Human Risk Management: o que mede e o que habilita

Para CISO, TI e compliance na América Latina, o Human Risk Management cruza três camadas que costumam aparecer separadas: as normas exigem um programa contínuo de awareness e training, não um curso isolado; analistas e vendors descrevem HRM como medição contínua de comportamento e risco humano; e o valor operacional surge quando essa medição permite priorizar intervenções, realocar recursos e reportar à direção com métricas de risco, não apenas com conclusão de cursos.

O que aparece ao comparar normas e HRM operacional

Colocadas lado a lado, as fontes mostram algo que raramente fica explícito: o mínimo normativo exige continuidade e estrutura, enquanto o HRM adiciona uma camada de quantificação comportamental que habilita decisões operacionais concretas. Essa diferença separa um programa que apenas cumpre de um que de fato gerencia risco humano. Segundo a Living Security, o relatório State of Human Risk 2026 analisou 4,9 milhões de identidades e 55,9 milhões de sinais ao longo de dois anos, o que reforça a escala com que hoje esse problema é medido.

As normas pedem awareness ou gestão de risco humano?

As normas do material falam, прежде de tudo, de awareness, education, training e programa formal. A cláusula 7.3 da ISO/IEC 27001:2022 exige que as pessoas estejam cientes da política, da sua contribuição para o SGSI e das implicações de não cumprir, o controle 6.3 da ISO/IEC 27002:2022 pede conscientização, educação e capacitação apropriadas com atualizações regulares conforme o papel, e PCI DSS v4.0 requisito 12.6 exige implementar um programa formal de security awareness.

A leitura da Whalemate é que esse mínimo normativo não basta, por si só, para gerir risco humano. Serve para demonstrar que existe programa, continuidade e estrutura. Não resolve automaticamente quais pessoas, equipes ou terceiros precisam de intervenção prioritária nem qual evidência mostraria que o risco humano de fato caiu.

Por que a Forrester deixa a conformidade como objetivo secundário?

A Forrester defende que uma solução de HRM deve detectar e medir comportamentos de segurança, quantificar risco humano, iniciar intervenções baseadas nesse risco e construir uma cultura de segurança positiva. Nessa mesma linha, cumprir requisitos de awareness aparece como um caso de uso secundário diante da mudança de comportamento e cultura.

A tensão com ISO e PCI não é uma contradição normativa, mas uma diferença de nível. As normas fixam um piso. A Forrester descreve o que um programa deveria fazer se o objetivo não for apenas passar por auditoria, e sim reduzir exposição. Para um CISO, isso muda o KPI principal: de conclusão e presença para comportamento observável e risco quantificado.

O que falha quando o programa mede atividade e não comportamento?

A Hoxhunt observa que muitos programas tradicionais de awareness se concentram em métricas de atividade, como a conclusão de cursos. A Infosec Institute, por sua vez, sustenta que HRM deve se basear no comportamento real do usuário e integrar dados em tempo real de SIEM, endpoint e rede para construir um risk score mais completo.

A leitura da Whalemate é que medir atividade ajuda na auditoria administrativa, mas não na priorização operacional. Um curso concluído não mostra se a pessoa reporta phishing, evita erros no manuseio de dados ou repete comportamentos de risco. O HRM surge justamente quando a unidade de análise deixa de ser a aula feita e passa a ser o comportamento observado.

O que se mede de fato em Human Risk Management?

As fontes convergem em um conjunto bastante concreto. A Adaptive Security fala em cliques em phishing, relatos de atividade suspeita, acompanhamento de políticas e pontuações de risco dinâmicas por empregado. A Hoxhunt acrescenta métricas orientadas a resultados, como redução de cliques em phishing real, aumento de relatos válidos e diminuição de erros no manuseio de dados. A Infosec Institute soma redução de erros humanos, queda de cliques em simulações e aumento de relatos de e-mails suspeitos. Segundo a Living Security, 74,8% do comportamento de risco veio dos 10% mais arriscados da força de trabalho, e dois em cada três integrantes desse 10% mais arriscado de 2026 eram novos em relação à lista do ano anterior.

