Os ataques que seus funcionários enfrentam hoje não se parecem em nada com aqueles para os quais os programas tradicionais de conscientização de segurança foram criados.
Eles chegam por voz, vídeo, Microsoft Teams, Slack – não apenas por e-mail. Eles citam seus executivos. Eles se passam pelo seu suporte técnico. Eles replicam seus relacionamentos reais com fornecedores e seus fluxos de trabalho de aprovação reais.
A maioria dos programas de conscientização ainda treina para uma empresa fictícia enfrentando uma ameaça genérica, seguindo um cronograma de lançamento definido pelo fornecedor, e não pelo atacante.
A conscientização de segurança moderna está migrando de bibliotecas estáticas para treinamentos baseados em inteligência de ameaças, gerados sob demanda.
Sua plataforma de conscientização de segurança acompanhou essa evolução? Antes de renovar por mais um ano um programa de segurança tradicional, faça estas nove perguntas.
1. Alguma simulação já foi criada com base na sua organização real?
Se todos os testes de phishing que sua equipe já realizou pudessem ser enviados para qualquer empresa do mundo sem mudar uma única palavra, eles nunca foram feitos para a sua. A fatura falsa vem de um fornecedor inventado. O pedido urgente vem de um nome que não é o do seu CFO. Ataques reais não são tão genéricos. Seu treinamento também não deveria ser.
2. Com que rapidez uma ameaça real pode se tornar uma simulação?
Uma nova campanha atinge uma empresa do seu setor na segunda-feira de manhã. A maioria das plataformas ainda responde com um ciclo de conteúdo trimestral. Quando seu fornecedor produz um novo módulo, aquele ataque já é notícia velha e há um novo com o qual se preocupar.
Pergunte quanto tempo realmente leva para o seu programa transformar a ameaça real de hoje em um treinamento para sua equipe. E quem está criando o conteúdo: você ou seu fornecedor?
3. O que a sua taxa de conclusão realmente diz a você?
Uma taxa de conclusão de 98% significa que 98% das pessoas clicaram em "concluído". Isso não diz nada sobre se alguma delas impediria uma tentativa de fraude bancária em uma tarde de terça-feira. As organizações que sofreram violações no ano passado também tinham números de conclusão altos, até o momento em que alguém aprovou a transferência fraudulenta.
4. Funções diferentes podem receber treinamentos diferentes?
Sua equipe de contas a pagar enfrenta fraudes de BEC e de fornecedores. Seus engenheiros enfrentam dependências maliciosas e roubo de credenciais. Um módulo anual genérico não serve para nenhum dos dois. Pergunte-se se o seu programa consegue oferecer codificação segura para desenvolvedores, conscientização sobre BEC para o financeiro e orientações de uso de IA generativa para as equipes que realmente a utilizam, sem a necessidade de abrir um chamado para solicitar conteúdo.
5. As pessoas estão retendo o conteúdo ou apenas terminando o treinamento?
Quando o treinamento é criado para ninguém em particular, os funcionários o tratam dessa forma. Eles mudam de aba. Eles terminam porque é obrigatório, não porque é relevante. Cada módulo irrelevante reforça a ideia de que o treinamento de segurança é apenas ruído, que é exatamente o instinto que você não quer que esteja ativo quando um ataque real acontece.
6. Sua própria equipe cairia na sua própria simulação?
Existe um motivo pelo qual as pessoas passam no teste de phishing e ainda caem no golpe real. O teste é reconhecível como um teste. Uma simulação só muda o comportamento quando é indistinguível do ataque para o qual está preparando as pessoas: uma solicitação de transferência que espelha seu fluxo real de aprovação, uma chamada de deepfake com uma voz que eles realmente conhecem.
7. O programa reduz o risco ou apenas satisfaz o auditor?
SOC 2, seguro cibernético, a apresentação para o conselho: esses são motivos legítimos para comprar treinamento de conscientização, e um programa precisa atendê-los. Mas conformidade e proteção nunca deveriam ser uma troca. Se a sua plataforma apenas cumpre os requisitos de conformidade, você está pagando por papelada e chamando isso de proteção.
8. Você consegue identificar seus funcionários de maior risco ou apenas os que estão em conformidade?
Um programa moderno gera uma pontuação de risco em tempo real por funcionário, baseada em resultados de simulações, comportamento em treinamentos e sinais de identidade, como a postura de MFA, atualizando-a continuamente. É isso que permite encontrar as pessoas de maior risco e direcionar ações específicas para elas. Se o seu programa não consegue identificar quem são essas pessoas ou se o índice está diminuindo, você tem apenas uma lista de presença, não um programa de mensuração.
9. O seu programa oferece planos de remediação para os funcionários de maior risco ou apenas uma pontuação?
Apenas 8% dos funcionários são responsáveis por 80% dos incidentes de segurança, então, como você pode ajudar essas pessoas especificamente? Uma pontuação de risco que apenas classifica as pessoas e para por aí não ajuda em nada. Questione se o seu programa transforma a pontuação em um plano de remediação real para cada funcionário de alto risco, com a intervenção, o treinamento ou o acompanhamento específico que resolva o motivo pelo qual eles representam um risco elevado.
A lacuna de conscientização legada e como a Frame a elimina
Cada uma dessas perguntas revela o problema do modelo legado. As plataformas de conscientização tradicionais foram construídas em torno de uma biblioteca de conteúdo: escrita uma vez, distribuída conforme um cronograma e genérica por design, pois precisa funcionar para todos os clientes ao mesmo tempo. Esse modelo fazia sentido quando os ataques também eram genéricos. Hoje, não faz mais.
A Frame foi construída com base no oposto: ameaças reais e risco individual.
Em vez de uma biblioteca estática e um agendador, a Frame oferece:
Treinamento gerado sob demanda com base em inteligência de ameaças
Clique em uma ameaça do setor ou descreva um cenário, e a Frame o transforma em uma simulação personalizada em minutos, sem precisar abrir um chamado para o lançamento do próximo trimestre.
Treinamento hiperpersonalizado baseado em funções
Gere treinamentos e simulações em torno da sua organização real: seus executivos, seus fornecedores, seus fluxos de trabalho e seu cenário atual de ameaças.
Pontuações de risco humano dinâmicas e planos de ação
Cada colaborador recebe uma pontuação de risco humano com base no comportamento em treinamentos e simulações, além de dados de postura de segurança da sua pilha de identidade. Identifique quem está realmente em risco e acione Planos de Ação personalizados para colocar sua equipe de volta no caminho certo.
A renovação é a melhor época do ano para avaliar se o seu fornecedor está acompanhando as ameaças atuais ou não.
A sua plataforma de Conscientização em Segurança sabe mais? Assista ao vídeo de 1 minuto e meio para descobrir.
Ou veja em funcionamento. Agende uma demonstração de 30 minutos e veja uma simulação criada para a sua organização ser gerada em tempo real.
