NIST e CISA: phishing com contexto

Para CISO, TI e compliance na América Latina, um teste de phishing só faz sentido quando deixa de ser uma taxa agregada de cliques e passa a ser uma prova interna comparável, segmentada e auditável. Segundo NIST, CISA e os casos brasileiros do material, o valor real aparece quando se cruzam função ou grupo, interação, clique, envio de dados, reporte, reincidência, dificuldade do isca e tempo de resposta para decidir reforço, treinamento ou ajuste técnico.

O que as fontes mostram em conjunto

Nenhuma das fontes do material faz essa comparação completa sozinha. Lidas lado a lado, elas mostram uma progressão clara: ISO/IEC 27001:2022 A.6.3 define a obrigação geral de conscientização conforme a função de trabalho, o NIST acrescenta segmentação e contexto de dificuldade, a CISA desce isso para métricas reproduzíveis e os casos brasileiros mostram quais comportamentos aparecem quando se mede mais do que o clique.

O que um teste de phishing útil mede de fato?

Segundo o NIST SP 800-50r1, o exercício deve verificar se os usuários detectam a tentativa ou se são induzidos a clicar em um site malicioso ou abrir um anexo infectado. Segundo a CISA, o phishing vulnerability scanning avalia níveis de vulnerabilidade em grupos definidos e pode mostrar quantos usuários abriram e quantos clicaram para estimar o impacto potencial.

A leitura da Whalemate é que o teste útil não mede só suscetibilidade. Ele mede comportamento observável para decidir algo concreto: quem precisa de reforço, onde ajustar o canal de reporte e qual parte do controle de conscientização pode ser defendida com evidência.

Por que o clique isolado vale cada vez menos?

O NIST alerta em seu blog de conscientização de 2023 que os cliques, sozinhos, não oferecem uma visão completa do comportamento do pessoal, embora as organizações os usem para medir quantas pessoas clicam ou reportam. Em tensão com isso, a monografia do Centro Paula Souza usou a taxa de clique como indicador de risco comportamental em campanhas mensais realizadas entre 2020 e 2024 em uma empresa do setor elétrico.

A leitura da Whalemate é que o clique continua útil, mas como sinal parcial. Se virar o único indicador, perde capacidade explicativa e pode levar a uma intervenção errada, porque não distingue quem abriu, quem clicou, quem entregou dados, quem reportou e quem reincide.

O que muda quando se segmenta por função ou grupo?

O NIST SP 800-50r1 recomenda começar determinando as taxas atuais de clique por grupo específico ou função de trabalho para decidir se é preciso um treinamento mais direcionado. A ISO/IEC 27001:2022 A.6.3, segundo SIROS ID Compliance e Securitm, exige conscientização, educação, treinamento e atualizações regulares relevantes para a função de trabalho.

A leitura da Whalemate é que a segmentação não é um refinamento opcional. É o ponto em que uma simulação deixa de ser um dado agregado e vira uma ferramenta de decisão, porque permite vincular o resultado do teste a populações concretas e a exigências de evidência por cargo ou função.

Como entra a dificuldade da isca na interpretação?

A NIST Phish Scale, segundo o NIST, existe para contextualizar as taxas de clique por meio da avaliação da dificuldade humana de detectar o e-mail. Um estudo publicado no arXiv encontrou que a taxa de clique subiu de 7,0% em iscas fáceis para 15,0% em iscas difíceis, segundo a dificuldade medida pela NIST Phish Scale, com um efeito estatisticamente significativo informado como F(2, 12086) = 41,415, p < 0,001, η² = 0,007, segundo esse mesmo estudo.

A leitura da Whalemate é direta: duas campanhas com a mesma taxa de clique não significam a mesma coisa se a dificuldade da isca foi diferente. Reportar cliques sem qualificar a dificuldade mistura populações, mensagens e contextos que não podem ser comparados.

O que revela medir visualização, clique, envio de dados e reporte?

A campanha do Ministério da Justiça e Segurança Pública do Brasil mostrou 2.307 usuários participantes, dos quais 1.144 visualizaram o e-mail, 401 clicaram, 131 enviaram seus dados e 53 reportaram, segundo a memória de reunião oficial. Na mesma campanha, segundo o mesmo órgão, 50,41% não visualizaram o e-mail, 49,6% visualizaram e, entre quem visualizou, 35% clicou e 11,4% enviou seus dados.

A leitura da Whalemate é que essas camadas mudam a decisão. Não é o mesmo grupo que abre e não interage, outro que clica mas não entrega dados, e outro que ainda não reporta. Cada comportamento permite respostas diferentes em treinamento, desenho de controles e canal de escalonamento.

Uma única métrica simples basta para auditoria?

A guia de avaliação FISMA da CISA exige monitorar e analisar medidas qualitativas e quantitativas sobre a eficácia de políticas, procedimentos e práticas de conscientização, e também exige que os dados sejam obtidos de forma exata, consistente e reproduzível. Em tensão com isso, a FUNSERV Sorocaba propõe como resultado da simulação a taxa de interação com o e-mail simulado, incluindo cliques ou respostas.

