Nos últimos anos, a discussão sobre o fator humano na cibersegurança começou a mudar. Durante muito tempo, a resposta das organizações para os riscos relacionados às pessoas esteve concentrada principalmente em treinamentos, campanhas de conscientização e simulações de phishing. Essas iniciativas continuam sendo importantes, mas o mercado começou a perceber que existe uma diferença significativa entre conscientizar pessoas e efetivamente gerenciar o risco que elas podem representar para o negócio.
É justamente nesse contexto que o Human Risk Management, ou Gestão do Risco Humano, vem ganhando espaço. Em vez de observar apenas quantos colaboradores concluíram um treinamento ou quantos clicaram em uma campanha simulada, a proposta é utilizar diferentes sinais para compreender onde estão os maiores riscos, quais fatores contribuem para eles e quais ações podem reduzi-los.
O conceito parece bastante lógico. O problema começa quando uma empresa decide colocá-lo em prática. É comum surgir a percepção de que será necessário integrar dezenas de ferramentas, construir modelos sofisticados de risco e coletar uma enorme quantidade de informações antes de começar. Na realidade, não precisa ser assim. A maioria das organizações já possui muitos dos dados necessários para dar os primeiros passos. O que falta, muitas vezes, é começar a olhar para essas informações sob a perspectiva de risco.
Praticamente toda organização com algum nível de maturidade em segurança já produz informações relacionadas ao comportamento de seus usuários. Campanhas de phishing mostram como as pessoas reagem diante de determinadas situações. Plataformas de treinamento registram participação e aprendizagem. Botões de reporte ajudam a identificar quem contribui ativamente para detectar ameaças. Sistemas de identidade mostram funções, grupos e acessos. Incidentes anteriores também produzem sinais importantes sobre comportamentos e exposição.
O primeiro passo para Human Risk Management não deveria ser buscar uma quantidade enorme de novos dados, mas compreender melhor aquilo que já está disponível.
Uma taxa de clique em phishing, por exemplo, normalmente é apresentada como um indicador agregado da organização. Mas, quando analisada ao longo do tempo, ela pode mostrar reincidência, evolução, diferenças entre áreas e comportamentos específicos. Da mesma forma, o reporte de uma mensagem suspeita deixa de ser apenas uma estatística operacional e passa a representar um sinal positivo sobre a capacidade daquele usuário de reconhecer ameaças.
A mudança começa justamente aí. O dado continua sendo o mesmo, mas a pergunta feita sobre ele muda.
Essa talvez seja uma das mudanças mais importantes para quem pretende evoluir para Human Risk Management.
Durante anos, aprendemos a medir programas de conscientização por atividades. Quantos treinamentos foram realizados? Qual foi o percentual de conclusão? Quantas campanhas de phishing foram executadas? Quantas pessoas clicaram?
Essas informações continuam úteis, principalmente para acompanhar a execução do programa e atender requisitos de governança e auditoria. O problema aparece quando tentamos utilizá-las para responder uma pergunta diferente: qual é o nosso risco humano?
Uma empresa pode atingir 100% de conclusão dos treinamentos obrigatórios e continuar exposta a incidentes relacionados às pessoas. Pode também reduzir significativamente sua taxa média de cliques enquanto um pequeno grupo de usuários com acessos críticos continua apresentando comportamentos preocupantes.
Human Risk Management exige justamente essa mudança de perspectiva. Em vez de perguntar apenas o que foi realizado, começamos a perguntar o que aqueles dados significam para o risco da organização.
[](#fale-com-especialista)
Considere dois colaboradores que apresentam exatamente o mesmo comportamento em uma campanha simulada de phishing. Ambos clicaram na mensagem e chegaram a uma página que simulava uma tentativa de captura de credenciais. Se analisarmos apenas o evento, os dois parecem representar o mesmo risco.
