O que é treinamento de conscientização adaptativo com IA?
O treinamento de conscientização adaptativo com IA é atribuído conforme o comportamento medido, e não conforme um calendário. Cada colaborador é testado continuamente nos canais que os atacantes realmente usam; cada resultado atualiza o Human Risk Score dele, e é essa pontuação, e não uma data de compliance, que decide o próximo treinamento, a dificuldade da próxima simulação e até se o treinamento é necessário.
Como funciona o treinamento atribuído pelo comportamento
O que o CISO vê
Cinco abas. Duas das visões respondem à pergunta que todo programa de conscientização deixou sem resposta: qual módulo realmente reduziu os cliques.
Ranking de campeões
Pessoas · por risco, não por atividadeO reconhecimento deriva da pontuação de risco, com peso para o reporte: pontuação de campeão = (100 − pontuação de risco) × 0,6 + peso do reporte, com um teto para o reporte, para que ele eleve sem dominar.
| Funcionário | Pontuação de campeão | Pontuação de risco | Reportes |
|---|---|---|---|
| 1Funcionário 1 | 41,6 | 44 | 12 |
| 2Funcionário 2 | 39,2 | 38 | 3 |
| 3Funcionário 3 | 37,4 | 40 | 5 |
Exportação personalizada
Com seções selecionáveis e a sua marca.
Certificados
Cada um tem uma página pública de verificação, para que qualquer pessoa com o certificado em mãos possa conferi-lo.
Log de auditoria
Exportável para o seu SIEM.
Integridade da conclusão, medida no servidor
Por isso a NOUSEC não registra isso como evidência. Cada conclusão é classificada pelo tempo no conteúdo em relação à duração esperada do módulo, e a conclusão de vídeo é uma grandeza medida, não um clique.
Quatro formas de usar um minuto atribuído
- Pulado< 30%
- Clique Rápido30 – 70%
- Engajado70 – 130%
- Muito Engajado> 130%
100% da duração esperada fica dentro de Engajado.
A conclusão de um vídeo exige que noventa por cento dos segundos únicos do vídeo tenham sido assistidos, calculados no servidor. A contagem pausa quando a aba fica oculta ou o vídeo é pausado.
Arraste até o final e saia, e a cobertura fica perto de zero: sem conclusão, sem certificado. Uma tentativa com falha deixa a matrícula em andamento.
O registro de conclusão é emitido pelo servidor, não solicitado pelo cliente. O vídeo passivo não exibe nenhuma nota inventada — o certificado traz a data de conclusão e a duração real, nada mais.
O painel de conformidade informa as duas taxas
Uma taxa de conclusão bruta e uma taxa ajustada para auditoria, que desconta as conclusões sem evidência de engajamento real. Os auditores veem a diferença entre elas, que é o número que realmente significa algo.
O que os funcionários realmente recebem
Catorze formatos em três formas de entrega, e cinco coisas dentro deles construídas de forma diferente do resto da categoria.
Feedback forense
Cada resposta errada aponta o sinal visível que denuncia o ataque. A especificidade é a lição inteira.
Um escape room, não um sistema de pontos
Assíncrono, individual, no navegador. Sem sessão agendada, sem facilitador, sem pontos fingindo ser um jogo.
Detecção de voz deepfake
Pares de áudio real e sintético em contexto bancário, com uma análise forense de cada trecho.
15modelos de política
Com a marca da organização do cliente e vinculado a um módulo de treinamento. O aceite é exigido de novo a cada nova versão, e o histórico de aceites é preservado.
Localizado, não traduzido
Em cada idioma mudam os nomes dos personagens, das empresas e o contexto cultural — não só os textos. O árabe é escrito da direita para a esquerda, e cada idioma tem o seu próprio pacote SCORM e legendas.
Um idioma que só existe na página de preços não é um idioma.
O aluno ganha outro nome, não legendas. Os nomes das empresas e o contexto do cenário mudam com ele.
