Capítulo 1 — Fatores humanos e política cibernética: fundamentos e decisões | Curso rápido Fatores humanos e política cibernética

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 1 — Fatores humanos e política cibernética: fundamentos e decisões

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Pessoas e segurança"]
  N1["1.2 Não são o inimigo"]
  N2["1.3 Táticas de engano"]
  N3["1.4 Conhecimento não basta"]
  N4["1.5 Três decisões iniciais"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Pessoas e segurança"]
  N1["1.2 Não são o inimigo"]
  N2["1.3 Táticas de engano"]
  N3["1.4 Conhecimento não basta"]
  N4["1.5 Três decisões iniciais"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]

[1.1 Pessoas e segurança]
    |
    v
[1.2 Não são o inimigo]
    |
    v
[1.3 Táticas de engano]
    |
    v
[1.4 Conhecimento não basta]
    |
    v
[1.5 Três decisões iniciais]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) explicar por que as pessoas, e não só a tecnologia, decidem os resultados de segurança; (2) reconhecer táticas comuns de engano; (3) tomar três decisões iniciais para uma pequena organização beneficente.

1.1 Pessoas e segurança

Ruth Adeyemi coordena as operações do fictício Riverbend Food Bank, um banco de alimentos beneficente com doze funcionários e sessenta voluntários. Ela entra num curso rápido de um mês no fictício Oakmere Adult Learning Centre, orientada pelo facilitador Callum Shaw. Callum começa com uma ideia simples: a maioria dos ataques contra pequenas organizações beneficentes chega às pessoas antes de chegar aos sistemas. Uma fatura falsa de fornecedor, uma ligação de alguém fingindo ser do banco ou um e-mail que pede a um voluntário que faça login em algum lugar dependem todos de uma pessoa agir. A segurança, portanto, depende de ajudar as pessoas a agir com segurança sob as pressões do dia a dia.

1.2 Não são o inimigo

Callum apresenta dois artigos clássicos. Adams e Sasse (1999), Users are not the enemy, mostraram que as pessoas descumprem as regras de segurança sobretudo porque as regras não se encaixam no seu trabalho, e não por descuido. Sasse, Brostoff e Weirich (2001) defenderam transformar o chamado elo mais fraco por meio de um design melhor. Ruth reconhece isso no Riverbend: os voluntários compartilham um único login da planilha de doações porque nunca se providenciou a criação de contas individuais. O problema é a configuração, não a atitude dos voluntários, e culpá-los só os faria esconder os erros.

1.3 Táticas de engano

Ruth aprende as táticas comuns descritas por Hadnagy (2018) e explicadas pelos princípios de influência de Cialdini. Os atacantes alegam autoridade, como quando se passam pelo banco ou por um grande doador; criam urgência, como um prazo que vence hoje; e usam a simpatia ou a familiaridade, como quando copiam o estilo de um fornecedor conhecido. No Riverbend, um ataque típico poderia ser um e-mail de um endereço parecido com o do atacadista de alimentos pedindo pagamento para novos dados bancários. Conhecer esses padrões ajuda Ruth a desenhar verificações simples que não dependem de perceber cada pista.

1.4 Conhecimento não basta

Callum avisa que falar às pessoas sobre as táticas raramente muda o comportamento por si só. Bada, Sasse e Nurse (2019) constataram que as campanhas de conscientização muitas vezes falham quando se apoiam no medo ou supõem que o conhecimento leva à ação. O NIST SP 800-50r1 (Hansche et al., 2024) descreve programas de aprendizagem que combinam conscientização, treinamento por função e avaliação. Para uma pequena organização beneficente, conclui Ruth, a abordagem prática é ter alguns hábitos fáceis, procedimentos claros para as tarefas arriscadas e um jeito amigável de pedir ajuda, em vez de palestras longas que as pessoas esquecem.

1.5 Três decisões iniciais

Ruth toma três decisões iniciais para o Riverbend. Primeiro, qualquer alteração dos dados bancários de um fornecedor será conferida ligando para o fornecedor no número que já consta do cadastro. Segundo, funcionários e voluntários serão informados com clareza de que reportar qualquer coisa estranha é bem-vindo e nunca leva à culpa. Terceiro, o login compartilhado da planilha de doações será substituído por contas individuais. Ela escreve as decisões numa nota de uma página para a gerente da organização, explicando em linguagem simples o motivo de cada uma. Callum observa que essas decisões atacam os maiores riscos a baixo custo.

