Todo planejamento de segurança começa, de alguma forma, pela tentativa de entender onde estão os riscos mais relevantes para a organização e quais capacidades precisam ser desenvolvidas ou fortalecidas para enfrentá-los. É por isso que, quando olhamos para os planos de Cybersecurity das empresas, encontramos iniciativas relacionadas à proteção de endpoints, identidades, dados, aplicações, infraestrutura, cloud, vulnerabilidades e terceiros. São temas que naturalmente recebem orçamento, tecnologias, processos, indicadores e pessoas responsáveis por sua evolução. Quando o assunto são os usuários, entretanto, ainda é bastante comum encontrarmos uma abordagem diferente. O risco relacionado às pessoas é reconhecido, frequentemente aparece entre as preocupações dos CISOs, mas sua resposta continua concentrada principalmente em programas de conscientização, treinamentos obrigatórios e simulações de phishing.
Não existe nada de errado com essas iniciativas. Pelo contrário, treinamento, comunicação e simulações são componentes importantes de qualquer estratégia de segurança. O problema aparece quando essas ações passam a representar praticamente toda a estratégia da empresa para lidar com o risco humano. Se reconhecemos que credenciais podem ser comprometidas por engenharia social, que informações podem ser compartilhadas de forma inadequada, que usuários podem adotar aplicações não autorizadas, que privilégios podem ser utilizados de maneira insegura e que decisões tomadas por pessoas podem contribuir para incidentes relevantes, então parece pouco coerente tratar todo esse universo de risco apenas por meio de um calendário de conscientização.
Essa discussão é particularmente importante porque o conceito de Human Risk Management, ou HRM, começa a ganhar espaço justamente ao propor uma mudança nessa abordagem. Não se trata simplesmente de substituir o nome Security Awareness por uma nova sigla, nem de abandonar aquilo que já fazemos. A mudança está em incorporar ao componente humano uma lógica de gestão de risco semelhante àquela que a segurança já aplica em outras áreas.
Security Awareness continua importante, mas não resolve tudo
Durante muitos anos, o principal objetivo dos programas de conscientização foi aumentar o conhecimento das pessoas sobre segurança. Criamos treinamentos para explicar ameaças, campanhas para reforçar boas práticas, comunicações sobre riscos específicos e simulações de phishing para avaliar como os usuários reagiriam diante de determinados ataques. Esses programas evoluíram bastante. Hoje temos conteúdos mais curtos, treinamentos segmentados, gamificação, simulações mais realistas e diferentes formas de medir participação e desempenho.
Ainda assim, a maior parte das métricas continua concentrada na própria atividade de conscientização. Medimos quantas pessoas concluíram um treinamento, quantas responderam corretamente a um questionário, quantas clicaram em uma simulação, quantas forneceram credenciais ou quantas reportaram uma mensagem suspeita. São informações úteis para avaliar o programa, mas não necessariamente suficientes para compreender o risco humano existente na organização.
Uma pessoa pode concluir todos os treinamentos obrigatórios e continuar utilizando ferramentas não autorizadas para compartilhar informações corporativas. Outra pode nunca ter clicado em uma simulação de phishing, mas possuir privilégios elevados e adotar comportamentos inseguros no tratamento de dados. Um executivo pode apresentar excelente desempenho nas campanhas de conscientização e, ao mesmo tempo, estar muito mais exposto a ataques direcionados por causa de sua função, de sua presença pública e dos acessos que possui. Por outro lado, alguém que clicou uma única vez em uma simulação pode representar um risco relativamente baixo quando analisamos todo o seu contexto.
É nesse ponto que precisamos separar duas coisas que durante muito tempo foram tratadas quase como sinônimos: medir o desempenho de um programa de conscientização e medir risco humano. A primeira continua necessária, mas a segunda exige uma quantidade maior de informações e, principalmente, contexto.
Human Risk Management: Já fazemos isso em outras áreas da segurança
Quando analisamos vulnerabilidades, não consideramos apenas a existência de uma falha. Levamos em conta sua severidade, a criticidade do ativo, a exposição daquele sistema, a possibilidade de exploração e os controles existentes. Uma vulnerabilidade crítica em um servidor isolado pode receber uma prioridade diferente de uma vulnerabilidade de menor severidade em um sistema diretamente exposto à internet e essencial para a operação da empresa.
O mesmo acontece com identidades. Contas administrativas recebem controles diferentes de contas comuns porque o impacto potencial de seu comprometimento é maior. Aplicamos autenticação multifator, gestão de privilégios, políticas de acesso condicional e monitoramento adicional de acordo com o contexto. Com dados, utilizamos classificações diferentes para definir controles de proteção. Em aplicações, diferenciamos sistemas críticos de sistemas de menor impacto. Em praticamente todas essas áreas, a segurança aprendeu a combinar sinais técnicos com contexto para definir prioridades.
