LATAM: o que mede uma empresa de HRM

Para um CISO, TI ou compliance na LATAM, uma human risk management company implica deixar de medir se as pessoas concluíram um curso e passar a medir sinais comportamentais contínuos, converter isso em risco quantificado por pessoa ou grupo e usar esse dado como evidência operacional diante de ISO/IEC 27001:2022 A.6.3 e PCI DSS 12.6. Segundo a Verizon, o fator humano esteve envolvido em aproximadamente 60% das violações analisadas no Verizon 2025 Data Breach Investigations Report, e a participação de terceiros nas violações dobrou de 15% para 30% no mesmo relatório. A lacuna real não está em impor treinamento, mas em sustentar um programa segmentado, contínuo e demonstrável, a partir do cruzamento entre os requisitos de ISO/IEC e do PCI Security Standards Council, as capacidades descritas por Adaptive Security, IRONSCALES e UpGuard, e os alertas da Bright Defense junto com os benchmarks da Fortra e da Bait & Phish. Na IBM, phishing respondeu por 16% dos vetores iniciais de ataque mais frequentes no Cost of a Data Breach Report 2025, e as violações iniciadas por phishing tiveram custo médio de USD 4,8 milhões. A IBM também informou que ataques de insiders maliciosos tiveram o maior custo médio entre os vetores iniciais de ataque, com USD 4,92 milhões.

Colocados na mesma visão, os marcos de compliance dizem o que deve existir, as plataformas de HRM mostram qual comportamento pode ser medido e os benchmarks expõem onde os programas falham quando ficam presos ao calendário anual. Esse cruzamento ajuda a ver qual decisão cada abordagem habilita e por que o HRM funciona como uma camada operacional entre requisito e execução.

O que muda quando HRM deixa de ser awareness e passa a ser uma camada de medição?

Doppel define HRM como a prática de identificar, medir e reduzir o risco de cibersegurança criado por pessoas. Adaptive Security e KnowBe4 concordam que não se trata apenas de conscientização, mas de uma prática orientada por dados para medir comportamento e agir sobre esse risco. A leitura da Whalemate é que a diferença central para a LATAM não é terminológica, e sim orçamentária e operacional: se a compra é de treinamento, o resultado é conteúdo; se a compra é de HRM, o resultado é uma forma de priorizar risco humano com dados contínuos.

A Proofpoint acrescenta que HRM vai além do treinamento tradicional e combina avaliação de riscos, análise de comportamento, treinamento personalizado e monitoramento contínuo. A Living Security apresenta isso como uma mudança de uma função reativa de compliance para uma função preditiva baseada em dados. Isso desloca a conversa interna da conclusão de cursos para a exposição real por comportamento, segundo Proofpoint e Living Security.

O que exigem ISO/IEC 27001:2022 A.6.3 e PCI DSS 12.6, e o que elas não detalham?

A ISO/IEC 27001:2022 estabelece no controle 6.3 que o pessoal e as partes interessadas relevantes devem receber conscientização, educação e treinamento adequados, com atualizações regulares de políticas e procedimentos, segundo o texto da ISO/IEC. A ISMS.online interpreta que isso exige programas contínuos e integrados à estratégia de gestão de riscos, e que o treinamento pode ser necessário pelo menos uma vez por ano ou conforme a avaliação de risco.

A PCI DSS v4.0 estabelece no requisito 12.6 que as entidades devem implementar e manter um programa formal de conscientização em segurança para todo o pessoal, segundo o PCI Security Standards Council. A Basis Theory detalha que o programa deve ser revisado pelo menos a cada 12 meses, que o pessoal deve receber treinamento na admissão e pelo menos uma vez a cada 12 meses, e que isso deve cobrir phishing, ataques relacionados e engenharia social. A leitura da Whalemate é que ambos os marcos pedem programa, cobertura e atualização, mas não explicam por si sós como traduzir comportamento diário em evidência acionável.

Onde aparece a primeira tensão, programa ongoing ou sessão anual?

A Bright Defense sustenta que a PCI DSS 12.6 exige que a conscientização seja uma atividade ongoing, além de exigir revisão pelo menos a cada 12 meses, treinamento na contratação e pelo menos a cada 12 meses, e reconhecimento anual da política. A mesma fonte alerta que muitas organizações mostram evidence gaps em auditorias porque não conseguem demonstrar atividade contínua além de uma sessão anual.

