À medida que o conceito de Human Risk Management começa a ganhar espaço nas estratégias de cibersegurança, algumas perguntas surgem naturalmente. Uma delas é particularmente importante: se estamos utilizando dados relacionados às pessoas para identificar comportamentos de risco, qual é a diferença entre Human Risk e Insider Risk?
A dúvida faz sentido porque existe uma área de interseção entre os dois conceitos. Ambos observam pessoas, identidades, comportamentos, acessos e possíveis impactos para a organização. Em determinados momentos, inclusive, podem utilizar sinais provenientes das mesmas tecnologias. Ainda assim, estamos falando de problemas diferentes.
Compreender essa diferença é importante não apenas para organizar melhor a estratégia de segurança, mas também para evitar uma interpretação que considero perigosa: transformar a gestão do risco humano em uma espécie de sistema permanente de vigilância dos colaboradores.
Human Risk Management não deveria partir da pergunta “qual funcionário pode prejudicar a empresa?”.
A pergunta é muito mais ampla: **quais fatores relacionados às pessoas aumentam ou reduzem o risco da organização?** Essa pequena diferença muda praticamente tudo.
Uma das premissas fundamentais da gestão de risco humano é reconhecer que qualquer identidade presente dentro de uma organização possui algum nível de risco associado. Isso não acontece porque devemos desconfiar das pessoas. Acontece simplesmente porque elas possuem acessos, manipulam informações, utilizam sistemas e tomam decisões capazes de produzir algum impacto para o negócio.
Um colaborador pode receber um e-mail de phishing e fornecer sua credencial. Um executivo pode ser vítima de uma tentativa sofisticada de engenharia social. Um desenvolvedor pode compartilhar acidentalmente código-fonte com uma ferramenta de inteligência artificial. Um profissional financeiro pode acreditar em uma solicitação fraudulenta de alteração de dados bancários.
Nenhuma dessas situações exige intenção maliciosa. Na maioria das vezes, estamos falando de pessoas legítimas executando atividades legítimas que, em determinado contexto, podem resultar em risco. É justamente essa amplitude que está no centro do Human Risk.
Insider Risk está tradicionalmente relacionado aos riscos associados a pessoas que possuem ou possuíram acesso legítimo aos ativos de uma organização e que, por ação intencional ou não intencional, podem causar algum tipo de impacto.
O conceito é mais amplo do que a figura clássica do funcionário mal-intencionado roubando informações antes de sair da empresa. Um incidente interno também pode acontecer por negligência, erro ou utilização inadequada de recursos.
Ainda assim, programas de Insider Risk normalmente concentram grande parte de seus esforços na identificação de comportamentos que possam indicar utilização inadequada de acessos legítimos, movimentação incomum de informações, fraude, sabotagem ou exfiltração de dados.
O [CERT Insider Threat Center da Carnegie Mellon University](https://insights.sei.cmu.edu/insider-threat/?utm_source=chatgpt.com) trabalha há décadas com esse problema e ajudou a consolidar uma visão segundo a qual ameaças internas podem envolver funcionários, contratados e parceiros que possuem conhecimento ou acesso autorizado aos sistemas e informações da organização.
Essa é uma disciplina extremamente importante. Mas não é exatamente a mesma coisa que Human Risk Management.
Talvez essa seja a diferença mais fácil de compreender. Imagine uma nova diretora financeira entrando na empresa amanhã. Ela ainda não clicou em nenhuma campanha de phishing, não apresentou qualquer comportamento inseguro e nunca esteve envolvida em um incidente. Ainda assim, existe risco.
Ela provavelmente terá acesso a informações financeiras sensíveis, poderá participar de processos de aprovação relevantes, terá contato com bancos e fornecedores e, devido à posição que ocupa, poderá se tornar um alvo interessante para criminosos.
O simples contexto daquela identidade já cria uma combinação de exposição e impacto que precisa ser considerada pela organização. Human Risk Management procura enxergar exatamente esse cenário.
