Depois de anos analisando incidentes reais, cheguei a uma conclusão que hoje orienta boa parte do meu trabalho.
A maioria dos ataques que investiguei não começou com uma falha de sistema, e sim com uma pessoa, em um momento de distração, respondendo a algo que parecia legítimo.
Firewall, EDR, SIEM e todo o arsenal técnico continuam indispensáveis, mas nenhum deles decide no lugar de quem está com o celular ou o e-mail corporativo aberto na tela. E é esse ponto cego que o Human Risk Management se propõe a resolver.
Comportamento humano é risco, e risco se mede
Empresas maduras em segurança já investem pesado em controles técnicos e, ainda assim, seguem vulneráveis a phishing, engenharia social e comprometimento de credenciais. Isso acontece porque o risco humano costuma ser tratado como item de conformidade, resolvido com uma palestra anual e um teste de múltipla escolha ao final. Esse modelo cumpre a exigência formal de auditoria, mas não muda comportamento, porque comportamento não se transforma com um evento isolado.
Human Risk Management parte de uma premissa diferente, ele trata o comportamento humano como uma variável de risco mensurável, no mesmo nível de maturidade que já aplicamos a vulnerabilidades técnicas. Isso significa medir, segmentar, tratar e monitorar esse risco de forma contínua, com dado real de comportamento, não com percepção ou boa vontade.
Foi com essa lógica que desenhamos, junto ao Código Fonte, o programa de conscientização que hoje aplicamos nas empresas que atendemos. Treze módulos mensais cobrem os vetores por onde os ataques realmente entram, phishing, engenharia social, senhas, dispositivos móveis, redes sociais, wi-fi público, inteligência artificial e deepfakes, sempre baseados em golpes reais que circulam no Brasil, não em teoria traduzida de material internacional.
O conteúdo técnico foi validado pelo nosso time de segurança ofensiva, reconhecido como um dos melhores Red Teams do país, o que garante que as simulações reproduzam com fidelidade as táticas que atacantes reais usam contra empresas do mesmo porte e setor.
Cada módulo exige nota mínima de 80% no questionário para avançar, com rastreabilidade individual completa. Isso substitui a suposição de que o time foi treinado por um dado concreto sobre quem realmente absorveu o conteúdo e quem ainda precisa de reforço, informação que uma palestra genérica jamais produz.
O índice de risco vira ativo de gestão, não só de conformidade
Cada módulo concluído, cada simulação e cada incidente reportado geram dados. Esses dados alimentam um índice de risco por colaborador, por área e por empresa como um todo, acompanhado por dashboard com matriz de risco e mapa de calor, o que permite direcionar atenção e investimento para os pontos de maior exposição em vez de tratar toda a organização como um bloco único.
Esse histórico também sustenta evidência formal desde o primeiro mês, com apostila assinada digitalmente, mini certificados por módulo e certificado anual, documentos que atendem diretamente às exigências dos artigos 46 e 50 da LGPD sobre medidas de segurança e treinamento contínuo, além de servirem como evidência em processos de adequação à ISO 27001.
O que muda na prática para o negócio
Um programa de Human Risk Management bem estruturado muda a natureza da conversa sobre segurança dentro da empresa. Deixa de ser um relatório guardado em uma pasta e passa a ser indicador de gestão, acompanhado com a mesma seriedade de qualquer outro indicador de risco operacional.
Isso se traduz em menos incidentes causados por erro humano, resposta mais rápida quando alguém identifica uma tentativa de ataque e reporta corretamente, e evidência documentada de maturidade para clientes, parceiros e auditorias. Para empresas em setores regulados, esse último ponto costuma pesar tanto quanto a redução direta de incidentes.
Cultura de segurança não se constrói com um evento isolado, e não é responsabilidade só do time de tecnologia. Cada colaborador, em cada função, participa da defesa da empresa todos os dias.
Se você lidera uma área de segurança e quer estruturar um programa de Human Risk Management na sua operação, fale com o time da Ivy Group S/a ou conheça o programa completo que desenvolvemos com o Código Fonte em treino-corp.ivy.com.br.
