Avaliando o risco humano: por que as taxas de conclusão não são suficientes
A taxa de conclusão mede a participação, não o comportamento nem o risco. O que realmente deve ser medido para saber se a exposição da sua organização está diminuindo.
· 5 min
Pergunte a muitas organizações como está indo o treinamento de segurança delas e elas responderão com uma porcentagem de conclusão. 80% das pessoas concluíram o curso. Parece um bom número. Na verdade, isso não diz nada sobre o risco.
O que a taxa de conclusão realmente mede?
A taxa de conclusão mede apenas uma coisa: quantas pessoas clicaram até o final de um conteúdo. Ela não mede se elas entenderam, não mede se o comportamento delas mudou e, acima de tudo, não mede se o risco da organização diminuiu. É uma métrica de participação disfarçada de métrica de segurança.
Um certificado comprova que uma pessoa participou de um curso. Não comprova que ela agirá de maneira diferente no momento em que isso for importante.
O que medir, por outro lado
- O comportamento real: como as pessoas realmente agem, e não apenas se concluem os cursos
- A concentração do risco: onde e em quem a exposição é maior
- A evolução ao longo do tempo: o risco está diminuindo, e onde
- A reação sob pressão: como as pessoas se comportam no momento da escolha, e não em um quiz
Da participação ao resultado
A diferença está entre uma organização que pode afirmar “treinamos todos” e outra que pode afirmar “nosso risco diminuiu, e sabemos onde”. A primeira tem uma métrica de conformidade. A segunda tem uma métrica de segurança. Somente a segunda é realmente útil, perante um conselho administrativo ou em uma auditoria.
- apenas 28% algumas organizações combinam treinamento e monitoramento de comportamento (Mimecast)