A NOUSEC foi feita para órgãos públicos que não podem apenas realizar um programa de conscientização: precisam comprovar que o realizaram. Na auditoria, o que se pergunta é se o programa existe, se os servidores o concluíram e se há um registro defensável. A NOUSEC produz essa evidência: aceite de políticas com controle de versão, um painel de compliance com as taxas de conclusão brutas e ajustadas para auditoria, certificados com página pública de verificação, trilha de auditoria e exportação para SIEM em CSV, NDJSON ou JSON. Sem agentes nos endpoints, com dados em Frankfurt.
O setor mais visado na Europa.
No setor público a multa pode ser incerta. A auditoria não é.
Muitas vezes se vendem a órgãos públicos penalidades que eles nunca vão enfrentar. Mas a pressão sobre a equipe de segurança não é financeira: é pressão por evidência.
A pergunta feita à equipe de segurança da informação de um órgão público não é tanto se existe um programa, e sim qual é a prova: quem de fato concluiu qual treinamento, quem aceitou qual versão de qual política, e se esse registro pode ser entregue ao auditor sem conciliar planilhas. Com a LGPD exigindo medidas de segurança técnicas e administrativas também do poder público, essa pergunta vai aparecer.[22]
Um vídeo que o navegador diz ter sido “concluído”, ou um treinamento que só foi atribuído, não responde a essa pergunta. O que responde é um registro por pessoa que um terceiro pode conferir e que pode sair da plataforma.
Isso é um problema de produto, e é exatamente o problema que a plataforma foi construída para resolver.
| Evidência | O que comprova | Como se verifica | Plano |
|---|---|---|---|
| Aceite de políticas com controle de versão | Quem aceitou qual versão e quando | Registro por pessoa, exportável | Professional |
| Painel de compliance: bruto e ajustado | Conclusão, e conclusão que passou por um limite de qualidade | As duas taxas aparecem lado a lado; com nota de quiz abaixo de 40%, a conclusão não entra na taxa ajustada | Essentials |
| Comprovação de conclusão | Que o treinamento foi recebido, não apenas atribuído | Pelo menos 90% dos segundos únicos assistidos, calculados no servidor; uma requisição de conclusão forjada é recusada com 403 | Essentials |
| Certificado com página pública de verificação | Que o certificado é autêntico | Um terceiro pode verificar sem acessar o seu ambiente | Professional |
| Trilha de auditoria | Quem mudou o quê no programa | Registro imutável | Enterprise |
| Exportação para SIEM | Que o registro pode sair da plataforma | CSV, NDJSON ou JSON | Enterprise |
Quase metade dos agentes já está do lado de dentro.
Esse dado é o que diferencia a página do setor público das demais, e é aqui que precisamos ser mais cuidadosos ao descrever o que vendemos.
O DBIR registra um agente interno em 44% dos vazamentos na administração pública e coloca o uso indevido de privilégios entre os três principais padrões — o único dos quatro setores em que isso acontece. Em um terço dos casos, a motivação foi espionagem.[1]
Parte disso é má-fé e parte é erro. A NOUSEC não é análise de comportamento do usuário, DLP nem detecção de ameaça interna; o que ela faz é treinar e medir os comportamentos que antecedem os dois casos: o manuseio de registros sensíveis, o aceite de políticas, a higiene de credenciais e uma cultura de reporte em que reportar melhora o Human Risk Score em vez de expor quem reporta.
Reportar reduz a pontuação por definição: o servidor que reporta uma mensagem suspeita melhora a própria pontuação. E a exposição causada por um vazamento em terceiros conta como exposição, não como falha; quem teve o e-mail exposto em um vazamento de 2017 não escolheu isso.
A norma e a evidência que a atende.
