Porque a Formação Anual Obrigatória em Cibersegurança Não Chega: a Armadilha da Taxa de Conclusão

A formação obrigatória em cibersegurança dada uma vez por ano não chega para mudar o comportamento dos colaboradores durante um ataque real. Um colaborador marcado como "formação concluída" pode clicar num link de phishing no mesmo dia. O problema raramente está na formação em si; está em medir o sucesso pela taxa de conclusão. Neste artigo explicamos porque o modelo anual fica aquém e o que faz diferente um programa contínuo de sensibilização.

As perdas cresceram enquanto a formação também crescia

Segundo o Internet Crime Complaint Center (IC3) do FBI, as perdas declaradas com cibercrime nos Estados Unidos passaram de cerca de 4,2 mil milhões de dólares em 2020 para 20,9 mil milhões em 2025, cerca de cinco vezes mais em cinco anos. No mesmo período, a maioria das empresas manteve a formação anual de segurança, e muitas reforçaram-na.

As duas tendências em simultâneo sugerem que algo não está bem. A comunidade de segurança explica-o de duas formas:

• Primeira visão: o problema está na formação. O conteúdo é fraco, a repetição é insuficiente e falta medição. Bem feita, o resultado seria outro.
• Segunda visão: a taxa de conclusão nunca foi um indicador de segurança. As pessoas não começam a agir de outra forma por terem terminado um módulo.

As duas visões chegam ao mesmo ponto: um curso anual de "clicar e terminar" não reduz o risco humano.

Porque a taxa de conclusão engana

Em muitas organizações o sucesso é medido com perguntas como estas: quantas pessoas fizeram o curso? Quantos módulos foram abertos? Quem está no topo da lista?

As perguntas que importam ficam muitas vezes sem resposta:

• O comportamento mudou?
• Afetou a forma como as pessoas decidem?
• Refletiu-se nos resultados do negócio?

As chefias veem uma taxa de conclusão de 100 por cento e concluem que a equipa está preparada. As equipas de segurança veem outra realidade no terreno. A taxa de conclusão mostra que alguém viu um vídeo até ao fim. Nada diz sobre se essa pessoa vai reparar num email suspeito numa sexta-feira à tarde, já cansada.

Gamificação, microlearning, e-learning: quando a ferramenta passa a ser o objetivo

Nos últimos anos, as equipas de formação e desenvolvimento adotaram a gamificação, o microlearning e conteúdos gerados por IA. Nada disto é errado em si. O problema começa quando a ferramenta se torna o objetivo e substitui a aprendizagem.

As pessoas cansam-se de tudo o que se repete. A gamificação funciona no início e depois perde efeito. Dar a todos o mesmo pacote, ou produzir mais conteúdo, não cria mudança de comportamento.

O que faz diferente um programa contínuo de sensibilização

A Forrester Research deu um nome a esta abordagem: gestão do risco humano (human risk management). Onde o modelo clássico dá a todos o mesmo conteúdo, esta abordagem olha para o comportamento real de cada colaborador.

Um programa contínuo eficaz inclui normalmente:

1. Simulações de phishing regulares que medem como os colaboradores reagem a cenários semelhantes a um ataque real.
2. Formação curta e frequente: alguns minutos por mês sobre ameaças atuais, em vez de um vídeo de uma hora uma vez por ano.
3. Conteúdo por função: os riscos de quem trabalha na contabilidade são diferentes dos de uma equipa de software.
4. Reporte fácil: sinalizar um email suspeito com um clique.
5. Dados de comportamento: a evolução de métricas como a taxa de cliques, a taxa de reporte e o tempo até ao reporte.

O que medir

Estas métricas são mais significativas do que a taxa de conclusão:

• Taxa de reporte: a percentagem de colaboradores que deteta e reporta um email simulado
• Tempo até ao reporte: a rapidez com que chega o primeiro reporte
• Erros repetidos: se a mesma pessoa volta a falhar o mesmo tipo de cenário
• Distribuição do risco: que departamentos ou funções precisam de mais apoio

No relatório Cybersecurity Signals de 2025 da Marsh McLennan, a formação em sensibilização e os testes de phishing ficaram em terceiro lugar entre 12 controlos analisados quanto ao efeito na redução do risco de violação. Uma conclusão relevante: a qualidade da formação, ou seja, conteúdo atual e simulações realistas, está mais ligada aos resultados do que a frequência. Tornar esse efeito visível exige uma medição que vá além da taxa de conclusão.

Perguntas frequentes

---
Os programas de cultura de segurança da InfoLore centram-se nos dados de comportamento, com a taxa de conclusão apenas como um dos sinais. Contacte-nos para avaliarmos juntos o seu programa atual.