O que significa gerir o risco humano e porque não basta uma ferramenta isolada

“Human risk management” apareceu como etiqueta em quase todas as conversas sobre segurança e pessoas dos últimos dois anos. A sua tradução, gestão do risco humano, é usada com a mesma desenvoltura e muitas vezes para descrever exactamente o que antes se chamava sensibilização. O nome novo por si só não muda grande coisa. O que muda é se o programa se comporta como uma gestão de risco ou como um curso anual com folha de presenças.

Vale a pena separar as duas coisas, porque dessa distinção dependem as ferramentas de que precisas e o que vais poder demonstrar quando alguém te perguntar como está a tua organização.

O que é a gestão do risco humano?

A gestão do risco humano é a prática de medir, reduzir e demonstrar de forma contínua o risco que as pessoas introduzem na segurança de uma organização. As três coisas têm de estar, e de forma contínua. Um programa que apenas forma não mede. Um que apenas simula não reduz. E um que não deixa registo não demonstra nada perante uma auditoria.

Tratá-lo como risco tem uma consequência prática. Um risco mede-se numa escala, compara-se consigo mesmo ao longo do tempo e atribui-se-lhe uma acção. Não se completa. Sobre o que é exactamente o risco humano e onde começa escrevemos antes neste blogue.

Porque é que uma ferramenta isolada fica curta?

Porque cada peça responde bem a uma pergunta e nenhuma responde à seguinte.

Uma ferramenta de simulação diz-te quem clicou. Não te diz o que dar a essa pessoa depois, nem se aprendeu algo. Uma plataforma de formação entrega conteúdo e registra o progresso, mas não tem forma de saber quem está realmente exposto. Um painel de relatórios mostra números sobre os quais ninguém pode agir a partir dali.

O problema não aparece dentro de cada ferramenta. Aparece no espaço entre elas, e esse espaço acaba por ser coberto por alguém da equipa de segurança com exportações, folhas de cálculo e cruzamentos manuais.

Há um caso muito concreto. Se as simulações e as métricas vivem separadas, os gateways e as sandboxes que “abrem” as mensagens automaticamente sujam as estatísticas e ninguém se dá conta. É a razão pela qual a plataforma inclui a deteção e filtragem de falsos positivos.

O que era a SMARTFENSE quando começou?

Era bastante menos do que é hoje, e já tinha o mesmo núcleo.

A primeira versão pública, em 2017, trazia simulações de phishing e ransomware, módulos interactivos e newsletters com validação de leitura. Nesse mesmo ano chegou a sincronização automática de utilizadores com o Microsoft Azure AD e o Google, pelo que a plataforma nunca funcionou como uma ilha com a sua própria lista de pessoas carregada à mão. Em 2018 juntaram-se os exames e os Momentos Educativos, que reforçam no instante exacto em que alguém interage com uma simulação, e os primeiros grupos construídos a partir do comportamento face às campanhas.

Este último ponto é o que conta mais olhando para trás. A ideia de segmentar por conduta em vez de por departamento estava lá desde o segundo ano, e é o precursor directo dos actuais Grupos Inteligentes. A decisão de integrar-se com os sistemas da organização em vez de instalar software em cada equipamento também vem dessa época, e explicamo-la em porque nos integramos via API e não com um agente.

Que camadas se juntaram desde então?

Cada camada nasceu de um limite concreto do programa anterior, não de um roteiro escrito de uma só vez.

• Métricas em que se pode confiar (2020). Deteção das interacções automáticas de gateways e sandboxes, para que deixassem de contaminar as estatísticas. No mesmo ano, anonimização de utilizadores e autenticação sem credenciais, alinhadas com os requisitos do RGPD.
• Engagement e medição do risco (2021). Gamificação nativa com insígnias, videojogos educativos e tabelas de classificação. E o Risk Scoring, o primeiro algoritmo da plataforma que traduz o comportamento de uma pessoa e de uma organização numa medida comparável de exposição.
• Entrega directa e novos vectores (2022-2023). Direct Message Injection para Google Workspace e Microsoft 365, que deposita as simulações na caixa de correio via API sem pedir a ninguém que configure listas de excepções. Junto com isso, códigos QR, pens USB e SMS juntaram-se ao phishing e ao ransomware como vectores simuláveis.
• Comportamento e inteligência aplicada (2024-2026). Intervenções automáticas que disparam quando ocorre um evento de risco, nudges que reforçam condutas no momento certo, botão de reporte de phishing dentro do Outlook, Gmail e Thunderbird, e percursos de aprendizagem que se ajustam ao risco de cada pessoa. Sobre essa camada escrevemos em nudges de cibersegurança e o momento que decide.

Porque importa que tudo viva na mesma plataforma?

Porque o valor está no cruzamento, e o cruzamento só existe se os dados partilharem um mesmo lugar.

Quando a simulação, a formação e a medição correm sobre a mesma base, o resultado de uma alimenta a seguinte sem que ninguém exporte nada. Quem clicou recebe o reforço adequado nesse dia. O Risk Scoring dessa pessoa move-se. O grupo a que pertence recalcula-se sozinho. É a razão pela qual preferimos falar de ecossistema em vez de conjunto de módulos.

Esse ecossistema também olha para fora. O sinal do comportamento humano sai para as ferramentas onde a equipa de segurança já trabalha, algo que tratámos em a pontuação de risco humano como sinal para o SIEM, e em sentido inverso o contexto de cada pessoa chega a partir do fornecedor de identidade, das ferramentas de colaboração e das plataformas de conformidade através das integrações disponíveis.

A SMARTFENSE tem quatro gerações de plataforma construídas sobre essa ideia, com a versão 4.37 publicada a 1 de Agosto de 2026 e a qualificação do CCN para o tratamento de informação sensível no ENS espanhol. Nada disso é uma decisão deste ano.

A resposta curta

O que significa gerir o risco humano? Medir a exposição que as pessoas introduzem, reduzi-la com acções concretas e poder demonstrar as duas coisas, de forma contínua e sem que ninguém tenha de unir as peças à mão.

Uma ferramenta isolada cobre um trecho disso. O resto fica do lado da equipa de segurança, na forma de trabalho manual que não escala. Se quiseres ver como se compõe hoje cada camada, estão todas na plataforma.