A NOUSEC é uma plataforma de gestão de risco humano usada por organizações de serviços financeiros, saúde, setor público, indústria e energia. A plataforma é a mesma em todos os setores: simulação de phishing em oito canais, treinamento adaptativo com conclusão verificada no servidor e uma única pontuação de risco humano de 0 a 100 com metodologia publicada. O que muda por setor é a evidência exigida, os colaboradores que precisam ser alcançados e o canal que o atacante usa. Bancos respondem à Resolução CMN 4.893, que pede capacitação e avaliação periódica de pessoal, e enfrentam fraude de pagamento com voz clonada; na saúde, o erro no e-mail pesa tanto quanto o golpe; o setor público tem a maior participação do elemento humano; e a indústria e a energia têm o maior envolvimento de terceiros do Verizon DBIR.
Três coisas mudam. A plataforma não é uma delas.
Todo fornecedor vende uma página de setor. Veja o que realmente muda por baixo dela.
O que você precisa comprovar?
Um banco precisa comprovar a capacitação e a avaliação periódica de pessoal que a Resolução CMN 4.893 pede. Um hospital responde à LGPD e ao seu regulador setorial; uma empresa certificada na ISO 27001, ao seu auditor. O regulador muda, mas a pergunta do auditor é a mesma: onde está a evidência?
Quem você precisa alcançar?
A tesouraria lê e-mail o dia inteiro. A enfermeira do plantão noturno, não. E o operador de máquina pode nem ter um computador só seu. Alcance é questão de formato e canal antes de ser questão de treinamento.
O que o atacante realmente usa?
O phishing é o segundo vetor de acesso inicial mais comum em serviços financeiros, saúde e administração pública. Mas o pretexto muda de setor para setor, e na indústria a entrada costuma vir de um fornecedor, não de uma caixa de e-mail.
Quatro setores lado a lado
Cada número abaixo vem da seção de setor correspondente do relatório citado embaixo. Nenhum é média, arredondamento ou estimativa.
| Finanças e seguros (52) | Saúde (62) | Administração pública (92) | Indústria (31–33) | |
|---|---|---|---|---|
| Vazamentos com elemento humano | 65% | 54% | 69% | 56% |
| Phishing como acesso inicial | 20% | 14% | 20% | 13% |
| Agentes externos | 88% | 81% | 56% | 95% |
| Agentes internos | 12% | 19% | 44% | 5% |
| Motivação: espionagem | 3% | 2% | 33% | 15% |
| Envolvimento de terceiros | 34% | 32% | 36% | 61% |
| Cobertura dos 3 principais padrões | 81% dos vazamentos | 81% | 80% | 91% |
| Padrões humanos entre esses três | Engenharia social | Erros diversos, engenharia social | Erros diversos, uso indevido de privilégios | Engenharia social |
Verizon 2026 Data Breach Investigations Report, seção de setores, p. 84[1]. Base: mais de 31.000 incidentes e mais de 22.000 vazamentos confirmados em 145 países, de outubro de 2024 a novembro de 2025. O DBIR é uma amostra de conveniência de casos enviados por colaboradores, não uma amostra representativa de todos os vazamentos; as seções de setor servem para priorizar, não para prever. O ponto marca o maior valor da linha; as duas últimas linhas não são um ranking. O relatório não traz um recorte específico do Brasil.
Comece por onde o seu regulador começa.
Serviços financeiros
Os seus controles funcionaram, mas a voz que aprovou o pagamento era clonada. A Resolução CMN 4.893 pede programas de capacitação e de avaliação periódica de pessoal; a BCB 85 pede o mesmo das instituições de pagamento.
Saúde
Na saúde, o erro aparece ao lado da engenharia social entre os principais padrões de vazamento. E o médico entre dois plantões não vai assistir até o fim a um módulo de vinte minutos.
Setor público
O setor com a maior participação do elemento humano e de agentes internos entre os quatro. O difícil não é oferecer o treinamento, e sim comprovar que ele foi oferecido.
Indústria e energia
A maior participação de terceiros do DBIR e pretextos que miram diretamente as equipes de operação. E a maioria dos colaboradores expostos não tem um computador só seu.
Qual norma pede treinamento de forma explícita?
Os números de artigo importam mais que as siglas. Citamos o artigo e resumimos o conteúdo, e não apresentamos nenhuma frase como se fosse o texto oficial.
