--- title: "PCI, ISO e NIST: awareness não é curso anual | Whalemate" description: "ISO, NIST, PCI DSS, CISA e ENISA convergem para um programa contínuo e por função. Só conclusão ou clique não prova efetividade." url: https://www.whalemate.com/br/recursos/blog/pci-iso-nist-awareness-nao/ lang: pt-BR updated: 2026-11-13 alternates: es: https://www.whalemate.com/recursos/blog/pci-iso-nist-awareness-curso/ en: https://www.whalemate.com/en/resources/blog/pci-iso-nist-awareness-not/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # PCI, ISO e NIST: awareness não é curso anual ISO, NIST, PCI DSS, CISA e ENISA convergem para um programa contínuo e por função. Só conclusão ou clique não prova efetividade. 13 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 13 min de leitura [Conscientização](https://www.whalemate.com/br/recursos/blog/tema/conscientizacao/) ![PCI, ISO e NIST: awareness não é curso anual](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-iso-nist-awareness-nao.webp) Neste artigo 1. [O que muda quando os marcos são comparados juntos](#s1) 2. [Por que o curso anual já não basta?](#s2) 3. [O que a ISO acrescenta que um curso não resolve?](#s3) 4. [Awareness e training são a mesma coisa?](#s4) 5. [O que está sendo medido hoje e o que o NIST critica?](#s5) 6. [A taxa de clique serve como KPI principal?](#s6) 7. [O que as simulações mostram quando são contextualizadas?](#s7) 8. [As simulações estão super-representadas?](#s8) 9. [A evidência de melhora é sólida ou é contestada?](#s9) 10. [Quais métricas resistem melhor a auditoria e à decisão de risco?](#s10) 11. [Qual conteúdo mínimo o programa deveria cobrir?](#s11) 12. [O que isso implica para a América Latina, compliance e proteção de dados?](#s12) 13. [Consequência operacional para CISO, TI e compliance na América Latina](#s13) 14. [O que ler em seguida?](#s14) A visão de cyber security awareness training a partir de ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST, PCI DSS v4.0, CISA, NCSC e ENISA não comporta um curso anual medido apenas por taxa de conclusão. O cruzamento entre marcos normativos e evidência operacional aponta outra direção: o programa precisa ser contínuo, ajustado ao papel de cada pessoa, distribuído em múltiplos canais e medido também por comportamento e reporte. Ao mesmo tempo, várias fontes contestam a ideia de que a [taxa de clique](https://www.whalemate.com/br/recursos/blog/nist-medir-awareness/), isoladamente, seja o [principal KPI](https://www.whalemate.com/br/recursos/blog/pci-dss-phishing-vs-spam/) para avaliar risco ou efetividade. ## O que muda quando os marcos são comparados juntos Nenhuma das fontes do material reúne, em uma única visão, o que cada marco exige ou recomenda sobre frequência, adaptação ao papel, canais, conteúdo e evidência. Colocados lado a lado, fica claro que o desafio não é escolher entre curso, simulação ou campanha, e sim desenhar um controle contínuo, auditável e com métricas de comportamento. | Norma | Natureza do programa | Frequência mínima | Adaptação por papel | Canais ou métodos | Conteúdo mínimo | O que medir ou evidenciar | Fonte | | --- | --- | --- | --- | --- | --- | --- | --- | | NIST | Distingue awareness de training. Awareness busca direcionar a atenção para a segurança e permitir reconhecer problemas e responder, enquanto training é mais formal e busca desenvolver conhecimento e habilidades para o desempenho no trabalho. A SP 800-50 Rev. 1 define isso como um programa fundamental de cibersegurança e privacidade para todo o pessoal | não especificado | voltado a fazer com que os participantes entendam seu papel na proteção de ativos de informação, cibersegurança e privacidade | cursos com instrutor ou online, exercícios ou outros métodos | usos aceitáveis e riscos dos sistemas da organização | percentual de participantes que mudaram um comportamento de trabalho, por exemplo relatar um e-mail suspeito de phishing. A NIST Phish Scale contempla taxa de clique, taxa de reporte, reincidência de cliques e usuários protetores. O NIST alerta que taxa de clique, sozinha, não basta | NIST | | ISO/IEC 27001:2022 | exige awareness dentro do sistema de gestão de segurança da informação | não especificado | as pessoas que trabalham sob o controle da organização devem conhecer sua contribuição para a eficácia do sistema de gestão de segurança da informação | não especificado | política de segurança da informação, contribuição para a eficácia do sistema e consequências do não cumprimento dos requisitos | que as pessoas conheçam a política, sua contribuição e as consequências do descumprimento | ISO/IEC 27001:2022 | | ISO/IEC 27002:2022 controle 6.3 | o pessoal e as partes interessadas relevantes devem receber informação, educação e capacitação apropriadas, além de atualizações periódicas sobre políticas e procedimentos conforme sua função | atualizações periódicas | conforme a função | canais físicos ou virtuais, como campanhas, folhetos, cartazes, newsletters, sites, sessões informativas, briefings, módulos de e-learning e e-mails | compromisso da direção, obrigações aplicáveis, responsabilidade pessoal, procedimentos básicos de segurança e pontos de contato para pedir orientação | não especificado | ISO/IEC 27002:2022 controle 6.3 | | PCI DSS v4.0 | a educação sobre conscientização de segurança é uma atividade contínua e exige implementar um programa formal de conscientização | revisão do programa pelo menos uma vez a cada 12 meses, treinamento na contratação e pelo menos uma vez a cada 12 meses, reconhecimento pelo menos uma vez a cada 12 meses | todo o pessoal deve conhecer sua função na proteção dos dados do titular do cartão | usar múltiplos métodos de comunicação | política e procedimentos de segurança da entidade, ameaças e vulnerabilidades que possam afetar a segurança do CDE, incluindo phishing e ataques relacionados, e engenharia social | obter o reconhecimento de que leu e entendeu as políticas e procedimentos de segurança. O PCI SSC recomenda registrar quem faz o treinamento, se conclui com sucesso, a compreensão por meio de avaliações e feedback e reportes de e-mails maliciosos | PCI DSS v4.0 | | CISA | recomenda treinamento básico de cibersegurança e treinamento antiphishing como parte de um programa padrão | pelo menos anual, novos funcionários dentro de 10 dias após o onboarding, revisão anual do material de phishing | para todos os funcionários e contratados | Phishing Campaign Assessment de seis semanas que mede a propensão a clicar em iscas de phishing e cujos resultados podem orientar o treinamento antiphishing | phishing, business email compromise, segurança operacional e senhas, educação sobre engenharia social e phishing, importância de reportar e-mails, links, anexos ou outras iscas suspeitas | propensão da força de trabalho a clicar em iscas de phishing | CISA | | NCSC | alerta que simulações de phishing costumam estar super-representadas nas defesas | não especificado | não especificado | pacote de treinamento para o pessoal sobre senhas fortes, proteção de dispositivos, defesa contra phishing e reporte de incidentes | defesa contra phishing e reporte de incidentes | além de quantas pessoas clicaram, medir quantas reportaram, e não repreender quem tem dificuldade para reconhecer phishing, porque o medo de retaliação pode fazer com que não reportem | NCSC | | ENISA | recomenda medir o comportamento de cibersegurança, fazer avaliações regulares de tendências e desafios e planejar campanhas de conscientização como partes de um programa de conscientização | as campanhas devem se repetir pelo menos seis vezes | mensagens dirigidas a públicos específicos por meio dos canais e dispositivos que preferem | campanhas, simulações regulares de phishing, avaliação inicial antes da intervenção | não especificado | definir métricas antes de desenhar as atividades, percentual de redução de incidentes, quantidade de incidentes reportados, quantidade de resultados positivos em testes e nível de conhecimento ampliado | ENISA | | Chile segundo Fensivo | para provedores de serviços essenciais e operadores de importância vital, descreve uma obrigação de capacitação e conscientização contínua | contínua | não especificado | deve ser planejada, executada e documentada dentro de um sistema de gestão de segurança da informação mantido continuamente | não especificado | a falta de registros de ações e programas de capacitação conta como descumprimento | Fensivo | ## Por que o curso anual já não basta? A PCI DSS v4.0 define obrigações concretas. Segundo a norma, o programa deve ser revisado pelo menos uma vez a cada 12 meses, o treinamento deve ocorrer na contratação e pelo menos uma vez a cada 12 meses, e também deve ser obtido, ao menos uma vez por ano, o reconhecimento de que a pessoa leu e entendeu as políticas e procedimentos de segurança. Mas a própria orientação do PCI Security Standards Council vai além disso na prática: a conscientização deve ser um [programa contínuo](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-50r1.pdf), e não uma atividade anual isolada, para manter o nível de atenção diariamente. A leitura da Whalemate é que o mínimo anual atende ao cumprimento documental, mas não demonstra gestão sustentada do risco humano. ## O que a ISO acrescenta que um curso não resolve? A ISO/IEC 27001:2022, na [cláusula 7.3 de Awareness](https://www.whalemate.com/br/recursos/blog/iso-27001-2022-exige-awareness/), exige que as pessoas conheçam a política de segurança da informação, sua contribuição para a eficácia do sistema e as consequências de não cumprir os requisitos, segundo o texto público da norma. Isso desloca o foco de participar de uma capacitação para demonstrar que a organização conseguiu gerar compreensão relevante para o sistema de gestão. A ISO/IEC 27002:2022, no controle 6.3, acrescenta que o pessoal e as partes interessadas relevantes devem receber informação, educação e capacitação apropriadas, com [atualizações periódicas](https://service.securitm.ru/docs/iso-iec-27002-2022-en-c6-7/6-3-information-security-awareness-education-and-training) conforme a função, segundo a cópia pública do controle. A norma também lista canais físicos e virtuais, de campanhas e cartazes a newsletters, briefings, e-learning e e-mails. A leitura da Whalemate é que a ISO empurra para um programa segmentado e multimodal, não para um módulo uniforme para toda a organização. ## Awareness e training são a mesma coisa? O NIST diz que não. Segundo o glossário do NIST, awareness busca direcionar a atenção para a segurança e permitir reconhecer problemas e responder, enquanto training é mais formal e procura desenvolver conhecimento e habilidades para o desempenho no trabalho. A diferença importa para orçamento, desenho e evidência. Segundo a NIST SP 800-50 Rev. 1, awareness and training é um programa fundamental para todo o pessoal, e a capacitação pode incluir cursos conduzidos por instrutor ou online, exercícios ou outros métodos. A leitura da Whalemate é que misturar os dois conceitos em um único curso costuma produzir programas que nem mudam comportamento nem desenvolvem capacidades específicas por função. ## O que está sendo medido hoje e o que o NIST critica? Em uma pesquisa com organizações federais citada pelo NIST, a conclusão do treinamento foi a medida de efetividade mais usada, com 84%, e a taxa de clique em simulações de phishing foi a segunda, com 72%. Isso mostra como muitas organizações ainda avaliam o programa com duas métricas fáceis de auditar. Mas o NIST alerta que programas de phishing costumam usar a taxa de clique como métrica única, e defende que os exercícios considerem o fator humano e o contexto para avaliar efetividade e progresso. Segundo a NIST Phish Scale, além de cliques, devem ser consideradas taxas de reporte, reincidência de cliques e usuários protetores. A leitura da Whalemate é que um painel baseado apenas em completion rate e click rate simplifica a auditoria, mas empobrece a decisão de risco. ## A taxa de clique serve como KPI principal? Serve, mas, quando mal usada, pode confundir mais do que esclarecer. A Proofpoint sustenta que a taxa de clique nos testes de phishing, sozinha, não deve representar o impacto nem o sucesso de um programa de conscientização, embora tenha reportado uma taxa média de falha