Treinamento de conscientização em segurança da informação

01O que é conscientização em segurança da informação?

É a parte da segurança que trabalha com as pessoas. Política, firewall e antivírus definem e protegem o ambiente; a conscientização garante que quem trabalha nele saiba o que fazer quando um pedido estranho chega. No mercado, aparece com vários nomes: treinamento de segurança da informação, security awareness, cultura de segurança, conscientização em cibersegurança.

O resultado esperado não é a pessoa decorar regras. É ela parar diante de um pedido fora do padrão, confirmar por outro canal e avisar o time de segurança.

02Por que o treinamento anual não basta?

Porque o golpe muda mais rápido que o calendário. O sinal clássico do erro de português está desaparecendo: o phishing gerado com inteligência artificial chega bem escrito e personalizado, como descreve o levantamento do ThreatLabz da Zscaler sobre phishing personalizado.

Um curso por ano também ensina longe do momento em que o erro acontece. Quem cai num golpe em setembro e assiste à aula em março já não lembra do que viu. A prática contínua, com explicação na hora do erro, fixa mais do que uma maratona de vídeos.

03O que a ISO 27001 pede sobre conscientização?

A ISO/IEC 27001:2022 trata do tema na cláusula 7.3, de conscientização, e no controle A.6.3 do Anexo A, de conscientização, educação e treinamento em segurança da informação. O controle pede que as pessoas recebam conscientização e treinamento adequados à função, com atualizações regulares sobre as políticas e os procedimentos da organização.

A norma não fixa formato nem frequência. Na auditoria, o que costuma pesar é a evidência: quem foi treinado, em quê, quando, e se o comportamento mudou. Relatório de simulação e de treino concluído, com data, serve como esse registro.

04E o que a LGPD tem a ver com isso?

O Lei 13.709/2018 (LGPD), art. 46 pede que quem trata dados pessoais adote medidas de segurança, técnicas e administrativas, para protegê-los de acesso não autorizado e de vazamento. Treinar as pessoas que lidam com esses dados é uma das medidas administrativas mais comuns.

Treinamento não torna a empresa conforme à LGPD sozinho, e nenhuma plataforma certifica isso. Ele reduz a chance de o vazamento começar numa conversa. A página de LGPD da BeSafe descreve como a própria plataforma trata os dados dos colaboradores.

05Quais temas o treinamento deve cobrir?

Os golpes que chegam ao time de verdade, um tipo por vez:

• phishing por e-mail e por aplicativos de trabalho, como Teams e Slack;
• falso suporte técnico e golpe por telefone (vishing);
• golpes de pagamento: Pix urgente, boleto adulterado e troca de dados bancários de fornecedor;
• voz e vídeo falsos (deepfake) em pedidos de transferência;
• senha, código de verificação e autenticação em dois fatores: por que nunca se dita um código;
• dados pessoais no dia a dia: o que pode ser enviado, para quem e por onde;
• como reportar uma mensagem suspeita, sem medo de errar.

06Como montar o programa em cinco passos?

• Diagnóstico: uma primeira rodada de simulação mostra por qual canal e com qual pretexto o time cede hoje.
• Conteúdo por tipo de golpe: módulos curtos, um golpe por módulo, em linguagem de quem não é de tecnologia.
• Prática contínua: simulações ao longo do ano, com a aula aberta no momento do clique.
• Métrica: taxa de reporte, clique por canal e treino concluído, sem ranking de pessoas.
• Revisão: o resultado de cada ciclo escolhe o tema e o canal do próximo.

Detalhes de cada etapa estão no guia de simulação de phishing passo a passo.

07Como saber se a conscientização funcionou?

Pelo comportamento, não pela presença no curso. Os sinais de que o programa está funcionando são mais pessoas reportando a mensagem suspeita, menos cliques nos canais em que o time caía mais e o treino concluído pouco depois do erro. Uma lista de quem assistiu ao vídeo mostra presença; uma taxa de reporte subindo mostra mudança.

08Como a BeSafe faz a conscientização?

A plataforma de educação da BeSafe tem vários módulos, cada um sobre um tipo de golpe, e vários vídeos em cada módulo, em aula didática e informal. O conteúdo é atualizado com inteligência de ameaças, e o módulo abre para a pessoa no momento em que ela cai numa simulação. O treino vem incluído em todos os planos, e o resultado aparece nos dashboards do administrador e do colaborador. Veja as oito frentes da plataforma.