O Fator Humano na Cibersegurança

No setor de segurança cibernética, falamos incessantemente sobre ferramentas, ameaças e frameworks, mas raramente sobre pessoas, confiança e o que realmente gera satisfação para o cliente.

Neste conteúdo, Joseph Carson (Chief Security Evangelist e CISO Consultivo na Segura) conversa com David Muniz (Cientista da Computação e líder de Customer Success na Segura) sobre o que o Sucesso do Cliente significa na prática e por que a confiança muitas vezes importa mais do que as funcionalidades técnicas.

Ao longo do caminho, eles exploram como ideias como Zero Trust e a felicidade humana estão mais conectadas do que podem parecer à primeira vista. 

De que Forma a Curiosidade, o Compliance e um Trabalho de Conclusão de Curso levaram David até a Segura

Joseph: Vamos começar com a sua história de origem. Como você entrou nesse setor e acabou vindo para a Segura?

David: Sempre estive na área de computação, mas não da forma que muitos esperam para a cibersegurança. Sou cientista da computação por formação, depois fiz um MBA em gestão de projetos e, mais recentemente, me especializei em cibersegurança.

Minha trajetória na Segura começou, na verdade, com meu projeto final de faculdade. Na época, a cibersegurança não era um tema central nas aulas e ainda estava emergindo. Eu estagiava em uma empresa de telecomunicações, trabalhando em um sistema que controlava a receita dos clientes e planos pagos. Por estar ligado ao faturamento, o sistema estava sob os controles da SOX 404. Então, me aprofundei nisso e escrevi minha tese sobre como as empresas devem avaliar produtos para se alinharem à ISO 27001 e outros frameworks de segurança, como SOX e CIS Controls.

Mais tarde, ao me candidatar a empregos, incluí essa pesquisa no meu currículo. Um dos donos da Segura, Marcus Scharra, viu o título daquela tese e gostou da direção em que eu estava pensando, mesmo que eu ainda não tivesse experiência formal de trabalho em cibersegurança. Foi assim que entrei na Segura.

Comecei na área de documentação, passei para marketing e relações com analistas e hoje estou em Customer Success, com foco em construir e nutrir relacionamentos com as pessoas que, em última análise, mantém a empresa viva: nossos incríveis clientes.

“Você não precisa ser programador para trabalhar em cibersegurança”

Joseph: Ainda vejo pessoas online afirmando: “Você não pode trabalhar em cibersegurança se não souber programar”. Qual é a sua resposta a isso?

David: Isso pode ter sido parcialmente verdade há 20 ou 30 anos, quando a cibersegurança estava mais próxima da engenharia pura. Mas hoje, a cibersegurança é um problema de negócios, não apenas um problema de TI.

Precisamos de pessoas que entendam de:

• Risco
• Governança e compliance
• Comportamento humano
• Comunicação e empatia
• Processos de negócio

Há espaço para pessoas de finanças, RH, marketing, vendas e o que mais você imaginar. A programação é valiosa, mas não é a única porta de entrada.

Joseph: Concordo plenamente. Quando eu costumava contratar novos talentos, os filtros do RH rejeitavam automaticamente candidatos que não tinham certas certificações ou habilidades de programação. Acabei dizendo: “Parem de filtrar. Mandem todo mundo”.

Meu único requisito real era a paixão e o desejo de aprender. Se alguém está motivado, curioso e temos uma equipe que possa mentorá-lo, não me importa se tem zero certificações. A diversidade de habilidades e origens é o que move a cibersegurança de um campo puramente técnico para uma disciplina verdadeiramente focada em pessoas.

Suporte ao Cliente vs. Sucesso do Cliente: Curto Prazo vs. Longo Prazo

Joseph: Você está em Customer Success agora. Muita gente confunde sucesso do cliente com suporte ao cliente. Onde você traça a linha?

David: Gosto de definir isso em termos de tempo:

• Suporte ao Cliente é a curto prazo. O cliente tem um problema específico, algo quebrou, está mal configurado ou confuso, e o suporte ajuda a consertar para que ele continue trabalhando.
• Sucesso do Cliente é a longo prazo. A pergunta é: sucesso para quem? Trata-se da definição de sucesso do cliente ao usar seu produto.

