--- title: "PCI DSS 12.6: vishing e smishing no escopo | Whalemate" description: "Vishing e smishing deixam de ser variações de phishing. Sob PCI DSS 12.6, exigem programa formal, métricas por canal e melhoria contínua." url: https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-vishing/ lang: pt-BR updated: 2026-10-27 alternates: es: https://www.whalemate.com/recursos/blog/pci-dss-12-6-vishing/ en: https://www.whalemate.com/en/resources/blog/pci-dss-12-6-vishing/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # PCI DSS 12.6: vishing e smishing no escopo Vishing e smishing deixam de ser variações de phishing. Sob PCI DSS 12.6, exigem programa formal, métricas por canal e melhoria contínua. 27 de out. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 12 min de leitura [HRM](https://www.whalemate.com/br/recursos/blog/tema/hrm/) ![PCI DSS 12.6: vishing e smishing no escopo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-dss-12-6-vishing.webp) Neste artigo 1. [O que muda quando essas fontes são lidas juntas](#s1) 2. [O que significam vishing e smishing quando vistos como risco operacional?](#s2) 3. [Por que parar na definição é insuficiente?](#s3) 4. [Onde entra a PCI DSS 12.6 nessa discussão?](#s4) 5. [O que exige a PCI DSS 12.6.1 e que decisão ela habilita?](#s5) 6. [O que exige a PCI DSS 12.6.2 e por que isso complica a abordagem estática?](#s6) 7. [O que acrescentam PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 sobre voz, SMS e mensageria?](#s7) 8. [Que tensão aparece entre a PCI DSS e a forma usual de medir?](#s8) 9. [Que tensão aparece entre um modelo por e-mail e campanhas multicanal?](#s9) 10. [O que os estudos mostram sobre a necessidade de medir melhora contínua?](#s10) 11. [Por que não basta olhar só para clicks?](#s11) 12. [O que isso implica para um programa de Human Risk Management?](#s12) 13. [Que consequência operacional isso deixa para CISO, IT e compliance na LATAM?](#s13) 14. [O que ler depois?](#s14) 15. [Smishing para empresas, o que muda sob a PCI DSS 12.6](#s15) Vishing e smishing, para CISO, IT e compliance na LATAM, não são apenas duas etiquetas de phishing por voz e SMS. Quando suas definições operacionais são confrontadas com [PCI DSS 12.6](https://www.whalemate.com/br/recursos/blog/pci-dss-12-6-cobre/), elas passam a ser um problema de compliance que exige um programa formal, atualizado e específico sobre phishing, engenharia social e uso aceitável de tecnologias de usuário final. E, quando essa comparação é feita com evidências de simulações e medição humana, a decisão deixa de ser um [curso anual](https://coggno.com/blog/pci-dss-v4-employee-training-requirements-annual-recertification/) e passa a ser medir suscetibilidade, [dificuldade](https://www.nist.gov/publications/nist-phish-scale-user-guide) e melhora contínua com uma abordagem de Human Risk Management. ## O que muda quando essas fontes são lidas juntas Vistas separadamente, as fontes descrevem definições, exigências ou métricas. Lidas em conjunto, mostram algo mais incômodo: uma organização pode cumprir com [awareness no papel](https://www.baitandphish.com/blog/pci-dss-phishing-training) e ainda assim manter subestimada sua [exposição real à voz](https://www.cisco.com/site/us/en/learn/topics/security/what-is-vishing.html), ao SMS e à mensageria. | Tema | Canal/vetor | Objetivo do ataque ou controle | Escopo multicanal | O que exige ou permite medir | Frequência/atualização | Decisão que habilita | Fonte | | --- | --- | --- | --- | --- | --- | --- | --- | | Smishing, definição operacional | SMS ou MMS, mensagens de texto | Targeting malicioso por mensagens enganosas | Não especificado | Não especificado | Não especificado | Tratar SMS/MMS como vetor explícito de risco humano | IC3 | | Vishing, definição operacional | Voice memos ou voz | Targeting malicioso por mensagens enganosas | Não especificado | Não especificado | Não especificado | Tratar voz e mensagens de voz como vetor explícito de risco humano | IC3 | | Vishing, abordagem de fraude | Chamadas ou mensagens de voz | Obter credenciais, números de cartão ou dados bancários | Não especificado | Não