Por 
Para um CISO, TI ou compliance, engenharia social tem uma definição operacional mais exigente do que "dar awareness". Ao cruzar NIST, CIS, ISO, PCI DSS e CISA, o risco precisa ser medido pela capacidade de reconhecer, reportar e responder, com cobertura e validade do treinamento. A lacuna aparece quando essa exigência é comparada com a prática: segundo a Verizon, o elemento humano seguiu presente em aproximadamente 60% das brechas analisadas em 2025, e segundo a UK Statistics Authority muitos eventos nem sequer são reportados. Segundo a Verizon, em 2026 o fator humano esteve presente em 62% das brechas analisadas, ante 60% no ano anterior.
O que muda quando a definição vai para a gestão
NIST define a engenharia social como uma tentativa de enganar uma pessoa para que ela revele informação ou execute uma ação que possa comprometer um sistema, segundo o glossário do NIST e o NIST SP 800-53. Essa definição já desloca a conversa do curso para a conduta observável: revelar, agir, reportar ou não reportar. A leitura da Whalemate é que, se o risco está na conduta, o programa não pode ser medido só por presença ou conclusão.
ISO/IEC 27001 adota uma abordagem holística que inclui pessoas, políticas e tecnologia, segundo a ISO. PCI DSS 12.6 exige um programa contínuo de conscientização, não um curso isolado, segundo a Bright Defense. A CISA, junto com NSA, FBI e MS-ISAC, acrescenta ainda monitoramento técnico de e-mail e mensageria, segundo a guia conjunta. O mapa completo obriga a unir pessoas, processo e controles técnicos no mesmo painel. Segundo a Verizon, no Verizon Data Breach Investigations Report 2026 foram analisados mais de 31.000 incidentes de segurança reais ocorridos em empresas de 145 países, incluindo ao menos 22.000 casos de vazamento de dados confirmados.
O que aparece ao comparar NIST, CIS, ISO, PCI e CISA
Colocadas lado a lado, as fontes não dizem exatamente a mesma coisa, mas desenham a mesma exigência prática. O NIST aprofunda reconhecimento e reporte, o CIS traz métricas de cobertura e validade, a ISO amplia o alcance para empregados e contratados, o PCI formaliza revisão periódica e a CISA adiciona uma camada técnica que não aparece com o mesmo nível de detalhe nos demais frameworks.
| Norma | O que pede | Reconhecimento | Reporte | Frequência | Como é medido | Fonte |
|---|---|---|---|---|---|---|
| NIST SP 800-53 AT-2(3) | Fornecer capacitação de alfabetização para reconhecer e reportar instâncias potenciais e reais de engenharia social e social mining | Inclui phishing, pretexting, impersonation, baiting, quid pro quo, thread-jacking, social media exploitation e tailgating. Contempla identificar e-mails suspeitos, incluindo mensagens inesperadas, com gramática estranha ou ruim, ou de remetentes desconhecidos que parecem ser sponsors ou contratados conhecidos | A capacitação deve explicar como comunicar preocupações de empregados e management sobre casos potenciais ou reais por canais organizacionais baseados em políticas e procedimentos estabelecidos | não especificado | não especificado | NIST SP 800-53 Rev. 5 |
| CIS Controls v8 14.1 e 14.2 | Estabelecer e manter um programa de security awareness e treinar a força de trabalho para reconhecer ataques de engenharia social | Menciona phishing, business email compromise (BEC), pretexting e tailgating | não especificado | Treinamento ao ingressar e, no mínimo, anualmente. Revisar e atualizar o conteúdo anualmente ou quando ocorrerem mudanças empresariais significativas que possam afetar o safeguard | Treinamento inicial: percentual de integrantes da força de trabalho que receberam treinamento inicial, cálculo M4/M3. Treinamento vigente: percentual de integrantes conformes da força de trabalho, cálculo M6/M3 | CIS Controls documentation, Control 14 |
| ISO/IEC 27001 / guia de awareness e Annex A 6.3 | Todo empregado da organização e, quando relevante, contratados, deve receber awareness, educação e treinamento apropriados e atualizações regulares em políticas e procedimentos organizacionais, conforme sua função | não especificado | não especificado | Atualizações regulares. O guia consultado sobre Annex A 6.3 indica que não exige formato nem frequência específicos de treinamento | não especificado | ISO/IEC JTC 1/SC 27 e guia consultado sobre Annex A 6.3 |
| PCI DSS v4.0.1 Requirement 12.6 | A conscientização de segurança deve ser uma atividade contínua. Exige um programa formal para que todo o pessoal conheça as políticas e procedimentos de segurança da informação e seu papel na proteção de dados do titular do cartão | Exige conscientização sobre phishing, ataques relacionados e engenharia social | não especificado | Revisar o programa ao menos uma vez a cada 12 meses e atualizá-lo diante de novas ameaças ou vulnerabilidades. A obrigação de 12.6.3.1 passou a ser vigente em 31 de março de 2025, segundo CyberAware | não especificado | Bright Defense e CyberAware |
| CISA/NSA/FBI/MS-ISAC Phishing Guidance | Implementar user training sobre engenharia social e phishing attacks | Educar regularmente os usuários para identificar e-mails e links suspeitos e não interagir com eles | Recomenda reportar aberturas de e-mails, links, anexos ou iscas suspeitas | Exigir que os empregados revisem o material de treinamento anualmente | não especificado | CISA, NSA, FBI e MS-ISAC |
| CISA/NSA/FBI/MS-ISAC Phishing Guidance, camada técnica | Habilitar DMARC para os e-mails recebidos e monitorar internamente o tráfego de e-mail e mensageria para detectar atividade suspeita | não especificado | não especificado | não especificado | não especificado | CISA, NSA, FBI e MS-ISAC |
Se o CIS já mede cobertura e validade, por que o fator humano segue nas brechas?