Portanto, nosso trabalho em Customer Success é:

1. Entender por que eles implantaram nossa solução.

• É apenas para cumprir uma exigência de conformidade como SOX 404 ou ISO 27001? 
• É para reduzir o risco operacional? 
• É para melhorar a visibilidade da segurança de identidade?

2. Ajudá-los a definir como medir o sucesso.

• Quais KPIs importam para eles? 
• Como esta ferramenta contribui para seus objetivos de negócio mais amplos, não apenas os técnicos?

Às vezes, nem o cliente sabe ainda como é a cara do sucesso. É aí que temos que fazer perguntas, ouvir profundamente e ajudá-los a traduzir metas de negócios em resultados de segurança mensuráveis.

Joseph: Muitas vezes descrevo isso com uma metáfora: uma viagem de carro.

• O carro é a solução. 
• Os problemas de curto prazo (pneu furado, troca de óleo, algo não funcionando) são o Suporte ao Cliente: manter o carro rodando. 
• O destino (chegar de A a B, bater metas e celebrar a chegada) é o Sucesso do Cliente: garantir que você está avançando em direção aos seus objetivos e realmente aproveitando a jornada.

Às vezes a jornada é fantástica. Às vezes é um pesadelo e você quebra no acostamento. O sucesso do cliente é garantir que levemos repetidamente os clientes a bons destinos, aprendamos com a jornada e a melhoremos ao longo do tempo.

O Coração do Sucesso do Cliente: Confiança como um KPI

Joseph: Então, como é um bom Customer Success versus um ruim?

David: Tudo se resume à confiança.

Na Segura, falamos muito sobre ser centrados no cliente. Isso significa que não aparecemos apenas na hora da compra ou da renovação. Orientamos o cliente em toda a sua jornada: 

• Design e roadmap do produto
• Implementação e integração
• Uso diário e resultados
• Interações de suporte
• Alinhamento estratégico com seus objetivos de segurança e de negócio

O melhor sucesso do cliente da categoria não trata apenas de bater um SLA (Acordo de Nível de Serviço). Trata-se de se tornar um parceiro de confiança, não apenas um fornecedor. Quando um cliente realmente confia em você, ele vê cada interação como humana, não transacional. 

Você sabe que está funcionando quando a confiança aparece nos números: 

• Renovações
• Receita Recorrente Líquida
• Upsells e expansões
• Indicações de clientes
• Advocacia em relatórios de analistas e avaliações de pares

Esses indicadores são o resultado da confiança, não a causa.

Joseph: Exatamente. Vejo a confiança em todos os lugares, até no dia a dia. 

Você não está apenas comprando um serviço; está comprando a confiança de que será tratado com justiça e que, se algo der errado, alguém te apoiará. 

Na cibersegurança não é diferente, e os riscos costumam ser muito maiores. 

Zero Trust vs. Confiança Humana: O “Paradoxo da Confiança”

Joseph: Vamos mudar de assunto para algo relacionado, mas mais técnico: Zero Trust (Confiança Zero). Você tem falado e escrito sobre isso recentemente. Qual é a sua visão?

David: Eu chamo isso de paradoxo da confiança. Do lado humano, queremos mais confiança. Na cibersegurança, dizemos coisas como Zero Trust, o que superficialmente soa como “não confie em nada nem em ninguém”. 

Mas não é bem isso.

Historicamente, falamos sobre Zero Trust conforme popularizado por John Kindervag na Forrester, mas o conceito se baseia em trabalhos mais profundos — em particular, na tese de Stephen Paul Marsh, “Formalising Trust as a Computational Concept” (Formalizando a Confiança como um Conceito Computacional), de 1994.

Ele destaca alguns pontos importantes:

• A confiança não é binária. Não é apenas um 'sim' ou 'não'.
• A confiança é contextual. Você pode confiar em mim para participar de um podcast, mas não para dirigir o seu carro.
• A confiança é condicional. Ela depende do comportamento e do apetite ao risco.
• A confiança é dinâmica. Ela muda ao longo do tempo com base em sinais.

Em arquiteturas Zero Trust, não estamos dizendo que não existe confiança alguma. O que realmente estamos dizendo é: Sem confiança implícita. Gerencie a confiança. Verifique continuamente.

