Por 
Para CISO, TI e compliance na América Latina, uma plataforma de gestão de risco humano não é só mais um canal de awareness, mas a camada de medição e evidência que torna operacionais as exigências da ISO/IEC 27001:2022 sobre competência, conscientização e treinamento contínuos. O ponto de virada, segundo Qalea e ISMS.online, é que a ISO pede programas eficazes e recorrentes, mas a abordagem clássica de curso anual ou taxa de conclusão não comprova redução de exposição nem dá base para decisões finas de priorização, endurecimento de fluxos ou reporte de governança.
O que aparece quando ISO e HRM são comparadas
Colocadas lado a lado, as fontes mostram algo que nenhuma delas entrega de forma isolada: a ISO/IEC 27001:2022 define obrigações sobre competência, conscientização e treinamento, enquanto as plataformas de HRM descrevem como transformar essas obrigações em métricas de comportamento, decisões operacionais e evidências para a direção.
| Norma ou plataforma | O que exige ou entrega | Como é medido | O que costuma falhar | Que decisão viabiliza | Fonte |
|---|---|---|---|---|---|
| ISO/IEC 27001:2022 cláusula 7.2 | As pessoas que executam trabalhos sob o controle da organização devem ser competentes com base em educação, treinamento ou experiência. | não especificado | não especificado | Garantir competência em temas de informação e cibersegurança. | Qalea |
| ISO/IEC 27001:2022 cláusula 7.3 | Todas as pessoas que executam trabalhos sob o controle da organização devem estar cientes da política de segurança da informação, da sua contribuição para a eficácia do ISMS e das implicações de não cumprir os requisitos do sistema. | não especificado | não especificado | não especificado | Qalea |
| ISO/IEC 27001:2022 Anexo A 6.3 | O pessoal e as partes interessadas relevantes devem receber conscientização, educação e treinamento adequados, além de atualizações periódicas sobre a política de segurança, políticas temáticas e procedimentos relevantes à sua função. | Para demonstrar que o programa reduz risco, é preciso evidenciar a relação entre treinamento e resultados, por exemplo mostrando menos usuários vítimas de phishing e tempos de reporte de incidentes mais rápidos. | A educação em segurança deve ser contínua, orientada pelas partes interessadas e adaptativa, não apenas uma vez por ano. | A alta direção e o conselho devem aprovar, financiar e revisar periodicamente os programas de conscientização. | ISMS.online |
| Plataforma HRM segundo Adaptive Security | Usa simulações contínuas multicanal, treinamento disparado por comportamento, pontuações dinâmicas de risco por funcionário, infraestrutura de triagem de phishing com botão de reporte, realismo baseado em OSINT e reporte de risco em nível de conselho. | Taxa de erro em simulações de phishing, taxa de reporte, precisão dos reportes, tempo mediano de reporte, volume de reportes de incidentes, número de reportes maliciosos confirmados, tempo de remediação, tempo até o isolamento de contas afetadas, reincidência de incidentes e magnitude da interrupção do negócio. | Substitui métricas genéricas de conformidade por indicadores de comportamento. | Priorizar quem deve receber intervenção com base no movimento do risk score, na reincidência de falhas e no desempenho por canal. | Adaptive Security |
| Plataforma HRM segundo NHIMG | Modelo de governança em camadas para medir comportamento, reduzir exposição e vincular controles centrados em pessoas a resultados mais amplos de segurança. | Latência no reporte de incidentes, recorrência da suscetibilidade a phishing, comportamento de aprovação de risco e frequência de exceções de segurança, correlacionando esses dados com fraude, abuso de acesso e sucesso de ataques de engenharia social. | Reportar apenas taxas de conclusão de cursos. | Endurecer fluxos de identidade que dependem de pessoas, como redefinição de senhas, recuperação de MFA, aprovações privilegiadas e escalonamentos ao help desk, e reportar à direção mudanças em tentativas fracassadas de engenharia social, redução de exceções e detecção mais rápida de solicitações suspeitas. | NHIMG |
| Plataforma HRM segundo Living Security | Unifica sinais de toda a pilha de segurança existente, correlaciona com pessoas individuais e transforma dados brutos em inteligência acionável para detectar e medir comportamentos de segurança, quantificar o risco humano e iniciar intervenções de política e treinamento conforme esse risco. | Redução mensurável de incidentes de segurança originados em atividade humana, incluindo menos ataques de phishing bem-sucedidos, menos comprometimento de credenciais e menor perda de dados atribuível a erros de funcionários, além da redução do número de usuários de alto risco, da queda nos phishing bem-sucedidos e da aceleração do tempo de resolução dos riscos identificados. | não especificado | Conectar intervenções específicas a melhorias de comportamento e medir a evolução das métricas ao longo do tempo. | Living Security |
O que muda quando a ISO pede programa e a HRM pede evidência de comportamento?
A UpGuard afirma que a ISO/IEC 27001:2022 A.6.3 exige estabelecer e manter um programa formal de conscientização, educação e treinamento para todo o pessoal e para as partes interessadas relevantes. A Adaptive Security, por sua vez, sustenta que Human Risk Management substitui métricas genéricas de conformidade por indicadores de comportamento. A leitura da Whalemate é que não há contradição: o programa formal continua obrigatório, mas deixa de ser suficiente se não produzir evidência observável de mudança de comportamento.
