Por 
A visão de cyber security awareness training a partir de ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, PCI DSS v4.0, CISA, NCSC e ENISA não comporta um curso anual medido apenas por taxa de conclusão. O cruzamento entre marcos normativos e evidência operacional aponta outra direção: o programa precisa ser contínuo, ajustado ao papel de cada pessoa, distribuído em múltiplos canais e medido também por comportamento e reporte. Ao mesmo tempo, várias fontes contestam a ideia de que a taxa de clique, isoladamente, seja o principal KPI para avaliar risco ou efetividade.
O que muda quando os marcos são comparados juntos
Nenhuma das fontes do material reúne, em uma única visão, o que cada marco exige ou recomenda sobre frequência, adaptação ao papel, canais, conteúdo e evidência. Colocados lado a lado, fica claro que o desafio não é escolher entre curso, simulação ou campanha, e sim desenhar um controle contínuo, auditável e com métricas de comportamento.
| Norma | Natureza do programa | Frequência mínima | Adaptação por papel | Canais ou métodos | Conteúdo mínimo | O que medir ou evidenciar | Fonte |
|---|---|---|---|---|---|---|---|
| NIST | Distingue awareness de training. Awareness busca direcionar a atenção para a segurança e permitir reconhecer problemas e responder, enquanto training é mais formal e busca desenvolver conhecimento e habilidades para o desempenho no trabalho. A SP 800-50 Rev. 1 define isso como um programa fundamental de cibersegurança e privacidade para todo o pessoal | não especificado | voltado a fazer com que os participantes entendam seu papel na proteção de ativos de informação, cibersegurança e privacidade | cursos com instrutor ou online, exercícios ou outros métodos | usos aceitáveis e riscos dos sistemas da organização | percentual de participantes que mudaram um comportamento de trabalho, por exemplo relatar um e-mail suspeito de phishing. A NIST Phish Scale contempla taxa de clique, taxa de reporte, reincidência de cliques e usuários protetores. O NIST alerta que taxa de clique, sozinha, não basta | NIST |
| ISO/IEC 27001:2022 | exige awareness dentro do sistema de gestão de segurança da informação | não especificado | as pessoas que trabalham sob o controle da organização devem conhecer sua contribuição para a eficácia do sistema de gestão de segurança da informação | não especificado | política de segurança da informação, contribuição para a eficácia do sistema e consequências do não cumprimento dos requisitos | que as pessoas conheçam a política, sua contribuição e as consequências do descumprimento | ISO/IEC 27001:2022 |
| ISO/IEC 27002:2022 controle 6.3 | o pessoal e as partes interessadas relevantes devem receber informação, educação e capacitação apropriadas, além de atualizações periódicas sobre políticas e procedimentos conforme sua função | atualizações periódicas | conforme a função | canais físicos ou virtuais, como campanhas, folhetos, cartazes, newsletters, sites, sessões informativas, briefings, módulos de e-learning e e-mails | compromisso da direção, obrigações aplicáveis, responsabilidade pessoal, procedimentos básicos de segurança e pontos de contato para pedir orientação | não especificado | ISO/IEC 27002:2022 controle 6.3 |
| PCI DSS v4.0 | a educação sobre conscientização de segurança é uma atividade contínua e exige implementar um programa formal de conscientização | revisão do programa pelo menos uma vez a cada 12 meses, treinamento na contratação e pelo menos uma vez a cada 12 meses, reconhecimento pelo menos uma vez a cada 12 meses | todo o pessoal deve conhecer sua função na proteção dos dados do titular do cartão | usar múltiplos métodos de comunicação | política e procedimentos de segurança da entidade, ameaças e vulnerabilidades que possam afetar a segurança do CDE, incluindo phishing e ataques relacionados, e engenharia social | obter o reconhecimento de que leu e entendeu as políticas e procedimentos de segurança. O PCI SSC recomenda registrar quem faz o treinamento, se conclui com sucesso, a compreensão por meio de avaliações e feedback e reportes de e-mails maliciosos | PCI DSS v4.0 |
| CISA | recomenda treinamento básico de cibersegurança e treinamento antiphishing como parte de um programa padrão | pelo menos anual, novos funcionários dentro de 10 dias após o onboarding, revisão anual do material de phishing | para todos os funcionários e contratados | Phishing Campaign Assessment de seis semanas que mede a propensão a clicar em iscas de phishing e cujos resultados podem orientar o treinamento antiphishing | phishing, business email compromise, segurança operacional e senhas, educação sobre engenharia social e phishing, importância de reportar e-mails, links, anexos ou outras iscas suspeitas | propensão da força de trabalho a clicar em iscas de phishing | CISA |
| NCSC | alerta que simulações de phishing costumam estar super-representadas nas defesas | não especificado | não especificado | pacote de treinamento para o pessoal sobre senhas fortes, proteção de dispositivos, defesa contra phishing e reporte de incidentes | defesa contra phishing e reporte de incidentes | além de quantas pessoas clicaram, medir quantas reportaram, e não repreender quem tem dificuldade para reconhecer phishing, porque o medo de retaliação pode fazer com que não reportem | NCSC |
| ENISA | recomenda medir o comportamento de cibersegurança, fazer avaliações regulares de tendências e desafios e planejar campanhas de conscientização como partes de um programa de conscientização | as campanhas devem se repetir pelo menos seis vezes | mensagens dirigidas a públicos específicos por meio dos canais e dispositivos que preferem | campanhas, simulações regulares de phishing, avaliação inicial antes da intervenção | não especificado | definir métricas antes de desenhar as atividades, percentual de redução de incidentes, quantidade de incidentes reportados, quantidade de resultados positivos em testes e nível de conhecimento ampliado | ENISA |
| Chile segundo Fensivo | para provedores de serviços essenciais e operadores de importância vital, descreve uma obrigação de capacitação e conscientização contínua | contínua | não especificado | deve ser planejada, executada e documentada dentro de um sistema de gestão de segurança da informação mantido continuamente | não especificado | a falta de registros de ações e programas de capacitação conta como descumprimento | Fensivo |
Por que o curso anual já não basta?
