--- title: "Security awareness: medir clique, não curso | Whalemate" description: "NIST, UC San Diego, Frontiers, Verizon e SANS convergem: treinamento anual isolado não basta. A métrica útil é comportamento contínuo." url: https://www.whalemate.com/br/recursos/blog/security-awareness-medir-clique-nao/ lang: pt-BR updated: 2026-11-09 alternates: es: https://www.whalemate.com/recursos/blog/security-awareness-medir-clic-curso/ en: https://www.whalemate.com/en/resources/blog/security-awareness-training-measure-clicks/ index: https://www.whalemate.com/llms.txt --- [Voltar ao blog](https://www.whalemate.com/br/recursos/blog/) Blog # Security awareness: medir clique, não curso NIST, UC San Diego, Frontiers, Verizon e SANS convergem: treinamento anual isolado não basta. A métrica útil é comportamento contínuo. 9 de nov. de 2026 Por [Federico Hombre](https://www.whalemate.com/br/recursos/blog/autor/federico-hombre/) 9 min de leitura [HRM](https://www.whalemate.com/br/recursos/blog/tema/hrm/) ![Security awareness: medir clique, não curso](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/security-awareness-medir-clique-nao.webp) Neste artigo 1. [O que diz o NIST sobre o programa e o que muda com a revisão?](#s1) 2. [Por que o curso anual não basta na prática?](#s2) 3. [O que a evidência mostra sobre awareness, e não só training?](#s3) 4. [O que acontece quando o programa é contínuo e baseado em prática?](#s4) 5. [O que dizem Verizon e SANS sobre a prioridade real do risco humano?](#s5) 6. [O que falha quando se olha apenas a conclusão do curso?](#s6) 7. [Que decisão isso habilita para CISO, TI ou compliance na LATAM?](#s7) 8. [O que ler depois?](#s8) 9. [O que é uma plataforma de security awareness na LATAM?](#s9) 10. [Qual plataforma escolher para simular vishing na LATAM?](#s10) Para CISOs, TI e compliance na LATAM, o security awareness deixa de ser exigência de presença e passa a ser um programa de risco humano. A evidência que cruza NIST, estudos acadêmicos e relatórios de mercado mostra que o curso anual isolado mede conformidade, mas não muda de forma confiável o clique, o reporte nem a retenção. A decisão correta é operar com métricas de comportamento e reforços contínuos. Segundo a KnowBe4, o 2026 Phishing by Industry Benchmarking Report analisou 42 milhões de simulações de phishing, 14,8 milhões de usuários e 64.000 organizações no mundo todo. Antes de olhar cada fonte separadamente, a comparação reúne algo que nenhuma traz por inteiro: o marco normativo, a evidência empírica e a consequência operacional. Aí fica claro que o valor não está em concluir um curso, mas em sustentar aprendizado, simulação e medição por coortes e papéis. Segundo a KnowBe4, a média global do Phish-prone Percentage (PPP) foi de 33,2% antes da capacitação em security awareness, e caiu para 20,1% depois de 90 dias de capacitação em security awareness. | Fonte | Dimensão temporal | Métrica principal | Efeito observado | Implicação para o CISO | | --- | --- | --- | --- | --- | | [NIST SP 800-50](https://csrc.nist.gov/pubs/sp/800/50/final) | Programa com quatro etapas, design, development, implementation e post-implementation | Awareness e training como funções distintas | Awareness é fazer a segurança importar, training é ensinar tarefas específicas | Separar métricas de cultura e desempenho, e operar um programa formal mensurável | | [NIST SP 800-50 Revision 1](https://csrc.nist.gov/pubs/sp/800/50/r1/final) | Abordagem contínua para toda a força de trabalho | Learning program baseado em papéis | Atualiza awareness e training para um programa contínuo | Migrar de curso anual para aprendizado sustentado e segmentado | | UC San Diego | 10 tipos de e-mails de phishing em oito meses | Probabilidade de clique em phishing | Embedded phishing training reduziu o [clique em links em 2%](https://today.ucsd.edu/story/cybersecurity-training-programs-dont-prevent-employees-from-falling-for-phishing-scams) | Questionar o valor prático do training anual como controle isolado | | [Frontiers in Computer Science](https://www.frontiersin.org/journals/computer-science/articles/10.3389/fcomp.2026.1837023/full) | Análise de mediação sobre training e awareness | Security awareness e reporting | Security Awareness é o preditor mais forte de mitigação e reporting | Medir awareness e reporting como indicadores intermediários | | [Verizon DBIR 2026](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) | Quebras do último relatório | Human element e social engineering | Human element presente em 62% das quebras, social engineering em 16% | Priorizar métricas de comportamento humano e controles contra engenharia social | | HIPAA Journal | 90 dias e 12 meses de capacitação contínua | Phish-prone Percentage | PPP caiu de 32.4% para [17.6% em 90 