Personalizar um programa de conscientização parece uma ideia simples até tentarmos implementá-la em uma organização com centenas ou milhares de pessoas. É relativamente fácil criar treinamentos diferentes para áreas como financeiro, tecnologia, recursos humanos ou liderança. O desafio começa quando queremos que o programa responda não apenas à função exercida, mas também às mudanças de comportamento, exposição, privilégios, contexto e risco de cada identidade.
É justamente nesse ponto que Human Risk Management pode modificar a arquitetura tradicional de awareness. Em vez de utilizar apenas um calendário para determinar quem recebe determinado conteúdo ou participa de uma simulação, podemos utilizar sinais de risco para ajudar a decidir quando uma intervenção educacional é necessária, qual assunto precisa ser trabalhado e durante quanto tempo aquela pessoa deve permanecer em uma jornada específica.
Isso não significa substituir treinamentos obrigatórios ou abandonar campanhas corporativas. Existe uma camada básica de conhecimento que continuará sendo necessária para todos. Adaptive Awareness começa depois dessa camada, utilizando o contexto produzido pelo HRM para tornar as intervenções adicionais mais relevantes.
Também não significa que toda mudança no Human Risk Score deve gerar automaticamente um novo treinamento. Essa seria provavelmente uma das piores maneiras de implementar o conceito. Um score elevado pode ter causas que não possuem qualquer relação com conhecimento ou comportamento e, nesses casos, treinamento pode simplesmente não ser o tratamento adequado.
A arquitetura precisa compreender primeiro a causa do risco e somente depois decidir se awareness pode ajudar a reduzi-lo.
Uma implementação muito simples de Adaptive Awareness poderia funcionar com uma regra como: usuários com Human Risk Score acima de 80 recebem treinamento adicional. Tecnicamente isso é fácil de construir, mas utiliza muito pouco da inteligência que um modelo de HRM pode oferecer.
Considere duas pessoas com score 85. A primeira apresenta reincidência em simulações de phishing e dificuldade consistente para identificar páginas falsas de autenticação. A segunda possui ótimo desempenho em awareness, mas acabou de receber privilégios administrativos sobre uma infraestrutura crítica. O score final é semelhante, mas apenas no primeiro caso existe uma indicação clara de que uma intervenção educacional pode atuar diretamente sobre a causa do risco.
Por isso, Adaptive Awareness precisa consumir os fatores que compõem o risco, e não apenas sua representação numérica. A plataforma deve saber se determinada alteração está associada a comportamento, exposição, contexto ou impacto e, dentro dessas dimensões, quais sinais específicos contribuíram para a mudança.
Essa decomposição permite trabalhar com regras muito mais úteis. Em vez de “score maior que 80”, podemos identificar, por exemplo, uma sequência de comportamentos relacionados ao mesmo tipo de engenharia social, combinada com ausência de melhoria depois de intervenções anteriores. Em outro cenário, podemos perceber que uma pessoa passou a ocupar uma função altamente exposta a BEC e precisa de preparação específica mesmo sem possuir qualquer histórico negativo.
Nos dois casos existe uma necessidade educacional, mas ela surgiu por razões diferentes e deveria produzir jornadas diferentes.
A segmentação por área continua sendo útil. Profissionais de desenvolvimento, financeiro, RH e infraestrutura possuem necessidades diferentes e determinados conteúdos podem ser definidos previamente para cada função. O problema é utilizar o organograma como única fonte de personalização.
Uma arquitetura adaptativa precisa conseguir criar grupos dinâmicos. Em vez de pertencer permanentemente a uma segmentação, uma identidade pode entrar em determinado grupo quando uma condição aparece e sair quando essa condição deixa de existir.
Imagine que a organização identifique um crescimento de ataques de device code phishing contra usuários de Microsoft 365. Pessoas que apresentem determinada exposição, utilizem aplicações relacionadas ou ocupem funções mais visadas podem temporariamente entrar em um grupo que recebe conteúdo específico e uma simulação adequada àquele vetor. Depois de um período e de determinados critérios de evolução, essas identidades podem deixar o grupo.
