Imagine a cena: A empresa acabou de concluir sua campanha anual de conscientização em cibersegurança, os colaboradores receberam orientações sobre proteção de dados, senhas, autenticação multifator, phishing, engenharia social e comportamento seguro.
A mensagem foi clara: “Segurança é responsabilidade de todos.” algumas horas depois, um líder pede: “Consegue liberar uma exceção para mim? Preciso resolver isso agora”, em outro departamento: “Me manda pelo WhatsApp mesmo. É mais rápido”, em outro: “Depois regularizamos o acesso. Agora precisamos entregar.”
Parece pequeno,mas não é.
Porque, naquele momento, a organização acabou de realizar um treinamento de Cultura de Cibersegurança muito mais poderoso do que qualquer curso disponível na plataforma corporativa. Só que ensinou exatamente o contrário daquilo que pretendia. Toda liderança educa, pelo exemplo ou pela incoerência.
E talvez ainda estejamos subestimando o impacto que o comportamento das lideranças exerce sobre o Human Risk dentro das organizações.
As pessoas observam o que fazemos, não apenas o que dizemos
Podemos criar excelentes políticas, campanhas criativas, treinamentos obrigatórios, simulações de phishing, códigos de conduta e programas completos de Security Awareness, tudo isso tem valor. Mas existe uma mensagem organizacional que costuma ser ainda mais poderosa: o comportamento de quem lidera.
Quando um executivo respeita um processo de segurança mesmo diante da pressão, ele ensina, quando questiona uma solicitação suspeita, ele ensina, quando utiliza corretamente os mecanismos de proteção, ele ensina, quando reporta o próprio erro sem tentar escondê-lo, ele ensina. Mas o contrário também é verdadeiro.
Quando uma liderança pede exceções constantemente, compartilha credenciais, ignora controles ou trata Segurança da Informação como burocracia, também está ensinand e as equipes aprendem rapidamente uma das regras mais importantes de qualquer cultura: aquilo que realmente é valorizado por aqui.
É por isso que Cultura de Cibersegurança não é construída apenas pelo que uma organização comunica, ela é construída principalmente pelo que uma organização tolera, reconhece, recompensa e prática.
A cultura aparece quando a regra encontra a pressão
É relativamente fácil seguir um procedimento quando tudo está tranquilo, o verdadeiro teste acontece quando existe uma meta para cumprir. Um cliente esperando, um prazo terminando, uma venda importante, um executivo pressionando, um incidente acontecendo.
É nesses momentos que descobrimos quais são as prioridades reais de uma organização, imagine um gestor dizendo à equipe: “Segurança é nossa prioridade”, mas, diante de um processo de validação que levará alguns minutos: “Não dá tempo. Faz agora e depois regularizamos.”
Qual das duas mensagens será lembrada? Provavelmente a segunda.
Porque cultura não é aquilo que está escrito na parede, cultura é aquilo que fazemos quando a pressão chega, e isso tem impacto direto sobre o Risco Humano.
Liderança também é um controle de segurança
Estamos acostumados a pensar em controles de segurança como tecnologias, processos, políticas e mecanismos de governança, talvez precisemos ampliar essa definição. O comportamento da liderança também funciona como um controle de segurança, um líder pode aumentar ou reduzir risco pode normalizar atalhos ou reforçar processos.
Pode estimular questionamentos ou criar medo, pode facilitar reportes ou produzir silêncio, pode transformar segurança em responsabilidade compartilhada ou reforçar a ideia de que aquele é “um problema do time de Segurança”, por isso, quando falamos de Human Risk Management, não deveríamos observar apenas o comportamento dos colaboradores.
Precisamos observar também o comportamento de quem influencia esses colaboradores, porque liderança é influência.
E influência produz comportamento.
“Mas foi o diretor quem pediu”
No artigo anterior desta série, falei sobre como a engenharia social explora mecanismos profundamente humanos, entre eles a autoridade, esse é um ponto especialmente importante dentro das organizações.
Imagine receber uma mensagem aparentemente enviada pelo presidente ou por um diretor: “Preciso que você faça essa transferência agora”,“Envie esse documento para mim”,“Não envolva mais ninguém porque este assunto é confidencial.”
A pessoa conhece as regras, fez o treinamento, talvez até perceba alguma coisa estranha. Mas existe uma segunda pergunta acontecendo internamente: “Eu tenho autorização para questionar essa pessoa?” É aqui que tecnologia, comportamento e cultura organizacional se encontram.
Não basta ensinar: “Confirme solicitações suspeitas.” É preciso construir uma cultura em que alguém realmente possa dizer: “Antes de continuar, preciso validar sua identidade.” Inclusive para o CEO, talvez principalmente para o CEO.
Segurança psicológica também é cibersegurança
Existe uma frase que deveria preocupar qualquer CISO: “Eu percebi que estava estranho, mas fiquei com medo de falar.” ou: “Eu cliquei, mas fiquei com vergonha de reportar.”
Cada minuto entre um erro e seu reporte pode fazer diferença na resposta a um incidente, quando uma organização constrói uma cultura baseada exclusivamente em punição, pode conseguir uma aparente conformidade.
Mas também pode produzir silêncio, e incidentes silenciosos continuam sendo incidentes, apenas demoram mais para chegar até quem pode contê-los. Por isso, segurança psicológica não é um tema distante da cibersegurança, ela influencia diretamente nossa capacidade de detectar, reportar e responder ao risco.
