Cultura de segurança e preguiça

Umas horas antes de escrever este artigo, quase fui burlado.

Estava a fazer trabalho focado logo de manhã cedo, como deve ser. Recebi uma mensagem a dizer que a minha encomenda, por algum motivo, não tinha podido ser entregue, e que por isso tinha de confirmar os meus dados num link. Ora, mudei-me há pouco tempo de casa e, por causa disso, tenho encomendado uma data de coisas diferentes de sítios diferentes. Por isso, mesmo parecendo ilógico que uma encomenda em particular tivesse ficado impedida de ser entregue, cliquei no link sem pensar. Resumindo, não estava a prestar grande atenção. Completamente focado em assuntos da Immunefi.

O site que abriu quando cliquei no link no telemóvel era-me bastante familiar: era o site dos correios portugueses:

CTT Correios de Portugal

Na verdade, não era o verdadeiro site dos CTT. Era um frontend igualzinho ao original, presumivelmente à frente de um backend de fachada. Ou pelo menos foi isso que a minha mente distraída viu. O site pediu-me o nome completo e o número de telemóvel, que escrevi prontamente antes de carregar no botão "Seguinte". Isso levou-me a um formulário que me pedia os dados do cartão de crédito, porque havia uma taxa de correio por pagar.

Por incrível que pareça, isso não me fez soar logo o alarme. Mais uma vez, a minha energia mental estava focada em assuntos mais importantes. Mas achei estranho ter de pagar uma taxa. Fosse como fosse, procurei outra forma de pagamento, mas não havia. E foi esse o momento que quebrou o feitiço.

Olhei com atenção para o URL e vi que afinal não era o site dos CTT, mas sim um URL estranho e desconhecido. Tinham-me acabado de enviar um link de burla, que era plausível dada a minha situação pessoal. Cliquei nele distraído, dei o meu número de telemóvel e estive mesmo quase a dar os dados do cartão de crédito. Tendo em conta que o burlão já tinha o meu número, para me ter enviado aquela mensagem, safei-me por pouco.

Cultura de segurança e natureza humana

Como é que eu, autoproclamado génio fenomenal da cibersegurança, quase caí numa burla tão simples para me roubarem dinheiro? Este tipo de coisa só acontece a quem não se preocupa com a segurança ou a quem simplesmente não conhece os riscos. Pois bem, não é assim que as coisas funcionam, e muito menos é assim que os humanos funcionam.

Nos últimos anos, a indústria da segurança tem-se focado sobretudo na ideia de que a solução milagrosa para lidar com o lado humano da cibersegurança é aumentar a sensibilização geral para a segurança. Esta abordagem é claramente errada, ou melhor, incompleta. Os programas tradicionais de sensibilização para a segurança não alcançaram a eficácia pretendida. Perry Carpenter e Kai Roer, no livro The Security Culture Playbook, explicam bem porquê:

A "sensibilização para a segurança" ganhou má fama não por ser ineficaz, mas porque muitas organizações com programas de sensibilização acreditaram, erradamente, que bastava dizer aos funcionários o que se espera deles, ou alertá-los para as ameaças, para terem um ambiente mais seguro.

Sejamos francos, dar informação às pessoas não garante que elas façam alguma destas coisas:

• Compreender a informação
• Lembrar-se da informação
• Dar valor à informação
• Aplicar a informação
• Agir com base na informação

Dar informação às pessoas é só isso mesmo. Transferimos a informação, mas temos pouco controlo sobre o que lhe acontece a seguir.

A minha quase-burla fez-me pensar na realidade da segurança de uma organização. Seria ótimo ter todos os funcionários em grandes sessões de trabalho profundo. Mas estarão as organizações a uma distração de uma falha de segurança?

Preguiça

Recorrendo outra vez ao The Security Culture Playbook, "os humanos são preguiçosos". Bem, isso não é novidade para ninguém que conheça humanos. Mas eles vão mais fundo:

Tendemos a fazer tudo o que podemos para poupar energia. Evitamos fazer coisas para as quais não temos motivação e, mesmo assim, podemos fazer outra coisa qualquer ou procurar atalhos (...).

A nossa energia diária para tomar decisões é finita (...). Do ponto de vista da segurança, é importante ter consciência de que esta reserva diária e finita de energia mental é a mesma que se usa para decidir que e-mails abrir, em que links clicar e que formulários preencher. É a mesma energia que se usa para perceber se um e-mail é um ataque de phishing ou não (...). E adivinhem: o cérebro não quer gastar essa energia; quer voltar à preguiça. O cérebro quer voltar aos comportamentos reflexos e automáticos.

O departamento de segurança de uma organização ficaria felicíssimo se só tivesse de lidar com agentes perfeitamente racionais, como uma IA. Mas as empresas são feitas de funcionários humanos. Pois é, esses mesmos humanos preguiçosos são tanto a principal origem das falhas de segurança como os principais responsáveis pelo crescimento real da empresa, por incrível que pareça.

O que um funcionário faz é muito mais importante do que aquilo que sabe. Embora seja verdade que informação é poder, ou pelo menos a base dele, são os comportamentos e as ações do dia a dia que evitam que alguém caia numa armadilha de segurança. Nenhuma quantidade de conhecimento alguma vez evitou uma fuga de dados; é apenas o que alguém faz no momento da decisão que evita uma fuga ou a deixa acontecer.

Cultura de segurança

A cultura de segurança de uma organização é a espinha dorsal do seu programa de segurança. Quando esse programa está muito focado em lidar com a camada humana, isso é um bom indicador de maturidade. A cultura de segurança molda os comportamentos desses humanos maravilhosos mas desleixados de uma empresa, sobretudo as ações automáticas que se fazem com a cabeça noutro sítio. Mas não se trata só disso. O objetivo deve ser construir uma organização onde as pessoas, os processos e a tecnologia trabalham em conjunto de forma fluida e autónoma - um ciclo virtuoso.

E embora este seja um tema muito divertido, muito interessante e importante para qualquer negócio, um mergulho mais profundo fica para outra ocasião.