Cybersecurity Awareness Month e risco humano

Cybersecurity Awareness Month pode servir como disparador de comunicação em outubro, mas não basta, sozinho, para atender ao que ISO/IEC 27001:2022, NIST CSF 2.0 e CIS Control 14 esperam. Quando esses marcos são cruzados com a evidência empírica, a conclusão aponta para outra direção: um programa contínuo, mensurável e diferenciado por função, porque nem o curso anual nem a campanha temática reduzem automaticamente o risco humano, segundo os estudos citados.

O que mostra o cruzamento entre campanha, marcos e medição

Colocadas lado a lado, as fontes revelam algo que nenhuma entrega isoladamente. CISA e NIST descrevem uma campanha pública de outubro, enquanto ISO, NIST CSF 2.0 e CIS tratam de expectativas de gestão contínua, diferenciação por função e, no caso do CIS, frequência mínima e métricas de conformidade.

Se outubro existe, por que não basta como programa

CISA define o Cybersecurity Awareness Month como uma iniciativa pública de conscientização e oferece ferramentas para que as organizações montem campanhas, segundo o Cybersecurity Awareness Program e o toolkit oficial da CISA. O NIST situa a campanha em outubro e informa que, desde 2004, o governo dos Estados Unidos e a indústria colaboram durante esse mês, segundo a página oficial do NIST.

A leitura da Whalemate é que isso descreve um veículo de comunicação, não um padrão de conformidade. O próprio material mostra que ISO/IEC 27001:2022 não define o Cybersecurity Awareness Month como requisito, segundo a página pública da ISO, então usar outubro como substituto do programa cria uma lacuna entre campanha e sistema de gestão.

O que a ISO/IEC 27001:2022 exige além de uma campanha

A cláusula 7.3 da ISO/IEC 27001:2022 determina que as pessoas sob controle da organização estejam conscientes da política de segurança da informação, da sua contribuição para a eficácia do SGSI e das implicações de não cumprir os requisitos do SGSI, segundo a reprodução da cláusula feita pela DataGuard. Além disso, a ISO/IEC 27001:2022 é apresentada como um padrão para adotar uma perspectiva baseada em risco, segundo a ISO.

A leitura da Whalemate é que awareness, no contexto da ISO, não equivale a enviar peças em outubro ou a concluir um curso. Se o SGSI exige evidência de como a conscientização se sustenta, como se alinha ao risco e como se integra aos controles definidos na avaliação de riscos, uma campanha isolada funciona como apoio, não como cumprimento suficiente.

NIST CSF 2.0 pede awareness geral ou formação por função

O NIST CSF 2.0 distingue dois resultados objetivos. PR.AT-01 afirma que o pessoal deve receber awareness e training para executar tarefas gerais com os riscos de cibersegurança em mente, e PR.AT-02 afirma que pessoas em funções especializadas devem receber awareness e training para executar tarefas relevantes com esses riscos em mente, segundo o NIST CSF 2.0.

A tensão prática é clara. Uma campanha de outubro ajuda com mensagens gerais, mas não resolve, por si só, a necessidade de formação para funções especializadas prevista em PR.AT-02, segundo o NIST. A leitura da Whalemate é que um CISO precisa separar a população geral dos grupos de maior exposição, como administradores, desenvolvedores ou pessoal com maior risco de engenharia social, antes de definir conteúdo e frequência.

O que o CIS Control 14 acrescenta que ISO e NIST não detalham

O CIS Control 14 se chama Security Awareness and Skills Training e busca influenciar o comportamento da força de trabalho para reduzir riscos cibernéticos, segundo o CIS. O Safeguard 14.1 exige estabelecer e manter um programa, treinar ao ingressar e, no mínimo, anualmente, e revisar ou atualizar o conteúdo pelo menos uma vez por ano ou quando houver mudanças significativas, segundo o CIS Controls v8.

O CIS também exige treinamento para reconhecer ataques de engenharia social, incluindo phishing, pretexting e tailgating, e prevê capacitação específica por função, com exemplos como administração segura de sistemas, OWASP Top 10 para desenvolvedores e social engineering avançado para funções de alto perfil, segundo o CIS. A leitura da Whalemate é que o CIS transforma em prática o que em outros marcos aparece como princípio, programa mantido, atualização e segmentação.

