--- title: "ISO, NIST e Verizon medem awareness de phishing | Whalemate" description: "ISO pede um programa contínuo para todos os empregados, NIST e SANS o tornam mensurável, e Verizon mostra que o risco surge em segundos." url: https://www.whalemate.com/br/recursos/blog/iso-nist-verizon-medem-awareness/ lang: pt-BR updated: 2026-11-10 alternates: es: https://www.whalemate.com/recursos/blog/phishing-awareness-iso-nist/ en: https://www.whalemate.com/en/resources/blog/iso-nist-sans-verizon-phishing/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # ISO, NIST e Verizon medem awareness de phishing ISO pede um programa contínuo para todos os empregados, NIST e SANS o tornam mensurável, e Verizon mostra que o risco surge em segundos. 10 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 7 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![ISO, NIST e Verizon medem awareness de phishing](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-nist-verizon-medem-awareness.webp) Neste artigo 1. [A ISO pede um programa ou um curso isolado?](#s1) 2. [O que o NIST mede quando fala de phishing awareness?](#s2) 3. [Por que o SANS não para no click rate?](#s3) 4. [O que muda quando o risco acontece em segundos?](#s4) 5. [O foco ainda é email ou já mudou de canal?](#s5) 6. [Que decisão esse cruzamento habilita para um CISO na América Latina?](#s6) 7. [O que ler em seguida?](#s7) Para CISO, TI e compliance na América Latina, um programa de treinamento em cybersecurity awareness não se valida pela quantidade de cursos, mas por evidência contínua de conhecimento, simulação e reação. A ISO pede um programa formal e mantido para todo o pessoal, NIST e SANS o tornam mensurável com exercícios, e a Verizon mostra que o [risco humano](https://www.whalemate.com/br/recursos/blog/cybersecurity-awareness-month-risco-humano/) se materializa em segundos e já não acontece só por email, mas também por voz e celular. Juntos, marcos normativos e medições operacionais dizem algo que nenhuma fonte, isoladamente, deixa tão claro. A comparação mostra que a discussão não é se vale a pena capacitar, mas qual controle concreto permite provar eficácia, priorizar risco e sustentar auditoria. | Fonte | Marco | Alcance | Métrica núcleo | Vetor principal | Cadência / tempo | Uso operacional | | --- | --- | --- | --- | --- | --- | --- | | [ISO/IEC 27001:2022 Annex A 6.3](https://ransomleak.com/compliance/iso-27001/) | ISO/IEC 27001:2022 | "for all employees" | Não especificado | Não especificado | "planned, established, implemented and maintained", "updated regularly" | Controle formal de awareness, education and training | | [ISO 27001 Clause 7.3 Awareness](https://www.isms.online/iso-27001/requirements-2022/7-3-awareness-2022/) | ISO/IEC 27001:2022 | "all persons doing work under the organization's control", "everyone in scope" | Não especificado | Não especificado | Conhecimento contínuo de policy, papel e implicações | Sustentar a eficácia do ISMS e evidenciar compreensão | | [NIST SP 800-50r1](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf) | NIST SP 800-50r1 | Programa "enterprise-wide" | Não especificado | Social engineering, phishing, spear phishing, vishing, smishing | "phishing exercise" e exercícios práticos | Medir se os usuários detectam a tentativa ou clicam | | [SANS phishing benchmarking](https://www.sans.org/white-papers/effectively-benchmarking-phishing-awareness-program) | SANS Institute | Programa organizacional | "undesired action rate (click rate)" e "report rate" | Não especificado | Simulações recorrentes | Avaliar vulnerabilidade e capacidade de reporte | | [Verizon DBIR 2024](https://www.verizon.com/business/resources/infographics/2024-dbir-infographic.pdf) | Verizon DBIR 2024 | Usuários finais expostos a phishing email | Tempo de clique / reação | Email phishing | "21 seconds", "less than 60 seconds" | Mostra que o risco acontece rápido demais | | [Verizon DBIR 2026](https://www.verizon.com/about/news/breach-industry-wide-dbir-finds) | Verizon DBIR 2026 | Breaches com elemento humano | "Human element was present in 62% of breaches", "Social Engineering" 16% | Mobile-centric social engineering, fake text messages and voice calls | 40% higher success rate que email phishing | Obriga a medir awareness multicanal | Ao colocar ISO, NIST, SANS e Verizon na mesma visão, aparece a tensão central. A ISO exige um [programa sustentado](https://www.whalemate.com/br/recursos/blog/campanha-conscientizacao-exige-mede/) e auditável, enquanto a Verizon mostra que a decisão do usuário acontece em uma janela de segundos. Isso muda o problema de “capacitar” para “[medir