Pontuação de risco humano: como medir o risco de segurança que vem das pessoas

Equipes de segurança sabem de cor o tempo de aplicação de patches, a cobertura do EDR e a pontuação CVSS de cada vulnerabilidade pendente. Mas, se você perguntar quanto risco está sentado na quarta mesa da fileira do financeiro, a maioria não tem um número. E isso enquanto o Data Breach Investigations Report 2026 da Verizon (DBIR) aponta o elemento humano em 62% das violações.

A pontuação de risco humano existe justamente para corrigir esse desequilíbrio: um único número, atualizado continuamente, que faz pelas pessoas o que o CVSS faz pelo software. Ela torna o risco comparável, rastreável e acionável. Neste guia vemos o que deve entrar na pontuação, como montar uma que resista ao contato com a realidade e quais erros transformam uma métrica útil em enfeite.

Por que colocar um número no risco humano

São três motivos, em ordem de importância.

Priorização. Nenhuma equipe de segurança consegue acompanhar todo mundo individualmente. O estudo publicado no IEEE S&P 2025, com 19.500 colaboradores, mostrou que o treinamento anual dado a todos de uma vez quase não muda o comportamento. O que funciona é a intervenção direcionada e no momento certo. E para direcioná-la você precisa saber para quem; é isso que a pontuação diz.

Comunicação. O conselho não lê relatórios de cliques de phishing; lê linhas de tendência. Uma pontuação que cai de 68 para 41 em dois trimestres é uma história que o CISO conta em um único slide, e transforma a conscientização de uma linha de custo em um programa de redução de risco medido. É também o argumento central da nossa análise sobre o retorno do investimento em conscientização.

Estratégia. O Gartner prevê que, até 2027, metade dos CISOs de grandes empresas terá adotado práticas de design de segurança centradas nas pessoas. O NIST SP 800-50r1 define a conscientização não como um evento anual, mas como um programa contínuo e medido. As duas tendências pressupõem medição. Um programa centrado nas pessoas não se gerencia no olho.

Uma pontuação de risco humano não é uma nota que você dá aos colaboradores. É um sistema de priorização que você entrega à sua equipe de segurança.

O que a pontuação deve conter

Uma pontuação defensável combina duas dimensões: o comportamento (o que as pessoas realmente fazem) e a exposição (o que acontece se elas errarem). Um colaborador que clica em qualquer isca, mas não tem acesso a nada sensível, é um problema menor do que um administrador de domínio que clica de vez em quando.

Duas notas de desenho sobre essa tabela. Primeira: a dificuldade importa. Clicar em uma isca grosseira não é o mesmo sinal que clicar em um e-mail de spear phishing impecável. A NIST Phish Scale foi criada justamente para graduar quão difícil é detectar cada e-mail de phishing; pondere as falhas (e os reportes) por essa graduação. Segunda: reportar é um sinal positivo e deve reduzir o risco de forma visível. Uma equipe que clica de vez em quando mas reporta em poucos minutos é operacionalmente mais segura do que uma que nunca clica mas nunca reporta, porque o reporte é o que dá à sua equipe de segurança a chance de barrar as mensagens que passaram pelo filtro.

Como montar uma pontuação em cinco passos

1. Defina a unidade e a escala. Pontue pessoas, mas aja no nível agregado: equipe, área, unidade. Uma escala de 0 a 100 com faixas nomeadas é muito mais fácil de explicar do que probabilidades brutas. Decida desde o início se pontuação alta significa mais risco e nunca mude isso.

2. Comece com os sinais que você já tem. A maioria das empresas consegue calcular uma primeira versão só com os resultados da simulação de phishing, os registros de treinamento, o registro de MFA e o monitoramento de vazamentos. Não espere pela telemetria perfeita. Uma pontuação honesta com quatro sinais vale mais do que um slide de roadmap que promete catorze.

3. Pondere comportamento acima de atitude, e o recente acima do antigo. Ações observadas (clicou, reportou, reutilizou a senha) devem pesar mais do que respostas a questionários. Aplique um peso que decai com o tempo: o efeito do treinamento enfraquece em poucos meses, então um erro da semana passada deve pesar muito mais do que um do ano passado. As melhorias também precisam aparecer rápido o bastante para que os colaboradores sintam que o esforço conta.

4. Calibre contra a realidade. A pontuação é uma previsão; teste-a como tal. Os usuários com pontuação alta correspondem de fato a mais incidentes, mais detecções de malware e mais tentativas reais de phishing contra eles? Se, depois de alguns trimestres, a faixa mais alta da pontuação não explicar uma parte desproporcional dos incidentes reais, revise os pesos. É isso que separa um modelo de risco de uma métrica de vitrine.