Na prática, isso significa:

• Avaliar continuamente o comportamento do usuário e do dispositivo;
• Compará-lo a um limite de risco definido;
• Permitir, limitar ou bloquear ações com base nesse score de risco dinâmico.

Você ainda precisa de algum nível de confiança para permitir que qualquer coisa aconteça. A diferença é que você está fazendo isso de forma explícita e adaptável, em vez de presumir a confiança cegamente só porque alguém fez login a partir da rede corporativa.

Joseph: Exatamente. É por isso que costumo falar sobre o score de risco dinâmico:

• Você começa com zero suposições, não com zero relacionamentos.
• Cada sinal importa: integridade do dispositivo, MFA, localização, horário, histórico de comportamento, vulnerabilidades conhecidas, campanhas de ataques em andamento, etc.
• Você compara esse score de risco dinâmico com o seu apetite ao risco, que pode mudar com base no contexto, ameaças ou novas informações.

E há outro ponto que eu sempre levanto: o Zero Trust deve estar aliado ao Zero Friction (Atrito Zero). Você pode construir o sistema mais seguro do mundo, mas se ele:

• Bloqueia as pessoas de realizarem seus trabalhos;
• Adiciona 50% a mais de tempo a cada tarefa;
• Interrompe constantemente os fluxos de trabalho;

...seus usuários encontrarão maneiras de contorná-lo ou simplesmente se recusarão a adotá-lo. A segurança que prejudica a produtividade acabará sendo ignorada ou burlada.

O objetivo real é: Melhor segurança, funcionários mais felizes e mais eficazes.

Por que os usuários resistem à segurança — e como resolver

David: Esse é um dos maiores desafios para as soluções de cibersegurança: os usuários não querem que seu trabalho seja interrompido. 

Eles não querem ouvir: 'A partir de hoje, sua tarefa normal levará o dobro do tempo por causa deste novo controle de segurança'. 

As pessoas resistem a isso. Por isso, o objetivo do design deve ser:

• Segurança que se adapta naturalmente à forma como as pessoas trabalham;
• Controles que reduzam o estresse, em vez de aumentá-lo;
• Fluxos que pareçam intuitivos, rápidos e de suporte, não punitivos.

Joseph: Com certeza. É exatamente como dirigir em um país onde todos usam o 'outro' lado da estrada. De repente, sua memória muscular falha e você ativa os comandos errados. É nesse momento que os acidentes acontecem: durante mudanças desajeitadas e mal gerenciadas.

Uma boa segurança deve ser sentida como um piloto automático e um assistente de permanência em faixa, e não como alguém tentando tirar o volante da sua mão a todo instante.

Como a Segura Mantém o "Círculo Duplo" do Encantamento do Cliente

Joseph: A Segura tem a reputação de ter usuários que realmente amam o produto. Vimos isso refletido até em relatórios de analistas e avaliações de clientes. O que torna isso possível?

David: Nós ouvimos e ouvimos de verdade. 

Em um mundo digital obcecado por automação, curtidas e engajamento superficial, é fácil esquecer que relacionamentos, sejam pessoais ou profissionais, são construídos com tempo, atenção e sinais consistentes. 

Para nós, na Segura, isso significa:

• Projetamos o produto com o feedback real dos clientes em mente.
• Alinhamos as capacidades do produto a problemas reais de negócio, e não apenas a termos da moda.
• Mantemos o toque humano, mesmo adotando IA e automação.

Os clientes se sentem ouvidos. Eles sentem que estamos caminhando ao lado deles, e não apenas empurrando um software. É assim que você se torna um fornecedor em quem os clientes confiam, com quem permanecem e quem recomendam.

Automação, IA e a Camada Humana Inegociável

Joseph: Você mencionou IA e automação. Já tive experiências em que empresas tentaram substituir o suporte humano inteiramente por chatbots. Quando o bot não consegue resolver seu problema e não há uma "saída de emergência" para um humano, isso se torna enfurecedor. 

A automação é ótima quando:

• Realmente resolve o problema;
• Economiza tempo;
• Lida com tarefas simples e repetitivas.

Mas, quando sua situação tem nuances ou carga emocional, você precisa de empatia, julgamento e contexto. Coisas em que os agentes humanos são muito melhores hoje. Empresas que buscam 100% de automação correm o risco de:

• Perder o contexto valioso do cliente;
• Perder oportunidades de aprendizado que melhorariam seus produtos;
• Danos à confiança, quando os clientes se sentem presos falando com um roteiro pronto (script).

