Há mais de 25 anos trabalhando em segurança, passei por praticamente todas as gerações de ataques cibernéticos. Vi a evolução do vírus de computador começando com a transmissão via disquete até o ransomware, do ataque em massa para o spear-phishing dirigido usando IA, da exploração de vulnerabilidades técnicas para a exploração de vulnerabilidades humanas. E, em toda essa jornada, uma verdade se tornou cada vez mais evidente: o maior gap entre o que sabemos sobre segurança e o que realmente funciona está na psicologia humana.
Treinamos pessoas sobre phishing há duas décadas. Sabemos que 90% dos breaches começam com um clique em um link suspeito. Temos simulados, campanhas, vídeos, testes, métricas. E, mesmo assim, as pessoas continuam clicando. Não porque não sabem que é perigoso. Sabem. Clicam porque estão cansadas, sob pressão, confiando em quem enviou o e-mail, ou simplesmente porque o cérebro humano não foi desenhado para processar 200 e-mails por dia com atenção plena.
Conhecimento não é comportamento
Esse é o ponto que a cibersegurança ainda não aprendeu completamente: conhecimento não é comportamento. Saber que phishing é perigoso não significa que você não vai clicar. Entender que senhas fracas são vulneráveis não significa que você vai criar uma senha com 16 caracteres aleatórios cheia de caracteres especiais. Compreender que compartilhar credenciais é arriscado não significa que você não vai fazer isso quando seu colega pedir um favor rápido.
A razão é simples, mas profunda. O comportamento humano não é racional. Ele é governado por uma combinação complexa de fatores psicológicos, cognitivos, emocionais e contextuais que a maioria dos profissionais de segurança não estuda, não compreende e, portanto, não consegue influenciar de forma efetiva.
Quando você treina alguém sobre segurança, você está apelando para a razão. Você está dizendo: “Isso é perigoso, portanto não faça.” Mas o cérebro humano não funciona assim. O cérebro humano funciona através de atalhos mentais, de hábitos, de emoções, de pressões sociais e de percepção de risco. E esses fatores frequentemente vencem a razão.
Fadiga decisória e confiança excessiva ampliam os riscos
Considere a fadiga decisória. Você sabe o que é? É o fenômeno psicológico onde, depois de tomar muitas decisões, sua capacidade de tomar boas decisões diminui. Um colaborador que recebeu treinamento sobre segurança pela manhã pode estar tão cansado à noite que clica em um link suspeito sem pensar. Não é porque esqueceu o treinamento. É porque seu cérebro está exaurido e buscando atalhos para economizar energia.
Ou considere a confiança excessiva. Você já notou que as pessoas que mais clicam em phishing são frequentemente aquelas que acreditam que não vão clicar? Elas têm tanta confiança em sua capacidade de identificar ataques que baixam a guarda. Isso é um viés cognitivo bem documentado em psicologia, chamado de ilusão de invulnerabilidade. E nenhum treinamento de segurança vai eliminar isso, porque é parte da forma como o cérebro humano funciona.
Pressão social e autoridade influenciam decisões de segurança
Ou ainda a pressão social. Se seu chefe pede para você fazer algo que viola uma política de segurança, qual é a chance de você recusar? Pesquisas em psicologia mostram que a maioria das pessoas obedece à autoridade, mesmo quando sabe que está errado. Milgram provou isso em seus experimentos clássicos há 60 anos. E a dinâmica não mudou. Se a liderança relativiza segurança, as pessoas vão relativizar também, independentemente de quantos treinamentos receberam.
Há também a questão da conveniência versus segurança. Quando você precisa fazer algo rápido, qual é a chance de você seguir o processo seguro que leva 10 minutos, ou de você tomar um atalho que leva 30 segundos? A maioria das pessoas escolhe o atalho. Não porque não entende o risco. Escolhe porque a pressão imediata de fazer algo rápido vence a preocupação abstrata com risco futuro. Isso é um viés temporal bem conhecido em economia comportamental, chamado de desconto temporal. Nós valorizamos mais o presente do que o futuro.
