--- title: "LATAM: o que avaliar em plataformas de awareness | Whalemate" description: "Para CISO, TI e compliance, uma plataforma de awareness serve para medir, segmentar e auditar comportamento, não só para treinar." url: https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/ lang: pt-BR updated: 2026-10-29 alternates: es: https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/ en: https://www.whalemate.com/en/resources/blog/latam-awareness-platforms-what-evaluate/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # LATAM: o que avaliar em plataformas de awareness Para CISO, TI e compliance, uma plataforma de awareness serve para medir, segmentar e auditar comportamento, não só para treinar. 29 de out. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 12 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![LATAM: o que avaliar em plataformas de awareness](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-avaliar-plataformas-awareness.webp) Neste artigo 1. [O que as exigências normativas mostram em conjunto](#s1) 2. [A plataforma é comprada para dar cursos ou para medir comportamento?](#s2) 3. [Cumprir a capacitação anual basta para reduzir phishing?](#s3) 4. [O que vale mais, o clique ou o reporte?](#s4) 5. [Dá para comparar taxa de clique sem contexto?](#s5) 6. [Os estudos mostram melhora sustentada ou resultados nulos?](#s6) 7. [O que fazer com benchmarks otimistas de fornecedores?](#s7) 8. [A prática melhora quando a intervenção é imediata e segmentada?](#s8) 9. [O que o compliance pede além de conteúdo?](#s9) 10. [Por que o Brasil torna isso mais operacional na América Latina?](#s10) 11. [Quais métricas mínimas uma plataforma deveria produzir?](#s11) 12. [O que falha na prática quando a compra é errada?](#s12) 13. [Consequência operacional para CISO, TI e compliance na América Latina](#s13) 14. [O que ler em seguida?](#s14) Para um CISO, TI ou compliance na América Latina, uma plataforma de security awareness training deve ser avaliada como um sistema de medição, segmentação e evidência, e não como um catálogo de cursos. Os marcos citados no material convergem ao exigir capacitação contínua e atualizada, e vários ainda pedem exercícios, avaliação de eficácia e registros verificáveis. A tensão aparece quando essa exigência normativa cruza com a evidência empírica: treinamento isolado não mostra uma redução consistente de phishing, então a decisão útil é quem precisa de intervenção, com que intensidade e como provar se o programa funciona. ## O que as exigências normativas mostram em conjunto Colocadas lado a lado, as fontes não descrevem apenas um dever de "treinar". Elas descrevem um sistema que combina frequência, exercícios, medição e evidência, com níveis diferentes de detalhe conforme o marco. | Norma | O que exige | Frequência | Exercícios | O que medir | Evidência | Fonte | | --- | --- | --- | --- | --- | --- | --- | | NIST SP 800-53 Rev. 5 AT-2 | Treinamento de alfabetização em segurança e privacidade para usuários do sistema, incluindo gerentes, executivos sêniores e contratados; atualizar conteúdo e incorporar lições aprendidas de incidentes ou violações internas ou externas | Treinamento inicial para novos usuários e depois na frequência definida pela organização; também quando mudanças no sistema ou eventos definidos pela organização exigirem | Inclui as melhorias AT-2(1) "Practical Exercises" e AT-2(3) "Social Engineering and Mining" | não especificado | não especificado | segundo NIST SP 800-53 Rev. 5 | | PCI DSS v4.0 Req. 12.6 | Um programa formal de conscientização para que todo o pessoal conheça a política e os procedimentos de segurança da informação e seu papel na proteção dos dados do titular; o treinamento deve incluir phishing and related attacks e social engineering | A educação de conscientização em segurança é uma atividade contínua | não especificado | não especificado | não especificado | segundo PCI DSS v4.0 | | ISO/IEC 27001:2022 Annex A 6.3 + cláusula 7.2 | O pessoal e as partes interessadas relevantes devem receber conscientização, educação e treinamento adequados e atualizações regulares; além disso, é preciso determinar a competência necessária, assegurar a competência, tomar medidas para adquiri-la e avaliar a eficácia dessas medidas | Atualizações regulares | não especificado | Avaliar a eficácia das medidas tomadas para adquirir a competência | Manter informação documentada como evidência de competência | segundo ISO/IEC 27001:2022 e a interpretação citada por Sentrix | | CISA phishing guidance + CISA FISMA metrics | Implementar treinamento de usuários sobre