--- title: "PCI DSS 12.6 cobre vishing | Whalemate" description: "Vishing e smishing são phishing por voz e SMS. Em PCI DSS 12.6, medir só email ou cursos deixa falhas de compliance e risco na LATAM." url: https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-cobre/ lang: pt-BR updated: 2026-10-27 alternates: es: https://www.whalemate.com/recursos/blog/pci-dss-12-6-exige/ en: https://www.whalemate.com/en/resources/blog/pci-dss-12-6-requires/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # PCI DSS 12.6 cobre vishing Vishing e smishing são phishing por voz e SMS. Em PCI DSS 12.6, medir só email ou cursos deixa falhas de compliance e risco na LATAM. 27 de out. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 12 min de leitura [HRM](https://www.whalemate.com/br/recursos/blog/tema/hrm/) ![PCI DSS 12.6 cobre vishing](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-dss-12-6-cobre.webp) Neste artigo 1. [O que se vê quando as fontes são colocadas juntas](#s1) 2. [O que significa exatamente dizer que vishing e smishing são variantes de phishing?](#s2) 3. [Por que a diferença por canal muda o risco operacional?](#s3) 4. [O que o PCI DSS 12.6 exige e por que um curso isolado não basta?](#s4) 5. [O que acrescentam o PCI DSS 12.6.3.1 e o 12.6.3.2 ao problema?](#s5) 6. [Onde está a tensão entre a recomendação ampla do NIST e a execução real?](#s6) 7. [Onde está a tensão entre o PCI DSS e a realidade da América Latina?](#s7) 8. [Por que medir só o completion de cursos não basta?](#s8) 9. [O que deve ser medido por canal em vishing e smishing?](#s9) 10. [Por que o mobile e a voz abrem uma lacuna específica no CDE?](#s10) 11. [O que o HRM acrescenta diante dessa lacuna?](#s11) 12. [Qual decisão isso habilita para CISO, TI e compliance na América Latina?](#s12) 13. [O que ler depois?](#s13) Vishing e smishing não são apenas variações de phishing, são canais distintos que já pedem resposta distinta. Para CISO, TI e compliance na América Latina, o ponto crítico é que o PCI DSS já obriga a cobrir [phishing, ataques relacionados e engenharia social](https://coggno.com/blog/pci-dss-security-awareness-training-requirements/) no programa de awareness e, além disso, exige uso aceitável de tecnologias do usuário final, como mobile devices, enquanto o [risco regional cresce](https://latam.kaspersky.com/about/press-releases/ataques-con-mensajes-falsos-aumentan-85-en-america-latina-mas-de-12-mil-millones-de-casos-detectados-kaspersky) justamente em [SMS, WhatsApp](https://www.segurilatam.com/ciberilatam/ciberseguridad-ciberilatam/latinoamerica-sufre-286-millones-de-intentos-de-fraudes-a-traves-de-sms-y-whatsapp_20240627.html) e voz. Segundo o Internet Crime Complaint Center (FBI), o FBI define smishing como o targeting malicioso de indivíduos por mensagens de texto SMS ou MMS, e define vishing como o targeting malicioso de indivíduos por mensagens de voz, que pode incorporar vozes geradas por inteligência artificial. Se o programa continua centrado em email ou em completion de cursos, sobra uma lacuna operacional tanto de compliance quanto de exposição real do CDE. Segundo o Internet Crime Complaint Center (FBI), o relatório IC3 2025 do FBI registrou 1.008.597 denúncias de crimes cibernéticos e perdas de US$20.877 milhões, além de 55.851 denúncias na categoria Phishing/Spoofing. ## O que se vê quando as fontes são colocadas juntas As fontes descrevem bem os termos separadamente, ou explicam bem PCI, ou mostram a pressão regional na América Latina. O que aparece ao cruzá-las é um gap operacional concreto: a obrigação formal já está no PCI DSS e a pressão real já migrou para móvel e voz, mas muitos programas ainda medem só email ou presença em cursos. | Tema | Tipo | Canal principal | Ação buscada | Requisito de programa ou controle | Evidência de medição ou alcance | Relevância na América Latina | Fonte | | --- | --- | --- | --- | --- | --- | --- | --- | | Vishing | subtipo de phishing / engenharia social | voz, chamadas telefônicas ou mensagens de voz | induzir a revelar informação sensível ou iniciar conversa