Por Amanda Torrecilha, Data Protection Officer da Connect2B.

Outubro é o Mês da Conscientização em Cibersegurança e, naturalmente, é uma época em que o assunto ganha mais espaço. Falamos sobre phishing, senhas, proteção de dados, acessos, golpes, uso seguro de ferramentas e tantos outros cuidados que fazem parte da Segurança da Informação.

Eu gosto dessas iniciativas e acho importante aproveitarmos o mês para reforçar o tema. Mas, depois de alguns anos trabalhando com Governança, Riscos e Segurança da Informação na Connect2B e acompanhando de perto a evolução do nosso SGSI, comecei a pensar na conscientização também por outro lado: o que fica quando outubro termina?

Porque, na prática, ninguém acorda pensando que naquele dia vai “praticar cibersegurança”. As pessoas simplesmente trabalham. Recebem e-mails, compartilham arquivos, conversam com clientes e fornecedores, acessam plataformas, testam ferramentas, participam de reuniões e, cada vez mais, utilizam a inteligência artificial.

E é no meio dessa rotina que muita coisa acontece. Quem trabalha em agência conhece bem aquela expressão: “é pra ontem”. É uma brincadeira, claro, mas que traduz um pouco da dinâmica desse mercado: vários projetos acontecendo ao mesmo tempo, mudanças rápidas e a necessidade de acompanhar o ritmo do negócio.

Foi trabalhando nesse ambiente que eu percebi que Segurança da Informação também precisa entender esse ritmo. Não adianta criar um controle que funciona perfeitamente no papel, mas não conversa com a realidade de quem precisa executar. Da mesma forma, não adianta termos política, processo e procedimento muito bem definidos se, na hora H, alguém pega dados pessoais, coloca no corpo de um e-mail e envia.

O documento é importante, claro. Mas ele sozinho não muda o comportamento. Quando a segurança começa a aparecer na rotina Quando começamos a implementar nosso Sistema de Gestão de Segurança da Informação (SGSI), muita coisa precisava ser explicada, reforçada e acompanhada. Isso faz parte do processo. Com o tempo, fui percebendo algumas mudanças que, para mim, dizem bastante sobre conscientização.

Hoje é comum alguém me procurar antes de fazer alguma coisa porque ficou em dúvida. Pode ser sobre compartilhar uma informação, conceder um acesso, contratar um fornecedor ou começar a utilizar uma nova ferramenta. E eu gosto quando isso acontece.

Mesmo quando a demanda é urgente, a resposta não precisa ser simplesmente “pode” ou “não pode”. Primeiro eu tento entender o que a pessoa precisa fazer. Em alguns casos, já temos uma solução aprovada que atende àquela necessidade. Em outros, realmente precisamos avaliar algo novo, entender que tipo de informação estará envolvida e quais cuidados precisamos ter.

A inteligência artificial trouxe ainda mais situações para o nosso dia a dia. Em uma agência, é natural que exista interesse por ferramentas que tragam agilidade, criatividade e novas possibilidades. O cuidado está em não deixar que a facilidade de abrir uma ferramenta e começar a usar faça a gente esquecer do que está sendo colocado ali. Dependendo da atividade, podemos estar falando de informações internas, dados pessoais ou conteúdos de clientes.

Isso não significa barrar a IA. Significa aprender a usar essas ferramentas sem deixar o cuidado com a informação para depois. Mas existe outra situação que talvez represente ainda melhor o que eu percebo como amadurecimento do nosso SGSI. Em algumas situações, quando o alerta de segurança chega até mim, o colaborador já identificou o problema e já sabe como agir.

Um exemplo simples é um e-mail suspeito de phishing. Já aconteceu de o colaborador perceber que havia algo estranho, não clicar nos links, bloquear o remetente e utilizar nosso canal para reportar o ocorrido. Quando a informação chega até mim, meu papel é registrar o alerta de segurança e fazer o acompanhamento necessário.

Para mim, isso diz bastante sobre conscientização. Não fui eu quem precisou identificar o risco primeiro. A pessoa reconheceu a situação, soube como agir e entendeu que também precisava comunicar. E isso traz agilidade para todo o processo.

Quando a ISO deixa de ser “a ISO” A ISO/IEC 27001 foi uma referência muito importante para a construção do nosso SGSI. Ao longo dos anos, estruturamos processos, controles, responsabilidades e uma forma de olhar continuamente para os riscos de Segurança da Informação.

Mas uma das coisas que mais me chamam atenção hoje é perceber que algumas práticas já não são realizadas porque alguém está pensando na ISO. Elas simplesmente fazem parte do trabalho. Foi conversando recentemente sobre o Mês da Conscientização em Cibersegurança que me ocorreu uma coisa: se amanhã, por qualquer razão, não tivéssemos mais a certificação ISO/IEC 27001, nós não deixaremos de fazer tudo isso.

Continuaremos avaliando riscos, cuidando dos acessos, olhando para fornecedores, tratando incidentes e protegendo informações. E aquele colaborador que aprendeu a identificar um e-mail suspeito provavelmente não deixaria de fazer isso porque não existe mais um certificado. As práticas continuariam porque foram incorporadas à rotina.

Para mim, é aí que a conscientização começa a se transformar em cultura. E isso não significa que o trabalho terminou. Muito pelo contrário. Novas ferramentas aparecem, os riscos mudam, as pessoas mudam, o negócio muda e sempre haverá algo para melhorar. Segurança da Informação exige continuidade.

Talvez por isso uma das frases que mais gosto de ouvir no meu dia a dia seja tão simples: “Antes de fazer, achei melhor perguntar.”

Eu não espero que todo mundo conheça a ISO/IEC 27001 ou saiba explicar tecnicamente o que é gestão de riscos. Mas, se diante de uma situação diferente alguém consegue perceber que talvez exista um risco e decide verificar antes de seguir, alguma coisa da conscientização ficou. E é justamente isso que eu espero do Mês da Conscientização em Cibersegurança.

Que outubro seja um momento para falar mais sobre o assunto, reforçar cuidados, compartilhar conhecimento e chamar atenção para riscos. Mas que não termine em outubro. Porque em novembro continuaremos recebendo e-mails, compartilhando arquivos, atendendo clientes, trabalhando com fornecedores, testando novas ferramentas e usando inteligência artificial.

A rotina continua e os riscos também. Por isso, a cibersegurança também precisa continuar fazendo parte dela.