Durante muitos anos, os programas de conscientização em segurança foram construídos sobre uma lógica bastante simples: definir os temas que os colaboradores precisam conhecer, produzir ou contratar os treinamentos, disponibilizá-los para toda a organização e acompanhar quem concluiu. Em determinados momentos do ano, campanhas de phishing simuladas ajudam a avaliar o comportamento das pessoas e identificar quem precisa de atenção adicional.
Esse modelo teve, e continua tendo, um papel importante na construção de uma cultura de segurança. Existem conhecimentos que realmente precisam fazer parte do repertório de todos. Reconhecer tentativas de engenharia social, proteger credenciais, utilizar informações corporativas adequadamente, reportar situações suspeitas e compreender as principais políticas da empresa são exemplos de conhecimentos básicos que não deveriam depender da função exercida.
O problema começa quando o programa termina aí.
As pessoas não exercem as mesmas funções, não possuem os mesmos acessos, não manipulam as mesmas informações, não utilizam as mesmas tecnologias e, principalmente, não estão expostas às mesmas ameaças. Ainda assim, muitas organizações continuam tratando conscientização como se todos apresentassem exatamente as mesmas necessidades de segurança.
Quando começamos a trabalhar com Human Risk Management, essa lógica precisa mudar. Se conseguimos compreender melhor o risco associado a cada identidade, também podemos utilizar esse conhecimento para decidir quem precisa aprender o quê, quando uma intervenção é necessária e qual tipo de abordagem tem maior probabilidade de modificar aquele risco.
Personalizar conscientização não significa abandonar treinamentos corporativos ou criar uma jornada completamente diferente para cada funcionário. Existem conteúdos comuns que continuam fazendo sentido para toda a organização, inclusive por questões regulatórias, políticas internas e construção de uma linguagem compartilhada sobre segurança.
Podemos pensar nessa primeira camada como um baseline. Todos precisam compreender determinados conceitos e responsabilidades, independentemente de trabalharem no financeiro, desenvolvimento, atendimento, recursos humanos ou na própria área de segurança.
Esse baseline também ajuda a estabelecer expectativas. Quando uma organização define claramente suas políticas de uso aceitável, proteção de informações, reporte de incidentes, utilização de inteligência artificial ou autenticação, ela cria uma referência comum para todas as pessoas.
O problema não está em possuir conteúdos comuns. Está em assumir que eles são suficientes. Depois dessa primeira camada, as diferenças começam a importar. Um profissional de contas a pagar enfrenta tentativas de fraude diferentes das enfrentadas por um desenvolvedor. Um administrador de infraestrutura possui um nível de privilégio diferente de alguém que utiliza apenas aplicações corporativas básicas. Um executivo publicamente exposto pode ser alvo frequente de impersonation, vishing e ataques direcionados, enquanto uma pessoa da área de desenvolvimento pode estar muito mais exposta a riscos relacionados a repositórios, credenciais, APIs e ferramentas de inteligência artificial.
Oferecer exatamente o mesmo programa para todas essas pessoas pode ser simples operacionalmente, mas não significa necessariamente utilizar bem o tempo e os recursos disponíveis para conscientização.
Uma evolução natural dos programas tradicionais foi a criação de treinamentos por função. Desenvolvedores recebem conteúdos sobre desenvolvimento seguro, profissionais financeiros aprendem sobre fraudes e BEC, administradores recebem orientações relacionadas a privilégios e executivos podem participar de programas específicos.
Essa segmentação já representa um avanço significativo. Entretanto, pessoas com a mesma função também podem apresentar riscos bastante diferentes.
Considere dois profissionais da mesma área financeira, com cargos semelhantes e acesso aos mesmos sistemas. Um deles pode apresentar excelente capacidade de reconhecer engenharia social, reportar rapidamente mensagens suspeitas e utilizar corretamente os mecanismos de segurança disponíveis. O outro pode demonstrar dificuldade recorrente diante dos mesmos tipos de ataque. Se ambos recebem exatamente as mesmas intervenções apenas porque pertencem à mesma área, estamos ignorando informações que poderiam tornar o programa mais eficiente.
O contrário também é verdadeiro. Uma pessoa pode apresentar excelente desempenho em treinamentos e simulações, mas estar muito exposta a ataques por causa da função que exerce, da quantidade de informações públicas disponíveis sobre ela ou do impacto que uma eventual identidade comprometida poderia produzir. Nesse caso, talvez seja importante oferecer preparação adicional mesmo sem existir qualquer histórico de comportamento inadequado.
