Por que um treinamento de Pishing é necessário?

A conscientização sobre phishing deve ser um componente essencial do programa geral de treinamento em segurança cibernética de todas as empresas. A seguir, descrevemos as etapas que as empresas devem seguir ao implementar um treinamento de conscientização sobre phishing.

1. Planeje os materiais educativos para os funcionários
   Como primeira etapa, a equipe de TI deve realizar uma pesquisa intensiva ou fazer parceria com um fornecedor ou especialista em segurança cibernética de boa reputação para entender os riscos exclusivos que a empresa enfrenta. Como parte desse processo, a equipe deve analisar todos os incidentes anteriores que a empresa possa ter sofrido, bem como as ferramentas, as políticas e os procedimentos existentes que podem ajudar a evitar futuros ataques.

   A partir daí, a organização deve desenvolver um programa de treinamento personalizado, bem como ferramentas suplementares, como questionários e simulações, para ajudar os funcionários a fortalecer sua conscientização sobre segurança, adotar práticas recomendadas e observar as políticas da empresa.

O que os materiais educativos devem abordar?

Embora a situação de cada organização seja única e a maioria exija um programa de treinamento personalizado, o currículo sobre phishing deve abranger os seguintes tópicos:

• O padrão típico de ataque de phishing
• Técnicas comumente usadas pelos criminosos cibernéticos
• Características típicas das mensagens de phishing
• A intenção dos atacantes e os resultados típicos de eventos bem-sucedidos
• O que não fazer se um destinatário suspeitar que um e-mail pode fazer parte de uma campanha de phishing
• Como denunciar adequadamente as campanhas de phishing à equipe de TI e às autoridades

Estima-se que 50 a 70% dos ataques de ransomware tenham como alvo empresas de pequeno e médio porte, provavelmente porque os adversários acreditam que as organizações menores não têm medidas de segurança robustas para defender a empresa e seus dados.
Para minimizar esse risco, as empresas, especialmente as pequenas e médias, precisam desenvolver um programa de treinamento de segurança cibernética para os funcionários que os instrua sobre os riscos comuns à segurança, promova um comportamento on-line responsável e descreva as medidas a serem tomadas quando acreditarem que um ataque possa estar em andamento.

2. Atribua um questionário de treinamento sobre ataques de phishing
   Após a conclusão do treinamento, é importante avaliar o conhecimento e a conscientização dos participantes sobre o tópico e sua capacidade de identificar e-mails e mensagens de phishing.

3. Implemente campanhas simuladas de phishing
   Todo programa de treinamento também deve incluir testes de phishing simulados regulares e sem aviso prévio para reforçar o currículo, identificar pontos fracos persistentes e manter a segurança cibernética na mente das pessoas.

   Esses testes podem ser feitos na forma de e-mails, mensagens SMS ou mensagens de voz enviadas e monitoradas pela equipe de TI. As pessoas que clicam em um link, fazem download de um arquivo ou respondem a uma mensagem podem ser redirecionadas para recursos de treinamento relevantes para ajudá-las a melhorar sua conscientização e suas habilidades de segurança cibernética. A equipe também pode usar os resultados desses exercícios para refinar os materiais de treinamento ou criar cursos personalizados sobre tópicos importantes.

4. Ensine os funcionários a denunciar ataques de phishing
   Todo programa de treinamento de conscientização sobre phishing também deve ensinar às pessoas as medidas que devem tomar para gerenciar com segurança e-mails suspeitos de phishing. Isso inclui:

• Não abrir, responder ou interagir com e-mails suspeitos
• Comunicar imediatamente o evento suspeito de phishing à equipe de TI
• Informar os colegas de equipe e de trabalho para que fiquem atentos a mensagens semelhantes

DICA DE ESPECIALISTA
Para tornar a Internet um lugar mais seguro para todos, os grupos de TI corporativos também devem denunciar o phishing às autoridades competentes: phishing-report@us-cert.gov.

5. Avalie os resultados e faça testes regularmente
   Como o phishing é uma ameaça em evolução e persistente, as organizações devem realizar cursos regulares de atualização, bem como programas personalizados para ensinar as pessoas sobre novas campanhas, técnicas e características de phishing.
   A equipe de TI também deve realizar testes e simulações regulares para garantir que os funcionários permaneçam vigilantes na luta contra o phishing. Os resultados desses testes podem ser usados para refinar o programa de treinamento e fornecer instruções intensivas a indivíduos ou equipes que possam estar sob maior risco de comprometimento.

Forneça recursos de phishing prontamente disponíveis
Também pode ser útil – e tranquilizador! – informar as pessoas sobre as medidas adicionais que a equipe de TI está tomando para limitar o risco de phishing e outros ataques cibernéticos. Isso pode incluir uma ampla variedade de ferramentas, serviços, políticas e procedimentos de segurança projetados para limitar a exposição a ataques de phishing em primeiro lugar. Essas ferramentas podem incluir:

• Software antivírus que pode evitar, detectar e remover malware que entra no sistema por meio de phishing.
• Filtros antispam que usam listas de bloqueio predefinidas criadas por pesquisadores de segurança especializados para mover automaticamente os e-mails de phishing para a pasta de lixo eletrônico do usuário.
• Atualizações regulares do navegador e do software para proporcionar defesas mais fortes contra golpes de phishing, já que ataques novos e inovadores são lançados todos os dias.
• Autenticação multifator (MFA), que exige um segundo nível de verificação, como um código de acesso enviado ao seu telefone, antes de obter acesso a uma conta confidencial.
  Saiba mais.