# Beephish — Simulação de Phishing e Gestão de Risco Humano

> Eduque, teste e monitore seus colaboradores contra phishing. Plataforma brasileira de Gestão de Risco Humano com +100.000 usuários treinados.

Canonical: https://beephish.com/blog/seu-human-risk-score-mudou-e-agora

Nos últimos artigos, discutimos bastante sobre como medir risco humano. Falamos sobre a diferença entre um Awareness Score e um Human Risk Score, sobre a necessidade de observar sinais além dos treinamentos e simulações de phishing e sobre como identidade, privilégios, exposição e impacto modificam completamente o risco associado a uma pessoa.

Mas existe uma pergunta que talvez seja ainda mais importante: depois que conseguimos medir o risco, o que fazemos com essa informação?

Imagine que uma organização implemente um Human Risk Score e descubra que 180 pessoas estão classificadas como risco elevado. O dashboard está funcionando, os indicadores estão atualizados e a empresa finalmente possui uma visão mais ampla sobre risco humano. Se a próxima decisão for simplesmente colocar essas 180 pessoas em um treinamento adicional, talvez tenhamos evoluído muito na capacidade de medir, mas pouco na capacidade de gerenciar.

Medir risco não é a mesma coisa que reduzir risco.

Essa distinção parece óbvia, mas considero que ela será uma das questões mais importantes à medida que Human Risk Management amadurecer como categoria. Um score pode ajudar a identificar prioridades, mas seu verdadeiro valor aparece quando conseguimos compreender por que o risco está elevado e utilizar essa informação para escolher uma intervenção capaz de atuar sobre sua causa.

## **O score deveria ser o início da conversa, não o resultado final**

Existe uma tendência natural em transformar qualquer problema complexo em um indicador. Fazemos isso porque números facilitam comparações, ajudam na priorização e permitem acompanhar evolução. Com risco humano não é diferente.

Um Human Risk Score pode ser extremamente útil. Ele permite identificar pessoas ou grupos que merecem atenção, acompanhar mudanças ao longo do tempo e oferecer uma visão agregada para áreas, unidades de negócio ou para a organização inteira.

O problema começa quando o número se torna o objetivo.

Se uma pessoa possui score 82, precisamos conseguir responder por que ela chegou a esse nível. Talvez apresente comportamentos recorrentes de risco. Talvez tenha recebido privilégios administrativos recentemente. Sua credencial pode ter sido identificada em uma exposição externa. Pode estar sendo alvo de ataques direcionados ou ter começado a utilizar aplicações não autorizadas para manipular informações corporativas.

Cada uma dessas situações pode elevar risco. Nenhuma delas deveria necessariamente produzir a mesma resposta. O score nos ajuda a identificar onde olhar. As causas nos dizem o que fazer.

## **Riscos diferentes precisam de tratamentos diferentes**

Essa talvez seja uma das diferenças mais importantes entre uma estratégia tradicional de conscientização e uma estratégia de Human Risk Management.

Quando nosso principal instrumento é treinamento, é natural que quase todo problema relacionado às pessoas termine em uma ação educacional. O usuário clicou em phishing? Treinamento. Compartilhou uma informação inadequadamente? Treinamento. Utilizou uma ferramenta não autorizada? Mais treinamento.

Educação é fundamental, mas existem problemas que simplesmente não serão resolvidos dessa maneira.

Se uma pessoa possui privilégios que não são mais necessários para sua função, podemos treiná-la dez vezes e esses privilégios continuarão existindo. Se uma credencial apareceu em uma exposição externa, um novo curso de segurança não invalida aquela credencial. Se um executivo está sendo intensamente alvo de impersonation, concluir outro módulo anual não reduz automaticamente sua exposição.

Em cada caso, o tratamento precisa estar relacionado àquilo que está produzindo o risco.

Isso significa que Human Risk Management precisa conseguir conversar com diferentes disciplinas de segurança. Em alguns casos, a resposta estará em awareness. Em outros, em IAM, DLP, proteção de endpoints, autenticação, processos, políticas ou controles adicionais.

A pergunta deixa de ser apenas “qual treinamento devemos aplicar?” e passa a ser “qual ação tem maior probabilidade de reduzir este risco específico?”.

[![](https://kvlbuwxkkllobkgvzsam.supabase.co/storage/v1/object/public/blog-content/inline/1780320814605-15vsqx.png)](#fale-com-especialista)

## **Treinamento continua sendo tratamento, mas não pode ser o único**

É importante deixar isso claro porque a evolução para HRM não diminui a importância da conscientização. Pelo contrário. Ela permite utilizar treinamento de maneira mais inteligente.