Não precisamos esperar um comportamento suspeito aparecer para reconhecer que determinadas pessoas, funções ou grupos possuem níveis diferentes de exposição.
Essa distinção também é importante no sentido contrário. Imagine um colaborador que tentou enviar um documento confidencial para sua conta pessoal. O evento merece atenção, mas existem várias explicações possíveis.
Talvez estivesse tentando continuar uma atividade em casa. Pode não ter compreendido a classificação do documento. Pode estar utilizando um processo inadequado que se tornou comum naquela área. Ou pode, naturalmente, estar tentando retirar informações da empresa de maneira deliberada. O evento é o mesmo. A intenção pode ser completamente diferente.
Um dos riscos de misturar Human Risk e Insider Risk é começar a interpretar qualquer comportamento inadequado como evidência de ameaça.
Esse tipo de abordagem pode gerar falsos positivos, investigações desnecessárias e, principalmente, deteriorar a relação de confiança entre Segurança e os colaboradores. Human Risk Management deveria utilizar esses sinais para compreender e reduzir risco, não para inferir automaticamente intenção.
[](#fale-com-especialista)
Considere agora dois colaboradores que cometeram exatamente o mesmo erro em uma campanha simulada de phishing. Se olharmos apenas para o comportamento, ambos parecem iguais.
Mas um deles trabalha em uma função com poucos acessos, enquanto o outro possui privilégios administrativos sobre sistemas críticos. Um possui pouca exposição pública, enquanto o outro participa constantemente de eventos e publica grande quantidade de informações profissionais. Um manipula dados de baixo impacto, enquanto o outro possui acesso a informações estratégicas.
O comportamento foi igual. O risco não. É por isso que Human Risk Management precisa considerar dimensões como comportamento, exposição, contexto e impacto.
O objetivo não é descobrir apenas o que uma pessoa fez. É compreender o que aquele sinal significa dentro da realidade daquela identidade.
Embora sejam disciplinas diferentes, existe uma área de interseção importante. Sinais relacionados a movimentação incomum de informações, tentativas de contornar controles, acessos fora do padrão ou utilização inadequada de aplicações podem ser relevantes tanto para um programa de Insider Risk quanto para Human Risk Management.
A diferença está principalmente na pergunta que queremos responder. Insider Risk pode perguntar: **“Esse conjunto de comportamentos indica uma possível ameaça originada por alguém com acesso legítimo?”**
Human Risk Management pode perguntar: **“Esse conjunto de sinais aumentou o risco associado a essa identidade e precisamos aplicar algum tratamento?”**
As respostas também podem ser diferentes.
Em um caso pode ser necessária uma investigação. Em outro, pode fazer mais sentido revisar privilégios, modificar um processo, aplicar um controle técnico ou oferecer uma orientação específica. As duas disciplinas podem compartilhar sinais sem necessariamente compartilhar objetivos.
Existe outro ponto que considero particularmente relevante. Do ponto de vista da organização, um incidente pode produzir exatamente o mesmo impacto independentemente da intenção da pessoa envolvida.
Um arquivo confidencial enviado deliberadamente para fora da empresa pode gerar um vazamento. O mesmo arquivo enviado por engano também pode gerar um vazamento. Para o processo de investigação e para eventuais consequências jurídicas ou disciplinares, a intenção evidentemente importa muito.
Para a existência do risco, nem sempre.
Human Risk Management permite justamente atuar nessa camada anterior. Podemos identificar condições que aumentam a probabilidade de um incidente e tentar reduzi-las antes de precisar discutir se determinado comportamento foi malicioso, negligente ou simplesmente acidental. Essa abordagem aproxima HRM da prevenção.
Quanto mais dados relacionados às pessoas começamos a utilizar, maior precisa ser nossa preocupação com governança. É tecnicamente possível coletar uma quantidade enorme de informações sobre a atividade digital de um colaborador. Isso não significa que seja necessário ou adequado fazê-lo.
Um programa maduro de Human Risk Management precisa trabalhar com finalidade clara, proporcionalidade, minimização de dados, transparência e controles rigorosos de acesso às informações.
