A curva do esquecimento de Ebbinghaus

Para o colaborador, o que importa na prática é não depender de uma memória. Uma sessão frequentada uma vez não substitui um gesto simples ao alcance da mão.

O NCSC dá um exemplo: reportar uma mensagem de phishing. Segundo a sua página, o reporte é gratuito e demora apenas um minuto: “Reporting a scam is free and only takes a minute.”⁵ O NCSC explica que estes reportes permitem reduzir o número de comunicações fraudulentas recebidas, tornar-se um alvo mais difícil e proteger os outros⁵. O serviço afirma também ter poderes para investigar endereços e sítios fraudulentos e para os fazer retirar⁵.

O NCSC acrescenta um hábito que não exige formação: os criminosos usam as informações disponíveis em linha, incluindo nas redes sociais, para tornar as suas mensagens mais convincentes. Pensar no que se publica e rever as definições de privacidade reduz o risco de ser visado⁵.

A CISA resume os gestos de base em quatro pontos, apresentados durante o mês da cibersegurança, em outubro: evitar e reportar o phishing, usar palavras-passe robustas, ativar a autenticação multifator com um gestor de palavras-passe, atualizar o software⁶. Cada lembrete (um cartaz, uma mensagem interna, um breve ponto de situação da equipa) pode retomar apenas um deles.

Para a direção, as fontes consultadas apontam para a medição, e não para a simples contagem dos participantes. O NIST indica que o seu guia inclui indicadores e métodos de avaliação propostos, para melhorar regularmente o programa³. Precisa também que as recomendações são adaptáveis, para organizações grandes ou pequenas, incluindo as que constroem um programa de raiz³.

O NIST apresenta o seu programa como um processo que gere a sensibilização, a formação e a educação para um conjunto variado de públicos de funcionários federais³. Um segundo projeto público de 2013, entretanto substituído, descrevia um modelo de formação por função para as pessoas com responsabilidades importantes em informática ou em cibersegurança⁴. Nesta ficha, deduz-se que um módulo anual idêntico para todos responde mal a esta diversidade de públicos, mas nenhuma fonte o afirma.

A CISA propõe, por seu lado, um conjunto de ferramentas para o mês da cibersegurança de 2026, com elementos visuais e apresentações que as organizações podem usar nas suas próprias campanhas⁶. A ENISA descreve as políticas dos Estados-Membros da União segundo quatro objetivos: sensibilização, formação, desafios e exercícios². A sensibilização é aí um objetivo entre outros, a par da formação e dos exercícios.

Nenhuma destas páginas fixa um limiar de frequência, por exemplo um número de lembretes por ano. A ficha não apresenta, por isso, nenhum.

O principal documento consultado é a publicação SP 800-50 revisão 1 do NIST, intitulada “Building a Cybersecurity and Privacy Learning Program”. Fornece às agências federais norte-americanas e às organizações orientações para construir um programa de aprendizagem em cibersegurança e proteção da privacidade segundo uma abordagem de ciclo de vida³. Apoia-se em normas, regulamentos, textos legislativos e boas práticas amplamente aceites³.

Esta publicação substitui a SP 800-50 de 2003 e a SP 800-16 de 1998³. A página cita o Cybersecurity Enhancement Act e a circular OMB A-130 entre as leis e os regulamentos associados³.

Uma versão anterior da SP 800-16 revisão 1, datada de outubro de 2013, descreve um modelo de formação por função. Precisa que cada pessoa que detém, utiliza ou gere informações deve compreender bem as suas responsabilidades de segurança⁴. Esta versão é um segundo projeto público e a página indica que foi substituída a 14 de março de 2014 por um terceiro projeto⁴.

O relatório da ENISA de 2021 formula, por seu lado, cinco recomendações sobre a escassez de competências em cibersegurança na União. As páginas consultadas não detalham o seu conteúdo².

Os documentos consultados são guias. As páginas não falam de obrigação legal de uma empresa privada formar os seus colaboradores com uma determinada frequência, e a ficha não afirma nenhuma.

Do lado norte-americano, a versão final da SP 800-50 revisão 1 data de setembro de 2024, depois de dois projetos publicados em setembro de 2021 e em agosto de 2023³. Dirige-se às agências federais e às organizações³.

Do lado europeu, a página da ENISA sobre a cultura de cibersegurança classifica o seu relatório de 2019 entre os conteúdos escritos para o setor privado¹. Lista também alguns eventos: uma terceira conferência europeia sobre sensibilização, prevista para 11 de novembro de 2026¹. As páginas não dizem que organizações aplicam estes guias, nem com que resultados.

Quanto à ideia central desta ficha, continua por verificar numa fonte específica. Uma medição dos comportamentos reais, por exemplo a taxa de reporte de mensagens suspeitas, é coerente com as orientações do NIST. Nenhum dos documentos consultados a quantifica.