Sensibilização na sua equipa

Módulo 9: Regras e organização · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Depois desta lição, saberá organizar a sensibilização numa pequena equipa: regras, denunciar sem culpa, praticar e repetir.
Conceitos-chave: sensibilização, comportamento, cultura de denúncia, exercício de phishing (com autorização e sem punição), novo colaborador, repetição breve

Saber não é o mesmo que fazer

Quase toda a gente sabe que não se deve clicar em links suspeitos. Ainda assim, acontece todos os dias, mesmo com pessoas que sabem melhor. Isso não se deve a falta de inteligência. Deve-se ao facto de um e-mail de phishing (lição 1.2 e módulo 3) explorar exatamente a forma como trabalhamos: pressão, pressa, o desejo de ajudar um cliente ou colega. Numa sexta-feira à tarde, quinze para as cinco, entre trinta outros e-mails, uma "fatura em aberto" parece perfeitamente normal.

A sensibilização não trata, por isso, apenas de conhecimento, mas de comportamento: o que fazem as pessoas na realidade, mesmo quando estão cansadas ou com pressa? O objetivo não é que todos se tornem especialistas. O objetivo são alguns reflexos fixos:

1. Parar perante uma mensagem que pede algo: dinheiro, uma palavra-passe, um clique, abrir um anexo, instalar algo.
2. Verificar por outra via: iniciar sessão por conta própria em vez de seguir o link, ligar de volta para um número conhecido.
3. Denunciar quando algo não está bem, mesmo que já se tenha clicado.

Esse terceiro reflexo é o mais importante, e depende inteiramente de como a sua equipa lida com isso.

Denunciar sem culpa

Imagine duas empresas. Na primeira, um colaborador que clicou num link de phishing recebe uma reação irritada do proprietário: "Como é que você pode ser tão descuidado?" Na segunda, o proprietário diz: "Ainda bem que me avisou logo, assim já podemos mudar a sua palavra-passe."

O que acontece na próxima vez que alguém clica? Na primeira empresa, a pessoa cala-se e espera que tudo corra bem. Na segunda empresa, denuncia em cinco minutos.

Essa diferença é enorme. Numa tomada de conta ou no início de um ataque de ransomware, cada hora conta (lições 1.3 e 3.5). Uma denúncia em cinco minutos significa: mudar a palavra-passe antes de o atacante ter iniciado sessão, revogar sessões, retirar um computador da rede antes de algo ser encriptado. Uma denúncia três semanas depois, ou nunca, significa que o atacante teve todo o tempo do mundo.

Uma boa cultura de denúncia tem algumas características:

• Um único ponto de contacto claro. Toda a gente sabe a quem recorrer: um nome e um número de telefone, e um substituto caso essa pessoa não esteja disponível. Isso também consta no cartão de incidente (lição 8.1).
• Agradecer, não punir. Quem denuncia, mesmo sobre o seu próprio erro, recebe um agradecimento. Diga-o em voz alta à equipa: "A Sofia denunciou esta manhã uma fatura falsa, o que nos permitiu avisar os restantes."
• A dúvida também é bem-vinda. "Não sei se isto é verdadeiro" é uma boa denúncia. É preferível verificar dez vezes um e-mail genuíno do que deixar passar uma vez um e-mail falso.
• O exemplo da direção. Se o proprietário denunciar que quase caiu numa armadilha, isso facilita para toda a gente.

Punir tem o efeito contrário. Não porque os erros não sejam graves, mas porque punir não reduz os erros, reduz apenas as denúncias.

Regras que facilitam o comportamento

As pessoas seguem mais depressa uma regra que seja clara e fácil. Certifique-se de que o comportamento seguro é também o comportamento mais fácil. Algumas regras que se adequam a quase todas as pequenas empresas:

Escreva as regras numa única folha A4. Não vinte páginas de política que ninguém lê, mas uma lista que possa ficar afixada junto à máquina de café.

Praticar

Uma regra que nunca se pratica acaba por ser esquecida. Há várias formas de praticar, de leves a mais intensivas.

Analisar exemplos em conjunto. Reserve cinco minutos na reunião de equipa para analisar um e-mail suspeito real que alguém tenha recebido (sem dados pessoais). Como é que o reconheceu? Qual era o domínio real do link? Isto não custa nada e funciona surpreendentemente bem, porque trata de mensagens reais da própria caixa de correio da equipa.

Um exercício de simulação (tabletop). Discutem em conjunto um cenário: "É segunda-feira de manhã e já ninguém consegue aceder à unidade de rede. Em todos os computadores aparece uma mensagem com um pedido de resgate. O que fazemos?" Percorrem o cartão de incidente e verificam onde há falhas (lição 8.1). Uma hora, uma vez por ano.