Por que o treinamento anual de conscientização em segurança falha
Construímos a plataforma assim porque a pesquisa publicada é inequívoca sobre a alternativa. Três constatações definiram o desenho.
O treinamento anual não reduziu as falhas em phishing
Um estudo randomizado com mais de 19.500 funcionários ao longo de oito meses não encontrou relação significativa entre ter concluído recentemente o treinamento anual obrigatório e falhar em uma simulação de phishing. O treinamento incorporado após a falha alterou a probabilidade de clique em cerca de 2 pontos percentuais.
Ho et al., IEEE Symposium on Security & Privacy, 2025O ganho some antes do próximo curso
Testados em intervalos, os funcionários ainda identificavam phishing significativamente melhor quatro meses após um curso (d′ 1,60, p = 0,034). No sexto mês, a melhora já não era estatisticamente significativa (d′ 1,46, p = 0,123). Um ciclo de doze meses deixa cerca de metade do ano descoberta.
Reinheimer et al., USENIX SOUPS 2020A medição contínua é o que move o número
Em 42 milhões de simulações em 64.000 organizações, a parcela média de funcionários que falham em um teste de phishing caiu de 33,2% na linha de base para 20,1% após 90 dias e 4,2% após doze meses de testes e treinamento contínuos.
KnowBe4 Phishing by Industry Benchmarking Report, 2026Os três números são pesquisas do setor, não resultados da NOUSEC.
Leia a pesquisa completa →Treinamento de conscientização convencional versus NOUSEC
A diferença não está na qualidade do conteúdo, e sim no que decide quem é treinado, quando, e como se sabe se funcionou.
Evidências de auditoria para CMN 4.893, LGPD, ISO 27001 e PCI DSS
O auditor não pede um certificado, e sim um registro do comportamento ao longo do tempo. As normas que tratam de capacitação pedem a mesma coisa: capacidade construída em intervalos regulares e comprovada pessoa por pessoa — exatamente o que um relatório anual de conclusão não consegue entregar.
| Norma | Artigo | O que exige | Como a NOUSEC comprova |
|---|---|---|---|
| Resolução CMN nº 4.893/2021 — política de segurança cibernética (alterada pela Resolução CMN nº 5.274/2025) | Art. 3º, VI, a | Entre os mecanismos para disseminar a cultura de segurança cibernética na instituição, a implementação de programas de capacitação e de avaliação periódica de pessoal. | Capacitação contínua atribuída pela falha medida e avaliação periódica real por simulações em 8 canais; cada etapa registrada por colaborador e exportável. |
| Resolução BCB nº 85/2021 — instituições de pagamento | Art. 3º, VI, a | O mesmo dispositivo: programas de capacitação e de avaliação periódica de pessoal, como mecanismo de cultura de segurança cibernética. | Medição contínua, não um evento anual: taxa de conclusão ajustada para auditoria, correlação de cada módulo com a taxa real de cliques e tendência do Human Risk Score por departamento. |
| LGPD — Lei nº 13.709/2018 | Art. 46 · Art. 50 | Art. 46: medidas de segurança técnicas e administrativas para proteger dados pessoais. Art. 50: os agentes de tratamento podem (não é obrigatório) formular regras de boas práticas e de governança, que podem prever ações educativas. | Registro por colaborador de treinamentos, simulações e resultados, para documentar a medida administrativa do art. 46 e as regras de boas práticas do art. 50, se a sua empresa as adotar. |
| ISO/IEC 27001:2022 | Anexo A, controle 6.3 | As pessoas e partes interessadas pertinentes devem receber conscientização, educação e treinamento adequados, com atualizações regulares relacionadas à função. | Entrega contínua em vez de um evento anual, com registro de auditoria por colaborador de cada simulação, lição, resultado e mudança de pontuação. |
| PCI DSS v4.0 | Req. 12.6.3 · 12.6.3.1 | Treinamento de conscientização na contratação e pelo menos a cada 12 meses, cobrindo explicitamente phishing, ataques relacionados e engenharia social. | Avaliação de linha de base no primeiro dia após a contratação e testes contínuos nos oito canais de engenharia social — bem dentro do piso de doze meses. |
Os resumos regulatórios são orientativos e não constituem assessoria jurídica. O escopo e a classificação dependem do seu setor e das regras do seu regulador. As resoluções do CMN e do BCB são citadas pelo número do artigo e com redação nossa, não como transcrição do texto oficial. Resumo apenas para orientação — não é assessoria jurídica.
