À medida que as organizações evoluem seus programas de conscientização para modelos de Human Risk Management, surge um desafio técnico que parece simples à primeira vista, mas rapidamente se torna complexo: como transformar dezenas de informações relacionadas às pessoas em um indicador de risco que realmente ajude a tomar decisões? Durante muito tempo, essa análise esteve concentrada em poucas métricas. Um colaborador clicava em uma campanha simulada de phishing, sua exposição era considerada maior. Concluía um treinamento, seu indicador melhorava. Embora essa lógica tenha sido útil para os primeiros programas de conscientização, ela é limitada demais para representar o risco humano de uma organização.
Uma pessoa não representa risco apenas porque clicou em um e-mail, assim como concluir todos os treinamentos obrigatórios não significa necessariamente que ela represente baixo risco. Entre esses dois extremos existe uma quantidade enorme de informações que ajudam a compreender melhor a situação: quais acessos essa pessoa possui, quais informações manipula, se é frequentemente alvo de ataques, se possui credenciais expostas, como reage diante de situações suspeitas e qual seria o impacto para a organização caso sua identidade fosse comprometida. É justamente a combinação desses elementos que um Human Risk Score procura representar.
Imagine dois colaboradores que clicaram exatamente na mesma campanha de phishing. Se utilizarmos apenas esse evento como indicador, ambos deveriam receber praticamente a mesma avaliação. Agora considere que o primeiro trabalha em uma função administrativa, possui poucos acessos e não manipula informações críticas, enquanto o segundo é administrador de infraestrutura, possui privilégios elevados, acesso a ambientes sensíveis e teve recentemente uma credencial corporativa identificada em um vazamento externo. O comportamento observado foi exatamente o mesmo, mas seria difícil argumentar que o risco para a empresa também é igual.
Esse exemplo demonstra uma das limitações dos modelos de scoring baseados exclusivamente em eventos comportamentais. Um clique, uma falha em uma avaliação ou até mesmo um incidente anterior são sinais relevantes, mas não representam o risco isoladamente. Para chegar a uma visão mais próxima da realidade, precisamos combinar diferentes dimensões e compreender o contexto no qual esses eventos acontecem.
A primeira dessas dimensões está relacionada ao comportamento. Simulações de phishing são provavelmente a fonte mais conhecida, mas existem diversos outros sinais que podem ajudar a compreender como uma pessoa reage diante de situações de risco. Reportes de ameaças, reincidência em determinados comportamentos, interação com comunicações de segurança, resultados de avaliações e incidentes anteriores podem contribuir para formar essa visão.
Um modelo mais maduro também precisa considerar que nem todos os sinais comportamentais são negativos. Um colaborador que identifica e reporta rapidamente uma tentativa de phishing está produzindo um sinal positivo para a organização. Da mesma forma, alguém que apresentou comportamentos inadequados no passado, mas demonstra evolução consistente ao longo do tempo, não deveria carregar indefinidamente a mesma classificação de risco. O objetivo de um modelo desse tipo não pode ser simplesmente acumular erros, mas compreender como o comportamento está evoluindo.
A segunda dimensão envolve a exposição. Algumas identidades naturalmente recebem mais atenção dos atacantes devido à função que exercem, ao nível de visibilidade que possuem ou às informações às quais têm acesso. Executivos, profissionais financeiros, administradores de sistemas, equipes de Recursos Humanos e pessoas com grande exposição pública são exemplos bastante comuns.
Além da função, existem sinais externos que podem modificar significativamente essa exposição. Uma credencial corporativa encontrada em um vazamento recente, informações profissionais excessivamente detalhadas disponíveis publicamente ou a identificação de ataques direcionados contra determinada pessoa alteram a probabilidade de comprometimento, mesmo que seu comportamento histórico seja considerado adequado.
Essa distinção é importante porque uma pessoa pode apresentar excelentes hábitos de segurança e ainda assim exigir controles adicionais simplesmente porque é um alvo muito mais interessante para os criminosos. Human Risk Management precisa conseguir enxergar as duas situações.
