O guia completo de 2021 para treinamento de conscientização de segurança

A pandemia Covid-19 apresentou muitos desafios de segurança. As empresas em todo o mundo se adaptaram ao trabalho em casa e ao distanciamento social, ao mesmo tempo que lidam com novas ameaças representadas por cibercriminosos que exploram o medo e a curiosidade.

Mesmo com as empresas lidando com esses desafios, as ameaças cibernéticas tradicionais têm prevalecido como sempre, criando um cenário de ameaças cada vez mais desafiador.

A mitigação de erro humano deve ser fundamental para a segurança cibernética dos negócios em 2021 - e neste guia, veremos as melhores maneiras de fazer isso.

Como ataques direcionados a humanos
estão programados para evoluir em 2021

Phishing e malware

Entre as principais ameaças cibernéticas, o malware continua sendo um perigo significativo. O surto WannaCry de 2017, que custou às empresas em todo o mundo até US $ 4 bilhões, ainda está na memória recente, e outras novas cepas de malware são descobertas diariamente. O phishing também ressurgiu nos últimos anos, com muitos novos golpes sendo inventados para tirar vantagem de empresas desavisadas. Apenas uma variação, o esquema de e-mail Fraude do CEO, custou apenas às empresas do Reino Unido £ 14,8 milhões em 2018.

Trabalhando em casa

A equipe que trabalha em casa está fora da supervisão direta das equipes de suporte de TI e muitas vezes se esforça para lidar com ameaças cibernéticas e proteger adequadamente as informações da empresa. Deixar de atualizar software e sistemas operacionais, enviar dados por redes inseguras e aumentar a dependência de e-mail e mensagens online tornou os funcionários muito mais suscetíveis a ameaças que vão de malware a phishing.

Erro humano

Embora as soluções técnicas como filtros de spam e sistemas de gerenciamento de dispositivos móveis sejam importantes para proteger os usuários finais, com o número de ameaças e a variedade de sistemas e comunicações por meio dos quais a equipe trabalha, o único fator de risco unificador que deve ser abordado para melhorar fundamentalmente a segurança é o papel do erro humano.

Por que o erro humano continua sendo o
Ameaça de segurança nº 1 para sua empresa

Quase todas as violações cibernéticas bem-sucedidas compartilham uma variável em comum: erro humano. O erro humano pode se manifestar de várias maneiras: desde falha ao instalar atualizações de segurança de software a tempo até senhas fracas e fornecimento de informações confidenciais a e-mails de phishing.

Como o erro humano leva a violações de dados

Em 2014, a IBM conduziu um estudo sobre as violações cibernéticas que ocorreram entre milhares de seus clientes em mais de 130 países. Este estudo foi a investigação mais abrangente sobre as causas das violações cibernéticas realizadas até então, mas seus resultados foram corroborados por estudos semelhantes.

O erro humano foi a principal causa contribuinte em 95% de todas as violações.

IBM Cyber Security Intelligence Index Report

Uma das principais descobertas do estudo da IBM foi que o erro humano foi a principal causa contribuinte em 95% de todas as violações. Em outras palavras, se o erro humano não tivesse sido um fator, as chances são de que 19 das 20 violações analisadas no estudo não teriam acontecido.

Uma vez que o erro humano desempenha um papel tão vasto nas violações cibernéticas, resolvê-lo é a chave para reduzir as chances de sua empresa ser alvo de sucesso. Ele também permite que você proteja sua empresa de uma gama muito mais ampla de ameaças do que qualquer solução técnica poderia - e pode potencialmente capacitar sua força de trabalho para procurar ativamente e relatar novas ameaças que possam encontrar. A mitigação de erro humano deve ser a chave para a segurança cibernética empresarial em 2021 - e na próxima seção veremos as melhores maneiras de fazer isso.

Quando ocorre o erro humano?

Dois fatores devem estar presentes para que o erro humano se manifeste:

1. Oportunidade
2. Decisão

Oportunidade significa que existe uma situação em que um ser humano pode cometer um erro: por exemplo, permitir que os usuários finais lidem com as atualizações de software em vez de forçar as atualizações de segurança com o gerenciamento de patches. Decisão é ação do indivíduo: neste caso, a falta de ação na instalação de atualizações de segurança quando disponíveis.