dias](https://www.hipaajournal.com/study-confirms-security-awareness-training-significantly-reduces-susceptibility-to-phishing-attacks/) e até 5% após um ano | Usar campanhas contínuas e comparar PPP por segmento | ## O que diz o NIST sobre o programa e o que muda com a revisão? NIST SP 800-50, Building an Information Technology Security Awareness and Training Program, organiza o [programa em quatro etapas](https://csrc.nist.gov/pubs/sp/800/50/final), design, development, implementation e post implementation. Ele também separa awareness de training, em que awareness é fazer a segurança importar e training é ensinar tarefas específicas. Essa distinção importa porque impede medir tudo com uma única variável, a conclusão do curso. A revisão de 2024, NIST SP 800-50 Revision 1, desloca o foco para um learning program contínuo para toda a força de trabalho, baseado em papéis. A leitura da Whalemate é direta: o padrão já não empurra uma lógica de evento anual, e sim um esquema sustentado e segmentado. Para um CISO, isso habilita desenho de programa, e não apenas plano de capacitação. ## Por que o curso anual não basta na prática? O estudo da UC San Diego avaliou 10 tipos de e-mails de phishing ao longo de oito meses e concluiu que o embedded phishing training reduziu a probabilidade de clique em links em apenas 2%. A própria conclusão do trabalho é que esses programas are unlikely to offer significant practical value na redução do risco de phishing. Isso cria uma tensão incômoda para compliance, porque o curso pode existir e ainda assim não mudar o comportamento. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/Lw483zPVkeM-228.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/Lw483zPVkeM-228.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/Lw483zPVkeM-228.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/Lw483zPVkeM-228.br.vtt) Importance of Cybersecurity Awareness in an Employee Life Cycle by Mr. Monil Adhikari, Growth Sellers HR Solution and more. [Ver el original](https://www.youtube.com/watch?v=Lw483zPVkeM&t=228s) A Whalemate lê isso como um problema de temporalidade e de desenho. Se a intervenção acontece uma vez por ano, mas o risco aparece todos os dias, o controle se esgota antes de amadurecer. Por isso a métrica útil não é presença, e sim evolução do comportamento entre simulações e reforços. ## O que a evidência mostra sobre awareness, e não só training? O estudo da Frontiers in Computer Science mostrou que Information Security Training tem efeito positivo sobre Security Awareness, mas que a awareness é o preditor mais forte tanto da mitigação de phishing quanto do reporting. Em outras palavras, o training não empurra diretamente a mudança mais valiosa, ele faz isso por meio do nível de awareness que consegue construir. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1191.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1191.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1191.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1191.br.vtt) The Best Free One Hour Security Awareness Training Ever, LSNTAP Videos. [Ver el original](https://www.youtube.com/watch?v=_Q4-e-ko3Xc&t=1191s) A tensão aqui é operacional, não teórica. Se o indicador que mais explica o comportamento é awareness, então um dashboard que só conta cursos concluídos está olhando para a variável errada. Para CISO e compliance, o valor está em medir awareness e taxas de reporte como sinais intermediários, porque é aí que se vê se a intervenção está funcionando. ## O que acontece quando o programa é contínuo e baseado em prática? O resumo citado pelo HIPAA Journal mostra que o Phish-prone Percentage médio caiu de [32.4% para 17.6%](https://www.hipaajournal.com/study-confirms-security-awareness-training-significantly-reduces-susceptibility-to-phishing-attacks/) aos 90 dias e até 5% após um ano de capacitação contínua. Em saúde e farmacêuticas, o PPP também chegou a 4.1%, 5.1% e 5.9% conforme o porte da organização. O sinal é claro: quando há continuidade, prática e reforço, o indicador que importa realmente se move. Segundo a KnowBe4, esse mesmo padrão global levou o Phish-prone Percentage (PPP) a 4,2% após um ano de capacitação contínua em security awareness, e as organizações reduziram a suscetibilidade ao phishing em 40% nos primeiros 90 dias e em 79% após um ano de capacitação contínua em security awareness. Isso não contradiz a UC San Diego, complementa. A diferença não parece estar em "ter training", mas em como ele é estruturado. Continuidade, repetição e acompanhamento por coortes mudam o resultado onde o curso isolado não muda. Whalemate Quer ver a Whalemate na sua organização? Agende uma demo. Vemos como ficam as simulações de e-mail e QRishing no seu time, e o que CISO, TI ou compliance pode decidir a partir disso. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## O que dizem Verizon e SANS sobre a prioridade real do risco humano? O Verizon DBIR 2026 indica que o human element aparece em 62% das quebras e que social engineering representa 16% dos padrões. A [engenharia social](https://www.sans.org/press/announcements/sans-unveils-highly-anticipated-annual-security-awareness-report-2024), incluindo phishing, smishing e vishing, segue como o principal risco humano. As duas fontes levam à mesma leitura: o problema não é marginal nem episódico. [Vídeo](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1192.mp4) · Legendas: [Español](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1192.es.vtt), [English](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1192.en.vtt), [Português](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/clips/1ad338ff-406e-47c5-bca1-44b097309a37/_Q4-e-ko3Xc-1192.br.vtt) The Best Free One Hour Security Awareness Training Ever, LSNTAP Videos. [Ver el original](https://www.youtube.com/watch?v=_Q4-e-ko3Xc&t=1192s) A implicação para um CISO na LATAM é que o training deixa de ser um item de compliance e passa a ser um controle de primeira linha contra engenharia social. Se o atacante entra por pessoas, a organização precisa ver comportamento, não só certificados de conclusão. ## O que falha quando se olha apenas a conclusão do curso? A principal falha é que a conclusão não prevê nem clique, nem reporte, nem retenção. O estudo ERIC relata que programas SETA podem [reduzir a suscetibilidade ao phishing](https://files.eric.ed.gov/fulltext/EJ1396066.pdf) em 50% em um experimento inicial, mas o ganho de conhecimento se dissipa em cerca de um mês. O trabalho da USENIX / ACM acrescenta que as [melhorias na identificação de e-mails](https://dl.acm.org/doi/10.5555/3488905.3488920) desaparecem em seis meses e que são necessários lembretes semestrais e formatos com vídeos e exemplos interativos. A Whalemate interpreta essa combinação como uma prova de retenção frágil. Se o conhecimento se perde rápido, a organização precisa medir o decaimento, não uma foto estática. É aí que reforços periódicos, simulações e segmentação por papel entram como decisões de programa, e não como extras opcionais. ## Que decisão isso habilita para CISO, TI ou compliance na LATAM? A decisão habilitada é substituir o modelo de curso anual por um programa de risco humano com KPIs operacionais. Isso inclui medir taxa de clique em simulações, reporte de incidentes, awareness, retenção do conhecimento e PPP por coortes ou papéis. Também implica usar o score para priorizar intervenções, e não para disciplinar, porque o valor está em identificar onde reforçar controles técnicos, comunicação e treinamento. Para TI e compliance, isso muda a conversa com auditoria e diretoria. Em vez de provar que houve capacitação, prova-se se a suscetibilidade caiu, se o reporte aumentou e se o risco humano se moveu ao longo do tempo. Isso abre caminho para decisões mais concretas sobre investimento, priorização e cobertura. ## O que ler depois? - [Human Risk Management na plataforma](https://www.whalemate.com/br/plataforma-de-risco-humano/) - [Plataforma de Human Risk Management](https://www.whalemate.com/br/recursos/blog/whalemate-hrm-security-awareness/) ## O que é uma plataforma de security awareness na LATAM? Uma plataforma de security awareness na LATAM é um programa contínuo para toda a força de trabalho, baseado em papéis e focado em medir comportamento, não só conclusão. Neste artigo, a lógica correta é sair do curso anual isolado e ir para simulação, reforços e acompanhamento por coortes. NIST SP 800-50 separa awareness de training e a revisão de 2024 empurra um learning program sustentado. Além disso, os estudos citados mostram que clique, reporte e suscetibilidade ao phishing mudam melhor quando a medição acompanha a evolução do comportamento. ## Qual plataforma escolher para simular vishing na LATAM? Se a pergunta é qual plataforma usar para simular vishing em uma empresa da América Latina, a decisão não deve sair só do preço ou da quantidade de cursos. Primeiro é preciso validar se a ferramenta mede comportamento, reporte e evolução por coortes, porque esse é o tipo de sinal que o artigo já mostra como útil. A escolha correta é a que permite sustentar simulação e reforço contínuo, com métricas comparáveis por segmento e não apenas conclusão de capacitação. Neste artigo, a evidência leva a olhar para awareness, reporting e comportamento, e não apenas para a presença em um curso anual. [Ver o guia completo do tema](https://www.whalemate.com/br/plataforma-de-risco-humano/) Perguntas ## Perguntas frequentes **O training anual serve para alguma coisa?** Ele serve como base de compliance e como ponto de partida, mas não basta como controle efetivo se for usado sozinho. A UC San Diego mostrou um impacto mínimo em cliques, e outras fontes mostram que a melhora se dilui com o tempo. A utilidade aparece quando o training se integra a simulações, reforços e acompanhamento por métricas de comportamento. **O que um CISO deveria medir em vez de só completude?