Construindo uma Cultura Forte de Segurança em Toda sua Organização

Outubro é o Mês Nacional de Conscientização sobre Cibersegurança.

Também acontece de ser (entre outras coisas) Mês de Conscientização sobre Câncer de Mama, Mês de Higiene Dental, Mês Nacional de Prevenção ao Bullying e meu favorito pessoal, Mês Nacional da Pizza. Além disso, é Halloween! Mas divago... estamos aqui para falar sobre cibersegurança.

Todo fabricante deve realizar treinamento de conscientização sobre cibersegurança para toda sua equipe pelo menos uma vez por ano. Muitas pessoas ficam assustadas com a mera menção das palavras "cibersegurança" e "treinamento", então outubro parece um momento apropriado para isso. Seu treinamento deve, no mínimo, cobrir políticas relevantes da empresa como sua segurança de TI, segurança da informação e segurança física.

Ao longo dos anos, muitos de nós fizemos este tipo de treinamento e aprendemos a temê-lo. Treinamento onde alguém dá o mesmo discurso de cibersegurança que deu no ano passado e então entrega um papel para você assinar dizendo que estava lá. Um verdadeiro festival de sono. Este tipo de treinamento faz seu trabalho no que diz respeito a atender o mínimo, mas tem pouco impacto em realmente moldar comportamento dos funcionários.

O verdadeiro propósito de esforços de conscientização e treinamento de cibersegurança deve ser criar uma cultura de segurança, significando que funcionários devem ver boas práticas de cibersegurança como bons negócios e como parte de "como fazemos negócios aqui". Funcionários devem se sentir capacitados a tomar boas decisões de cibersegurança e entender o que faz uma boa decisão. Conscientização e treinamento devem focar em:

• Parar comportamento arriscado: Ajude funcionários a saber quais decisões podem levar a um resultado ruim. Por exemplo, abrir anexos de e-mail de fontes desconhecidas.
• Incentivar comportamento menos arriscado: Ajude funcionários a entender e se importar em implementar processos que aumentam a segurança. Por exemplo, como fazer senhas fortes.
• Transformar funcionários em sentinelas: Ajude funcionários a reconhecer e responder a um evento de cibersegurança. Por exemplo, o que fazer se um convidado conecta um drive USB não autorizado em uma máquina.

Idealmente, treinamento deve ser um esforço contínuo. Algumas ideias sobre como incluir treinamento de cibersegurança no funcionamento diário do seu negócio incluem:

• Enfatizar regularmente cibersegurança como um objetivo importante da sua empresa.
• Integrar uma dica, truque ou lembrete de cibersegurança em cada reunião.
• Colocar lembretes pelo local de trabalho sobre práticas de segurança apropriadas.
• Ter reuniões regulares para discutir possíveis melhorias de processo que podem tornar mais fácil para funcionários tomarem melhores decisões de segurança.

Houve muita pesquisa sobre como é um bom treinamento de cibersegurança para funcionários. Em geral, pode ser resumido usando o acrônimo "RAINSTORMS". Sim, acabei de inventar isso agora.

• Real: Usar estudos de caso reais ou cenários realistas ajuda a trazer as lições para casa.
• Acionável: Incluir algo que funcionários possam fazer imediatamente. Isso pode incluir mudar suas senhas, fazer um inventário de seus ativos de TI ou garantir que tenham informações de contato para a pessoa ou organização que devem reportar um incidente em seus telefones. Às vezes, uma tarefa de casa de longo prazo também é apropriada, mas ter uma meta imediata é sempre útil.
• Interativo: Role-play, discussões em grupos pequenos ou exercícios práticos são ótimas maneiras de tornar o treinamento mais interativo. Idealmente, as interações devem incluir conversas bidirecionais envolvendo todos os níveis de gestão para garantir que todos saibam que todos têm as mesmas responsabilidades, e todos estão na mesma página.
• Novo: Alguma repetição é apropriada no treinamento, especialmente ao falar sobre políticas, mas não deve ficar obsoleto. Diferentes formatos de treinamento (ex: palestra, role-play, vídeos) podem ajudar.
• Small: Pedaços pequenos de informação são muito mais fáceis de digerir do que um diploma de ciência da computação inteiro forçado sobre funcionários. Um tópico por vez é geralmente preferível.
• Testável: Deve haver uma meta mensurável e testável para o treinamento de cibersegurança. Se é conscientização geral, talvez um quiz possa ser desenvolvido. Se a meta é mitigar ataques de phishing, talvez um e-mail de phishing falso possa ser enviado tanto algumas semanas antes quanto algumas semanas depois do evento. Isso ajudará a mostrar quão eficaz o treinamento foi.
• Owned: Funcionários devem sair do treinamento sentindo um senso de propriedade e que cibersegurança é responsabilidade deles; eles devem se sentir capacitados a tomar boas decisões de cibersegurança.
• Relevante: A maioria das empresas tem diferentes tipos de usuários. Adaptar treinamento a cada tipo de usuário torna mais real. Isso pode significar ter treinamento diferente para funcionários do chão de fábrica versus funcionários de escritório.
• Memorável: Use acrônimos, mnemônicos concisos, ou, meu favorito pessoal, humor. Humanos lembram coisas engraçadas — trocadilhos, vídeos de música ruins, memes ridículos de gatos — muito melhor que uma palestra chata. Não tenha medo de torná-lo não convencional e divertido.
• Simples: Acima de tudo, treinamento deve ser simples. Lições excessivamente técnicas cheias de technobabble são boas apenas para fazer pessoas dormirem.

A National Initiative for Cybersecurity Education (NICE) tem uma pequena lista de recursos gratuitos e de baixo custo para ajudar com treinamento de funcionários. Existem também muitos recursos adicionais disponíveis online. Apenas faça uma busca na internet e você será bombardeado com opções. Avalie essas opções usando o template RAINSTORMS acima.

Ao longo do mês de outubro, o NIST MEP estará postando uma série de blogs vagamente seguindo o tema e esboço fornecido pela National Cybersecurity Alliance (NCSA). O tema para este ano é "Do Your Part. #BeCyberSmart." Pessoalmente, nunca fui fã de auto-promoção de hashtag, mas se você tuitar ou blogar sobre cibersegurança durante este mês, considere usar a hashtag #BeCyberSmart — veremos o quão longe ela vai.

O esboço que a NCSA montou é o seguinte:

• Semana de 5 de outubro (Semana 1): Se Você Conecta, Proteja
• Semana de 12 de outubro (Semana 2): Protegendo Dispositivos em Casa e no Trabalho
• Semana de 19 de outubro (Semana 3): Protegendo Dispositivos Conectados à Internet na Saúde
• Semana de 26 de outubro (Semana 4): O Futuro de Dispositivos Conectados

Não sabe por onde começar? Você pode aprender mais sobre como implementar um programa eficaz de treinamento de cibersegurança contatando seu Centro MEP local. Você também pode acessar recursos de cibersegurança para fabricantes no site do NIST MEP.

Este blog é parte de uma série publicada para o National Cybersecurity Awareness Month (NCSAM). Outros blogs na série incluem If You Connect It, Protect It por Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked por Pat Toth, Securing Internet-Connected Medical Devices por Jennifer Kurtz e The Future of Connected Devices por Erik Fogleman e Jeff Orszak.