Reduzindo oportunidades e melhorando as decisões

Um esforço de mitigação abrangente inclui a redução da oportunidade de erro e também a melhoria das decisões tomadas por parte dos usuários finais. Tomar medidas em ambas as áreas é essencial para garantir que o erro humano seja totalmente abordado.

No caso de patching, por exemplo, uma medida técnica como a introdução do gerenciamento de patch pode reduzir a oportunidade de erro humano ao mínimo na maioria dos casos - mas ainda é essencial levar em consideração as situações em que as soluções técnicas têm um lapso temporário, ou se uma nova situação, como uma política BYOD, em que os usuários têm permissão para usar seus próprios dispositivos sem gerenciamento de patches, for introduzida.

Em outros casos, como e-mails de phishing, medidas técnicas como filtros de spam e software de detecção de violação têm um efeito muito limitado na redução da oportunidade de erro quando confrontado com um ataque direcionado. Nesses casos, a única maneira eficaz de mitigar o erro humano é ensinando os usuários finais a fazer julgamentos melhores.

Como você pode reduzir o erro humano?

Para que os usuários finais façam o julgamento correto em uma situação de segurança, quatro fatores diferentes devem estar presentes.

#1. Entendimento

A primeira delas é bastante direta: o usuário precisa reconhecer que está em uma situação em que a segurança está potencialmente em jogo. Sem reconhecer a situação como tal, o usuário pode nem perceber que está tomando uma decisão por meio de sua inação.

#2. Fortalecimento

Em segundo lugar, o usuário deve saber qual é o curso de ação correto. Isso não exige necessariamente que o usuário entenda completamente a ameaça, mas geralmente é tão simples quanto relatar a situação a uma pessoa do departamento de TI ou segurança que pode investigá-la.

#3. Educação

Em terceiro lugar, o usuário deve saber por que a segurança é importante, para que entenda a importância de não ignorar os procedimentos de segurança e esteja ciente das implicações potenciais de uma violação. Embora esses três fatores sejam essenciais para melhorar os resultados de segurança, é nesse ponto crucial que as empresas costumam vacilar. Para que melhores decisões sejam tomadas em situações do mundo real, o quarto fator também deve entrar em jogo: evitar a dor.

#4.Eliminando a prevenção da dor

Problemas como segurança de senha fraca e falha de patch de software persistem em organizações em todo o mundo, apesar de muitos usuários de computador entenderem por que esses problemas são críticos para a segurança. A razão pela qual nenhuma ação é realizada apesar do conhecimento é o que chamamos de prevenção da dor. Ter uma senha única e forte requer mais tempo para criar e mais esforço para lembrar do que uma senha curta, fraca ou reutilizada.

Apesar de o usuário saber melhor, essa "dor" causada pela criação de uma senha forte costuma ser forte o suficiente para fazer o usuário ir contra o seu bom senso. Isso é agravado pelo fato de que, apesar de muitos usuários tomarem as medidas corretas em circunstâncias ideais, situações de trabalho agitadas e urgentes, bem como estresse, podem tornar as medidas de segurança ainda mais "dolorosas" para os usuários.

Impulsionando a mudança cultural

É este último fator que só pode ser resolvido por meio da mudança cultural. Os usuários finais precisam sentir que a dor causada por seguir as melhores práticas de segurança é menor do que a satisfação obtida por não seguir essas práticas.

Medidas técnicas, como gerenciadores de senhas, são essenciais para isso, pois tornam mais fácil agir de maneira segura: se os funcionários não tiverem que criar ou lembrar suas próprias senhas, eles não terão motivo para não usar senhas seguras. Simultaneamente, o limite para realizar a ação correta deve ser reduzido por meio da mudança cultural. Isso significa colocar a segurança na vanguarda da tomada de decisão e garantir que os usuários nunca sintam que estão "perdendo tempo", tomando as devidas precauções de segurança.