comportamento](https://www.whalemate.com/br/recursos/blog/nist-cis-pci-engenharia-social/) sob pressão”. ## A ISO pede um programa ou um curso isolado? A ISO/IEC 27001:2022 não fala de uma ação pontual. O controle [Annex A 6.3](https://ransomleak.com/compliance/iso-27001/) exige que o programa de information security awareness, education and training seja "planned, established, implemented and maintained" e que seja atualizado regularmente. A mesma lógica se reforça com [Clause 7.3 Awareness](https://www.isms.online/iso-27001/requirements-2022/7-3-awareness-2022/), que se aplica a "all persons doing work under the organization's control" e, em um guia prático, a "everyone in scope". A leitura da Whalemate é que isso transforma o awareness em um controle transversal do ISMS, não em uma campanha de RH nem em um curso anual para cumprir tabela. Se o padrão pede evidência de compreensão, contribuição e consequências de não conformidade, o programa precisa deixar rastreabilidade auditável. Sem isso, há treinamento, mas não há controle. ## O que o NIST mede quando fala de phishing awareness? NIST SP 800-50r1 recomenda um "phishing exercise to promote awareness of [social engineering](https://www.whalemate.com/br/recursos/blog/nist-cis-medir-engenharia-social/) attacks" e coloca phishing, [spear phishing](https://www.whalemate.com/br/recursos/blog/phishing-spear-phishing-mudam-medicao/), vishing e smishing entre os temas centrais de um programa enterprise-wide. O foco não está na palestra, mas no exercício prático e em observar se o usuário detecta a tentativa ou clica. A leitura da Whalemate é que o NIST reduz o awareness a comportamento observável. Isso importa porque permite sair de uma lógica de presença e entrar numa lógica de desempenho. Para um CISO, a pergunta deixa de ser quem concluiu o curso e passa a ser quem reconhece, reporta ou cai diante de uma tentativa realista. ## Por que o SANS não para no click rate? O SANS propõe [duas métricas núcleo](https://www.sans.org/white-papers/effectively-benchmarking-phishing-awareness-program) para simulações de phishing, "undesired action rate (click rate)" e "report rate". Com isso, o programa não mede só a exposição ao engano, mas também a capacidade de reporte e a reação defensiva do usuário. A leitura da Whalemate é que aí está a diferença entre treinar e gerir risco humano. Se você olha apenas cliques, sabe quem errou. Se soma reportes, sabe quem ajuda a conter. Para compliance e TI, esse segundo sinal é o que melhor se traduz em evidência de maturidade operacional. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## O que muda quando o risco acontece em segundos? A Verizon mostrou em 2024 que o "median time to click on a malicious link after the email is opened is 21 seconds" e que o tempo mediano para cair em phishing é "less than 60 seconds". Em 2026, a empresa também informou que o "Human element was present in 62% of breaches" e que "[Social Engineering](https://www.whalemate.com/br/recursos/blog/nist-pci-brasil-engenharia-social/)" respondeu por 16% dos breaches, com foco crescente em "mobile-centric social engineering". [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/hYjhatYOSOE-191.br.vtt) Cyber Security Awareness - Video Training Course | John Academy — John Academy. [Ver el original](https://www.youtube.com/watch?v=hYjhatYOSOE&t=191s) A leitura da Whalemate é que o programa não pode depender de consciência geral nem de uma única campanha anual. Se a janela de decisão é de segundos, a medição precisa incluir [tempo de reação](https://www.whalemate.com/br/recursos/blog/nist-medir-awareness/), não só taxa de clique. E, se o vetor migra para texto e voz, o controle precisa ser multicanal. ## O foco ainda é email ou já mudou de canal? A nota oficial da Verizon sobre o DBIR 2026 diz que o sucesso em [ataques de voz e texto](https://www.whalemate.com/br/recursos/blog/pci-cisa-nist-phishing-vs/) é "40% higher than traditional email phishing". Análises complementares da Push Security e da Breacher.ai concordam que simulações de voice e text phishing mostram taxas medianas de clique de [2% contra 1.4% em email](https://pushsecurity.com/blog/verizon-dbir-2026-review). [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/66301fa2-bc4b-4810-ad56-349ff2bd897b/o_58rBduAqQ-32.br.vtt) Pause, think and act - Cyber security awareness training video - Security Quotient — Security Quotient. [Ver el original](https://www.youtube.com/watch?v=o_58rBduAqQ&t=32s) A leitura da Whalemate é que um programa focado só em email fica desalinhado com o vetor real de risco. Isso não invalida o canal tradicional, mas obriga a [segmentar por