de 4,93% em todas as organizações e campanhas analisadas. O NCSC segue na mesma direção. Segundo o órgão, além de medir quantas pessoas clicaram, é preciso medir quantas reportaram, e medir apenas a ausência de reportes pode incentivar funcionários a esconder problemas. A leitura da Whalemate é que a taxa de clique pode ser um sinal útil, mas não um KPI central nem base disciplinar. ## O que as simulações mostram quando são contextualizadas? A UNICC traz um dado importante para não comparar campanhas como se fossem equivalentes. Segundo a organização, usando a dificuldade NIST em seu relatório, a taxa de clique foi de 5,74% para mensagens de dificuldade baixa, 12,10% para dificuldade média e 36,15% para dificuldade alta. Esse contraste torna arriscado usar benchmarks sem normalizar a dificuldade ou a população. A comparação com a taxa média de falha de 4,93% reportada pela Proofpoint não pode ser lida como se ambas as cifras medissem exatamente a mesma coisa, porque a própria fonte da Proofpoint esclarece que o número depende das campanhas e da população do estudo. A leitura da Whalemate é que um benchmark sem contexto de dificuldade pode levar a premiar campanhas fáceis e punir campanhas melhor desenhadas. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## As simulações estão super-representadas? A CISA as usa como instrumento operacional. Segundo a orientação da agência sobre counter-phishing, um Phishing Campaign Assessment de [seis semanas](https://www.cisa.gov/sites/default/files/publications/Capacity_Enhancement_Guide-Counter-Phishing_Recommendations_for_Federal_Agencies_1_0.pdf) mede a propensão da força de trabalho a clicar em iscas de phishing e seus resultados podem orientar o treinamento antiphishing. O NCSC coloca um freio nessa centralidade. Segundo o órgão, as simulações de phishing costumam estar super-representadas nas defesas, detectar todo phishing é difícil e os spear-phishing são ainda mais difíceis de identificar. A leitura da Whalemate é que a simulação é útil para identificar exposição e segmentar intervenções, mas perde valor quando substitui o programa inteiro. ## A evidência de melhora é sólida ou é contestada? Há evidência de melhora, mas ela não é linear nem suficiente por si só. Segundo a KnowBe4, em dados do fornecedor sobre 67.718.305 simulações, 14.508.441 usuários e 62.460 organizações, a média global de Phish-prone Percentage caiu de 32,9% antes do treinamento para 4,8% depois de 12 meses de treinamento contínuo. A própria natureza da fonte importa, porque não se trata de um estudo independente. No outro extremo, o estudo do arXiv intitulado "Anti-Phishing Training Does Not Work" questiona se o treinamento anti-phishing necessariamente produz o resultado esperado e aponta que uma [taxa de clique isolada](https://www.arxiv.org/pdf/2506.19899) não basta para inferir aprendizado ou redução de risco. A leitura da Whalemate é que a discussão deixou de ser se treinar ou não, e passou a ser que tipo de treinamento, para quem, com qual medição e contra qual comportamento esperado. ## Quais métricas resistem melhor a auditoria e à decisão de risco? A ENISA recomenda definir métricas antes de desenhar as atividades de conscientização para poder avaliar sua efetividade e alcance no curto e no longo prazo. A agência também propõe medir percentual de redução de incidentes, quantidade de incidentes reportados, quantidade de resultados positivos em testes e nível de conhecimento ampliado, segundo seu material prático. A NIST SP 800-50 Rev. 1 propõe medir mudança de comportamento por participante, por exemplo o percentual de participantes que mudaram um comportamento de trabalho, como reportar um e-mail suspeito. O PCI SSC recomenda registrar quem faz o treinamento, se conclui com sucesso, a compreensão por meio de avaliações e feedback e os reportes de e-mails maliciosos. A leitura da Whalemate é que o conjunto mínimo útil combina evidência de conformidade, compreensão e comportamento observável. ## Qual conteúdo mínimo o programa deveria cobrir? O conteúdo depende do marco aplicável, mas há um núcleo