engenharia social e phishing; educar regularmente para identificar e-mails e links suspeitos, não interagir com eles e reportá-los; combinar conscientização e treinamento, ataques simulados e análise de resultados para ajustar o treinamento e reduzir o risco | Os funcionários devem revisar material de treinamento anti-phishing anualmente; também é exigido monitorar e analisar métricas quantitativas e qualitativas | Avaliação de vulnerabilidade a phishing por meio de e-mails simulados para grupos definidos; contempla evidências de exercícios voltados a executivos sêniores, usuários privilegiados ou equipe de cibersegurança | Percentual de usuários que concluíram o treinamento anual; percentual de novos usuários que concluíram o treinamento antes de acessar; quantidade de usuários que participaram dos exercícios, quantidade que passou e quantidade que identificou e reportou o phishing | Os dados que sustentam as métricas devem ser obtidos de forma exata, consistente e reproduzível | segundo CISA | | ENISA | Os programas devem incluir criação de capacidades, avaliações periódicas de tendências e desafios, medição do comportamento de cibersegurança e planejamento de campanhas; propõe identificar objetivos, segmentar funcionários em grupos-alvo, selecionar meios, implementar e avaliar | Simulações regulares de phishing e avaliações periódicas | Recomenda uma avaliação de linha de base e simulações regulares de phishing para identificar quem precisa de treinamento adicional | Medição do comportamento de cibersegurança; avaliação de linha de base para determinar onde estão os riscos | não especificado | segundo ENISA | | Banco Central do Brasil CMN 4.893/2021 | Mecanismos de disseminação de uma cultura de cibersegurança, incluindo implementação de programas de treinamento e avaliação periódica de funcionários; a política deve prever o compromisso da alta direção com a melhoria contínua dos procedimentos relacionados à cibersegurança | Avaliação periódica de funcionários | não especificado | Avaliação periódica de funcionários | não especificado | segundo a Resolução CMN 4.893/2021 do Banco Central do Brasil | ## A plataforma é comprada para dar cursos ou para medir comportamento? A leitura da Whalemate é que os marcos do material se parecem mais com um sistema de gestão do que com uma biblioteca de conteúdo. Segundo o NIST SP 800-53 Rev. 5, o controle [AT-2 exige](https://csrc.nist.gov/files/pubs/sp/800/53/r5/upd1/final/docs/sp800-53r5-control-catalog.xlsx) treinamento inicial, treinamento posterior com frequência definida pela organização, atualização de conteúdo e incorporação de lições aprendidas de incidentes. Segundo o PCI DSS v4.0, o Requirement 12.6 estabelece que a educação em awareness é uma atividade contínua, não um curso isolado. Isso muda o critério de compra. Se o problema a resolver fosse apenas distribuir conteúdo, bastaria um LMS básico. Mas, segundo a ENISA, o programa deve partir de uma linha de base, segmentar funcionários em grupos-alvo, executar simulações regulares e medir comportamento, de modo que a plataforma útil é aquela que transforma comportamento observado em decisões de intervenção. ## Cumprir a capacitação anual basta para reduzir phishing? A CISA coloca o treinamento anti-phishing no piso mínimo. Segundo a orientação da CISA, os funcionários devem revisar material de treinamento anualmente e a organização deve combinar conscientização, ataques simulados e análise de resultados para ajustar o treinamento e reduzir o risco. A evidência empírica do material complica qualquer promessa linear. Segundo o estudo em larga escala publicado no arXiv, o grupo de controle teve [taxa de clique de 9,8%](https://arxiv.org/html/2506.19899v3) frente a 10,5% entre participantes treinados, sem diferença estatisticamente significativa, com p=0,450. O mesmo estudo também não encontrou diferença estatisticamente significativa em reportes, com p=0,417 e tamanhos de efeito inferiores a 0,01. A leitura da Whalemate é que o treinamento anual pode ser necessário para cumprir exigências e estabelecer uma base, mas não basta como prova de eficácia comportamental. ## O que vale mais, o clique ou o reporte? A prática organizacional ainda se concentra muito no clique. Segundo uma pesquisa do NIST, 72% das organizações ouvidas usavam a [taxa de cliques](https://www.whalemate.com/br/recursos/blog/security-awareness-medir-clique-nao/) em simulações de phishing para medir eficácia e 62% usavam reportes de phishing simulado. Segundo outro estudo do NIST, a conclusão do treinamento foi usada por 84% das organizações ouvidas e a taxa