# Beephish — Simulação de Phishing e Gestão de Risco Humano

> Eduque, teste e monitore seus colaboradores contra phishing. Plataforma brasileira de Gestão de Risco Humano com +100.000 usuários treinados.

Canonical: https://beephish.com/blog/treinamento-anual-de-seguranca-ainda-funciona

Em muitas empresas existe uma época do ano em que praticamente todos os funcionários recebem a mesma notificação: chegou a hora de realizar o treinamento obrigatório de segurança da informação.

O processo costuma ser conhecido. O treinamento é disponibilizado, as comunicações começam a ser enviadas e, nas semanas seguintes, segurança, compliance ou recursos humanos acompanham quem concluiu e quem ainda precisa ser lembrado. À medida que o prazo se aproxima, aumentam as cobranças até que a organização finalmente alcance o percentual de conclusão esperado.

Em setores regulados, esse processo possui uma importância ainda maior. Instituições financeiras e outras organizações submetidas a requisitos específicos de segurança e compliance precisam manter programas de capacitação, avaliação e disseminação da cultura de segurança. Em muitos ambientes, treinamentos periódicos ou anuais também fazem parte das políticas internas e das evidências utilizadas para demonstrar que a organização está cumprindo suas responsabilidades.

Nada disso deveria ser tratado como burocracia desnecessária. Existe uma razão legítima para garantir que, pelo menos uma vez durante determinado período, toda a população seja alcançada por conteúdos considerados essenciais. O treinamento obrigatório cria uma base comum, reforça responsabilidades e permite que a organização demonstre que determinados temas foram formalmente comunicados.

O problema não está em realizar o treinamento anual. O problema está em acreditar que concluí-lo significa que nosso trabalho de conscientização foi realizado.

Se temos uma oportunidade em que praticamente toda a organização dedicará parte do seu tempo à segurança, deveríamos nos preocupar menos em simplesmente registrar a conclusão e muito mais em garantir que aquele tempo realmente produza algum efeito.

## **O treinamento obrigatório não deveria ser apenas uma evidência de compliance**

Quando existe uma obrigação, é natural que a primeira preocupação seja conseguir demonstrar seu cumprimento. Precisamos saber quem recebeu o treinamento, quem concluiu, quando concluiu e eventualmente qual resultado obteve em uma avaliação. Essas evidências são importantes e precisam existir.

O risco aparece quando todo o programa passa a ser desenhado em torno delas.

Se o principal indicador de sucesso é atingir 100% de conclusão, podemos acabar construindo um processo extremamente eficiente para provar que o treinamento aconteceu sem saber se ele produziu qualquer mudança relevante.

Uma pessoa pode abrir o conteúdo, avançar pelos módulos, responder às perguntas necessárias e concluir todo o processo sem que aquilo tenha provocado nenhuma reflexão sobre sua rotina. Formalmente, o objetivo foi atingido. Do ponto de vista de redução de risco, talvez quase nada tenha acontecido.

Isso não significa que completion rate seja uma métrica inútil. Se existe uma obrigação de treinamento, precisamos saber quem cumpriu. Mas concluir um treinamento e aprender alguma coisa são resultados diferentes. E aprender alguma coisa ainda é diferente de modificar comportamento. Um programa maduro precisa conseguir enxergar essas três dimensões separadamente.

## **A obrigação pode ser transformada em uma grande oportunidade**

Existe uma maneira diferente de olhar para o treinamento anual. Em vez de enxergá-lo apenas como uma obrigação, podemos considerá-lo um dos poucos momentos em que temos a oportunidade de conversar sobre segurança com praticamente toda a organização.

Isso é extremamente valioso.

Em uma empresa com milhares de pessoas, conseguir alguns minutos da atenção de praticamente todos os colaboradores não é algo trivial. Se esse tempo já será investido, deveríamos utilizá-lo para tratar dos riscos que realmente fazem parte da realidade daquela organização.

Isso significa revisar constantemente o conteúdo. Um treinamento que continua praticamente igual durante três ou quatro anos pode estar cumprindo uma obrigação formal, mas dificilmente acompanhará a velocidade com que o ambiente de ameaças muda.

Nos últimos anos, por exemplo, as pessoas passaram a lidar de forma muito mais intensa com inteligência artificial generativa, QR Codes, ferramentas de colaboração, autenticação multifator, aplicações SaaS e dispositivos pessoais. Ao mesmo tempo, atacantes passaram a explorar esses mesmos ambientes com técnicas de engenharia social cada vez mais variadas.

Um treinamento anual efetivo precisa conversar com essa realidade. Se temos uma oportunidade obrigatória de alcançar todos, ela deveria apresentar situações que as pessoas reconhecem no trabalho que executam hoje, e não apenas repetir conceitos genéricos de segurança.

## **Existe um conhecimento mínimo que todos precisam ter**

A evolução dos programas de conscientização para modelos mais personalizados não significa que devemos eliminar conteúdos comuns.