Outro grupo pode ser criado para pessoas que passaram a utilizar ferramentas de inteligência artificial generativa e precisam compreender melhor regras relacionadas ao compartilhamento de informações corporativas. Nesse caso, os participantes podem vir de tecnologia, marketing, jurídico, vendas e recursos humanos. O que os aproxima não é a posição no organograma, mas uma necessidade de segurança comum naquele momento.
Esse modelo permite que grupos sejam formados a partir da combinação de atributos relativamente estáticos, como função ou área, com sinais dinâmicos relacionados a risco. É justamente essa combinação que diferencia segmentação tradicional de Adaptive Awareness.
Quando falamos em personalização de treinamento, normalmente pensamos em escolher assuntos diferentes para pessoas diferentes. Esse é apenas um dos elementos que podem ser adaptados.
A frequência também pode variar. Uma pessoa que apresenta dificuldade recorrente diante de determinado tipo de ameaça pode precisar de intervenções mais próximas durante algum período. Quando demonstra evolução consistente, essa frequência pode voltar ao nível normal. Isso evita tanto a falta de atenção quanto o excesso de treinamento.
O formato é outra variável importante. Nem toda necessidade exige um curso completo. Uma intervenção pode ser um conteúdo de poucos minutos, uma comunicação contextual, uma simulação específica ou uma orientação apresentada logo depois de determinado comportamento. Em algumas situações, a melhor resposta pode ser simplesmente reforçar uma informação no momento em que ela se torna relevante.
A dificuldade das simulações também pode ser ajustada. Pessoas que já demonstram facilidade em identificar ataques básicos podem receber cenários mais sofisticados, enquanto outras podem continuar trabalhando fundamentos até apresentarem evolução. Essa progressão é mais útil do que aplicar exatamente a mesma campanha para toda a organização e comparar pessoas que estavam em níveis diferentes desde o início.
O momento também faz diferença. Se uma pessoa acabou de assumir uma função financeira com poder de aprovação, não precisamos esperar pela próxima campanha trimestral para trabalhar BEC. Se alguém recebeu privilégios administrativos, conteúdos relacionados a identidade, autenticação e engenharia social direcionada podem ser apresentados próximos dessa mudança. A intervenção passa a responder ao contexto em vez de depender exclusivamente do calendário.
[](#fale-com-especialista)
Campanhas de phishing simuladas tradicionalmente são utilizadas para medir o comportamento de grupos relativamente grandes. Em muitos programas, todos recebem o mesmo conjunto de cenários ou variações distribuídas aleatoriamente. Essa abordagem é útil para estabelecer indicadores comparáveis, mas não necessariamente é a melhor estratégia quando o objetivo passa a ser redução de risco individual ou de grupos específicos.
Em um modelo adaptativo, simulações podem ser selecionadas de acordo com necessidades identificadas. Uma pessoa que apresenta dificuldade recorrente com páginas falsas de autenticação pode receber cenários relacionados a credenciais. Outra que trabalha em uma área altamente exposta a fraude financeira pode participar de simulações de BEC. Executivos podem receber cenários relacionados a impersonation, convites falsos, compartilhamento de documentos ou comunicações que explorem autoridade.
É importante, porém, evitar transformar isso em uma escalada permanente de dificuldade. O objetivo de uma simulação não deveria ser provar que a equipe de segurança consegue enganar qualquer pessoa. Cenários excessivamente sofisticados podem produzir métricas interessantes, mas pouco valor educacional se não estiverem relacionados às ameaças que aquela população realmente enfrenta.
Adaptive Awareness deveria utilizar risco para aumentar relevância, não simplesmente para tornar os testes mais difíceis.