É aqui que existe uma diferença importante entre personalização por perfil e personalização por risco. Perfil utiliza características relativamente estáticas, como cargo, área ou função. Risco acrescenta informações dinâmicas sobre comportamento, exposição, contexto e impacto.
[](#fale-com-especialista)
Quando começamos a construir uma visão mais completa do risco humano, o programa de conscientização passa a receber uma informação que tradicionalmente não possuía.
Em vez de decidir treinamentos apenas com base no calendário anual, podemos considerar sinais que mostram mudanças nas necessidades de uma pessoa ou de determinado grupo. Um aumento na exposição a ataques, uma alteração de função, a concessão de novos privilégios, comportamentos recorrentes ou mudanças no ambiente tecnológico podem indicar que uma intervenção específica passou a ser necessária.
Isso não significa que cada pequena alteração no Human Risk Score deva gerar automaticamente um treinamento. Essa abordagem rapidamente criaria fadiga e provavelmente diminuiria a efetividade do programa. O score deve funcionar como contexto para decisão, e não como gatilho indiscriminado.
Também é importante compreender a causa do risco. Se uma pessoa apresenta risco elevado porque acumulou privilégios administrativos, aplicar mais treinamento pode não resolver o problema. Como discutimos anteriormente, a intervenção precisa atuar sobre aquilo que está produzindo o risco. Mas, quando uma parte relevante dessa causa está relacionada a conhecimento, percepção ou comportamento, awareness passa a ser uma ferramenta de tratamento extremamente poderosa.
A diferença é que agora podemos utilizá-la de maneira mais precisa.
Talvez essa seja uma das armadilhas mais fáceis de criar quando combinamos Human Risk Score com awareness. A organização identifica quem possui score mais alto e decide que essas pessoas receberão mais treinamentos, mais simulações e mais comunicações. Isso pode produzir exatamente o efeito contrário do desejado.
Se alguém começa a receber uma quantidade muito maior de ações de segurança sem compreender por quê, a percepção pode rapidamente mudar de desenvolvimento para punição. O programa deixa de ser visto como apoio e passa a funcionar como consequência de uma classificação interna.
Além disso, frequência não é sinônimo de efetividade. Uma pessoa que possui dificuldade com determinado tipo de ataque não necessariamente precisa realizar cinco vezes mais treinamentos. Talvez precise de um conteúdo diferente, de um exemplo relacionado ao seu contexto ou de uma intervenção muito mais curta e próxima do momento em que o comportamento ocorreu.
Adaptive Awareness deveria significar adaptar a intervenção, e não simplesmente aumentar sua intensidade.
Podemos adaptar tema, dificuldade, frequência, formato e momento. Também podemos decidir não realizar nenhuma intervenção educacional quando os sinais indicam que o risco possui outra causa.
Essa distinção é fundamental para que HRM não transforme awareness em um mecanismo punitivo.
Programas tradicionais são normalmente organizados por calendário. Existe o treinamento anual, a campanha trimestral, a comunicação do mês e a simulação programada. Essa estrutura é necessária para administrar programas em grande escala, mas nem sempre coincide com o momento em que determinada pessoa mais precisa de uma orientação.
Imagine alguém que acabou de assumir uma função com acesso privilegiado. Esperar pelo próximo ciclo anual para explicar os riscos associados àquela responsabilidade não parece a melhor estratégia. O mesmo vale para uma pessoa que começou a utilizar uma nova tecnologia, passou a manipular informações mais sensíveis ou se tornou alvo frequente de um determinado tipo de engenharia social.
Uma visão dinâmica de risco permite aproximar educação do momento em que ela se torna relevante.
Esse conceito não é novo em aprendizagem. Conteúdos apresentados próximos de uma necessidade concreta tendem a fazer mais sentido porque existe contexto para aquilo que está sendo ensinado. O que HRM acrescenta é a possibilidade de utilizar sinais de risco para identificar essas necessidades.
Assim, awareness deixa de depender exclusivamente de um calendário e passa a responder também a mudanças reais no ambiente.
Existe outro ponto importante nessa evolução: não podemos construir personalização olhando apenas para erros.
Se uma pessoa reporta consistentemente mensagens suspeitas, apresenta melhoria ao longo do tempo, utiliza corretamente os mecanismos de segurança e demonstra comportamentos positivos, essas informações também deveriam fazer parte da análise.
Caso contrário, criamos um sistema capaz apenas de acumular motivos para aumentar intervenções.
