Por 
Uma campanha de conscientização, vista por CISO, TI e compliance, cruza três frentes que as fontes costumam tratar separadamente: cumprimento mínimo, medição operacional e pressão de risco. O cruzamento mostra que a ISO pede awareness sobre políticas e requisitos, PCI DSS e CIS definem incorporação e piso anual com atualização, e NIST, ENISA e Califórnia pressionam por medir comportamento real com exercícios, KPIs e comparação ao longo do tempo. Com a exposição contínua ao phishing e a lacuna de capacitação na América Latina, tratar a campanha como curso anual ou taxa de conclusão não basta para demonstrar efetividade nem para priorizar intervenções.
Quando colocadas lado a lado, as fontes revelam algo que, isoladamente, não aparece. As normas fixam um piso de cobertura e evidência, mas os referenciais operacionais exigem também observação de comportamento, acompanhamento no tempo e decisões direcionadas por grupo ou função.
| Norma | O que exige | Frequência mínima | O que medir | Evidência auditável | Decisão que habilita | Fonte |
|---|---|---|---|---|---|---|
| ISO Annex SL 7.3 Awareness | Que as pessoas sob controle da organização tenham consciência da política, dos requisitos do sistema de gestão e de qualquer situação ou aspecto que possa afetar os resultados previstos | não especificado | não especificado | não especificado | Garantir cobertura de awareness sobre políticas e requisitos relevantes | ISO |
| PCI DSS 4.0 requisito 12.6 | Atividade contínua de educação em awareness, programa formal para que todo o pessoal conheça políticas, procedimentos e seu papel, revisão do programa, treinamento na admissão, inclusão de phishing, ataques relacionados e engenharia social, uso de múltiplos métodos e reconhecimento anual de leitura e compreensão | Na admissão e pelo menos uma vez a cada 12 meses, revisão do programa pelo menos uma vez a cada 12 meses | não especificado | Reconhecimento do pessoal, pelo menos uma vez a cada 12 meses, de que leu e compreendeu políticas e procedimentos | Atualizar o conteúdo diante de novas ameaças e vulnerabilidades que possam afetar o ambiente de dados do titular do cartão | PCI Security Standards Council |
| CIS Control 14 | Estabelecer e manter um programa de conscientização e habilidades de segurança para influenciar o comportamento da força de trabalho e reduzir riscos, treinar para reconhecer engenharia social, incluindo phishing, BEC, pretexting e tailgating, treinar sobre autenticação e gestão de credenciais | Na admissão e no mínimo anualmente, revisar e atualizar o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa | Percentual de membros em conformidade calculado como M6/M3; se a antiguidade do treinamento superar 12 meses, a salvaguarda recebe pontuação 0 e falha | Antiguidade do treinamento e pontuação de conformidade da salvaguarda | Identificar não conformidade objetiva quando o treinamento supera 12 meses e atualizar o conteúdo por mudanças do negócio | Center for Internet Security |
| NIST SP 800-50 Rev. 1 | Programa de aprendizado de cibersegurança e privacidade como abordagem de ciclo de vida adaptável, incluir métricas e métodos de avaliação para melhorar regularmente o programa e atualizá-lo conforme mudam as necessidades, usar táticas como exercícios de phishing, newsletters, webinars, cenários, smishing, vishing, jogos, questionários, tabletop e laboratórios virtuais | não especificado | Taxas atuais de clique por grupo ou função, se a pessoa reportou o e-mail como phishing, clicou em um link, abriu um anexo, percentual de participantes que mudou um comportamento no trabalho | Métricas e métodos de avaliação do programa, resultados observáveis de exercícios de phishing | Determinar se é necessário treinamento mais focalizado por grupo ou função e melhorar regularmente o programa | NIST |
| California SIMM 5320-A e guia estadual de phishing | Documentar um plano e uma política de exercícios simulados de phishing, desenvolver indicadores-chave de desempenho e limiares, registrar métricas durante o exercício, elaborar um relatório resumido para comparar campanhas ao longo do tempo, campanhas controladas trimestrais para testar reconhecimento em tempo real | O guia propõe campanhas trimestrais; o padrão não especifica frequência mínima geral | Taxa de abertura, taxa de clique, taxa de envio de credenciais em página simulada, taxa de reporte, comparação temporal entre campanhas | Os relatórios dos exercícios devem ser mantidos acessíveis porque podem ser solicitados em auditoria | Exigir treinamento adicional ao pessoal que não atingir o limiar mínimo definido pela entidade | California Department of Technology, California Cybersecurity Integration Center |
| ENISA | Executar simulações regulares de phishing, combinar desenvolvimento de capacidades, avaliações regulares de tendências e desafios, medição de comportamentos de cibersegurança e planejamento de campanhas | Simulações regulares de phishing | Alcance, quantidade de pessoas alcançadas, quantidade de incidentes reportados, resultados positivos de testes, aumento de conhecimento, retorno qualitativo, recursos utilizados e custos | não especificado | Identificar o pessoal que precisa de treinamento adicional e ajustar campanhas conforme tendências e desafios | European Union Agency for Cybersecurity |
| Pressão de risco e lacuna na América Latina | não especificado | não especificado | A telemetria da ESET em 2020 mostrou que o Brasil concentrou 26,4% das detecções empresariais de phishing na América Latina, o Peru 22,8%, o México 12%, a Colômbia 9,1% e a Argentina 7,1%; o ESET 2022 descreveu o phishing como uma via de infecção estável, com média aproximada de 10.000 detecções diárias; a Kaspersky informou que 47% das empresas da América Latina não treinam seus funcionários para detectar golpes online | não especificado | Priorizar países, áreas ou populações com maior exposição e fechar lacunas de treinamento sem usar cifras regionais como benchmark universal de efetividade | ESET, Kaspersky |
Basta cumprir o piso anual de PCI DSS e CIS?