Quando chegamos ao usuário, entretanto, ainda temos uma tendência a simplificar. Duas pessoas clicaram na mesma campanha de phishing e, portanto, aparecem com o mesmo resultado no relatório. Mas uma delas pode trabalhar em uma área administrativa com poucos acessos, enquanto a outra pode atuar no financeiro, ter capacidade de autorizar pagamentos, acessar informações sensíveis e receber diariamente mensagens de fornecedores externos. O evento observado foi o mesmo, mas dificilmente o risco associado às duas situações é igual.
HRM começa a fazer sentido justamente quando incorporamos esse contexto. O histórico de comportamento continua sendo importante, assim como os resultados das simulações e treinamentos, mas outras informações passam a contribuir para a análise. Função, privilégios, exposição, criticidade dos acessos, reincidência e sinais provenientes de outras ferramentas de segurança podem ajudar a construir uma visão mais completa.
O risco humano precisa fazer parte do planejamento
Se uma organização considera ransomware um risco relevante, normalmente existe uma combinação de tecnologias, processos, métricas, testes e planos de resposta associados a esse cenário. Se vazamento de informações é uma preocupação importante, provavelmente existem iniciativas de classificação de dados, DLP, controle de acesso, monitoramento e resposta. Se comprometimento de identidades aparece entre os principais riscos, encontramos projetos relacionados a MFA, IAM, PAM e acesso condicional.
Vale então fazer o mesmo exercício para o risco humano. Se pessoas são consideradas um componente relevante dos cenários de ataque que preocupam a organização, quais capacidades estão sendo desenvolvidas especificamente para identificar, medir, priorizar e reduzir esse risco?
Não considero suficiente responder a essa pergunta apenas apresentando o calendário anual de treinamentos. O planejamento deveria começar pela identificação dos comportamentos e situações que realmente aumentam a exposição da organização. Uma empresa do setor financeiro pode possuir preocupações diferentes de uma indústria. Uma organização com milhares de desenvolvedores pode precisar observar comportamentos diferentes daqueles relevantes para uma empresa cuja operação depende principalmente de equipes comerciais. O perfil de risco humano não deveria ser genérico porque o contexto de cada organização também não é.
Isso também significa que HRM precisa participar de discussões mais amplas de segurança. O tema não deveria ficar restrito à equipe responsável por conscientização. Identidade, proteção de dados, SOC, segurança de cloud, endpoint e gestão de riscos possuem informações que podem contribuir para entender o componente humano. Ao aproximar essas áreas, começamos a enxergar comportamentos que antes apareciam apenas como eventos isolados em ferramentas diferentes.
Grande parte dos sinais já está disponível
Um aspecto interessante dessa evolução é que muitas organizações já possuem uma quantidade significativa de informações relacionadas ao comportamento dos usuários. O IAM conhece identidades, privilégios e determinados padrões de autenticação. O DLP identifica eventos relacionados ao tratamento de informações sensíveis. O CASB pode mostrar a utilização de aplicações cloud não autorizadas. Ferramentas de endpoint registram diferentes tipos de interação com dispositivos. As plataformas de segurança de e-mail identificam ameaças recebidas e mensagens reportadas pelos usuários. As soluções de conscientização conhecem resultados de treinamentos, campanhas e simulações.
Com a adoção acelerada de inteligência artificial, novos sinais começam a aparecer. O uso de aplicações de IA não aprovadas, o envio de informações corporativas para serviços externos e a utilização de agentes com acesso a sistemas internos ampliam ainda mais a quantidade de interações que podem ter impacto sobre o risco da organização.
Essas informações normalmente existem de maneira fragmentada. Cada solução enxerga uma pequena parte do comportamento e utiliza esse dado para cumprir sua função específica. Uma evolução natural do HRM é começar a correlacionar esses sinais, permitindo que a empresa tenha uma visão mais contextualizada sobre comportamentos relacionados à segurança.
Isso não significa que todo evento precise alimentar uma pontuação individual, muito menos que o objetivo seja monitorar todas as atividades de uma pessoa. O valor está em selecionar sinais relevantes para cenários de risco definidos pela organização e utilizá-los de forma proporcional. Um evento isolado de DLP, por exemplo, pode não significar praticamente nada. A recorrência daquele comportamento, associada a determinado nível de privilégio, função e exposição, pode merecer uma análise diferente.