O que de fato se mede e por que completion rate não basta

O NIST informa que programas governamentais usam uma combinação de medidas, incidentes ligados a temas de treinamento, relatos iniciados por usuários, cliques em simulações de phishing, visualização ou interação com materiais e feedback por pesquisas ou entrevistas, segundo o relatório do NIST sobre medição. O mesmo estudo mostra que 84% das organizações analisadas usavam conclusão de treinamento e 72% usavam taxa de clique, segundo o NIST.

Mas o NIST também mostra que a medição madura não fica nisso. Segundo o NIST, 62% mediam relatos de phishing simulado, 53% relatos de phishing real e 64% dos participantes usavam pelo menos cinco medidas de efetividade. A leitura da Whalemate é que completion rate e click rate são métricas de atividade ou de resultado parcial, úteis, mas insuficientes para afirmar redução do risco humano.

Qual é o valor de medir relatos, além de cliques

O NIST define a taxa de clique como a proporção de pessoas que clicaram sobre o total que recebeu o phishing simulado, e a taxa de relato como a proporção de pessoas que reportaram o e-mail suspeito sobre o total de destinatários, segundo o NIST TN.2276. O NIST Phish Scale adiciona contexto sobre a dificuldade humana de detecção do e-mail e o contexto de seus destinatários, também segundo o NIST TN.2276.

A leitura da Whalemate é que o canal de relato merece tanta atenção quanto a taxa de clique. No piloto do NIST com três exercícios embutidos, as taxas de clique ficaram entre aproximadamente 9% e 20% e as taxas de relato entre 26% e quase 35%, segundo o NIST, o que mostra que duas campanhas com o mesmo click rate podem significar coisas distintas se a dificuldade da isca e a capacidade de relato não forem observadas em conjunto.

O curso anual reduz o risco ou só organiza o calendário

O estudo controlado da UC San Diego, com mais de 19.500 funcionários e dez campanhas de phishing simulado ao longo de oito meses, não encontrou relação significativa entre ter concluído recentemente o treinamento anual obrigatório e a probabilidade de cair em e-mails de phishing simulados, segundo a University of California San Diego. No mesmo estudo, o treinamento embutido após um clique reduziu a probabilidade de clicar novamente em aproximadamente 2%, e o treinamento interativo, quando concluído, se associou a uma redução de cerca de 19% na probabilidade de falhar simulações futuras, segundo a UC San Diego.

Em contraste, a KnowBe4 relatou, com base em mais de 60.000 organizações, 32.604.108 usuários e 493.871.295 testes de phishing, que grupos com testes semanais foram 2,74 vezes mais eficazes para reduzir o risco do que grupos com frequência inferior à trimestral, e que grupos com treinamento mensal ou mais frequente e testes semanais ou mais frequentes melhoraram seu Phish-prone Percentage em 96%, segundo a KnowBe4. A leitura da Whalemate é que o desacordo não pode ser varrido para debaixo do tapete, porque a UC San Diego traz evidência controlada sobre treinamento anual e a KnowBe4 traz evidência observacional de clientes do próprio serviço sobre simulações frequentes. A decisão razoável não é acreditar cegamente em uma única fonte, mas distinguir entre evidência de calendário, evidência de intervenção embutida e evidência de desempenho em simulações.

Se os estudos mostram nulo, por que a Verizon vê melhora em relatos

O estudo com 12.511 funcionários de uma empresa fintech não encontrou efeitos principais estatisticamente significativos do treinamento sobre cliques, com p=0,450, nem sobre relatos, com p=0,417, segundo o arXiv. O mesmo estudo mostrou uma taxa geral de clique de 10,4%, contra 9,8% no grupo de controle e 10,5% entre pessoas treinadas, e uma taxa geral de relato de 9,6%, contra 8,9% em controle e 9,7% entre treinadas, segundo o arXiv.

