Vou rodar treinamento de segurança

Por que o modelo anual de vídeo não funciona

Conscientização funciona por repetição contextualizada, não por evento. O vídeo anual cumpre a tabela do compliance mas não muda comportamento: o cérebro humano esquece o conteúdo em semanas e o comportamento de risco volta ao default. Pesquisas com phishing simulado mostram que a taxa de clique cai logo após o treinamento e volta a subir em três a seis meses sem reforço. A solução não é treinamento mais longo — é cadência menor e mais frequente.

Outro problema do modelo anual: conteúdo genérico não conecta. O exemplo de phishing de banco não faz sentido para o engenheiro que recebe orçamento por e-mail. A pessoa de RH recebe um tipo diferente de tentativa do que a pessoa de financeiro. Treinamento segmentado por papel mostra exemplos do mundo real de cada um — e o cérebro reconhece.

Os quatro temas essenciais

Phishing: reconhecer e-mail malicioso, não clicar em link suspeito, validar remetente, reportar tentativa. Vetor mais frequente — vale ter como tema recorrente.

Senha e MFA: não reutilizar senha entre serviços, usar gerenciador de senha, ativar MFA em tudo que oferece, não compartilhar credencial. Resolve raiz de muitos comprometimentos.

Dados sensíveis: classificação de informação, onde guardar, com quem compartilhar, como descartar. Cresceu em relevância com LGPD e com vazamentos por canal indevido.

Dispositivos: tela bloqueada, dispositivo pessoal vs corporativo, instalação de software, uso de Wi-Fi público, perda ou roubo de equipamento.

Phishing simulado bem feito

Phishing simulado é a ferramenta mais útil do arsenal de conscientização porque mede comportamento real, não opinião. Bem rodado, ele combina três ingredientes: cenário realista (linguagem, marca, contexto que poderia chegar de verdade), variação periódica (não usar sempre o mesmo template, senão o cérebro decora) e retorno individual imediato (página explicando o que era o phishing, o que era o sinal).

Métricas que importam: taxa de clique (clicou no link), taxa de submissão (entregou credencial), tempo médio para reportar (quem reportou rápido), percentual de reportadores. Taxa de clique abaixo de 5% em média é resultado consistente com programa maduro; acima de 15% indica que o programa precisa de revisão. Em campanhas iniciais, valores entre 20% e 30% são comuns e devem ser usados como linha de base.

Construindo cultura de segurança

Treinamento sozinho não cria cultura. Cultura nasce de três fatores combinados: liderança que pratica (executivo que reporta phishing publicamente faz mais pelo programa do que dez vídeos), reconhecimento explícito de bom comportamento (quem reporta, quem identifica) e ausência de punição por erro reportado de boa fé. Em ambientes com cultura punitiva, ninguém reporta — e o que não é reportado vira incidente sem investigação.

Pequenas práticas reforçam: dicas semanais no canal interno, atualização sobre incidentes do mercado e como teriam sido evitados, integração da segurança com onboarding (não como módulo separado mas como parte da rotina), participação de liderança em simulações de mesa em segurança.