Também precisamos preservar algum nível de campanhas comuns. Se cada pessoa receber sempre cenários completamente diferentes, perdemos parte da capacidade de comparar tendências entre grupos e acompanhar indicadores organizacionais. Uma arquitetura madura pode combinar campanhas de baseline, utilizadas para comparação, com intervenções adaptativas direcionadas a necessidades específicas.
Uma arquitetura baseada em sinais precisa tomar cuidado para não transformar qualquer evento em uma intervenção. Uma pessoa pode clicar em uma simulação de phishing uma vez por distração, interpretar incorretamente uma mensagem ou apresentar determinado comportamento isolado sem que isso represente uma necessidade persistente.
Por isso, regras adaptativas precisam considerar temporalidade, recorrência e histórico. Três eventos relacionados ocorridos em poucas semanas possuem significado diferente dos mesmos três eventos distribuídos ao longo de vários anos. Da mesma maneira, um comportamento que continua aparecendo depois de uma intervenção anterior merece atenção diferente de um evento que nunca voltou a ocorrer.
O histórico de tratamentos também precisa fazer parte da decisão. Se uma pessoa acabou de concluir um conteúdo sobre determinado tema, enviar novamente o mesmo treinamento poucos dias depois provavelmente produzirá pouco benefício. O sistema deve conhecer intervenções recentes, resultados e períodos de espera antes de decidir qual será o próximo passo.
Isso exige que a arquitetura de awareness mantenha estado. Não basta receber eventos e executar regras independentes. Precisamos compreender em que jornada aquela identidade está, quais ações já foram realizadas, quais resultados foram observados e quando uma nova intervenção realmente faz sentido.
Essa memória também evita loops de automação. Sem ela, o mesmo conjunto de sinais pode produzir repetidamente treinamentos, simulações ou comunicações, aumentando a fadiga e diminuindo a confiança no programa.
Grande parte dos sistemas de conscientização foi construída para registrar falhas. Sabemos quando alguém clicou, forneceu credenciais ou deixou de concluir um treinamento. Para construir uma arquitetura adaptativa mais equilibrada, precisamos observar também aquilo que a pessoa faz corretamente.
Reportar uma mensagem suspeita é um sinal importante. Identificar corretamente ataques em simulações, demonstrar melhoria ao longo do tempo, concluir intervenções e deixar de repetir determinados comportamentos também deveriam influenciar as decisões do motor.
Isso permite criar mecanismos de saída dos grupos adaptativos. Se alguém entrou em uma jornada porque apresentava dificuldade recorrente com determinado tipo de ataque e posteriormente demonstra evolução consistente, não existe motivo para mantê-lo indefinidamente naquela mesma frequência de intervenção.
Esse ponto parece simples, mas muda bastante a arquitetura. Se utilizarmos apenas sinais negativos, o risco tende a funcionar como um acumulador: cada evento acrescenta alguma coisa e existe pouca capacidade de reconhecer evolução. Quando incluímos sinais positivos e temporalidade, conseguimos representar melhor a situação atual da identidade.
Do ponto de vista educacional, isso também é importante. Adaptive Awareness não deveria funcionar como um sistema de punição no qual determinados comportamentos levam a uma quantidade crescente de treinamentos. O objetivo é identificar necessidades, atuar sobre elas e reconhecer quando aquela necessidade foi reduzida.
Adaptive Awareness não deveria funcionar como uma via de mão única na qual o HRM envia pessoas para treinamentos. Os resultados das intervenções precisam voltar para o modelo de risco.
Imagine que o HRM identifique uma sequência de comportamentos relacionados a phishing e coloque uma pessoa em uma jornada específica. Ela realiza conteúdos direcionados, participa de novas simulações e passa a reportar corretamente mensagens suspeitas. Se o Human Risk Score continuar representando apenas os eventos negativos anteriores, o sistema não estará refletindo a mudança que acabou de ocorrer.
O mesmo vale para situações em que a intervenção não funciona. Se uma pessoa continua apresentando o mesmo comportamento depois de diferentes abordagens, talvez seja necessário mudar o tratamento. Repetir indefinidamente o mesmo conteúdo não deveria ser a única resposta possível.
