Qual é a melhor plataforma de sensibilização em cibersegurança?

Há muitas plataformas de sensibilização no mercado e isso, longe de facilitar a decisão, complica-a. Quando as opções se multiplicam, a comparação acaba por ser feita sobre listas de funcionalidades que não distinguem bem uma ferramenta da outra.

Este post propõe outra ordem: primeiro o objetivo, depois as perguntas que separam uma plataforma da outra, e no fim aquilo que quase ninguém põe na lista. Cada secção fecha com o que convém rever, que vale para qualquer fornecedor. Como o resolvemos nós vai à parte, para que possas usar o guia sem passar por aí.

Foi publicado em agosto de 2024 e revisto em setembro de 2026.

Não existe a melhor plataforma, existe a melhor para a tua organização

A plataforma ideal para uma organização pode ser a pior decisão para outra. Não existe “a melhor plataforma” em geral; existe a melhor para a tua.

Para a encontrares, define primeiro para que queres uma plataforma de sensibilização. Os três objetivos mais comuns são:

• Gerir o risco de engenharia social
• Criar e sustentar uma cultura de segurança
• Demonstrar conformidade com regulamentos internos e externos

Vejamos do que precisa cada um.

Começa pelo objetivo, não pela tabela de funcionalidades

Gerir o risco de engenharia social

Gerir o risco de engenharia social é conhecer o nível de risco atual e depois levá-lo a um nível aceitável.

Para conhecer o nível de risco é preciso simular diferentes tipos de ataque e medir como se comporta cada pessoa perante cada um. Phishing, ransomware, smishing, qrishing e USB drop não medem o mesmo, porque não chegam pelo mesmo canal nem pedem a mesma ação.

Mas medir não serve se o dado estiver contaminado. Quando um email de simulação entra na tua organização, o filtro de correio, o antivírus ou a sandbox abrem-no e seguem as suas ligações antes da pessoa, e muitas aplicações de mensagens fazem o mesmo com as ligações de um SMS. Cada uma dessas ações fica registada como se alguém a tivesse feito. Se a plataforma não as separar, parte dos cliques que vais contar não os fez ninguém, e qualquer decisão que tomes sobre esses dados estará viciada.

Para levar o risco a um nível aceitável são precisas ações de sensibilização, e convém que vivam na mesma plataforma que a simulação: a gestão fica mais simples e podes cruzar o que ensinas com o que muda no comportamento. Parte dessas ações tem de chegar no momento certo. Uma pessoa faz a formação em março e recebe o email suspeito em agosto, com pressa e no meio de vinte tarefas: o conhecimento estava lá, o lembrete não. Uma mensagem breve, ligada a algo que a pessoa acabou de fazer e no canal onde já trabalha, chega quando o comportamento ainda pode mudar.

Por último, vê como a plataforma se liga ao que já tens a funcionar. Cada ligação que falte é trabalho manual que alguém vai fazer todos os meses, e convém contá-lo antes de assinar.

O que rever

• Que canais de simulação oferece além do correio.
• Como distingue a interação de uma pessoa da de um software, se podes carregar as ferramentas de segurança da tua organização e se a limpeza se aplica também a campanhas já terminadas.
• Se a simulação pode ser entregue diretamente na caixa de entrada, para medir a pessoa e não o filtro de correio.
• Se simulação e sensibilização vivem no mesmo produto, com relatórios que as cruzem.
• Se pode enviar mensagens breves desencadeadas por um comportamento, por email ou pela ferramenta de chat da tua organização.
• Início de sessão único, sincronização com o teu diretório, saída de dados por API, integração com o LMS e, se fores um grupo de empresas, uma instância por empresa administrada a partir da casa-mãe.

Na SMARTFENSE

• Simulação: phishing, ransomware, qrishing e USB drop a partir de uma mesma plataforma, com entrega direta na caixa para o Google Workspace e o Microsoft 365.
• Falsos positivos: a deteção combina uma ligação isco que só um software segue, listas de User-Agent e intervalos de IP que a organização configura, e uma janela de tolerância à volta de cada deteção. A configuração pode voltar a aplicar-se a campanhas já terminadas.
• Sensibilização no momento: os nudges são desencadeados por um evento concreto, chegam por email, Slack ou Teams no idioma de cada pessoa e vêm prontos a ativar. Simulação e sensibilização vivem na mesma plataforma, com relatórios de correlação.
• Integrações: a lista completa está em integrações, e os grupos de empresas administram-se a partir de uma instância multitenant.