A segurança deve ser discutida entre os funcionários, e as questões e pontos levantados pelos usuários finais sobre questões de segurança em suas próprias funções devem ser atendidos e recompensados. Isso ajuda os usuários a sentir que a segurança não é apenas uma reflexão tardia, mas algo em que sempre vale a pena dedicar algum tempo.

O treinamento eficaz de conscientização sobre segurança aborda não um, mas todos os quatro desses fatores.

O treinamento eficaz de conscientização sobre segurança aborda não um, mas todos os quatro desses fatores. Isso significa identificar situações em que dados ou sistemas podem ser comprometidos, compreender as melhores práticas, saber quais são as consequências potenciais das violações e, finalmente, ajudar a impulsionar uma mudança cultural para criar um ambiente onde as considerações de segurança são sempre levadas à tomada de decisões.

Manter a equipe experiente em segurança
ao trabalhar de casa

A resposta global à pandemia Covid-19 causou muitas mudanças nos locais de trabalho. A mudança que teve o impacto mais significativo na segurança foi a transformação de muitas empresas para que a maior parte ou toda a sua equipe mudasse para trabalhar em casa em um curto período de tempo, o que fez com que muitos usuários finais corressem um risco maior de sucumbindo às ameaças online.

Os riscos de segurança de trabalhar em casa

Os funcionários que não estavam acostumados a trabalhar em casa antes da pandemia rapidamente descobriram alguns dos problemas que ela poderia causar: ter que cuidar de crianças e animais de estimação, lidar com a conectividade de Internet deficiente e suportar todos os outros distúrbios que podem acontecer em casa. Em meio a todas essas novas mudanças no ambiente de trabalho, a segurança muitas vezes caiu para o fim das listas de prioridades dos usuários.

Os usuários finais que trabalham em casa estão fora da supervisão do departamento de suporte de TI e podem ter dificuldades com questões simples relacionadas à tecnologia. Além disso, tarefas essenciais de segurança, como atualização de software e sistemas operacionais, atualização do firmware do roteador e proteção da rede, foram repentinamente colocadas nas mãos dos usuários finais. Não é de se admirar que os cibercriminosos não tenham perdido um segundo explorando as circunstâncias da pandemia para inventar novas formas de golpes e crimes cibernéticos.

Como abordar a segurança quando
os usuários finais estão em casa

A equipe de suporte de TI não pode estar na casa de todos os usuários finais, por isso é essencial garantir que, além de ter o equipamento certo, os usuários finais estejam cientes de suas responsabilidades individuais em manter a segurança. Os usuários finais precisam saber que são responsáveis ​​por garantir que acessem apenas as informações e redes da empresa em dispositivos e redes atualizados e seguros.

O treinamento de conscientização sobre segurança é fundamental para garantir que os usuários finais saibam como manter a segurança. É melhor dividir o treinamento em componentes pequenos e digeríveis, pois isso garante que os usuários não fiquem sobrecarregados. O treinamento também deve ocorrer regularmente - uma vez por mês, no mínimo - para garantir que o aprendizado fundamental seja retido e que os usuários não se esqueçam da segurança assim que o próximo projeto de trabalho surgir, que abale a lista de prioridades. Por último, é importante testar os usuários finais. Deve ficar claro que isso não é para julgar ou penalizar usuários que lutam com seu treinamento, mas sim para identificar as principais lacunas de segurança na força de trabalho e resolvê-las antes que possam ser exploradas por criminosos cibernéticos.

Qual é o melhor formato para
treinamento de conscientização de segurança?

O treinamento de conscientização de segurança não é tudo o mesmo. A maneira como o treinamento é executado, estruturado e apresentado terá um grande efeito em sua eficácia, melhorando genuinamente os resultados de segurança em sua organização. Nesta seção, veremos qual é exatamente a melhor maneira de realizar o treinamento de conscientização de segurança para seus usuários finais.