Nem todas as fontes usam a mesma taxonomia, mas seguem a mesma lógica. A medição deixa de ser binária e passa a acompanhar sinais de conduta, exposição e resposta. Isso permite enxergar risco por indivíduo, por área, por função ou por etapa do ciclo de vida do empregado.

O que a integração técnica acrescenta ao awareness isolado?

A Infosec Institute descreve o HRM como uma disciplina que integra sinais em tempo real de SIEM, endpoint e dispositivos de rede. A Living Security diz que o HRM unifica dados de comportamento, acesso, identidade e exposição a ameaças em uma única visão de risco humano por indivíduo. A Arctic Wolf propõe correlacionar atividade de identidade, padrões de acesso e sinais de comportamento para tratar o risco humano como componente mensurável do risco cibernético total.

A leitura da Whalemate é que essa camada técnica transforma o awareness em uma função de segurança operacional. Se o programa fica isolado em LMS, cursos ou campanhas genéricas, ele não conversa com identidade, acesso nem telemetria. Quando conversa, a equipe consegue decidir com mais precisão onde treinar, onde endurecer controles e onde revisar permissões ou processos.

O que significa que o risco humano seja contínuo e não anual?

O PCI DSS 12.6 exige um programa formal, o controle 6.3 da ISO/IEC 27002:2022 pede atualizações regulares adaptadas ao papel e o NIST SP 800-50 recomenda avaliar periodicamente a efetividade do programa. Do lado operacional, a Adaptive Security propõe formação disparada por comportamento e não por calendário, enquanto a Mimecast descreve uma evolução para ciclos contínuos de medição e melhoria centrados nos usuários de maior risco.

A tensão é clara. A conformidade costuma se organizar em marcos periódicos, muitas vezes anuais. O HRM, em contraste, trata o risco como algo que muda com ameaças, hábitos, funções e contexto. Para TI e CISO, isso permite sair de campanhas por data e ir para intervenções por sinal. Depois de concluir planos de ação, os empregados passaram 68% menos tempo em um estado arriscado; a melhora se manteve por 12 meses, segundo a Living Security.

O HRM serve só para insiders?

A Mimecast concentra o foco principal em ameaças internas e em identificar e monitorar primeiro os usuários que representam maior risco. A Proofpoint define HRM como uma abordagem abrangente voltada a entender, medir e mitigar riscos associados ao comportamento humano dentro da organização, e a Doppel trata funcionários, contratados e terceiros como uma superfície de ataque crítica que pode ser monitorada, testada e aprimorada de forma sistemática.

A leitura da Whalemate é que reduzir HRM a insider risk é estreito demais. O material o posiciona como uma camada transversal para gerir exposição criada por funcionários, contratados e terceiros, tanto diante de erros quanto de ameaças externas que exploram comportamento humano. Isso é relevante na América Latina, onde terceirização, rotatividade e acessos distribuídos adicionam complexidade operacional.

Que decisão um risk score humano habilita que as normas não resolvem?

A Adaptive Security sustenta que tratar o comportamento do funcionário como sinal dinâmico e quantificável permite priorizar intervenções, informar o board e justificar investimento. A Arctic Wolf conecta essa medição a decisões sobre treinamento, reforço de controles e mudanças de acesso conforme perfis de risco. A Forrester diz que o risco quantificado deve disparar intervenções de política e formação.

A leitura da Whalemate é que aí está a diferença operacional mais importante. As normas dizem que deve existir um programa. O risk score permite decidir quem deve ser intervencionado primeiro, com que intensidade, com que suporte e se é necessário complementar treinamento com controles técnicos ou mudanças de acesso. Sem essa camada, compliance tem evidência de existência, mas a segurança não necessariamente tem evidência de priorização.

Como muda o reporte à direção quando se adota HRM?

O NIST SP 800-50 pede estabelecer métricas de desempenho e avaliar periodicamente a efetividade. A Adaptive Security adiciona relatórios de risco no nível do conselho como parte de um programa funcional. A Hoxhunt insiste em métricas orientadas a resultados para demonstrar redução de risco.