Criar e sustentar uma cultura de segurança

Uma cultura de segurança não se constrói com uma campanha. Precisa de um processo contínuo, e esse processo depende de teres conteúdos adequados ao teu público e formas variadas de lhe chegar.

Depende também de a plataforma sustentar mais do que um formato, porque a formação não faz um só trabalho. Há formação que todos têm de completar, com as mesmas datas e com prova de que aconteceu: o regulamento, o acolhimento, a campanha depois de um incidente. Para isso serve um programa com datas fixas, e não tem substituto. Há formação onde importa a ordem, porque a segunda coisa entende-se graças à primeira, e aí encaixa um percurso que a pessoa desbloqueia passo a passo. E há um terceiro trabalho, que é sustentar a continuidade de cada pessoa no resto do ano sem planear um percurso para cada uma. Uma boa plataforma resolve os três e deixa-te combiná-los.

Para o engagement conta ainda a identidade. É praticamente obrigatório que as comunicações cheguem de um email da tua organização. Um passo além do remetente está o domínio: é o que a pessoa vê quando clica, e é a diferença entre um programa que parece teu e um que parece entregue a terceiros.

O que rever

• Um catálogo de qualidade, regionalizado e que possas personalizar por completo, incluindo a criação de conteúdo de raiz.
• Variedade de ferramentas para chegar a todo o teu público.
• Se sustenta os três trabalhos: programa com datas, percurso ordenado e continuidade por pessoa.
• Se as comunicações saem de um email da tua organização.
• Se a plataforma inteira pode operar sob o teu domínio, em vez de um subdomínio do fornecedor.

Na SMARTFENSE

• Conteúdos: um catálogo regionalizado e 100% personalizável, com várias ferramentas de sensibilização para todo o teu público. Nenhum conteúdo leva a marca do fornecedor.
• Formatos: programas fixos para o que todos têm de completar, cursos para os percursos por ordem e Smart Path para a continuidade de cada pessoa. Os três convivem.
• Identidade: email corporativo próprio e domínio personalizado, que a organização coloca em funcionamento a partir da interface, com um certificado que é emitido e renovado automaticamente.

Demonstrar conformidade com regulamentos internos e externos

Cumprir um regulamento pode ser muito simples ou extremamente complicado. O que faz a diferença é se a prova já está pronta quando a pedem ou se tem de ser reconstruída.

A base são os registos de auditoria e os regulamentos convertidos em cláusulas, com o conteúdo que responde a cada uma. Mas há dois pontos que separam um relatório que resiste a uma auditoria de um que não resiste.

O que conta como cumprido. Perguntar que percentagem de um regulamento cumpres parece uma pergunta fechada, e não é. Conta que o conteúdo esteja previsto para a pessoa? Que lho tenham enviado? Que o tenha terminado? E se o terminou há três anos? Cada resposta dá um número diferente sobre os mesmos dados. Se cada relatório usar um critério diferente, dois ecrãs do mesmo regulamento contradizem-se e o auditor não tem uma cifra para citar. O mesmo acontece com o tempo: uma prova que não caduca inflaciona o número ano após ano.

Que política aceitou ou assinou eletronicamente cada pessoa. Quase todas as organizações distribuíram as suas políticas alguma vez. Muito poucas conseguem responder, no dia em que é preciso, a quatro perguntas sobre uma pessoa concreta: chegou-lhe? leu-a? aceitou-a ou assinou-a? que versão exatamente? Um PDF numa pasta partilhada não o diz.

Um esclarecimento que vale para qualquer fornecedor: o que uma plataforma de sensibilização pode demonstrar é a conformidade com as cláusulas de formação e sensibilização. Os controlos técnicos, documentais e de governo de uma norma não se resolvem com formação. Se alguém te promete a norma completa, desconfia.

O que rever

• Registos de auditoria prontos a entregar, com os logs de utilizadores e de administradores protegidos.
• Regulamentos convertidos em cláusulas, com conteúdo associado a cada uma, e a possibilidade de carregares os teus.
• Uma definição única de “cumprido” que valha em todos os relatórios.
• Que a prova tenha validade, e que o que caduca volte a ser atribuído antes de caducar.
• Prova de que versão de cada política aceitou ou assinou eletronicamente cada pessoa.
• O relatório de conformidade tal como o entregarias a um auditor.

