0 
0 Jerich Beason, CISO, Banco Comercial da Capital One, equipara a Grande Demissão com a grande integração.
“Se você é um líder cibernético, provavelmente está integrando novos talentos este ano. Minha experiência é que a primeira semana a bordo define o tom para o mandato dessa pessoa”, ele escreve em um post online . “Não tome esta oportunidade de ânimo leve. Você só tem uma chance de causar uma primeira impressão.”
Ele diz que as tarefas críticas a serem executadas durante a integração incluem fornecer uma visão geral da visão, missão e valores fundamentais da segurança, bem como orientar os novos funcionários pela estratégia e roteiro de segurança.
Outros CISOs ecoam os insights de Beason, dizendo que é essencial incluir novos funcionários de forma rápida e eficaz no programa de segurança cibernética da organização.
Um relatório de 2021 da TalentLMS e Kenna Security fala sobre a necessidade de atenção nessa área. Eles pesquisaram 1.200 funcionários sobre seus hábitos de segurança cibernética, conhecimento das melhores práticas e capacidade de reconhecer ameaças de segurança e descobriram que, embora 69% dos entrevistados tenham recebido treinamento de segurança cibernética de seus empregadores, 61% falharam em um teste básico sobre esses assuntos.
Líderes de segurança veteranos dizem que existem maneiras de melhorar o treinamento de segurança, começando nos primeiros dias de trabalho de um funcionário. Aqui eles oferecem sete estratégias sobre como tornar a integração de segurança mais eficaz.
1. Certifique-se de que eles saibam que a segurança cibernética faz parte de seu trabalho
Novos funcionários estão sendo bombardeados com informações e sua capacidade de reter dados altamente técnicos ou processos muito detalhados durante o processo de integração provavelmente é limitada.
“Quando alguém chega a bordo, fica sobrecarregado – tem um novo emprego, nova tecnologia, novo chefe”, diz Lance Spitzner, diretor técnico do programa Security Awareness & Training do SANS Institute.
Portanto, em vez de tentar fornecer todo o treinamento de segurança cibernética necessário de uma só vez, Spitzner recomenda transmitir a mensagem principal de que, como funcionários, eles têm um papel e responsabilidade pela segurança.
“Não queremos que as pessoas pensem: ‘Tenho antivírus e temos uma equipe de segurança, então estou pronto’”, diz ele, observando que os programas de integração mais eficazes são aqueles que definem expectativas e cultivar uma mentalidade de segurança. “Eles garantem que os novos funcionários saibam que a segurança cibernética faz parte de seus trabalhos, que não é apenas o trabalho da equipe de segurança cibernética, que eles são tão responsáveis por isso quanto todos os outros.”
2. Certifique-se de que eles saibam como fazer seu trabalho com segurança
Dado o enorme volume de informações que chegam aos novos funcionários, CISOs veteranos dizem que sessões de segurança eficazes ensinam a eles especificamente o que eles precisam para começar a fazer seu trabalho com segurança e garantir que eles tenham o básico.
“Vi a integração em que o treinamento de conscientização é bastante geral e, na página final, à medida que terminam, há um conjunto de links para as políticas específicas da empresa, informações de contato se houver um evento e um link para o seguro portal. Isso não é muito útil se eu for um novo funcionário e os detalhes sobre as ferramentas que realmente preciso para fazer meu trabalho estão no último slide”, diz Andrew Retrum, diretor administrativo da Prática de Segurança e Privacidade da Protiviti.
Em vez disso, ele diz que a integração deve se concentrar em ensinar os novos funcionários sobre os recursos, funções e ferramentas de segurança específicos a serem usados, bem como as políticas da empresa sobre e-mail seguro, classificação adequada de dados, troca segura de informações protegidas com terceiros e manuseio de outras tarefas típicas em uma moda segura.
“Elas precisam ser claramente articuladas, então, quando o funcionário começa a fazer seu trabalho diário, ele sabe como fazê-lo com segurança”, diz Retrum.
