Por 
Para um CISO, TI ou compliance na América Latina, explicar a engenharia social significa tratar o tema como risco de decisões induzidas por engano e confiança, mais amplo do que phishing por email, e medir se o programa consegue reconhecimento, reporte e cobertura por função e canal. O problema prático é que treinamento anual e taxa de conclusão continuam sendo usados como proxy de maturidade, embora o cruzamento entre NIST, CISA e estudos empíricos questione se isso reflete redução real de risco.
Colocadas lado a lado, as fontes não dizem a mesma coisa nem medem a mesma coisa. NIST e ISO/IEC 27002 organizam um programa recorrente e adequado ao papel, CISA pressiona por comportamentos observáveis e múltiplos canais, a Verizon traz contexto de exposição e os estudos empíricos colocam em dúvida que o curso anual, sozinho, melhore o desempenho. Segundo a Verizon, o elemento humano esteve presente em 62% das brechas, ante 60% no ano anterior.
| Norma | Escopo do risco | O que pede ou mostra | Como medir | Canais cobertos | Frequência ou atualização | Fonte |
|---|---|---|---|---|---|---|
| NIST CSRC + NIST SP 800-53/800-50 | NIST CSRC define engenharia social como enganar alguém para que revele informação, obtenha acesso não autorizado ou cometa fraude ao ganhar confiança. NIST CSRC define phishing como uma técnica para obter dados sensíveis por meio de uma solicitação fraudulenta por email ou site. | Segundo NIST SP 800-53 Rev. 5, o controle AT-2(3) exige treinamento para reconhecer e reportar instâncias potenciais e reais de engenharia social e mineração social. Segundo NIST SP 800-53 Rev. 5, o controle AT-2 exige treinamento para usuários, incluindo gerentes, executivos e contratados. Segundo NIST SP 800-50 Rev. 1, o programa deve ser gerido com abordagem de ciclo de vida. | Segundo NIST SP 800-50, as métricas servem para determinar necessidades de awareness e treinamento, quantificar implementação, efetividade e eficiência, analisar suficiência e identificar melhorias. NIST SP 800-50 traz como exemplo a proporção de empregados com responsabilidades significativas que recebeu treinamento especializado. O rascunho de NIST SP 800-50 Rev. 1 propõe dados longitudinais, testes antes e depois, acompanhamento após três meses, presença, avaliações de desempenho e taxas de conclusão. | não especificado | Segundo NIST SP 800-53 Rev. 5, a frequência após a integração fica definida pela organização. O mesmo controle exige atualizar conteúdo e técnicas com frequência definida pela organização e após eventos definidos, incorporando lições aprendidas. | NIST CSRC, NIST SP 800-53 Rev. 5, NIST SP 800-50 e rascunho NIST SP 800-50 Rev. 1 |
| ISO/IEC 27001/27002 | O material não traz uma definição de engenharia social em ISO/IEC 27001 ou ISO/IEC 27002. O enquadramento disponível é de competência, consciência e treinamento em segurança da informação. | Segundo ISO/IEC 27002:2022, controle 6.3, o pessoal e as partes interessadas pertinentes deveriam receber awareness, educação e treinamento adequados, com atualizações periódicas de políticas e procedimentos pertinentes à sua função. O mesmo controle recomenda um plano apropriado para equipes técnicas com habilidades e experiência específicas. | não especificado | Segundo ISO/IEC 27002:2022, controle 6.3, os canais possíveis incluem campanhas, folhetos, cartazes, newsletters, sites, sessões informativas, briefings, módulos de e-learning e emails. | Segundo ISO/IEC 27002:2022, controle 6.3, as atividades deveriam ser programadas ao longo do tempo, de preferência de forma regular, repetidas e alcançando o pessoal novo. | ISO/IEC 27001:2022 e ISO/IEC 27002:2022 |
| CISA | CISA define engenharia social como a tentativa de enganar alguém para que revele informação ou realize uma ação que comprometa sistemas ou redes. CISA define phishing como uma forma de engenharia social. | Segundo a CISA, é preciso implementar treinamento de usuários sobre engenharia social e phishing, ensinar a identificar mensagens e links suspeitos, não interagir com eles e reportá-los, mesmo se o usuário já tiver aberto um email, link ou anexo suspeito. A CISA também recomenda DMARC, SPF, DKIM e priorizar MFA resistente a phishing para contas administrativas e privilegiadas. | Segundo a CISA, reportar atividade suspeita é um dos métodos mais eficientes para proteger organizações. A orientação também recomenda estabelecer linha de base de tráfego normal, acompanhar tentativas ou negações de MFA e identificar e corrigir tentativas bem-sucedidas de phishing, sem metas numéricas universais. | Segundo a CISA, o escopo inclui email, SMS, chats no Slack, Teams, Signal, WhatsApp e chamadas VoIP com identificador falsificado. | Segundo a CISA, os usuários devem ser educados periodicamente. Para pequenas empresas, a CISA recomenda revisão anual do material anti-phishing e uma verificação de retenção. | CISA |
