--- title: "NIST e o que medir em awareness | Whalemate" description: "NIST alerta que só clicar não basta. Um painel útil reúne reporte, abertura, envio de dados, tempo de resposta e dificuldade da mensagem." url: https://www.whalemate.com/br/recursos/blog/nist-medir-awareness/ lang: pt-BR updated: 2026-11-04 alternates: es: https://www.whalemate.com/recursos/blog/nist-medir-awareness/ en: https://www.whalemate.com/en/resources/blog/nist-what-measure-security-awareness/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # NIST e o que medir em awareness NIST alerta que só clicar não basta. Um painel útil reúne reporte, abertura, envio de dados, tempo de resposta e dificuldade da mensagem. 4 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 6 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![NIST e o que medir em awareness](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-medir-awareness.webp) Neste artigo 1. [Por que a NIST não deixa o clique sozinho?](#s1) 2. [O que a NIST Phish Scale adiciona ao painel?](#s2) 3. [Quais métricas aparecem além do clique?](#s3) 4. [O que acontece quando a comparação é por unidade de negócio?](#s4) 5. [O que aprendemos com ondas sucessivas?](#s5) 6. [Qual é a tensão entre NIST e JISTIC?](#s6) 7. [Qual é a tensão entre NIST e o estudo empresarial?](#s7) 8. [O que acontece com os números de fornecedores e preprints?](#s8) 9. [Qual consequência operacional isso deixa para amanhã?](#s9) 10. [O que ler em seguida?](#s10) "Indicators of awareness" não devem ser lidos como uma taxa única de clique. O material defende que o painel útil para CISO, TI e compliance combina abertura, clique, reporte, envio de dados e [tempo de resposta](https://ejournal.unikama.ac.id/index.php/JISTIC/article/download/14066/5316), e que esses números mudam de sentido conforme a dificuldade da mensagem e o contexto da unidade de negócio. A decisão prática não é medir mais só por medir, e sim evitar conclusões erradas quando uma onda melhora ou piora por motivos que não aparecem no clique. Antes de entrar nas tensões, vale organizar o que cada fonte coloca na mesa. A tabela mostra que a NIST enfatiza contexto e reporte, a JISTIC amplia o conjunto de indicadores mensuráveis, e o estudo empresarial acrescenta segmentação por unidade de negócio e leitura por ondas. Quando se olha tudo junto, fica clara a distância entre um indicador isolado e uma leitura operacional. | Norma ou fonte | Indicador | O que mede | O que a fonte alerta | Fonte | | --- | --- | --- | --- | --- | | NIST Phish Scale | dificuldade de detecção humana | a dificuldade de identificar um e-mail de phishing | contextualiza a variabilidade das taxas de clique e não se limita a um clique isolado | NIST | | Programa de awareness da NIST | taxa de clique, taxa de reporte | quantas pessoas clicam ou reportam o phishing | as taxas de clique, sozinhas, não dão uma visão completa do comportamento do pessoal | NIST | | Artigo JISTIC | taxa de abertura, taxa de clique, taxa de envio de dados, tempo de resposta | indicadores mensuráveis para avaliar simulações de phishing | define taxa de abertura, taxa de clique e os demais indicadores como métricas do exercício | JISTIC | | Estudo empresarial de phishing | taxa de clique, taxa de reporte | variações na resposta a simulações entre unidades de negócio e ao longo de três ondas | o momento do treinamento antes dos e-mails simulados não teve influência significativa na taxa de cliques | ScienceDirect | | TitanHQ | PVP e SPR | suscetibilidade de funcionários e phishing baseado em dispositivos móveis | as métricas são apresentadas como definições do fornecedor para analisar simulações e treinamento | TitanHQ | | arXiv | suscetibilidade ao phishing | redução da suscetibilidade após simulações contínuas e feedback imediato | o resultado não deve ser tratado como benchmark universal | arXiv | ## Por que a NIST não deixa o clique sozinho? A NIST diz que as taxas de clique, por si só, não oferecem [uma visão completa](https://www.nist.gov/blogs/cybersecurity-insights/cybersecurity-awareness-month-2023-blog-series-recognizing-and) do comportamento do pessoal, e que a Phish Scale serve para contextualizar a [dificuldade do e-mail](https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=956439). Essa