Um funcionário de uma universidade, ao visualizar um anexo de email, possibilitou que um software mal-intencionado tivesse acesso a dados sigilosos armazenados em seu computador. Tendo como referência inicial essa situação hipotética, assinale a opção correta, a respeito do plano de conscientização de segurança.
- A)A universidade necessita de uma política de segurança cibernética, viabilizada por meio de treinamentos, campanhas de conscientização e outros métodos educacionais que alcancem todos os setores, a fim de prevenir incidentes e proporcionar o uso responsável das tecnologias.
Certa, porque descreve uma política de segurança apoiada por treinamentos e campanhas de conscientização para prevenir incidentes e promover uso responsável da tecnologia.
- B)Um programa de conscientização de segurança não será significativamente menos dispendioso do que outras medidas de segurança, como aquisição de tecnologias específicas de proteção ou contratação de uma empresa externa para conduzir treinamentos de segurança.
Errada, porque o programa de conscientização tende a ser mais econômico, e não menos, do que muitas medidas técnicas ou terceirizações.
- C)Para evitar o tipo de caso em tela, seria pouco profícuo desenvolver um programa eficiente de treinamento, já que esse recurso é um meio pouco econômico de reduzir riscos, especialmente quando foca na conscientização sobre segurança cibernética.
Errada, porque treinamento em segurança é um meio eficaz e custo-efetivo de reduzir riscos, especialmente os ligados ao comportamento do usuário.
- D)Investir no desenvolvimento de um programa de treinamento de conscientização sobre segurança não é uma prioridade no que se refere a processos de identificação e de prevenção do tipo de ataque em questão.
Errada, porque conscientização e treinamento são prioritários para identificar e prevenir ataques como o descrito no enunciado.
Gabarito: A
Esse caso é clássico de conscientização em segurança da informação: o problema não começa com a tecnologia, mas com o comportamento do usuário. Ao abrir um anexo malicioso, o funcionário permitiu a ação de um software que comprometeu dados sigilosos. Em ambientes como uma universidade, onde há muitos usuários e perfis de acesso, a prevenção precisa incluir pessoas, processos e tecnologia, e não só antivírus e firewall. Por isso, a instituição deve manter uma política de segurança cibernética bem estruturada, com treinamentos, campanhas de conscientização e métodos educacionais contínuos. A ideia é criar uma cultura de segurança para que o usuário saiba identificar e evitar riscos como phishing, anexos suspeitos e engenharia social. Isso é compatível com boas práticas amplamente aceitas em segurança da informação: o fator humano é uma das principais portas de entrada para incidentes. A alternativa A está correta justamente porque associa política de segurança a ações de conscientização e treinamento em toda a organização. Em provas, isso costuma aparecer como exigência de integração entre governança, educação e prevenção de incidentes. Sem esse trabalho, a instituição fica dependente de reação depois do ataque, e aí o prejuízo já fez morada. As demais alternativas erram ao minimizar a importância do treinamento ou ao dizer que ele é pouco econômico e pouco prioritário. Na prática, programas de conscientização são medidas fundamentais, relativamente custo-efetivas e muito recomendadas por boas práticas como as da ISO/IEC 27001 e 27002, que tratam a conscientização como componente essencial do sistema de gestão de segurança.