Uma empresa está preocupada com a introdução não intencional de malware na rede por parte dos funcionários. A empresa identificou cinquenta funcionários que clicaram em um link incorporado em um e-mail enviado pelo departamento de TI interno. Qual das seguintes opções a empresa deve implementar para melhor aprimorar sua postura de segurança?

O treinamento em engenharia social é a melhor opção porque aborda diretamente o comportamento dos funcionários, que foi a causa raiz do problema (clicar em um link malicioso). Ao educar os funcionários sobre táticas de engenharia social, a empresa pode reduzir significativamente a probabilidade de futuros incidentes. Configurar SPF (Sender Policy Framework) é importante para autenticação de e-mail e prevenção de spoofing, mas não impede que os funcionários cliquem em links maliciosos em e-mails que parecem legítimos. Uma campanha de phishing simulada é uma ferramenta de avaliação para testar a suscetibilidade dos funcionários, mas não é uma solução de segurança por si só; ela deve ser seguida por treinamento. A conscientização sobre ameaças internas é importante, mas o cenário descreve um ataque externo (malware) explorando a engenharia social, não uma ameaça interna intencional.