Por 
A tese é direta: na ISO/IEC 27001:2022, awareness não se cumpre com um curso anual e uma lista de presença. A cláusula 7.3 define o que todas as pessoas sob controle da organização precisam saber, e o controle 6.3 exige um programa formal, recorrente e alinhado ao cargo. Quando isso é confrontado com a evidência empírica, medir só conclusão ou cliques fica insuficiente, e o treinamento anual isolado aparece como um modelo fraco tanto para auditoria quanto para a operação.
O que muda quando se leem juntas a cláusula 7.3, o controle 6.3 e a evidência
Nenhuma fonte do material coloca, numa mesma visão, o que a ISO/IEC 27001:2022 exige, o que a ISO/IEC 27002:2022 acrescenta e o que os estudos mostram sobre resultados reais. Colocadas lado a lado, as fontes indicam que a obrigação normativa já existe, mas a discussão relevante passa por cadência, segmentação e métricas de comportamento.
| Tema | O que exige | A quem se aplica | Cadência | O que medir | Sinal sobre efetividade | Fonte |
|---|---|---|---|---|---|---|
| ISO/IEC 27001:2022 cláusula 7.3 | As pessoas que trabalham sob o controle da organização devem estar cientes da política de segurança da informação, de sua contribuição para a eficácia do SGSI, inclusive dos benefícios de melhorar o desempenho de segurança, e das implicações de não atender aos requisitos do SGSI | Toda pessoa sob o controle da organização, empregados, contratados e terceiros incorporados, segundo ISO27001.com | não especificado | não especificado | Define a consciência mínima requerida, mas não prescreve métricas de resultado | ISO27001.com |
| ISO/IEC 27002:2022 controle 6.3 | O pessoal da organização e as partes interessadas relevantes devem receber informação, conscientização, educação e treinamento apropriados em segurança da informação, e atualizações regulares da política, de políticas temáticas e de procedimentos, de acordo com sua função, segundo Aviso Consultancy | Pessoal da organização e partes interessadas relevantes | Atualizações regulares | não especificado | Vincula awareness, education e training com responsabilidades de segurança e alinhamento com política e procedimentos | Aviso Consultancy |
| UpGuard sobre implementação de 6.3 | Estabelecer e manter um programa formal de awareness, education and training, usar a avaliação de riscos para definir temas, segmentar o público e desenvolver conteúdo por função, com treinamento antes do acesso e revisão em caso de mudança de função, segundo UpGuard | Todo o pessoal e partes interessadas relevantes, com awareness geral para todos e formação mais profunda para equipes técnicas | A cadência mínima é anual, mas a UpGuard diz que annual training is the floor, not the ceiling, e recomenda reforços trimestrais para funções com acesso elevado ou dados sensíveis | não especificado | Empurra um programa contínuo e segmentado por risco e função, não uma instância única | UpGuard |
| TCSA sobre a operação de 7.3 | Documentar o que toda pessoa no escopo deve conhecer, fazer uma sessão curta ou módulo com aceite da política antes de conceder acesso, incluir empregados, contratados, temporários, estagiários e pessoal terceirizado, e manter visão de cobertura, segundo TCSA | Empregados, contratados, temporários, estagiários e pessoal terceirizado dentro do escopo | Dia um antes do acesso, com acompanhamento contínuo da cobertura | Cobertura e conclusão de awareness e training por população, incluindo contratados | Prioriza cobertura operacional e controle de acesso, mais do que resultados comportamentais | TCSA |
| NIST sobre medição de programas | não especificado | não especificado | não especificado | Taxas de clique em simulações de phishing e reporte de phishing simulado e real, segundo o NIST | Essas são as métricas que as organizações usam para avaliar a efetividade do treinamento relacionado a phishing | NIST |
| Verizon sobre resultados de programas contínuos | não especificado | Usuários acompanhados durante 12 meses em um estudo citado pela Verizon | Treinamento e testes regulares durante 12 meses | Percentual de vulnerabilidade ao phishing | Com treinamento e testes regulares, a vulnerabilidade ao phishing caiu de 31.4% para 4.8%, segundo a Verizon | Verizon |
| Keepnet Labs sobre treinamento recente | não especificado | Funcionários que receberam phishing awareness training nos últimos 30 dias | Nos últimos 30 dias | Taxa de reporte de tentativas de phishing | Os funcionários com treinamento nos últimos 30 dias foram 4x mais propensos a reportar phishing, 21% contra 5%, segundo a Keepnet Labs | Keepnet Labs |
| NIST Beyond the Click | não especificado | Pessoas treinadas versus não treinadas | não especificado | Probabilidade de cair em phishing | As pessoas treinadas são aproximadamente 2% menos propensas a cair em phishing, uma melhora pequena, segundo o NIST | NIST |
| Anti-Phishing Training (Still) Does Not Work | não especificado | Participantes do estudo | não especificado | Redução de cliques e reporting behavior | Não houve melhorias estatisticamente significativas nem em cliques nem em reporting behavior, segundo o paper no arXiv | arXiv |
| Cybersecurity Dive sobre annual training | não especificado | não especificado | Annual security awareness training | Correlação com menos phishing failures | O artigo cita um estudo que não encontrou evidência de que o annual security awareness training se correlacione com menos phishing failures | Cybersecurity Dive |
O que realmente exige a cláusula 7.3 da ISO/IEC 27001:2022?
