O que é gestão de risco humano? Guia prático para equipes de segurança

Firewalls, soluções de EDR e gateways de e-mail melhoram a cada ano. Os atacantes responderam contornando todos eles. O Verizon 2026 Data Breach Investigations Report aponta que 62% das violações envolvem o elemento humano: alguém clicou, alguém foi enganado, alguém reutilizou a mesma senha. Tecnologia sozinha não resolve isso, e um vídeo de compliance assistido uma vez por ano também não.

A gestão de risco humano (em inglês, human risk management, ou HRM) é a disciplina que aplica às pessoas a abordagem que as equipes de segurança já aplicam à infraestrutura: trata os colaboradores como uma superfície de ataque que pode ser medida, pontuada e fortalecida, com dados e de forma contínua.

O problema da abordagem tradicional de conscientização

A maioria das empresas ainda conduz a conscientização em segurança como fazia há dez anos: um módulo de treinamento por ano, um teste de phishing por trimestre e um relatório de conclusão para o auditor. Três problemas estruturais tornam esse modelo ineficaz:

1. Mede atividade, não resultado. A taxa de conclusão diz quem assistiu a um vídeo; não diz quem vai fazer amanhã uma transferência para um golpista.
2. Testa um único canal. Os atacantes migraram há anos para voz, SMS, QR codes e voz com deepfake. Segundo o Global Threat Report 2025 da CrowdStrike, os ataques de vishing cresceram 442% entre o primeiro e o segundo semestre de 2024. Um programa que só testa e-mail deixa de ver boa parte da superfície de ataque atual.
3. Não gera um sinal de risco. Uma taxa de cliques medida como aprovado ou reprovado não pode ser comparada entre áreas, não pode ser acompanhada no tempo e não pode ser apresentada ao conselho ao lado dos outros indicadores de risco.

Há ainda um problema de conteúdo: a pesquisa mostra que o treinamento anual de compliance, sozinho, não muda comportamento. Um estudo de oito meses com mais de 19.500 colaboradores da UC San Diego Health, publicado no IEEE Symposium on Security & Privacy de 2025 (Ho et al.), não encontrou relação significativa entre ter concluído recentemente o treinamento anual e falhar em uma simulação de phishing. Tratamos com que frequência treinar em outro artigo.

O que a gestão de risco humano significa na prática

A gestão de risco humano fecha essa lacuna com um ciclo contínuo. É o mesmo ciclo que o seu programa de gestão de vulnerabilidades já usa, aplicado às pessoas:

1. Simular ataques reais em todos os canais

Em vez de mandar o mesmo e-mail de modelo para todo mundo, você executa simulações realistas, em momentos aleatórios, pelos canais que os atacantes realmente usam: phishing por e-mail, smishing, vishing, ligações com voz deepfake, iscas por WhatsApp, QR codes, iscas físicas com pen drives e fraude de retorno de ligação. Os relatórios de panorama de ameaças da ENISA colocam a engenharia social entre as principais ameaças, justamente porque ela muda de canal mais rápido do que a defesa se adapta.

2. Medir como as pessoas realmente se comportam

Cada simulação gera dados de comportamento: quem interagiu, quem ignorou, quem reportou. A métrica que mais importa é o reporte. Colaboradores que reportam rápido um contato suspeito deixam de ser uma vulnerabilidade e passam a funcionar como uma rede de detecção.

3. Transformar o risco em um único número

Os dados são consolidados em um Human Risk Score por colaborador, área e empresa. É esse número único que torna o risco humano gerenciável: dá para acompanhá-lo no tempo, compará-lo e apresentá-lo à diretoria ao lado do cumprimento de patches e da cobertura de endpoints. A NOUSEC publica a metodologia dessa pontuação: sete componentes, o peso de cada um e o reporte como o único componente que a reduz.

4. Treinar só onde os dados indicam

O microtreinamento adaptativo chega a quem precisa, no canal em que a pessoa falhou e no momento do erro, e não à empresa inteira segundo um calendário arbitrário. Assim os minutos gastos com treinamento ficam baixos e a mudança de comportamento fica alta.

A mudança, em uma frase: programas de conscientização contam quem concluiu o treinamento; a gestão de risco humano mede quem vai cair no próximo ataque real, e corrige isso.

Para saber se um programa funciona, vale olhar taxas publicadas. O relatório Phishing by Industry Benchmarking 2026 da KnowBe4 (42 milhões de simulações enviadas a 14,8 milhões de usuários em 64.000 organizações) indica que empresas sem treinamento partem de uma taxa de propensão ao phishing de 33,2%, que cai para 20,1% após 90 dias de treinamento e simulação combinados e para 4,2% após doze meses. São dados dos próprios clientes de um fornecedor, mas fazem a pergunta certa: você não tem como saber se algo melhora se não mede.