Imagine um usuário que apresenta dificuldade recorrente para identificar ataques de engenharia social relacionados ao Microsoft 365. Nesse caso, uma intervenção educacional específica pode ser exatamente a resposta adequada. Podemos trabalhar aquele tema, aplicar uma nova simulação e acompanhar se houve mudança de comportamento.

Agora considere outra pessoa que apresenta excelente desempenho em todas as simulações, mas possui uma combinação de privilégios elevados, grande exposição pública e acesso a sistemas críticos. Treiná-la novamente apenas porque seu Human Risk Score é alto provavelmente terá pouco efeito sobre as principais causas daquele risco.

Talvez seja mais relevante garantir autenticação resistente a phishing, revisar privilégios, aplicar controles adicionais de acesso ou aumentar a proteção contra ataques direcionados.

Human Risk Management não substitui awareness. Ele ajuda a decidir quando awareness é o tratamento correto e quando precisamos de outra intervenção.

## **O risco também pode estar na forma como a organização desenhou o ambiente**

Quando falamos em risco humano, existe uma tendência perigosa de procurar sempre aquilo que a pessoa fez de errado. Mas, em muitos casos, o risco pode estar relacionado à forma como a própria organização estruturou acessos, processos ou controles.

Um colaborador pode possuir privilégios excessivos porque nunca houve uma revisão adequada de acessos. Pode utilizar uma aplicação não autorizada porque a ferramenta corporativa não atende à necessidade de sua área. Pode compartilhar informações de determinada maneira porque o processo oficial é excessivamente complexo. Pode manter acesso a sistemas antigos porque ninguém removeu suas permissões depois de uma mudança de função.

Nessas situações, colocar toda a responsabilidade sobre o usuário não apenas é injusto como também é pouco eficiente do ponto de vista de segurança.

Uma estratégia madura precisa ser capaz de olhar para o risco e perguntar se sua causa está no comportamento da pessoa, na arquitetura tecnológica, nos controles existentes ou no processo que a organização estabeleceu.

Essa mudança é importante porque transforma HRM em uma disciplina que ajuda a corrigir condições de risco, e não simplesmente pessoas.

## **Priorizar também significa decidir onde não agir**

Existe outra consequência importante de uma abordagem baseada em risco: nem todo sinal precisa gerar uma intervenção. Organizações já produzem uma quantidade enorme de alertas. Se Human Risk Management simplesmente transformar cada comportamento ou evento em uma nova tarefa para o usuário ou para a equipe de segurança, teremos criado mais uma fonte de fadiga.

A função do score e da contextualização é justamente ajudar a priorizar. Um evento isolado de baixa relevância pode não exigir nenhuma ação. O mesmo evento recorrente, associado a uma identidade altamente exposta e com grande impacto potencial, pode justificar uma resposta imediata.

Essa capacidade de diferenciar situações também é importante para a experiência das pessoas. Se toda ação minimamente incomum resultar em treinamento, bloqueio ou comunicação de segurança, rapidamente criaremos resistência ao programa.

Gestão de risco não significa eliminar toda possibilidade de erro. Significa identificar onde a combinação de probabilidade e impacto justifica investimento e intervenção.

## **O tratamento deveria atuar sobre a causa do risco**

Uma maneira simples de avaliar a maturidade de uma estratégia de HRM é observar o que acontece depois que o risco é identificado. Se praticamente todos os caminhos terminam em treinamento, provavelmente ainda estamos operando principalmente com uma lógica de awareness.

Em um modelo mais amplo, diferentes causas deveriam abrir diferentes possibilidades de tratamento. Comportamentos recorrentes podem gerar treinamento direcionado ou simulações específicas. Privilégios excessivos podem provocar uma revisão de acesso. Uma credencial exposta pode exigir troca de credenciais, revogação de sessões ou reforço de autenticação. O uso de aplicações não autorizadas pode demandar controles técnicos, revisão de política ou disponibilização de uma alternativa aprovada.

Uma pessoa altamente exposta a ataques direcionados pode exigir uma combinação diferente: preparação específica, autenticação mais resistente, proteção adicional da identidade e monitoramento apropriado.

Isso também significa que o tratamento pode envolver equipes diferentes. Segurança, identidade, infraestrutura, privacidade, RH, gestores de negócio e os próprios usuários podem participar dependendo da natureza do risco.

HRM passa a funcionar, então, como uma camada capaz de ajudar a organização a identificar o problema e direcioná-lo para quem realmente consegue tratá-lo.

