Como medir o risco humano sem transformar o score em uma arma disciplinar

Medir risco humano quase não tem concorrência posicionada nesta busca. Por isso esta conversa liga ao pilar de produto: o risk score individual, por equipe e da empresa.

Um score para priorizar, não para punir

Um score serve para priorizar intervenções. Não para montar um ranking punitivo. O Trust Center e o contrato precisam dizer isso com clareza: nenhuma métrica individual é usada para fins disciplinares pela Whalemate. Isso também está no DPA.

Se a diretoria só recebe completion rate, não está medindo risco. Está medindo presença. A diferença é o programa.

O termo risk score é a definição curta. Esta nota existe para "como medir o risco humano" e para separar o índice de uma arma de People.

O que entra no índice (e o que não)

O risk score consolida sinais de simulações, cursos, relatórios e comportamento em um número que se pode acompanhar no tempo. Não publicamos a fórmula em marketing: o detalhe vive no produto e na implementação, não em um título.

Junto ao score geral, o PAS combina resultado de simulações e taxa de reporte para isolar a parte associada a phishing. A taxa de reporte é o gesto defensivo ativo — o botão no Outlook ou Gmail — não a presença em um vídeo.

O que não entra: um ranking de países inventado, um hall of shame, uma média de indústria sem relatório publicado. Se um número não está em um caso de sucesso ou em um PDF validado, não é um dado da Whalemate.

Onde se opera

A ficha de produto é analítica de risco humano. O agente de conscientização consome esses sinais para decidir a próxima intervenção. Simulações e treinamento alimentam o índice; não o contrário: não se desenha uma campanha para inflar um gráfico.

PCI DSS 12.6 e ISO/IEC 27001 pedem evidência de programa. Um score bem governado é insumo para diretoria e auditor. Um score mal governado é um expediente. A Whalemate se declara do primeiro lado.