3. Envolva
Outro conselho relacionado de CISOs veteranos: não dê palestras, mas envolva-se.
“A mensagem é que somos todos responsáveis pela segurança e parte do sucesso da segurança. É isso. Todos nós temos que trabalhar juntos nisso. Mas [conseguir a adesão dessa mensagem] se resume a mostrar a eles que eles são importantes e criar conectividade”, diz Rich Lindberg, vice-presidente de segurança da informação e CISO da JAMS Inc., uma empresa que oferece serviços alternativos de resolução de disputas, e um membro do conselho consultivo com o capítulo sul da Califórnia da Society for Information Management (SCSIM).
Para construir um relacionamento, Lindberg diz que ele ou um dos membros de sua equipe passa algum tempo conversando com novos contratados.
“Eu poderia fazer um briefing informativo, eu poderia apenas dar as regras, mas em vez disso é ‘Oi, como você está? Quem é Você. Aqui está quem eu sou. Aqui está o que é o nosso departamento. Aqui está o que podemos fazer por você. Conte conosco sempre que precisar de ajuda.”
“Eu os trato como se fossem meus clientes e garanto um alto nível de atendimento ao cliente.”
4. Adapte o treinamento de integração à sua própria organização
Grande parte das mensagens para novos funcionários é padrão em todas as organizações, mas os CISOs precisam de mais do que um módulo de treinamento genérico, diz Jason Rader, vice-presidente e CISO da empresa global de tecnologia Insight Enterprises.
“Descobri, e recebemos feedback sobre isso, que os módulos podem ser tão genéricos que são inúteis”, diz Rader, explicando que as opções de treinamento de prateleira podem atender aos requisitos de conformidade, mas não necessariamente equipam novos trabalhadores com o conhecimento de que precisam para operar com segurança.
Ele viu sessões de treinamento usarem vídeos que simplesmente diziam “siga a política de trazer seu próprio dispositivo da sua empresa” e “siga a política de senha da sua própria empresa ” sem fornecer as políticas reais.
Como resultado, Rader diz estar atento para complementar o material básico de integração com mais informações específicas do próprio programa de segurança da Insight. “Estou tentando torná-lo muito específico para a organização, comigo e o CIO falando sobre como isso funciona para nós”, acrescenta.
Em uma nota semelhante, a Retrum lembra os CISOs de atualizar e atualizar seu treinamento conforme necessário. Como ele aponta: “Os riscos mudam, então o que era relevante 18 meses atrás pode não ser agora”.
Por exemplo, ele viu o treinamento de segurança se concentrar na segurança física sem menção ao smishing — phishing por meio de mensagens de texto — mesmo que o primeiro possa ser um risco menor e o segundo em ascensão.
5. Cubra o básico em uma abordagem padronizada
Terence D. Jackson, consultor-chefe de segurança da Microsoft, ex-CISO e autor de uma lista de verificação de segurança de integração, diz que encontrou empresas cuja integração de segurança foi feita de maneira ad hoc.
“Não foi formalizado, era mais um conhecimento tribal, onde você se junta a alguém em um cenário do tipo sombra, que não era apoiado por documentação ou materiais de treinamento”, lembra ele.
Jackson e outros alertam contra essa abordagem, além de assumir que os trabalhadores de hoje chegam com um entendimento básico de segurança cibernética.
Eles enfatizam a necessidade de cobrir os fundamentos de segurança em uma abordagem padronizada e repetível para garantir que todos – independentemente de sua função, experiência e longevidade na força de trabalho – saibam exatamente o que se espera deles.
“Você não pode esperar que alguém siga uma regra sobre a qual você não fala, que você não definiu”, diz Rader.
Beason diz que o Capital One normalmente incorpora pessoas que fazem sua primeira incursão na vida corporativa, trabalhadores de longo prazo e outros intermediários; sua experiência passada não é garantia de que eles saberão tudo o que se espera deles.