de confiança | não especificado | CISA o define como [phishing por comunicação de voz](https://www.cisa.gov/sites/default/files/2024-02/Update%20to%20Phishing%20General%20Security%20Postcard_01.01.2024.pdf), Cisco como chamadas ou mensagens de voz para obter [credenciais, cartões ou dados bancários](https://www.cisco.com/site/us/en/learn/topics/security/what-is-vishing.html) | não especificado | | | Smishing | subtipo de phishing / engenharia social | SMS ou mensagens de texto | fazer a vítima clicar em link, baixar arquivos ou apps, ou iniciar conversa | não especificado | CISA o define como [phishing por mensagens de texto](https://www.cisa.gov/sites/default/files/2024-02/Update%20to%20Phishing%20General%20Security%20Postcard_01.01.2024.pdf), IBM e Experian o relacionam a [roubo de informação](https://www.ibm.com/think/topics/smishing) ou [malware](https://www.experian.com/blogs/ask-experian/phishing-smishing-vishing/) | Segurilatam reporta 286 milhões de tentativas de fraude móvel via SMS e WhatsApp em 2023, e 74% das organizações na América Latina vítimas de smishing | CISA PDF, IBM, Experian, Segurilatam | | [PCI DSS 12.6](https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-vishing/) | requisito de compliance | não especificado | que o pessoal conheça política, procedimentos e seu papel na proteção de cardholder data | [programa formal de awareness implementado](https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf) | aplica-se a entidades PCI na América Latina, a fonte não regionaliza | PCI SSC | | | PCI DSS 12.6.3.1 | sub requisito de compliance | não especificado | awareness sobre ameaças e vulnerabilidades que possam afetar cardholder data, incluindo phishing, ataques relacionados e social engineering | conteúdo mínimo obrigatório desde March 31, 2025 | aplica-se a organizações PCI na América Latina, a fonte não regionaliza | Coggno | | | PCI DSS 12.6.3.2 | sub requisito de compliance | tecnologias do usuário final, incluindo mobile devices, remote access e removable media | uso aceitável de tecnologias do usuário final | conteúdo mínimo obrigatório desde March 31, 2025 | relevante porque o smishing migra para mobile devices | Coggno | | | Contexto de exposição na América Latina | série de risco regional | mensagens falsas, mobile, SMS e WhatsApp | fraude, phishing e smishing em escala | não especificado | Kaspersky registrou 1.291 milhões de bloqueios de phishing na América Latina entre 2023 e 2024, uma alta de 85%, e Segurilatam reportou 286 milhões de tentativas de fraude móvel e 74% de organizações vítimas de smishing | explícita | Kaspersky, Segurilatam | | Enfoque HRM de modelo operacional / plataforma: multicanal, não limitado a email; simular, treinar, medir, intervir e reportar risco humano; o risk score consolida sinais de simulações, cursos, reportes e comportamento, e serve para priorizar intervenções, não para disciplinar; Whalemate é voltada a equipes de TI, CISO e compliance na América Latina, Whalemate HRM. | | | | | | | | ## O que significa exatamente dizer que vishing e smishing são variantes de phishing? A coincidência entre as fontes é ampla: vishing e smishing são subtipos de phishing diferenciados pelo canal. A CISA define vishing como phishing por comunicação de voz e smishing como phishing por mensagens de texto. O NIST reforça que phishing já não se limita ao email e pode aparecer como [mensagens de texto fraudulentas](https://www.nist.gov/blogs/taking-measure/my-research-can-help-protect-you-and-your-company-hackers-trying-steal-your) ou chamadas telefônicas fraudulentas. A Experian resume que phishing, smishing e vishing diferem pela forma como o atacante entra em contato com a vítima, email, texto ou telefone. SentinelOne e Dexpose sustentam que phishing, smishing e vishing se distinguem pelo [canal de contato](https://www.sentinelone.com/cybersecurity-101/threat-intelligence/phishing-vs-smishing-vs-vishing/), [email, texto ou telefone](https://www.dexpose.io/vishing-vs-smishing-vs-phishing/). A leitura da Whalemate é que essa distinção não serve