O [NIST Privacy Framework](https://www.nist.gov/privacy-framework?utm_source=chatgpt.com) oferece uma referência interessante para pensar sobre como organizações podem utilizar dados para gerenciar riscos sem ignorar as possíveis consequências para a privacidade das pessoas.
Essa discussão será cada vez mais importante conforme plataformas de segurança passem a correlacionar dados de identidade, comportamento, exposição e contexto. Se o objetivo do HRM passar a ser observar tudo o que cada funcionário faz, teremos perdido completamente o propósito.
Essa talvez seja uma das mensagens mais importantes para quem está começando a trabalhar com Human Risk Management. Classificar uma identidade como de maior risco não significa afirmar que aquela pessoa é irresponsável, negligente ou mal-intencionada.
Um CEO pode possuir risco elevado simplesmente porque sua identidade tem enorme valor para um atacante. Um administrador pode aparecer em uma faixa de risco superior porque possui privilégios capazes de gerar grande impacto. Um profissional financeiro pode exigir controles adicionais porque está constantemente exposto a tentativas de fraude.
O risco pertence ao contexto, não ao caráter da pessoa. Essa distinção precisa estar presente na comunicação, nos indicadores e principalmente na forma como as organizações utilizam essas informações.
Quando compreendemos a causa do risco, percebemos que nem todos os casos exigem a mesma resposta.
Se uma pessoa apresenta dificuldade recorrente para reconhecer determinados ataques, uma ação de conscientização direcionada pode ajudar. Se o risco está associado a privilégios excessivos, a resposta precisa envolver identidade e acesso. Se determinada função está sendo intensamente atacada, controles adicionais podem ser necessários.
Quando existem sinais que justificam suspeita de comportamento intencional, aí sim processos específicos de Insider Risk, investigação, Jurídico, Recursos Humanos e outras áreas podem precisar entrar em ação.
Human Risk Management não substitui essas disciplinas. Ele ajuda a identificar e tratar uma superfície muito mais ampla de riscos relacionados às pessoas.
Na prática, vejo Human Risk e Insider Risk como disciplinas complementares. Insider Risk possui profundidade importante na identificação e investigação de riscos originados por pessoas com acesso legítimo. Human Risk Management amplia a lente para observar como comportamento, exposição, contexto e impacto se combinam para produzir risco, mesmo quando não existe qualquer indicação de intenção maliciosa.
Em organizações maduras, essas visões podem compartilhar informações e colaborar entre si. Um sinal identificado pelo HRM pode justificar uma investigação de Insider Risk. Uma investigação pode produzir novos sinais relevantes para a avaliação de risco humano. Uma mudança de privilégio pode alterar completamente a avaliação de uma identidade.
O importante é manter clareza sobre o propósito de cada disciplina.
Durante muito tempo, a indústria de segurança utilizou expressões como “o usuário é o elo mais fraco”. Esse tipo de narrativa ajudou a criar uma relação pouco saudável entre segurança e pessoas. Human Risk Management nos oferece uma oportunidade de construir algo diferente.
Podemos reconhecer que pessoas representam risco sem transformá-las em ameaças. Podemos observar comportamentos sem presumir intenção. Podemos utilizar dados para priorizar proteção sem criar mecanismos de vigilância permanente.
Insider Risk continuará sendo uma disciplina fundamental para organizações que precisam identificar e responder a riscos originados internamente. Human Risk Management também continuará evoluindo como uma forma mais ampla de compreender como pessoas influenciam a exposição cibernética do negócio.
Os dois conceitos se encontram em vários pontos, mas não são sinônimos.
Talvez a melhor forma de compreender a diferença seja bastante simples: **Insider Risk procura entender quando alguém com acesso legítimo pode representar uma ameaça para a organização. Human Risk Management procura compreender como qualquer identidade humana pode aumentar ou reduzir o risco, independentemente de existir intenção maliciosa.**
E manter essa diferença clara será fundamental para que a gestão do risco humano evolua sem transformar segurança em desconfiança.