Por 
Setembro, mês do National Insider Threat Awareness Month, só vira uma decisão útil se a campanha se transformar em um programa mensurável de detecção, reporte e resposta. A combinação entre DCSA e CISA, os controles do NIST, os requisitos da ISO e as métricas propostas por NIST e ENISA aponta para a mesma direção: awareness isolado não basta, e concluir cursos ou olhar cliques como única sinalização deixa de fora a velocidade, a qualidade do reporte e a capacidade real de gestão multidisciplinar.
O que aparece quando campanha, requisitos, métricas e resultados são colocados juntos
Nenhuma das fontes do material reúne em uma única visão as quatro camadas. Ao compará-las, fica visível uma lacuna consistente entre o que os frameworks exigem, o que as organizações costumam medir e o que os resultados reais ainda mostram sobre exposição humana e interna.
| Norma | Tipo | O que pede ou mede | Foco | Sinal de suficiência | Lacuna visível | Fonte |
|---|---|---|---|---|---|---|
| DCSA NITAM | Campanha anual de awareness | A estrutura oficial inclui Promote Awareness, Establish an Insider Threat Program, Train the Workforce e Support through Reporting | Reconhecer todas as formas de insider threat e apoiar o reporte | não especificado | A campanha, sozinha, não define métricas de efetividade nem tempos de detecção | Defense Counterintelligence and Security Agency, DCSA |
| NIST SP 800-53 AT-2(2) | Controle de treinamento e awareness | Exige fornecer treinamento para reconhecer e reportar indicadores potenciais de insider threat | Reconhecimento e reporte de indicadores de insider threat | não especificado | O controle exige reconhecer e reportar, mas não define por si só métricas operacionais de qualidade ou velocidade do reporte | National Institute of Standards and Technology, NIST |
| NIST SP 800-53 IR-4(6) | Controle de resposta a incidentes | Exige implementar uma capacidade de incident handling para incidentes que envolvam insider threats | Resposta a incidentes de insider threat | não especificado | Mostra que awareness sem capacidade de handling deixa o programa incompleto | National Institute of Standards and Technology, NIST |
| NIST SP 800-53 PM-12 | Controle de programa | Exige implementar um insider threat program que inclua um time cross-discipline de incident handling | Programa multidisciplinar e integração centralizada de informação técnica e não técnica | não especificado | Um curso anual isolado não atende à exigência de time cross-discipline nem à integração centralizada | National Institute of Standards and Technology, NIST |
| ISO Annex SL 7.2 e 7.3 | Requisito de sistema de gestão | Exige determinar competência, garantir competência por educação, treinamento ou experiência, avaliar a efetividade dessas ações e guardar evidência documentada; além disso, exige awareness sobre a política, a contribuição para o sistema e as implicações de não conformidade | Competência, awareness e evidência documentada | Avaliar a efetividade das ações e manter informação documentada como evidência de competência | Não desce a métricas específicas de insider threat ou phishing, exige que a organização as defina | International Organization for Standardization, ISO |
| ISO/IEC 27002:2022 6.1.3 segundo JTC 1/SC 27 | Prática de controle | Resume a prática como treinamento regular e específico por função, incluindo simulações de phishing, acompanhamento de participação e adaptação de materiais conforme feedback e incidentes | Treinamento regular por função e ajuste com base em resultados | Acompanhamento de participação e adaptação de materiais conforme feedback e incidentes | A participação aparece como sinal, mas não mede necessariamente detecção, reporte ou resposta | ISO/IEC JTC 1/SC 27 |