comum. Segundo a ISO/IEC 27001:2022, as pessoas devem conhecer a política, sua contribuição para o sistema e as consequências do descumprimento. Segundo a ISO/IEC 27002:2022 controle 6.3, a conscientização deve cobrir compromisso da direção, obrigações aplicáveis, responsabilidade pessoal, procedimentos básicos de segurança e pontos de contato para pedir orientação. Se a organização está sob PCI DSS v4.0, o piso é mais específico. Segundo o requisito 12.6.3.1, o treinamento deve incluir ameaças e vulnerabilidades que possam afetar a segurança do CDE, incluindo phishing e ataques relacionados, e engenharia social. A CISA recomenda ainda cobrir phishing, business email compromise, segurança operacional e senhas. A leitura da Whalemate é que o conteúdo deve partir do mapa de risco e do marco aplicável, não de um catálogo genérico do fornecedor. ## O que isso implica para a América Latina, compliance e proteção de dados? No Brasil, a LGPD, Lei 13.709, exige que os agentes de tratamento ou outras pessoas envolvidas em qualquer fase do tratamento garantam a segurança da informação prevista na lei em relação aos dados pessoais, inclusive após o término do tratamento, segundo a ANPD do Brasil. Além disso, a ANPD publicou diretrizes de segurança da informação para pequenos agentes de tratamento que incluem, segundo a DLA Piper, sugestões como programas de conscientização e capacitação. No Chile, uma fonte da Fensivo descreve para provedores de serviços essenciais e operadores de importância vital uma obrigação de capacitação e conscientização contínuas, e acrescenta que a falta de registros de ações e programas de capacitação conta como descumprimento. Como o próprio material esclarece, isso deve ser lido como interpretação regulatória dessa fonte e não como generalização para toda a América Latina. A leitura da Whalemate é que, mesmo fora do PCI, a exigência regional aponta para programas documentados, contínuos e rastreáveis. ## Consequência operacional para CISO, TI e compliance na América Latina Se o programa fosse redesenhado amanhã, a decisão útil não seria perseguir apenas quem concluiu o curso. O cruzamento entre NIST, ISO/IEC 27001:2022, ISO/IEC 27002:2022, PCI DSS v4.0, CISA, NCSC e ENISA sugere tratar cyber security awareness training como um controle contínuo e auditável, segmentado por função, com onboarding, revisão periódica, múltiplos canais e conteúdo específico sobre phishing e engenharia social quando aplicável. O painel também muda. Segundo ENISA, NIST, NCSC e PCI SSC, vale combinar conclusão e reconhecimento de políticas com métricas de comportamento e risco, como reportes de phishing, mudança de comportamento, incidentes reportados, resultados antes e depois e contexto de dificuldade das simulações. Para equipes de TI, CISO e compliance na América Latina, uma abordagem de [Human Risk Management](https://www.whalemate.com/br/recursos/blog/human-risk-management-mede-habilita/) permite usar esses sinais para priorizar intervenções e evidenciar efetividade sem reduzir o programa a cliques ou presença. ## O que ler em seguida? - [Conscientização na plataforma](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) - [LATAM: o que avaliar em plataformas de awareness](https://www.whalemate.com/br/recursos/blog/latam-avaliar-plataformas-awareness/) - [NIST e CISA explicam engenharia social](https://www.whalemate.com/br/recursos/blog/nist-cisa-explicam-engenharia-social/) [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma/simulacoes-avancadas/) Perguntas ## Perguntas frequentes **Cyber security awareness training é a mesma coisa que um curso anual?** Não. Segundo o NIST, awareness e training não são a mesma coisa, e segundo o PCI SSC a conscientização deve ser um programa contínuo, não uma atividade anual isolada. A ISO/IEC 27002:2022 controle 6.3 também orienta a usar atualizações periódicas e múltiplos canais. Um curso anual pode ser uma peça do programa, não o programa completo. **O que um CISO deveria medir além da taxa de conclusão?