Fazer uma simulação de phishing sem punir a equipa

As simulações de phishing têm má reputação junto das pessoas sobre quem são feitas, muitas vezes com razão. Mal executadas, funcionam como uma armadilha: um engodo especialmente cruel, uma lista pública de quem clicou e uma formação obrigatória como castigo. O resultado mensurável é que as pessoas deixam de confiar no correio interno e deixam de comunicar seja o que for, o que deixa a organização pior do que estava antes do programa.

Bem executado, o mesmo exercício é uma das atividades de segurança com melhor relação custo-benefício numa empresa pequena. A diferença está inteiramente no desenho.

Meça comunicações, não cliques

A taxa de cliques é a métrica por onde todos começam e a errada para otimizar. Depende muito da dificuldade do engodo, pelo que pode ser levada a qualquer valor ajustando a dificuldade — o que a torna inútil para medir progresso e tentadora de manipular.

A métrica que prevê resultados reais é a taxa de comunicação: que proporção dos destinatários assinalou ativamente a mensagem, e com que rapidez. Num ataque verdadeiro, uma pessoa a comunicar em cinco minutos dá à equipa de resposta a hipótese de remover a mensagem de todas as outras caixas antes de ser aberta. Ninguém clicar mas ninguém comunicar é uma posição bastante pior do que alguns cliques e uma comunicação rápida.

Acompanhe o tempo até à primeira comunicação como número principal. Veja-o descer ao longo das campanhas. É essa a capacidade que está a construir.

Torne a comunicação trivial

Se comunicar um email suspeito exigir mais do que uma ação, a maioria das pessoas não o fará, e quem o fizer deixará de o fazer quando estiver ocupada. Um botão dedicado no cliente de correio, ou no mínimo um endereço bem conhecido, é o mínimo aceitável. Seja qual for o mecanismo, tem de confirmar a receção de imediato, e uma pessoa tem de responder às comunicações — mesmo às erradas — no próprio dia.

Agradeça a quem comunica correio legítimo por engano. É esse o comportamento que quer. Corrigir com delicadeza e rapidez custa um minuto e protege o instinto.

Diga às pessoas que o programa existe

Persiste a ideia de que anunciar o programa invalida os resultados. Não invalida. Não está a medir se as pessoas podem ser surpreendidas; está a medir se sabem o que fazer. Anuncie que haverá simulações periódicas, explique porquê e afirme claramente que nenhum resultado individual será usado em avaliações de desempenho nem partilhado com chefias.

Assuma esse compromisso por escrito antes da primeira campanha e cumpra-o. Na União Europeia isto não é apenas boa prática: fazer testes encobertos sobre trabalhadores identificáveis envolve o RGPD e, na maioria dos casos, consulta aos representantes dos trabalhadores. Trate primeiro da parte formal.

Oriente no momento em que importa

Quem clica deve chegar a uma página curta que explique o que era a mensagem, que três sinais a denunciavam e como comunicar a próxima. Sessenta segundos de explicação concreta e relevante no momento do erro valem muito mais do que quarenta minutos de módulo anual.

Sem nomes para as chefias. Sem tabelas classificativas. Agregue por departamento se precisar de dirigir o acompanhamento, mas nunca por pessoa. No momento em que a equipa acreditar que o exercício serve para a apanhar, a taxa de comunicação que está a tentar construir desaparece.

Use engodos parecidos com as suas ameaças reais

Falsos anúncios de prémios e notificações disciplinares produzem taxas de clique altas e ressentimento duradouro, e não ensinam nada, porque nenhum atacante real tem o papel timbrado dos seus recursos humanos. Modele a campanha sobre o que chega mesmo à sua organização: uma notificação de documento partilhado, uma fatura de fornecedor com dados bancários alterados, um pedido falso de autenticação na ferramenta que a equipa usa todos os dias, um aviso de entrega em época de maior movimento.

Aumente a dificuldade gradualmente. Começar pelo nível mais difícil ensina impotência; começar fácil e subir ensina reconhecimento de padrões.

Feche o ciclo do lado técnico

Uma simulação que só produz uma métrica humana está a meio. Cada campanha é também um teste real aos seus controlos. A mensagem passou verificações de SPF, DKIM e DMARC que devia ter falhado? A página de recolha de credenciais carregou, ou foi bloqueada? Quando alguém submeteu credenciais, algo detetou a autenticação a partir de uma localização invulgar?

Corrigir um desses pontos vale normalmente mais do que outra ronda de formação, porque protege as pessoas que vão clicar por muito bem treinadas que estejam — e, sob pressão suficiente, isso é toda a gente.

Um programa que sobe a comunicação de vinte para sessenta por cento melhorou materialmente a sua resposta a incidentes. Um programa que baixa os cliques mas deixa as pessoas com medo de comunicar piorou a situação. Meça o primeiro.