Cibersegurança Centrada no Humano: Proposta Brasileira ao NIST Busca Inovação
Destaques
- •Proposta brasileira ao NIST foca em Cibersegurança Centrada no Humano (HCC), mudando o foco de punição para comportamento positivo.
- •A abordagem visa integrar fatores psicossociais e métricas de risco mensuráveis, respeitando privacidade e LGPD.
- •A democratização da HCC para PMEs é essencial, com foco em resultados de negócios e não apenas em treinamentos.
A indústria de segurança da informação investiu bilhões em tecnologias robustas, mas incidentes cibernéticos continuam crescendo. A principal razão é o tratamento do fator humano como ponto fraco, em vez de centro da estratégia de defesa. Uma contribuição técnica enviada ao NIST (National Institute of Standards and Technology), órgão do governo americano, propõe a Cibersegurança Centrada no Humano (HCC) como um conceito que abrange comportamento, cultura organizacional e usabilidade, buscando ir além do debate e focar na prática dos negócios.
O Fator Humano na Prática da Cibersegurança
A proposta reforça a necessidade de estruturar como o risco humano é identificado, mensurado e tratado nas organizações. O aperfeiçoamento do setor depende de uma colaboração entre líderes de tecnologia, CEOs e reguladores. A visão tradicional de simulações de phishing, focada em quantos colaboradores clicaram, é considerada simplista. A avaliação deve focar na efetividade dos controles e na conscientização, medindo o comportamento positivo, como a taxa de reporte de mensagens suspeitas.
O colaborador que reporta uma ameaça atua como um sensor ativo de defesa. A gestão de risco humano precisa considerar fatores psicossociais como sobrecarga de trabalho, burnout e estresse crônico, que afetam a forma como as pessoas lidam com alertas de segurança. O desafio é transformar esses elementos em sinais mensuráveis e preditivos, respeitando a privacidade e a legislação.
Customização, Privacidade e Explicabilidade
Modelos de risco humano rígidos ignoram as diferenças entre empresas. É necessário modelos configuráveis que se aproximem de referências como o NIST Phish Scale e o NIST Cybersecurity Framework 2.0, integrando o comportamento humano à governança corporativa. No caso de inteligência artificial e modelos de scoring de risco, a responsabilidade corporativa aumenta, exigindo que a liderança entenda o porquê de um colaborador ser classificado como de alto risco.
A proposta defende o Unified Human Risk Index (UHRI) sob a premissa da explicabilidade. Essa métrica comportamental calcula a exposição de cada identidade, transformando múltiplos sinais em um indicador de risco contínuo. Essa abordagem se conecta com o artigo 20 da LGPD, que prevê o direito de solicitar revisão de decisões automatizadas, evitando caixas-pretas que rotulam profissionais sem critérios claros.
Democratização do Awareness para PMEs
A cibersegurança centrada no humano não pode ser um privilégio de grandes corporações. Pequenas e médias empresas (PMEs), que somam 95% das empresas no Brasil e são responsáveis por cerca de 27% do PIB, também precisam ter acesso a essa prática. A mudança de métricas de sucesso é fundamental: parar de medir pela quantidade de treinamentos concluídos e focar em indicadores de resultado de negócios, como redução de incidentes reais e custos de remediação.
A evolução do mercado exige uma gestão de risco humano baseada em dados, empatia, privacidade e contexto, deixando o formato tradicional de awareness para trás. O convite é para que a comunidade de segurança da informação e lideranças de negócios apliquem, testem e evoluam esses modelos na realidade brasileira, pois são as pessoas que movem os negócios.