de cliques por 72%. As recomendações do material são mais amplas. Segundo o NCSC, não se deve medir apenas quantas pessoas clicaram, mas também quantas reportaram. Segundo a CISA, uma das condutas a ensinar é [reportar e-mails, links e anexos suspeitos](https://www.cisa.gov/sites/default/files/2025-03/Phishing%20Guidance%20-%20Stopping%20the%20Attack%20Cycle%20at%20Phase%20One%20508.pdf). A leitura da Whalemate é que uma plataforma que captura apenas cliques deixa de fora um sinal central de resiliência operacional, porque reportar cedo acelera resposta e contenção. ## Dá para comparar taxa de clique sem contexto? Segundo o NIST, não. A NIST Phish Scale existe justamente para dar contexto às taxas de clique conforme a dificuldade humana de detectar a isca. O NIST indica que uma taxa não deve ser comparada sem considerar essa dificuldade. O mesmo ponto aparece na evidência empírica. Segundo o estudo do arXiv, a taxa de clique subiu de 7,0% para iscas fáceis para 15,0% para iscas difíceis. A leitura da Whalemate é direta: uma plataforma que mostra taxa bruta sem classificar campanhas, iscas e populações pode induzir decisões erradas, porque mistura dificuldade do ataque e desempenho do usuário. ## Os estudos mostram melhora sustentada ou resultados nulos? Mostram as duas coisas, e essa tensão importa. Segundo o estudo longitudinal da Ruhr University Bochum, a taxa de cliques caiu de 19% para 10% à medida que o treinamento avançava, com 429.418 e-mails enviados e 59.689 cliques, equivalentes a 13,90%, e em uma segunda fase 27.501 links clicados, equivalentes a 10,55%. O mesmo estudo relatou que 61 de 77 clientes melhoraram sua taxa de cliques depois de usar e-mails simulados. Mas, segundo a revisão de escopo em Computers & Security, que identificou 42 estudos, o impacto de curto prazo está documentado e a evidência sobre mudança comportamental sustentada é limitada. Segundo o arXiv, além disso, em um estudo recente de larga escala não houve efeitos principais significativos nem em cliques nem em reportes. A leitura da Whalemate é que não convém comprar a promessa de redução garantida, e sim a capacidade de medir localmente se a intervenção funciona na sua população e nas suas campanhas. ## O que fazer com benchmarks otimistas de fornecedores? Eles devem ser lidos como referência comercial, não como veredicto independente. Segundo a KnowBe4, sua análise reuniu 67,7 milhões de simulações de phishing, 14,5 milhões de usuários e 62,4 mil organizações. A fornecedora reportou uma taxa global média de phishing simulado de 33,1% antes do treinamento, uma redução de 40% após três meses e uma redução acumulada de 86% após doze meses. Em outro relatório, a KnowBe4 reportou uma redução de 34,3% para 4,6% para sua categoria de treinamento. O próprio material exige confronto desses dados. Segundo a SC Magazine UK, em um estudo de dez campanhas durante oito meses com mais de 19.500 funcionários de uma organização de saúde dos Estados Unidos, não foi observada melhora nas taxas de clique ao longo do tempo e o treinamento tradicional presencial ou estático teve pouco efeito mensurável. A leitura da Whalemate é que benchmarks servem para dimensionar cenários, mas a compra deve se apoiar em rastreabilidade metodológica, segmentação e resultados verificáveis dentro da própria organização. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## A prática melhora quando a intervenção é imediata e segmentada? A evidência do material sugere que sim, mais do que a formação genérica. Segundo a SC Magazine UK, o treinamento embutido, exibido imediatamente após a pessoa clicar, reduziu falhas futuras em 1,7% no estudo de saúde citado. Segundo a revisão de Computers & Security, os fatores associados a melhores resultados incluem intensidade do treinamento, abordagens ativas, feedback detalhado e a combinação de treinamento baseado em habilidades com abordagens baseadas em sinais de atenção. A ENISA segue na mesma direção operacional. Segundo a ENISA, é preciso fazer uma avaliação de linha de base e simulações regulares para identificar quem precisa de treinamento adicional. A leitura da Whalemate é que a plataforma deve habilitar reforços contextuais e adaptativos por grupo de risco, e não apenas campanhas massivas iguais para toda a organização. ## O que o compliance pede além de conteúdo? Pede prova. Segundo a ISO/IEC 27001:2022, a cláusula 7.2 exige determinar a competência necessária, assegurar que as pessoas sejam competentes, tomar medidas para adquirir essa competência, avaliar a eficácia dessas medidas e manter informação documentada como evidência