** Segundo a NIST SP 800-50 Rev. 1, convém medir mudança de comportamento, por exemplo se aumenta o reporte de e-mails suspeitos. Segundo a ENISA, também servem a diminuição de incidentes, a quantidade de incidentes reportados, os resultados positivos em testes e o conhecimento ampliado. O NCSC acrescenta outra camada: medir reportes além de cliques. **A taxa de clique em phishing simulado basta para demonstrar efetividade?** Não, sozinha não. O NIST alerta que a taxa de clique como métrica única não basta, e a NIST Phish Scale propõe somar contexto e outros sinais, como reportes, reincidência de cliques e usuários protetores. O NCSC e a Proofpoint também questionam usá-la como indicador isolado do sucesso do programa. **O que a PCI DSS v4.0 exige em awareness?** Segundo a PCI DSS v4.0, a conscientização é uma atividade contínua. O requisito 12.6 pede um programa formal, o 12.6.2 exige revisão pelo menos a cada 12 meses, o 12.6.3 exige treinamento na contratação e pelo menos a cada 12 meses, múltiplos métodos de comunicação e reconhecimento anual de políticas, e o 12.6.3.1 exige conteúdo sobre phishing e engenharia social. **Que decisão esta abordagem viabiliza para compliance e IT?** Ela viabiliza passar de uma decisão administrativa, quem concluiu, para uma decisão de risco, quais pessoas, funções ou áreas precisam de intervenção prioritária. Com métricas combinadas de cursos, simulações, reportes e comportamento, a equipe pode segmentar campanhas, ajustar conteúdo, documentar evidências para auditoria e demonstrar que o programa reduz a exposição, não apenas que foi ministrado. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%2C%20ISO%20e%20NIST%3A%20awareness%20n%C3%A3o%20%C3%A9%20curso%20anual%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CPCI%2C%20ISO%20e%20NIST%3A%20awareness%20n%C3%A3o%20%C3%A9%20curso%20anual%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [O que muda quando os marcos são comparados juntos](#s1) 2. [Por que o curso anual já não basta?](#s2) 3. [O que a ISO acrescenta que um curso não resolve?](#s3) 4. [Awareness e training são a mesma coisa?](#s4) 5. [O que está sendo medido hoje e o que o NIST critica?](#s5) 6. [A taxa de clique serve como KPI principal?](#s6) 7. [O que as simulações mostram quando são contextualizadas?](#s7) 8. [As simulações estão super-representadas?](#s8) 9. [A evidência de melhora é sólida ou é contestada?](#s9) 10. [Quais métricas resistem melhor a auditoria e à decisão de risco?](#s10) 11. [Qual conteúdo mínimo o programa deveria cobrir?](#s11) 12. [O que isso implica para a América Latina, compliance e proteção de dados?](#s12) 13. [Consequência operacional para CISO, TI e compliance na América Latina](#s13) 14. [O que ler em seguida?](#s14) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[NITAM pede programa mensurável de insider threat\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/nitam-pede-programa-mensuravel-insider.webp)](https://www.whalemate.com/br/recursos/blog/nitam-pede-programa-mensuravel-insider/) Conscientização 12 de nov. de 2026 Por Federico Hombre ### NITAM pede programa mensurável de insider threat A campanha só faz sentido se setembro virar um programa mensurável de reporte, detecção e resposta, e não cursos isolados. Ler mais [!\[CISA e NIST medem simulações de ciberataque\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/cisa-nist-medem-simulacoes-ciberataque.webp)](https://www.whalemate.com/br/recursos/blog/cisa-nist-medem-simulacoes-ciberataque/) Conscientização 10 de nov. de 2026 Por Federico Hombre ### CISA e NIST medem simulações de ciberataque CISA, NIST e ISO/IEC 27001 apontam o que medir em simulações: cliques, reportes, aberturas, dificuldade Ler mais [!\[Phishing: canal, alvo, controle\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-canal-alvo-controle.webp)](https://www.whalemate.com/br/recursos/blog/phishing-canal-alvo-controle/) Conscientização 9 de nov. de 2026 Por Federico Hombre ### Phishing: canal, alvo, controle Para CISO, TI e compliance, phishing se gerencia por canal, objetivo, controle e métrica, não por uma lista de nomes. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)