A leitura da Whalemate é que o reporte muda de formato e de conversa. Em vez de mostrar apenas quantos concluíram um curso, a equipe pode mostrar quais comportamentos pioraram ou melhoraram, quais áreas concentram mais exposição, quais intervenções foram aplicadas e quais resultados tiveram. Esse tipo de relatório é muito mais útil para a direção porque conecta investimento, risco e ação corretiva.

O que ISO, PCI e NIST implicam para compliance na América Latina quando cruzados com HRM?

ISO/IEC 27001:2022 exige awareness dentro de um SGSI que deve ser continuamente melhorado, a ISO/IEC 27002:2022 pede atualizações regulares adaptadas ao papel, o PCI DSS 12.6 exige um programa formal de conscientização, o NIST SP 800-50 recomenda métricas e avaliação periódica e o NIST Cybersecurity Framework posiciona awareness and training dentro de Protect.

A leitura da Whalemate é que compliance não fica fora do HRM, mas muda seu padrão de evidência. Já não basta provar calendário, conteúdo e presença. O cruzamento com HRM empurra a demonstração de que o programa é contínuo, segmentado, mensurável e ajustável, e de que gera decisões de mitigação sobre pessoas, equipes e processos de maior risco.

Como isso se traduz em uma operação concreta de HRM?

A Whalemate apresenta o HRM como um sistema que modela contexto, simula, treina, mede, intervém e reporta, em vez de se limitar a ministrar cursos genéricos. O site público descreve módulos de simulações avançadas, treinamento adaptativo, analytics de risco humano e um agente de conscientização. Além disso, o risk score consolida sinais de simulações, cursos, relatos e comportamento para priorizar intervenções e apoio a usuários de alto risco, e não para fins disciplinares.

A leitura da Whalemate é que uma operação madura de HRM junta a base normativa com a camada comportamental. Ela não substitui o programa exigido por ISO ou PCI. Ela o torna acionável para CISO, TI e compliance quando é preciso decidir no dia seguinte qual área intervir, quais usuários precisam de apoio adicional e onde vale alocar orçamento, tempo do SOC ou reforço de controles.

Consequência operacional

Para um CISO, TI ou compliance na América Latina, a consequência prática é direta. Um programa contínuo e estruturado de awareness e training é o mínimo exigido por ISO/IEC 27001:2022, ISO/IEC 27002:2022, PCI DSS v4.0, NIST SP 800-50 e NIST Cybersecurity Framework, mas o padrão operacional descrito por Forrester, Adaptive Security, Hoxhunt, Arctic Wolf e Infosec Institute exige medir comportamentos, quantificar risco humano e usar essa evidência para priorizar intervenções. Se amanhã for preciso decidir algo, a pergunta deixa de ser apenas se o programa existe e passa a ser quais pessoas ou equipes concentram mais risco, que intervenção cabe, quais recursos convém realocar e qual métrica vai demonstrar que o risco humano caiu.

O que ler depois?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta
• Human Risk Management (HRM)
• KnowBe4 and Human Risk Management

O que é human risk management, HRM?

Human Risk Management, ou HRM, é uma abordagem para medir de forma contínua o comportamento e o risco humano, e usar essa medição para priorizar intervenções, realocar recursos e reportar à direção com métricas de risco. Ele não substitui o awareness, mas adiciona quantificação comportamental para decidir onde agir primeiro.

Nesta nota, o HRM aparece como a camada que vai além do cumprimento formal de normas como ISO/IEC 27001:2022, ISO/IEC 27002:2022 e PCI DSS v4.0, porque permite detectar padrões, segmentar por função e manter ajustes contínuos com base em evidência real. Também conecta sinais de segurança com decisões operacionais, como treinamento, reforço de controles e acompanhamento por audiências. Segundo a Mercer, People Risk 2026 se baseou em respostas de 4.517 profissionais de RH e riscos, em 26 mercados e 12 indústrias.