Nas últimas décadas, a indústria de segurança da informação construiu fortalezas digitais impressionantes. O mercado investiu bilhões de dólares em firewalls de última geração, criptografia complexa e sistemas robustos de detecção de ameaças.

Apesar dos esforços, os incidentes cibernéticos continuam escalando em frequência e severidade. A razão para esse descompasso é um segredo aberto no mercado B2B: o fator humano continua sendo tratado como a ponta mais fraca da corda, quando deveria ser o centro da estratégia de defesa das organizações.

Leia também: Exclusivo: Entire, do ex-CEO do GitHub, chega ao Brasil e passa a hospedar código em São Paulo

Recentemente, tive o privilégio de enviar uma contribuição técnica ao NIST (National Institute of Standards and Technology), órgão do governo americano que dita as principais referências globais em frameworks de cibersegurança. Minhas recomendações foram direcionadas ao Human-Centered Cybersecurity Guidelines and Resources Concept Paper.

Ao analisar a proposta da instituição, ficou evidente que a comunidade global finalmente entendeu a urgência da Cibersegurança Centrada no Humano (HCC) — um conceito que amplia o olhar técnico para abraçar o comportamento, a cultura organizacional e a usabilidade.

Porém, apenas debater os fundamentos do conceito já não é mais suficiente. É necessário aprofundar essa abordagem e trazê-la para a prática dos negócios. Nesse contexto, é preciso estruturar como o risco humano é identificado, mensurado e tratado dentro das organizações.

É por isso que reforço essa discussão para levar a público: o aperfeiçoamento do nosso setor depende de uma construção coletiva entre líderes de tecnologia, CEOs e reguladores.

Além do clique: o que realmente estamos medindo?

O primeiro passo para amadurecer o setor é transformar as simulações de phishing. Historicamente, o mercado utiliza esses testes como uma ferramenta punitiva ou meramente estatística: “quantos colaboradores clicaram?”.

Essa é uma visão simplista, eu diria mais, é míope!

As simulações devem avaliar a efetividade real dos controles e da conscientização. Mais importante do que mapear a falha é mensurar o comportamento positivo, como a taxa de reporte de mensagens suspeitas.

O colaborador que reporta uma ameaça atua como um sensor ativo de defesa, não como um elo frágil, como até hoje foi rotulado.

A gestão de risco humano precisa se conectar com a realidade psicológica do ambiente corporativo. Fatores psicossociais como sobrecarga de trabalho, burnout e estresse crônico podem mudar drasticamente a forma como as pessoas lidam com e-mails e alertas de segurança.

O grande desafio que propus ao NIST, e que estendo ao mercado, é descobrir como transformar esses elementos em sinais mensuráveis e preditivos, respeitando rigorosamente os limites da privacidade, da proteção de dados e da legislação trabalhista.

Customização, privacidade e explicabilidade

Não existem duas empresas iguais. Modelos de risco humano rígidos ignoram que organizações de diferentes portes e setores possuem níveis de maturidade e tolerâncias ao risco completamente distintos. Precisamos de modelos configuráveis.

Defendo que nós, profissionais e empresas que estamos à frente dessa indústria, aproximemos a Cibersegurança Centrada no Humano de referências que o próprio mercado já valida, como o NIST Phish Scale e o NIST Cybersecurity Framework 2.0, integrando o comportamento humano à governança corporativa tradicional.

Quando entramos no terreno da inteligência artificial e dos modelos de scoring de risco por usuário, a responsabilidade corporativa dobra. Se uma plataforma aponta que o “Colaborador X” possui um risco alto, a liderança precisa entender o porquê.

Acredito que essa mudança de visão não pode deixar de considerar o UHRI (Unified Human Risk Index, ou Índice Unificado do Risco Humano) sob a premissa da explicabilidade desde a sua concepção.

Ou seja, essa métrica comportamental que calcula a exposição de cada identidade passa a fazer mais sentido porque transforma os múltiplos sinais em um indicador de risco contínuo, em vez de apenas monitorar se o funcionário clicou ou não em um link simulado de phishing.

No cenário brasileiro, essa abordagem se conecta diretamente com o artigo 20 da LGPD, que prevê o direito de solicitar a revisão de decisões automatizadas.

O mercado B2B de segurança cibernética não pode mais aceitar caixas-pretas que rotulem profissionais sem critérios claros e auditáveis.

Democratização do awareness para PMEs

Outro ponto que vale ser destacado é que a cibersegurança centrada no humano não pode mais ser um privilégio de corporações com orçamentos milionários e equipes de TI gigantescas.

A segurança da informação precisa ser viável e aplicável para as pequenas e médias empresas que hoje formam um ecossistema nacional de negócios.

Segundo dados oficiais do Sebrae Nacional, os pequenos negócios somam 24 milhões de empresas ativas e representam 95% do total de empresas do país.

Mais do que isso: são responsáveis por injetar R$ 51 bilhões mensais em salários e responder por cerca de 27% do PIB brasileiro. Temos, só nesse patamar, um mar de oportunidades de negócios e também de vulnerabilidades.

Então, a virada de chave para democratizar essa prática está na mudança das métricas de sucesso.

Precisamos parar de medir a eficácia da segurança pela quantidade de treinamentos burocráticos concluídos nas plataformas de treinamento e passar a perceber que o sucesso real da segurança é medido por indicadores de resultado de negócios: redução de incidentes reais, diminuição dos custos de remediação, aumento de reportes e redução efetiva da superfície de risco da empresa.

A evolução do mercado exige que deixemos o formato tradicional de awareness de lado para abraçar uma gestão de risco humano baseada em dados, empatia, privacidade e contexto.

O convite que faço à comunidade de segurança da informação e às lideranças de negócios é para que não sejamos meros espectadores das diretrizes internacionais.

Precisamos aplicar, testar e evoluir esses modelos no dia a dia das nossas empresas e da nossa realidade de mercado. Afinal, quem move negócios são pessoas.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!