Treinamento moderno VS da velha escola

O treinamento de conscientização sobre segurança costumava significar fazer os usuários finais assistirem a uma sessão anual que consistia em horas de palestras e apresentações de slides. A ideia era que os usuários se lembrassem de algo do que viram e ouviram - e, no pior dos casos, pelo menos a caixa para "educar os usuários" poderia ser marcada. No entanto, como foi realmente melhorar os resultados de segurança? Não funcionou e todos odiaram.

Há uma série de razões pelas quais este tipo de treinamento anual baseado em palestras não é eficaz. A primeira delas é que, em uma sessão de treinamento anual, simplesmente haverá informações demais de uma vez para qualquer funcionário digerir e lembrar. Mesmo que os usuários recebam material didático para levar com eles ou sejam enviados lembretes ocasionais, é provável que a maior parte do material da sessão de treinamento entre por um ouvido e saia pelo outro - esquecido em poucos momentos.

Palestras e apresentações de slides simplesmente não são formatos envolventes para os usuários finais aprenderem.

Palestras e apresentações de slides simplesmente não são formatos envolventes para os usuários finais aprenderem. Eles não conseguem despertar o interesse dos funcionários da mesma forma que o vídeo e o conteúdo interativo, e muitas vezes são preenchidos com informações desnecessárias que não são relevantes para todos os usuários finais. Slides cheios até a borda com pequenos textos certamente farão qualquer funcionário adormecer no meio da sessão.

A principal razão final pela qual o treinamento tradicional não é eficaz é que ele não usa o aprendizado por repetição. Se houver um ano entre as sessões de aprendizado, os usuários simplesmente não se lembrarão do que aprenderam - e a conscientização sobre os problemas de segurança em geral cairá nos dias e semanas após o treinamento. A segurança não pode ser uma coisa única, mas deve durar o ano todo para ser eficaz.

O treinamento de conscientização sobre segurança mudou cada vez mais para soluções de software como serviço online. O treinamento baseado em nuvem oferece alguns benefícios imediatos sobre os métodos tradicionais, mas não é necessariamente a resposta definitiva para a conscientização de segurança, a menos que entregue em certas áreas que são essenciais para melhorar genuinamente os resultados de segurança.

Como tornar o treinamento realmente eficaz?

É possível ter um programa de treinamento de conscientização de segurança realmente eficaz - mas existem alguns critérios importantes que você precisa seguir para envolver genuinamente seus usuários.

Dividindo o material

Há uma quantidade limitada de informações que uma pessoa pode absorver por vez. Isso é especialmente verdadeiro quando se trata de tópicos sobre os quais a maioria dos funcionários não tem muito conhecimento prévio. Para que a quantidade de material de aprendizagem não sobrecarregue os usuários finais, ele deve ser devidamente dividido em segmentos, cada um com sua própria mensagem clara e simples que é apresentada aos usuários de uma forma facilmente digerível.

Executando treinamento regular

Outro benefício de quebrar o material de aprendizagem é que permite que a aprendizagem se torne facilmente contínua, ao invés de uma coisa única. Dividir o aprendizado em partes permite que essas seções sejam enviadas regularmente ao longo do ano, ajudando a manter a conscientização sobre a segurança na mente dos usuários finais. Como a repetição é a chave para o aprendizado, isso é crucial para garantir que os usuários realmente se lembrem do que aprenderam.

Garantir que seu material seja relevante

Garantir que o conteúdo de aprendizagem seja relevante para os usuários finais é essencial para garantir que eles permaneçam engajados. Quando um usuário final recebe informações que considera não serem relevantes para ele, ele rapidamente começa a perder o interesse e a prestar menos atenção. O material de aprendizagem precisa não apenas evitar jargões e termos técnicos, mas ser feito com situações da vida real em mente que o usuário final médio realmente encontraria em seu dia-a-dia de trabalho. Por exemplo, a maioria dos funcionários não precisa saber as especificações dos regulamentos ou ataques de malware, mas simplesmente como se comportar de uma maneira que reduza esses riscos - e como relatar adequadamente os riscos que podem encontrar.