O CIS Controls v8 mede o treinamento inicial como percentual de integrantes que receberam treinamento inicial, com cálculo M4/M3, e o treinamento vigente como percentual de integrantes conformes, com cálculo M6/M3, segundo a documentação do CIS. A Verizon, em seu 2025 Data Breach Investigations Report, indicou que a participação do elemento humano nas brechas se manteve em aproximadamente 60% dentro da amostra analisada. A leitura da Whalemate é que cobertura e validade são necessárias, mas não bastam se não se conectam com comportamento real diante de iscas e escalonamento. Segundo a Verizon, em 2026 a engenharia social foi o terceiro padrão de brecha mais frequente e respondeu por 16% de todas as brechas analisadas.
O problema não é que as métricas do CIS sejam fracas. O problema é que elas são métricas de base do programa, não evidência suficiente de desempenho sob pressão. Um painel que celebra 100% de treinamento vigente pode continuar cego para quem reconhece uma falsificação, quem a reporta e em quanto tempo.
O que acontece quando o NIST exige reporte, mas na prática muitos eventos não são reportados?
O NIST AT-2(3) exige treinar para reconhecer e reportar instâncias potenciais e reais de engenharia social, e também exige explicar como comunicar preocupações por canais organizacionais baseados em políticas e procedimentos estabelecidos, segundo o NIST SP 800-53 Rev. 5. A UK Statistics Authority informou que, no ano encerrado em setembro de 2024, apenas um em cada sete crimes de fraude e um em cada quinze crimes de computer misuse foram reportados ao Action Fraud ou à polícia. A leitura da Whalemate é direta: ter canal não equivale a obter uso efetivo do canal.
Para CISO e compliance, essa tensão pesa sobre a evidência. Se o programa prova que existe uma caixa de e-mail ou botão de reporte, mas não mostra volume, tempos e qualidade do escalonamento, a organização pode estar documentada e ao mesmo tempo subnotificando. O risco não é só pedagógico, também é de detecção precoce.
Basta ensinar a identificar mensagens suspeitas?
A CISA, a NSA, o FBI e o MS-ISAC recomendam educar regularmente os usuários para identificar e-mails e links suspeitos, não interagir com eles e reportar aberturas de e-mails, links, anexos ou iscas suspeitas, segundo a guia conjunta. O estudo publicado em Data: Journal of Information Systems and Management reportou padrões bimodais de clique: 20% dos participantes clicaram dentro dos primeiros 5 segundos e 30% depois de 15 segundos. O mesmo estudo também reportou um tempo mediano de aproximadamente 30 minutos para reportar uma simulação de phishing.
A leitura da Whalemate é que reconhecimento sem velocidade operacional chega tarde. Parte do dano acontece em segundos, enquanto o reporte pode levar dezenas de minutos. Por isso, a métrica útil não é só quem detectou, mas quando detectou e quando escalou. Segundo a Verizon, nas simulações de phishing do Verizon DBIR 2026, a taxa mediana de cliques bem-sucedidos em vetores centrados em dispositivos móveis, como chamadas de voz e mensagens de texto, foi 40% maior do que por e-mail.
O que a diferença entre curso dado e phishing sofrido revela?
A Cyber Security Breaches Survey 2025 encontrou que apenas 19% das empresas tinham fornecido algum tipo de treinamento ao pessoal nos 12 meses anteriores, segundo o UK Department for Science, Innovation and Technology. A mesma pesquisa informou que o phishing afetou 37% das empresas entrevistadas. A leitura da Whalemate é que existe uma lacuna evidente de cobertura, mas também um aviso: ampliar cobertura é condição mínima, não garantia de desempenho.
O dado importa para a América Latina porque muitas organizações ainda discutem se devem ou não formalizar o programa. Essa discussão fica defasada diante de frameworks como CIS, PCI ou CISA, que já tratam treinamento e revisão periódica como parte esperada do controle. Segundo a Verizon, em 2026 a exploração de vulnerabilidades respondeu por 47% dos vetores de acesso inicial em brechas, o phishing por 28% e o abuso de credenciais por 6%.
O que o NIST exige além do phishing clássico?
O NIST AT-2(3) não se limita a phishing. Segundo o NIST, inclui phishing, pretexting, impersonation, baiting, quid pro quo, thread-jacking, social media exploitation e tailgating. Também contempla treinar o pessoal para identificar e-mails suspeitos, incluindo mensagens inesperadas, com gramática estranha ou ruim, ou de remetentes desconhecidos que parecem ser sponsors ou contratados conhecidos.
A leitura da Whalemate é que um programa medido apenas por campanhas de e-mail deixa lacunas. Se o framework exige reconhecer múltiplas formas de engenharia social, o painel também deveria refletir esse alcance, ao menos em phishing, BEC, pretexting e tailgating, que o CIS enumera explicitamente em 14.2.
