Por 
Para CISO, TI e compliance na América Latina, uma plataforma de gestão do risco humano não é mais um canal de awareness, mas a camada de medição e evidência que torna operacional o que a ISO/IEC 27001:2022 exige sobre competência, conscientização e treinamento contínuos. O ponto de ruptura prático está no fato de que, segundo Qalea e ISMS.online, a ISO pede programas eficazes e recorrentes, mas a abordagem clássica de curso anual ou taxa de conclusão não prova redução de exposição nem viabiliza decisões mais precisas de priorização, endurecimento de fluxos ou reporting de governança. A isso se soma que, segundo o PR Newswire Brasil, o Relatório de Benchmarking de Phishing por Indústria 2025 da KnowBe4 analisou 67,7 milhões de simulações de phishing realizadas sobre 14,5 milhões de usuários de 62,4 mil organizações, com um Porcentual Phish-prone™ global inicial de 33,1% que, após 12 meses de treinamento de segurança, caiu para 4,1%, uma redução global de 86%.
O que aparece quando se comparam ISO e HRM
Lidas lado a lado, as fontes mostram algo que não aparece estruturado separadamente em nenhuma delas: a ISO/IEC 27001:2022 define obrigações sobre competência, conscientização e treinamento, enquanto as plataformas de HRM descrevem como transformar essas obrigações em métricas de comportamento, decisões operacionais e evidência para a direção.
| Norma ou plataforma | O que exige ou entrega | Como é medido | O que costuma falhar | Que decisão viabiliza | Fonte |
|---|---|---|---|---|---|
| ISO/IEC 27001:2022 cláusula 7.2 | As pessoas que executam trabalho sob o controle da organização devem ser competentes com base em educação, treinamento ou experiência. | não especificado | não especificado | Assegurar competência em temas de informação e cibersegurança. | Qalea |
| ISO/IEC 27001:2022 cláusula 7.3 | Todas as pessoas que executam trabalho sob o controle da organização devem estar cientes da política de segurança da informação, da sua contribuição para a eficácia do ISMS e das implicações de não cumprir os requisitos do sistema. | não especificado | não especificado | não especificado | Qalea |
| ISO/IEC 27001:2022 Annex A 6.3 | O pessoal e as partes interessadas relevantes devem receber conscientização, educação e treinamento adequados, além de atualizações periódicas sobre a política de segurança, políticas específicas por tema e procedimentos relevantes à sua função. | Para demonstrar que o programa reduz o risco, é preciso evidenciar a ligação entre treinamento e resultados, por exemplo mostrando menos usuários vítimas de phishing e tempos de reporte de incidentes mais rápidos. | A educação em segurança deve ser contínua, orientada pelas partes interessadas e adaptativa, não apenas uma vez por ano. | A alta direção e o conselho devem aprovar, financiar e revisar periodicamente os programas de conscientização. | ISMS.online |
| Plataforma HRM segundo Adaptive Security | Apoia-se em simulações contínuas multicanal, treinamento disparado por comportamento, pontuações dinâmicas de risco por funcionário, infraestrutura de triagem de phishing com botão de reporte, realismo baseado em OSINT e reporting de risco em nível de conselho. | Taxa de falha em simulações de phishing, taxa de reporte, precisão dos reportes, tempo mediano de reporte, volume de reportes de incidentes, número de reportes confirmados maliciosos, tempo de remediação, tempo até o isolamento de contas afetadas, reincidência de incidentes e magnitude da interrupção do negócio. | Substitui métricas genéricas de conformidade por indicadores de comportamento. | Priorizar quem deve receber intervenção segundo a movimentação do risk score, a reincidência de falhas e o desempenho por canal. | Adaptive Security |
| Plataforma HRM segundo NHIMG | Modelo de governança em camadas para medir comportamento, reduzir exposição e conectar controles centrados nas pessoas a resultados de segurança mais amplos. | Latência no reporte de incidentes, recorrência da suscetibilidade ao phishing, comportamento de aprovação arriscado e frequência de exceções de segurança, correlacionando esses dados com resultados como fraude, abuso de acesso e sucesso de ataques de engenharia social. | Reportar apenas taxas de conclusão de cursos. | Endurecer fluxos de identidade que dependem de pessoas, como redefinição de senhas, recuperação de MFA, aprovações privilegiadas e escalonamentos ao help desk, e reportar à direção mudanças em tentativas malsucedidas de engenharia social, redução de exceções e detecção mais rápida de solicitações suspeitas. | NHIMG |
| Plataforma HRM segundo Living Security | Unifica sinais de toda a pilha de segurança existente, correlaciona com pessoas específicas e transforma dados brutos em inteligência acionável que permite detectar e medir comportamentos de segurança, quantificar o risco humano e iniciar intervenções de política e treinamento conforme esse risco. | Redução mensurável de incidentes de segurança originados na atividade humana, incluindo menos ataques de phishing bem-sucedidos, redução de comprometimentos de credenciais e menor perda de dados atribuída a erros de funcionários, além da redução do número de usuários de alto risco, da diminuição de tentativas de phishing bem-sucedidas e da aceleração do tempo de resolução dos riscos identificados. | não especificado | Conectar intervenções específicas a melhorias de comportamento e medir a evolução das métricas ao longo do tempo. | Living Security |
O que muda quando a ISO pede um programa e o HRM pede evidência de comportamento?
A UpGuard afirma que a ISO/IEC 27001:2022 A.6.3 exige estabelecer e manter um programa formal de conscientização, educação e treinamento para todo o pessoal e as partes interessadas relevantes. A Adaptive Security, por sua vez, sustenta que Human Risk Management substitui métricas genéricas de conformidade por indicadores de comportamento. A leitura da Whalemate é que não há contradição, o programa formal continua obrigatório, mas deixa de ser suficiente se não produzir evidência observável de mudança de comportamento.
