O programa de conscientização típico começa pelo fim. Contrata-se uma plataforma, atribuem-se cursos a toda a organização, persegue-se a conclusão durante três meses e reporta-se um percentual de cumprimento à direção.
No ano seguinte, repete-se. Ninguém sabe se funcionou, porque nunca se mediu outra coisa além da presença.
O problema não é a capacitação. É a ordem.
O que um exercício de phishing controlado mede
Um exercício simulado não mede conhecimento: mede comportamento sob condições reais de trabalho. Que é a única coisa que importa, porque o incidente não acontece durante o curso.
As métricas que interessam são quatro, e só a primeira é a que todo mundo olha:
Taxa de abertura. Quantas pessoas abriram a mensagem. É a menos informativa: abrir um e-mail é, em boa medida, fazer o trabalho.
Taxa de clique. Quantas seguiram o link. Aqui começa a exposição real.
Taxa de entrega de credenciais. Quantas chegaram a preencher o formulário. É a métrica que melhor se correlaciona com o risco de um incidente efetivo, e costuma ser bem menor que a de clique.
Taxa de reporte. Quantas pessoas avisaram o canal interno de que algo estranho estava acontecendo. Esta é, para nós, a métrica mais importante do exercício, e a que quase nunca é medida.
Por que o reporte importa mais que o clique
Uma organização em que ninguém clica é uma fantasia estatística. Com volume suficiente e uma isca bem construída, alguém sempre vai clicar. A pergunta operacional não é como chegar a zero, mas quanto tempo a equipe de segurança leva para ficar sabendo.
Se o primeiro reporte chega sete minutos depois do envio, a organização tem uma capacidade de detecção precoce que nenhuma ferramenta substitui: pode bloquear o domínio, buscar quem mais recebeu e forçar a troca de credenciais antes que sejam usadas.
Se ninguém reporta nunca, a organização fica sabendo quando já há consequências.
Por isso o objetivo do programa não deveria ser “reduzir o clique”, e sim “aumentar o reporte e reduzir o tempo até o primeiro aviso”. É um objetivo diferente e produz um desenho diferente: é preciso oferecer um canal fácil de usar, comunicá-lo e —sobretudo— agradecer cada reporte, incluídos os falsos positivos. Se quem reporta um e-mail legítimo é feito de bobo, para de reportar.
O diagnóstico muda o conteúdo
Quando se mede antes de capacitar, a formação deixa de ser genérica e se torna específica.
Os resultados quase nunca estão distribuídos de maneira uniforme. Aparecem áreas com exposição muito distinta, e as razões são estruturais, não de “falta de cuidado”:
- Compras e financeiro são sensíveis a iscas de faturas, mudanças de conta bancária e urgências de pagamento. É literalmente o trabalho deles abrir esses e-mails.
- Recursos Humanos abre currículos e documentos de remetentes desconhecidos o dia inteiro.
- Comercial abre mensagens de contatos novos por definição.
- A direção é alvo de iscas personalizadas com informação pública, e costuma ter menos tempo para parar e verificar.
Um curso único para toda a organização desperdiça atenção de uns e fica aquém com outros. Com o diagnóstico em mãos, o programa atribui trilhas por papel e concentra o esforço onde o risco está.
Como fazer sem quebrar a confiança
Um exercício de phishing simulado malfeito deixa dano duradouro: as pessoas se sentem enganadas pela própria empresa e a área de segurança passa a ser percebida como adversária. Recuperar isso leva anos.
Cinco regras que aplicamos sempre:
1. Acordar o marco antes. Direção, Recursos Humanos e —onde couber— a representação dos trabalhadores devem conhecer e aprovar o exercício, sua finalidade e o que será feito com os dados, antes de começar.
2. Anunciar que haverá exercícios, sem dizer quando. Comunicar o programa não invalida a medição: ninguém mantém a guarda alta durante meses. E elimina a sensação de armadilha.
3. Nunca usar iscas que explorem vínculos sensíveis. Décimo terceiro, demissões, resultados médicos, temas familiares. Aumentam a taxa de clique e destroem a confiança. A métrica que se ganha não compensa o que se perde.
4. Métricas agregadas, não listas de nomes. O resultado é reportado por área e por tendência. A identificação individual só faz sentido para atribuir formação, e deve ficar no âmbito acordado. Um ranking de “quem caiu” circulando pela organização garante que ninguém volte a reportar nada.
5. Encerrar com informação útil, não com reprovação. Quem clica deveria ver, naquele mesmo momento, quais sinais a mensagem trazia para ter levantado suspeita. O exercício é formativo ou não é nada.
A curva que se deve esperar
Nos programas sustentados, a evolução segue um padrão bastante estável: a taxa de clique cai de forma marcada entre o primeiro e o segundo exercício, depois se achata, e a partir daí a melhoria sustentada vem do lado do reporte, que sobe de maneira mais lenta, porém mais duradoura.
Esse achatamento não é um fracasso: é o piso realista. A partir daí, a organização deixa de perseguir um zero impossível e começa a construir o que de fato escala —detecção precoce— enquanto a tecnologia cuida de reduzir quantas mensagens chegam à caixa de entrada.
O fechamento auditável
Para quem tem ou está implantando um SGSI, há um benefício adicional que convém aproveitar. A ISO/IEC 27001 exige competência e tomada de consciência, e um controle específico sobre conscientização, educação e capacitação em segurança da informação.
Um programa com avaliações, certificação nominal, métricas por usuário e área, e exercícios simulados com seu relatório de evolução produz exatamente a evidência que o auditor pede, sem trabalho adicional. A alternativa —uma lista de presença de uma palestra— cumpre formalmente e não demonstra eficácia.
O nível Complete incorpora o SORT SecurityAcademy, phishing controlado e campanhas de sensibilização em engenharia social.