A ciência explica: a metodologia “perfeita” para ensinar cibersegurança

Por Priscila Meyer — CEO da Eskive, especialista em segurança da informação com foco no risco humano

Nos últimos anos, tenho acompanhado uma mudança importante na maneira como as empresas passaram a enxergar o fator humano dentro da cibersegurança. A conscientização deixou de ser vista apenas como uma ação complementar e passou a ocupar um espaço mais próximo da gestão de riscos, à medida que os ataques se tornam mais sofisticados e exploram decisões tomadas por pessoas em situações reais.

Ao mesmo tempo, ainda existe uma dificuldade importante para muitas organizações: como transformar informação em aprendizado e, principalmente, aprendizado em comportamento?

Essa não é uma pergunta exclusivamente relacionada à tecnologia ou à segurança da informação. Ela também pertence ao campo da psicologia cognitiva, da educação e das ciências que estudam memória e aprendizagem. Quando aproximamos esses conhecimentos das orientações de frameworks como o NIST Cybersecurity Framework e de modelos de maturidade como o SANS Security Awareness and Culture Maturity Model, encontramos uma convergência interessante sobre algumas características que um programa de conscientização precisa apresentar para ser efetivo.

Não acredito que exista uma metodologia única capaz de funcionar da mesma forma para todas as organizações. O perfil das pessoas, os riscos, a cultura, os processos e o próprio contexto de negócio influenciam a maneira como um programa deve ser construído. Existe, porém, um conjunto de princípios que pode orientar essa construção com muito mais segurança do que simplesmente escolher temas e disponibilizar treinamentos.

A Curva de Ebbinghaus e o problema do treinamento pontual

Quando falamos sobre memória e aprendizagem, é quase inevitável chegar ao trabalho de Hermann Ebbinghaus. Seus experimentos, realizados ainda no século XIX, contribuíram para demonstrar que a retenção de informações diminui ao longo do tempo quando não existe uma oportunidade adequada de revisão ou recuperação.

A chamada Curva do Esquecimento de Ebbinghaus acabou se tornando uma das representações mais conhecidas da ciência da memória. É importante, porém, fazer uma ressalva: ela não deve ser interpretada como uma fórmula universal capaz de determinar exatamente quanto uma pessoa irá esquecer depois de determinado número de dias. O valor de seu trabalho está principalmente na demonstração de que a memória sofre deterioração e de que a repetição e a prática podem alterar esse processo.

Décadas de pesquisas posteriores ajudaram a transformar esse princípio em estratégias mais aplicáveis. Entre elas está a prática distribuída, que consiste em distribuir as oportunidades de aprendizagem e revisão ao longo do tempo, em vez de concentrá-las em uma única sessão. Uma importante síntese quantitativa conduzida por um professor nova-iorquino e colaboradores analisou centenas de experimentos e encontrou evidências consistentes de benefício da prática distribuída para a retenção de longo prazo.

Quando penso nisso dentro de um programa corporativo de segurança, uma consequência parece bastante natural: o treinamento inicial continua sendo importante, mas dificilmente deveria ser considerado a etapa final do processo de aprendizagem.

Um colaborador pode compreender perfeitamente o conceito de phishing durante uma sessão de treinamento e, meses depois, encontrar dificuldades para reconhecer uma tentativa sofisticada em sua caixa de entrada. Isso não significa necessariamente que o treinamento tenha sido ruim. Pode significar simplesmente que conhecimento e retenção são fenômenos diferentes.

É por isso que pequenos momentos de reforço, revisões periódicas, situações contextualizadas e oportunidades de aplicação podem ter um papel importante.

O que os testes têm a ver com aprendizagem?

Outro fenômeno bastante estudado pela psicologia cognitiva é o chamado testing effect, ou efeito de testagem. Em experimentos conduzidos por Henry Roediger e Jeffrey Karpicke, os pesquisadores observaram que a recuperação ativa de uma informação pode contribuir mais para sua retenção posterior do que simplesmente estudar novamente o mesmo material.

Em determinadas condições, os participantes que haviam sido submetidos a testes de recuperação apresentaram melhor desempenho em avaliações realizadas dias depois, mesmo quando o grupo de comparação havia recebido mais oportunidades de estudo.

Isso traz uma reflexão interessante para os programas de conscientização: uma pessoa assistir a um vídeo sobre phishing é uma experiência de aprendizagem. Pedir que essa mesma pessoa analise uma mensagem, identifique os sinais de manipulação e decida qual procedimento deveria seguir acrescenta uma camada diferente — ela precisa recuperar conhecimento e aplicá-lo a uma situação.

Essa diferença também ajuda a explicar por que atividades como simulações, questionamentos, cenários e exercícios práticos podem ser complementares ao conteúdo tradicional.

Não se trata de afirmar que um quiz ou uma simulação seja automaticamente melhor do que uma aula. O ponto é que um programa diversificado oferece diferentes oportunidades para que o conhecimento seja recuperado e aplicado, algo particularmente relevante quando o objetivo final não é apenas lembrar um conceito, mas tomar uma decisão adequada diante de uma situação de risco.

E onde entra a andragogia?

Existe ainda outra característica importante quando falamos de conscientização corporativa: estamos, na maior parte das vezes, ensinando adultos. A teoria da andragogia, associada principalmente a Malcolm Knowles, ganhou relevância justamente por propor uma reflexão sobre as particularidades da aprendizagem de adultos, destacando aspectos como autonomia, experiência prévia, relevância prática e orientação para problemas.