Na SMARTFENSE

• Compliance Center: no Compliance Center a organização escolhe uma só vez quanta prova exige um “cumprido”, e essa definição vale em todos os relatórios. Os regulamentos predefinidos chegam com as suas cláusulas já mapeadas ao conteúdo, entre eles o RGPD, a diretiva NIS 2, o DORA, a ISO/IEC 27002 e regulamentação latino-americana. A organização acrescenta os seus, marca as cláusulas que não lhe aplicam e define a validade da prova por regulamento.
• Plano de conformidade: atribui a cada pessoa o que lhe falta e volta a atribuir-lho antes de a sua prova caducar. O resultado é entregue como certificado e pacote de prova.
• Consent Vault: regista que ficheiro leu cada pessoa, quando e a partir de onde, e se o aceitou ou assinou eletronicamente, num registo que não se edita nem se apaga.
• Auditoria: registos prontos a entregar sobre um registo protegido só de acrescento, onde uma correção entra como lançamento novo e nunca sobrepõe o anterior. Todos os relatórios se exportam para CSV e Excel.

Sete perguntas a que responde uma demonstração, não um folheto

Com o objetivo claro, a comparação torna-se manejável. Estas sete perguntas discriminam mais do que qualquer lista de funcionalidades, porque cada uma se verifica numa prova real e nenhuma se responde com um sim genérico.

1. O programa mede formação acreditada, risco por pessoa, ou as duas coisas? Revela se o indicador que fecha o trimestre te diz quem está em risco hoje.
2. O que acontece depois de alguém cair? Revela se a plataforma apenas atribui formação ou também atua.
3. Quem executa o programa se não houver ninguém dedicado? Revela se o programa sobrevive a uma pessoa ocupada ou de férias.
4. O conteúdo pode ser escrito com a cara da organização? Revela se podes reagir a um caso teu esta semana ou dependes do catálogo do fornecedor.
5. Os incidentes reais vivem no mesmo produto? Revela se o email que uma pessoa reporta acaba numa caixa do programa ou numa caixa partilhada.
6. Que comportamento mede cada canal, e quem filtra a medição? Revela se os resultados refletem as pessoas ou o software de segurança.
7. Que evidência fica para uma auditoria? Revela se vais reconstruí-la à mão ou se o registo já está pronto.

Quatro destas perguntas merecem um comentário, porque são aquelas a que se responde mal com mais frequência. O que pedir na demonstração para as sete, e como responde a SMARTFENSE a cada uma, está em comparar plataformas de sensibilização.

Formação acreditada ou risco por pessoa

São dois indicadores diferentes, e são precisos os dois. A percentagem de formação concluída é a prova de que o conteúdo chegou e foi terminado, e é o que uma auditoria pede. O que não diz é quem está em risco hoje, nem se a organização está melhor do que há seis meses. Para isso é preciso um indicador por pessoa que cruze o que cada uma faz perante uma simulação com o impacto que teria um erro seu. Uma plataforma que oferece só um dos dois deixa-te às cegas em metade do trabalho. Desenvolvemo-lo em porque é que a percentagem de conformidade mente e em o que significa gerir o risco humano.

O que rever

• A ficha de uma pessoa concreta e o indicador da organização, na mesma sessão.
• Se o indicador de risco existe por pessoa, por área e para a organização inteira.
• Se podes compará-lo consigo próprio seis meses depois e levá-lo ao teu painel corporativo.

Na SMARTFENSE

• Scoring de Risco: cruza a probabilidade de uma pessoa adotar um comportamento inseguro com o impacto que teria, ao nível da pessoa, do agrupamento e da organização. Vê-se como mapa de calor e está disponível por API.

O que acontece depois de alguém cair

Se a plataforma apenas atribui formação, a resposta fica nas mãos de quem rever o relatório, quando puder. O que convém é que a ação dispare sozinha perante um comportamento de risco e que chegue a quem tem de atuar. E convém que possa ser desencadeada também pelo que a tua infraestrutura de segurança deteta, não só pelo que acontece dentro da plataforma.

Há um detalhe que escapa em quase todas as demonstrações: se a automatização não distinguir um clique de uma pessoa de um do antivírus, a tua equipa vai acabar a responder a incidentes que nunca aconteceram.

O que rever

• Que disparem uma ação automática à tua frente, perante um comportamento de risco.
• A quem avisa e por que canal, e se pode enviar o dado a outro sistema, como o SIEM ou a ferramenta de tickets.
• Se pode reagir a eventos da tua infraestrutura de segurança.
• O que acontece quando o clique foi feito por um software.