Um exercício de phishing. Envia aos colegas um e-mail de phishing simulado para ver quem clica e quem denuncia. Isto pode ser instrutivo, mas só se for feito corretamente:

• Com autorização e anunciado previamente. Informe antecipadamente que haverá exercícios este ano, sem indicar a data. Ninguém deve sentir-se enganado posteriormente.
• Sem punição. Quem clica recebe de imediato uma breve explicação sobre o que poderia ter detetado, sem repreensão e sem uma lista de nomes na reunião de equipa.
• Medir o que importa. O número de denúncias é mais importante do que o número de cliques. Um exercício em que três pessoas clicam mas cinco o denunciam dentro de dez minutos é um sucesso.
• Sem temas cruéis. Nada de e-mails falsos sobre um bónus, um despedimento ou a saúde de um colega. Isso prejudica a confiança mais do que traz benefícios.
• Tenha atenção à privacidade. Não guarde mais tempo do que o necessário quem clicou, e nunca use isso numa avaliação de desempenho.

Para uma equipa de cinco pessoas, a primeira forma costuma já ser suficiente. Um exercício de phishing só faz sentido quando as regras e o ponto de contacto já existem.

Novos colaboradores e repetição

Dois momentos são especialmente importantes.

O primeiro dia de trabalho. Um novo colaborador recebe contas, um portátil e acesso a sistemas. É precisamente nessas primeiras semanas que ainda não sabe como as coisas normalmente funcionam, e por isso também não reconhece o que é invulgar. Um burlão que se faça passar pelo "departamento de informática" ou pelo "diretor" tem então mais hipóteses de sucesso. Reserve, no início, meia hora para rever a folha A4 com as regras, o ponto de contacto, o gestor de palavras-passe e a ativação da autenticação de dois fatores. Inclua isso na mesma lista do restante processo de admissão (lição 7.1).

Repetição breve. A sensibilização dilui-se com o tempo. Uma formação longa por ano funciona pior do que cinco minutos todos os meses. Ideias para uma repetição breve:

• discutir um e-mail suspeito deste mês;
• destacar uma regra da folha A4 e perguntar se ainda está a funcionar;
• um novo tipo de fraude que tenha saído nas notícias (por exemplo, um novo pretexto via sms ou WhatsApp, lição 3.4);
• a pergunta "alguém denunciou alguma coisa este mês?" e agradecer a quem o fez.

Na prática: um exemplo

Um exemplo, composto a partir de situações frequentes. Um gabinete de arquitetura com nove pessoas tinha um documento de política de catorze páginas que era assinado na admissão e nunca mais era consultado depois disso. Após uma tentativa de fraude de faturas quase bem-sucedida, mudaram três coisas: uma folha A4 com seis regras junto à impressora, um nome fixo e um número de telefone para denunciar, e cinco minutos de "correio suspeito" na reunião de equipa todas as primeiras segundas-feiras do mês. No primeiro semestre, receberam mais denúncias do que nos cinco anos anteriores. Duas delas eram ataques reais, detetados tão cedo que não causaram qualquer dano. O resto eram falsos alarmes, e em todos os casos houve um simples agradecimento.

Resumo

• A sensibilização trata de comportamento: parar, verificar por outra via e denunciar.
• Denunciar sem culpa garante denúncias rápidas; punir apenas reduz as denúncias, não os erros.
• Registe as regras numa única folha A4 e torne o comportamento seguro o comportamento mais fácil.
• Pratique com exemplos reais e um exercício de simulação; faça um exercício de phishing apenas de forma anunciada, sem punição e com atenção à privacidade.
• Dê atenção extra aos novos colaboradores e repita de forma breve e frequente.

Questionário

Exercício

Exercício D9.2: Um plano de sensibilização para a sua equipa. Crie para a sua própria empresa uma folha A4 com no máximo oito regras, designe um ponto de contacto e um substituto, e planeie para o próximo ano quando fará repetições breves e que exercício irá realizar. Depois responda às perguntas de reflexão.

Para saber mais

Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores o funcionamento é semelhante.

• Este email é mesmo da WebOké? Como reconhecer phishing e utilizar o código de promoção
• O centro nacional de cibersegurança neerlandês sobre phishing: https://www.ncsc.nl/phishing
• O centro nacional de cibersegurança neerlandês, verificação de segurança para trabalhadores independentes e PME: https://tools.ncsc.nl/cyberveilig-check/
• A polícia (denúncia de fraude e phishing): https://www.fraudehelpdesk.nl