Capítulo 20 — Conscientização em segurança

Capítulo 20 — Conscientização em segurança

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Por que conscientização"]
  N1["20.2 Projetando as atividades"]
  N2["20.3 Estimulando as comunicações"]
  N3["20.4 Medindo os resultados"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Por que conscientização"]
  N1["20.2 Projetando as atividades"]
  N2["20.3 Estimulando as comunicações"]
  N3["20.4 Medindo os resultados"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Por que conscientização]
    |
    v
[20.2 Projetando as atividades]
    |
    v
[20.3 Estimulando as comunicações]
    |
    v
[20.4 Medindo os resultados]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) projetar atividades de conscientização para a equipe; (2) estimular as comunicações; (3) medir os resultados da conscientização.

20.1 Por que conscientização

Muitos incidentes começam com uma pessoa: clicar num link de phishing, enviar dados ao destinatário errado ou compartilhar uma senha. Aisha aprende que os programas de conscientização ajudam os funcionários a reconhecer as ameaças e a reagir a elas. A ISO/IEC 27002:2022 inclui a conscientização, a educação e o treinamento entre os seus controles de pessoas. O Dr. Carrow adverte que a conscientização não serve para culpar os funcionários, e que os sistemas devem ser projetados de modo que um único erro não cause um dano grave. Ela lê exemplos de programas de conscientização que melhoraram as comunicações sem culpar quem clicou.

20.2 Projetando as atividades

Aisha projeta um programa para a Ashfield: um breve curso anual, dicas mensais de dois minutos por e-mail, exercícios simulados de phishing e conversas nas agências sobre tentativas reais de fraude, com os dados pessoais removidos. Ela adapta o conteúdo aos papéis. Os caixas aprendem a identificar a engenharia social por telefone; a equipe de finanças aprende sobre os pedidos de pagamento falsos. Ela mantém as sessões curtas, porque as longas sessões anuais são logo esquecidas. Ela testa a primeira dica mensal com cinco funcionários, que dizem que ela é clara e leva menos de dois minutos para ser lida. O gerente de TI aprova o programa para o ano seguinte.

20.3 Estimulando as comunicações

Comunicar importa mais do que nunca clicar. Aisha recomenda um botão de comunicação no e-mail e um número de telefone simples para a equipe das agências. Toda comunicação recebe um agradecimento, mesmo que a mensagem fosse inofensiva. Quando uma caixa comunica uma ligação suspeita, o gerente de TI descobre que várias agências receberam a mesma ligação. O Dr. Carrow explica que os funcionários que temem ser culpados param de comunicar, o que elimina uma das melhores fontes de detecção da organização. O gerente de TI bloqueia o número de quem ligou e avisa todas as agências em menos de uma hora.

20.4 Medindo os resultados

Aisha propõe medidas: a conclusão do treinamento, a parcela de e-mails simulados de phishing comunicados e o tempo até a primeira comunicação de e-mails suspeitos reais. Ela evita usar apenas as taxas de cliques, porque elas dependem da dificuldade de cada simulação. Ela planeja acompanhar as tendências ao longo de um ano. Ela aprende que os resultados da conscientização são mais bem medidos pelo comportamento, sobretudo pelas comunicações, do que apenas pela presença. Ela monta uma planilha simples para acompanhar as três medidas mensalmente, e o gerente de TI concorda em incluir os resultados no relatório trimestral ao conselho.

Exemplo resolvido

Aisha projeta uma conscientização por papel, com sessões curtas, torna a comunicação fácil e agradecida, usa uma ligação comunicada para detectar uma campanha mais ampla e mede o comportamento.

Caso sintético. O programa é sintético.

Erros e limites

Culpar os funcionários pelos cliques desestimula as comunicações que detectam os ataques.

Exercícios

• EX058 — Tema dos caixas. O que os caixas aprendem a identificar? Rubrica: 3 = a engenharia social por telefone;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX059 — Valor da comunicação. O que a comunicação de uma caixa revelou? Rubrica: 3 = várias agências receberam a mesma ligação;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX060 — Cautela com os cliques. Por que evitar usar apenas as taxas de cliques? Rubrica: 3 = dependem da dificuldade da simulação;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 20 (capítulo 20 de 40)

← Capítulo 19 · Índice das aulas · Capítulo 21 →

Continue para a próxima aula já escrita.