Esse cruzamento altera o padrão de prova interna. Segundo a ISMS.online, para demonstrar que o programa reduz o risco é preciso vincular treinamento a resultados, como menos usuários vítimas de phishing e tempos de reporte mais rápidos. Nesse cenário, a plataforma HRM não substitui a obrigação normativa, ela a torna defensável diante de auditoria, da direção e da gestão diária.
Por que o awareness anual fica curto diante da ISO/IEC 27001:2022?
A ISMS.online indica que a organização pode precisar oferecer treinamento de conscientização ao menos uma vez por ano, ou com a frequência definida pela avaliação de riscos. A Ironscales responde, a partir da prática de HRM, que o treinamento eficaz é direcionado às pessoas certas no momento certo, muitas vezes acionado por uma simulação malsucedida ou uma ação arriscada, e não por um calendário anual. A leitura da Whalemate é que a frequência mínima não deve ser confundida com eficácia operacional.
O problema não é oferecer treinamento anual, mas tratá-lo como teto. Segundo a ISMS.online, sob a A.6.3 a educação deve ser contínua, adaptativa e não apenas uma vez por ano. Isso expõe o limite do awareness clássico, que cumpre um rito administrativo, mas não acompanha a variação real do risco humano. Segundo o PR Newswire Brasil, no segundo trimestre de 2025 os temas internos representaram 98,4% dos 10 modelos de e-mail mais clicados em simulações de phishing, e Recursos Humanos apareceu citado em 42,5% das falhas de phishing e TI em 21,5%.
O que de fato é medido em uma plataforma de gestão do risco humano?
A Adaptive Security detalha que as plataformas avançadas de HRM medem taxa de falha em simulações de phishing, taxa de reporte, precisão dos reportes e tempo mediano de reporte em canais como e-mail, SMS, voz e ferramentas de colaboração. A Expert Insights acrescenta taxas de clique, envio de credenciais, comportamento de reporte e tempo até o reporte como insumos-chave para avaliar o risco humano. A KnowBe4 também aponta como indicadores habituais a taxa de reporte de incidentes, a suscetibilidade ao phishing e o tempo até a detecção.
A isso se somam métricas de operação e remediação. Segundo a Adaptive Security, também são monitorados volume de reportes de incidentes, número de reportes confirmados maliciosos, tempo de remediação, tempo até o isolamento de contas afetadas, reincidência de incidentes e magnitude da interrupção do negócio. A NHIMG recomenda ainda medir latência no reporte, recorrência da suscetibilidade ao phishing, comportamento de aprovação arriscado e frequência de exceções de segurança, correlacionando esses dados com fraude, abuso de acesso e sucesso de ataques de engenharia social.
Qual parte da ISO/IEC 27001:2022 uma plataforma HRM traduz?
A Qalea aponta que a cláusula 7.2 da ISO/IEC 27001:2022 exige que as pessoas sejam competentes com base em educação, treinamento ou experiência. A cláusula 7.3, segundo a mesma fonte, requer que essas pessoas estejam conscientes da política de segurança, da sua contribuição para a eficácia do ISMS e das implicações de não cumprir os requisitos. A Qalea também indica que o controle 6.3 exige conscientização, educação, treinamento adequados e atualizações periódicas sobre políticas e procedimentos relevantes à função.
A tradução feita pelo HRM é levar essas exigências para evidência observável. Segundo a Proofpoint, uma implementação de Human Risk Management inclui avaliação de risco humano específica para cada organização, análise de comportamento, treinamento adaptado ao perfil de risco, monitoramento contínuo em tempo real e políticas ajustadas conforme comportamentos observados e ameaças emergentes. É nesse ponto que competência, conscientização e treinamento deixam de ser categorias declarativas e passam a se expressar em sinais operacionais.
Onde um programa centrado apenas em cursos falha na prática?
A NHIMG afirma de forma explícita que reportar apenas taxas de conclusão de cursos é uma limitação da abordagem tradicional. A Adaptive Security acrescenta que HRM substitui métricas genéricas de conformidade por indicadores de comportamento. A leitura da Whalemate é que a falha mais comum não é a falta de conteúdo, mas a falta de capacidade para provar se esse conteúdo alterou algo relevante na exposição real.
A Infosec Institute distingue HRM do treinamento clássico ao afirmar que ele aborda de forma sistemática os riscos associados a cada fase do ciclo de vida do funcionário, do onboarding à saída, em vez de se limitar a cursos isolados. A Springer chega a conclusão semelhante ao sustentar que o valor do HRM está em quantificar e prever o risco de funcionários e da organização, oferecer intervenções em tempo real adaptadas e fomentar culturas saudáveis de cibersegurança. O curso isolado informa, mas não necessariamente gerencia risco.
O risk score serve para governar ou para disciplinar pessoas?
A usecure define o human risk score como uma representação numérica do risco cibernético por usuário, equipe e organização com base no comportamento observado, útil para priorizar intervenções sobre grupos ou indivíduos com maior exposição. A Living Security descreve essas plataformas como soluções que atribuem uma pontuação dinâmica de risco a indivíduos, equipes e à organização inteira para identificar as áreas mais vulneráveis. A Ironscales acrescenta que essa pontuação sobe e desce conforme o comportamento do usuário e dá visibilidade em tempo real de onde o risco humano está concentrado.
A leitura da Whalemate é que o score tem valor se orientar suporte, intervenção e desenho de controles, e não se for usado como ferramenta disciplinar. O próprio material da Whalemate sustenta que o risk score consolida sinais de simulações, cursos, reportes e comportamento para priorizar intervenções, não para punir. Se a organização o transforma em castigo, ela enfraquece a cultura de reporte que a ISACA considera crítica.