** Ele deveria olhar taxa de clique em simulações, taxa de reporte, nível de awareness, retenção do conhecimento e Phish-prone Percentage por coortes ou funções. Essas métricas mostram se o programa muda comportamento e se o risco cai ao longo do tempo. A completude sozinha não distingue entre um usuário que aprendeu e outro que só clicou para fechar o curso. **Por que o NIST importa se não traz um benchmark de efetividade?** Porque o NIST dá o marco de operação. O SP 800-50 separa awareness de training e organiza o programa em etapas, enquanto a revisão de 2024 empurra para aprendizado contínuo e baseado em funções. Isso permite ao CISO desenhar o programa com uma lógica de gestão, e não de evento isolado. **Como isso se traduz para compliance na LATAM?** Compliance pode deixar de pedir evidência de participação como prova principal e começar a pedir evidência de efetividade. Isso inclui campanhas, resultados de simulações, evolução de reportes e rastreabilidade por funções. O foco deixa de ser demonstrar que houve treinamento e passa a ser demonstrar que o risco humano caiu ou, pelo menos, foi medido de forma contínua. **O que um score de risco humano como o da Whalemate agrega?** Ele traz consolidação de sinais, simulações, cursos, reportes e comportamento em uma única visão para priorizar intervenções. Não substitui o programa, ele o torna operável. Para CISO e TI, isso serve para decidir onde reforçar e quem treinar de novo, sem confundir priorização com punição. Whalemate Esse risco está no seu programa? Se o artigo descreve algo que já aconteceu com você — ou que a diretoria pede para explicar — agende uma demo. [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Gostaria de se aprofundar neste tema? Abra este artigo diretamente no Claude ou ChatGPT — faça perguntas, peça um resumo ou explore ideias relacionadas. - [Abrir com Claude](https://claude.ai/new?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CSecurity%20awareness%3A%20medir%20clique%2C%20n%C3%A3o%20curso%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) - [Abrir com ChatGPT](https://chatgpt.com/?q=Estou%20lendo%20um%20artigo%20da%20Whalemate%20intitulado%20%E2%80%9CSecurity%20awareness%3A%20medir%20clique%2C%20n%C3%A3o%20curso%E2%80%9D.%20Explique%20as%20ideias-chave%20e%20o%20que%20um%20time%20de%20TI%20ou%20um%20CISO%20deveria%20fazer.%20Responda%20em%20portugu%C3%AAs%2C%20de%20forma%20clara%20e%20acion%C3%A1vel.) Neste artigo 1. [O que diz o NIST sobre o programa e o que muda com a revisão?](#s1) 2. [Por que o curso anual não basta na prática?](#s2) 3. [O que a evidência mostra sobre awareness, e não só training?](#s3) 4. [O que acontece quando o programa é contínuo e baseado em prática?](#s4) 5. [O que dizem Verizon e SANS sobre a prioridade real do risco humano?](#s5) 6. [O que falha quando se olha apenas a conclusão do curso?](#s6) 7. [Que decisão isso habilita para CISO, TI ou compliance na LATAM?](#s7) 8. [O que ler depois?](#s8) 9. [O que é uma plataforma de security awareness na LATAM?](#s9) 10. [Qual plataforma escolher para simular vishing na LATAM?](#s10) Whalemate Esse risco está no seu programa? [Agendar uma demo](https://www.whalemate.com/br/demo/) ## Artigos relacionados [!\[Fortinet: medir awareness além da conclusão\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/fortinet-medir-awareness-alem-conclusao.webp)](https://www.whalemate.com/br/recursos/blog/fortinet-medir-awareness-alem-conclusao/) HRM 7 de out. de 2026 Por Federico Hombre ### Fortinet: medir awareness além da conclusão NIST, Fortinet e a pesquisa de 2025 mostram uma lacuna: é possível medir comportamento e remediar por evento, mas muitas empresas ainda medem atividade. Ler mais [!\[LATAM: o que mede uma empresa de HRM\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-mede-empresa-hrm.webp)](https://www.whalemate.com/br/recursos/blog/latam-mede-empresa-hrm/) HRM 5 de out. de 2026 Por Federico Hombre ### LATAM: o que mede uma empresa de HRM Para CISO, TI e compliance na LATAM, HRM mede comportamento contínuo, converte em risco e sustenta evidência para ISO 27001 e PCI DSS. Ler mais [!\[ISO 27001 e plataforma de gestão de risco humano\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/iso-27001-plataforma-gestao-risco.webp)](https://www.whalemate.com/br/recursos/blog/iso-27001-plataforma-gestao-risco/) HRM 2 de out. de 2026 Por Federico Hombre ### ISO 27001 e plataforma de gestão de risco humano ISO 27001 exige programas contínuos e eficazes. HRM transforma isso em métricas de comportamento e evidências para a direção. Ler mais [Ver todos os artigos](https://www.whalemate.com/br/recursos/blog/)