Existem responsabilidades de segurança que pertencem a todos. Proteção de credenciais, reconhecimento de engenharia social, tratamento adequado de informações, utilização dos mecanismos de reporte, cuidados com dispositivos e compreensão das principais políticas da organização são exemplos de conhecimentos que podem fazer parte dessa base.

O treinamento anual pode ser um excelente instrumento para estabelecer ou reforçar esse baseline.

Ele também possui uma função cultural importante. Ao incluir segurança na agenda de toda a organização, a empresa comunica que determinados comportamentos e responsabilidades não pertencem apenas ao time de tecnologia ou ao CISO.

Mas precisamos reconhecer uma limitação: depois desse baseline, as necessidades começam a divergir.

Uma pessoa da área financeira enfrenta riscos diferentes de um desenvolvedor. Um administrador privilegiado possui responsabilidades diferentes de alguém com acessos básicos. Um executivo pode estar muito mais exposto a impersonation e ataques direcionados. Uma pessoa que trabalha diariamente com inteligência artificial pode enfrentar questões relacionadas a compartilhamento de informações que não fazem parte da rotina de outros colaboradores.

O treinamento anual pode construir a base. Ele dificilmente consegue resolver sozinho todas essas diferenças.

[![](https://kvlbuwxkkllobkgvzsam.supabase.co/storage/v1/object/public/blog-content/inline/1780320814605-15vsqx.png)](#fale-com-especialista)

## **O problema dos outros 364 dias**

A segurança não acontece uma vez por ano. Talvez essa seja a principal limitação do modelo baseado exclusivamente em um grande treinamento anual.

Entre dois ciclos obrigatórios, pessoas mudam de função, recebem novos acessos, começam a utilizar novas tecnologias e assumem responsabilidades diferentes. A organização lança produtos, contrata fornecedores e modifica processos. Ao mesmo tempo, novas ameaças aparecem e técnicas conhecidas são adaptadas.

Imagine uma pessoa que concluiu seu treinamento anual em janeiro e começa a utilizar uma ferramenta de inteligência artificial em março. Em maio, ela muda de função e passa a manipular informações mais sensíveis. Em agosto, recebe novos privilégios. Em outubro, a empresa identifica uma campanha de engenharia social direcionada especificamente para profissionais com aquele perfil.

Esperar até janeiro do ano seguinte para trabalhar essas mudanças não parece uma estratégia particularmente eficiente. É por isso que acredito que o treinamento anual deve ser entendido como parte de um programa contínuo de conscientização, e não como o próprio programa.

## **Continuous Awareness não significa treinar o tempo inteiro**

Quando falamos em conscientização contínua, existe o risco de interpretar o conceito como uma necessidade de enviar constantemente cursos, comunicações e simulações. Isso pode produzir exatamente o efeito contrário do desejado.

As pessoas possuem seu próprio trabalho para realizar. Segurança compete com dezenas de outras prioridades por atenção. Se transformarmos conscientização em uma sequência interminável de treinamentos, rapidamente criaremos fadiga. Um programa contínuo precisa ser relevante antes de ser frequente.

Isso significa utilizar diferentes formatos e momentos. Um treinamento anual pode estabelecer a base. Pequenos conteúdos podem reforçar temas específicos durante o ano. Simulações de phishing podem observar comportamentos. Comunicações podem responder a ameaças atuais. Orientações contextuais podem aparecer quando uma nova tecnologia ou processo é introduzido.

Nem toda intervenção precisa durar trinta minutos. Em muitos casos, dois ou três minutos no momento adequado podem ser mais úteis do que um curso extenso realizado meses antes da situação em que aquele conhecimento será necessário.

A mudança está menos na quantidade de treinamento e mais na capacidade de distribuir aprendizado ao longo do tempo.

## **O momento certo pode ser tão importante quanto o conteúdo**

Existe uma diferença enorme entre aprender sobre um risco de forma abstrata e receber uma orientação quando aquele risco passa a fazer parte da sua rotina.

Se uma pessoa acabou de receber privilégios administrativos, esse pode ser um excelente momento para reforçar cuidados relacionados a identidade e engenharia social. Se uma área começa a utilizar uma nova plataforma de inteligência artificial, talvez seja o momento adequado para trabalhar classificação e compartilhamento de informações. Se a organização identifica crescimento de ataques por QR Code, não existe razão para esperar pelo próximo treinamento anual para falar sobre quishing.

Essa abordagem aproxima conscientização da realidade e também ajuda a resolver um dos maiores desafios de aprendizagem corporativa: retenção. É difícil esperar que alguém se lembre, em novembro, de um detalhe apresentado em um treinamento realizado em janeiro, especialmente se aquela informação nunca foi utilizada durante o restante do ano.

Intervenções menores e contextualizadas podem reforçar conceitos no momento em que eles realmente importam.