canal](https://www.whalemate.com/br/recursos/blog/phishing-canal-alvo-controle/), porque uma medição única pode subestimar o problema. Na América Latina, onde o uso de mensagens e voz é intenso, essa diferença pesa na priorização. ## Que decisão esse cruzamento habilita para um CISO na América Latina? Habilita sair de um curso anual para um controle contínuo de risco humano. ISO exige [programa sustentado](https://ransomleak.com/compliance/iso-27001/), NIST e SANS pedem [medir comportamento](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf), e Verizon mostra que o dano pode vir por voz, texto e em [menos de um minuto](https://www.verizon.com/about/news/breach-industry-wide-dbir-finds). A resposta prática é segmentar por canal, medir click rate, report rate e tempo de reação, e priorizar intervenções por risco relativo. Para uma equipe de compliance, isso também muda a evidência. Já não basta uma comprovação de capacitação. É preciso rastreabilidade de simulações, resultados, remediação e atualização periódica, porque isso é o que melhor se encaixa em um programa auditável e contínuo. ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **Um programa de awareness cumpre se tiver só cursos?** Não, cursos isolados não são suficientes. A ISO/IEC 27001:2022 exige um programa "planned, established, implemented and maintained" e atualizado regularmente. NIST e SANS acrescentam simulações e métricas. Se não há evidência de comportamento, há apenas treinamento, mas não um controle demonstrável de risco humano. **Quais métricas vale a pena olhar primeiro?** As mais operacionais são click rate, report rate e tempo de reação. A SANS usa click rate e report rate como núcleo. A Verizon acrescenta uma variável crítica, o tempo até o clique, porque mostra que a exposição real acontece em segundos. Para gestão, combinar esses sinais dá uma visão mais útil do que olhar apenas para presença. **Por que não adianta medir só phishing por email?** Porque a Verizon relata que o sucesso de voice e text phishing é 40% higher que o do email tradicional. Se o programa mede só email, deixa de fora parte do risco. Na América Latina, onde a interação por celular e mensageria faz parte do cotidiano, essa omissão pode distorcer prioridades e orçamento. **O que um compliance officer deveria pedir para TI amanhã?** Deveria pedir evidência de programa contínuo, segmentação por canal, métricas de simulação e um plano de remediação. Também convém pedir rastreabilidade para auditoria, porque a ISO exige que o pessoal entenda seu papel e as implicações da não conformidade. Sem essa evidência, o programa fica fraco diante da auditoria e diante de incidentes. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CISO%2C%20NIST%20e%20Verizon%20medem%20awareness%20de%20phishing%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CISO%2C%20NIST%20e%20Verizon%20medem%20awareness%20de%20phishing%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [A ISO pede um programa ou um curso isolado?](#s1) 2. [O que o NIST mede quando fala de phishing awareness?](#s2) 3. [Por que o SANS não para no click rate?](#s3) 4. [O que muda quando o risco acontece em segundos?](#s4) 5. [O foco ainda é email ou já mudou de canal?](#s5) 6. [Que decisão esse cruzamento habilita para um CISO na América Latina?](#s6) 7. [O que ler em seguida?](#s7) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[CISA e NIST medem simulações de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-medem-simulacoes-ciberataque.webp)](https://www.whalemate.com/br/recursos/blog/cisa-nist-medem-simulacoes-ciberataque/) Conscientização 10 de nov. de 2026 Por Federico Hombre ### CISA e NIST medem simulações de ciberataque CISA, NIST e ISO/IEC 27001 apontam o que medir em simulações: cliques, reportes, aberturas, dificuldade Ler mais [!\[Phishing: canal, alvo, controle\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-canal-alvo-controle.webp)](https://www.whalemate.com/br/recursos/blog/phishing-canal-alvo-controle/) Conscientização 9 de nov. de 2026 Por Federico Hombre ### Phishing: canal, alvo, controle Para CISO, TI e compliance, phishing se gerencia por canal, objetivo, controle e métrica, não por uma lista de nomes. Ler mais [!\[NIST, ISO e CISA elevam o phishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-iso-cisa-elevam-phishing.webp)](https://www.whalemate.com/br/recursos/blog/nist-iso-cisa-elevam-phishing/) Conscientização 6 de nov. de 2026 Por Federico Hombre ### NIST, ISO e CISA elevam o phishing NIST, ISO, CISA e Brasil mostram que não basta medir cliques nem fazer campanha anual para reduzir risco de phishing. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)