ISO, NIST e Verizon medem awareness de phishing

Para CISO, TI e compliance na América Latina, um programa de treinamento em cybersecurity awareness não se valida pela quantidade de cursos, mas por evidência contínua de conhecimento, simulação e reação. A ISO pede um programa formal e mantido para todo o pessoal, NIST e SANS o tornam mensurável com exercícios, e a Verizon mostra que o risco humano se materializa em segundos e já não acontece só por email, mas também por voz e celular.

Juntos, marcos normativos e medições operacionais dizem algo que nenhuma fonte, isoladamente, deixa tão claro. A comparação mostra que a discussão não é se vale a pena capacitar, mas qual controle concreto permite provar eficácia, priorizar risco e sustentar auditoria.

Ao colocar ISO, NIST, SANS e Verizon na mesma visão, aparece a tensão central. A ISO exige um programa sustentado e auditável, enquanto a Verizon mostra que a decisão do usuário acontece em uma janela de segundos. Isso muda o problema de “capacitar” para “medir comportamento sob pressão”.

A ISO pede um programa ou um curso isolado?

A ISO/IEC 27001:2022 não fala de uma ação pontual. O controle Annex A 6.3 exige que o programa de information security awareness, education and training seja "planned, established, implemented and maintained" e que seja atualizado regularmente. A mesma lógica se reforça com Clause 7.3 Awareness, que se aplica a "all persons doing work under the organization's control" e, em um guia prático, a "everyone in scope".

A leitura da Whalemate é que isso transforma o awareness em um controle transversal do ISMS, não em uma campanha de RH nem em um curso anual para cumprir tabela. Se o padrão pede evidência de compreensão, contribuição e consequências de não conformidade, o programa precisa deixar rastreabilidade auditável. Sem isso, há treinamento, mas não há controle.

O que o NIST mede quando fala de phishing awareness?

NIST SP 800-50r1 recomenda um "phishing exercise to promote awareness of social engineering attacks" e coloca phishing, spear phishing, vishing e smishing entre os temas centrais de um programa enterprise-wide. O foco não está na palestra, mas no exercício prático e em observar se o usuário detecta a tentativa ou clica.

A leitura da Whalemate é que o NIST reduz o awareness a comportamento observável. Isso importa porque permite sair de uma lógica de presença e entrar numa lógica de desempenho. Para um CISO, a pergunta deixa de ser quem concluiu o curso e passa a ser quem reconhece, reporta ou cai diante de uma tentativa realista.

Por que o SANS não para no click rate?

O propõe duas métricas núcleo para simulações de phishing, "undesired action rate (click rate)" e "report rate". Com isso, o programa não mede só a exposição ao engano, mas também a capacidade de reporte e a reação defensiva do usuário.

A leitura da Whalemate é que aí está a diferença entre treinar e gerir risco humano. Se você olha apenas cliques, sabe quem errou. Se soma reportes, sabe quem ajuda a conter. Para compliance e TI, esse segundo sinal é o que melhor se traduz em evidência de maturidade operacional.

O que muda quando o risco acontece em segundos?

A Verizon mostrou em 2024 que o "median time to click on a malicious link after the email is opened is 21 seconds" e que o tempo mediano para cair em phishing é "less than 60 seconds". Em 2026, a empresa também informou que o "Human element was present in 62% of breaches" e que "Social Engineering" respondeu por 16% dos breaches, com foco crescente em "mobile-centric social engineering".

A leitura da Whalemate é que o programa não pode depender de consciência geral nem de uma única campanha anual. Se a janela de decisão é de segundos, a medição precisa incluir tempo de reação, não só taxa de clique. E, se o vetor migra para texto e voz, o controle precisa ser multicanal.

O foco ainda é email ou já mudou de canal?

A nota oficial da Verizon sobre o DBIR 2026 diz que o sucesso em ataques de voz e texto é "40% higher than traditional email phishing". Análises complementares da Push Security e da Breacher.ai concordam que simulações de voice e text phishing mostram taxas medianas de clique de 2% contra 1.4% em email.

A leitura da Whalemate é que um programa focado só em email fica desalinhado com o vetor real de risco. Isso não invalida o canal tradicional, mas obriga a segmentar por canal, porque uma medição única pode subestimar o problema. Na América Latina, onde o uso de mensagens e voz é intenso, essa diferença pesa na priorização.

Que decisão esse cruzamento habilita para um CISO na América Latina?

Habilita sair de um curso anual para um controle contínuo de risco humano. ISO exige programa sustentado, NIST e SANS pedem medir comportamento, e Verizon mostra que o dano pode vir por voz, texto e em menos de um minuto. A resposta prática é segmentar por canal, medir click rate, report rate e tempo de reação, e priorizar intervenções por risco relativo.

Para uma equipe de compliance, isso também muda a evidência. Já não basta uma comprovação de capacitação. É preciso rastreabilidade de simulações, resultados, remediação e atualização periódica, porque isso é o que melhor se encaixa em um programa auditável e contínuo.

O que ler em seguida?

• Conscientização na plataforma