A leitura da Whalemate é que uma métrica simples pode servir como painel operacional local, mas fica curta como evidência robusta se a organização precisar defender consistência metodológica, rastreabilidade e comparação ao longo do tempo. O critério da CISA empurra para desenhar um esquema de medição, não apenas uma campanha.

O padrão ISO exige simulações de phishing?

A ISO/IEC 27001:2022 Annex A 6.3 estabelece, segundo SIROS ID Compliance e Securitm, que o pessoal e as partes interessadas relevantes devem receber conscientização, educação e treinamento adequados, com atualizações regulares, conforme sua função de trabalho. A Qalea esclarece que esse controle não prescreve literalmente a realização de simulações de phishing.

Em tensão com isso, a CISA descreve o apoio a programas anti-phishing como uma combinação de conscientização e treinamento, ataques simulados e análise de resultados para modificar o treinamento e mitigar o risco. A leitura da Whalemate é que a ISO pede o resultado de controle e a CISA descreve uma forma madura de demonstrá-lo. A simulação pode ser evidência forte, mas não substitui o programa contínuo exigido pelo controle.

Quanto o reporte pesa frente ao clique?

A métrica FISMA 2.19.2 da CISA registra quantos usuários identificaram e reportaram o exercício ao recurso de cibersegurança correspondente. O ICO recomenda treinar também para reportar tentativas suspeitas e sustenta que uma cultura de reporte permite revisar medidas técnicas existentes e melhorar a conscientização do pessoal.

A Verizon informou, em dados de exercícios de conscientização fornecidos por parceiros durante 2023, que 20% dos usuários reportou o phishing simulado e que 11% dos que clicaram também o reportou. A leitura da Whalemate é que o reporte não compete com o clique como métrica, ele o corrige. Permite separar quem errou, mas ativou a defesa, de quem interagiu e deixou a organização sem sinal antecipado.

Que problema a velocidade de resposta acrescenta?

O Verizon 2024 DBIR reportou uma mediana de 21 segundos desde a abertura do e-mail malicioso até o clique e mais 28 segundos até a inserção dos dados, com uma mediana total inferior a 60 segundos para cair em um phishing, segundo seu finance snapshot. A Universidade de Delaware informa que, em uma pesquisa citada em seu material, os usuários que clicaram passaram entre 0 e 19 segundos revisando a página de destino da simulação.

A leitura da Whalemate é que o tempo de reação torna insuficiente qualquer programa que olhe apenas o resultado final semanas depois. Se o comprometimento pode ser concluído em menos de um minuto, a organização precisa medir também a velocidade de reporte e a capacidade de resposta do canal oficial, e não só a suscetibilidade histórica.

Como evitar que a simulação vire ritual sem efeito?

O ICO alerta que exercícios de phishing frequentes demais podem gerar complacência ou desinteresse do pessoal e recomenda considerar outras medidas combinadas para elevar a conscientização. A CISA, por sua vez, propõe uma combinação de conscientização e treinamento, ataques simulados e análise de resultados para modificar o treinamento e mitigar o risco.

A leitura da Whalemate é que o teste isolado perde valor quando vira repetição sem aprendizado. A simulação só faz sentido se alimentar intervenções concretas, seja treinamento adaptado, reforço por grupo, melhoria do canal de reporte ou ajuste técnico.

Que decisão isso habilita amanhã para CISO, TI e compliance na América Latina?

Primeiro, parar de reportar apenas cliques agregados. Segundo o NIST, é preciso comparar por grupo específico ou função de trabalho, e segundo a NIST Phish Scale é necessário contextualizar a dificuldade da isca. Segundo, incorporar no mínimo interação, clique, envio de dados, reporte e reincidência, porque o NIST menciona taxas de reporte e usuários que clicam repetidamente, e o caso do Ministério da Justiça e Segurança Pública do Brasil mostra como a leitura muda quando se adicionam visualização, envio de dados e reporte.

Terceiro, desenhar evidência reproduzível. Segundo a guia FISMA da CISA, os dados devem ser exatos, consistentes e reproduzíveis, e o avaliador deve obter evidência e resultados de exercícios de phishing ou outros métodos usados para medir a eficácia. Quarto, usar o resultado para decidir reforço focalizado em grupos que interagem ou não reportam, ajustar o canal oficial de reporte e ler os resultados segundo a dificuldade da isca e o tempo de resposta. Para compliance, isso também se alinha melhor com a ISO/IEC 27001:2022 A.6.3, que exige conscientização pertinente à função e atualizações regulares, e com a PCI DSS 12.6, que neste material aparece como exigência de um programa de conscientização em segurança, não de um curso isolado.

O que ler em seguida?

• Conscientização na plataforma
• LATAM: o que avaliar em plataformas de awareness
• NIST e CISA explicam engenharia social