Simulações de phishing para empresas: fazes tu mesmo ou recorres a um parceiro?

Para a maioria das empresas, o phishing é uma das formas mais comuns de os atacantes conseguirem entrar e, desde a entrada em vigor da NIS2, muitas organizações são obrigadas a dar formação comprovada aos seus colaboradores. Uma simulação de phishingé a forma mais concreta de o fazer: usas e-mails de phishing realistas, mas inofensivos, para testar como a tua equipa reage, antes que um atacante real o faça.

A verdadeira questão é como é que organizas isso. Podes recorrer a um parceiro que te tire completamente o peso dos testes de phishing das costas, ou escolher uma solução que a tua própria organização possa gerir. Neste artigo, abordamos ambas as opções, incluindo os três tipos de empresas que te podem ajudar e os critérios para escolheres entre elas.

O que faz uma empresa de simulação de phishing?

Uma empresa especializada em simulações de phishing envia e-mails falsos e controlados aos teus colaboradores. As mensagens parecem verdadeiras, com assuntos urgentes, remetentes falsos e links para páginas de login falsas, mas nada acontece quando alguém cai no truque. Em vez disso, os resultados são medidos: quem abriu o e-mail, quem clicou, quem introduziu as credenciais.

Esses resultados mostram onde a tua organização tem pontos fracos e, mais importante ainda, servem de ponto de partida para a formação. Uma simulação sem acompanhamento é apenas um instantâneo. O verdadeiro valor surge quando os colaboradores que falharam recebem formação específica de sensibilização e quando o teste é repetido regularmente, para que possas verificar se o comportamento melhora de facto.

Há também uma vertente formal. Se a tua organização estiver abrangida pela NIS2, as simulações recorrentes, combinadas com formação, são uma das formas mais concretas de demonstrar que o teu programa de sensibilização existe de facto, e não apenas no papel.

Três tipos de empresas que oferecem simulações de phishing

O mercado divide-se, grosso modo, em três tipos de prestadores de serviços. Os serviços que oferecem sobrepõem-se, mas diferem na medida em que te tiram trabalho das mãos e no controlo que tu próprio manténs.

1. Consultores de segurança

Os consultores orientam as organizações para uma melhor segurança da informação no seu conjunto. Uma simulação de phishing faz, então, parte de um programa mais abrangente: uma avaliação inicial, campanhas de sensibilização, políticas e, muitas vezes, a preparação para certificações como a ISO 27001 ou a conformidade com a NIS2. Uma empresa como a Fendix funciona assim, apoiando as organizações em toda a gama de segurança da informação e proteção contra phishing.

Esta opção é ideal para organizações que têm poucos conhecimentos internos em matéria de segurança, ou que estão a passar por um processo de conformidade ou certificação e querem orientação especializada do início ao fim.

2. Parceiros de TI e prestadores de serviços geridos

Muitas empresas já têm um parceiro de TI de confiança que gere os seus locais de trabalho, a rede e o ambiente do Microsoft 365. Um número crescente destes parceiros oferece simulações de phishing como parte dos seus serviços, normalmente em conjunto com uma plataforma de sensibilização para a segurança. A Promo Systems é um exemplo de um parceiro de TI que combina a gestão diária de TI com serviços de segurança.

A vantagem é teres um único ponto de contacto que já conhece o teu ambiente de TI. A simulação, o acompanhamento e as medidas técnicas associadas, como a filtragem de e-mail e a autenticação multifator, são então geridas por uma única entidade.

3. Plataformas de sensibilização para a segurança

A terceira opção é uma plataforma que podes usar sozinho ou em conjunto com o teu parceiro de TI. Com o Guardey, podes configurar uma simulação realista de phishing em poucos minutos, ver exatamente quem clica e combinar o teste com uma formação gamificada sobre sensibilização para a segurança, que mantém os colaboradores envolvidos semana após semana.

Isto é ideal para organizações que querem fazer testes de forma contínua, em vez de apenas uma vez por ano, e que querem manter o controlo sobre os prazos, os modelos e o acompanhamento. É também a opção com a menor barreira à entrada: sem projeto, sem prazo de preparação, basta começar.

Contratar alguém para fazer a simulação de phishing ou fazê-la tu mesmo?