Esse cruzamento altera o padrão de prova interna. Segundo a ISMS.online, para demonstrar que o programa reduz risco é preciso vincular treinamento a resultados, como menos usuários vítimas de phishing e tempos de reporte mais rápidos. Assim, a plataforma de HRM não substitui a obrigação normativa, ela a torna defensável diante de auditoria, direção e gestão diária.
Por que o awareness anual fica curto diante da ISO/IEC 27001:2022?
A ISMS.online indica que a organização pode precisar oferecer treinamento de conscientização ao menos uma vez por ano, ou na frequência definida pela avaliação de risco. A Ironscales responde, a partir da prática de HRM, que o treinamento eficaz é direcionado às pessoas certas no momento certo, muitas vezes disparado por uma simulação malsucedida ou por uma ação de risco, e não por calendário anual. A leitura da Whalemate é que a frequência mínima não deve ser confundida com eficácia operacional.
O problema não é oferecer treinamento anual, e sim usá-lo como teto. Segundo a ISMS.online, sob o A.6.3 a educação precisa ser contínua, adaptativa e não apenas anual. Isso expõe o limite do awareness clássico: ele cumpre um rito administrativo, mas não acompanha a variação real do risco humano.
O que realmente é medido em uma plataforma de gestão de risco humano?
A Adaptive Security detalha que plataformas avançadas de HRM medem taxa de erro em simulações de phishing, taxa de reporte, precisão dos reportes e tempo mediano de reporte em canais como e-mail, SMS, voz e ferramentas de colaboração. A Expert Insights acrescenta taxas de clique, envio de credenciais, comportamento de reporte e tempo até o reporte como insumos centrais para avaliar o risco humano. A KnowBe4 também aponta como indicadores usuais a taxa de reporte de incidentes, a suscetibilidade a phishing e o tempo até a detecção.
A isso se somam métricas de operação e remediação. Segundo a Adaptive Security, também são acompanhados volume de reportes de incidentes, número de reportes maliciosos confirmados, tempo de remediação, tempo até o isolamento de contas afetadas, reincidência de incidentes e magnitude da interrupção do negócio. A NHIMG recomenda ainda medir latência no reporte, recorrência da suscetibilidade a phishing, comportamento de aprovação arriscado e frequência de exceções de segurança, correlacionando esses dados com fraude, abuso de acesso e sucesso de ataques de engenharia social.
Que parte da ISO/IEC 27001:2022 uma plataforma HRM traduz?
A Qalea aponta que a cláusula 7.2 da ISO/IEC 27001:2022 exige que as pessoas sejam competentes de acordo com educação, treinamento ou experiência. A cláusula 7.3, segundo a mesma fonte, exige que essas pessoas estejam cientes da política de segurança, da sua contribuição para a eficácia do ISMS e das implicações de não cumprir seus requisitos. A Qalea também indica que o controle 6.3 exige conscientização, educação, treinamento adequados e atualizações periódicas sobre políticas e procedimentos relevantes à função.
A tradução que a HRM faz é levar essas exigências para evidência observável. Segundo a Proofpoint, uma implementação de Human Risk Management inclui avaliação de risco humano específica para cada organização, análise de comportamento, treinamento adaptado ao perfil de risco, monitoramento contínuo em tempo real e políticas ajustadas conforme comportamentos observados e ameaças emergentes. É aí que competência, conscientização e treinamento deixam de ser categorias declarativas e passam a aparecer em sinais operacionais.
Onde um programa centrado só em cursos falha na prática?
A NHIMG diz de forma explícita que reportar apenas taxas de conclusão de cursos é uma limitação da abordagem tradicional. A Adaptive Security acrescenta que a HRM substitui métricas genéricas de conformidade por indicadores de comportamento. A leitura da Whalemate é que a falha mais comum não é falta de conteúdo, mas falta de capacidade para provar se esse conteúdo mudou algo relevante na exposição real.
O Infosec Institute distingue HRM do treinamento clássico ao afirmar que ela aborda de forma sistemática os riscos associados a cada fase do ciclo de vida do funcionário, do onboarding à saída, em vez de se limitar a cursos isolados. A Springer chega a uma conclusão semelhante ao sustentar que o valor da HRM está em quantificar e prever o risco de funcionários e da organização, oferecer intervenções em tempo real adaptadas e fomentar culturas saudáveis de cibersegurança. O curso isolado informa, mas não necessariamente gerencia risco.
O risk score serve para governar ou para punir pessoas?
A usecure define o human risk score como uma representação numérica do risco cibernético por usuário, equipe e organização, baseada em comportamento observado, útil para priorizar intervenções sobre grupos ou indivíduos com maior exposição. A Living Security descreve essas plataformas como soluções que atribuem um risk score dinâmico a indivíduos, equipes e à organização inteira para identificar as áreas mais vulneráveis. A Ironscales acrescenta que essa pontuação sobe e desce conforme o comportamento do usuário e dá visibilidade em tempo real de onde o risco humano se concentra.
A leitura da Whalemate é que o score só tem valor se orientar suporte, intervenção e desenho de controles, não se for usado como ferramenta disciplinar. O próprio material da Whalemate sustenta que o risk score consolida sinais de simulações, cursos, reportes e comportamento para priorizar intervenções, não para punir. Se a organização o transformar em castigo, ela prejudica a cultura de reporte que a ISACA considera crítica.