A leitura da Whalemate é que a tensão não está no texto normativo, mas na execução. O requisito fala de programa formal e atividade contínua, mas a prática de muitas empresas continua organizada como evento anual com registro de presença. Para compliance, essa distância vira um problema de evidência, não de intenção.

A cadência mínima da PCI DSS basta para gerenciar risco humano?

A Basis Theory explica que a PCI DSS 12.6.3 impõe como mínimo treinamento na admissão e pelo menos uma vez a cada 12 meses. A IRONSCALES, por sua vez, descreve modelos de HRM em que o treinamento é disparado quando uma pessoa falha em uma simulação de phishing ou realiza uma ação arriscada.

A leitura da Whalemate é que a PCI DSS define um piso temporal de conformidade, mas não um teto operacional. Um programa que se limite à admissão e à renovação anual pode cumprir o mínimo documental e ainda assim chegar tarde diante de comportamentos de risco observáveis entre uma instância e outra. O HRM adiciona gatilhos por comportamento que o padrão não detalha, mas que ajudam a sustentá-lo.

A ISO/IEC 27001 permite anualidade ou exige continuidade real?

A ISMS.online indica que, para a ISO/IEC 27001:2022 A.6.3, as organizações podem precisar ministrar treinamento pelo menos uma vez por ano, ou conforme a avaliação de risco. A Adaptive Security critica abordagens baseadas em marcar uma caixa de conformidade uma vez por ano e defende que o HRM as substitui por uma visão em que as ações são monitoradas e medidas continuamente.

A leitura da Whalemate é que não há uma contradição estrita, mas dois níveis distintos. A ISO/IEC 27001 estabelece uma obrigação de adequação e atualização regular; o HRM propõe o mecanismo para demonstrar que essa adequação responde ao risco observado. Se o risco muda por função, canal ou comportamento, uma única instância anual fica fraca como prova de ajuste.

O que é medido de fato em uma plataforma de HRM?

A Adaptive Security diz que o HRM converte cliques em phishing, relatos de atividade suspeita e cumprimento de políticas em dados estruturados. A Keepnet Labs soma resposta a simulações, uso de canais inseguros e resistência a seguir políticas, e explica que esses sinais são convertidos em risco quantificado para acionar intervenções específicas. A UpGuard acrescenta suscetibilidade a phishing, uso inseguro de SaaS e ferramentas de IA, exposição de credenciais e violações de políticas.

A leitura da Whalemate é que uma human risk management company para a LATAM deve ser medida menos pela quantidade de cursos e mais pela qualidade dos sinais. Se não consegue consolidar simulações, treinamento, relatórios e comportamento em uma leitura útil de risco, continua sendo um fornecedor de awareness com dashboards melhores.

O que falha na prática quando só se mede conclusão?

A Proofpoint aponta que programas estáticos ou puramente de compliance tendem a falhar em reduzir de forma sustentada o risco humano. A Bright Defense mostra que, além disso, muitas organizações não conseguem demonstrar continuidade em auditoria. O problema prático é duplo: perde-se capacidade de intervenção e também se perde rastreabilidade de compliance.

A NHIMG acrescenta outro ponto cego: gerir risco humano não é apenas ensinar, mas também redesenhar políticas, fluxos de trabalho e controles para que as pessoas não precisem criar atalhos inseguros por excesso de fricção. A leitura da Whalemate é que um programa centrado na conclusão confunde aprendizado com redução de exposição e deixa de fora a parte de processo que explica por que as pessoas contornam controles.

O que os benchmarks dizem sobre a lacuna entre curso e comportamento?

A Fortra observou uma taxa média de clique de 5.42% e uma taxa de envio de senha de 1.99% em simulações, com mais de 750,000 indivíduos que clicaram e mais de 250,000 que forneceram suas senhas. A Bait & Phish posiciona programas maduros em uma faixa de 5-12% de taxa de clique e os avançados em menos de 5%, e alerta que muitos programas entram em platô em 5-12% se não aumentarem a dificuldade.

A Nophi.sh, citando o relatório de benchmarking 2025 da KnowBe4, informa uma taxa de clique de base de 33.1% e uma redução para 4.1% após 12 meses de simulações e treinamento. A leitura da Whalemate é que concluir campanhas não equivale a eliminar risco. Mesmo com maturidade, permanece uma população que continua falhando e precisa de outra intervenção, não do mesmo curso para todos.