especificado | Não especificado | Incluir cenários de extração de credenciais e dados por voz | Cisco | | Smishing, abordagem de fraude | SMS com links ou sites falsos | Induzir cliques ou visitas a sites falsos | Não especificado | Não especificado | Não especificado | Incluir [links móveis](https://www.proofpoint.com/us/threat-reference/smishing) e navegação pelo celular no programa | Proofpoint | | PCI DSS 12.6.1 | Não especificado | Programa formal de security awareness para todo o pessoal | Não especificado | Implementação de um programa formal | Não especificado | Sair de ações isoladas e ir para um programa formal | Bait and Phish | | PCI DSS 12.6.2 | Novas ameaças e vulnerabilidades | Revisar e atualizar awareness training | Não especificado | Revisão do programa diante de novas ameaças | Pelo menos a cada 12 meses | Verificar se vishing e smishing já estão cobertos e atualizados | Bait and Phish | | PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 | Phishing, related attacks, social engineering, end-user technologies | Treinar o pessoal sobre ameaças específicas e uso aceitável | Sim, por tipo de ameaça e tecnologia | Treinamento na admissão, anual e reconhecimento anual | Upon hire e pelo menos a cada 12 meses | Incluir voz, SMS e mensageria no programa obrigatório | Coggno | | Requirement 12.6, formulação geral | Não especificado | Tornar o pessoal consciente do seu papel na proteção de cardholder data | Não especificado | [Programa formal implementado](https://service.securitm.ru/docs/pci-dss-v4-0/requirement-12-6) | Não especificado | Vincular awareness à proteção de dados de cartão, não só a training | SecurITM | | NIST Phish Scale | Email | Classificar a dificuldade de detecção humana | Não especificado | Dificuldade de detecção humana em programas de awareness | Não especificado | Medir desempenho humano além do compliance documental, mas em email | NIST | | Estudo experimental de simulações | Phishing simulation | Medir click-through e auto relato | Não especificado | 17 % inicial, [3.5 % ao final](https://florian.adamsky.it/research/publications/2024/phishing-simulation.pdf), 14.6 % medido, 10.7 % de autodeclaração | Ao longo do período observado | Validar com métricas longitudinais se a suscetibilidade cai | Adamsky PDF | | Estudo longitudinal | Phishing simulation | Medir suscetibilidade com exposição repetida | Não especificado | [15.92 % para 0.35 %](https://www.scienpress.com/Upload/JRC/Vol%2013_1_10.pdf) | Simulações posteriores | Sustentar um programa iterativo | Scientific Research PDF | | CHRM report | Mensagens com diferentes níveis de dificuldade | Observar como clicks e reportes variam | Não especificado | Diferença entre [dificuldade, clicks e reportes](https://outthink.io/community/thought-leadership/CHRM-report/) | Não especificado | Não olhar só clicks, somar dificuldade e reporte | OutThink | | HRM como modelo operacional | Simula, treina, mede, intervém e reporta | Gerenciar risco humano | Sim, por múltiplos sinais | Consolidação de sinais em risk score | Contínua | Priorizar intervenções, não disciplinar | Whalemate | ## O que significam vishing e smishing quando vistos como risco operacional? A parte estável do consenso é o canal. O IC3 define smishing como targeting malicioso por SMS ou MMS e vishing como targeting malicioso por voice memos ou voz. [As mensagens de texto fraudulentas](https://www.experian.com/blogs/ask-experian/phishing-smishing-vishing/) correspondem a smishing, [as ligações telefônicas fraudulentas](https://www.csoonline.com/article/567547/smishing-and-vishing-how-these-cyber-attacks-work-and-how-to-prevent-them.html) correspondem a vishing e a [distinção básica](https://www.keepersecurity.com/blog/2023/06/09/smishing-vs-vishing-whats-the-difference/) se apoia em texto para smishing e voz para vishing. Segundo a CISA, vishing é a abordagem de engenharia social que usa comunicação por voz, e ataques avançados podem ser executados totalmente por comunicações de voz, explorando soluções de VoIP e serviços de broadcast. Segundo a CISA, smishing é uma forma de engenharia social que explora mensagens SMS ou de