, a participação tinha caído para cerca de 50% e não passava disso, por mais que a Elske tentasse. As conversas com os colaboradores rapidamente deixaram claro que a abordagem já não se adequava à organização, numa altura em que novos requisitos exigiam, na verdade, um maior envolvimento com a segurança da informação e a privacidade.
«Percebi logo: não vou ganhar esta batalha contra o Cavaleiro.»
Assim, juntamente com a responsável pela privacidade da altura, a Elske começou a procurar uma alternativa. Exploraram o mercado com um conjunto claro de requisitos. Nada de formações que dependessem muito de vídeo, porque era improvável que os funcionários que trabalhavam num escritório em plano aberto ligassem o som. E queriam conteúdos abrangentes que cobrissem não só a segurança da informação e a privacidade, mas também temas como a Lei da IA e a Lei do Governo Aberto.
Mais importante do que qualquer requisito específico, porém, havia uma coisa: tinha de se adequar à própria organização.
Quando a Elske descobriu o Guardey e soube que outro município já o estava a utilizar com sucesso, Nunspeet decidiu fazer um projeto-piloto com embaixadores de diferentes áreas da organização. Todos os que participaram ficaram logo entusiasmados. Para a Elske, foi nesse momento que percebeu que tinham encontrado a solução certa.
Porque é que esta abordagem deu certo
Uma das primeiras coisas que chamou a atenção foi o quanto tudo parecia familiar. Em vez de fotografias de arquivo distantes, as ilustrações mostram pessoas em situações que os funcionários reconhecem do seu próprio dia de trabalho: a ver o telemóvel, sentados em frente a um ecrã ou a lidar com um cenário familiar no local de trabalho. A Elske também gostou da diversidade das personagens, com diferentes géneros e tons de pele representados, o que torna mais fácil para as pessoas se reconhecerem no que vêem.
Mas o que realmente fez com que a abordagem ganhasse força foi a vertente lúdica.
A Câmara Municipal de Nunspeet é uma organização naturalmente competitiva, e não demorou muito para que isso ficasse evidente. Equipa contra equipa, colegas mais novos contra os mais velhos, funcionários a comparar pontuações e a desafiarem-se uns aos outros para não ficarem para trás. A Elske já não precisava de andar atrás das pessoas, porque os colegas já o faziam uns pelos outros.
E os funcionários não se limitaram a responder às perguntas e seguir em frente. Começaram a falar sobre elas.
Alguns vieram ter com a Elske porque não percebiam por que razão tinham respondido mal a alguma pergunta. Outros admitiram abertamente que tinham procurado a resposta ou pedido ajuda a um colega. Para a Elske, era exatamente essa a ideia. As pessoas estavam a refletir ativamente sobre o conteúdo, em vez de se limitarem a cumprir mais um requisito de formação.
"Somos uma organização competitiva, e isso ficou logo evidente. Equipa contra equipa, jovens contra mais velhos, toda a gente a comparar resultados. Já não preciso de ficar a perseguir ninguém, os colegas fazem isso uns pelos outros. E não se limitam a responder à pergunta e seguir em frente, eles até conversam sobre o assunto."
A adoção não acontece por si só
A Câmara Municipal de Nunspeet começou a usar o Guardey em março de 2026, mas a Elske sabia que a simples introdução de uma nova plataforma não iria, por si só, levar a uma maior participação.
Juntamente com o CISO, o responsável pela proteção de dados, o responsável pela privacidade, o administrador de sistemas e até mesmo o coordenador da Lei do Governo Aberto do município, ela planeou cuidadosamente a implementação. Os modelos de comunicação da Guardey serviram de ponto de partida, mas a equipa reescreveu tudo no tom de voz próprio do município e criou pelo menos dois momentos de comunicação por semana na fase que antecedeu o lançamento.
A direção também esteve envolvida desde o início. Cada responsável de equipa assistiu a uma breve apresentação e foi-lhe dito explicitamente que tinha um papel a desempenhar para envolver as suas equipas. Pediram à equipa de direção que apoiasse o lançamento através da comunicação interna e, o que é igualmente importante, que participasse ela própria.
E depois havia o prémio.
A Câmara Municipal de Nunspeet colocou em jogo um churrasco para a equipa com mais pontos. Não era um prémio simbólico, mas sim algo que as pessoas queriam mesmo ganhar. A comida é um assunto sério em Nunspeet, por isso, de repente, toda a gente queria aquele churrasco. Os colegas lembravam-se uns aos outros para completarem os desafios, porque queriam que a sua equipa ficasse em primeiro lugar.
Desde então, a abordagem evoluiu. Em vez de premiar sempre a equipa com melhor desempenho, agora a pessoa com a pontuação mais alta de cada equipa pode ganhar um prémio, o que também cria uma competição saudável dentro das próprias equipas.
A meio da primeira época, Nunspeet deu mais um empurrãozinho: um prémio de incentivo «intermédio», barras de chocolate da Tony’s Chocolonely com a inscrição «Winnaar Aanmoedigingsprijs Guardey». Segundo a Elske, um prémio pequeno como esse a meio da época funciona bem para manter toda a gente a treinar.
O grande prémio ajudou a dar o pontapé inicial, mas, depois da primeira época, a Elske reparou numa coisa mais importante: os funcionários precisavam cada vez menos de incentivo. Estava a tornar-se um hábito. A terça-feira passou simplesmente a significar:«É terça-feira, está na hora do Guardey.»
