Formação MSP: Com que frequência e que tipo?

De acordo com o relatório Evolving Landscape of the MSP 2024 da Barracuda Network, 38% dos fornecedores de serviços geridos (MSPs) oferecem formação em sensibilização para a segurança (SAT). No entanto, os peritos afirmam que a percentagem deveria ser muito mais elevada devido ao elevado retorno do investimento (ROI), e a SAT é também um bom atrativo para novos clientes. O mesmo relatório mostrou que 24% dos MSPs relataram que a SAT foi um dos atrativos temporais para novos clientes.

De acordo com a Keepnet Labs, a formação em sensibilização para a cibersegurança levou a uma redução de 70% nos riscos relacionados com a segurança em 2023. Segundo a CyberPllot, esta formação pode resultar numa poupança média de $149 anuais por funcionário. A maioria dos especialistas SmarterMSP.com com quem falou dizem que a formação em cibersegurança, feita regularmente, é a forma mais rentável de prevenir violações. A maioria dos especialistas concorda que a formação deve ser envolvente e divertida e fazer dos trabalhadores parceiros e partes interessadas na cibersegurança da empresa.

Formação em cibersegurança como uma linha de defesa crítica

Anthony Haggarty, engenheiro de segurança para um MSP, enfatiza o papel crucial da formação em segurança. “Os ataques cibernéticos estão a aumentar, e o custo para as empresas está a escalar. Infelizmente, muitos desses ataques são bem-sucedidos graças a uma importante fonte de risco para todas as empresas – os seus funcionários,” diz Haggarty, observando que os funcionários são um grande impulsionador de risco para as empresas, desde abrir um email a clicar num anexo ou transferir fundos. “Mas é um risco que pode ser mitigado de forma eficaz e acessível com um plano de formação e sensibilização em educação de segurança.”

Haggarty aponta que é difícil atribuir um valor em dólares ao ROI do treinamento de cibersegurança para funcionários quando se está a medir os efeitos de algo que não aconteceu. Portanto, um MSP e seus clientes têm de ver o treinamento de cibersegurança como um tipo de apólice de seguro que limita danos futuros. "Com o panorama de ameaças de hoje, um ciberataque é praticamente uma certeza, por isso o treinamento de cibersegurança para funcionários é uma apólice de seguro que não é opcional." Ele recomenda que os MSPs realizem treinamento de segurança trimestralmente, no mínimo.

Abordagens à formação

Jonathan Hansen, CEO da MSP com sede no estado de Washington, também destaca a importância da formação. "Vimos em primeira mão como a gamificação e os padrões estruturados transformam os funcionários na primeira linha de defesa de uma empresa, reduzindo riscos e fortalecendo a sua postura geral de segurança. Também vimos as consequências infelizes de empresas que negligenciam a formação em cibersegurança."

Paige Hanson, um especialista em TI, concorda que a melhor formação é contínua. “A formação em cibersegurança não pode ser um exercício único. Precisa ser contínua, adaptativa e envolvente.” Ele acrescenta que a melhor abordagem é diversificar os métodos de formação ao longo do ano e usar diferentes métodos para envolver os colaboradores. Algumas das sugestões de Hanson e pensamentos sobre elas.

• Almoços educacionais: Estes são ótimos porque despertam discussões.
  Formação específica para funções: Estes programas tornam a formação relevante para esse departamento e grupo, em vez de formação genérica, que pode não ser relevante para as pessoas que participam.
• Oradores externos: Um orador convincente pode trazer novas perspetivas
• Exercícios de mesa: Preparar equipas para incidentes.

Hanson também afirma que os MSPs podem aproveitar os dias de conscientização da indústria. "Estas são uma ótima oportunidade para interagir!" Entre eles estão:

• Semana Nacional do Consumidor (2-8 de março)
• Dia Mundial do Backup (31 de março)
• Dia da Gestão de Identidades (8 de abril)
• Dia Mundial da Palavra-passe (1 de maio)
• Mês de Conscientização sobre Cibersegurança (outubro)
• Semana Internacional de Consciencialização sobre Fraude (16-22 de nov)

Formação contínua e envolvente em cibersegurança para MSPs

Enquanto isso, Mike Estep, VP de Comunidades na MSP Blackpoint Cyber, sediada em Denver, pensa que a formação em cibersegurança deveria ser obrigatória para todos os funcionários. "O tempo de atualização depende do tipo de formação, portanto, para quadros de conformidade, deve ser anual, a menos que um quadro mude exigindo passos adicionais," afirma ele.

Para formação específica de produtos como o Microsoft 365, Estep diz que a Blackpoint tornava-a num jogo e oferecia aulas que eram atualizadas rotineiramente a cada 90 dias. No que diz respeito à formação em competências empresariais, a Blackpoint tenta oferecer atualizações a cada quatro a seis meses — não realmente novas versões, mas atualizações. "Para os clientes, fornecemos formação em aplicações como parte dos nossos serviços. Acreditamos que, se os nossos clientes pudessem usar melhor um produto, considerariam a ajuda em termos de eficiência como uma razão para sermos o melhor MSP," explica ele. Estep acrescenta que os quadros de conformidade sempre tiveram que passar por outros fornecedores para a elaboração de relatórios relacionados com auditorias. "É o mesmo para coisas como a Formação em Consciencialização de Segurança. A formação é importante, mas a sua capacidade de sobreviver a uma auditoria é a razão pela qual gostamos de empresas especializadas em relatórios de conformidade SAT."

À medida que o panorama dos ciberataques continua a evoluir, a formação contínua, envolvente e personalizada deixou de ser opcional para se tornar essencial. Quer se trate de sessões trimestrais ou de aprendizagem gamificada, atualizações regulares e métodos de formação adaptativos podem capacitar os colaboradores a tornarem-se a primeira linha de defesa. Em última análise, os MSPs que priorizam a educação em cibersegurança reforçarão a sua postura de segurança e construirão um sucesso a longo prazo para si mesmos e para os seus clientes.

Nota: O artigo apareceu originalmente em SmarterMSP.com.