## **Nem todos precisam receber todas as intervenções**

Um programa contínuo também nos permite abandonar outra premissa do modelo tradicional: a ideia de que toda comunicação ou treinamento precisa necessariamente ser enviado para toda a empresa.

Existem temas que precisam alcançar todos. Outros fazem sentido apenas para determinadas populações.

Um conteúdo sobre BEC pode ser especialmente relevante para pessoas envolvidas em pagamentos, tesouraria e relacionamento com fornecedores. Uma orientação sobre segurança de APIs pode fazer sentido para equipes técnicas. Um conteúdo sobre impersonation e deepfakes pode ser particularmente importante para executivos e pessoas com autoridade para aprovar operações.

Quando começamos a combinar essa segmentação com informações de comportamento e risco, podemos ser ainda mais precisos. Pessoas que apresentam determinada dificuldade podem receber reforço específico. Grupos que estão sendo mais atacados podem receber preparação adicional. Alguém que demonstra evolução consistente pode não precisar continuar recebendo a mesma intensidade de intervenção.

Isso não elimina o treinamento comum. Cria uma segunda camada sobre ele.

## **Precisamos medir mais do que conclusão**

Se queremos saber se o programa realmente funciona, nossos indicadores também precisam evoluir.

Completion rate continuará sendo importante, especialmente quando existe uma obrigação formal. Precisamos conseguir demonstrar que as pessoas realizaram aquilo que era exigido.

Mas, depois disso, precisamos fazer outras perguntas.

As pessoas estão reconhecendo melhor as ameaças? Estão reportando mensagens suspeitas? Quanto tempo levam para reportar? Determinados comportamentos estão se repetindo? As intervenções aplicadas depois de uma dificuldade estão produzindo melhoria? Existem grupos que continuam apresentando o mesmo problema apesar dos treinamentos? Essas informações ajudam a diferenciar cumprimento de efetividade.

Um programa pode apresentar 100% de conclusão e continuar observando os mesmos comportamentos de risco. Outro pode utilizar o treinamento anual como baseline e, ao longo do ano, demonstrar melhoria consistente na forma como as pessoas respondem às ameaças.

Os dois cumpriram a obrigação. Apenas um conseguiu transformar treinamento em redução de risco.

## **Compliance e efetividade não precisam competir**

Às vezes tratamos essa discussão como se fosse necessário escolher entre cumprir requisitos regulatórios e construir um programa moderno de conscientização. Não existe essa oposição. A obrigação pode ser justamente o ponto de partida.

Se precisamos alcançar toda a organização, podemos utilizar essa oportunidade para estabelecer uma base realmente relevante. Se precisamos registrar conclusão, podemos também medir conhecimento. Se já possuímos essa população dentro de um programa, podemos continuar observando comportamento durante o restante do ano e oferecer intervenções quando elas realmente forem necessárias.

O treinamento obrigatório deixa de ser uma atividade isolada e passa a funcionar como uma das etapas de uma estratégia maior.

Essa visão também ajuda a mudar a conversa com a liderança. Em vez de apresentar apenas que 98%, 99% ou 100% das pessoas concluíram o treinamento, podemos mostrar o que aconteceu depois. Podemos demonstrar evolução de comportamentos, capacidade de reporte, redução de reincidência e resposta a riscos específicos.

O compliance continua sendo atendido, mas deixa de ser o limite da ambição do programa.

## **O treinamento anual pode continuar. O modelo anual de conscientização é que precisa mudar**

Não acredito que o treinamento anual esteja ultrapassado. Para muitas organizações ele continuará sendo necessário, seja por regulamentação, políticas internas ou simplesmente porque existe valor em garantir periodicamente uma base comum de conhecimento.

O que está ultrapassado é imaginar que conscientização pode acontecer apenas naquele momento. A organização que reúne praticamente todos os seus funcionários para falar de segurança uma vez por ano possui uma oportunidade importante. O desafio é não desperdiçá-la transformando o processo em uma sequência de telas cujo principal objetivo é chegar ao botão de conclusão.

Podemos utilizar esse momento para apresentar riscos reais, estabelecer responsabilidades e construir uma base comum. Depois disso, o programa precisa continuar vivo, acompanhando mudanças nas ameaças, na tecnologia, nas funções e nos comportamentos das pessoas.

Treinamento anual e Continuous Awareness não são estratégias concorrentes. O primeiro pode estabelecer a base. O segundo mantém essa base relevante durante o restante do ano.

No final, a pergunta não deveria ser se a organização realizou o treinamento obrigatório. Essa resposta continuará sendo importante para compliance. A pergunta que realmente mostra a maturidade do programa é outra: **o que fizemos com a oportunidade de ter a atenção das pessoas e o que aconteceu com o comportamento delas depois que o treinamento terminou?**

---
Fonte: Beephish — https://beephish.com