Quase todas as empresas médias e grandes já sofreram um ataque cibernético. As que afirmam não terem sofrido provavelmente não descobriram. Somente em 2020, os ataques custaram 5,5 trilhões de dólares mundialmente – mais que a soma das riquezas (PIB) produzidas anualmente no Brasil, segundo a Agência Europeia para a Segurança das Redes e da Informação.
Depois de incontáveis ataques, prejuízos bilionários e reputações manchadas, poucas empresas subestimam os ciberataques. Os ciberataques foram apontados como a maior ameaça para 64% das empresas brasileiras que participaram do 11º Allianz Risk Barometer. A conscientização levou grandes organizações a investir grande soma de dinheiro na montagem de uma infraestrutura contra a invasão de sistemas por hackers. Importante – mas não suficiente. Boa parte das organizações têm ignorado o que pode ser o ponto mais crítico num ataque cibernético: as pessoas.
Sim. Engana-se quem acredita que estará protegido apenas ao contratar a melhor tecnologia de prevenção a ataques. Não é exagero afirmar que a maior vulnerabilidade numa empresa está no comportamento dos colaboradores. Nove em dez ataques exploram erros humanos.
As pessoas são o maior canal de entrada de invasores. Isso pode ocorrer de diversas formas: desde abrir um e-mail mal-intencionado, baixando um arquivo malicioso, até repassando informações sensíveis de uma empresa a uma falsa pesquisa. Os hackers são criativos e, para burlar os complexos sistemas de cibersegurança de uma empresa basta um gesto de desatenção de um colaborador.
Para sanar essa vulnerabilidade, inúmeras empresas acreditam que basta esporádicas palestras ou mensagens por e-mail alertando para o problema com algumas dicas de segurança. É pouco.
As organizações devem trabalhar a cibersegurança com seus colaboradores da mesma forma que trabalham com questões relativas à diversidade. Como? Com frequência e intensidade. Ou seja, da mesma forma que não basta um e-mail aqui e uma palestra ali para mudar a cultura de uma organização sobre a importância da equidade de gêneros, a ideia de cibersegurança, para ser internalizada por cada colaborador, deve ser passada por meio de campanhas perenes.
As campanhas devem ser práticas. Apresentar casos de outras empresas para ser usado como alerta não funciona. O pensamento mais comum ante uma abordagem como essa é o desdém: “Isso não aconteceria aqui”. Por isso, deve-se criar campanhas que abordem a realidade de cada companhia. Isso inclui: simulações que sejam factíveis com o dia a dia dos colaboradores, palestras, testes, games, cases de sucesso e fracasso e reconhecimento de boas práticas.
A escolha de cada ação deve levar em conta o comportamento dos colaboradores associado à cultura da organização. Por exemplo: em alguns ambientes, um exercício mais lúdico pode não criar o engajamento necessário numa determinada empresa, que terá mais sucesso com uma ação mais “assertiva”. Em outra empresa, o efeito pode ser o oposto.
O trabalho deve ser feito em cinco etapas: (1) identificar as janelas de risco de cada grupo para projetar planos e roteiros digitais de transformação; (2) aumentar a conscientização entre todos na organização da importância da cibersegurança; (3) promover comportamentos ciberseguros sustentáveis que protejam as pessoas tanto no trabalho quanto no ambiente pessoal; (4) realizar ações incrementais para mudar os comportamentos das pessoas; e (5) medir os comportamentos das pessoas para entender seu nível de desenvolvimento por meio de indicadores.
Diversas áreas devem estar envolvidas, como o marketing e recursos humanos, além da área de TI, claro. As empresas devem olhar para seus colaboradores como a primeira – e principal – linha de defesa contra os ataques. Caso contrário, ao invés de uma fortaleza, eles serão uma vulnerabilidade
