Pergunte a uma empresa como está o risco humano dela e a resposta costuma ser um número: "98% dos colaboradores concluíram o treinamento". O número pode até ser verdadeiro, mas responde à pergunta errada.
Conclusão de curso mede presença, não comportamento. Um estudo da UC San Diego com mais de 19.500 funcionários mostrou isso de forma direta: 75% das pessoas ficaram um minuto ou menos no material de treinamento, e um terço fechou a página na hora, sem ler nada. No relatório, todas elas aparecem como "treinadas".
Se o objetivo da gestão de risco humano é reduzir o risco, a medição precisa olhar para o que as pessoas fazem. Estas são seis métricas que mostram, com dados, se a sua empresa está mais segura.
1. Taxa de clique em simulações de phishing, com contexto
É a métrica mais conhecida e continua útil, desde que lida com cuidado, porque o resultado depende muito da isca. No mesmo estudo de San Diego, só 1,82% das pessoas clicaram em um e-mail falso pedindo a atualização da senha do Outlook, enquanto 30,8% clicaram em um suposto aviso sobre a nova política de férias.
Uma taxa de clique baixa pode significar pessoas mais preparadas ou apenas simulações fáceis demais. Por isso:
- compare campanhas de dificuldade parecida;
- acompanhe a tendência ao longo dos meses, não o número de uma campanha isolada;
- use iscas parecidas com os golpes que de fato chegam à sua empresa.
2. Taxa de reporte e tempo até o reporte
Se a taxa de clique mostra quem erra, a taxa de reporte mostra quem defende. Ela indica quantas pessoas avisam a equipe de segurança quando recebem algo suspeito.
Um estudo de 15 meses da ETH Zurique, com mais de 14 mil funcionários, mostrou que usar os próprios colaboradores como um mecanismo coletivo de detecção funciona em grandes empresas: novas campanhas de phishing foram detectadas rapidamente, a carga de trabalho para a equipe de segurança foi aceitável e as pessoas continuaram reportando ao longo do tempo.
O tempo importa porque o ataque é rápido. Segundo o relatório de violações de dados da Verizon de 2024, a mediana entre abrir um e-mail de phishing e clicar no link é de 21 segundos, e são mais 28 segundos até a pessoa digitar seus dados. Quanto antes alguém reporta, mais cedo a equipe consegue remover a mensagem da caixa de todos os outros.
Acompanhe:
- a proporção de pessoas que reportam simulações e e-mails reais;
- o tempo entre o envio da mensagem e o primeiro reporte;
- quantos reportes eram, de fato, ameaças.
3. Reincidência e concentração do risco
Uma média geral esconde onde está o problema. Segundo a Mimecast, 8% dos funcionários respondem por 80% dos incidentes de segurança. O estudo de San Diego mostra outro lado da mesma realidade: no primeiro mês, 10% dos funcionários clicaram em um link de phishing; ao fim de oito meses, mais da metade já tinha clicado em pelo menos um.
As duas visões se completam. Qualquer pessoa pode errar em um dia ruim, mas algumas erram de forma recorrente. Medir o risco por pessoa e por área permite priorizar quem precisa de atenção, em vez de tratar toda a empresa como igual.
4. Comportamentos de risco além do e-mail
Phishing por e-mail é só uma das portas. Na edição de 2026 do relatório da Verizon, simulações de phishing em dispositivos móveis tiveram engajamento 40% maior do que as simulações tradicionais por e-mail. O comportamento do dia a dia também conta: reutilizar ou compartilhar senhas, instalar softwares não autorizados, usar ferramentas de IA sem aprovação, adiar atualizações.
Esse último grupo tem preço. No Brasil, segundo o estudo Cost of a Data Breach 2026, da IBM, a presença de Shadow IT (sistemas e ferramentas usados sem aprovação da TI) acrescentou em média R$ 720,3 mil ao custo de cada violação.
Medir esses sinais mostra a exposição real, não só a reação a um teste.
5. Evolução ao longo do tempo
O risco humano não é uma foto, é um filme. Pesquisadores do Karlsruhe Institute of Technology mostraram que o efeito de um programa de conscientização ainda era visível quatro meses depois, mas tinha desaparecido aos seis. Sem medição contínua, a empresa só descobre essa queda quando o incidente acontece.
Acompanhe as métricas mês a mês e observe as curvas. Queda sustentada indica mudança de comportamento. Queda seguida de retorno indica que o reforço está espaçado demais.
6. Um indicador que a diretoria entende
As métricas operacionais servem à equipe de segurança. A diretoria precisa de uma visão consolidada: um índice de risco por pessoa, por área e pela empresa inteira, com a tendência ao longo do tempo.
Esse indicador conecta segurança a negócio. O custo médio de uma violação de dados no Brasil chegou a R$ 7,44 milhões em 2026, segundo a IBM. A LGPD exige medidas de segurança técnicas e administrativas (art. 46), e a ANPD determina que incidentes com risco ou dano relevante aos titulares sejam comunicados em até três dias úteis (Resolução CD/ANPD nº 15/2024). Mostrar com dados que o risco humano está caindo faz parte da prestação de contas.
Medir sem vigiar
Medir comportamento não é vigiar pessoas. Um bom programa de gestão de risco humano:
- informa os colaboradores sobre o que é medido e por quê;
- usa os dados para orientar e treinar, não para punir;
- coleta só o necessário, em linha com os princípios da LGPD;
- valoriza quem reporta, inclusive quem reporta o próprio erro.
Esse último ponto é decisivo. Se errar gera punição, as pessoas escondem o erro, e o reporte rápido, a métrica que mais protege, deixa de existir.
Como o RiskSafy mede o risco humano
O RiskSafy coleta sinais de comportamento com privacidade por padrão, transforma esses sinais em uma pontuação de risco dinâmica por pessoa, equipe e organização e dispara microtreinamentos quando o risco aparece. A diretoria acompanha a evolução em um painel, com evidências para auditorias e para a LGPD.
Quer entender o conceito por trás dessas métricas? Leia Gestão de risco humano: por que o treinamento anual não protege mais a sua empresa. E, para ver as métricas da sua empresa, agende uma demonstração.
Fontes
- Ho, G.; Mirian, A. et al. Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy, 2025. Resumo: UC San Diego Today.
- Lain, D.; Kostiainen, K.; Čapkun, S. Phishing in Organizations: Findings from a Large-Scale and Long-Term Study. IEEE Symposium on Security and Privacy, 2022.
- Verizon. 2024 Data Breach Investigations Report e 2026 Data Breach Investigations Report.
- Mimecast. The State of Human Risk 2026.
- IBM e Ponemon Institute. Cost of a Data Breach Report 2026 (dados do Brasil).
- Reinheimer, B. et al. An investigation of phishing awareness and education over time: When and how to best remind users. SOUPS, 2020.
- ANPD. Regulamento de Comunicação de Incidente de Segurança (Resolução CD/ANPD nº 15/2024).
- Brasil. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, art. 46.