texto, e essas mensagens podem incluir links para páginas web, endereços de e-mail ou números de telefone. A CISA também descreve o vishing como phishing por comunicação de voz para induzir a vítima a conversar e gerar confiança, e o smishing como phishing por mensagens de texto para levar a vítima a clicar em um link, baixar arquivos ou aplicativos, ou iniciar uma conversa. A leitura da Whalemate é que essa diferença de canal não é um detalhe taxonômico. É a base para decidir quais vetores humanos entram no programa, como são simulados e quais métricas são exigidas por canal. Se o canal muda, também mudam os controles humanos que vale observar. ## Por que parar na definição é insuficiente? As definições descrevem a fraude, mas não dizem como governá-la. A Cisco coloca o foco em chamadas ou mensagens de voz fraudulentas para roubar credenciais, números de cartão ou dados bancários, e em SMS que induzem cliques ou visitas a sites falsos. Ambos usam [engenharia social](https://www.sentinelone.com/cybersecurity-101/threat-intelligence/phishing-vs-smishing-vs-vishing/) para levar a vítima a entregar informação sensível. Segundo o FBI/IC3, o smishing mira pessoas de forma maliciosa por mensagens de texto SMS ou MMS. Para um CISO ou compliance officer, o problema começa quando essa definição não vira um inventário explícito de exposição. Se [voz, SMS e mensageria](https://nordlayer.com/learn/threats/phishing-vs-smishing-vs-vishing/) acabam absorvidos na categoria genérica phishing, depois não há uma forma clara de pedir evidências, desenhar testes ou reportar avanços específicos por vetor. ## Onde entra a PCI DSS 12.6 nessa discussão? Ela entra no ponto em que awareness deixa de ser uma boa prática e passa a ser uma obrigação programática. O PCI Security Standards Council vincula sua [formação de awareness](https://www.pcisecuritystandards.org/program_training_and_qualification/requirements_awareness/) ao cumprimento do Requirement 12.6. A formulação reproduzida pela SecurITM diz que deve ser implementado um programa formal de security awareness para que todo o pessoal conheça a política e os procedimentos de segurança e seu papel na proteção dos dados. A leitura da Whalemate é direta: se existe um programa formal exigido, vishing e smishing não podem ficar como exemplos marginais em uma palestra anual. Eles precisam estar mapeados como ameaças concretas dentro do escopo do programa, porque são formas de phishing e engenharia social aplicadas a canais de usuário final. ## O que exige a PCI DSS 12.6.1 e que decisão ela habilita? O resumo da Bait and Phish para a PCI DSS 12.6.1 é explícito: é necessário um programa formal de security awareness para todo o pessoal. A Coggno concorda que não bastam cursos soltos para organizações que armazenam, processam ou transmitem dados de cartões. A decisão que isso habilita é organizacional. Se hoje a resposta a vishing e smishing depende de uma campanha isolada, de um fornecedor específico ou de um treinamento sem continuidade, isso não conversa bem com a exigência de programa formal. O salto é de atividade para sistema. ## O que exige a PCI DSS 12.6.2 e por que isso complica a abordagem estática? A Bait and Phish cita para 12.6.2 uma revisão do awareness training pelo menos a cada 12 meses e sua atualização diante de novas ameaças e vulnerabilidades que possam impactar o ambiente de dados de cartões. O programa deve ser documentado e atualizado [pelo menos a cada 12 meses](https://www.securitymetrics.com/blog/security-awareness-training). Isso enfraquece qualquer abordagem congelada. Se vishing e smishing crescem ou mudam de forma, por exemplo com mensageria ou combinações de canais, o conteúdo e a forma de medir não podem permanecer iguais por inércia. Cumprir não é manter o mesmo curso, e sim demonstrar revisão e ajuste diante do risco. ## O que acrescentam PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 sobre voz, SMS e mensageria? A Coggno resume que a PCI DSS 12.6.3 exige treinamento na admissão e pelo menos a cada 12 meses, com reconhecimento anual do empregado. Também indica que 12.6.3.1 exige cobrir especificamente phishing