Todo gestor conhece aquele alívio depois que o time termina o treinamento anual de segurança. Equipe treinada, relatório no e-mail, assunto encerrado.
Foi mais ou menos esse o clima que o caso da CEMIG, que comentei no post passado, veio estragar. Porque ele me fez voltar a uma pergunta chata de fazer: a equipe está treinada para quê, exatamente?
Quase ninguém comenta isso em voz alta, mas vou comentar. A maioria das empresas que toma um golpe por erro humano já tinha treinado o pessoal. O treinamento rolou, o certificado saiu, e mesmo assim alguém clicou no link, atendeu a ligação errada, aprovou o acesso que não devia.
Portanto, não falta treinamento nessas empresas. O que falta é um treinamento que seja capaz de 𝐦𝐮𝐝𝐚𝐫 𝐜𝐨𝐦 𝐞𝐟𝐞𝐭𝐢𝐯𝐢𝐝𝐚𝐝𝐞 o que a pessoa faz no segundo em que o golpe chega.
E o golpe é mais esperto do que a gente gosta de admitir, porque a engenharia social não senta para quebrar a criptografia do seu sistema, que dá trabalho demais, ela vai direto na pessoa, que é o caminho mais curto. Pega quem está com a caixa lotada às 17h, quem confia porque viu o nome de uma marca conhecida ou quem tem medo de perder o prazo, e no caso da Cemig era o valor exato da conta de luz que fazia tudo parecer real.
A questão é que a vítima não erra por falta de atenção, erra porque o golpe foi construído para passar por verdadeiro justo ali, na brecha que o treinamento deixou aberta.
É aqui que a coisa fica desconfortável. Se a empresa gasta tempo e dinheiro treinando e o elo humano continua sendo o mais fácil de furar, talvez o problema seja treinar errado.
⚠︎ E se a gente tirasse o foco do conteúdo assistido e botasse na cultura praticada?
É sobre essa engrenagem que quero falar no próximo post, sobre por que tanto treinamento de segurança não passa de teatro. Até lá, te deixo a pergunta que acho mais honesta diante de um caso como o da Cemig.
Você confia que sua equipe saberia reagir a um ataque acontecendo agora, em tempo real, ou confia só que ela assistiu ao vídeo sobre o assunto?
Por Flavia Presgrave, Sócia de Martorelli Advogados