Ao mesmo tempo, uma análise citada sobre o Verizon 2025 DBIR indica que, entre os usuários com treinamento mais recente, aproximadamente 21% relataram phishing simulado frente a uma taxa base de 5%, diferença relativa de cerca de quatro vezes, enquanto o efeito do treinamento recente sobre a taxa de clique foi muito menor, com impacto relativo de 5% por treinamento, segundo a DomainTools ao citar o Verizon 2025 DBIR. A leitura da Whalemate é que a evidência é mais consistente para melhora de relato do que para redução de cliques. Para um programa de outubro, isso muda a decisão: vale investir mais em tornar o relato fácil e visível do que em assumir que o curso, por si só, vai derrubar de forma acentuada a suscetibilidade.

O que acontece quando a norma pede frequência mínima, mas a evidência não promete efeito sustentado

A revisão narrativa publicada em Computers & Security concluiu que o impacto de curto prazo está bem documentado, mas que a evidência sobre mudanças comportamentais sustentadas é limitada, e também relatou que os métodos de training existentes deixavam aproximadamente 23% dos usuários suscetíveis a e-mails de phishing, segundo a Computers & Security. Isso entra em tensão com o CIS Controls v8, que exige treinamento ao entrar e, no mínimo, anualmente, além de revisão e atualização anual do conteúdo ou quando houver mudanças significativas, segundo o CIS.

A leitura da Whalemate é que não há contradição normativa, mas há um alerta operacional. Cumprir a frequência mínima é necessário para o controle, mas não autoriza inferir eficácia sustentada. Se a organização se limita ao mínimo anual, pode cumprir um piso de controle e, ao mesmo tempo, continuar curta na redução real do risco humano.

Phishing e pretexting são o conteúdo mínimo, não o suficiente

O Verizon 2025 DBIR analisou mais de 22.000 incidentes e 12.195 brechas confirmadas, segundo a Verizon, e registrou que aproximadamente 60% das brechas envolveram um elemento humano, segundo a Verizon. Um resumo reproduzido pelo escritório de tecnologia do estado de Nova York indicou que phishing e pretexting aparecem entre as principais ações sociais, e que phishing esteve em 14% dos incidentes e prompt bombing também em 14%, segundo essa reprodução do Verizon 2025 DBIR.

O CIS exige treinamento para reconhecer phishing e pretexting, segundo o CIS Controls v8, e o toolkit da CISA recomenda ensinar a evitar phishing e a reconhecer e reportar atividade suspeita, segundo a CISA. A leitura da Whalemate é que outubro serve para atualizar conteúdos sobre essas táticas, mas o ponto não é publicar peças genéricas e sim ajustar mensagens e simulações aos padrões de engenharia social que hoje geram exposição real.

Que decisão outubro permite a um CISO, TI ou compliance na LATAM

A decisão útil não é fazer ou não fazer campanha em outubro. A decisão útil é usar outubro como marco para revisar se o programa demonstra continuidade, segmentação por funções, medição suficiente e evidência rastreável para auditoria, segundo o cruzamento entre ISO/IEC 27001:2022, NIST CSF 2.0, CIS e NIST.

Para uma equipe da LATAM, isso habilita ao menos seis movimentos concretos. Priorizar funções e grupos com maior exposição, segundo a lógica de PR.AT-02 do NIST CSF 2.0 e a capacitação específica por função do CIS. Atualizar conteúdos diante de phishing e pretexting, segundo CIS, CISA e Verizon. Aumentar a frequência de reforços quando a evidência interna mostrar atraso, sem confundir simulações com incidentes reais, segundo o desacordo entre UC San Diego, arXiv e KnowBe4. Melhorar o canal de relato, porque a evidência mostra melhorias mais consistentes em relato do que em cliques, segundo NIST e Verizon. Separar métricas de atividade, como conclusão ou visualização, de métricas de comportamento, como relatos, cliques, incidentes ligados e desempenho por dificuldade, segundo NIST. E documentar tudo como evidência de programa contínuo para auditoria e compliance, porque a PCI DSS 12.6 exige um programa de conscientização em segurança, e não um curso solto, segundo o material fornecido.

O que ler em seguida?

• Conscientização na plataforma
• ISO, NIST e Verizon medem awareness de phishing
• NIST e CISA explicam engenharia social