Por que os treinamentos tradicionais não são suficientes
A cibersegurança ainda não aprendeu a lidar com esses fatores psicológicos de forma sistemática. Continuamos tratando comportamento como se fosse uma questão de conhecimento. Continuamos acreditando que se apenas treinarmos as pessoas o suficiente, elas vão fazer a coisa certa. Mas a psicologia humana não funciona assim.
O que a segurança precisa aprender é que comportamento é determinado por uma combinação de fatores: conhecimento, sim, mas também contexto, incentivos, hábitos, emoções, pressão social, percepção de risco, fadiga, confiança, conveniência e muito mais. E para realmente mudar comportamento, você precisa trabalhar em todos esses fatores simultaneamente.
A escolha segura também precisa ser a escolha mais fácil
Isso significa que você não pode apenas treinar. Você precisa desenhar ambientes onde a escolha segura é a escolha fácil. Você precisa criar hábitos através da repetição e do reforço. Você precisa usar gatilhos psicológicos para ativar comportamentos desejados no momento certo. Você precisa entender e trabalhar com os vieses cognitivos em vez de ignorá-los. Você precisa criar senso de comunidade e pertencimento em torno da segurança, porque as pessoas são influenciadas por seus pares.
Reforço positivo pode gerar mudanças sustentáveis
Há também a questão do reforço positivo versus negativo. A maioria dos programas de segurança usa reforço negativo, punição. Se você clicar em phishing, você será identificado, constrangido, talvez até punido. Mas a psicologia comportamental mostra que reforço positivo é muito mais efetivo para mudar comportamento de longo prazo. Então, em vez de punir quem clica, começamos a recompensar quem não clica. Resultado: maior engajamento, maior adesão, maior mudança comportamental sustentável.
A verdade é que a cibersegurança está apenas começando a aprender o que a psicologia já sabe há décadas. E há um enorme potencial de melhoria quando você começa a aplicar esses princípios de forma sistemática.
Isso não significa que treinamento não importa. Importa. Conhecimento é uma base necessária. Mas não é suficiente. Você precisa de muito mais. Você precisa de design ambiental que facilite comportamentos seguros. Você precisa de hábitos reforçados através da repetição. Você precisa de gatilhos psicológicos no momento certo. Você precisa de comunidade e pertencimento. Você precisa de liderança que demonstra comportamento seguro. Você precisa de incentivos alinhados com segurança. Você precisa de compreensão profunda dos vieses cognitivos que afetam suas pessoas.
A mudança de comportamento começa pelo ambiente
Quando você começa a trabalhar com esses fatores, a mudança é dramática. Não é mais uma questão de “as pessoas não sabem”. É uma questão de “as pessoas sabem, mas o ambiente não está desenhado para facilitar o comportamento seguro”. E quando você muda o ambiente, o comportamento muda.
O papel dos CISOs e líderes de segurança
Para CISOs e líderes de segurança, a mensagem é clara: parem de pensar em segurança apenas como um problema técnico ou de conhecimento. Comecem a pensar em segurança como um problema de psicologia comportamental. Estudem como as pessoas realmente tomam decisões. Entendam os vieses cognitivos que as afetam. Desenhem ambientes que facilitam comportamentos seguros. Criem comunidades em torno de segurança. Usem reforço positivo em vez de negativo. Integrem segurança aos hábitos diários em vez de tratá-la como uma atividade separada.
Porque, no fim do dia, a segurança não é sobre o que as pessoas sabem. É sobre o que as pessoas fazem. E o que as pessoas fazem é determinado muito mais pela psicologia do que pela tecnologia.
A pergunta que você precisa fazer a si mesmo é simples: você está realmente entendendo a psicologia das pessoas que está tentando proteger? Ou está apenas esperando que treinamento seja suficiente?
Porque, se é a segunda opção, você já sabe qual é a resposta. E os números de breach vão continuar dizendo a mesma história.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!