A cláusula 7.3 não pede apenas "dar treinamento". Segundo a ISO 27001:2022, as pessoas sob controle da organização devem conhecer a política de segurança da informação, sua contribuição para a eficácia do SGSI e as implicações de não atender aos seus requisitos, como registram High Table, ISMS.online e Qalea ao citar a cláusula 7.3.
A leitura da Whalemate é que essa cláusula estabelece um piso de consciência exigível para toda pessoa no escopo, não uma atividade pontual. Segundo ISO27001.com e ISMS.online, esse escopo inclui empregados, contratados e terceiros incorporados, além da liderança, de modo que deixar de fora diretores ou pessoal terceirizado enfraquece tanto a operação quanto a evidência de conformidade.
O que o controle 6.3 acrescenta que a 7.3 não resolve sozinho?
O controle 6.3 da ISO/IEC 27002:2022 acrescenta estrutura de programa. Segundo a Aviso Consultancy, o pessoal e as partes interessadas relevantes devem receber informação, conscientização, educação e treinamento apropriados, além de atualizações regulares da política, de políticas temáticas e de procedimentos, de acordo com sua função.
A leitura da Whalemate é que aqui aparece o salto-chave de awareness como obrigação geral para um programa formal. Segundo ISMS.online, o programa deve ser desenvolvido de acordo com a política, as políticas temáticas e os procedimentos de segurança, além de considerar as informações a proteger e os controles implementados, o que torna insuficiente um conteúdo genérico igual para todos.
Por que um curso anual não basta, mesmo que cubra a auditoria básica?
A Aviso Consultancy, ao citar o controle 6.3, fala em atualizações regulares conforme a função. A Cybersecurity Dive, por sua vez, resume evidências que não encontraram correlação entre annual security awareness training e menos phishing failures, e também reúne revisões em que os métodos comuns não reduzem de forma significativa a probabilidade de cair em phishing.
A leitura da Whalemate é que o curso anual pode servir como evidência mínima de cobertura documental, mas fica fraco diante da própria lógica do 6.3. Se a norma pede atualizações regulares e por função, um único evento anual tende a demonstrar administração do requisito, não redução do risco humano.
Programas contínuos ou treinamento que não muda o resultado?
A Verizon cita um estudo de 12 meses em que, com treinamento e testes regulares, a vulnerabilidade ao phishing caiu de 31.4% para 4.8%. Em tensão com isso, o paper Anti-Phishing Training (Still) Does Not Work, publicado no arXiv, conclui que o treinamento não produziu melhorias estatisticamente significativas nem na redução de cliques nem no reporting behavior.
A leitura da Whalemate é que nem toda intervenção rotulada como awareness produz o mesmo efeito. O sinal positivo aparece quando há continuidade e testes, segundo a Verizon, enquanto a evidência negativa questiona tratamentos de training que não necessariamente incorporam acompanhamento sustentado, contexto ou intervenção recorrente sobre comportamento.
A recência do treinamento importa mais do que sua existência?
A Keepnet Labs, ao resumir achados do Verizon DBIR, aponta que os funcionários que receberam phishing awareness training nos últimos 30 dias foram 4x mais propensos a reportar tentativas de phishing, com 21% contra 5%. O NIST Beyond the Click, em contrapartida, indica que as pessoas treinadas são aproximadamente 2% menos propensas a cair em phishing do que aquelas que não recebem treinamento.
A leitura da Whalemate é que "estar treinado" como categoria geral diz pouco. A recência parece mover mais o comportamento de reporte do que a mera existência histórica de uma capacitação, e isso empurra a discussão para a cadência operacional, não só para a conformidade anual.
O que medir se os cliques não contam toda a história?
O NIST informa que as organizações usam taxas de clique em simulações de phishing e o reporte de phishing simulado e real para avaliar a efetividade do treinamento. A Verizon, porém, cita uma pesquisa em que quem disse ter recebido treinamento teve desempenho ligeiramente pior em testes posteriores, e em que 74% de quem errou tudo disse se sentir seguro diante das ameaças.
A leitura da Whalemate é que medir cliques ajuda, mas não basta, e medir percepção pode até confundir. Um programa pode mostrar alta conclusão ou autoconfiança e, ao mesmo tempo, não melhorar decisões reais, por isso vale separar métricas de conformidade de métricas de comportamento e não usar satisfação como proxy de efetividade.