Agora imagine que um deles possui acesso limitado a sistemas internos, enquanto o outro administra infraestrutura crítica, acessa informações confidenciais e possui privilégios elevados. É evidente que as possíveis consequências de um comprometimento são diferentes.
Esse é um dos motivos pelos quais o contexto passa a ter tanta importância no Human Risk Management.
Cargo, função, área, privilégios, acesso a informações sensíveis, exposição pública e criticidade para determinados processos ajudam a compreender o impacto potencial associado a cada identidade. Quando esses elementos são combinados com sinais comportamentais, a organização começa a construir uma visão muito mais próxima do risco real.
Esse princípio não é exatamente novo. A gestão de riscos sempre considerou probabilidade e impacto. O que estamos fazendo é aplicar essa mesma lógica ao fator humano.
O [NIST Cybersecurity Framework 2.0](https://www.nist.gov/cyberframework?utm_source=chatgpt.com) reforça justamente uma abordagem baseada na compreensão, avaliação, priorização e tratamento dos riscos de cibersegurança. O Human Risk Management traz essa lógica para uma dimensão que durante muito tempo foi medida principalmente por indicadores educacionais.
Existe uma tentação natural de imaginar que um programa de HRM precisa começar com dezenas de integrações e um algoritmo extremamente sofisticado de scoring. Essa expectativa pode acabar impedindo que a organização avance.
É possível começar de forma muito mais simples.
Uma empresa que já possui treinamentos, campanhas de phishing, mecanismos de reporte e informações básicas sobre seus usuários já consegue criar uma primeira visão sobre comportamento e contexto. A partir daí, novas fontes podem ser adicionadas progressivamente.
Sistemas de identidade podem trazer informações sobre privilégios e acessos. DLP pode fornecer sinais relacionados à manipulação de dados. SIEM, EDR e outras ferramentas podem acrescentar eventos relevantes. Fontes externas podem indicar credenciais expostas ou aumento da superfície de ataque.
Cada nova informação aumenta a capacidade de contextualização, mas não deveria ser um pré-requisito para começar.
Maturidade em Human Risk Management é construída progressivamente.
Outro cuidado importante está relacionado à forma como os indicadores são utilizados. Quando começamos a atribuir risco a pessoas, existe o perigo de transformar o programa em um ranking de colaboradores. Essa abordagem não apenas simplifica excessivamente o problema como também pode prejudicar a própria cultura de segurança.
Uma pessoa classificada como alto risco não é necessariamente negligente ou pouco consciente. Ela pode simplesmente ocupar uma função extremamente crítica, possuir privilégios elevados ou estar muito mais exposta a ataques direcionados.
Um executivo que nunca clicou em uma campanha de phishing ainda pode representar um risco relevante porque possui informações estratégicas, autoridade para aprovar operações e grande exposição pública. Da mesma forma, um administrador de sistemas pode exigir atenção diferenciada mesmo apresentando excelente comportamento.
O propósito da classificação de risco não deveria ser julgar pessoas. Deveria ser identificar onde a organização precisa investir mais proteção. Essa distinção é fundamental.
Talvez um dos maiores benefícios do Human Risk Management seja permitir que a organização deixe de aplicar exatamente a mesma resposta para todos.
Se um colaborador apresenta risco porque possui dificuldade em reconhecer determinados ataques, uma ação educativa pode fazer sentido. Se o problema está relacionado a privilégios excessivos, provavelmente treinamento não resolverá. Se existe uma credencial exposta, a resposta precisa envolver identidade e autenticação. Se determinado executivo está sendo alvo de ataques direcionados, controles adicionais e acompanhamento específico podem ser necessários.
Essa lógica aproxima o fator humano da gestão tradicional de riscos: Primeiro identificamos o risco. Depois tentamos compreender sua causa. Em seguida escolhemos um tratamento compatível.
Parece óbvio quando colocado dessa maneira, mas grande parte dos programas tradicionais ainda utiliza treinamento como resposta praticamente universal para qualquer comportamento relacionado às pessoas. Human Risk Management amplia esse repertório.
