O painel de risco humano finalmente está no ar. Lá está Jordan Lee, do contas a pagar: alto risco, pontuação 78. Outros três nomes estão acima do limite. A reunião do conselho é quinta-feira, e alguém vai perguntar o que você está fazendo a respeito.
Você está olhando para um número. Um número não é um plano.
Durante anos, o objetivo foi chegar aqui: superar as taxas de conclusão e ver o risco humano como algo real e mensurável. Essa foi a luta certa, e o setor, em grande parte, venceu. Mas, em algum momento, medir o risco tornou-se silenciosamente a linha de chegada, quando na verdade era apenas o ponto de partida.
Visibilidade de risco e redução de risco são duas tarefas diferentes. Quase todos os programas começam a se desfazer após a primeira.
O que acontece depois da pontuação de risco
Veja o que acontece a seguir em um programa típico. Você extrai a lista de funcionários de alto risco. Você cria um grupo. Você decide que tipo de intervenção é adequada: uma simulação de phishing, um módulo de treinamento, um lembrete direcionado. Você atribui a tarefa. Você cobra a conclusão. Você espera um trimestre. Você mede novamente e torce para que o número tenha mudado.
Quando você termina esse ciclo, o perfil de risco já mudou. Pessoas mudaram de cargo. Novos funcionários chegaram. Um novo vetor de ataque surgiu, o qual sua última tarefa não cobriu. A remediação que você executou manualmente descreve uma versão da sua organização que já não existe mais.
Essa é a lacuna que as ferramentas legadas de SAT deixam escancarada. Elas ficam felizes em lhe entregar um diagnóstico. O tratamento é problema seu.
O que a remediação realmente exige
Se o objetivo é reduzir o número (e mantê-lo baixo), três coisas precisam ser verdadeiras sobre como você responde.
Pessoas diferentes precisam de intervenções diferentes
Alguém que clica repetidamente em phishing no setor financeiro e um risco de reutilização de credenciais na engenharia não têm o mesmo problema, e não deveriam receber o mesmo treinamento. A remediação enviada para todos é apenas um teatro de conscientização com uma lista de distribuição mais ampla. A resposta precisa ser direcionada ao sinal específico que sinalizou a pessoa.
A intervenção precisa corresponder ao risco
Alguém que continua caindo em vishing (phishing por voz) precisa de uma simulação baseada na sua organização: seus executivos, seus fornecedores, seus fluxos de trabalho. Não um vídeo genérico de dez minutos sobre ter cuidado ao telefone.
É preciso acompanhar um alvo em movimento
O risco não é estático. As funções mudam, o comportamento muda e o cenário de ameaças muda mais rápido do que ambos. Uma atribuição feita uma única vez torna-se obsoleta no trimestre seguinte, assim como a planilha que você usou para criá-la. O grupo que você está remediando precisa se manter atualizado por conta própria, ou os esforços de remediação perdem a relevância.
Como o Frame fecha o ciclo
É para preencher essa lacuna que os Planos de Ação do Frame foram criados: o elo de ligação entre saber que alguém está em risco e realmente fazer algo a respeito.
Veja como funciona: um sinal de Risco Humano identifica os funcionários que correspondem a uma condição de risco – falhas repetidas em phishing, uma lacuna de MFA, sinais de identidade, o que quer que você defina. Você vincula esse sinal a um Plano de Ação, e o plano torna-se o ponto central para tudo o que você faz a respeito: as campanhas de phishing, as campanhas de treinamento e os módulos voltados exatamente para esse grupo. Um sinal, um plano, uma linha clara de responsabilidade.
Você também não começa o módulo do zero. O Frame lê o sinal vinculado e gera um rascunho de treinamento preenchido – conteúdo, público e tópicos sugeridos e atrelados ao risco específico – e então o envia para o Content Studio para você revisar e publicar.
E o grupo afetado entra em operação. À medida que os funcionários começam ou param de corresponder ao sinal, a população é atualizada automaticamente – assim, o plano sempre reflete quem está em risco agora, e não quem estava em risco no trimestre passado. O Risco Humano é o diagnóstico. O Plano de Ação é onde o tratamento é organizado, gerado e medido em relação a um grupo que muda em tempo real.
Do relatório ao programa
Volte àquela reunião de diretoria de quinta-feira. A pergunta nunca foi realmente "quem é um risco?". O painel já responde a isso. A questão é se você consegue mostrar que o grupo afetado está diminuindo e se consegue explicar o porquê.
Uma pontuação de risco na qual você age manualmente uma vez por trimestre é apenas um boletim. Você lê, faz uma careta e arquiva. Uma pontuação de risco com um plano de remediação anexado – que acompanha a população em risco ao longo do tempo e mostra a curva caindo à medida que as pessoas deixam de corresponder ao sinal – é algo diferente: é um programa, com as evidências integradas.
Essa é a diferença que os Planos de Ação fazem. Não é uma visibilidade melhor sobre o risco humano; a visibilidade era a parte fácil. A parte difícil sempre foi o próximo passo: organizar a resposta, criar o treinamento certo e provar que funcionou.
Adoraríamos mostrar como os Planos de Ação funcionam na prática. Agende uma demonstração hoje mesmo.