e social engineering, e que 12.6.3.2 inclui acceptable use of end-user technologies. A Ransomleak lista entre os temas esperados phishing, social engineering, uso aceitável de tecnologias de usuário final, [proteção de dispositivos móveis](https://ransomleak.com/compliance/pci-dss/) e uso de tecnologias de trabalho remoto. A leitura da Whalemate é que é aí que entra de vez o risco de voz, SMS e mensageria. Embora a norma não nomeie vishing ou smishing pelo apelido, ela obriga a cobrir os tipos de ameaça e as tecnologias em que esses ataques acontecem. Para compliance, isso permite pedir evidências de conteúdos e práticas sobre esses canais específicos. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Que tensão aparece entre a PCI DSS e a forma usual de medir? A primeira tensão é que a PCI DSS, segundo a Coggno, amplia o escopo para phishing, engenharia social e end-user technologies, enquanto o [NIST Phish Scale](https://www.nist.gov/publications/nist-phish-scale-user-guide) citado neste material é voltado a classificar a dificuldade de detecção humana de um e-mail dentro de programas de awareness e phishing training. A leitura da Whalemate é que a organização pode acabar com uma paradoxo. Cumpre um programa que, em tese, deve contemplar ameaças e tecnologias mais amplas, mas mede com uma referência centrada em e-mail. O resultado é um vazio de observabilidade sobre vishing e smishing, justamente em canais que a obrigação de awareness torna relevantes. ## Que tensão aparece entre um modelo por e-mail e campanhas multicanal? A segunda tensão surge quando se compara a lógica do NIST Phish Scale, centrada em e-mail, com o que a Proofpoint descreve para a prática atacante: o smishing costuma ser usado em conjunto com chamadas de voz dentro de campanhas de vishing, e o vishing pode ser combinado com smishing em [campanhas multicanal](https://www.proofpoint.com/us/threat-reference/vishing). A Kroll observou aumento nessas táticas e que o smishing pode se estender a [aplicativos de mensageria](https://www.kroll.com/en/publications/cyber/monitor/vishing-smishing-attacks) como WhatsApp, WeChat ou Facebook Messenger. A leitura da Whalemate é que medir só a reação ao e-mail deixa de fora parte do encadeamento real do ataque. Se o usuário recebe um SMS, depois uma ligação, ou uma mensagem que leva a uma conversa ao vivo, a suscetibilidade se expressa em uma sequência e não em um clique isolado. Essa é uma diferença operacional, não semântica. ## O que os estudos mostram sobre a necessidade de medir melhora contínua? A evidência de simulações vai contra a ideia de que basta ensinar o conteúdo. O estudo hospedado por Florian Adamsky registrou [17 % de click-through inicial](https://florian.adamsky.it/research/publications/2024/phishing-simulation.pdf) e queda para 3.5 % ao final do período observado, além de 14.6 % de click rate medido e 10.7 % de autodeclaração entre quem respondeu à pesquisa. O estudo da Scientific Research Publishing mostrou em um departamento uma [queda do click rate médio](https://www.scienpress.com/Upload/JRC/Vol%2013_1_10.pdf) de 15.92 % para 0.35 % com simulações posteriores. A leitura da Whalemate é que a melhora relevante é longitudinal. A pergunta não é se as pessoas fizeram o curso, mas se a suscetibilidade cai com o tempo e se essa queda pode ser sustentada. Essa lógica vale ainda mais para vishing e smishing, onde urgência e personificação operam em canais menos cobertos por métricas tradicionais. ## Por que não basta olhar só para clicks? O relatório da OutThink adiciona uma camada útil: simulações com diferentes níveis de dificuldade produzem combinações diferentes de clicks e reportes. Segundo esse material, as simulações mais fáceis tendem a gerar menos cliques e menos relatos, enquanto as mais difíceis tendem a ter maior taxa de reporte quando os usuários reconhecem o risco. A leitura da Whalemate é que uma métrica única, por exemplo click rate, pode enganar. Um programa maduro deveria acompanhar ao menos dificuldade, taxa de engano e taxa de reporte, porque a conduta desejada não é apenas evitar a queda, mas reconhecer e escalar o evento. Para