| Estudo NIST sobre efetividade de awareness | Medição prática | As organizações usam quantidade e tipo de incidentes ligados a temas de treinamento, reportes iniciados por usuários, taxas de clique em simulações de phishing, visualizações ou engajamento com materiais e pesquisas com stakeholders; 84% usavam conclusão de treinamento, 72% taxa de clique e 67% auditorias ou avaliações do programa | Indicadores de efetividade do programa | Não há uma única medida, combina conclusão, cliques, reportes, incidentes e auditorias | A medida mais usada é a conclusão de treinamento, embora ela não prove sozinha capacidade de detectar ou reportar | National Institute of Standards and Technology, NIST |
| Estudo NIST sobre métricas de phishing | Medição prática | 72% das organizações pesquisadas usavam taxas de clique em simulações de phishing, 62% reportes de phishing simulado e 53% reportes de phishing real para avaliar a efetividade do treinamento relacionado a phishing | Comportamento de reporte além de cliques | Incluir reportes de phishing simulado e real, não só taxa de clique | Mesmo em phishing, o reporte real é usado menos do que a taxa de clique | National Institute of Standards and Technology, NIST |
| ENISA metodologia de exercícios | Medição operacional | Propõe medir time to detect e reporting accuracy para avaliar a detecção e o reporte de um phishing simulado | Velocidade e qualidade do reporte | Definir uma ou mais métricas claras para cada indicador de sucesso | Essas métricas de tempo e qualidade não aparecem em muitas práticas centradas apenas em concluir cursos ou medir cliques | European Union Agency for Cybersecurity, ENISA |
| Compêndio de melhores práticas da NITTF | Medição do programa | Indica que muitos programas pedem feedback regularmente e mantêm métricas para avaliar a efetividade do treinamento; cita como medidas os reportes recebidos pouco depois da conclusão do treinamento e os comentários registrados em formulários | Efetividade próxima ao treinamento e feedback | Reportes recebidos pouco depois da conclusão do treinamento e feedback registrado | Introduz uma janela temporal de resposta que o treinamento anual isolado não capta de forma contínua | National Insider Threat Task Force, NITTF |
| Verizon DBIR 2025 e EMEA | Resultado de exposição | A participação do elemento humano em brechas se manteve em torno de 60%; em EMEA, 29% das brechas se originou dentro das organizações, 19% foi atribuída a erros não intencionais, 8% a misuse e phishing apareceu em 19% das brechas regionais | Peso real do fator humano e interno em brechas | não especificado | Se o elemento humano permanece perto de 60% e a origem interna em EMEA é 29%, awareness sem detecção e reporte medidos parece insuficiente | Verizon |
| UK Cyber Security Breaches Survey 2025/2026 | Prática de mercado | 19% das empresas haviam oferecido alguma forma de treinamento ao pessoal nos últimos 12 meses; 54% entre empresas médias e 84% entre empresas grandes. 38% das empresas haviam sofrido phishing no ano pesquisado | Cobertura de treinamento frente à exposição a phishing | não especificado | A exposição a phishing continua alta enquanto o treinamento nas empresas é minoritário no agregado | Government of the United Kingdom |
| CERT/SEI sabotagem interna | Padrões de casos reais | Em 49 casos, 62% havia sido planejado com antecedência, 80% dos insiders havia apresentado comportamento incomum no trabalho antes de agir e 57% havia explorado vulnerabilidades sistêmicas em aplicações, processos ou procedimentos | Sinais prévios e falhas sistêmicas | não especificado | Os casos mostram que há sinais comportamentais e fragilidades de processo antes do incidente, então awareness sem monitoramento, processos de reporte e controles de acesso deixa sinais sem aproveitamento | Software Engineering Institute, Carnegie Mellon University |
Por que concluir cursos e medir cliques segue sendo o sinal dominante se não basta?
Segundo o estudo do NIST sobre efetividade de awareness, 84% dos participantes usavam conclusão de treinamento como medida de efetividade e 72% usavam a taxa de clique em simulações de phishing. Segundo a metodologia de exercícios da ENISA, para avaliar detecção e reporte vale medir time to detect e reporting accuracy. A leitura da Whalemate é que muitas organizações continuam medindo o que é mais fácil de registrar, não o que é mais útil para decidir resposta.