O futuro não é "robôs em vez de pessoas"; são robôs somados a pessoas, com caminhos claros para um humano quando isso realmente importa.

David: Exatamente. Tanto na confiança humana quanto no Zero Trust, os sinais importam. E os seres humanos são incrivelmente bons em ler sinais complexos. 

Felicidade, Hormônios e Equilíbrio de Vida

Joseph: Como você, pessoalmente, se mantém informado e equilibrado com tanta coisa acontecendo na cibersegurança e no mundo?

David: Não sou um grande espectador da Netflix. Eu prefiro:

• Documentários e filmes baseados em histórias reais;
• Ler livros e notícias curadas (sem me afogar no negativismo).

Um livro que me influenciou muito foi “Sapiens”, de Yuval Noah Harari. Nos capítulos finais, ele fala sobre a ciência da felicidade e o quanto nosso humor é influenciado pelos hormônios e pela química cerebral. 

Parece simples, mas há uma verdade poderosa ali: precisamos entender o que genuinamente nos faz felizes e ativa essas substâncias químicas positivas. Coisas como:

• Praticar exercícios (que eu amo);
• Conectar-se com pessoas e ouvir suas histórias;
• Natureza, ir à praia, caminhar no parque;
• Momentos de quietude para estarmos conosco e "resetar".

O mapa de cada pessoa é diferente. A chave é conhecer o seu próprio.

Joseph: Eu me identifico com isso. Por exemplo, não sou muito fã de academia, mas amo jogar futebol. É onde encontro alegria, movimento e conexão. 

Recentemente, terminei de ler "O Poder do Agora", e isso realmente reforçou algo importante: você não pode mudar o passado, e o futuro ainda não existe. O único lugar onde você pode agir é no agora. Isso é especialmente interessante quando pensamos que o idioma estoniano não possui tempo futuro, então você não consegue "deixar as coisas para amanhã" da mesma forma.

Para os CISOs, essa é uma tensão psicológica enorme:

• Eles se preocupam constantemente com ataques futuros;
• Eles carregam a ansiedade do "E se formos os próximos?";
• Incidentes cibernéticos impactam cada vez mais as operações centrais do negócio.

Fornecedores como a Segura têm a responsabilidade de reduzir essa ansiedade ao:

• Ajudá-los a se tornarem mais resilientes;
• Minimizar o impacto quando (e não se) algo acontecer;
• Apoiar o seu bem-estar mental sendo parceiros confiáveis e transparentes.

David: Exatamente. Somos parte do sistema de apoio do CISO. Se eles confiam em nós e em nosso produto, podem dormir um pouco melhor à noite, sabendo que não estão sozinhos nessa jornada.

Considerações Finais

Joseph: Foi fantástico conversar com você, como sempre. Alguma consideração final? E como as pessoas podem entrar em contato com você se quiserem continuar essa conversa?

David: Se alguém quiser entrar em contato, a melhor maneira é pelo LinkedIn. Basta procurar por “David Muniz” — você verá uma foto de perfil minha usando uma camiseta da Segura. Eu respondo a todas as mensagens. 

Também escrevi alguns artigos sobre confiança, cibersegurança e o lado humano do Zero Trust, que fico sempre feliz em compartilhar.

E meu pensamento final é este:

Muitos ataques cibernéticos começam com a exploração da confiança humana; é isso que a engenharia social realmente é. Se levamos a cibersegurança a sério, precisamos entender não apenas sistemas e frameworks, mas também como a confiança humana é construída, quebrada e reparada.

Colocando a Confiança em Prática na Cibersegurança

A confiança não é construída apenas com políticas ou promessas. Ela é construída por meio de experiências consistentes, resultados claros e uma segurança que trabalha com as pessoas, em vez de contra elas.

Na Segura, esses princípios guiam a forma como projetamos, implementamos e oferecemos suporte à nossa plataforma de segurança de identidade — combinando controles Zero Trust com usabilidade, visibilidade e o sucesso do cliente a longo prazo.

Veja como a Segura coloca a confiança em prática em toda a gestão de identidades e acessos privilegiados →