Por que o score de risco serve para priorizar e não para punir?

A IRONSCALES descreve o risk scoring por usuário como um mecanismo para concentrar atenção e recursos em quem tem maior probabilidade de ser alvo ou de cometer erros críticos. A Adaptive Security apresenta os dados comportamentais como insumo para priorizar intervenções e oferecer suporte adicional. A UpGuard vincula esses escores a controles concretos, como ajustes de políticas, restrições de ferramentas ou campanhas específicas.

A leitura da Whalemate é que o score só tem valor se ordenar ações. Um risk score que não define quem recebe microtreinamento, qual política precisa ser ajustada ou qual grupo precisa de uma restrição adicional é apenas um indicador decorativo. Já quando consolida sinais de simulações, cursos, relatórios e comportamento, vira uma ferramenta de priorização operacional.

Qual é o lugar de função, setor e ciclo de vida do funcionário?

O Infosec Institute sustenta que o HRM aborda riscos em cada fase do ciclo de vida do funcionário, do onboarding à saída. A Nophi.sh destaca diferenças amplas por setor nos benchmarks de phishing, com segmentos como educação e saúde mostrando taxas iniciais mais altas que tecnologia. A Bait & Phish também relata diferenças setoriais, com serviços financeiros, educação e saúde em faixas distintas de base e maturidade.

A leitura da Whalemate é que, na LATAM, não faz sentido usar uma única meta universal de risco humano. O programa e a evidência precisam ser segmentados por função, acesso, setor e etapa da relação de trabalho. Isso também conversa melhor com a ISO/IEC 27001:2022 A.6.3, que fala de relevância conforme a função.

Que decisão concreta uma company de HRM habilita na LATAM?

A decisão não é comprar treinamento, mas escolher um sistema que transforme comportamentos em evidência e priorização. Se a PCI DSS 12.6 exige um programa formal, revisão periódica, cobertura temática e rastreabilidade, segundo PCI Security Standards Council e Basis Theory, e a Bright Defense mostra que muitas organizações falham em demonstrar continuidade, então o critério de compra precisa incluir capacidade de evidência contínua para auditoria.

Se além disso a Fortra mostra 5.42% de clique médio e 1.99% de envio de senha, e a Bait & Phish mostra platôs de 5-12% sem progressão de dificuldade, então a métrica útil não é quantidade de pessoas treinadas, e sim quem continua falhando, em qual comportamento e qual intervenção específica é acionada. Para TI, isso habilita restrições de ferramentas ou redesenho de fricção, segundo UpGuard e NHIMG. Para compliance, habilita provar continuidade, segmentação e atualização. Para o CISO, habilita realocar recursos para grupos, funções ou comportamentos com maior exposição observável.

Consequência operacional

Para uma equipe da LATAM que precisa decidir amanhã, uma human risk management company deve ser avaliada por cinco capacidades: medir sinais de comportamento, consolidá-los em risco quantificado por pessoa ou grupo, disparar intervenções segmentadas, gerar evidência contínua para ISO/IEC 27001:2022 A.6.3 e PCI DSS 12.6, e mostrar qual mudança cada ação produziu. Se a ferramenta só entrega conteúdo, certificados e relatórios de conclusão, ela não resolve a lacuna que Bright Defense, Fortra e Bait & Phish descrevem entre requisito formal, comportamento real e prova de continuidade. Se, além disso, modela contexto, simula, treina, mede, intervém e reporta, ela passa de awareness para gestão operacional do risco humano.

O que ler depois?

• Human Risk Management na plataforma
• Plataforma de Human Risk Management
• APWG e PCI DSS: smishing em alta

Que plataforma de human risk management convém para uma empresa na América Latina?

Para uma empresa na América Latina, convém priorizar uma plataforma que combine medição contínua, conteúdo localizado e evidência operacional para auditoria. Se a decisão é entre uma ferramenta global e uma solução LATAM-native, o critério do artigo favorece a opção que melhor sustente comportamento mensurável, suporte regional e adaptação aos requisitos de ISO/IEC 27001:2022 A.6.3 e PCI DSS 12.6.

Na prática, isso significa pedir uma prova de programa contínuo, e não apenas de treinamento anual. O artigo já mostra que a lacuna real está em transformar cliques, relatos, cumprimento de políticas e exposição de credenciais em um risk score acionável por pessoa ou grupo, e em demonstrá-lo com evidência contínua diante de auditoria.