Não interpretamos aqui as normas que se aplicam ao seu órgão. Citamos o artigo, resumimos com as nossas palavras e mostramos a evidência que produzimos para cada um.
| Norma | Artigo | O que exige | Como a NOUSEC comprova |
|---|---|---|---|
| LGPD (Lei nº 13.709/2018)[22] | Art. 46 | Medidas de segurança técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e incidentes — inclusive no poder público. | Campanhas por papel em vários canais; aceite de políticas com controle de versão; registro por servidor. |
| Decreto nº 12.572/2025[23] | — | Revogou o Decreto nº 9.637/2018. Citado apenas pelo nome; para o conteúdo, consulte o próprio decreto. | A mesma cadeia de evidências: conclusão verificada, certificados, trilha de auditoria, exportação. |
| ISO/IEC 27001:2022[5] | 7.2 / 7.3, Anexo A 6.3 | Competência e conscientização; conscientização, educação e treinamento em segurança da informação. | Página pública de verificação de certificados; trilha de auditoria. |
Os resumos regulatórios são orientativos e não constituem assessoria jurídica. O escopo e a classificação dependem do seu setor e das regras do seu regulador. Controle de conclusão e painel de compliance a partir do Essentials; aceite de políticas, verificação de certificados e Human Risk Score a partir do Professional; trilha de auditoria e exportação para SIEM no Enterprise.
Quatro perguntas que aparecem em toda licitação.
Sem agentes
Nada é instalado em nenhum dispositivo. O botão de reporte é um complemento opcional do cliente de e-mail.
Dados na UE
Em Frankfurt, com exportação e exclusão no nível da organização.
A identidade do órgão
Com a identidade do seu órgão, em 30 idiomas: 9 totalmente localizados hoje e 21 sob demanda.
Metodologia publicada
Uma pontuação de 0 a 100 exibida com o detalhamento dos componentes. Nada de caixa-preta.
Evidência que não depende de declaração
Uma pontuação que mostra o cálculo
Páginas relacionadas: metodologia do Human Risk Score, por que a NOUSEC e os verbetes do glossário (em inglês) ameaça interna e pretexting. Se o seu órgão opera infraestrutura de energia ou indústria, a mesma cadeia de evidências precisa cobrir também o lado de indústria e energia. A nossa própria postura de segurança está na página de segurança.
Perguntas
O que a equipe de segurança da informação e a área de contratações de um órgão público perguntam primeiro.
Cada número desta página e de onde ele vem
Última revisão: 21 de outubro de 2026. As citações regulatórias são conferidas com o texto consolidado oficial a cada revisão.
- 2026 Data Breach Investigations ReportVerizon Business — seção setorial, p. 84, Finanças e Seguros (NAICS 52). Base: mais de 31.000 incidentes, mais de 22.000 violações confirmadas, 145 países, out. 2024 – nov. 2025 · 2026Usado para: Administração pública (92): 3.634 incidentes; 69% com elemento humano; 44% de agentes internos; espionagem como motivação em 33% dos vazamentos; phishing em 20% dos vetores de acesso inicial, contra 40% de exploração de vulnerabilidades; uso indevido de privilégios entre os três principais padrões.
- Threat Landscape 2025ENISA — 13ª edição, v1.2, 4.875 incidentes, 1º jul. 2024 – 30 jun. 2025 · 2025Usado para: 38,2% dos incidentes observados na UE tiveram como alvo a administração pública. 4.875 incidentes entre 1º de julho de 2024 e 30 de junho de 2025.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022International Organization for Standardization — 3ª edição · 2022Usado para: Cláusulas 7.2 e 7.3 e o título do controle A.6.3 do Anexo A.
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)Presidência da República — art. 46 (medidas de segurança) e art. 50 (regras de boas práticas e de governança) · 2018Usado para: Art. 46: medidas de segurança técnicas e administrativas para proteger dados pessoais; a LGPD também se aplica ao poder público.
- Decreto nº 12.572, de 4 de agosto de 2025Presidência da República — revoga o Decreto nº 9.637/2018 · 2025Usado para: Citado apenas pelo nome, como o decreto que revogou o Decreto nº 9.637/2018; o conteúdo não é resumido nesta página.