Por 
O cruzamento entre NIST, ISO, CISA e diretrizes federais do Brasil mostra que, para um CISO, phishing and hacking não se administra com uma campanha anual nem com click rate como métrica central. Um programa defensável precisa cobrir reconhecimento e reporte, exercícios práticos alinhados às ameaças atuais, medição de mudança de comportamento e reforço com MFA resistente a phishing, segundo NIST SP 800-53, NIST SP 800-172, NIST SP 800-50 Rev. 1, CISA e ISO/IEC 27001:2022 Annex A 6.3.
O que muda ao comparar marcos que costumam ser lidos separadamente
Colocadas lado a lado, as fontes não dizem a mesma coisa nem com o mesmo nível de exigência. O valor desse cruzamento está em que a ISO exige awareness e atualizações regulares, o NIST acrescenta reconhecimento e reporte de engenharia social, a CISA soma MFA resistente a phishing e as diretrizes federais do Brasil empurram a medição para o reporte, em vez de deixar a lógica restrita ao treinamento anual.
| Norma | O que exige | Frequência | Exercícios práticos | O que medir | Atualização | Controle técnico associado | Fonte |
|---|---|---|---|---|---|---|---|
| NIST SP 800-53 Rev. 5 AT-2 e AT-2(3) | Fornecer treinamento de alfabetização em segurança e privacidade a usuários, gestores, executivos e contratados, além de treinamento para reconhecer e reportar casos potenciais e reais de engenharia social e social mining | Como parte do treinamento inicial e depois com frequência definida pela organização, também diante de mudanças do sistema ou eventos definidos pela organização | Prevê exercícios práticos sem aviso que simulam tentativas de engenharia social, coleta de informação, acesso não autorizado, abertura de anexos maliciosos ou ativação de links maliciosos por meio de spear phishing | não especificado | Diante de mudanças do sistema ou eventos definidos pela organização | não especificado | segundo NIST SP 800-53 Rev. 5 |
| NIST SP 800-172 requisitos 03.02.1e e 03.02.2e | Treinamento de awareness focado em reconhecer e responder a ameaças de engenharia social, atores APT, brechas e comportamentos suspeitos, além de exercícios práticos para papéis definidos pela organização | Com frequência definida pela organização, e atualização com frequência definida pela organização ou quando houver mudanças significativas na ameaça | Exercícios alinhados a cenários de ameaça atuais e com feedback às pessoas envolvidas e a seus supervisores, inclusive a simulação de anexos ou links maliciosos via spear phishing | não especificado | Quando houver mudanças significativas na ameaça | não especificado | segundo NIST SP 800-172 |
| NIST SP 800-50 Rev. 1 | Programa de aprendizagem em cibersegurança e privacidade voltado a promover mudanças de comportamento como parte da gestão de riscos e da cultura de segurança e privacidade | não especificado | Descreve exercícios de phishing como e-mails enviados para verificar se os usuários reconhecem uma tentativa, clicam em um site malicioso ou abrem um anexo infectado | Percentual de participantes que mudaram o comportamento no trabalho, quantos participantes receberam um e-mail de teste de phishing e o reportaram corretamente, impacto do treinamento sobre reconhecimento e reporte, e métricas usuais como click-through e reports | Revisar e melhorar periodicamente os programas de aprendizagem à medida que as necessidades mudam | não especificado | segundo NIST SP 800-50 Rev. 1 |
| ISO/IEC 27001:2022 Annex A 6.3 | O pessoal e as partes interessadas relevantes devem receber informação, conscientização, educação e treinamento apropriados em segurança da informação, além de atualizações regulares de políticas e procedimentos relevantes para sua função | Atualizações regulares | Não especificado no texto do controle, uma orientação secundária menciona campanhas contínuas como newsletters ou simulações de phishing como evidência esperada | Não especificado, uma orientação secundária menciona resultados de questionários ou avaliações como evidência esperada | Atualizações regulares da política de segurança, políticas temáticas e procedimentos | não especificado | segundo ISO/IEC 27001:2022 Annex A 6.3 e a orientação secundária de ISO27001.com |
| CISA | Programa anti-phishing abrangente que inclui conscientização e treinamento de funcionários, ataques simulados e análise de resultados para modificar o treinamento e mitigar o risco, além de ênfase no reporte de e-mails, links, anexos ou iscas suspeitas | não especificado | E-mails simulados de phishing enviados a grupos definidos para avaliar níveis de vulnerabilidade | O relatório pode indicar quantos usuários abriram ou clicaram no link para estimar o impacto potencial | Modificar o treinamento conforme a análise dos resultados | Implementar autenticação multifator resistente a phishing como parte do Zero Trust, priorizando FIDO/WebAuthn ou PKI | segundo CISA |
| Diretrizes federais do Brasil | Um programa eficaz vai além do treinamento anual com vídeos e testes de phishing e inclui mensagens frequentes e atualizadas e campanhas sazonais, enquanto o CIMBRA-I inclui phishing por e-mail, outras táticas de engenharia social, identificação de eventos e incidentes, classificação e tratamento de dados e segurança de dispositivos móveis | Mensagens frequentes e atualizadas, campanhas sazonais e avaliação periódica conforme gatilhos definidos | não especificado | Monitorar não só a redução da taxa de cliques, mas principalmente o aumento da taxa de reporte para a TI | A eficácia é avaliada periodicamente e conforme gatilhos definidos, como mudanças nos sistemas e eventos externos | não especificado | segundo a Secretaria de Governo Digital do Brasil e o CIMBRA-I |
O que está sendo medido errado quando se usa só click rate?