Na SMARTFENSE

• Playbooks: os Playbooks reagem a eventos do programa e a eventos do Microsoft 365 Defender, como o clique numa URL maliciosa ou a criação de uma regra de reencaminhamento de correio. Avisam quem tem de atuar por email, Slack ou Teams, ou enviam o dado por webhook a outro sistema.
• Sem falsos alarmes: antes de se executarem esperam pela deteção de falsos positivos, por isso um clique feito por um software não dispara nada.
• Nudge e playbook: o nudge fala à pessoa; o playbook, a quem tem de responder.

Quem executa o programa

É a restrição mais comum e a que apaga mais programas ao sexto mês. A pergunta é quanto do ano se sustenta sem intervenção: se o plano anual se monta sozinho, se as audiências se atualizam quando alguém entra na organização ou muda o seu nível de risco, se a resposta se executa sem que ninguém a dispare, e o que acontece quando simplesmente não há equipa interna.

O que rever

• Que gerem um plano anual a partir de uma configuração, e que to mostrem e to descarreguem antes de o ativar.
• Se as audiências das campanhas se recalculam sozinhas.
• Se existe a opção de delegar a operação no fornecedor ou no seu parceiro.

Na SMARTFENSE

• Automatização: o programa automático monta o ano a partir de programas predefinidos, os Grupos Inteligentes recalculam quem recebe cada campanha, o Smart Path decide o que toca a cada pessoa cada dia e os Playbooks executam a resposta.
• Operação delegada: quando não há equipa interna, o programa pode ser operado pela SMARTFENSE ou pelo seu parceiro.

Onde vivem os incidentes

Quando uma pessoa reporta um email realmente suspeito, alguém tem de o classificar, conservar e deixar registo. Se isso acontecer fora da plataforma, o hábito que tanto custa a instalar apaga-se por falta de resposta.

Há um segundo problema, que aparece mesmo quando o reporte funciona: cada reporte novo é trabalho para a equipa de segurança. Melhorar a taxa de reporte sem resolver a classificação só aumenta a pilha. Podes ver o circuito completo em o percurso de um email reportado e em como se faz a triagem de um reporte.

O que rever

• Reportar um email real e segui-lo até à sua classificação.
• Se o botão de reporte funciona nos clientes de correio que a tua gente usa.
• Se o que é reportado se classifica sozinho, se cada veredicto explica porquê e se uma pessoa o pode corrigir.
• Se há um indicador de reportes por classificar.

Na SMARTFENSE

• Botão de reporte: funciona no Outlook, no Gmail e no Thunderbird, e pode integrar-se com o botão que a Microsoft já traz no Outlook. O que é reportado chega à plataforma, onde se classifica e se conserva.
• Smart Triage: analisa cada email reportado e devolve-o como phishing ou falso alarme, com a lista do que encontrou no remetente, nas ligações e nos anexos. A última palavra é de uma pessoa, e se alguém corrigir, a sua decisão manda.

Quatro considerações que quase ninguém põe na lista

O fabricante por trás do produto

Algo que nem sempre se tem em conta é a proximidade do fabricante. Ter alguém que atende no teu idioma e no teu fuso horário muda por completo o tempo que demoras a resolver qualquer problema.

Convém também olhar para o próprio fornecedor. Vais confiar-lhe informação de toda a tua organização, e a resposta sobre certificações e tratamento de dados devia estar pronta antes de a pedir a tua área jurídica.

O que rever

• Quem atende quando algo se avaria, em que idioma e em que fuso horário, e se essa pessoa resolve ou escala.
• Se o apoio no teu idioma é importante para ti, que fique no contrato e não apenas na expectativa.
• Que certificações tem o fornecedor, onde estão alojados os teus dados e como se tratam os dados pessoais da tua gente.

Na SMARTFENSE

• Atendimento: no idioma do cliente nos mercados de língua espanhola e italiana, com manuais de administração e implementação em espanhol, inglês e italiano.
• Certificações: qualificação do CCN no catálogo CPSTIC e conformidade com o ENS na categoria Alta, detalhadas em selos de confiança.

Inteligência artificial

Hoje quase todas as plataformas dizem usar inteligência artificial. A pergunta útil é para que a usam e com que garantias. Um modelo de linguagem serve para interpretar conteúdo aberto, como um email reportado. Atribuir formação ou calcular um indicador de risco costuma funcionar melhor com regras determinísticas, porque o resultado tem de poder ser explicado perante uma auditoria.

Procura automatismos e assistências, mas na medida certa. Estás a lidar com pessoas, à procura de hábitos seguros, e fá-lo em nome da tua área de segurança.

O que rever

• Onde há um modelo e onde há uma regra.
• O que decide o sistema e o que continua a decidir uma pessoa. Se ninguém souber responder, provavelmente a etiqueta está posta por cima de uma funcionalidade que já existia.
• Se explica as suas decisões: porque atribuiu tal conteúdo a tal pessoa, ou porque classificou tal email como phishing.
• Que dados teus saem, para que fornecedor e onde são processados.

