A empresa que treina para o risco e continua perdendo clientes para o golpe

A apresentação de segurança anual, com a mensagem de que o erro humano é o maior risco, já virou o ritual de fim de ano de quase toda empresa. E quase nenhuma empresa mede se aquilo mudou alguma coisa.

O problema do treinamento é quase sempre o mesmo: ele_addressa o conhecimento, e o incidente acontece por falta de condição. A pessoa sabe que a senha não pode ser reutilizada, e não tem como fazer, porque o sistema não tem gerenciador de senha. A pessoa sabe que a atualização precisa de janela, e a janela nunca é concedida. A pessoa sabe que o e-mail não deve pedir a senha, e o processo de atendimento continua pedindo.

Quando isso acontece, o treinamento vira exatamente o que a empresa não queria: um evento anual que consome uma manhã, gera um registro de participação e não altera comportamento. E a área de segurança, que apostou na solução, percebe que o indicador não se move.

A alternativa não é cancelar o treinamento. É trocar a ordem: primeiro garantir que a pessoa POSSA fazer o que se pede, e depois explicar. O gerenciador de senhas com SSO, o segundo fator que não depende de SMS, a atualização automatizada com política de prioridade, a cartilha no ponto de decisão. Quando a condição existe, o comportamento acompanha, e aí o treinamento funciona.

A medição também precisa ser simples, e não precisa de nada que a empresa não já tenha. Quantas vezes um cliente precisou repassar a senha depois do treinamento. Quantas atualizações foram adiadas depois da announcement. Quantas solicitações de acesso passaram pelo caminho errado. Os números são vergonhosos no começo, e é por isso que valem a pena.

E há um efeito colateral que costuma ser o mais valioso de todos: quando a pessoa percebe que a empresa tirou o estábile do caminho, ela começa a acreditar que o processo funciona. E a confiança no processo é o que faz o procedimento ser seguido quando ninguém está olhando.