apenas para um glossário interno: ela habilita métricas separadas por canal, porque o comportamento que se quer detectar e corrigir não é o mesmo em voz, SMS ou email. ## Por que a diferença por canal muda o risco operacional? No vishing, a dinâmica é uma conversa desenhada para gerar confiança e levar a vítima a divulgar [informação sensível](https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks), inclusive induzindo a pessoa a ligar para um número específico. A Cisco acrescenta que essas chamadas ou mensagens de voz buscam credenciais, números de cartão ou dados bancários, e os atacantes também procuram códigos MFA ou transferências. No smishing, o padrão dominante é diferente. A CISA relaciona o ataque a mensagens que levam a clicar, baixar arquivos ou aplicativos, ou iniciar uma conversa. IBM, Egress e NCB destacam o [componente móvel](https://www.egress.com/blog/phishing/smishing-vishing-quishing-scams), os links e a [abertura automática de navegador](https://www.ncb.coop/blog/social-engineering-phishing/vishing/smishing), email ou ligação. A leitura da Whalemate é que não basta um indicador único de phishing se o objetivo do vishing costuma ser sustentar uma conversa e o do smishing costuma ser disparar uma ação imediata no dispositivo. ## O que o PCI DSS 12.6 exige e por que um curso isolado não basta? O documento SAQ D Merchant do PCI DSS v4.0 estabelece que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção do cardholder data, PCI SSC. O material disponível da Whalemate, em linha com essa exigência, enfatiza que o PCI DSS 12.6 exige um programa de conscientização, não um curso isolado. Os resumos secundários de [ISO 27001](https://www.whalemate.com/br/recursos/blog/iso-27001-plataforma-gestao-risco/) seguem a mesma lógica de processo contínuo. Control Institute e High Table indicam que as pessoas sob controle da organização devem estar [cientes da política](https://hightable.io/iso-27001-clause-7-3-awareness-essential-guideessential-guide/), da sua contribuição para o sistema e das [implicações do descumprimento](https://controlinstitute.org/glossary/awareness). Guardey, High Table, Cyberzoni e Advisera acrescentam que o controle 6.3 requer [programa formal](https://advisera.com/iso27001/control-6-3-information-security-awareness-education-and-training/), [cobertura ampla](https://www.guardey.com/iso27001-security-awareness-training/), [atualização regular](https://cyberzoni.com/standards/iso-27001/control-6-3/) e [evidência de efetividade](https://hightable.io/iso-27001-annex-a-6-3-information-security-awareness-education-and-training/). A leitura da Whalemate é que compliance já vem empurrando para continuidade e evidência, não para uma capacitação anual desconectada do comportamento real. ## O que acrescentam o PCI DSS 12.6.3.1 e o 12.6.3.2 ao problema? A Coggno detalha que, sob o 12.6.3.1, o treinamento deve incluir awareness sobre ameaças e vulnerabilidades que possam afetar cardholder data, incluindo phishing, related attacks e social engineering, Coggno. A mesma fonte indica que o 12.6.3.2 exige cobrir acceptable use of end-user technologies como remote access, mobile devices e removable media, também desde March 31, 2025, Coggno. Esse cruzamento muda a leitura de vishing e smishing para equipes PCI. Se [smishing](https://www.cyber.gc.ca/en/guidance/social-engineering-itsap00166) ocorre em SMS, mensagens e mobile, e se vishing usa chamadas, caixa postal, VoIP e até [imitação com IA](https://www.acronis.com/en/tru/threat-catalog/social-engineering/vishing/), a cobertura esperada do programa não pode ficar restrita a phishing por email. A leitura da Whalemate é que 12.6.3.1 e 12.6.3.2 juntas obrigam a mapear risco humano e uso de tecnologia por canal, e não só a provar presença em uma capacitação. ## Onde está a tensão entre a recomendação ampla do NIST e a execução real? O NIST diz duas coisas relevantes. Primeiro, que phishing não se limita ao email e também aparece como smishing e vishing. Segundo, que é preciso manter atenção [em todas as áreas de