A PCI DSS v4.0 define obrigações concretas. Segundo a norma, o programa deve ser revisado pelo menos uma vez a cada 12 meses, o treinamento deve ocorrer na contratação e pelo menos uma vez a cada 12 meses, e também deve ser obtido, ao menos uma vez por ano, o reconhecimento de que a pessoa leu e entendeu as políticas e procedimentos de segurança.
Mas a própria orientação do PCI Security Standards Council vai além disso na prática: a conscientização deve ser um programa contínuo, e não uma atividade anual isolada, para manter o nível de atenção diariamente. A leitura da Whalemate é que o mínimo anual atende ao cumprimento documental, mas não demonstra gestão sustentada do risco humano.
O que a ISO acrescenta que um curso não resolve?
A ISO/IEC 27001:2022, na cláusula 7.3 de Awareness, exige que as pessoas conheçam a política de segurança da informação, sua contribuição para a eficácia do sistema e as consequências de não cumprir os requisitos, segundo o texto público da norma. Isso desloca o foco de participar de uma capacitação para demonstrar que a organização conseguiu gerar compreensão relevante para o sistema de gestão.
A ISO/IEC 27002:2022, no controle 6.3, acrescenta que o pessoal e as partes interessadas relevantes devem receber informação, educação e capacitação apropriadas, com atualizações periódicas conforme a função, segundo a cópia pública do controle. A norma também lista canais físicos e virtuais, de campanhas e cartazes a newsletters, briefings, e-learning e e-mails. A leitura da Whalemate é que a ISO empurra para um programa segmentado e multimodal, não para um módulo uniforme para toda a organização.
Awareness e training são a mesma coisa?
O NIST diz que não. Segundo o glossário do NIST, awareness busca direcionar a atenção para a segurança e permitir reconhecer problemas e responder, enquanto training é mais formal e procura desenvolver conhecimento e habilidades para o desempenho no trabalho.
A diferença importa para orçamento, desenho e evidência. Segundo a NIST SP 800-50 Rev. 1, awareness and training é um programa fundamental para todo o pessoal, e a capacitação pode incluir cursos conduzidos por instrutor ou online, exercícios ou outros métodos. A leitura da Whalemate é que misturar os dois conceitos em um único curso costuma produzir programas que nem mudam comportamento nem desenvolvem capacidades específicas por função.
O que está sendo medido hoje e o que o NIST critica?
Em uma pesquisa com organizações federais citada pelo NIST, a conclusão do treinamento foi a medida de efetividade mais usada, com 84%, e a taxa de clique em simulações de phishing foi a segunda, com 72%. Isso mostra como muitas organizações ainda avaliam o programa com duas métricas fáceis de auditar.
Mas o NIST alerta que programas de phishing costumam usar a taxa de clique como métrica única, e defende que os exercícios considerem o fator humano e o contexto para avaliar efetividade e progresso. Segundo a NIST Phish Scale, além de cliques, devem ser consideradas taxas de reporte, reincidência de cliques e usuários protetores. A leitura da Whalemate é que um painel baseado apenas em completion rate e click rate simplifica a auditoria, mas empobrece a decisão de risco.
A taxa de clique serve como KPI principal?
Serve, mas, quando mal usada, pode confundir mais do que esclarecer. A Proofpoint sustenta que a taxa de clique nos testes de phishing, sozinha, não deve representar o impacto nem o sucesso de um programa de conscientização, embora tenha reportado uma taxa média de falha de 4,93% em todas as organizações e campanhas analisadas.
O NCSC segue na mesma direção. Segundo o órgão, além de medir quantas pessoas clicaram, é preciso medir quantas reportaram, e medir apenas a ausência de reportes pode incentivar funcionários a esconder problemas. A leitura da Whalemate é que a taxa de clique pode ser um sinal útil, mas não um KPI central nem base disciplinar.
O que as simulações mostram quando são contextualizadas?
A UNICC traz um dado importante para não comparar campanhas como se fossem equivalentes. Segundo a organização, usando a dificuldade NIST em seu relatório, a taxa de clique foi de 5,74% para mensagens de dificuldade baixa, 12,10% para dificuldade média e 36,15% para dificuldade alta.
Esse contraste torna arriscado usar benchmarks sem normalizar a dificuldade ou a população. A comparação com a taxa média de falha de 4,93% reportada pela Proofpoint não pode ser lida como se ambas as cifras medissem exatamente a mesma coisa, porque a própria fonte da Proofpoint esclarece que o número depende das campanhas e da população do estudo. A leitura da Whalemate é que um benchmark sem contexto de dificuldade pode levar a premiar campanhas fáceis e punir campanhas melhor desenhadas.
