Para CISO, TI e compliance na América Latina, um programa de treinamento em cybersecurity awareness não se valida pela quantidade de cursos, mas por evidência contínua de conhecimento, simulação e reação. A ISO pede um programa formal e mantido para todo o pessoal, NIST e SANS o tornam mensurável com exercícios, e a Verizon mostra que o risco humano se materializa em segundos e já não acontece só por email, mas também por voz e celular.
Juntos, marcos normativos e medições operacionais dizem algo que nenhuma fonte, isoladamente, deixa tão claro. A comparação mostra que a discussão não é se vale a pena capacitar, mas qual controle concreto permite provar eficácia, priorizar risco e sustentar auditoria.
"Human element was present in 62% of breaches", "Social Engineering" 16%
Mobile-centric social engineering, fake text messages and voice calls
40% higher success rate que email phishing
Obriga a medir awareness multicanal
Ao colocar ISO, NIST, SANS e Verizon na mesma visão, aparece a tensão central. A ISO exige um programa sustentado e auditável, enquanto a Verizon mostra que a decisão do usuário acontece em uma janela de segundos. Isso muda o problema de “capacitar” para “medir comportamento sob pressão”.
A ISO pede um programa ou um curso isolado?
A ISO/IEC 27001:2022 não fala de uma ação pontual. O controle Annex A 6.3 exige que o programa de information security awareness, education and training seja "planned, established, implemented and maintained" e que seja atualizado regularmente. A mesma lógica se reforça com Clause 7.3 Awareness, que se aplica a "all persons doing work under the organization's control" e, em um guia prático, a "everyone in scope".
A leitura da Whalemate é que isso transforma o awareness em um controle transversal do ISMS, não em uma campanha de RH nem em um curso anual para cumprir tabela. Se o padrão pede evidência de compreensão, contribuição e consequências de não conformidade, o programa precisa deixar rastreabilidade auditável. Sem isso, há treinamento, mas não há controle.
O que o NIST mede quando fala de phishing awareness?
NIST SP 800-50r1 recomenda um "phishing exercise to promote awareness of social engineering attacks" e coloca phishing, spear phishing, vishing e smishing entre os temas centrais de um programa enterprise-wide. O foco não está na palestra, mas no exercício prático e em observar se o usuário detecta a tentativa ou clica.
A leitura da Whalemate é que o NIST reduz o awareness a comportamento observável. Isso importa porque permite sair de uma lógica de presença e entrar numa lógica de desempenho. Para um CISO, a pergunta deixa de ser quem concluiu o curso e passa a ser quem reconhece, reporta ou cai diante de uma tentativa realista.
Por que o SANS não para no click rate?
O propõe duas métricas núcleo para simulações de phishing, "undesired action rate (click rate)" e "report rate". Com isso, o programa não mede só a exposição ao engano, mas também a capacidade de reporte e a reação defensiva do usuário.
A leitura da Whalemate é que aí está a diferença entre treinar e gerir risco humano. Se você olha apenas cliques, sabe quem errou. Se soma reportes, sabe quem ajuda a conter. Para compliance e TI, esse segundo sinal é o que melhor se traduz em evidência de maturidade operacional.
O que muda quando o risco acontece em segundos?
A Verizon mostrou em 2024 que o "median time to click on a malicious link after the email is opened is 21 seconds" e que o tempo mediano para cair em phishing é "less than 60 seconds". Em 2026, a empresa também informou que o "Human element was present in 62% of breaches" e que "Social Engineering" respondeu por 16% dos breaches, com foco crescente em "mobile-centric social engineering".
Cyber Security Awareness - Video Training Course | John Academy — John Academy. Ver el original
A leitura da Whalemate é que o programa não pode depender de consciência geral nem de uma única campanha anual. Se a janela de decisão é de segundos, a medição precisa incluir tempo de reação, não só taxa de clique. E, se o vetor migra para texto e voz, o controle precisa ser multicanal.
O foco ainda é email ou já mudou de canal?
A nota oficial da Verizon sobre o DBIR 2026 diz que o sucesso em ataques de voz e texto é "40% higher than traditional email phishing". Análises complementares da Push Security e da Breacher.ai concordam que simulações de voice e text phishing mostram taxas medianas de clique de 2% contra 1.4% em email.
Pause, think and act - Cyber security awareness training video - Security Quotient — Security Quotient. Ver el original
A leitura da Whalemate é que um programa focado só em email fica desalinhado com o vetor real de risco. Isso não invalida o canal tradicional, mas obriga a segmentar por canal, porque uma medição única pode subestimar o problema. Na América Latina, onde o uso de mensagens e voz é intenso, essa diferença pesa na priorização.
Que decisão esse cruzamento habilita para um CISO na América Latina?
Habilita sair de um curso anual para um controle contínuo de risco humano. ISO exige programa sustentado, NIST e SANS pedem medir comportamento, e Verizon mostra que o dano pode vir por voz, texto e em menos de um minuto. A resposta prática é segmentar por canal, medir click rate, report rate e tempo de reação, e priorizar intervenções por risco relativo.
Para uma equipe de compliance, isso também muda a evidência. Já não basta uma comprovação de capacitação. É preciso rastreabilidade de simulações, resultados, remediação e atualização periódica, porque isso é o que melhor se encaixa em um programa auditável e contínuo.
Um programa de awareness cumpre se tiver só cursos?
Não, cursos isolados não são suficientes. A ISO/IEC 27001:2022 exige um programa "planned, established, implemented and maintained" e atualizado regularmente. NIST e SANS acrescentam simulações e métricas. Se não há evidência de comportamento, há apenas treinamento, mas não um controle demonstrável de risco humano.
Quais métricas vale a pena olhar primeiro?
As mais operacionais são click rate, report rate e tempo de reação. A SANS usa click rate e report rate como núcleo. A Verizon acrescenta uma variável crítica, o tempo até o clique, porque mostra que a exposição real acontece em segundos. Para gestão, combinar esses sinais dá uma visão mais útil do que olhar apenas para presença.
Por que não adianta medir só phishing por email?
Porque a Verizon relata que o sucesso de voice e text phishing é 40% higher que o do email tradicional. Se o programa mede só email, deixa de fora parte do risco. Na América Latina, onde a interação por celular e mensageria faz parte do cotidiano, essa omissão pode distorcer prioridades e orçamento.
O que um compliance officer deveria pedir para TI amanhã?
Deveria pedir evidência de programa contínuo, segmentação por canal, métricas de simulação e um plano de remediação. Também convém pedir rastreabilidade para auditoria, porque a ISO exige que o pessoal entenda seu papel e as implicações da não conformidade. Sem essa evidência, o programa fica fraco diante da auditoria e diante de incidentes.
Gostaria de se aprofundar neste tema?
Abra este artigo diretamente no Claude ou ChatGPT —
faça perguntas, peça um resumo ou explore ideias relacionadas.
Por 