O resultado: de 50% para 86% de participação
Antes do Guardey, a participação na Gemeente Nunspeet tinha estagnado em cerca de 50%. Hoje, situa-se nos 86%.
A Elske está muito satisfeita com esse número, sobretudo tendo em conta que haverá sempre funcionários que se ausentam por períodos mais longos ou pessoal externo que só trabalha para o município algumas horas por semana.
As simulações de phishing também mostram uma mudança clara. Na primeira simulação, 40% dos funcionários ainda clicaram. Depois de uma temporada com o Guardey, esse número baixou para 20%, o que representa uma melhoria significativa em apenas três meses.
Mas a maior mudança nem sempre se vê nos números.
No passado, os funcionários raramente se dirigiam à Elske com perguntas sobre e-mails suspeitos ou incidentes de segurança. Havia alguma confusão sobre a diferença entre spam, phishing, incidentes de segurança e fugas de dados, e os funcionários não estavam a comunicar ativamente esses casos.
Agora, os colegas ligam-lhe ou passam pela secretária dela para perguntar se um e-mail é legítimo. Sabem que podem denunciar mensagens suspeitas no Outlook e conversam entre si sobre o que aprenderam com a Guardey. Às vezes, até discutem como estão a aplicar esses conhecimentos em casa.
Esse momento extra de atenção faz toda a diferença para a Elske. As pessoas pensam antes de agir, e ela fica mesmo contente quando o fazem. A segurança da informação deixou de ser algo que se esperava que os funcionários fizessem e passou a ser simplesmente parte do trabalho do dia-a-dia.
Sensibilização para a segurança, de cima para baixo
Essa mudança não se limita aos funcionários.
O Diretor de Operações participa todas as semanas, e a nova direção do município também já se juntou à Guardey. A importância disso ficou especialmente clara durante uma campanha de phishing, quando a Câmara Municipal de Nunspeet percebeu que as pessoas sem conta na Guardey tiveram um desempenho visivelmente pior do que os colegas que já tinham recebido formação.
A Elske usou essa constatação internamente para reforçar uma mensagem simples: toda a gente tem de participar, incluindo a direção e os administradores. Qualquer um de nós pode ser o elo mais fraco e, quanto mais praticares, menos provável é que caias num ataque.
Esse envolvimento da direção ajudou a transformar a sensibilização para a segurança numa responsabilidade partilhada por toda a organização, em vez de ser algo da exclusiva competência do CISO.
"Antes de começarmos a usar o Guardey, fizemos um teste de phishing e quarenta por cento dos nossos funcionários clicaram no link. Depois de uma época de desafios semanais do Guardey, repetimos o mesmo tipo de teste e só vinte por cento clicaram. Isso representa uma redução de metade, em três meses. Foi aí que percebi que esta abordagem funciona mesmo, não é só no papel."
Aproveitar o que funciona
A Câmara Municipal de Nunspeet está agora a usar as informações da Guardey para tornar a sua abordagem mais ampla de sensibilização para a segurança ainda mais direcionada.
No caso das simulações de phishing, por exemplo, a equipa de segurança pode usar modelos específicos para diferentes grupos e analisar os resultados para ver onde é preciso dar mais atenção. As equipas que têm dificuldades com um tema específico podem, assim, receber formação mais direcionada.
A Elske também continua a combinar os desafios semanais da Guardey com sessões em equipa e formação direcionada para funções específicas. O objetivo não é só fazer a formação, mas manter os conhecimentos atualizados e continuar a praticar situações com que os colaboradores se possam de facto deparar no trabalho.
O conselho dela para outras organizações que estão a lançar um programa de sensibilização para a segurança vem diretamente do que funcionou na Gemeente Nunspeet: não encares a implementação como algo secundário. Escolhe um incentivo pelo qual as pessoas queiram mesmo competir e envolve a direção desde o início, para que a sensibilização não se torne «o projeto do CISO».
E recorre a embaixadores de toda a organização. Eles podem partilhar as suas próprias experiências com os colegas, o que, segundo a Elske, muitas vezes funciona melhor do que ouvir apenas a mensagem do CISO.
Quando a segurança se torna tema de conversa junto à máquina de café
Talvez o sinal mais claro de progresso nem sequer se encontre num painel de controlo. Está na máquina de café.
Os funcionários comparam as pontuações, falam sobre as perguntas em que erraram e lembram-se uns aos outros de completar o desafio semanal. A sensibilização para a segurança tornou-se um tema que os colegas discutem entre si, em vez de algo que a Elske tenha de estar constantemente a insistir.
Hoje em dia, é mais provável que a conversa junto à máquina de café seja sobre se já completaste o teu desafio do Guardey ou o que achaste daquela pergunta complicada.
E é exatamente aí que a Elske quer que a sensibilização para a segurança esteja: a fazer parte da conversa, a fazer parte do dia-a-dia de trabalho e a ser algo pelo qual toda a organização se responsabiliza em conjunto.
"A maior mudança não está num painel de controlo, está na minha secretária. Antes do Guardey, nunca ninguém me perguntava se um e-mail parecia legítimo. As pessoas nem sequer sabiam a diferença entre spam e um incidente de segurança a sério. Agora, os colegas passam por aqui ou ligam para verificar antes de clicarem, e conversam entre si sobre o que aprenderam, às vezes até sobre como isso os ajuda em casa também."
Tens curiosidade em saber como seria uma taxa de participação de 86% na tua organização? Marca uma demonstração e vamos explicar-te tudo, ou começa um período de teste gratuito e vê por ti próprio.