comunicação](https://www.nist.gov/blogs/taking-measure/my-research-can-help-protect-you-and-your-company-hackers-trying-steal-your). Essa formulação amplia o perímetro do awareness. A Whalemate, na leitura de NIST SP 800-50r1, desloca o eixo da palestra para o exercício prático. Sustenta que o programa enterprise-wide deve incluir phishing, spear phishing, vishing e smishing, e que o foco operacional não é a palestra, mas se o usuário detecta a tentativa ou clica, Whalemate blog. A tensão não é doutrinária, é de execução: o NIST amplia canais, mas se a organização não testa comportamento observável por canal, fica com intenção pedagógica e sem evidência de resposta. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Onde está a tensão entre o PCI DSS e a realidade da América Latina? O PCI DSS, segundo a Coggno, já obriga a incluir phishing, ataques relacionados, social engineering e uso aceitável de mobile devices no conteúdo mínimo do programa, Coggno. Ao mesmo tempo, a Segurilatam reporta 286 milhões de tentativas de fraude por mobile via SMS e WhatsApp em 2023 e informa que 74% das organizações na América Latina foram vítimas de smishing no último ano, Segurilatam. A Kaspersky acrescenta 1.291 milhões de bloqueios de ataques de phishing na América Latina entre 2023 e 2024, uma alta de 85%, Kaspersky. A tensão é direta. O requisito já contempla o risco e o canal, mas a incidência regional mostra que a prática continua falhando justamente em mobile e mensagens. A leitura da Whalemate é que um programa centrado em email pode cumprir pior e proteger pior ao mesmo tempo, porque deixa de fora o canal em que o volume regional já ficou visível. ## Por que medir só o completion de cursos não basta? A Whalemate sustenta que HRM não é um [curso de security awareness](https://www.whalemate.com/br/recursos/blog/security-awareness-medir-clique-nao/), mas uma abordagem que modela contexto, simula, treina, mede, intervém e reporta. Esse contraste importa porque o material da SecureCodingHub sobre PCI DSS 12.6.1 recomenda recognition patterns, reporting procedures e exemplos explícitos e atuais, incluindo QR-code phishing, [AI-voice impersonation](https://www.securecodinghub.com/blog/pci-dss-awareness-training-12-6-1-guide) e pretexting em Teams e Slack. Se o conteúdo precisa refletir técnicas atuais e se o risco se expressa no comportamento do usuário, o completion de cursos é um sinal incompleto. Ele não mostra se a pessoa reconheceu um SMS suspeito, encerrou uma ligação de pretexto, reportou uma tentativa ou compartilhou um código de uso único. A leitura da Whalemate é que a métrica de aprendizado isolada não prova resiliência operacional frente a vishing e smishing. ## O que deve ser medido por canal em vishing e smishing? O material leva a [quatro grupos mínimos de medição](https://www.whalemate.com/br/recursos/blog/human-risk-management-mede-habilita/). Exposição, detecção, reporte e resposta. Isso surge da combinação da [caracterização por canal](https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks) da CISA, do NIST, da Proofpoint e da Adaptive Security com o mandato de conteúdo do PCI DSS e a abordagem de medição contínua de HRM. Em smishing, a exposição remete a usuários e funções que operam mais em mobile ou mensagens. A detecção aponta para reconhecer sinais de fraude em SMS, WhatsApp ou apps. O reporte mede se a tentativa chega aos canais internos de segurança. A resposta registra se houve clique, download, ligação de retorno, entrega de credenciais ou compartilhamento de códigos. Em vishing, a lógica muda: importa se o usuário [mantém ou encerra a conversa](https://www.proofpoint.com/us/threat-reference/vishing), se [valida a identidade por outro canal](https://www.cyber.gc.ca/en/guidance/social-engineering-itsap00166) e se escala o incidente a tempo. ## Por que o mobile e a voz abrem uma lacuna específica no CDE? A SecureCodingHub afirma que phishing e social engineering foram responsáveis por uma [fração significativa dos comprometimentos](https://www.securecodinghub.com/blog/pci-dss-awareness-training-12-6-1-guide) registrados