Tratar pessoas diferentes de formas diferentes
Uma consequência importante dessa abordagem é rever a ideia de que todos os usuários precisam necessariamente receber as mesmas ações de conscientização. O modelo uniforme facilitou muito a operação dos programas tradicionais, mas não acompanha a lógica baseada em risco utilizada no restante da segurança.
Uma pessoa que apresenta baixo nível de exposição e histórico consistente de comportamentos adequados talvez não precise receber a mesma quantidade de intervenções que alguém exposto a ataques frequentes e com comportamentos recorrentes de risco. Da mesma forma, áreas financeiras, administradores de sistemas, desenvolvedores, executivos e equipes comerciais possuem contextos bastante diferentes e deveriam receber ações compatíveis com eles.
Isso permite utilizar treinamento de maneira mais inteligente. Em vez de ser apenas uma obrigação aplicada periodicamente a toda a organização, ele passa a ser também uma resposta possível a comportamentos específicos. Dependendo do risco identificado, a resposta pode ser um microtreinamento, uma comunicação, uma simulação direcionada, uma orientação contextual ou até mesmo a revisão de algum controle técnico.
Esse modelo também melhora a experiência do próprio usuário. Um dos problemas históricos dos programas de conscientização é o excesso de conteúdo genérico. Quando conseguimos direcionar melhor as intervenções, reduzimos ações desnecessárias e aumentamos a possibilidade de entregar uma orientação relacionada ao contexto real daquela pessoa.
HRM precisa ter limites claros
Quanto mais falamos sobre observação de comportamento, integração de sinais e contextualização, mais importante se torna discutir governança. Gestão de risco humano não pode ser utilizada como justificativa para criar mecanismos de vigilância sobre funcionários. A finalidade precisa estar claramente relacionada à segurança e os dados utilizados devem ser proporcionais ao risco que se pretende tratar.
Isso envolve definir quais sinais realmente são necessários, quem pode acessá-los, por quanto tempo serão mantidos e como serão utilizados. Também é importante separar indicadores de risco de segurança de avaliações de produtividade ou desempenho profissional. Misturar essas finalidades não apenas cria questões de privacidade e confiança, como pode comprometer a própria legitimidade de um programa de HRM.
Esse cuidado precisa fazer parte da arquitetura desde o início. Se queremos que gestão de risco humano se torne uma disciplina madura dentro da segurança, ela precisa incorporar os mesmos princípios de governança, minimização de dados, transparência e controle de acesso que esperamos de qualquer outra iniciativa que trate informações sensíveis.
Uma mudança necessária no planejamento de segurança
Não acredito que Security Awareness esteja deixando de ser importante. A conscientização continua sendo uma das principais ferramentas disponíveis para desenvolver comportamentos mais seguros, preparar pessoas para reconhecer ameaças e fortalecer uma cultura de segurança. O que está mudando é a expectativa sobre o que conseguimos fazer com as informações produzidas por esses programas e por outras tecnologias já presentes no ambiente.
O planejamento de segurança pode continuar incluindo campanhas, treinamentos e simulações de phishing, mas deveria começar a incorporar também perguntas relacionadas à identificação e ao tratamento do risco humano. Quais comportamentos realmente contribuem para nossos principais cenários de risco? Quais grupos estão mais expostos? Que sinais temos disponíveis para identificar mudanças nesses comportamentos? Como priorizamos intervenções? Como sabemos se uma ação efetivamente reduziu risco? Como conectamos essas informações com outras áreas da segurança?
Essas perguntas aproximam HRM da forma como Cybersecurity já administra vulnerabilidades, identidades, endpoints, aplicações e dados. O programa deixa de ser orientado somente pelo calendário de conscientização e passa a ser influenciado também pelo risco observado no ambiente.
Talvez esse seja o ponto mais importante para os próximos ciclos de planejamento. Durante muito tempo, a segurança investiu em tecnologias capazes de enxergar melhor máquinas, redes, aplicações, dados e identidades, enquanto a compreensão do componente humano permaneceu concentrada em poucos indicadores produzidos pelos programas de conscientização. Agora temos condições de evoluir esse modelo, conectando comportamento, exposição e contexto para decidir onde e como atuar.
Para empresas que já reconhecem as pessoas como parte relevante de sua superfície de risco, incorporar Human Risk Management ao planejamento de Cybersecurity não deveria ser apenas uma discussão sobre uma nova categoria de tecnologia. Deveria ser uma discussão sobre maturidade. Assim como aprendemos que não basta conhecer nossas vulnerabilidades sem priorizá-las e tratá-las, também precisamos reconhecer que conscientizar pessoas é apenas uma parte do trabalho necessário para compreender e reduzir o risco humano dentro das organizações.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!