## **Uma intervenção só faz sentido se conseguirmos medir seu efeito**

Existe ainda uma pergunta que frequentemente esquecemos depois de aplicar um controle: ele funcionou?

Se identificamos um risco, executamos uma ação e encerramos o processo, ainda não completamos o ciclo. Precisamos observar se aquela intervenção realmente modificou a condição que pretendíamos tratar.

Se o problema era privilégio excessivo, os acessos foram efetivamente removidos? Se aplicamos um treinamento direcionado, houve mudança de comportamento? Se implementamos um controle técnico, a exposição diminuiu? Se uma credencial foi comprometida, as sessões e mecanismos relacionados foram devidamente tratados?

Essa reavaliação é fundamental porque nem toda intervenção produz o resultado esperado.

Human Risk Management precisa ser dinâmico. O risco sobe quando novas condições aparecem e deve diminuir quando essas condições são corrigidas. Se uma plataforma consegue aumentar scores com facilidade, mas quase nunca consegue demonstrar por que eles diminuíram, existe alguma coisa incompleta no modelo.

O objetivo não é acumular histórico de problemas. É reduzir exposição ao longo do tempo.

## **O sucesso de HRM não deveria ser ter scores menores**

Existe uma sutileza importante aqui. Se estabelecermos como objetivo simplesmente reduzir o Human Risk Score médio da organização, podemos criar incentivos errados. É relativamente fácil melhorar um indicador quando controlamos o modelo que o produz. Podemos alterar pesos, remover determinados sinais ou aplicar regras que façam o número cair. Nada disso necessariamente significa que a empresa está mais segura.

Por isso, o score deve ser tratado como instrumento, não como objetivo final. Uma estratégia de HRM deveria conseguir demonstrar coisas mais concretas: redução de comportamentos recorrentes, remoção de privilégios desnecessários, diminuição de exposição, maior utilização de controles adequados, melhoria na capacidade de reporte e redução do tempo entre identificação e tratamento de situações relevantes. O indicador ajuda a resumir essa realidade, mas não pode substituí-la.

## **De uma lista de usuários para uma fila de riscos**

Talvez uma das mudanças mais interessantes seja abandonar a ideia de que HRM existe para produzir uma lista das pessoas mais arriscadas da organização.

Uma lista desse tipo pode ser simples de compreender, mas mistura situações completamente diferentes e facilmente leva à interpretação de que estamos classificando pessoas. Uma visão mais útil seria pensar em uma fila de riscos que precisam ser tratados. Uma identidade pode aparecer porque possui exposição elevada. Outra porque acumulou privilégios. Uma terceira porque apresenta comportamentos recorrentes. Uma quarta porque combina vários fatores que, juntos, justificam prioridade.

A pessoa continua sendo o ponto de correlação, mas aquilo que estamos gerenciando é o risco. Essa distinção também ajuda a construir uma relação mais saudável com os colaboradores. O objetivo não é encontrar quem está “errando mais”. É identificar condições que podem produzir impacto para a organização e trabalhar para reduzi-las.

## **O verdadeiro ciclo de Human Risk Management começa depois do score**

Se observarmos a evolução que estamos construindo, fica claro que o Human Risk Score ocupa uma posição intermediária. Primeiro precisamos observar sinais relevantes. Depois precisamos contextualizá-los em torno da identidade, compreender comportamento, exposição e impacto e então medir e priorizar risco. Mas ainda falta a parte mais importante: agir.

A partir daí, aplicamos a intervenção adequada e voltamos a observar para entender se aquela ação realmente reduziu o risco. Se não reduziu, precisamos ajustar o tratamento. Se funcionou, o próprio modelo deve refletir essa mudança.

É um ciclo contínuo de observar, medir, priorizar, tratar e reavaliar. Essa lógica muda bastante a forma como pensamos sobre Human Risk Management. O objetivo deixa de ser produzir um score sofisticado ou um dashboard visualmente interessante. Esses elementos são importantes porque ajudam na decisão, mas são meios.

O resultado que realmente importa é a redução do risco. Por isso, talvez a melhor pergunta para avaliar uma plataforma ou uma estratégia de HRM não seja “como vocês calculam o Human Risk Score?”.

A pergunta mais importante pode ser outra: **Quando o score indica que existe um problema, o que acontece depois?** A resposta diz muito sobre se estamos realmente gerenciando risco ou apenas aprendendo a medi-lo melhor.

---
Fonte: Beephish — https://beephish.com