[](#fale-com-especialista)
A terceira dimensão está relacionada ao contexto e ao impacto potencial de um comprometimento. Dois usuários podem apresentar comportamento e exposição semelhantes, mas ainda representar riscos completamente diferentes devido aos acessos que possuem.
Uma conta utilizada apenas para atividades administrativas básicas não tem o mesmo potencial de impacto de uma identidade capaz de administrar servidores, acessar propriedade intelectual, consultar grandes volumes de dados pessoais ou aprovar pagamentos relevantes. Por esse motivo, informações provenientes de sistemas de identidade, IAM e IGA tornam-se especialmente valiosas na construção de uma visão de risco humano.
Cargo, função, grupos, privilégios, sistemas acessados e criticidade das informações disponíveis ajudam a transformar sinais isolados em contexto. Esse raciocínio segue um princípio bastante tradicional da própria gestão de riscos: não basta compreender a probabilidade de um evento, também precisamos considerar suas possíveis consequências.
Depois de reunir diferentes sinais, surge naturalmente a necessidade de definir sua importância relativa. Clicar em um link simulado não deveria ter necessariamente o mesmo peso de fornecer credenciais, assim como uma falha em um quiz não deveria ser tratada da mesma forma que uma credencial corporativa identificada em um vazamento recente.
Atribuir pesos, entretanto, resolve apenas parte do problema. Um erro comum seria imaginar que basta definir uma pontuação para cada evento e somar os resultados. Na prática, a relação entre os sinais pode ser muito mais relevante do que sua quantidade.
Considere novamente um administrador privilegiado. Uma credencial exposta representa um sinal relevante. A reincidência em campanhas de phishing representa outro. Tentativas recentes de engenharia social direcionadas contra essa pessoa acrescentam uma terceira informação. Cada evento possui significado individual, mas a combinação dos três cria um cenário muito mais importante do que a simples soma das pontuações.
É justamente nesse ponto que a correlação passa a ter um papel central. Dez eventos de baixa relevância não necessariamente representam um risco maior do que uma combinação específica de poucos sinais críticos. Quanto mais fontes de telemetria são incorporadas ao modelo, maior se torna a necessidade de interpretar relações entre comportamento, exposição e impacto.
Outro aspecto importante é a temporalidade. Imagine um usuário que clicou em uma campanha de phishing dois anos atrás, participou das ações de conscientização recomendadas e, desde então, passou a identificar e reportar corretamente mensagens suspeitas. Seria razoável manter aquele evento antigo com exatamente o mesmo impacto sobre seu risco atual?
Modelos mais dinâmicos podem utilizar mecanismos de decaimento temporal, frequentemente chamados de _time decay_, para reduzir gradualmente a influência de determinados eventos quando não existe reincidência. Ao mesmo tempo, novos comportamentos semelhantes podem interromper esse processo e aumentar novamente a relevância daquele histórico.
Essa lógica é importante porque o risco humano muda continuamente. Pessoas assumem novas funções, recebem acessos adicionais, entram em projetos críticos, tornam-se gestores, têm credenciais expostas ou passam a ser alvo de ataques específicos. Da mesma forma, comportamentos também podem melhorar. Um score atualizado apenas ocasionalmente dificilmente conseguirá representar todas essas mudanças.
Uma arquitetura moderna de Human Risk Management pode consumir informações de diversas fontes já existentes dentro da organização. Plataformas de conscientização e phishing fornecem sinais comportamentais, enquanto soluções de IAM e IGA ajudam a compreender identidade, acesso e privilégios. Ferramentas de DLP podem oferecer informações relacionadas à manipulação de dados, EDR e XDR adicionam contexto sobre endpoints, SIEMs centralizam eventos provenientes de diferentes tecnologias e serviços externos podem identificar credenciais expostas ou outras informações relevantes sobre a superfície de ataque.
Nenhuma dessas fontes, isoladamente, consegue explicar completamente o risco humano. O valor aparece quando essas informações começam a ser correlacionadas. Essa abordagem também está alinhada à lógica do [NIST Cybersecurity Framework 2.0](https://www.nist.gov/cyberframework), que trabalha a gestão de risco a partir de contexto, impacto e priorização, em vez de simplesmente tratar todos os eventos da mesma maneira.
