Gestão de risco de segurança deve priorizar a dimensão humana

Indústria de segurança da informação precisa priorizar o fator humano em suas estratégias de defesa.

Nas últimas décadas, a indústria de segurança da informação tem investido massivamente em tecnologias de proteção, como firewalls avançados e sistemas de criptografia. Apesar desses esforços, a frequência e a severidade dos incidentes cibernéticos continuam a aumentar.

Um dos principais fatores para essa discrepância é a negligência do fator humano, que muitas vezes é visto como a parte mais vulnerável da segurança. Em vez de ser tratado como um ponto fraco, o comportamento humano deveria ser o foco central das estratégias de defesa das organizações.

Recentemente, contribuições técnicas foram enviadas ao NIST (National Institute of Standards and Technology), que é responsável por estabelecer referências globais em cibersegurança. As recomendações foram direcionadas ao conceito de Cibersegurança Centrada no Humano (HCC), que busca integrar aspectos comportamentais e culturais à segurança digital.

É fundamental que essa abordagem não fique apenas na teoria. A prática deve incluir a identificação e a mensuração dos riscos humanos dentro das empresas, promovendo uma discussão mais ampla entre líderes de tecnologia, CEOs e reguladores.

Além do clique: o que realmente estamos medindo?

Um dos primeiros passos para melhorar a segurança é repensar as simulações de phishing. Tradicionalmente, esses testes são usados para punir ou coletar dados estatísticos, mas essa abordagem é limitada.

As simulações devem focar na eficácia dos controles e na conscientização dos colaboradores, priorizando comportamentos positivos, como a taxa de reporte de mensagens suspeitas.

Os colaboradores que reportam ameaças atuam como sensores de defesa, em vez de serem considerados elos fracos. A gestão do risco humano deve se alinhar à psicologia do ambiente corporativo, considerando fatores como sobrecarga de trabalho e estresse, que afetam a forma como os colaboradores lidam com alertas de segurança.

O desafio é transformar esses fatores em sinais mensuráveis e preditivos, respeitando a privacidade e as legislações vigentes.

Customização, privacidade e explicabilidade

As empresas são únicas, e modelos rígidos de risco humano não levam em conta as diferentes maturidades e tolerâncias ao risco. Portanto, é necessário desenvolver modelos configuráveis.

A integração da Cibersegurança Centrada no Humano com referências já validadas pelo mercado, como o NIST Phish Scale, é essencial para unir o comportamento humano à governança corporativa.

Com a introdução de inteligência artificial e modelos de scoring de risco, a responsabilidade das empresas aumenta. Se um colaborador é classificado como de alto risco, a liderança deve entender as razões por trás dessa avaliação.

Essa mudança de perspectiva deve incluir o Índice Unificado do Risco Humano (UHRI), que transforma múltiplos sinais em um indicador contínuo de risco, em vez de apenas monitorar cliques em links de phishing.

No Brasil, essa abordagem está alinhada ao artigo 20 da LGPD, que garante o direito de revisão de decisões automatizadas, e o mercado de segurança cibernética não pode mais aceitar classificações sem critérios claros.

Democratização do awareness para PMEs

A cibersegurança centrada no humano deve ser acessível a todas as empresas, não apenas às grandes corporações com orçamentos robustos. As pequenas e médias empresas, que representam 95% das empresas no Brasil, também precisam de soluções viáveis.

Essas empresas são responsáveis por injetar bilhões na economia e apresentam tanto oportunidades quanto vulnerabilidades. Portanto, a mudança deve ocorrer nas métricas de sucesso.

É necessário abandonar a medição da eficácia baseada apenas em treinamentos concluídos e focar em resultados reais, como a redução de incidentes e a diminuição dos custos de remediação.

A evolução do mercado exige uma gestão de risco humano que seja baseada em dados, empatia e contexto. O convite é para que a comunidade de segurança da informação e as lideranças de negócios não sejam apenas espectadoras das diretrizes internacionais.

É hora de aplicar e testar esses modelos no cotidiano das empresas, pois, no final, são as pessoas que impulsionam os negócios.