É importante, porém, não transformar a andragogia em uma espécie de fórmula universal. A literatura acadêmica apresenta críticas e resultados mistos quando se tenta demonstrar experimentalmente que métodos classificados como “andragógicos” são superiores aos métodos tradicionais. Uma revisão da literatura experimental encontrou resultados bastante heterogêneos, e trabalhos posteriores continuam apontando limitações na utilização da teoria de Knowles.

Em vez de procurar na andragogia uma receita pronta, podemos aproveitar alguns princípios que fazem sentido em conjunto com o conhecimento contemporâneo sobre aprendizagem: considerar a experiência anterior do indivíduo, apresentar conteúdos relevantes para suas atividades, trabalhar problemas concretos e permitir algum grau de participação e autonomia.

Em segurança da informação, isso significa que um programa não deveria necessariamente partir da pergunta “qual treinamento vamos aplicar?”, mas de uma pergunta anterior: “qual comportamento precisamos desenvolver ou reforçar e em quais situações esse comportamento será necessário?”. A partir daí, a estratégia educacional pode ser construída de maneira muito mais próxima da realidade daquele público.

O NIST também fala em aprendizagem contínua

Essa visão não está restrita à academia. A publicação NIST SP 800-50 Rev. 1 — Building a Cybersecurity and Privacy Learning Program, publicada em 2024, apresenta uma abordagem de ciclo de vida para programas de aprendizagem em segurança cibernética e privacidade. O documento recomenda que esses programas sejam estruturados para evoluir continuamente, considerando mudanças nos riscos e nas necessidades da organização, e associa explicitamente aprendizagem à mudança comportamental e à construção de uma cultura de segurança.

O NIST também recomenda que programas considerem diferentes públicos e necessidades, em vez de pressupor que todo profissional possui exatamente os mesmos requisitos de aprendizagem. Essa perspectiva é particularmente relevante quando falamos em risco humano.

Um profissional de Recursos Humanos, por exemplo, pode lidar diariamente com documentos pessoais, informações sensíveis e solicitações que utilizam engenharia social. Uma pessoa do Financeiro pode estar especialmente exposta a fraude de pagamentos, alteração de dados bancários e falsos fornecedores. Um executivo pode receber ataques direcionados que exploram autoridade, urgência e informações disponíveis publicamente.

Todos precisam compreender princípios gerais de segurança, mas isso não significa que devam receber exatamente a mesma experiência de aprendizagem. O próprio NIST SP 800-50 Rev. 1 propõe uma abordagem de ciclo de vida que envolve planejamento, implementação, avaliação e melhoria do programa. Em seu modelo de maturidade, um programa otimizado é descrito como um elemento integrado aos processos organizacionais e continuamente monitorado e aprimorado.

Do treinamento para a gestão do risco humano

Já o SANS Security Awareness and Culture Maturity Model, atualizado este ano, estabelece cinco estágios de maturidade que vão desde a inexistência de um programa até uma abordagem otimizada e resiliente. Entre esses estágios está o nível Compliance Focused, no qual o programa é predominantemente orientado ao cumprimento de requisitos e costuma utilizar treinamentos anuais ou realizados de maneira pontual. Em níveis posteriores, a atenção passa pela mudança comportamental, cultura, métricas e resultados organizacionais.

A contribuição desse modelo, na minha visão, está justamente em separar duas coisas que muitas vezes aparecem misturadas: ter um treinamento e ter um programa maduro de gestão do risco humano. O primeiro pode ser uma exigência necessária, enquanto o segundo precisa ser uma disciplina contínua.

A “metodologia perfeita” existe?

A ciência da aprendizagem nos ajuda a compreender a importância da repetição distribuída, da recuperação ativa e da aplicação do conhecimento. Os estudos sobre educação de adultos contribuem para refletirmos sobre relevância, experiência, autonomia e contexto, ainda que a própria literatura recomende cautela ao transformar a andragogia de Knowles em uma explicação absoluta sobre aprendizagem.

Os frameworks de segurança acrescentam outra dimensão: aprendizagem precisa estar conectada a risco, funções, processos, métricas e melhoria contínua. O NIST SP 800-50 Rev. 1 estrutura essa visão como um ciclo de vida, enquanto o SANS oferece uma perspectiva de maturidade que ajuda a entender a evolução de um programa orientado inicialmente a compliance para uma abordagem mais estratégica de comportamento e cultura.

Quando juntamos essas diferentes perspectivas, surge uma arquitetura que considero bastante razoável para programas de conscientização: risco como ponto de partida, aprendizagem contínua, conteúdos contextualizados, prática e recuperação, feedback, métricas adequadas e melhoria permanente.

Não é uma receita universal, e certamente não elimina a necessidade de controles técnicos, processos bem desenhados e outras camadas de proteção. Mas estabelece um padrão mínimo para que a conscientização seja tratada como parte efetiva da gestão de risco, e não apenas como uma atividade de comunicação ou uma obrigação anual.

Na minha experiência, talvez essa seja uma das evoluções mais importantes que precisamos fazer enquanto mercado: deixar de perguntar apenas quantas pessoas foram treinadas e começar a perguntar com mais frequência quais comportamentos precisamos desenvolver, como estamos ajudando as pessoas a desenvolvê-los e quais evidências temos de que o programa está contribuindo para reduzir o risco.

A partir dessa mudança de perspectiva, a discussão sobre conscientização deixa de ser simplesmente um debate sobre treinamentos e passa a fazer parte de uma conversa muito mais ampla sobre aprendizagem, comportamento, cultura e gestão de risco humano. E, talvez, seja justamente nessa interseção entre ciência e segurança que esteja o caminho para construir programas cada vez mais consistentes.