Isso também significa que um Human Risk Score não precisa nascer com dezenas de integrações. É possível começar utilizando as fontes disponíveis e aumentar progressivamente a qualidade do indicador à medida que novas informações são incorporadas.
Existe outro requisito que considero particularmente importante quando estamos falando sobre indicadores associados a pessoas: explicabilidade. Imagine informar a um gestor que determinado colaborador possui risco 87 em uma escala de 0 a 100. A pergunta seguinte provavelmente será: por quê?
Se o sistema não consegue explicar quais sinais contribuíram para aquele resultado, quando aconteceram, qual importância receberam e quais elementos de contexto aumentaram ou reduziram sua relevância, o score rapidamente se transforma em uma espécie de caixa-preta. Isso reduz seu valor operacional e pode criar problemas adicionais de governança.
A explicabilidade é importante para a equipe de segurança, que precisa decidir como tratar o risco, mas também para Recursos Humanos, Privacidade e para os próprios gestores. Quando informações relacionadas às pessoas são utilizadas para orientar decisões, compreender a lógica por trás do indicador deixa de ser apenas uma característica técnica desejável e passa a ser parte importante da governança do modelo.
O [NIST Privacy Framework](https://www.nist.gov/privacy-framework) também oferece princípios importantes para pensar sobre o tratamento responsável de informações relacionadas às pessoas, especialmente quando diferentes fontes de dados começam a ser correlacionadas para produzir novos indicadores.
Embora seja natural imaginar um Human Risk Score associado a cada pessoa, essa não precisa ser sua única aplicação. Os mesmos sinais podem ser agregados para produzir indicadores por área, função, unidade de negócio ou para a própria organização.
Essa visão é particularmente útil para identificar tendências. Uma área financeira pode começar a apresentar aumento de exposição a ataques direcionados. Uma unidade de negócio pode demonstrar redução consistente na taxa de reporte. Um grupo de administradores privilegiados pode apresentar uma combinação de exposição e impacto que justifique controles adicionais.
Ao observar esses padrões, a organização consegue utilizar o score como instrumento de gestão e priorização, evitando transformar Human Risk Management em uma simples classificação individual de colaboradores.
[](#fale-com-especialista)
Talvez o maior erro possível seja investir na construção de um modelo sofisticado de risco e terminar com mais um indicador em um dashboard. Um score, por melhor que seja, não reduz risco sozinho. Seu valor aparece quando consegue orientar uma decisão.
Um aumento de risco pode indicar a necessidade de uma ação educativa específica, revisão de privilégios, aplicação de controles adicionais, investigação de um evento ou simplesmente acompanhamento mais próximo. Diferentes causas precisam produzir respostas diferentes. Se todas as pessoas classificadas como alto risco recebem automaticamente o mesmo treinamento, estaremos apenas utilizando uma tecnologia mais sofisticada para reproduzir uma abordagem antiga.
Human Risk Management exige compreender por que o risco aumentou e escolher um tratamento compatível com sua causa. Essa talvez seja a principal diferença entre medir comportamento e efetivamente gerenciar risco.
Durante muitos anos, as equipes de segurança desenvolveram uma enorme capacidade de coletar eventos tecnológicos. Hoje conseguimos observar endpoints, redes, aplicações, identidades e praticamente qualquer componente relevante da infraestrutura. O desafio seguinte é transformar parte dessa telemetria em contexto sobre as pessoas que interagem com esses ambientes.
Um Human Risk Score é uma maneira de organizar essa complexidade. Quando bem construído, combina comportamento, exposição e impacto, considera temporalidade, identifica correlações e mantém explicabilidade suficiente para que as equipes compreendam o resultado. Mas seu propósito não é descobrir quem é o “usuário mais perigoso” da empresa.
O objetivo é identificar onde existe maior exposição para que a organização consiga agir antes que uma combinação de sinais se transforme em um incidente. No final das contas, um bom Human Risk Score não serve para classificar pessoas. Ele serve para priorizar melhores decisões de segurança.