Capítulo 2 — Fatores humanos e política cibernética: prática atual
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Prática atual"]
N1["2.2 Orientações"]
N2["2.3 Lacunas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Prática atual"]
N1["2.2 Orientações"]
N2["2.3 Lacunas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX006"]
[2.1 Prática atual]
|
v
[2.2 Orientações]
|
v
[2.3 Lacunas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) descrever a prática atual dos programas de conscientização em segurança; (2) relacionar a prática a orientações como a NIST SP 800-50r1; (3) identificar lacunas entre a prática e as evidências.
2.1 Prática atual
Daniel levanta a prática atual por meio de relatórios do setor e de conversas com colegas de outras organizações. Muitas organizações oferecem cursos online anuais, phishing simulado mensal e painéis de taxas de clique por departamento. Menos organizações medem a rapidez dos reportes ou investem em procedimentos de verificação para tarefas de alto risco. O Verizon DBIR continua relatando um grande elemento humano nas violações, que as organizações muitas vezes citam para justificar o treinamento. Daniel observa que a prática é moldada tanto pelo que é fácil de comprar e relatar quanto pelo que as evidências mostram que funciona. Ele registra cada fonte.
2.2 Orientações
A NIST SP 800-50r1 (Hansche et al., 2024) descreve como construir um programa de aprendizagem em cibersegurança e privacidade, incluindo avaliar necessidades, desenhar conteúdo por função, implementar e avaliar. A SP 800-16, mais antiga (Wilson et al., 1998), estabeleceu a distinção entre conscientização, treinamento e educação. As diretrizes de cultura de cibersegurança da ENISA enfatizam entender e moldar a cultura, e não apenas transmitir mensagens. Daniel mapeia o programa da Calloway em relação a esses documentos e descobre que a avaliação de necessidades e a avaliação de resultados são os pontos mais fracos, enquanto a entrega de conteúdo é o mais forte. Ele compartilha o mapeamento com o comitê de riscos, para que os membros vejam onde o esforço se concentra e onde o programa precisa crescer.
2.3 Lacunas
Comparando a prática com as evidências, Daniel encontra lacunas. Lain, Kostiainen e Čapkun (2022) constataram que o treinamento embutido após cliques simulados não reduzia os cliques posteriores, e a Calloway usa exatamente isso. Bada, Sasse e Nurse (2019) constataram que mensagens baseadas no medo muitas vezes saem pela culatra, e os cartazes da Calloway usam imagens alarmantes. O reporte, que Lain e colegas consideraram valioso em larga escala, é difícil na Calloway porque o endereço de reporte está escondido. Identificar essas lacunas dá a Daniel uma agenda inicial fundamentada em evidências publicadas, e não em preferência pessoal. Ele lista cada lacuna com sua fonte.
Exemplo resolvido
Daniel revisa a prática comum, mapeia a Calloway em relação à SP 800-50r1, à SP 800-16 e às orientações da ENISA e identifica três lacunas em relação às evidências.
Caso sintético. A Calloway é sintética; as orientações e os estudos citados são reais.
Erros e limites
Conversas com colegas são anedóticas. Orientação não é evidência de efeito.
Exercícios
- EX006 — Prática comum. Que medida domina a prática comum? Rubrica: 3 = taxas de clique por departamento;; 2 = cliques;; 1 = rapidez dos reportes;; 0 = nenhuma.
- EX007 — Etapas mais fracas. Que etapas do programa eram as mais fracas na Calloway? Rubrica: 3 = avaliação de necessidades e avaliação de resultados;; 2 = duas;; 1 = entrega;; 0 = nenhuma.
- EX008 — Lacuna do treinamento embutido. Que evidência conflita com o treinamento embutido da Calloway? Rubrica: 3 = Lain et al. constataram que ele não reduzia os cliques;; 2 = Lain;; 1 = vago;; 0 = nenhuma.
- EX009 — Lacuna dos cartazes. Que prática conflita com Bada et al. (2019)? Rubrica: 3 = cartazes alarmantes baseados no medo;; 2 = medo;; 1 = vago;; 0 = nenhuma.
- EX010 — Lacuna do reporte. Por que o reporte é fraco na Calloway? Rubrica: 3 = o endereço de reporte está escondido;; 2 = acesso;; 1 = vago;; 0 = nenhuma.
Síntese
A prática atual muitas vezes fica atrás das evidências, e as orientações ajudam a mapear as lacunas.
Continue estudando — aula 02 (capítulo 02 de 12)
← Capítulo 01 · Índice das aulas · Capítulo 03 →
Continue para a próxima aula já escrita.