leitura muda a discussão em compliance, porque um mesmo percentual pode representar mensagens diferentes se o cenário era fácil ou difícil de detectar. A Whalemate toma esse ponto como base: o clique é interpretado, não idolatrado. ## O que a NIST Phish Scale adiciona ao painel? A NIST Phish Scale, segundo a NIST, incorpora sinais do e-mail e o alinhamento da premissa com o contexto do destinatário. Ela também considera a relevância do cenário para o trabalho, o alinhamento com outras situações ou eventos, o nível de preocupação com as consequências de não clicar e a exposição prévia a treinamento ou alertas. Para um CISO, isso significa que o dado de desempenho não fica separado do desenho do exercício. ## Quais métricas aparecem além do clique? A NIST menciona taxa de clique e [taxa de reporte](https://www.whalemate.com/br/recursos/blog/nist-cis-medir-engenharia-social/), mas o artigo acadêmico da JISTIC amplia o painel com taxa de abertura, taxa de envio de dados e tempo de resposta. A JISTIC também define a taxa de abertura como o percentual de usuários que abrem o e-mail simulado em relação ao total entregue corretamente, e a taxa de clique como o percentual que clica no link. A leitura da Whalemate é que uma operação madura não fica restrita a uma única reação do usuário. ## O que acontece quando a comparação é por unidade de negócio? O estudo em escala empresarial observou variações na taxa de cliques entre diferentes unidades de negócio e também informou que o momento do treinamento antes dos e-mails simulados não influenciou de forma significativa essa taxa. Essa combinação rompe uma prática comum, que é atribuir melhora ou piora a uma única causa. A leitura útil é outra: a resposta muda conforme o grupo, e isso obriga a segmentar antes de decidir uma ação geral. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## O que aprendemos com ondas sucessivas? A ScienceDirect informou que as taxas de clique e de reporte melhoraram ao longo de três ondas de phishing simulado. Esse dado importa porque mostra que o comportamento não é estático e que uma única fotografia pode enganar. Para a Whalemate, a pergunta operacional não é se houve melhora, mas em qual onda, em qual unidade e com qual tipo de mensagem isso ocorreu. ## Qual é a tensão entre NIST e JISTIC? A NIST apresenta a taxa de clique como uma métrica habitual que deve ser lida junto com o reporte e [o contexto do cenário](https://www.whalemate.com/br/recursos/blog/nist-cisa-phishing-com-contexto/). A JISTIC, por sua vez, inclui também abertura, envio de dados e tempo de resposta como indicadores mensuráveis, ampliando o painel além do clique. A leitura da Whalemate é que não há contradição, há camadas diferentes: a NIST explica como interpretar, e a JISTIC ajuda a ampliar o que observar. ## Qual é a tensão entre NIST e o estudo empresarial? A NIST insiste que a dificuldade da mensagem e o contexto do cenário são essenciais para entender a variabilidade do clique. O estudo empresarial acrescenta que essa variação também aparece entre unidades de negócio e que o timing do treinamento não mexeu de forma significativa na taxa de cliques. Para um CISO ou para compliance, isso significa que o erro mais comum não é medir pouco, e sim atribuir a causa em bloco quando o fenômeno está segmentado. ## O que acontece com os números de fornecedores e preprints? A TitanHQ afirma uma redução de 92% na suscetibilidade ao phishing após treinar com SafeTitan, e a arXiv relata uma redução de 52% em um período de seis a oito meses com simulações e feedback imediato. Ambos os resultados são úteis como evidência pontual, mas não devem ser lidos como benchmark universal. A Whalemate os trata como resultados atribuídos, não como regra geral para toda organização. ## Qual consequência operacional isso deixa para amanhã? Para um CISO, TI ou compliance na América Latina, a [decisão não deve ser](https://www.whalemate.com/br/recursos/blog/human-risk-management-mede-habilita/) "subiu ou caiu o clique", e sim onde intervir. Se o reporte melhora, mas o envio de dados continua alto, o treinamento não está reduzindo o dano prático. Se a variação aparece concentrada em uma unidade, ou se o exercício tinha alta dificuldade segundo a Phish Scale, vale priorizar reforço pontual, segmentação e leitura por ondas antes de um [programa genérico](https://www.whalemate.com/br/recursos/blog/security-awareness-medir-clique-nao/). ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) - [LATAM: o que avaliar em plataformas de awareness](https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/) - [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **Qual é o mínimo que um programa de awareness deveria medir?** Segundo o material, o piso razoável não é só o clique. Um painel útil soma taxa de reporte, taxa de abertura, taxa de envio de dados e tempo de resposta, além da taxa de clique. A NIST acrescenta que o contexto da mensagem também importa, porque a mesma reação não significa a mesma coisa se o cenário era fácil ou difícil de detectar. **Por que a taxa de clique sozinha pode enganar?** Porque a NIST alerta que ela não oferece uma visão completa do comportamento do pessoal. Uma taxa de clique alta pode refletir uma mensagem muito convincente, não necessariamente uma falha global do programa. Além disso, o estudo empresarial mostrou diferenças entre unidades de negócio, então a média pode esconder comportamentos muito diferentes dentro da mesma organização. **Para que serve a NIST Phish Scale na prática?** Ela serve para interpretar se um e-mail era mais fácil ou mais difícil de detectar, usando sinais da mensagem e o contexto da audiência. Isso ajuda a ler melhor a variação dos cliques e evita tirar conclusões apressadas. Para uma equipe de segurança, também organiza a conversa com o negócio, porque o desempenho é comparado com a dificuldade do exercício, e não com um número isolado. **Como isso é usado para decidir uma intervenção?** Primeiro, segmenta-se por unidade de negócio e revisam-se as ondas separadamente, segundo o estudo empresarial. Depois, cruza-se a taxa de clique com taxa de reporte, taxa de abertura, taxa de envio de dados e tempo de resposta, e interpreta-se com a Phish Scale quando couber. Com essa leitura, a ação pode ser capacitação focalizada, reforço por grupo ou ajuste do tipo de simulação. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CNIST%20e%20o%20que%20medir%20em%20awareness%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CNIST%20e%20o%20que%20medir%20em%20awareness%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [Por que a NIST não deixa o clique sozinho?](#s1) 2. [O que a NIST Phish Scale adiciona ao painel?](#s2) 3. [Quais métricas aparecem além do clique?](#s3) 4. [O que acontece quando a comparação é por unidade de negócio?](#s4) 5. [O que aprendemos com ondas sucessivas?](#s5) 6. [Qual é a tensão entre NIST e JISTIC?](#s6) 7. [Qual é a tensão entre NIST e o estudo empresarial?](#s7) 8. [O que acontece com os números de fornecedores e preprints?](#s8) 9. [Qual consequência operacional isso deixa para amanhã?](#s9) 10. [O que ler em seguida?](#s10) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[CISA e NIST medem simulações de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-medem-simulacoes-ciberataque.webp)](https://www.whalemate.com/br/recursos/blog/cisa-nist-medem-simulacoes-ciberataque/) Conscientização 10 de nov. de 2026 Por Federico Hombre ### CISA e NIST medem simulações de ciberataque CISA, NIST e ISO/IEC 27001 apontam o que medir em simulações: cliques, reportes, aberturas, dificuldade Ler mais [!\[Phishing: canal, alvo, controle\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-canal-alvo-controle.webp)](https://www.whalemate.com/br/recursos/blog/phishing-canal-alvo-controle/) Conscientização 9 de nov. de 2026 Por Federico Hombre ### Phishing: canal, alvo, controle Para CISO, TI e compliance, phishing se gerencia por canal, objetivo, controle e métrica, não por uma lista de nomes. Ler mais [!\[NIST, ISO e CISA elevam o phishing\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nist-iso-cisa-elevam-phishing.webp)](https://www.whalemate.com/br/recursos/blog/nist-iso-cisa-elevam-phishing/) Conscientização 6 de nov. de 2026 Por Federico Hombre ### NIST, ISO e CISA elevam o phishing NIST, ISO, CISA e Brasil mostram que não basta medir cliques nem fazer campanha anual para reduzir risco de phishing. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)