de competência. Segundo o Annex A 6.3 da ISO/IEC 27001:2022, além disso, o pessoal e as partes interessadas relevantes devem receber atualizações regulares. A CISA reforça o padrão de qualidade da evidência. Segundo a orientação FISMA da CISA, os dados que sustentam as métricas devem ser obtidos de forma [exata, consistente e reproduzível](https://www.cisa.gov/sites/default/files/2024-05/FY%202024%20IG%20FISMA%20Metrics%20Evaluation%20Guide%20Final.pdf). A leitura da Whalemate é que uma plataforma sem registros verificáveis por usuário, campanha, resultado e evidência de competência deixa uma lacuna de auditoria, mesmo que o conteúdo seja bom. ## Por que o Brasil torna isso mais operacional na América Latina? Porque treinamento e avaliação periódica já aparecem em regulação concreta. Segundo a Resolução CMN 4.893/2021 do Banco Central do Brasil, as instituições devem implementar mecanismos de disseminação de uma cultura de cibersegurança, incluindo programas de treinamento e avaliação periódica de funcionários. A mesma resolução exige que a política contemple o compromisso da alta administração com a melhoria contínua dos procedimentos relacionados à cibersegurança. Além disso, segundo o Decreto 11.856/2023, a Política Nacional de Cibersegurança do Brasil busca estimular medidas de proteção e gestão de riscos para prevenir, mitigar e neutralizar vulnerabilidades, incidentes e ataques, e inclui entre seus objetivos desenvolver educação e capacitação técnico-profissional em segurança cibernética. A leitura da Whalemate é que, em ambientes regulados da América Latina, a plataforma precisa servir tanto para gestão de [risco humano](https://www.whalemate.com/br/recursos/blog/human-risk-management-mede-habilita/) quanto para auditoria e supervisão. ## Quais métricas mínimas uma plataforma deveria produzir? O material permite montar um piso claro. Segundo o NIST, as medidas combináveis de efetividade incluem incidentes relacionados aos temas de treinamento, reportes iniciados por usuários, taxas de clique em simulações, visualização ou engajamento com materiais e feedback por meio de pesquisas e entrevistas. Segundo a CISA, também importam o percentual de usuários que concluíram o treinamento anual, o percentual de novos usuários que concluíram o treinamento antes de acessar e a quantidade de usuários que participaram, passaram e identificaram e reportaram phishing. A leitura da Whalemate é que esse conjunto mínimo obriga a olhar várias camadas ao mesmo tempo. Há métricas de cobertura, como conclusão. Há métricas de comportamento, como [cliques e reportes](https://www.whalemate.com/br/recursos/blog/nist-pci-brasil-engenharia-social/). Há métricas operacionais, como incidentes relacionados. E há métricas de qualidade do programa, como feedback e reproduzibilidade dos dados. ## O que falha na prática quando a compra é errada? Falha a decisão que vem depois. Se uma organização compra uma plataforma como biblioteca de cursos, provavelmente terminará medindo presença e uma taxa bruta de cliques, que segundo o NIST são métricas frequentemente usadas, mas insuficientes sozinhas. Se além disso não registrar a dificuldade da isca, os resultados por campanha, os grupos de risco e a evidência documental, pode acreditar que melhorou quando apenas mudou o tipo de isca ou a população exposta. Também falha o compliance. Segundo a ISO/IEC 27001:2022, é preciso manter [evidência documentada de competência](https://www.whalemate.com/br/recursos/blog/iso-27001-2022-exige-awareness/), e segundo a CISA os dados devem ser exatos, consistentes e reproduzíveis. A leitura da Whalemate é que o erro comum não é só treinar pouco, mas medir mal e, por isso, intervir mal. ## Consequência operacional para CISO, TI e compliance na América Latina A decisão útil que uma plataforma de security awareness training precisa habilitar não é comprar cursos, e sim operar um sistema de priorização comportamental com evidência verificável. Para amanhã, isso implica exigir que a plataforma estabeleça linha de base, segmente por risco, execute simulações controladas, registre cliques e reportes, contextualize campanhas pela dificuldade da isca, mostre resultados por grupos e conserve evidência de competência e de eficácia do programa, segundo o que pedem NIST, CISA, ENISA, PCI DSS v4.0, ISO/IEC 27001:2022 e a Resolução CMN 4.893/2021 do Banco Central do Brasil. Se não fizer isso, pode deixar a equipe de compliance exposta e ainda induzir decisões erradas sobre quem deve ser abordado e com que intensidade. ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) - [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) - [PCI DSS e phishing vs spam na LATAM](https://www.whalemate.com/br/recursos/blog/pci-dss-phishing-vs-spam/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **O que um CISO deve avaliar primeiro em uma plataforma de awareness?** Primeiro, se ela mede comportamento e não apenas presença. Segundo a ENISA, o programa deve partir de uma linha de base, segmentar grupos-alvo e incluir simulações regulares. Segundo a CISA e o NIST, além disso, é preciso combinar métricas quantitativas e qualitativas. Se a plataforma não registra cliques, reportes, resultados por campanha e evidência reproduzível, ela avalia conteúdo, não risco humano. **A taxa de conclusão de cursos serve como indicador principal?** Ela serve como indicador de cobertura, mas não como medida suficiente de eficácia. Segundo o NIST, a conclusão de treinamento foi usada por 84% das organizações pesquisadas, mas o NIST recomenda combiná-la com incidentes, reportes de usuários, cliques em simulações, engajamento com conteúdos e feedback qualitativo. Medir apenas conclusão deixa sem resposta se o comportamento mudou. **Por que o reporte de phishing importa tanto quanto o clique?** Porque reportar é um comportamento defensivo que melhora a resposta precoce. Segundo o NCSC, não se deve medir apenas quantas pessoas clicaram, mas também quantas reportaram. Segundo a CISA, o treinamento deve ensinar a identificar e reportar e-mails, links e anexos suspeitos. Uma plataforma que não captura reportes mede exposição, mas não capacidade de detecção e escalonamento. **Que evidência o compliance precisa para auditoria?** Segundo a ISO/IEC 27001:2022, cláusula 7.2, é preciso manter informação documentada como evidência de competência e avaliar a eficácia das medidas tomadas. Segundo a CISA, os dados que sustentam as métricas devem ser exatos, consistentes e reproduzíveis. Na prática, isso exige registros verificáveis por usuário, campanha, resultado, data e ação corretiva ou reforço aplicado. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CLATAM%3A%20o%20que%20avaliar%20em%20plataformas%20de%20awareness%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CLATAM%3A%20o%20que%20avaliar%20em%20plataformas%20de%20awareness%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [O que as exigências normativas mostram em conjunto](#s1) 2. [A plataforma é comprada para dar cursos ou para medir comportamento?](#s2) 3. [Cumprir a capacitação anual basta para reduzir phishing?](#s3) 4. [O que vale mais, o clique ou o reporte?](#s4) 5. [Dá para comparar taxa de clique sem contexto?](#s5) 6. [Os estudos mostram melhora sustentada ou resultados nulos?](#s6) 7. [O que fazer com benchmarks otimistas de fornecedores?](#s7) 8. [A prática melhora quando a intervenção é imediata e segmentada?](#s8) 9. [O que o compliance pede além de conteúdo?](#s9) 10. [Por que o Brasil torna isso mais operacional na América Latina?](#s10) 11. [Quais métricas mínimas uma plataforma deveria produzir?](#s11) 12. [O que falha na prática quando a compra é errada?](#s12) 13. [Consequência operacional para CISO, TI e compliance na América Latina](#s13) 14. [O que ler em seguida?](#s14) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Campanha de conscientização: o que exige e o que mede\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campanha-conscientizacao-exige-mede.webp)](https://www.whalemate.com/br/recursos/blog/campanha-conscientizacao-exige-mede/) Conscientização 30 de out. de 2026 Por Federico Hombre ### Campanha de conscientização: o que exige e o que mede ISO, PCI DSS, CIS, NIST, ENISA e Califórnia não exigem a mesma coisa. O cruzamento mostra o que medir, guardar Ler mais [!\[PCI, CISA e NIST: phishing vs vishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/br/recursos/blog/pci-cisa-nist-phishing-vs/) Conscientização 28 de out. de 2026 Por Federico Hombre ### PCI, CISA e NIST: phishing vs vishing PCI DSS, NIST, CISA e CTIR mostram que phishing e vishing exigem controles diferentes. Métricas, evidências e compliance mudam. Ler mais [!\[Phishing e spear phishing mudam a medição do CISO\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-spear-phishing-mudam-medicao.webp)](https://www.whalemate.com/br/recursos/blog/phishing-spear-phishing-mudam-medicao/) Conscientização 27 de out. de 2026 Por Federico Hombre ### Phishing e spear phishing mudam a medição do CISO A diferença entre ataques massivos e dirigidos muda métricas e controles. Medir só cliques ou depender de um curso anual não basta. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)