vishing e smishing, isso significa capturar o que a pessoa fez diante de uma ligação, um SMS ou uma mensagem de mensageria, e não apenas se clicou. ## O que isso implica para um programa de Human Risk Management? Segundo a Whalemate, HRM não é um curso de security awareness, mas um modelo que simula, treina, mede, intervém e reporta. No site público da Whalemate, também é descrito um risk score que consolida sinais de simulações, cursos, relatos e comportamento para priorizar intervenções, e não para disciplinar. A leitura da Whalemate é que esse modelo se encaixa melhor na tensão entre obrigação formal e medição limitada. Se a exposição real se distribui entre voz, SMS, mensageria e e-mail, o programa precisa de uma camada contínua de sinais e priorização. O curso anual serve como evidência de base, mas não como instrumento suficiente de governança. ## Que consequência operacional isso deixa para CISO, IT e compliance na LATAM? A decisão habilitada é ampliar o conjunto de métricas e evidências para além do curso anual e do e-mail. Se [PCI DSS 12.6](https://service.securitm.ru/docs/pci-dss-v4-0/requirement-12-6) exige um programa formal, e se Bait and Phish e Coggno mostram que esse programa deve ser revisado, atualizado e cobrir phishing, engenharia social e uso aceitável de tecnologias de usuário final, então vale registrar simulações e resposta humana por canal, voz, SMS, mensageria e e-mail. Também vale incorporar métricas de taxa de engano, taxa de reporte, dificuldade e evolução longitudinal, apoiando-se em programas iterativos de HRM como os que a Whalemate descreve para priorizar intervenções. Para uma organização na LATAM, onde o relatório da RH-ISAC aponta [813 attempted incidents](https://rhisac.org/wp-content/uploads/TLPCLEAR-2026-RHISAC-Verizon-DBIR-Comparison.pdf) e 718 confirmed breaches na região, a pergunta prática não é o que vishing e smishing significam em abstrato. A pergunta é se esses canais já entraram no painel de risco humano com evidência periódica, responsáveis definidos e capacidade de mostrar melhora. ## O que ler depois? - [Human Risk Management na plataforma](https://www.whalemate.com/br/plataforma-de-risco-humano/) - [Plataforma de Human Risk Management](https://www.whalemate.com/br/recursos/blog/whalemate-hrm-security-awareness/) - [APWG e PCI DSS: smishing em alta](https://www.whalemate.com/br/recursos/blog/apwg-pci-dss-smishing-alta/) ## Smishing para empresas, o que muda sob a PCI DSS 12.6 Smishing para empresas deixa de ser só um risco de SMS quando a organização precisa demonstrar um programa formal de awareness sob a PCI DSS 12.6. Nesse cenário, o canal móvel entra como vetor explícito de risco humano e deixa de ser diluído em phishing genérico. O artigo já mostra que o controle não se limita a e-mail, porque a PCI DSS 12.6.2 pede revisar e atualizar o training diante de ameaças novas, e 12.6.3 amplia o alcance para phishing, engenharia social e tecnologias de usuário final. Também aponta que a decisão útil é medir suscetibilidade, dificuldade e melhora contínua por canal. [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma-de-risco-humano/) Perguntas ## Perguntas frequentes **A que se referem vishing e smishing em cyber security?** Em cyber security, smishing se refere a ataques de phishing realizados por SMS ou MMS, e vishing a ataques de phishing realizados por chamadas, mensagens de voz ou voz em geral, segundo o IC3 e a Cisco. Para equipes de segurança, o ponto principal não é só o nome, mas que cada canal exige controles, medições e treinamento específicos. **Por que vishing e smishing são um tema de compliance e não só de awareness?** Porque o material da Coggno e da Bait and Phish mostra que o PCI DSS 12.6 exige um programa formal, revisado e atualizado, que cubra phishing, social engineering e acceptable use of end-user technologies. Isso coloca voz, SMS e mensagens dentro do escopo operacional do programa, não como exemplos opcionais. **O que falha na prática quando uma empresa mede apenas email phishing?