| Verizon DBIR | Segundo a Verizon 2026 DBIR, o elemento humano esteve presente em 62% das brechas observadas e Social Engineering foi o terceiro padrão de brecha mais comum, com 16% das brechas do conjunto analisado. | A Verizon mostra que, em simulações de phishing, a mediana de cliques bem-sucedidos foi 40% maior em vetores centrados em dispositivos móveis, como voz e mensagens de texto, do que por email. | Segundo a Verizon 2024 DBIR, em dados de exercícios de awareness fornecidos por parceiros durante 2023, 20% dos usuários reportou o phishing simulado. | Segundo a Verizon, os dados comparativos disponíveis cobrem email, voz e mensagens de texto. | não especificado | Verizon 2026 DBIR e Verizon 2024 DBIR |
| Estudos empíricos de eficácia de treinamento | Os estudos mapeados focam phishing simulado como manifestação prática do risco de engenharia social. | Segundo University of Chicago e IEEE Computer Society, o estudo no UC San Diego Health não encontrou correlação significativa entre quão recentemente os funcionários haviam concluído o treinamento anual e sua capacidade de evitar armadilhas de phishing simuladas. O mesmo estudo informou que quem tinha acabado de concluí-lo não teve desempenho melhor do que quem estava há mais de um ano sem recebê-lo. Segundo University of Chicago, o treinamento interativo se associou a menor probabilidade de cair do que abordagens informativas estáticas. Segundo ETH Zurich, houve mais cliques e ações perigosas entre participantes que receberam treinamento contextual depois de cair em simulações, e os autores alertam que não avaliaram a eficácia do treinamento obrigatório. | Segundo University of Chicago e IEEE Computer Society, o estudo do UC San Diego Health mediu desempenho em mais de 19.500 funcionários. Segundo ETH Zurich, o estudo registrou 6.680 cliques em 117.864 emails simulados, uma taxa agregada de clique de 5,67% na amostra estudada. | não especificado | Segundo University of Chicago e IEEE Computer Society, a comparação incluiu proximidade temporal do treinamento anual e não encontrou melhora significativa por tê-lo concluído recentemente. | University of Chicago, IEEE Computer Society e ETH Zurich |
Explicar engenharia social é explicar phishing por email?
Não. NIST CSRC define a engenharia social como enganar uma pessoa para que revele informação, permita acesso não autorizado ou cometa fraude por meio de confiança e engano. NIST CSRC e CISA colocam phishing como uma técnica ou forma dentro desse universo, não como sinônimo. A leitura da Whalemate é que reduzir o problema ao email encolhe o alcance do risco e deixa de fora decisões induzidas por voz, SMS e mensagens. Segundo a ENISA, o phishing representou 60% dos vetores de intrusão observados e continuou sendo o vetor de intrusão dominante.
O que muda quando a CISA trata phishing como uma forma de engenharia social?
A CISA diz na mesma orientação que phishing é uma forma de engenharia social e documenta iscas por SMS, chats no Slack, Teams, Signal, WhatsApp e chamadas VoIP com identificador falsificado. A leitura da Whalemate é que o programa não deveria ser organizado pelo canal histórico, mas pelo comportamento esperado diante de iscas que buscam confiança, urgência ou obediência, sem importar se chegam por email, voz ou mensagens. Segundo a ENISA, aproximadamente 73% dos casos de phishing foram classificados como desconhecidos e 27% levaram a intrusões.
As normas pedem um curso ou um programa?
Não pedem um curso isolado. Segundo ISO/IEC 27002:2022, controle 6.3, o pessoal e as partes interessadas pertinentes deveriam receber awareness, educação e treinamento adequados, com atualizações periódicas conforme sua função. Segundo NIST SP 800-50 Rev. 1, a abordagem é de ciclo de vida e avaliação contínua. A leitura da Whalemate é que a conformidade razoável se parece mais com um programa recorrente e segmentado do que com um treinamento anual fechado.
Que tensão existe entre medir conclusão e medir redução real de risco?
NIST SP 800-50 Rev. 1 propõe medir com dados longitudinais, testes antes e depois, acompanhamento após três meses, presença, desempenho e taxas de conclusão. Mas, segundo University of Chicago e IEEE Computer Society, no UC San Diego Health não houve correlação significativa entre ter concluído recentemente o treinamento anual e evitar phishing simulado. A leitura da Whalemate é que a conclusão pode servir como dado administrativo, mas não como proxy principal de redução de risco.
Faz sentido continuar usando treinamento anual como sinal central?
Serve para demonstrar que houve uma atividade, mas não necessariamente que ela mudou um comportamento. Segundo NIST SP 800-53 Rev. 5, a frequência após a admissão fica definida pela organização, e o controle exige atualizar conteúdos e técnicas com lições aprendidas. Segundo University of Chicago e IEEE Computer Society, a proximidade temporal do treinamento anual não melhorou o desempenho em simulações. A leitura da Whalemate é que a decisão útil é sair de uma cadência fixa para uma atualização baseada em função, incidente e exposição.
Que comportamento CISA e NIST priorizam diante da isca?
A CISA recomenda ensinar a identificar mensagens e links suspeitos, não interagir com eles e reportá-los, mesmo se a pessoa já tiver aberto o email, link ou anexo. NIST SP 800-53 Rev. 5, controle AT-2(3), pede reconhecer e reportar instâncias potenciais e reais de engenharia social. A leitura da Whalemate é que o comportamento observável central não é só evitar o clique, mas reconhecer, escalar e permitir remediação precoce.