Não. O PCI DSS 12.6.3 exige treinamento na admissão e pelo menos uma vez a cada 12 meses, além de reconhecimento anual de leitura e compreensão das políticas, segundo o PCI Security Standards Council. O CIS Control 14.1 também exige treinamento na admissão e, no mínimo, anual, segundo o Center for Internet Security. A leitura da Whalemate é que esse piso serve para frequência e rastreabilidade, mas não prova por si só mudança de comportamento nem efetividade operacional.
Por que o próprio CIS desmonta a ideia de que o curso anual basta?
A tensão aparece dentro do próprio campo de controle. O CIS define um mínimo anual no Control 14.1, mas também observa que um vídeo anual pré-fabricado acompanhado de testes periódicos de phishing não constitui, sozinho, um programa robusto, segundo o Center for Internet Security. A leitura da Whalemate é que o mínimo anual organiza o compliance, mas o desenho do programa precisa ser mais frequente, mais contextual e mais específico para o risco real.
O que NIST, ENISA e Califórnia acrescentam que não aparece no piso normativo?
A NIST SP 800-50 Rev. 1 propõe uma abordagem de ciclo de vida, com métricas e métodos de avaliação para melhorar regularmente o programa, segundo o NIST. A ENISA recomenda simulações regulares de phishing e medição de comportamentos, segundo a European Union Agency for Cybersecurity. A Califórnia exige plano, KPIs, limiares, registro de métricas e relatórios comparáveis ao longo do tempo, e seu guia propõe campanhas trimestrais, segundo a California Department of Technology e a California Cybersecurity Integration Center. A leitura da Whalemate é que essas fontes deslocam a conversa de dar treinamento para observar se o comportamento muda.
O que realmente se mede em uma campanha de conscientização?
Separar cobertura de comportamento é a parte crítica. Para cobertura, PCI DSS e CIS permitem olhar incorporação, vigência anual, revisão do conteúdo e reconhecimento de políticas, segundo o PCI Security Standards Council e o Center for Internet Security. Para comportamento, NIST propõe medir cliques por grupo ou função, reportes, abertura de anexos e mudança observável no trabalho, enquanto a Califórnia soma abertura, clique, envio de credenciais e reporte, segundo o NIST e a California Cybersecurity Integration Center.
Aberturas e cliques servem como KPI principal?
Servem, mas não bastam sozinhos. A CISA descreve relatórios de campanhas que mostram quantos usuários abriram e quantos clicaram, segundo a Cybersecurity and Infrastructure Security Agency. A SANS identifica a taxa de clique e a taxa de reporte como duas métricas centrais, segundo o SANS Institute. Mas o NIST alerta que avaliar a efetividade usando só a taxa de clique isola mal o fenômeno humano e a dificuldade da mensagem, segundo o NIST. A leitura da Whalemate é que cliques e aberturas servem como sinal, não como veredito.
Por que o NIST questiona a leitura linear da taxa de clique?
Porque a mesma taxa pode significar coisas diferentes se muda a dificuldade do e-mail ou o contexto humano. O NIST descreve a NIST Phish Scale como uma medida da dificuldade de detecção humana de um e-mail de phishing, criada em 2019 com dados empíricos do mundo real, segundo o NIST. A leitura da Whalemate é que comparar campanhas sem ponderar a dificuldade pode levar a decisões erradas, por exemplo reagir de forma exagerada a um clique alto em uma simulação muito mais sofisticada.