** Falha a cobertura do risco real. O NIST Phish Scale no material citado é orientado a email, enquanto a Proofpoint e a Kroll descrevem campanhas multicanal que combinam SMS, chamadas e mensagens. Uma empresa pode medir bem o email e ainda assim não ver como as suas pessoas respondem à voz ou a texto móvel. **Quais métricas vale a pena pedir já amanhã?** Como piso, vale a pena pedir evidência de cobertura por canal, resultados de simulações, taxa de engano ou click rate quando aplicável, taxa de reporte, nível de dificuldade dos testes e evolução longitudinal. Os estudos de Adamsky, Scientific Research Publishing e o relatório da OutThink mostram que a melhoria sustentada e a dificuldade importam tanto quanto o resultado pontual. **Que decisão uma abordagem de Human Risk Management habilita?** Ela habilita passar de uma lógica de capacitação isolada para uma de priorização contínua. Segundo a Whalemate, HRM simula, treina, mede, intervém e reporta, e o seu site descreve um risk score que consolida sinais para priorizar intervenções. Isso permite tratar vishing e smishing como risco gerenciável por canal e por equipe, não como uma falha individual. **O que é phishing adaptativo?** Phishing adaptativo é uma forma de phishing que ajusta o ataque conforme o canal, o contexto e a resposta da vítima. Neste artigo, a ideia se encaixa na necessidade de medir e gerenciar voz, SMS e mensagens como vetores distintos dentro de um programa formal de awareness e Human Risk Management. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%20DSS%2012.6%3A%20vishing%20e%20smishing%20no%20escopo%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%20DSS%2012.6%3A%20vishing%20e%20smishing%20no%20escopo%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [O que muda quando essas fontes são lidas juntas](#s1) 2. [O que significam vishing e smishing quando vistos como risco operacional?](#s2) 3. [Por que parar na definição é insuficiente?](#s3) 4. [Onde entra a PCI DSS 12.6 nessa discussão?](#s4) 5. [O que exige a PCI DSS 12.6.1 e que decisão ela habilita?](#s5) 6. [O que exige a PCI DSS 12.6.2 e por que isso complica a abordagem estática?](#s6) 7. [O que acrescentam PCI DSS 12.6.3, 12.6.3.1 e 12.6.3.2 sobre voz, SMS e mensageria?](#s7) 8. [Que tensão aparece entre a PCI DSS e a forma usual de medir?](#s8) 9. [Que tensão aparece entre um modelo por e-mail e campanhas multicanal?](#s9) 10. [O que os estudos mostram sobre a necessidade de medir melhora contínua?](#s10) 11. [Por que não basta olhar só para clicks?](#s11) 12. [O que isso implica para um programa de Human Risk Management?](#s12) 13. [Que consequência operacional isso deixa para CISO, IT e compliance na LATAM?](#s13) 14. [O que ler depois?](#s14) 15. [Smishing para empresas, o que muda sob a PCI DSS 12.6](#s15) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Fortinet: medir awareness além da conclusão\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/fortinet-medir-awareness-alem-conclusao.webp)](https://www.whalemate.com/br/recursos/blog/fortinet-medir-awareness-alem-conclusao/) HRM 7 de out. de 2026 Por Federico Hombre ### Fortinet: medir awareness além da conclusão NIST, Fortinet e a pesquisa de 2025 mostram uma lacuna: é possível medir comportamento e remediar por evento, mas muitas empresas ainda medem atividade. Ler mais [!\[LATAM: o que mede uma empresa de HRM\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-mede-empresa-hrm.webp)](https://www.whalemate.com/br/recursos/blog/latam-mede-empresa-hrm/) HRM 5 de out. de 2026 Por Federico Hombre ### LATAM: o que mede uma empresa de HRM Para CISO, TI e compliance na LATAM, HRM mede comportamento contínuo, converte em risco e sustenta evidência para ISO 27001 e PCI DSS. Ler mais [!\[ISO 27001 e plataforma de gestão de risco humano\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-27001-plataforma-gestao-risco.webp)](https://www.whalemate.com/br/recursos/blog/iso-27001-plataforma-gestao-risco/) HRM 2 de out. de 2026 Por Federico Hombre ### ISO 27001 e plataforma de gestão de risco humano ISO 27001 exige programas contínuos e eficazes. HRM transforma isso em métricas de comportamento e evidências para a direção. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)