CISA e NIST medem simulações de ciberataque

As simulações de cyber attack não devem ser avaliadas por uma única taxa de clique. Para um CISO, equipes de TI ou compliance, o mais útil é entender que capacidade o exercício testa, qual variável alterou o resultado e que ajuste de programa passa a ser possível. A ISO/IEC 27001:2022 exige consciência, educação, treinamento e atualizações periódicas de acordo com a função, enquanto CISA e NIST avançam para exercícios, métricas e correções mais operacionais.

Antes de analisar cada fonte separadamente, o conjunto mostra algo que nenhuma delas entrega sozinha: a norma define o programa, a CISA define o exercício e o NIST, junto dos estudos, empurra as métricas e as variáveis que realmente mudam o resultado.

O que a ISO/IEC 27001:2022 realmente pede e o que não define?

A ISO/IEC 27001:2022, na cláusula 6.3 e no controle A.6.3, exige consciência, educação, treinamento e atualizações periódicas adequadas à função, segundo a cópia da norma e o resumo de controle fornecidos. Ela não fixa uma KPI de simulação nem obriga a observar uma única métrica. A leitura da Whalemate é que a norma define o dever de programa, não o painel de controle.

O que a CISA entende por cyber exercise e simulated cyberattack?

A CISA, no NICCS, define cyber exercise como um evento planejado para simular uma disrupção cibernética e desenvolver ou testar prevenção, detecção, mitigação, resposta ou recuperação. A CISA também define simulated cyberattack como um ataque autorizado e simulado para avaliar defesas e encontrar fraquezas exploráveis. A leitura da Whalemate é que o exercício vale pela capacidade que coloca à prova, não pela teatralidade da isca.

Por que a CISA insiste em exercícios anunciados e não anunciados?

A CISA, em seus Cybersecurity Performance Goals, diz que os exercícios podem incluir penetration testing, bug bounties, simulações de incidentes ou exercícios de mesa, e devem incluir testes anunciados e não anunciados. Isso altera a qualidade da evidência, porque evita que a equipe responda apenas pela expectativa do calendário. A leitura da Whalemate é que o anúncio ou a surpresa são variáveis de desenho, não detalhes administrativos.

Quais métricas o NIST usa para avaliar conscientização?

Em seu estudo sobre programas de conscientização, o NIST relata que as métricas mais usadas foram taxa de conclusão do treinamento, cliques em simulações de phishing e auditorias ou avaliações do programa. O mesmo estudo também cita reportes de phishing simulado e real como insumo de avaliação. A leitura da Whalemate é que a medição útil combina conformidade formal com comportamento observável.

O que acontece quando a dificuldade ou a personalização da isca muda?

A Phin Security, ao resumir um estudo acadêmico, afirma que a dificuldade do phishing simulado teve efeito substancial, com cliques subindo de 7% com iscas fáceis para 15% com iscas difíceis. No estudo hospitalar da SAGE, a personalização aumentou de forma significativa a probabilidade de interação, com 64% que não abriram o phishing genérico ante 38% que não abriram o personalizado. A leitura da Whalemate é que o resultado depende muito do desenho do estímulo.

O treinamento convencional basta para reduzir o risco?

A Phin Security resume um estudo longitudinal com mais de 14.000 funcionários ao longo de 15 meses e diz que o treinamento convencional integrado não tornou os funcionários mais resilientes ao phishing e pode ter tido efeitos negativos não intencionais. O mesmo resumo acrescenta que simulações contínuas e treinamento direcionado reduziram aproximadamente pela metade as taxas de comprometimento bem-sucedido em até seis meses. A leitura da Whalemate é que o programa precisa fechar o ciclo entre simulação, análise, intervenção e ajuste do treinamento.

O que isso significa para um CISO, TI ou compliance na América Latina?

A decisão útil para amanhã é parar de tratar a simulação como um rito de awareness e transformá-la em teste de capacidade. Isso significa definir se serão medidos abertura, clique, envio de dados, reporte, auditoria e desempenho em exercícios anunciados e não anunciados, conforme o objetivo do programa. Também significa decidir se o problema está no desenho da isca, na capacidade de detecção e reporte ou no treinamento feito depois.

Para TI e segurança, isso muda a operação, porque exige manter rastreabilidade de campanhas, segmentação, resultados e ações corretivas. Para compliance, muda a evidência, porque já não basta provar que houve treinamento, mas sim que o programa gera atualização periódica e correções observáveis. Para o CISO, a decisão concreta é se o programa é governado por uma única taxa de clique ou por um conjunto de sinais que permitam ajustar controles e treinamento.

O que ler em seguida?

• Conscientização na plataforma
• LATAM: o que avaliar em plataformas de awareness
• NIST e CISA explicam engenharia social