Capítulo 5 — Letramento em segurança
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX013.
flowchart TD
N0["5.1 Conscientização, treinamento, educação"]
N1["5.2 Táticas de engenharia social"]
N2["5.3 Conhecimento e comportamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX013"]
Desenho lógico
flowchart LR
N0["5.1 Conscientização, treinamento, educação"]
N1["5.2 Táticas de engenharia social"]
N2["5.3 Conhecimento e comportamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX013"]
[5.1 Conscientização, treinamento, educação]
|
v
[5.2 Táticas de engenharia social]
|
v
[5.3 Conhecimento e comportamento]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX013]
Objetivos de aprendizagem
Você vai (1) definir conscientização, treinamento e educação em segurança; (2) reconhecer táticas comuns de engenharia social; (3) explicar por que o conhecimento não garante o comportamento.
5.1 Conscientização, treinamento, educação
A NIST SP 800-16 (Wilson et al., 1998) distinguiu a conscientização, que chama a atenção para a segurança, do treinamento, que desenvolve habilidades, e da educação, que desenvolve compreensão. A NIST SP 800-50r1 (Hansche et al., 2024) atualiza a orientação para construir um programa de aprendizagem em cibersegurança e privacidade. Nadia usa essas distinções para analisar os esforços atuais da Ashcombe: um vídeo anual conta como conscientização, mas ninguém foi treinado para verificar pedidos incomuns. Ela percebe que funcionários diferentes precisam de combinações diferentes, e que a conscientização sozinha não desenvolve as habilidades necessárias para tratar com segurança os pedidos de dados de usuários.
5.2 Táticas de engenharia social
Nadia estuda táticas comuns descritas por Hadnagy (2018): o pretexting, em que o atacante inventa uma história crível; o phishing, com e-mails enganosos; e a falsificação de identidade por telefone. Os princípios de influência de Cialdini, como autoridade, urgência e afinidade, explicam por que essas táticas funcionam. Numa biblioteca, alguém pode ligar fingindo ser um servidor da prefeitura que exige com urgência dados de usuários. Nadia aprende a reconhecer esses padrões para poder desenhar procedimentos que ajudem os funcionários a fazer uma pausa, mas os estuda apenas para defender, nunca para enganar pessoas reais sem autorização.
5.3 Conhecimento e comportamento
Os funcionários da Ashcombe sabem descrever o phishing quando perguntados, mas alguns ainda clicam. Nadia aprende que saber não é fazer. Bada, Sasse e Nurse (2019) argumentaram que as campanhas de conscientização muitas vezes falham porque supõem que o conhecimento leva ao comportamento, ignorando a carga de trabalho, os hábitos e o esforço que as ações seguras exigem. As pessoas agem sob pressão de tempo, com informação incompleta e objetivos concorrentes. O letramento em segurança inclui, portanto, entender por que o comportamento se afasta do conhecimento, o que aponta para desenhar opções seguras mais fáceis, em vez de repetir as mesmas mensagens mais alto. O Dr. Prescott concorda.
Exemplo resolvido
Nadia distingue conscientização, treinamento e educação, reconhece pretexting e táticas de influência e explica por que o conhecimento não garante o comportamento.
Caso sintético. Os exemplos são sintéticos; SP 800-16, SP 800-50r1, Hadnagy (2018), Cialdini (2021) e Bada et al. (2019) são reais.
Erros e limites
As táticas evoluem. Na prática, as categorias se sobrepõem.
Exercícios
- EX013 — Três níveis. Que três níveis a SP 800-16 distinguiu? Rubrica: 3 = conscientização, treinamento e educação;; 2 = três;; 1 = vago;; 0 = nenhuma.
- EX014 — Pretexting. O que é pretexting? Rubrica: 3 = inventar uma história crível para enganar;; 2 = história;; 1 = phishing;; 0 = nenhuma.
- EX015 — Falha das campanhas. Por que as campanhas muitas vezes falham, segundo Bada et al. (2019)? Rubrica: 3 = supõem que o conhecimento leva ao comportamento;; 2 = suposição;; 1 = vago;; 0 = nenhuma.
Síntese
O letramento em segurança abrange conscientização, táticas e a distância entre saber e fazer.
Continue estudando — aula 05 (capítulo 05 de 40)
← Capítulo 04 · Índice das aulas · Capítulo 06 →
Continue para a próxima aula já escrita.