Por isso, o ciclo precisa funcionar nos dois sentidos. O HRM identifica uma necessidade e orienta awareness. Awareness realiza a intervenção e produz novos sinais. Esses sinais retornam ao HRM e ajudam a determinar se o risco diminuiu, permaneceu estável ou aumentou.
Essa integração transforma treinamento em um mecanismo de tratamento mensurável. Em vez de perguntar apenas se a pessoa concluiu o conteúdo, começamos a perguntar se aquela intervenção modificou a condição que justificou sua aplicação.
Quanto mais dados utilizamos para personalizar intervenções, mais importante se torna definir limites claros sobre quais informações realmente são necessárias. Adaptive Awareness não precisa conhecer todos os aspectos da atividade de uma pessoa para funcionar. Ele precisa receber sinais relacionados à finalidade específica de reduzir risco de segurança.
Essa distinção é importante porque existe uma linha entre utilizar contexto para melhorar segurança e transformar conscientização em um mecanismo de monitoramento excessivo. O fato de uma organização possuir tecnicamente acesso a determinada informação não significa que ela precise utilizá-la para decidir quem recebe um treinamento.
A arquitetura deveria trabalhar com minimização desde o início. Sempre que possível, o motor adaptativo pode consumir um sinal normalizado em vez do conteúdo original que produziu aquele sinal. Se uma ferramenta de segurança já determinou que ocorreu determinado comportamento relevante, talvez não exista necessidade de enviar todo o conteúdo associado para a plataforma de awareness.
Também precisamos de transparência sobre os critérios utilizados. Gestores do programa devem conseguir compreender por que determinada pessoa entrou em uma jornada e quais condições permitirão sua saída. Essa explicabilidade reduz decisões arbitrárias e facilita a governança do modelo.
Esse ponto se torna ainda mais importante quando Adaptive Awareness utiliza informações provenientes de outras tecnologias, como IAM, DLP, CASB ou EDR. O objetivo não é transformar todos esses sistemas em ferramentas de avaliação das pessoas, mas utilizar sinais específicos e proporcionais quando eles realmente contribuem para uma decisão de segurança.
O modelo tradicional de conscientização continuará tendo espaço. Organizações ainda precisarão planejar campanhas, cumprir requisitos regulatórios, manter conteúdos obrigatórios e trabalhar temas que precisam alcançar toda a população. Adaptive Awareness não substitui essa estrutura. Ele adiciona uma segunda camada.
A primeira camada estabelece o conhecimento básico que a organização espera de todos. A segunda observa diferenças de função, exposição, comportamento e contexto para identificar necessidades adicionais. Algumas pessoas podem receber intervenções temporárias sobre temas específicos, enquanto outras permanecem apenas no programa padrão. Conforme o risco muda, os grupos e jornadas também mudam.
Tecnicamente, isso exige integração entre o motor de Human Risk Management e a plataforma de awareness, resolução consistente de identidade, grupos dinâmicos, regras de entrada e saída, histórico de intervenções, temporalidade e mecanismos capazes de devolver os resultados para o modelo de risco.
Mas a mudança mais importante talvez seja conceitual. O treinamento deixa de ser apenas uma atividade programada e passa a funcionar como um controle que pode ser aplicado quando determinadas condições de risco indicam que educação é o tratamento adequado.
Nesse modelo, não precisamos escolher entre treinamento para todos ou uma personalização impossível de administrar individualmente. Podemos manter uma base comum e utilizar automação para criar jornadas dinâmicas quando elas realmente fazem sentido.
O resultado esperado não é aumentar a quantidade de conteúdos consumidos nem a frequência das simulações. É fazer com que cada intervenção tenha uma razão clara para existir e seja aplicada no momento em que possui maior chance de reduzir risco.
É nesse ponto que awareness deixa de ser apenas um programa baseado em calendário e passa a funcionar como uma capacidade adaptativa dentro de Human Risk Management.