Uma cultura madura precisa permitir que as pessoas digam: “Tenho uma dúvida”,“Isso me parece estranho”,“Eu errei”, “Preciso de ajuda, sem que o primeiro reflexo organizacional seja procurar um culpado.
Uma organização resiliente não é aquela em que ninguém erra. É aquela em que o erro encontra rapidamente um ambiente preparado para responder.
O Human Risk não pertence apenas ao colaborador
Existe um equívoco que precisamos evitar à medida que as organizações avançam de Security Awareness para Human Risk Management, transformar “risco humano” em um novo nome para “erro do usuário”, human risk é muito maior.
Uma decisão de liderança pode criar risco humano, uma meta mal desenhada pode criar risco humano.
Um processo excessivamente complexo pode criar risco humano, uma cultura que recompensa velocidade a qualquer custo pode criar risco humano.
Uma hierarquia que não permite questionamentos pode criar risco humano, uma organização que pune quem reporta erros pode criar risco humano, o comportamento não acontece no vazio.
Pessoas respondem ao sistema no qual estão inseridas, se queremos transformar comportamento, precisamos olhar também para o ambiente que o produz.
Antes do líder corporativo, existiram outros adultos de referência
E existe uma dimensão ainda maior nessa conversa, no artigo anterior desta série, defendi uma ideia que considero fundamental: o Human Risk não começa na empresa. Ele começa na formação do comportamento humano.
Muito antes de alguém ter um gestor, essa pessoa teve outros adultos de referência, pais, mães, responsáveis, educadores, professores, familiares, pessoas que, consciente ou inconscientemente, ensinaram comportamentos.
Uma criança observa como os adultos utilizam tecnologia, observa se compartilham tudo nas redes sociais, observa como tratam privacidade, observa se verificam informações antes de compartilhá-las.
Observa como reagem quando alguém comete um erro, observa se existe diálogo ou punição, observa se pedir ajuda é permitido.
É aqui que Cultura de Cibersegurança e Proteção Familiar Digital começam a se encontrar novamente, porque comportamento protetivo também é aprendido pelo exemplo.
Não adianta dizer “largue o celular” olhando para o próprio celular
Talvez essa seja uma das imagens mais simples dessa discussão, uUm adulto diz para uma criança: “Você precisa usar menos o celular”, enquanto continua olhando para a própria tela a criança recebe duas mensagens: Uma verbal e outra comportamental.
Qual delas será mais poderosa? Nas empresas acontece exatamente a mesma coisa,“Não compartilhe credenciais.” Mas o gestor compartilha: “Não procure atalhos.” Mas o executivo pede exceção. “Reporte situações suspeitas.” Mas quem reporta recebe uma bronca“Segurança é responsabilidade de todos.” Mas todas as decisões são delegadas ao CISO. Cultura nasce justamente na distância ou na proximidade entre discurso e comportamento.
O exemplo também constrói comportamento protetivo
A boa notícia é que essa influência pode trabalhar a nosso favor, imagine uma liderança que, diante de uma mensagem suspeita, compartilha com a equipe: “Recebi isso hoje. Parecia verdadeiro, mas preferi verificar. Um executivo que diz: “Não vamos pular essa etapa. Ela existe para nos proteger.”
Um gestor que reconhece publicamente alguém que identificou uma tentativa de fraude. Uma liderança que, ao cometer um erro, diz: “Eu também posso errar. Reportei imediatamente e aprendemos com isso.” Essas pequenas atitudes produzem algo muito poderoso.
Elas tornam o comportamento seguro socialmente aceitável, reconhecido e replicável. É assim que começamos a sair da conscientização e entrar verdadeiramente na cultura.
Segurança não pode ser responsabilidade apenas do CISO
O CISO pode liderar a estratégia, a área de Segurança pode construir controles, identificar ameaças, desenvolver programas de conscientização e apoiar o negócio. Mas nenhuma área de Segurança consegue, sozinha, construir Cultura de Cibersegurança, porque cultura acontece onde as decisões são tomadas.
No financeiro, no RH, na operação, no jurídico, nas lojas, na tecnologia, no conselho, na alta liderança. Em cada reunião em que alguém precisa escolher entre um atalho e um processo seguro. Por isso, talvez uma das evoluções mais importantes do Human Risk Management seja transformar líderes em agentes ativos de cultura de segurança. Não apenas patrocinadores de campanhas, exemplos vivos do comportamento que esperamos construir.
Toda liderança educa
Existe uma ideia que atravessa tanto o ambiente corporativo quanto a Proteção Familiar Digital: quem ocupa uma posição de referência influencia comportamentos, mesmo quando não percebe que está ensinando.
Pais educam, educadores educam, gestores educam, executivos educam, líderes educam. Não apenas pelo que dizem, mas principalmente pelo que fazem repetidamente. É por isso que Cultura de Cibersegurança não pode ser construída apenas com informação.
Ela precisa de coerência, se queremos organizações em que as pessoas questionem situações suspeitas, precisamos de líderes que aceitem ser questionados., se queremos pessoas que reportem erros rapidamente, precisamos de líderes que não transformem todo erro em culpa. Se queremos que segurança seja prioridade, precisamos demonstrar essa prioridade justamente quando respeitá-la custa tempo, dinheiro ou conveniência. Porque é nesse momento que a cultura deixa de ser discurso e vira comportamento, toda liderança educa. A única escolha que temos é decidir o que estamos ensinando pelo nosso exemplo.
Assine a nossa News e siga o Itshow nas redes sociais para ficar por dentro de todas as notícias do setor de TI e Cibersegurança!