Treinamento de conscientização e gestão de risco humano, lado a lado

Os dois não competem: a gestão de risco humano coloca o treinamento de conscientização dentro de um ciclo de dados. A diferença fica mais clara na pergunta que cada um responde:

A linha mais importante é a da pergunta central. A taxa de conclusão pode chegar a cem por cento e a empresa continuar despreparada para a próxima ligação de vishing. A gestão de risco humano torna essa distância mensurável: mostra qual área falha em qual canal, se o hábito de reportar se consolidou e se o treinamento mudou de fato o comportamento.

Essa medição também torna o próprio treinamento honesto. Quando você consegue ver se um módulo reduz a taxa de cliques, pode abandonar o conteúdo que não funciona e investir no que funciona. Em um programa que só consegue dizer "o treinamento foi ministrado", essa distinção é impossível.

Por que isso importa mais em 2026

A IA generativa removeu o último atrito da engenharia social. O relatório da Verizon de 2026 aponta que o agente de ameaça mediano já usa IA em 15 técnicas de ataque documentadas. A Deloitte projeta que as perdas com fraude por deepfake cheguem a US$ 40 bilhões em 2027; é uma projeção, não uma medição. Iscas impecáveis em qualquer idioma, vozes de executivos clonadas e campanhas multicanal automatizadas significam que a época de "procurar o erro de português" acabou. Um e-mail de phishing em português perfeito já não é raridade.

Os requisitos também sobem. A ISO/IEC 27001 trata conscientização e treinamento (cláusula 7.3 e controle 6.3 do Anexo A) como parte do sistema de gestão. No setor financeiro brasileiro, a Resolução CMN nº 4.893/2021 (alterada pela Resolução CMN nº 5.274/2025), em seu art. 3º, VI, a, inclui na política de segurança cibernética programas de capacitação e de avaliação periódica de pessoal, como mecanismo para disseminar a cultura de segurança; a Resolução BCB nº 85/2021 traz a mesma previsão para instituições de pagamento. Explicamos isso em risco humano em serviços financeiros. Já a LGPD (Lei nº 13.709/2018) exige, no art. 46, medidas de segurança técnicas e administrativas para proteger dados pessoais, e o art. 50 permite, sem obrigar, que controladores e operadores formulem regras de boas práticas e de governança, que podem prever "ações educativas". O que a ISO/IEC 27001 e as resoluções do CMN e do BCB pedem é capacitação demonstrável, e um certificado de conclusão não demonstra que o comportamento mudou. Referências como o NIST SP 800-50r1 também orientam as empresas para resultados de programa mensuráveis.

Um alerta sobre dados pessoais: os dados de simulação e de pontuação são dados dos colaboradores. Ao desenhar o programa, avalie com o seu encarregado de dados (DPO) a comunicação prévia aos colaboradores, a proporcionalidade e a restrição de acesso a esses dados.

Como colocar em pé um programa de gestão de risco humano

Não é preciso fazer tudo de uma vez. Um começo prático:

1. Meça uma linha de base em silêncio. Para ter uma pontuação inicial honesta, dispare a primeira onda de simulação multicanal sem anunciá-la.
2. Pontue e agrupe. Identifique as áreas e funções de maior risco. Equipes financeiras e assistentes executivos costumam liderar a lista em pretextos e tentativas com deepfake.
3. Resolva primeiro o reporte. Transforme "reportar" em um clique e reconheça publicamente quem reporta. A taxa de reporte melhora antes da taxa de cliques e faz diferença nos incidentes reais. Nosso artigo sobre cultura de reporte aprofunda esse passo.
4. Automatize o ciclo. Passe de campanhas para amostragem contínua, para que o Human Risk Score seja uma métrica mensal estável.
5. Leve para cima. Coloque a pontuação no mesmo painel dos seus outros indicadores de risco. Quando o conselho vê o risco humano cair, o programa defende o próprio orçamento.

Onde a NOUSEC se encaixa

A NOUSEC foi construída exatamente para esse ciclo: executa simulações de phishing em 8 canais, voz com deepfake incluída, mede o comportamento real dos colaboradores, atribui treinamento adaptativo de conscientização a quem falha e consolida os resultados em um único Human Risk Score que o seu conselho consegue ler. Se quiser ver como ficaria a pontuação da sua empresa, solicite uma demonstração.