Todo ano, o relatório de violações de dados da Verizon analisa milhares de incidentes reais. Na edição de 2026, a conclusão sobre pessoas se repetiu: o elemento humano esteve presente em 62% das violações. Um clique, uma senha reaproveitada, um anexo aberto, uma ligação que parecia legítima.
No Brasil, a conta também cresce. O estudo Cost of a Data Breach 2026, da IBM com o Ponemon Institute, calculou o custo médio de uma violação de dados no país em R$ 7,44 milhões, o maior valor da série histórica. Phishing e ataques pela cadeia de suprimentos foram as portas de entrada mais comuns.
A resposta tradicional para esse risco é o treinamento anual: um curso obrigatório, uma prova no final e um certificado para a auditoria. As pesquisas mostram que isso já não basta. É por isso que o mercado passou a falar em gestão de risco humano.
O problema não é falta de informação
Seria confortável acreditar que as pessoas erram porque não sabem. Os dados dizem outra coisa.
No relatório State of the Phish 2024, da Proofpoint, 71% dos profissionais entrevistados admitiram ter feito algo arriscado no trabalho, como reutilizar ou compartilhar senhas. Desses, 96% sabiam que era arriscado. Fizeram mesmo assim, por pressa, conveniência ou costume.
O risco humano é um problema de comportamento, não de conhecimento. E comportamento não muda com uma aula por ano.
O que as pesquisas dizem sobre o treinamento anual
Dois estudos acadêmicos ajudam a entender o limite do modelo tradicional.
O primeiro foi conduzido pela Universidade da Califórnia em San Diego com mais de 19.500 funcionários da UC San Diego Health, durante oito meses, em um experimento controlado com dez campanhas de phishing simulado. Os pesquisadores não encontraram relação significativa entre ter concluído recentemente o treinamento anual obrigatório e a chance de cair em um golpe. O estudo foi apresentado no IEEE Symposium on Security and Privacy de 2025.
O segundo, de pesquisadores do Karlsruhe Institute of Technology, na Alemanha, acompanhou 409 funcionários de um órgão público depois de um programa de conscientização. A melhora na identificação de phishing aparecia logo após o treinamento e ainda quatro meses depois. Aos seis meses, o efeito tinha desaparecido. A recomendação dos autores: reforçar o conteúdo pelo menos a cada seis meses.
Os dois estudos mostram o mesmo padrão. O conhecimento se perde com o tempo, e um evento isolado por ano deixa a empresa exposta na maior parte do calendário.
O que é gestão de risco humano
Em 2024, a Forrester, uma das principais consultorias de pesquisa em tecnologia do mundo, passou a chamar de Human Risk Management (gestão de risco humano) o mercado antes conhecido como conscientização e treinamento em segurança. A mudança de nome reflete uma mudança de objetivo: sair do "todos fizeram o curso?" para "o risco das pessoas está caindo?".
Na prática, gestão de risco humano é tratar o comportamento das pessoas como qualquer outro risco da empresa: identificar, medir, priorizar, agir e acompanhar. Isso muda o programa em cinco pontos.
1. Medir comportamento real, não só conclusão de curso
Taxa de conclusão mostra quem assistiu, não quem mudou. Um programa de gestão de risco humano acompanha sinais de comportamento: quem clica em simulações, quem reporta e-mails suspeitos, quem reaproveita senhas, quem instala software sem autorização, quem adia atualizações.
2. Priorizar quem concentra o risco
O risco humano não se distribui de forma igual. No relatório The State of Human Risk 2026, a Mimecast aponta que 8% dos funcionários respondem por 80% dos incidentes de segurança. Na maioria das vezes, não são pessoas mal-intencionadas, e sim profissionais sob cansaço, distração ou alvo de engenharia social sofisticada. Tratar todos da mesma forma desperdiça o tempo de quem tem baixo risco e entrega pouco para quem mais precisa.
3. Agir no momento certo
Se o efeito do treinamento cai em poucos meses, o reforço precisa ser contínuo e próximo do comportamento que se quer mudar. Microtreinamentos curtos, disparados quando o risco aparece, substituem a maratona anual.
4. Combinar pessoas e controles técnicos
Os próprios pesquisadores de San Diego recomendam que o treinamento venha acompanhado de controles técnicos, como autenticação em dois fatores e gerenciadores de senha que só preenchem credenciais no domínio correto. Gestão de risco humano não substitui a tecnologia: ela reduz o espaço em que o erro humano vira incidente.
5. Provar evolução para a diretoria e para a LGPD
A LGPD exige medidas de segurança técnicas e administrativas para proteger dados pessoais (art. 46) e cita as ações educativas entre as regras de boas práticas e de governança (art. 50). A adoção dessas políticas é, inclusive, um dos critérios que a ANPD considera ao aplicar sanções (art. 52). Com métricas de comportamento, a empresa deixa de apresentar só certificados e passa a mostrar a tendência do risco ao longo do tempo.
Por onde começar
Você não precisa trocar todo o programa de uma vez. Quatro passos já mudam o jogo:
- Defina a linha de base. Meça hoje como as pessoas reagem a phishing e quais práticas de risco são mais comuns.
- Encontre onde o risco se concentra. Identifique as áreas, funções e pessoas mais expostas.
- Troque o evento anual por reforço contínuo. Conteúdo curto, frequente e ligado ao risco de cada pessoa.
- Acompanhe a tendência. O indicador que importa não é quantos concluíram o curso, é se o risco está caindo.
Para colocar isso em prática, veja como medir o risco humano com as métricas que realmente mostram se a sua empresa está mais segura.
Gestão de risco humano com o RiskSafy
O RiskSafy é a plataforma de Security Awareness com IA da Security Culture. Ele mede o comportamento real, calcula o risco de cada pessoa e entrega o treinamento certo, no momento certo, automaticamente. A diretoria enxerga onde a empresa está exposta e comprova que o risco está caindo.
Agende uma demonstração e veja como funciona na sua empresa.
Fontes
- Verizon. 2026 Data Breach Investigations Report.
- IBM e Ponemon Institute. Cost of a Data Breach Report 2026 (dados do Brasil).
- Proofpoint. 2024 State of the Phish.
- Ho, G.; Mirian, A. et al. Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy, 2025. Resumo: UC San Diego Today.
- Reinheimer, B. et al. An investigation of phishing awareness and education over time: When and how to best remind users. SOUPS, 2020.
- Forrester. The Future Is Now: Introducing Human Risk Management, 2024.
- Mimecast. The State of Human Risk 2026.
- Brasil. Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 46, 50 e 52.