A Sophos informa que 50% das organizações consultadas acompanhavam a taxa de cliques em e-mails de phishing e usavam essa métrica para orientar programas de conscientização e adaptar o conteúdo, segundo seu relatório de 2021. Já o NIST sustenta que os programas costumam usar a taxa de cliques como única métrica, mas que a dificuldade do e-mail altera a interpretação desse dado e que a taxa de cliques, sozinha, não oferece uma visão completa do comportamento do pessoal, segundo seus trabalhos sobre a NIST Phish Scale e seu blog técnico.
A leitura da Whalemate é que click rate serve, mas como sinal parcial. Se um programa não incorpora reporte correto, repetição de cliques, dificuldade da isca e mudança de comportamento, acaba produzindo evidência fraca tanto para gestão de risco quanto para defesa de compliance.
Por que a dificuldade da isca muda o valor da métrica?
O NIST desenvolveu a NIST Phish Scale como método para medir a dificuldade de detecção humana de um e-mail de phishing e contextualizar diferenças nas taxas de cliques, segundo a publicação sobre phishing user context. Além disso, o NIST reforça que o contexto de dificuldade precisa entrar na análise porque uma mesma taxa de cliques pode significar coisas distintas se a isca era grosseira ou se imitava com precisão uma situação de trabalho comum.
A leitura da Whalemate é que comparar campanhas sem normalizar a dificuldade leva a decisões erradas. Uma área com mais cliques pode estar recebendo cenários mais complexos, enquanto outra com menos cliques pode estar sendo avaliada com iscas triviais.
Treinar basta quando o problema é roubo de credenciais?
A Microsoft reportou mais de 600 milhões de ataques contra identidades por dia nos dados do Microsoft Entra, e que ataques baseados em senhas representaram mais de 99% dos ataques contra identidades observados, segundo o Microsoft Digital Defense Report 2024. O resumo executivo do mesmo relatório acrescentou aumento de 146% em ataques de phishing adversary-in-the-middle e 39.000 incidentes detectados por dia em suas plataformas, segundo a Microsoft.
A CISA responde a esse cenário recomendando autenticação multifator resistente a phishing como parte do Zero Trust e a chama de padrão ouro para MFA, segundo sua ficha técnica. Em seus Cybersecurity Performance Goals 2.0, a CISA prioriza mecanismos baseados, por exemplo, em FIDO/WebAuthn ou PKI, e deixa SMS ou voz apenas quando não houver outras opções.
A leitura da Whalemate é que, se o objetivo do atacante é sequestrar a identidade e o volume de ataques a credenciais escala desse jeito, o treinamento sozinho não fecha a brecha. A decisão habilitada é unir intervenção humana e controle técnico, especialmente onde o impacto de uma credencial comprometida é alto.
A ISO pede menos que o NIST sobre phishing?
ISO/IEC 27001:2022 Annex A 6.3 exige awareness, educação, treinamento e atualizações regulares relevantes para a função de trabalho, segundo o texto do controle. Já o NIST SP 800-53 Rev. 5 AT-2(3) exige de forma específica treinamento para reconhecer e reportar casos potenciais e reais de engenharia social e social mining, segundo a planilha de controles publicada pelo NIST.
A tensão não é uma contradição, mas uma diferença de especificidade. A leitura da Whalemate é que uma organização que fique na literalidade mais geral da ISO pode até comprovar que fez awareness, mas ainda ficar aquém de evidências concretas sobre reconhecimento e reporte de phishing e engenharia social.
O que o NIST 800-172 acrescenta que não aparece com a mesma força em outros marcos?
O NIST SP 800-172, nos requisitos 03.02.1e e 03.02.2e, exige treinamento focado em reconhecer e responder a ameaças de engenharia social, atores APT, brechas e comportamentos suspeitos, além de incluir exercícios práticos alinhados com cenários de ameaça atuais, segundo o NIST. A orientação de implementação acrescenta que esses exercícios podem incluir tentativas não anunciadas de engenharia social e simulação do impacto de abrir anexos maliciosos ou ativar links maliciosos, e que o feedback rápido reforça o comportamento desejado.
A leitura da Whalemate é que aqui aparece uma régua mais operacional que a do awareness genérico. Não basta treinar, também é preciso testar com cenários vigentes e devolver feedback enquanto o sinal ainda está fresco.
Reconhecer phishing basta sem capacidade de reportar?
O NIST SP 800-53 Rev. 5 AT-2(3) exige reconhecer e reportar casos potenciais e reais de engenharia social e social mining, segundo o NIST. O NIST SP 800-50 Rev. 1 também propõe medir quantos participantes receberam um e-mail de teste de phishing e o reportaram corretamente, e medir o impacto do treinamento sobre reconhecimento e reporte, segundo a mesma publicação.
A CISA, por sua vez, recomenda reportar o phishing em vez de responder a ele e estende essa lógica a e-mail, SMS, mensagens diretas em redes sociais ou chamadas telefônicas, segundo sua orientação pública. A Secretaria de Governo Digital do Brasil recomenda monitorar principalmente o aumento da taxa de reporte para a TI, e não só a redução de cliques.
A leitura da Whalemate é que o reporte não é um complemento suave. É uma capacidade operacional que reduz o tempo de detecção e permite acionar a resposta antes que o evento escale.