Oferecendo conselhos práticos

É muito bom ensinar os funcionários sobre os riscos lá fora e como eles podem ser combatidos - mas o que é essencial é que os funcionários saiam do treinamento com etapas reais em mente que podem ser colocadas em prática imediatamente em suas atividades diárias de trabalho. Dar aos funcionários a chance de colocar seu treinamento em teste imediatamente também ajuda a construir memória - e pode ser obtido usando ferramentas como simulação de phishing.

Usando vídeo e conteúdo interativo

Nem todo conteúdo é o mesmo. O conteúdo baseado em texto se torna cansativo para os usuários rapidamente e só deve ser usado quando complementado por um conteúdo visual mais envolvente. Os vídeos são ótimos para manter os usuários entretidos - desde que sejam de alta qualidade e sejam agradáveis de assistir. O humor pode ser usado com grande efeito para tornar os vídeos de conscientização de segurança mais atraentes para os usuários finais. O conteúdo interativo também é ótimo para envolver os usuários. Muitas pessoas aprendem fazendo - respondendo a perguntas ou de outra forma participando de seu aprendizado - e o conteúdo interativo também pode dar aos usuários uma sensação de realização para concluir um curso.

Testando o progresso de seus usuários

É essencial que, após as sessões de treinamento, os usuários sejam testados sobre o que aprenderam. Isso ajuda você a saber que os usuários aprenderam pontos-chave e estão indo embora depois de aprender algo - mas também ajuda o processo de aprendizagem dos usuários, pois eles recolhem as informações que acabaram de aprender de sua própria memória.

Criação de uma cultura de segurança

A parte mais essencial da eficácia de um programa de treinamento de conscientização de segurança, no entanto, tem tanto a ver com fatores externos ao treinamento quanto com o próprio treinamento. Para que o treinamento seja eficaz, ele deve fazer parte de uma cultura de segurança em que a segurança sempre receba a consideração de que precisa e os usuários sejam ativamente encorajados a expor suas preocupações e fazer perguntas. Um bom programa de conscientização sobre segurança contribui para isso, apresentando a segurança como algo contínuo e ativo, em vez de único e passivo - mas é essencial que a organização apoie esse esforço também fora do treinamento.

Como incorporar segurança em
cultura cotidiana da equipe

O treinamento de conscientização sobre segurança não será eficaz para melhorar os resultados de segurança se não for acompanhado por uma mudança cultural. O treinamento abrangente ensinará os usuários finais a reconhecer situações em que a segurança está em risco e como lidar com elas de forma adequada - mas esse conhecimento não será colocado em prática a menos que o usuário sinta que a segurança é valorizada em sua cultura.

O treinamento de conscientização sobre segurança não será eficaz se não for acompanhado por uma mudança cultural.

Com o crescente número de ameaças presentes, bem como a crescente complexidade dos serviços de negócios e acesso a dados e sistemas de dispositivos móveis, é impossível saber onde a próxima ameaça ou vazamento acidental para sua empresa pode aparecer. É por isso que a segurança não deve ser sobre garantir que seus usuários finais escolham senhas fortes ou seguir outras etapas específicas - mas sim sobre capacitá-los para serem tutores ativos de sua empresa, seus sistemas, dispositivos e dados.

Não pense na segurança cibernética como um problema de TI

A cultura tem tudo a ver com valores. Para que os funcionários se preocupem com a segurança, ela precisa ser destacada como um valor em toda a empresa. Isso significa garantir que a segurança não seja vista como responsabilidade da equipe de TI ou infosec - mas como uma responsabilidade compartilhada por todos os funcionários.

Incorpore a segurança aos valores da sua empresa

A mudança cultural e os valores da empresa têm que vir de cima. A alta administração tem um papel importante a desempenhar ao enfatizar o papel da segurança nos negócios - mas é essencial que eles desenvolvam, em vez de ditar, a nova cultura. Isso significa encorajar os funcionários a assumir um papel ativo, pedindo-lhes que levantem questões relacionadas às suas próprias funções e levando-os a fazer perguntas e se envolver com as questões de segurança.

Dessa forma, os usuários sentem que estão envolvidos no processo de segurança e começam a pensar ativamente sobre as considerações de segurança em suas próprias funções. Um gerente ou alguém da área de TI pode não estar completamente familiarizado com todos os processos do fluxo de trabalho de um funcionário - por isso é essencial que os próprios usuários entendam que precisam tomar medidas para garantir a segurança dos dados e sistemas.