Uma estratégia adaptativa pode utilizar sinais positivos para reduzir determinadas ações, ajustar frequência ou reconhecer que uma pessoa já demonstrou domínio suficiente sobre determinado tema. Isso permite direcionar recursos para onde realmente são necessários e evita sobrecarregar colaboradores que consistentemente apresentam bons resultados.
Mais importante, muda a relação entre segurança e pessoas. O programa deixa de observar apenas falhas e passa a reconhecer evolução. Em uma visão de Human Risk Management, reduzir risco deveria ser tão visível quanto aumentá-lo.
Quando falamos em personalização, pode surgir a impressão de que cada funcionário precisará ter um programa completamente diferente. Em organizações com milhares de pessoas, isso seria operacionalmente inviável e provavelmente desnecessário. A tecnologia permite trabalhar com grupos dinâmicos.
Pessoas podem ser agrupadas temporariamente por fatores de risco, necessidades de conhecimento, função, exposição ou combinação desses elementos. Uma identidade pode participar de determinado grupo durante algumas semanas e deixar de fazer parte dele quando a condição que motivou a intervenção desaparecer.
Isso é muito diferente das segmentações tradicionais baseadas exclusivamente em departamentos. Um grupo dinâmico pode reunir pessoas de áreas completamente diferentes que apresentam uma necessidade semelhante naquele momento.
Por exemplo, profissionais de financeiro, RH e vendas podem estar sendo alvo da mesma campanha de engenharia social. Mesmo pertencendo a áreas diferentes, existe naquele momento uma necessidade comum que justifica uma intervenção específica.
Da mesma forma, um conjunto de pessoas que passou a utilizar uma determinada ferramenta de inteligência artificial pode precisar de orientação sobre compartilhamento de informações independentemente da área à qual pertence.
A personalização acontece pela necessidade, não apenas pelo organograma.
Essa talvez seja a principal mudança conceitual. Durante muito tempo, awareness funcionou como um programa relativamente independente. A área definia conteúdos, realizava treinamentos, executava simulações e produzia seus próprios indicadores. A maior parte das informações utilizadas para decidir o que fazer vinha do próprio programa.
Quando awareness passa a fazer parte de uma estratégia de Human Risk Management, ele começa a receber contexto de outras fontes.
Identidade pode mostrar mudanças de função e privilégios. DLP pode indicar situações relacionadas ao uso de informações. Ferramentas de segurança podem mostrar exposição a determinados ataques. Sistemas externos podem identificar credenciais expostas. O próprio programa de conscientização continua fornecendo sinais importantes sobre comportamento, conhecimento e capacidade de reporte.
Esses dados não existem para criar uma visão invasiva da pessoa. Eles existem para permitir que a organização compreenda melhor quais riscos precisam ser tratados e quais intervenções são adequadas.
Nesse modelo, awareness deixa de ser o destino de todos os problemas relacionados às pessoas e passa a ser um dos instrumentos disponíveis para redução de risco.
Nada disso elimina a necessidade de programas corporativos de conscientização. Treinamentos obrigatórios continuarão existindo. Conteúdos regulatórios continuarão sendo necessários. Campanhas gerais continuarão ajudando a manter segurança presente na cultura da organização. A diferença está no que acontece além dessa camada básica.
Uma organização madura pode manter um baseline comum para todos e, sobre ele, construir intervenções orientadas por risco. Algumas pessoas precisarão de conteúdos adicionais porque sua função possui características específicas. Outras porque sua exposição mudou. Algumas porque determinados comportamentos indicam necessidade de desenvolvimento. E outras talvez precisem de menos intervenções porque já demonstraram domínio consistente.
Essa abordagem também modifica a maneira como medimos sucesso. Em vez de perguntar apenas quantas pessoas concluíram determinado treinamento, podemos começar a avaliar se as intervenções realizadas produziram mudança nos comportamentos ou nas condições de risco que motivaram sua aplicação.
O objetivo deixa de ser simplesmente entregar conteúdo para todos e passa a ser utilizar educação onde ela pode produzir maior redução de risco.
Por isso, talvez a pergunta não seja se devemos parar de treinar todos da mesma forma. Existe uma base de conhecimento comum que continuará sendo necessária.
A questão mais relevante é entender por que, depois dessa base, ainda tratamos pessoas com funções, exposições, comportamentos e impactos tão diferentes como se tivessem exatamente as mesmas necessidades de segurança.
Quando conseguimos responder a essa pergunta utilizando dados de risco, conscientização deixa de ser apenas um programa baseado em calendário e começa a se tornar uma capacidade adaptativa dentro de Human Risk Management.