Avaliação inicial do nível de sensibilização para a segurança: descobre em que ponto está a tua organização

Uma avaliação de referência da sensibilização para a segurança mostra como os teus colaboradores lidam atualmente com o phishing e outras ameaças digitais, antes de qualquer formação ter começado. Na prática, combina uma simulação de phishing sem aviso prévio com uma breve avaliação de conhecimentos. O resultado é o teu ponto de partida: o conjunto de números com o qual todas as avaliações posteriores serão comparadas.

Se ignorares esse ponto de partida, vais estar a implementar um programa de sensibilização para a segurança com base apenas na intuição. Podes continuar a dar formação, mas não vais conseguir demonstrar o impacto dessa formação. Neste artigo, explicamos como é uma avaliação de referência, quais os números que importam e como a realizas em cinco passos.

O que é uma avaliação de referência da sensibilização para a segurança?

Uma avaliação inicial é a primeira medição estruturada do nível real de sensibilização para a segurança da tua organização. Responde a duas perguntas: o que é que os colaboradores sabem sobre ameaças digitais e o que é que eles fazem mesmo quando uma dessas ameaças chega à sua caixa de entrada? Medes o conhecimento e o comportamento separadamente, porque os dois raramente coincidem. Muitas pessoas que sabem descrever perfeitamente o que é o phishing continuam a clicar num e-mail falso que parece convincente.

Uma medição de referência completa tem, portanto, dois ou três componentes:

• Uma simulação de phishing. Um e-mail falso de phishing, realista mas inofensivo, que avalia o comportamento real: quem clica, quem introduz as credenciais e quem denuncia a mensagem.
• Uma avaliação de conhecimentos. Um pequeno questionário sobre temas como phishing, palavras-passe e trabalho remoto seguro, que mostra onde estão as lacunas de conhecimento.
• Opcional: um pequeno inquérito sobre a cultura da empresa. As pessoas atrevem-se a comunicar um erro e será que consideram a segurança como parte do seu trabalho? A atitude permite prever como os números vão evoluir mais tarde.

Por que começar com uma medição de referência?

A razão mais importante é simples: sem um ponto de referência, não dá para mostrar o progresso. «A sensibilização melhorou» é uma opinião. «A taxa de cliques baixou de um em cada quatro para um em cada vinte» é um resultado. Essa diferença é importante quando pedes orçamento à direção e também é importante para os auditores.

• Isso torna visível o efeito da formação. Cada medição de acompanhamento é comparada com o valor de referência, para que possas ver se o comportamento muda mesmo, em vez de simplesmente assumires que sim.
• Isso fornece provas de conformidade. Normas como a NIS2 e a ISO 27001 exigem que as organizações dêem formação aos colaboradores e demonstrem que essa formação é eficaz. Uma avaliação inicial, seguida de novas avaliações periódicas, é exatamente essa prova.
• Mostra para onde te deves concentrar. Os resultados por departamento e por tema dizem-te quem precisa de quê, para que o esforço de formação seja direcionado para onde dá mais resultado.
• Isso cria um sentido de urgência. É fácil ignorar estatísticas genéricas; mas os números da tua própria organização, já não. De acordo com o Relatório de Investigação de Violações de Dados da Verizon, o fator humano está presente em cerca de seis em cada dez violações. Uma avaliação de referência mostra o que isso significa especificamente para a tua organização.

O que é que medis? Os quatro números que importam

Uma boa medição de referência dá-te um pequeno conjunto de números que podes acompanhar ao longo do tempo. São quatro métricas que fazem a maior parte do trabalho:

• Taxa de cliques. A percentagem de destinatários que clicam no link do e-mail de phishing simulado. É o número mais citado, mas não é o mais importante.
• Taxa de introdução de dados. A percentagem de pessoas que vão um passo além e introduzem as credenciais na página de login falsa. É aí que o verdadeiro dano se verificaria.
• Taxa de comunicação. A percentagem de pessoas que comunicam o e-mail suspeito. A métrica mais subestimada de todas: um colaborador atento que comunica rapidamente protege todos os colegas que receberam a mesma mensagem.
• Pontuação de conhecimentos. A pontuação média na avaliação de conhecimentos, de preferência dividida por tema, para saberes se a lacuna está no phishing, nas palavras-passe ou noutro aspeto qualquer.

Mede ao nível do grupo: por equipa, departamento ou localização. O objetivo de uma medição de referência é melhorar a organização, não expor indivíduos. Essa escolha também te mantém bem dentro da legislação sobre privacidade.