5. Ligue a pontuação à intervenção, não à punição. O resultado da pontuação deve ser uma ação: usuários cujo risco sobe passam automaticamente para simulações mais frequentes e difíceis e para treinamentos curtos e direcionados; para usuários no nível crítico com acessos privilegiados, as políticas de acesso condicional ficam mais rígidas. O que ela nunca deve disparar é um processo disciplinar. No momento em que a pontuação é usada para punir, os colaboradores param de reportar, a qualidade dos seus dados despenca e a pontuação começa a mentir para você.

Um método publicado como exemplo: os pesos da NOUSEC

Explicar o método é fácil; publicar os pesos exige coragem. Por isso publicamos abertamente como a nossa própria pontuação é calculada. O NOUSEC Human Risk Score vai de 0 a 100 e tem sete componentes:

As faixas são: Campeão 0–25, Aprendiz 26–50, Em risco 51–74 e Crítico 75–100. É aqui que os dois princípios anteriores se concretizam: reportar reduz a pontuação, e os dados de vazamentos não são registrados como falha pessoal.

Erros que afundam programas de pontuação

A armadilha do sinal único: uma pontuação baseada só na taxa de cliques pode mudar 30 pontos por causa de um único modelo de e-mail com sorte ou azar. A armadilha da caixa-preta: uma pontuação que ninguém sabe explicar desmorona na primeira objeção; toda pontuação mostrada a um colaborador deve poder ser aberta em seus componentes quando ele pedir. A armadilha do ranking: publicar uma lista dos "colaboradores mais perigosos" transforma uma ferramenta de segurança em um problema de clima organizacional. Compartilhe as tendências por equipe de forma ampla e o detalhe individual com um círculo restrito.

A privacidade precisa fazer parte do desenho, não ser uma nota de rodapé no final. Os dados de simulação e de pontuação são dados pessoais dos colaboradores e entram no escopo da LGPD. Na prática, isso significa informar aos colaboradores o que é medido e com qual finalidade, limitar os dados a essa finalidade, envolver desde o início o jurídico e o encarregado de dados (DPO) e não fazer da pontuação a única base de decisões automatizadas. A postura mais defensável coincide com a regra anterior: a pontuação se liga à intervenção, não à punição.

Como apresentar a pontuação ao conselho

O conselho faz as mesmas três perguntas em toda reunião, e uma pontuação bem construída responde às três em uma única página.

"Onde estamos hoje?" Uma única pontuação atual para a empresa inteira e uma abertura por área que mostre onde o risco se concentra. Na maioria das empresas, a concentração aparece onde se esperaria: equipes financeiras com alçada de pagamento, assistentes executivos, recém-contratados. Não basta mostrar o número; mostre também qual componente o faz subir.

"Estamos melhorando?" Uma linha de tendência mês a mês. Aqui o importante é reportar o resultado, não a atividade. "Neste trimestre foram concluídos 4.000 treinamentos" é uma frase de atividade; "a pontuação do financeiro saiu da faixa Em risco para a faixa Aprendiz" é uma frase de resultado. O conselho pergunta pela segunda.

"Como estamos em relação aos outros?" A comparação setorial. Use aqui apenas dados de referência com fonte, edição e ano conhecidos; uma "média do setor" sem fonte que a sustente vai custar a sua credibilidade na primeira pergunta.

Uma última recomendação: associe cada mudança da pontuação a uma ação. "A pontuação subiu, aquela equipe recebeu esta simulação e este treinamento, e dois meses depois estava aqui" apresenta o risco humano como uma linha de risco gerenciável.

Da pontuação ao programa

A pontuação de risco humano é o tecido conectivo de um programa de gestão de risco humano: os dados das simulações e da vida real alimentam a pontuação, a pontuação direciona o treinamento adaptativo e os controles, e a mudança de comportamento resultante volta a aparecer na pontuação. Quando esse ciclo roda continuamente, você obtém o que os programas de conscientização estáticos nunca conseguiram entregar: uma resposta que pode ser apresentada ao conselho e confrontada com os fatos para a pergunta "o nosso risco humano está caindo?".

Se você quer ver o comportamento nas simulações, a higiene de credenciais e os sinais de treinamento em uma única pontuação calculada continuamente, o NOUSEC Human Risk Score foi feito exatamente para isso.