Subcontratar totalmente a tua simulação de phishing, com um teste pontual realizado por uma entidade externa, dá-te uma referência inicial. Mas a resiliência ao phishing tem a ver com o comportamento, e o comportamento só muda com a repetição. É por isso que a questão da frequência é mais importante do que a questão de quem a realiza. Seja qual for a opção que escolheres, certifica-te de que as simulações se repetem ao longo do ano e estão ligadas à formação.

Na prática, muitas organizações acabam por adotar um modelo híbrido: uma plataforma para simulações e formação contínuas, com um consultor ou parceiro de TI a acompanhar o processo no que diz respeito às políticas, à tecnologia e ao panorama geral da segurança. Os três tipos de empresas acima referidos não são tanto concorrentes entre si, mas sim complementares.

Como escolher uma empresa de simulação de phishing

Seja qual for o tipo de prestador de serviços com quem falares, estes são os critérios que distinguem uma boa simulação de phishing de um mero exercício de preenchimento de formulários:

• Modelos realistas no teu idioma. Um modelo americano traduzido salta logo à vista. As simulações têm de refletir os e-mails que a tua equipa recebe de facto, em neerlandês, de remetentes que reconhecem.
• Relatar a nível de equipa, sem apontar o dedo nem humilhar ninguém. O objetivo é aprender, não punir. Os bons prestadores de cuidados relatam a nível da organização e do departamento e tratam os resultados individuais com cuidado.
• Formação associada ao teste. Um colaborador que clicar deve ter acesso a um momento de aprendizagem breve e imediato. Sem essa ligação, uma simulação serve apenas para avaliar, mas não melhora nada.
• Frequência. Consegues fazer simulações várias vezes por ano, com variações, ou cada teste é um projeto novo?
• Privacidade e comissão de trabalhadores. As simulações envolvem dados dos colaboradores. Verifica como o fornecedor lida com o RGPD e envolve a tua comissão de trabalhadores antes de começares.
• Relatórios de conformidade. Se a NIS2 ou a ISO 27001 se aplicarem ao teu caso, vais querer poder demonstrar que a formação de sensibilização está a ser realizada. Pergunta como é que o fornecedor apoia essa comprovação.

Simulação de phishing como parte dos serviços oferecidos pelas empresas de cibersegurança

As simulações de phishing raramente são feitas isoladamente. As empresas de cibersegurança costumam oferecê-las como parte de um pacote mais abrangente que também inclui testes de penetração, monitorização de segurança e resposta a incidentes. Se a tua organização precisar de mais do que apenas sensibilização, por exemplo, porque lidas com dados sensíveis ou estás abrangido pela NIS2 como entidade essencial, faz sentido considerares esse panorama mais alargado.

O contrário também se aplica: se o fator humano for o teu ponto fraco, não precisas de comprar o pacote completo de uma empresa de cibersegurança para começares. Uma simulação de phishing direcionada, acompanhada de formação, aborda a via de ataque mais utilizada pelos criminosos, com uma fração do esforço necessário.

Perguntas mais frequentes

Com que frequência deves realizar uma simulação de phishing?

Mais do que uma vez por ano. Um único teste mede um momento específico; simulações recorrentes, distribuídas ao longo do ano com cenários variados, alteram efetivamente o comportamento e mostram-te se as taxas de cliques diminuem.

É permitido realizar uma simulação de phishing ao abrigo do RGPD?

Sim, desde que o faças com cuidado. Informa os colaboradores, em termos gerais, de que as simulações fazem parte da tua política de segurança, envolve o conselho de empresa e apresenta os resultados a nível do grupo, em vez de expor indivíduos.

O que acontece depois de alguém clicar?

Nada de mal. Numa boa configuração, o colaborador depara-se logo com uma breve explicação ou um momento de formação. O clique transforma-se numa oportunidade de aprendizagem, em vez de um incidente.

Quer acabes por trabalhar com um consultor, com o teu parceiro de TI ou com uma plataforma, o primeiro passo é sempre o mesmo: descobre qual é a tua situação atual. Queres comparar fornecedores primeiro? Dá uma vista de olhos na nossa visão geral das melhores ferramentas de software de simulação de phishing.