Como fazer uma medição de referência em cinco passos

1. Define o âmbito e organiza o básico. Decide quem vai participar, de preferência toda a gente que tenha uma caixa de correio, incluindo a direção. Certifica-te de que a tua política de segurança menciona, em termos gerais, que as simulações de phishing fazem parte dela e envolve o conselho de empresa. Divulga a política, nunca o momento específico.
2. Faz uma simulação de phishing sem aviso prévio. Usa um pretexto realista e atual e espalha o envio por vários dias, para que os colegas não se possam avisar uns aos outros e o elemento surpresa se mantenha. Uma boa ferramenta de simulação de phishing faz isso aleatoriamente por ti e monitoriza cliques, introdução de dados e gera relatórios automaticamente.
3. Faz uma breve avaliação de conhecimentos. Dez a quinze perguntas sobre os temas principais já são suficientes. Mantém-na curta: o que queres é uma taxa de resposta elevada, não um exame. Tens curiosidade em saber quais são as ferramentas que dão conta do recado? Comparámos nove delas na nossa análise geral das avaliações de sensibilização para a segurança.
4. Analisa por departamento e por tema. Combina o comportamento (a simulação) com o conhecimento (a avaliação). Um departamento que tem uma pontuação elevada em conhecimento, mas que ainda assim comete erros, precisa de um acompanhamento diferente daquele que simplesmente nunca ouviu falar em «quishing».
5. Define metas e marca a nova avaliação. Por exemplo: aumentar a taxa de envio de relatórios, diminuir a taxa de introdução de dados. Planeia uma nova avaliação a cada trimestre, com os mesmos indicadores e um nível de dificuldade comparável, para que possas comparar o que é comparável.

Da situação inicial ao programa: fazer os números falarem por si

Uma medição inicial sem acompanhamento é só uma imagem instantânea cara. O valor só aparece quando essa medição se integra a um programa. A fórmula que funciona é o oposto da sessão anual de sensibilização: momentos de formação curtos e recorrentes que mantêm o tema vivo semana após semana. É exatamente assim que a formação moderna em sensibilização para a segurança é construída: desafios de poucos minutos, gamificação para manter a participação elevada e cenários novos que acompanham o panorama real das ameaças.

Depois, volta a medir num ritmo fixo. É de esperar que a taxa de cliques e a taxa de introdução de dados diminuam e, o que é pelo menos tão importante, que a taxa de comunicação aumente. Partilha os resultados do grupo com toda a equipa e dá os parabéns a quem comunicou: uma taxa de comunicação em alta é o sinal mais claro de que a consciencialização está a transformar-se em comportamento.

Erros comuns na medição de referência

• Anuncia o momento exato. Depois, medis o nível de atenção das pessoas durante uma semana de testes anunciada, e não como se comportam numa terça-feira normal.
• Apontar o dedo e humilhar. Divulgar os resultados por pessoa acaba com a cultura de comunicação que estás a tentar criar e, além disso, cria problemas de privacidade.
• Focar-te apenas na taxa de cliques. A taxa de denúncias diz mais sobre a tua resiliência do que a taxa de cliques. Uma organização onde ninguém faz denúncias é frágil, por mais baixa que seja a taxa de cliques.
• Tratar isto como um caso isolado. Uma medição de referência só merece esse nome quando é seguida de uma segunda medição. Os números ficam desatualizados rapidamente.
• Não faças a primeira simulação demasiado extrema. Um e-mail de spear phishing impossível ou uma falsificação óbvia dão resultados inúteis. Escolhe um nível de dificuldade médio que se assemelhe ao que a tua organização recebe na realidade.

Perguntas frequentes sobre a avaliação de referência da sensibilização para a segurança

Com que frequência deves repetir a medição?

Uma vez por trimestre é um ritmo comum e viável. Repete as mesmas métricas com um nível de dificuldade semelhante; caso contrário, a tendência não diz nada. Ao fim de um ano, tens cinco pontos de dados: o valor de referência mais quatro novas medições, e uma história que podes contar à direção e aos auditores.

São permitidas simulações de phishing sem aviso prévio?

Sim, desde que as faças com cuidado. Certifica-te de que os colaboradores sabem, em termos gerais, que as simulações fazem parte da política de segurança, comunica os resultados a nível do grupo e nunca apliques sanções por um clique errado. Envolve o conselho de empresa antes de começares. Se for feita desta forma, uma simulação é uma ferramenta de formação e está em conformidade com o RGPD.

Qual é uma boa taxa de cliques para uma primeira medição?

Não existe um valor de referência universal: o resultado depende muito da dificuldade da simulação e do setor. Valores de dois dígitos não são exceção numa primeira medição, por isso não te surpreendas com o número. A linha de base não é uma nota, é um ponto de partida. O que importa é a tendência nas medições que se seguem.

Quanto tempo demora uma medição inicial?

Contas com um total de duas a quatro semanas: uma simulação que se estende por vários dias, uma semana para a avaliação dos conhecimentos e algum tempo para a análise. A preparação em si é rápida com as ferramentas modernas; o tempo previsto no calendário serve principalmente para garantir que a avaliação seja feita de surpresa e seja representativa.

A avaliação inicial é a parte menos espetacular de um programa de sensibilização para a segurança, mas, discretamente, é a mais importante. Substitui suposições por números e transforma a formação de um mero cumprimento de formalidades em algo que podes realmente orientar. Avalia primeiro, depois forma: tudo o que fizeres depois funciona melhor graças a isso.