Obtenha a alta gerência a bordo

A alta administração também tem o papel de estabelecer prioridades para o negócio. Qualquer pessoa que trabalhe para uma companhia aérea lhe dirá que a segurança é sempre, sem exceção, a principal prioridade. Todo o resto vem em segundo lugar. Embora na maioria das outras empresas a segurança não seja uma questão de vida ou morte, é importante lembrar o quão prejudicial qualquer violação pode ser para uma empresa.

Se os clientes não sentirem mais que podem confiar em uma organização suas informações pessoais ou de negócios, isso pode ser o fim da empresa. Deve ficar claro para todos os funcionários que a segurança sempre vem em primeiro lugar - e que é sempre melhor perguntar e certificar-se do que lamentar depois..

Implementar privilégios mínimos

Para um ambiente de negócios seguro, um princípio arraigado de privilégio mínimo contribuirá muito para proteger os ativos, dados e sistemas de negócios. Embora o princípio do menor privilégio seja frequentemente visto como uma medida técnica - limitando cada usuário apenas aos privilégios que eles exigem para suas funções específicas - ele também deve ser incorporado diretamente na cultura corporativa. Isso significa encorajar os usuários a relatar ativamente quando tiverem acesso a mais dados ou sistemas do que precisam - ajudando a limitar as possibilidades de violações.

Implementar lembretes suaves das melhores práticas

Em termos de medidas físicas, itens como pôsteres podem ser úteis na construção de uma cultura de segurança e também contêm lembretes úteis sobre tópicos como a força da senha. É importante lembrar, porém, que apenas colar um pôster na parede não vai resultar em nada por si só, mas deve ser usado como ponto de partida para a discussão ou servir como complemento ao material de treinamento com o qual os usuários já estão envolvidos.

Certifique-se de recompensar os funcionários

Por fim, é importante garantir que os funcionários sintam que suas contribuições para a segurança são valorizadas. Quando os funcionários fazem perguntas, eles sempre devem receber tempo e consideração, e deve-se ter certeza de que entenderam completamente a resposta e por que ela é importante para a segurança. Quando os usuários mencionam questões de segurança, eles sempre devem ser recompensados por prestar atenção e trabalhar para ajudar a manter a segurança dos negócios.

A consciência de segurança essencial
tópicos de treinamento para 2021

Não é apenas o formato do treinamento de conscientização de segurança que importa, mas o que você inclui nele. O treinamento deve esgotar todos os tópicos principais, sem sobrecarregar os usuários. Embora cada organização e cada função de trabalho tenham requisitos diferentes, existem algumas áreas essenciais que valem a pena garantir que cada usuário final esteja ciente - mesmo que brevemente.

Comece a dirigir funcionário
consciência de segurança hoje

Acreditamos que seus usuários finais não são seu elo mais fraco - mas sua primeira linha de defesa.

O usecure oferece treinamento de conscientização de segurança de tamanho reduzido, projetado para manter os usuários engajados. Vídeos divertidos e conteúdo interativo garantem que os usuários finais estejam sempre ansiosos pelo próximo módulo de treinamento - enquanto a automação inteligente no coração da plataforma usecure mantém o tempo de administração mínimo.

Comece a transformar humanos em sua linha de defesa mais forte

usecure é a solução de Gerenciamento de Risco Humano (GRM) que capacita as empresas a reduzir os incidentes de segurança relacionados ao usuário, construir uma força de trabalho ciber-resiliente e atingir padrões de conformidade através de programas automatizados de treinamento de usuários.

Com a confiança dos principais profissionais de TI e provedores de serviços gerenciados (MSPs), usecure análisa, reduz e monitora o risco cibernético humano através de programas de treinamento de conscientização de segurança orientados a riscos, campanhas de phishing simuladas, gerenciamento de políticas simplificado e monitoramento contínuo de violação da dark web - tudo em uma plataforma.

Saiba mais sobre usecure