“Queremos que todos os novos trabalhadores conheçam as expectativas que temos, porque a segurança não é a mesma em todas as organizações”, diz ele. “Então, antes de dar acesso ao seu ambiente a alguém, você quer ter certeza de que eles podem operar naquele ambiente com segurança, para que conheçam as melhores práticas e uso aceitável, como usar e-mail, quais são suas expectativas. Você quer dar a eles esses fundamentos.”
6. Adaptar o treinamento ao indivíduo, ao papel
Embora as informações sobre os elementos de segurança fundamentais devam ser consistentes e padronizadas, alguns CISOs dizem que obtiveram sucesso ao compartilhar essas informações em diferentes formatos.
“É ter uma abordagem básica com a capacidade de adaptá-la às necessidades do indivíduo e construir a partir daí. Acredito que os melhores programas incorporam essa mentalidade”, diz Jackson.
Ele acrescenta: “Dê [aos trabalhadores] as modalidades que eles precisam; ser flexível para atender às suas necessidades. Programas que fazem isso tendem a ser melhores do que aqueles com perspectivas de tamanho único.”
Jackson aponta para sua experiência de integração mais recente, que permitiu que novos funcionários lessem, ouvissem ou simultaneamente lessem e ouvissem o material. Ele mesmo diz que muitas vezes prefere ouvir materiais de treinamento, mas prefere ouvir e ler juntos ao receber informações mais complexas.
Além disso, ele diz que os programas de treinamento de integração bem-sucedidos tendem a adaptar materiais avançados para funções e unidades de negócios e também usam ferramentas de treinamento que permitem que novos funcionários passem rapidamente pelo material que podem demonstrar que sabem para que possam concentrar mais atenção no novo material.
É tudo uma questão de encontrar os trabalhadores onde eles estão. Jackson acrescenta: “Tente manter o funcionário no centro”.
7. Faça das aulas de integração parte do treinamento contínuo
Ram Hegde, vice-presidente sênior e CISO da Genpact, uma empresa de gerenciamento de serviços de TI, acredita que a mensagem de segurança para novos funcionários deve ser “leve, mas eficaz”.
E como outros, ele acredita que as pessoas não podem absorver todo o material que estão recebendo ao iniciar um novo emprego.
“Então provavelmente não é o melhor momento para bombardeá-los ou planejar fazer muita coisa. Pense em um treinamento básico, concentre-se nos maiores riscos”, acrescenta Hegde.
Com isso em mente, ele utiliza um módulo de treinamento interativo online, que permite que os novos trabalhadores passem rapidamente pelo material que já conhecem e passem mais tempo com novas informações.
“Isso garante que eles obtenham o que precisam, mas não os mantém por mais tempo do que o necessário”, diz ele, acrescentando que teve feedback sobre o material usado anteriormente que era longo, chato e redundante – tudo isso levou a empresa para passar para o módulo mais curto e envolvente.
A empresa então acompanha, lançando treinamentos mais detalhados para novos trabalhadores à medida que eles se acomodam em seus empregos.
“Para nós, queremos ter certeza de que estamos atingindo os principais aspectos primeiro, permitindo uma variedade de origens e, em seguida, temos treinamento mais direcionado com base no perfil do funcionário”, explica Hegde.
Outros enfatizam a importância dessa abordagem, apontando que ela se alinha com as melhores práticas amplamente difundidas de que o treinamento de conscientização de segurança não é um exercício único.
“Você não pode construir de forma realista bons comportamentos de segurança em 30 minutos [de treinamento], não importa o quão interativo seja”, diz Spitzner. “Portanto, a parte fundamental para tornar as novas pessoas seguras é o treinamento contínuo ao longo de sua carreira. Então, quando eles a bordo, você diz a eles que é sua responsabilidade e, enquanto estiver aqui, você será continuamente treinado em segurança cibernética. Esse treinamento contínuo é o que realmente constrói essa cultura de segurança.”
FONTE: CSO ONLINE