do CDE na janela 2024-2025, embora não traga um percentual específico. A Adaptive Security e a Acronis mostram que o vishing pode mirar credenciais, MFA, transferências ou [instalação de ferramentas de acesso remoto](https://www.acronis.com/en/tru/threat-catalog/social-engineering/vishing/). Isso amplia o impacto de roubo de dados para acesso inicial e movimento em sistemas. No smishing, o vetor móvel costuma ficar mais fora dos controles clássicos de email corporativo. IBM e Egress destacam links, malware e solicitações urgentes em dispositivos móveis, IBM, Egress. A leitura da Whalemate é que, se o pessoal que toca processos do ambiente de cartões também usa mobile devices para autenticar, aprovar fluxos ou responder mensagens, então a lacuna de awareness por canal pode virar uma lacuna direta do CDE. ## O que o HRM acrescenta diante dessa lacuna? A Whalemate descreve HRM como uma abordagem que modela contexto, simula, treina, mede, intervém e reporta, Whalemate HRM. Também informa que seus módulos públicos incluem simulações avançadas, treinamento adaptativo, analytics de risco humano e agente de conscientização. Para esse problema, isso permite sair de awareness genérico para um ciclo operacional sobre vishing e smishing. O ganho não está apenas em simular mais canais. Está em conectar sinais. A Whalemate aponta que o risk score consolida dados de simulações, cursos, reportes e comportamento, e que serve para priorizar intervenções, não para disciplinar, Whalemate HRM. A leitura da Whalemate é que, aplicado a vishing e smishing, esse score pode mostrar quem está mais exposto ou reage pior em mobile e voz, para permitir intervenção com treinamento adaptativo ou controles compensatórios em vez de usar o dado como punição. ## Qual decisão isso habilita para CISO, TI e compliance na América Latina? A decisão não é semântica, é de desenho do programa. Se vishing e smishing são phishing por voz e SMS, se o PCI DSS 12.6 exige um programa formal, se o 12.6.3.1 obriga a cobrir phishing, related attacks e social engineering, e se o 12.6.3.2 exige uso aceitável de mobile devices, então o programa precisa ser medido por canal e não só por email ou finalização de cursos, PCI SSC, Coggno. Para um CISO na América Latina, isso implica definir métricas de exposição, detecção, reporte e resposta para SMS, voz e mensagens, além de email. Para TI, implica incorporar simulações e rotas de reporte que contemplem mobile devices, chamadas e campanhas combinadas, algo que a Proofpoint aponta como frequente quando o smishing é usado em conjunto com chamadas de voz, Proofpoint Vishing. Para compliance, implica exigir evidência de efetividade por canal e não apenas evidência de participação. Uma abordagem HRM permite operacionalizar essa transição com simulações multicanal, treinamento adaptativo e risk score para priorizar intervenções sem transformar o score em ferramenta disciplinar, Whalemate, Whalemate HRM. ## O que ler depois? - [Human Risk Management na plataforma](https://www.whalemate.com/br/plataforma-de-risco-humano/) - [Plataforma de Human Risk Management](https://www.whalemate.com/br/recursos/blog/whalemate-hrm-security-awareness/) - [APWG e PCI DSS: smishing em alta](https://www.whalemate.com/br/recursos/blog/apwg-pci-dss-smishing-alta/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma-de-risco-humano/) Perguntas ## Perguntas frequentes **Vishing e smishing são phishing ou ataques diferentes?** São subtipos de phishing diferenciados pelo canal. Vishing usa voz, chamadas ou mensagens de voz, e smishing usa SMS ou mensagens de texto, segundo CISA, NIST e SentinelOne. A diferença não é cosmética, porque muda o comportamento esperado do usuário e, portanto, a forma correta de medir risco e resposta. **O PCI DSS obriga a cobrir explicitamente vishing e smishing?