Human-Centered Cybersecurity: por que o novo documento do NIST pode mudar a segurança digital
Por décadas, a cibersegurança foi apresentada a partir de uma ideia simples: as pessoas seriam o elo mais fraco da proteção. Essa visão, além de limitada, costuma transferir ao usuário a responsabilidade por falhas que também podem decorrer de sistemas mal projetados, processos confusos e controles difíceis de aplicar.
Um documento conceitual do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST), publicado em 12 de agosto, propõe uma mudança de perspectiva. A chamada Cibersegurança Centrada no Ser Humano – ou Human-Centered Cybersecurity (HCC) – coloca as pessoas, suas necessidades e suas limitações no centro das decisões de segurança. A proposta não é abandonar a tecnologia, mas planejar proteções considerando, ao mesmo tempo, sistemas, processos e quem precisa utilizá-los.
A mudança importa porque segurança digital não acontece apenas por meio de ferramentas e regras. Em uma organização, funcionários identificam mensagens suspeitas, comunicam incidentes, lidam com alertas e tomam decisões que podem reduzir ou ampliar riscos. Reconhecê-los como participantes ativos da defesa é diferente de tratá-los somente como usuários que precisam ser treinados para não errar.
Essa lógica também implica rever a forma como as tecnologias são criadas. Por muito tempo, sistemas foram desenvolvidos com prioridade para a funcionalidade, sem atenção equivalente ao treinamento necessário para operá-los ou às condições reais de uso. Problemas de configuração em serviços de armazenamento em nuvem, por exemplo, ilustram como decisões humanas e escolhas de design podem se combinar e expor dados.
Na perspectiva centrada nas pessoas, quem desenvolve soluções também precisa levar em conta a maneira como usuários interpretam informações, avaliam riscos e escolhem entre alternativas. Isso é particularmente importante na proteção de dados digitais, em que uma interface pouco clara ou um fluxo de trabalho mal planejado pode favorecer decisões inseguras – mesmo quando a pessoa recebeu orientações.
O NIST também chama atenção para os limites de uma estratégia apoiada quase exclusivamente em treinamentos anuais. Muitas empresas partem do princípio de que comportamentos arriscados acontecem principalmente por falta de conhecimento. Mas saber o que fazer não garante que alguém consiga agir corretamente diante de um sistema complicado, de uma rotina pressionada ou de instruções contraditórias.
A conscientização continua tendo valor, mas não resolve sozinha o risco humano. A abordagem HCC abrange também cultura de segurança, comunicação, comportamento, cognição, interação entre pessoas e sistemas, vulnerabilidades e capacidades individuais. Em vez de perguntar apenas se os funcionários participaram de um curso, as organizações precisam avaliar se o ambiente permite que adotem práticas seguras no trabalho cotidiano.
Essa diferença fica evidente nos testes de phishing. Uma simulação não deveria servir para constranger ou punir quem clicou em uma mensagem. O resultado pode revelar se a capacitação está funcionando, se os processos de denúncia são acessíveis e se a equipe sabe como pedir ajuda. Também pode indicar que uma mensagem imitou com eficiência uma comunicação legítima ou que a rotina não deixa tempo para verificar solicitações com cuidado.
Outro princípio importante é que aumentar o número de controles não significa, automaticamente, melhorar a segurança. Medidas que interrompem tarefas, exigem etapas desnecessárias ou não fazem sentido para quem precisa usá-las podem gerar fadiga e estimular atalhos. Quando uma proteção parece impraticável, há o risco de que as pessoas tentem contorná-la, produzindo justamente o efeito contrário ao desejado.
Projetar controles levando a experiência do usuário em conta pode reduzir esse atrito e, ao mesmo tempo, favorecer produtividade, satisfação e motivação. Isso não significa flexibilizar a segurança sem critérios. Significa buscar soluções que sejam compreensíveis e compatíveis com as atividades reais, sem criar obstáculos que levem os usuários a improvisar.
O documento conceitual do NIST é relevante também por apontar caminhos para transformar essa visão em prática. A intenção de desenvolver referências alinhadas aos frameworks da instituição, além de guias, ferramentas, estudos de caso, modelos e treinamentos, pode ajudar empresas a sair do debate abstrato e estruturar ações concretas.
Para gestores, uma aplicação inicial é mapear como as tarefas são realizadas antes de definir ou alterar controles. Conversas com as equipes, análise de incidentes e observação dos fluxos de trabalho ajudam a identificar pontos em que as pessoas encontram instruções ambíguas, sistemas pouco intuitivos ou exigências incompatíveis com a rotina. Essa análise permite corrigir causas estruturais, em vez de atribuir todo problema a uma falha individual.
Também é importante medir resultados de forma mais ampla. A quantidade de treinamentos concluídos ou de simulações realizadas não mostra, por si só, se a organização está mais segura. Indicadores como tempo para reportar um incidente, facilidade para pedir suporte e recorrência de problemas podem oferecer uma visão mais útil. A avaliação deve ajudar a aprimorar processos, e não apenas produzir uma classificação dos funcionários.
A liderança tem papel decisivo nessa transformação. Se a empresa incentiva o relato de erros e situações suspeitas, sem transformar cada ocorrência em motivo de punição, aumenta a chance de receber informações a tempo de responder. Uma cultura de segurança eficaz precisa permitir que as pessoas reconheçam dúvidas, peçam orientação e aprendam com incidentes.
Nos próximos anos, a segurança centrada no ser humano pode aproximar áreas que frequentemente atuam separadas, como tecnologia, gestão de riscos, recursos humanos e comunicação interna. A colaboração entre essas equipes ajuda a criar orientações mais claras, controles adequados às tarefas e treinamentos ligados a situações concretas. O desafio será incorporar essa visão às decisões do dia a dia, e não tratá-la como uma iniciativa isolada.
O avanço proposto pelo NIST não elimina a responsabilidade individual nem substitui as defesas técnicas. Ele amplia a análise: uma postura de segurança mais forte depende de ferramentas confiáveis, processos bem definidos e pessoas capazes de agir dentro de condições realistas. Ao deixar de culpar automaticamente o usuário e passar a compreender como ele interage com o ambiente, as organizações podem construir proteções mais efetivas e sustentáveis.