Exemplo resolvido

Ruth aprende por que as pessoas decidem os resultados, reconhece as táticas de autoridade e urgência e toma três decisões: retorno de ligação para alterações bancárias, uma mensagem de reporte sem culpa e contas individuais.

Caso sintético. O Riverbend é sintético; Adams e Sasse (1999), Sasse et al. (2001), Hadnagy (2018), Cialdini (2021), Bada et al. (2019) e o SP 800-50r1 são reais.

Erros e limites

As decisões precisam de continuidade. As equipes pequenas mudam com frequência.

Exercícios

EX001 — Tamanho da organização. Quantos funcionários e voluntários o Riverbend tem? Rubrica: 3 = doze funcionários e sessenta voluntários;; 2 = 72;; 1 = vago;; 0 = nenhuma.
EX002 — Onde os ataques chegam. Segundo Callum, ao que a maioria dos ataques contra pequenas organizações beneficentes chega primeiro? Rubrica: 3 = às pessoas, antes de chegarem aos sistemas;; 2 = às pessoas, sem o contraste com os sistemas;; 1 = aos sistemas;; 0 = nenhuma.
EX003 — Causa do descumprimento. Por que as pessoas descumprem as regras de segurança, segundo Adams e Sasse (1999)? Rubrica: 3 = as regras não se encaixam no seu trabalho;; 2 = encaixe;; 1 = descuido;; 0 = nenhuma.
EX004 — Causa do login compartilhado. Por que os voluntários compartilham um único login de doações? Rubrica: 3 = nunca se providenciaram contas individuais;; 2 = configuração;; 1 = preguiça;; 0 = nenhuma.
EX005 — Exemplo de autoridade. Dê um exemplo de tática de autoridade. Rubrica: 3 = passar-se pelo banco ou por um grande doador;; 2 = autoridade;; 1 = vago;; 0 = nenhuma.
EX006 — Exemplo de urgência. Dê um exemplo de tática de urgência. Rubrica: 3 = um prazo que vence hoje;; 2 = prazo;; 1 = vago;; 0 = nenhuma.
EX007 — Ataque típico. Que ataque típico o Riverbend poderia enfrentar? Rubrica: 3 = um e-mail de endereço parecido com o do atacadista com novos dados bancários;; 2 = fraude de fatura;; 1 = vago;; 0 = nenhuma.
EX008 — Fraqueza das campanhas. Por que as campanhas de conscientização muitas vezes falham, segundo Bada et al. (2019)? Rubrica: 3 = o medo e a suposição de que o conhecimento leva à ação;; 2 = medo;; 1 = vago;; 0 = nenhuma.
EX009 — Conteúdo do SP 800-50r1. O que o SP 800-50r1 combina nos programas de aprendizagem? Rubrica: 3 = conscientização, treinamento por função e avaliação;; 2 = três;; 1 = palestras;; 0 = nenhuma.
EX010 — Abordagem prática. Que abordagem prática convém a uma pequena organização beneficente? Rubrica: 3 = hábitos fáceis, procedimentos claros e ajuda amigável;; 2 = hábitos;; 1 = palestras longas;; 0 = nenhuma.
EX011 — Primeira decisão. Qual é a primeira decisão de Ruth? Rubrica: 3 = ligar para os fornecedores no número do cadastro antes de alterações bancárias;; 2 = retorno de ligação;; 1 = vago;; 0 = nenhuma.
EX012 — Segunda decisão. Qual é a segunda decisão de Ruth? Rubrica: 3 = dizer a todos que reportar é bem-vindo, sem culpa;; 2 = sem culpa;; 1 = vago;; 0 = nenhuma.
EX013 — Terceira decisão. Qual é a terceira decisão de Ruth? Rubrica: 3 = substituir o login compartilhado por contas individuais;; 2 = contas;; 1 = vago;; 0 = nenhuma.

Síntese

A segurança em organizações pequenas começa pelas pessoas, por procedimentos simples e por uma cultura de reporte acolhedora.

Continue estudando — aula 01 (capítulo 01 de 04)

← Início do curso · Índice das aulas · Capítulo 02 →

Continue para a próxima aula já escrita.