Treinamento de conscientização em segurança: perguntas frequentes
O que é treinamento de conscientização adaptativo com IA?
O treinamento de conscientização adaptativo com IA é o treinamento atribuído conforme o comportamento medido, e não conforme um calendário. Cada colaborador é testado continuamente nos canais que os atacantes realmente usam; cada resultado atualiza o Human Risk Score dele, e é essa pontuação, e não uma data de compliance, que decide o próximo treinamento, a dificuldade da próxima simulação e até se o treinamento é necessário.
Treinamento de conscientização em segurança é obrigatório no Brasil?
Depende do setor. Para instituições financeiras, a Resolução CMN nº 4.893/2021 (alterada pela Resolução CMN nº 5.274/2025) inclui na política de segurança cibernética, no art. 3º, VI, a, programas de capacitação e de avaliação periódica de pessoal; a Resolução BCB nº 85/2021 faz o mesmo para instituições de pagamento. A LGPD não obriga treinamento: o art. 46 exige medidas de segurança técnicas e administrativas, e o art. 50 permite (sem obrigar) que os agentes de tratamento formulem regras de boas práticas e de governança, que podem prever ações educativas. Este resumo não é assessoria jurídica.
Treinamento de conscientização reduz mesmo o phishing?
Do jeito que a maioria das empresas aplica, não. Um estudo randomizado de 2025 com mais de 19.500 funcionários (Ho et al., IEEE Symposium on Security & Privacy) não encontrou relação significativa entre ter concluído recentemente o treinamento anual obrigatório e falhar em uma simulação. O que move o número é combinar testes contínuos com treinamento: em 42 milhões de simulações, a propensão média ao clique caiu de 33,2% no início para 20,1% em 90 dias e 4,2% em 12 meses (KnowBe4 2026). O decisivo não é a qualidade do conteúdo, e sim a frequência e a medição.
Como vocês medem a cobertura por segundos únicos assistidos?
A conclusão de um vídeo exige ter assistido a 90% dos seus segundos únicos, e essa proporção é calculada no servidor, não informada pelo navegador. A contagem para se a aba estiver oculta ou o vídeo pausado; quem arrasta até o fim e sai fica com cobertura perto de zero: sem conclusão e sem certificado. Uma solicitação de conclusão forjada recebe 403.
O que é a taxa de conclusão ajustada para auditoria?
O painel de compliance mostra duas taxas: a taxa de conclusão bruta e uma taxa ajustada que descarta conclusões sem sinal de engajamento real. O auditor vê a diferença entre as duas, que é o número que de fato significa algo. As conclusões são classificadas pelo tempo dedicado ao conteúdo em relação à duração prevista do módulo: Pulado abaixo de 30%, Clique Rápido de 30% a 70%, Engajado de 70% a 130%, Muito Engajado acima de 130%.
Onde ficam armazenados os nossos dados?
Na União Europeia, em Frankfurt. A NOUSEC foi projetada para o GDPR europeu e não exige agentes nem software nas máquinas; não hospedamos dados no Brasil. O treinamento é entregue no idioma de cada colaborador: hoje há 9 idiomas disponíveis, entre eles o português, e outros 21 sob demanda, com o mesmo processo de localização em quatro etapas.
Em 20 minutos, falhamos de propósito em uma simulação e mostramos exatamente o que a plataforma faz em seguida.
Agendar uma demo