O problema não é que conclusão ou click rate não sirvam. O problema é usá-los como substituto de capacidade operacional. Segundo o NIST, também entram reportes iniciados por usuários, incidentes ligados a temas de treinamento e auditorias, mas esses sinais ficam menos padronizados do que o curso concluído ou o clique em uma simulação.
O que realmente exige o NITAM: campanha ou programa?
Segundo a DCSA, o NITAM se estrutura em Promote Awareness, Establish an Insider Threat Program, Train the Workforce e Support through Reporting. Segundo o NIST, o PM-12 exige implementar um insider threat program que inclua um time cross-discipline de incident handling, e o IR-4(6) exige uma capacidade de incident handling para incidentes que envolvam insider threats. A leitura da Whalemate é que setembro não basta como campanha de comunicação se não desembocar em uma decisão de governança e operação.
A CISA também organiza a mitigação em quatro etapas, Define, Detect and Identify, Assess e Manage, segundo seu Insider Threat Mitigation Guide. Isso leva a discussão da peça de awareness para um sistema com detecção, avaliação e resposta, apoiado por acompanhamento de ativos críticos e métricas sobre dados e comportamentos que serão investigados pela equipe de insider threat, segundo a CISA.
Awareness documentado equivale à redução de exposição?
Segundo a ISO Annex SL 7.2 e 7.3, a organização deve garantir competência, avaliar a efetividade das ações e manter evidência documentada, além de assegurar awareness sobre a política e as implicações de não conformidade. Segundo o Verizon 2025 DBIR, a participação do elemento humano em brechas ficou em torno de 60%, e no recorte EMEA 29% das brechas se originou dentro das organizações. A leitura da Whalemate é que cumprir com evidência documental não prova, por si só, redução material do risco.
A tensão não é normativa, é operacional. A ISO pede avaliar efetividade, mas não impõe a métrica específica. Se a organização escolhe como principal evidência presença ou aprovação em cursos, pode ficar formalmente organizada e, ao mesmo tempo, cega para a qualidade do reporte, a velocidade de detecção ou a exposição por função.
O que se mede quando o objetivo é reconhecer e reportar indicadores?
Segundo o NIST SP 800-53 AT-2(2), a exigência é fornecer treinamento para reconhecer e reportar indicadores potenciais de insider threat. Segundo o NIST, esses indicadores podem incluir insatisfação laboral intensa e prolongada, tentativas de acessar informação desnecessária para o trabalho, acesso sem explicação a recursos financeiros, bullying ou assédio, violência no ambiente de trabalho e outras violações graves de políticas ou regras. A leitura da Whalemate é que medir apenas phishing deixa de fora boa parte do problema que o próprio controle pede para cobrir.
Segundo o FBI, sinais possíveis incluem remover informação proprietária sem necessidade ou autorização, buscar informação fora das funções de trabalho, copiar material desnecessariamente, acessar remotamente em horários incomuns e descumprir políticas sobre software, hardware ou downloads confidenciais. Isso obriga a combinar sinais técnicos e não técnicos, e não a reduzir insider threat a uma campanha de e-mails simulados.
O que falha quando o programa depende de um curso anual isolado?
Segundo o material do comitê ISO/IEC JTC 1/SC 27 sobre ISO/IEC 27002:2022 6.1.3, a prática esperada inclui treinamento regular e específico por função, simulações de phishing, acompanhamento de participação e adaptação de materiais conforme feedback e incidentes. Segundo a NITTF, muitos programas pedem feedback regularmente e medem reportes recebidos pouco depois da conclusão do treinamento. A leitura da Whalemate é que o curso anual isolado falha porque não cria um ciclo contínuo de teste, aprendizado, ajuste e requalificação.
A PCI DSS 12.6, segundo o material fornecido, exige um programa de conscientização em segurança, não um curso solto. Aplicado ao insider threat, a campanha de setembro só tem valor se abrir uma etapa de medição e acompanhamento posterior, com intervenções focalizadas conforme os resultados.