** O material disponível indica que o PCI DSS 12.6 exige um programa formal de awareness e que, sob 12.6.3.1, o training deve incluir phishing, related attacks e social engineering. Além disso, 12.6.3.2 exige acceptable use de tecnologias do usuário final, como mobile devices, segundo PCI SSC e Coggno. Como vishing e smishing são subtipos de phishing por voz e SMS, deixá-los de fora enfraquece a cobertura esperada do programa. **O que mais falha na prática na LATAM?** As fontes do material mostram um deslocamento forte para mobile e mensageria. A Kaspersky reportou 1.291 milhões de bloqueios de phishing na América Latina entre 2023 e 2024, com um aumento de 85%. A Segurilatam informou 286 milhões de tentativas de fraude móvel por SMS e WhatsApp em 2023 e citou que 74% das organizações da região foram vítimas de smishing. **O que uma organização deveria medir além do phishing por email?** No mínimo, exposição, detecção, reporte e resposta por canal. Em smishing, isso inclui interação com SMS, mensageria e links móveis. Em vishing, inclui validação de identidade, continuidade ou encerramento da chamada, escalonamento e entrega de dados ou códigos, apoiado na lógica da CISA, Proofpoint e Adaptive Security. Medir só completion de cursos não mostra se o comportamento real melhora. **Para que serve um risk score de HRM nesse tema?** Segundo a Whalemate, o risk score consolida sinais de simulações, cursos, reports e comportamento, e serve para priorizar intervenções, não para disciplinar. Aplicado a vishing e smishing, permite identificar áreas, funções ou usuários com maior exposição ou pior resposta em mobile e voz, para ajustar simulações, treinamento adaptativo e acompanhamento sem transformar a medição em punição. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%20DSS%2012.6%20cobre%20vishing%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%20DSS%2012.6%20cobre%20vishing%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [O que se vê quando as fontes são colocadas juntas](#s1) 2. [O que significa exatamente dizer que vishing e smishing são variantes de phishing?](#s2) 3. [Por que a diferença por canal muda o risco operacional?](#s3) 4. [O que o PCI DSS 12.6 exige e por que um curso isolado não basta?](#s4) 5. [O que acrescentam o PCI DSS 12.6.3.1 e o 12.6.3.2 ao problema?](#s5) 6. [Onde está a tensão entre a recomendação ampla do NIST e a execução real?](#s6) 7. [Onde está a tensão entre o PCI DSS e a realidade da América Latina?](#s7) 8. [Por que medir só o completion de cursos não basta?](#s8) 9. [O que deve ser medido por canal em vishing e smishing?](#s9) 10. [Por que o mobile e a voz abrem uma lacuna específica no CDE?](#s10) 11. [O que o HRM acrescenta diante dessa lacuna?](#s11) 12. [Qual decisão isso habilita para CISO, TI e compliance na América Latina?](#s12) 13. [O que ler depois?](#s13) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Fortinet: medir awareness além da conclusão\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/fortinet-medir-awareness-alem-conclusao.webp)](https://www.whalemate.com/br/recursos/blog/fortinet-medir-awareness-alem-conclusao/) HRM 7 de out. de 2026 Por Federico Hombre ### Fortinet: medir awareness além da conclusão NIST, Fortinet e a pesquisa de 2025 mostram uma lacuna: é possível medir comportamento e remediar por evento, mas muitas empresas ainda medem atividade. Ler mais [!\[LATAM: o que mede uma empresa de HRM\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-mede-empresa-hrm.webp)](https://www.whalemate.com/br/recursos/blog/latam-mede-empresa-hrm/) HRM 5 de out. de 2026 Por Federico Hombre ### LATAM: o que mede uma empresa de HRM Para CISO, TI e compliance na LATAM, HRM mede comportamento contínuo, converte em risco e sustenta evidência para ISO 27001 e PCI DSS. Ler mais [!\[ISO 27001 e plataforma de gestão de risco humano\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-27001-plataforma-gestao-risco.webp)](https://www.whalemate.com/br/recursos/blog/iso-27001-plataforma-gestao-risco/) HRM 2 de out. de 2026 Por Federico Hombre ### ISO 27001 e plataforma de gestão de risco humano ISO 27001 exige programas contínuos e eficazes. HRM transforma isso em métricas de comportamento e evidências para a direção. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)