Na SMARTFENSE

• Onde há um modelo: o Smart Triage usa-o para analisar o email reportado. Cada veredicto traz a lista de achados, uma pessoa pode corrigi-lo e fica registado quem decidiu.
• Onde há regras: o Smart Path, os Grupos Inteligentes e o Scoring de Risco funcionam com regras determinísticas, para que cada atribuição possa ser explicada.

Percurso e dados próprios

Um produto que existe há dois anos e outro que mede comportamento há uma década podem ter a mesma lista de funcionalidades. A diferença aparece no que cada um pode mostrar-te do seu próprio passado.

Há duas provas difíceis de improvisar. As notas de publicação datadas dizem-te se o produto entrega de forma sustentada e a que ritmo real chega aquilo que te prometem para o ano seguinte. E um relatório com amostra declarada, janela temporal e critérios de filtragem só o tem quem mediu durante anos. Nenhuma das duas garante que a plataforma seja a adequada para ti, mas ambas te dizem quanto do que te estão a contar já aconteceu e quanto é ainda um plano.

O que rever

• As notas de publicação datadas, que qualquer pessoa pode rever sem pedir autorização.
• O dado agregado que o fornecedor publica sobre a sua própria base, com a metodologia à vista.

Na SMARTFENSE

• Histórico público: a primeira versão saiu em 2017, e cada entrega desde então está nas notas de publicação.
• Dado agregado: o Relatório do Risco Humano publica o que foi medido sobre a base de clientes, com a sua metodologia.

O custo do pacote completo

Duas propostas com o mesmo preço podem cobrir coisas muito diferentes. O que não estiver na resposta sobre o preço vais descobri-lo na renovação.

O que rever

• O preço do pacote que cobre o teu requisito completo, não o do plano base.
• Que módulos se cobram à parte.
• Se há limite de campanhas ou de simulações, e como se contam os utilizadores.
• Qual é o prazo mínimo do contrato.

Ideias finais

O mais importante é cumprir os teus objetivos de forma cómoda e eficaz. Não te guies tanto por comparações ou relatórios genéricos: procura o que é melhor para a tua organização e verifica-o numa prova real antes de assinar.

Se quiseres ordenar a avaliação passo a passo, em como escolher a tua plataforma de awareness desenvolvemos o mesmo percurso como um quadro de decisão.

Perguntas frequentes

Qual é a melhor plataforma de sensibilização em cibersegurança?

Não existe uma única melhor plataforma para todas as organizações. A plataforma ideal para uma pode ser a pior decisão para outra, porque o que muda é o objetivo. Antes de comparar ferramentas é preciso definir se o objetivo é gerir o risco de engenharia social, sustentar uma cultura de segurança ou demonstrar conformidade regulamentar. Cada um destes objetivos exige funcionalidades diferentes, e a plataforma certa é a que cumpre o teu com a equipa e o orçamento que tens.

Que critérios usar para escolher uma plataforma de sensibilização?

Sete critérios ordenam a avaliação melhor do que uma tabela de funcionalidades: o que o programa gere, cursos ou pessoas; o que acontece depois de alguém cair numa simulação; quem executa o programa quando ninguém está dedicado a isso; se os conteúdos podem ser escritos com a voz da organização; se os incidentes reais vivem dentro do mesmo produto; que canais cobre a simulação além do correio eletrónico; e que evidência fica para uma auditoria. Os sete respondem-se numa demonstração.

Porque é que a percentagem de cursos concluídos não chega como indicador?

Porque mede atividade de formação, não risco. Uma percentagem alta de cursos concluídos é um registo válido de que a formação foi entregue e fecha uma casa de auditoria. Não diz quem está em risco hoje nem se a organização está melhor do que há seis meses. Para isso é preciso um indicador por pessoa que cruze o que cada uma faz perante uma simulação com o impacto que teria um erro seu.

O que acontece se ninguém estiver dedicado a operar o programa?

É a restrição mais comum e a que apaga mais programas por volta do sexto mês. Pergunta qual é o grau real de automatismo: se a plataforma gera o plano anual a partir de uma configuração, se as audiências se recalculam sozinhas quando alguém entra na organização ou ultrapassa um limiar de risco, e se a operação pode ser delegada no fornecedor ou no seu parceiro. Um programa que depende de alguém que o empurra todos os meses para quando essa pessoa vai de férias.