Como desenvolver uma cultura de cibersegurança forte
A cultura de cibersegurança é o solo, não é uma cerca
Sejamos honestos - quando a maioria das pessoas ouve “formação em cibersegurança”, os seus olhos ficam vidrados mais depressa do que uma estação de trabalho com o Windows 98.
Mas eis a questão: 74% das violações de dados ainda envolvem um elemento humano, seja por meio de engenharia social, de um erro ou do uso indevido, de acordo com o DBIR 2023 da Verizon. Não se trata apenas de uma estatística - é um sinal que aponta para a importância do criar uma cultura de cibersegurança.
Se quiser que as suas ferramentas de segurança façam mais do que “acumular pó2 e enviar alertas, precisa cultivar uma cultura de segurança.
Não assuma que Consciência = Prontidão
Todos nós já fomos culpados de assumir que “toda a gente já sabe isto”. A autenticação multifatorial (MFA), os esquemas de phishing, os gestores de passwords - não é básico? Não é bem assim.
Um relatório da Tessian revelou que 43% dos colaboradores cometeram erros no local de trabalho que comprometeram a cibersegurança. Normalmente, cometeram esses erros por estarem cansados, apressados ou não compreenderem o risco a que estão expostos.
A sua equipa não está a ignorar a segurança por maldade - apenas não estão preparados para pensar como os atacantes.
Por isso, em vez de passar uma vez por ano por uma formação aborrecida e orientada para a conformidade, experimente:
- Simulações realistas de phishing (pontos de bónus se as tornar engraçadas)
- Formação específica para cada função (finanças ≠ desenvolvedores ≠ RH)
- Reforço por meio de microaprendizagem (lições curtas e rápidas)
- Transformação da formação numa aprendizagem divertida e envolvente
Transforme a formação numa conversa.
Associe a segurança aos resultados comerciais, não ao medo
O problema das táticas de medo é que perdem impacto com o tempo. A sua equipa já sabe que existem ameaças, no entanto precisam de entender por que devem se preocupar e como isso afeta suas vidas diárias.
- As equipas de vendas devem compreender como as más práticas de segurança podem atrasar os negócios
- As equipas de produto devem saber como a segurança desde a conceção dos produtos gera confiança a longo prazo
- Os RH devem compreender a importância do onboarding e offboarding seguros na proteção dos dados sensíveis
- As equipas financeiras devem saber como as más práticas de segurança aumentam o risco e provocam o aumentao os custos
Associar a segurança a objetivos comerciais reais, como a confiança, a rapidez e o crescimento, torna-se uma responsabilidade partilhada e não uma “tarefa da equipa de TI”.
Ativar os seus defensores diários
Os seus melhores defensores da segurança podem não estar no seu SOC - provavelmente estão no marketing, na equipa de sucesso ao cliente ou nas operações. As pessoas que perguntam: “Devo abrir isto?” em vez de simplesmente clicar. Estes são os seus defensores quotidianos.
Dê-lhes um nome. Reconheça-os. Capacite-os.
Crie um programa leve de defensores da segurança:
- Verificações mensais com a sua equipa de TI/segurança
- Pré-visualizações antecipadas de novas ferramentas/processos
- Avisos para quem detetar atividades suspeitas
A cultura espalha-se através das pessoas - não das políticas. Por isso, dê espaço para comunicar (e talvez uma caneca) aos seus defensores da cultura.
Torne-a uma coisa viva, não uma política bloqueada
A cultura não é estática. Nem as ameaças. O que funcionou no ano passado pode hoje já ser irrelevante.
Em vez de fechar tudo num PDF de 40 páginas, concentre-se na agilidade:
- Revisitar e atualizar a formação a cada trimestre
- Rever regularmente as permissões e os controlos de acesso
- Incentivar o feedback dos utilizadores sobre o que está a funcionar (e o que não está)
Quando os colaboradores percebem que a segurança evolui com eles, e não apenas para eles, é mais provável que se mantenham empenhados.
Pensamento final: A cultura é o solo, não a cerca
Pode ter a melhor firewall, as melhores soluções de proteção de endpoints e as melhores ferramentas para a cloud. Mas se a sua equipa não compreender a segurança, permanece vulnerável.
Criar uma cultura de segurança em primeiro lugar não significa perfeição.
Significa “plantar” os valores corretos, fomentar a confiança e proteger o que é importante - em conjunto.
E a boa notícia? É apenas empenho, consistência e a convicção de que a cultura é o seu melhor ativo de segurança.
Quer reforçar a sua cultura de cibersegurança? Comece por fomentar a sua cultura interna - uma conversa, um campeão e uma lição de cada vez.