Outro ponto importante é compreender que o risco de uma pessoa não é permanente. Colaboradores mudam de função, recebem novos acessos, participam de projetos estratégicos, tornam-se gestores e passam a manipular informações diferentes. Ao mesmo tempo, comportamentos também mudam. Pessoas aprendem, desenvolvem novos hábitos, passam a reportar ameaças e podem reduzir significativamente sua exposição.
O ambiente externo também se transforma. Uma credencial pode aparecer em um vazamento amanhã. Um executivo pode se tornar alvo de uma campanha específica. Uma nova função pode aumentar significativamente a exposição de determinado grupo.
Isso significa que Human Risk Management não pode ser tratado como uma avaliação anual.
Risco precisa ser observado continuamente.
É justamente essa característica dinâmica que aproxima HRM de outras disciplinas modernas de segurança, onde monitoramento e reavaliação fazem parte do processo de gestão.
Em vez de pensar Human Risk Management como um grande projeto tecnológico, prefiro enxergá-lo como um ciclo contínuo.
A organização começa **observando** os sinais disponíveis. Depois procura **medir** o que eles representam dentro de determinado contexto. A partir daí consegue **priorizar** os riscos mais relevantes e escolher formas adequadas de **tratamento**. Finalmente, volta a observar os mesmos sinais para compreender se o risco realmente diminuiu.
Observar -> medir -> priorizar -> tratar -> reavaliar.
Esse ciclo pode começar pequeno e se tornar progressivamente mais sofisticado conforme novas fontes de dados, tecnologias e processos são incorporados.
Essa visão também evita um problema bastante comum em segurança: construir indicadores que ninguém utiliza. Um score, dashboard ou relatório só possui valor quando ajuda alguém a tomar uma decisão melhor.
[](#fale-com-especialista)
À medida que o mercado de HRM cresce, naturalmente surgem plataformas capazes de coletar sinais, correlacionar informações, calcular scores e automatizar tratamentos. Essas tecnologias serão cada vez mais importantes para lidar com a quantidade de dados necessária para compreender o risco humano em grandes organizações.
Mas comprar uma plataforma não cria automaticamente um programa de Human Risk Management.
Da mesma forma que adquirir um SIEM não cria um SOC maduro, implementar uma tecnologia de HRM não substitui estratégia, processos, responsabilidades e governança.
A organização precisa definir quais riscos pretende compreender, quais sinais são relevantes, como as informações serão utilizadas, quem poderá acessá-las e quais tratamentos serão aplicados.
Também precisa considerar privacidade, proporcionalidade e transparência, principalmente porque estamos falando sobre dados relacionados às pessoas.
Human Risk Management precisa nascer como uma disciplina de gestão. A tecnologia entra para permitir escala, correlação e automação.
A conscientização continua sendo uma parte fundamental dessa jornada. Pessoas precisam compreender ameaças, conhecer políticas e saber como agir diante de situações de risco. A diferença é que ela deixa de ser o destino final.
Quando a organização começa a combinar conhecimento, comportamento, exposição e impacto, passa a enxergar algo que os indicadores tradicionais dificilmente conseguem mostrar: onde o risco realmente está concentrado.
Isso permite direcionar investimentos, personalizar ações e demonstrar resultados de uma forma muito mais próxima da linguagem utilizada pelo negócio.
No final das contas, começar um programa de Human Risk Management não exige que a empresa tenha todas as respostas ou todas as integrações disponíveis. Exige principalmente uma mudança na pergunta.
Em vez de perguntar apenas quantas pessoas foram treinadas ou quantas clicaram em uma campanha, começamos a perguntar quais sinais temos, o que eles representam dentro do nosso contexto e o que podemos fazer para reduzir o risco identificado.
É a partir dessa mudança que a conscientização deixa de ser apenas uma atividade de segurança e começa, de fato, a se transformar em gestão de risco.