Essa lacuna existe porque muitas informações competem por nossa atenção e guiam nosso comportamento. E assim podemos agir de maneiras que opostas ao nosso conhecimento e/ou intenções. Se você precisa se convencer, pense na última vez em que tentou manter uma lista de resoluções para o ano novo. Você listou ações que sabia que eram importantes. E você pretendia agir de maneira diferente com base nesse conhecimento. Mas é muito provável que o comportamento não surtiu efeito! Não estou tentando envergonhá-lo, quero apenas para trazer à tona a realidade da situação.
Levando em consideração a lacuna conhecimento-intenção-comportamento, você pode perceber três realidades da conscientização em segurança:
Posso garantir que, se seu programa de conscientização em segurança se ajustar a essas realidades, você começará a ver resultados.
Como líder de segurança, seu conteúdo é sua marca. Vamos ser sinceros: se você estiver em uma organização grande, não há como ter tempo para conhecer todos e permitir que eles o conheçam. E assim, você será conhecido e julgado pela qualidade e capacidade de engajar seus colaboradores com os materiais que você encaminha para todos.
Os materiais e a metodologia do programa de conscientização em segurança influenciarão muito a maneira como o restante da organização o vê e como interagem com você e sua equipe. Isso significa que seu conteúdo e os sistemas que você envia para as pessoas precisam ser tão bons ou melhores que qualquer outro conteúdo com a qual eles interagem. Se você optar por um conteúdo de conscientização em segurança abaixo do padrão, seu pessoal sentirá que a segurança (consequentemente) não é importante e que você é irrelevante e de difícil acesso. Um conteúdo relevante, que se relaciona com o contexto da sua organização e com qualidade comprovada ajudará a criar um senso de conexão e comunidade com sua força de trabalho.
3. É comprovado que o treinamento constante traz benefícios consideráveis para a resiliência da sua organização
Chamo sua atenção para dois ótimos relatórios. Primeiro, meu amigo Javvad Malik fez uma análise de 100 relatórios de ameaças, em setores diferentes, em busca das causas mais comuns de violações de dados. Suas descobertas estão disponíveis aqui, mas eu vou direto ao ponto: as duas causas mais comuns de violação de dados são 1) erro humano/engenharia social e 2) software sem patch.
Se o erro humano, logo a vítima de golpes de engenharia social, é a principal razão pela qual as organizações são violadas, então o que precisamos fazer? Treinamentos de conscientização em segurança! E a boa notícia é que esse tipo de ação, que inclui realizar ataques simulados de engenharia social e phishing, é um método comprovado para reduzir a vulnerabilidade de um colaborador ao phishing. Não acredita em mim? Aqui estão os dados. 🙂
Treinamentos associados a ataques simulados de phishing a cada 30 dias, pelo menos, aumentarão drasticamente a resiliência de uma organização frente aos ataques de engenharia social. Há anos acompanhamos organizações que nunca realizaram testes de phishing começarem suas ações com o nível de risco próximo a 30%. Após 3 meses de treinamento, esse percentual diminui pela metade. E, depois de 12 meses, esse percentual cai para cerca de 2%.