Estimativas históricas sobre o elo humano chegam a 90% dos incidentes, mas o Verizon DBIR 2025 traça um número conservador: o elemento humano aparece em cerca de 60% dos breaches, do clique em anexo malicioso à exposição inadvertida de credenciais. A distribuição interna importa mais: 22% tiveram credenciais comprometidas como vetor inicial e 16% começaram por phishing, enquanto pretexting (espinha dorsal do BEC) cresceu dentro dele. O padrão é consistente ao longo de múltiplas edições do relatório. Controles técnicos evoluem, mas o vetor de entrada permanece comportamental, porque o comportamento humano é a superfície de ataque com maior variância e menor custo marginal de exploração pro adversário.
O benchmark 2025 da KnowBe4 (plataforma de simulação de phishing), baseado em 67,7 milhões de testes em 14,5 milhões de usuários, traz um número operacional relevante: a Phish-prone Percentage baseline global é de 33,1%. Um terço dos colaboradores interage com um phishing simulado antes de qualquer treinamento estruturado. A variação por setor é significativa: Saúde e Farmacêutica em 41,9%, Seguros em 39,2%, Varejo e Atacado em 36,5%. Organizações com mais de 10 mil funcionários apresentam baseline de 40,5%, contra 24,6% nas de até 250 pessoas. A exposição escala com o tamanho do time, mas não na proporção do investimento em segurança, o que é coerente com o que se observa na auditoria: empresas grandes têm mais superfície e mais distância entre quem define controle e quem executa tarefa.
A leitura ingênua desses números produz a conclusão de que treinamento resolve. Na minha análise, a leitura precisa produz conclusão diferente. O próprio DBIR 2025 registra que, apesar de programas de conscientização difundidos, a taxa de clique segue inalterada em função do treinamento isolado, enquanto a taxa de reporte de phishing cresce até quatro vezes em organizações que treinam com regularidade. Treinamento não reduz o erro na mesma proporção em que aumenta a capacidade de detecção distribuída. Isso muda o desenho do controle: o objetivo se desloca pra reduzir o tempo entre o clique e a contenção. Tratar o usuário como sensor altera o que se mede e o que se exige do programa.
A ISO 27001:2022 endereça o elemento humano em camadas que costumam ser lidas isoladamente e por isso falham. O A.6.3 cobre conscientização e treinamento, o A.6.4 trata do processo disciplinar (que em quase toda organização que auditei existe apenas no papel), o A.5.24 a A.5.28 organizam a gestão de incidentes e o A.8.5 exige autenticação segura. Lidos em conjunto, descrevem um sistema em que o colaborador recebe contexto, tem canal de reporte que funciona, sabe que existe consequência proporcional pra negligência reincidente, e opera sob autenticação forte que absorve o impacto quando o comportamento falha. A falha recorrente na auditoria é a ausência de integração entre essas camadas, cada uma tratada como obrigação documental separada.
O efeito dessa desintegração aparece em incidentes. Já acompanhei uma empresa de cerca de 200 pessoas em que um analista financeiro recebeu um e-mail de pretexting se passando pelo CFO, autorizou uma transferência e percebeu minutos depois o erro. O canal de reporte formal era um e-mail monitorado em horário comercial, e o incidente ocorreu numa sexta-feira às 17h40. O dinheiro saiu. A política existia, o treinamento anual havia sido concluído, e o controle falhou na costura entre detecção pelo usuário e resposta organizacional. O comportamento individual funcionou, e o sistema em volta dele não converteu a percepção em contenção.
A resposta proporcional combina movimentos que operam em tempos diferentes. O mais imediato é reduzir o impacto do clique por controles técnicos que assumem que o clique vai acontecer: MFA resistente a phishing, de preferência baseado em FIDO2, já que códigos TOTP e push notifications continuam sendo capturados por proxies modernos como o Evilginx (framework de proxy reverso pra ataques man-in-the-middle). Junto disso, segmentação de privilégios no endpoint, com o colaborador sem direito administrativo local, e EDR com isolamento automático ao detectar comportamento pós-comprometimento. Esses controles não reduzem o clique, mas reduzem o que o clique habilita. Quando essa camada está operacional, a prioridade se desloca pra reduzir o tempo de detecção, via canais de reporte integrados ao fluxo de trabalho: um botão no cliente de e-mail, um canal dedicado no Slack ou Teams, triagem com SLA declarado. Sobre essas duas bases é que se constrói a degradação da superfície comportamental, com simulações regulares, feedback imediato e não punitivo, e acompanhamento individual quando o padrão de clique persiste numa mesma pessoa.
Pra mim, o trade-off central desse desenho é que ele exige maturidade de processo acima da média das organizações que eu audito. Simulações mal calibradas produzem cinismo, que corrói reporte. MFA forte cria atrito que leads técnicos convertem em exceções sucessivas até a exceção virar regra. Cada controle que depende de comportamento sustentado tende à entropia, e a única defesa contra ela é medir: taxa de reporte, tempo médio até contenção, variação de clique por coorte, cobertura efetiva de MFA resistente a phishing. Sem a métrica, o programa de conscientização vira o security theater que ele deveria combater, produzindo certificados anuais que atestam comparecimento e não capacidade.
A implicação pra quem opera segurança em times pequenos é que o elemento humano se resolve pela arquitetura que assume falibilidade como constante e distribui a resposta entre controle técnico, canal de reporte e aprendizado operacional. O clique vai acontecer. O que define o incidente é o que existe entre ele e a consequência.