Mecanismos para disseminar a cultura de segurança cibernética na instituição: programas de capacitação e de avaliação periódica de pessoal; informações a clientes e usuários sobre precauções; comprometimento da alta administração.
Instituições financeiras reguladas pelo Banco Central. Alterada pela Resolução CMN nº 5.274/2025. Resumimos o conteúdo; para o texto oficial, consulte a norma.
A mesma exigência de capacitação e avaliação periódica de pessoal, dentro da política de segurança cibernética.
Instituições de pagamento. Citamos o artigo e resumimos; não reproduzimos o texto.
Medidas de segurança técnicas e administrativas para proteger dados pessoais (art. 46); regras de boas práticas e de governança que podem incluir ações educativas (art. 50).
O art. 50 é facultativo e a LGPD não exige treinamento. Treinamento documentado é uma forma de demonstrar as medidas do art. 46.
Competência e conscientização; o controle de conscientização, educação e treinamento em segurança da informação.
Auditores de certificação pedem evidência de eficácia, não de presença.
Escrito para o regulador a quem vocês de fato reportam.
Brasil
Resolução CMN 4.893 e Resolução BCB 85 para instituições financeiras e de pagamento, LGPD para todos, citadas pelo número do artigo. Conteúdo em português do Brasil.
Grupos com operações na UE
GDPR e, quando aplicável, NIS2 para as subsidiárias europeias. Dados hospedados em Frankfurt, na UE.
Outros frameworks
ISO/IEC 27001:2022 para quem tem a certificação; SOC 2 e ISO 27701 selecionáveis no nível da organização.
Perguntas
O que os compradores perguntam antes de escolher uma página de setor.
Cada número desta página e de onde ele vem
Título, editora, ano da edição, link e para que cada fonte foi usada. Um número que não está aqui não está na página.
Última revisão: 21 de outubro de 2026. As citações regulatórias são conferidas com o texto consolidado oficial a cada revisão.
- 2026 Data Breach Investigations ReportVerizon Business — seção setorial, p. 84, Finanças e Seguros (NAICS 52). Base: mais de 31.000 incidentes, mais de 22.000 violações confirmadas, 145 países, out. 2024 – nov. 2025 · 2026Usado para: Tabela comparativa e os quatro cartões de setor: elemento humano, phishing, agentes, motivações, terceiros e os três principais padrões para finanças e seguros (52), saúde (62), administração pública (92) e indústria (31–33).
- Threat Landscape 2025ENISA — 13ª edição, v1.2, 4.875 incidentes, 1º jul. 2024 – 30 jun. 2025 · 2025Usado para: A administração pública é o setor mais visado na UE: 4.875 incidentes entre 1º de julho de 2024 e 30 de junho de 2025.
- Directive (EU) 2022/2555 (NIS2)Jornal Oficial da União Europeia, JO L 333, 27/12/2022 · 2022Usado para: Para subsidiárias com operações na UE: arts. 21(2)(g) e 20.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022International Organization for Standardization — 3ª edição · 2022Usado para: Cláusulas 7.2 e 7.3 e o título do controle A.6.3 do Anexo A.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Departamento de Saúde e Serviços Humanos dos EUA, Office for Civil Rights — pp. 8–14 · 2024Usado para: Cartão de saúde: 164 dos 663 grandes vazamentos aconteceram por e-mail.
- Resolução CMN nº 4.893, de 26 de fevereiro de 2021Conselho Monetário Nacional / Banco Central do Brasil — art. 3º, VI, a (capacitação e avaliação periódica de pessoal); alterada pela Resolução CMN nº 5.274/2025 · 2021Usado para: Art. 3º, VI: mecanismos de cultura de segurança cibernética, incluindo programas de capacitação e de avaliação periódica de pessoal (a). Alterada pela Resolução CMN nº 5.274/2025.
- Resolução BCB nº 85, de 8 de abril de 2021Banco Central do Brasil — instituições de pagamento, art. 3º, VI, a (capacitação e avaliação periódica de pessoal) · 2021Usado para: Art. 3º, VI, a: a mesma exigência para instituições de pagamento.
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)Presidência da República — art. 46 (medidas de segurança) e art. 50 (regras de boas práticas e de governança) · 2018Usado para: Art. 46: medidas de segurança técnicas e administrativas; art. 50: regras de boas práticas e de governança, que podem incluir ações educativas (facultativo).