O guia definitivo security awareness para 2026

O treinamento de conscientização sobre segurança é um treinamento estruturado que ensina os funcionários a reconhecer, evitar e relatar as ameaças cibernéticas com as quais se deparam no trabalho. Durante anos, isso foi algo que organizações sensatas faziam. Em 2026, tornou-se algo que muitas delas são legalmente obrigadas a fazer.

A NIS2, a diretiva europeia de segurança cibernética já incorporada à legislação nacional na maior parte da União, inclui o treinamento em segurança cibernética entre as medidas de gestão de riscos que as organizações devem implementar e responsabiliza pessoalmente os órgãos de gestão por elas. A Lei de IA da UE vai ainda mais longe: desde fevereiro de 2025, ela exige conhecimentos básicos sobre IA de todas as organizações cujos funcionários utilizem IA no trabalho, sem qualquer limite de tamanho.

Este guia aborda o que é e o que não é o treinamento em conscientização sobre segurança, por que os anos de 2026 e 2027 alteraram os desafios tanto para grandes quanto para pequenas organizações, os quatro formatos comuns de treinamento e quais são as limitações de cada um, e como cinco organizações holandesas conduzem seus programas atualmente.

Está procurando uma plataforma em vez de teoria? Confira o treinamento de conscientização sobre segurança da Guardey.

O que é treinamento security awareness ?

O treinamento de conscientização em segurança é um treinamento estruturado que ensina os funcionários a reconhecer, evitar e relatar ameaças cibernéticas com as quais se deparam no trabalho ou em casa. Um bom programa abrange temas como phishing, engenharia social, malware, boas práticas de senhas, manuseio seguro de dados e segurança física, e é avaliado com base na mudança de comportamento, e não na conclusão de módulos.

O termo mais curto, “conscientização sobre segurança”, descreve o resultado: o nível de atenção que as pessoas de uma organização dedicam aos riscos digitais. O treinamento é a forma de desenvolvê-la. A avaliação é a forma de comprovar que ela existe, o que, a partir de 2026, terá a mesma importância que o próprio treinamento.

Um programa pode estar vinculado a uma estrutura específica, como a ISO 27001, a NIS2 ou uma norma setorial, ou pode ser de caráter geral. Ele pode ser ministrado como uma única sessão anual ou como atividades curtas distribuídas ao longo do ano. Conforme mostra o restante deste guia, essa escolha é mais determinante para o sucesso do treinamento do que o próprio conteúdo dele.

Por que o treinamento security awareness é tão importante?

Em seu Relatório de Investigações sobre Vazamentos de Dados de 2026, a Verizon constatou que o fator humano esteve envolvido em 62% de todos os vazamentos, um aumento em relação aos 60% registrados no ano anterior, sendo que a engenharia social, por si só, foi responsável por 16%. Clicar em um link convincente, reutilizar uma senha em várias contas, aprovar uma solicitação de autenticação multifatorial (MFA) a mais: os funcionários não são um elo fraco por natureza, mas são o alvo dos invasores, pois são eles que respondem. É por isso que ensinar as pessoas a reconhecer e denunciar ameaças vale tanto quanto qualquer ferramenta que você adquira.

A importância do treinamento security awareness tem sido um tema muito discutido há anos. Nem todos os profissionais de segurança o consideram necessário, pois acreditam que o erro humano não pode ser descartado. Eles acreditam em medidas tecnológicas para garantir a segurança mesmo quando ocorrem erros humanos.

Na Guardey, acreditamos em uma combinação de ambos. Embora seja verdade que o treinamento não pode garantir a segurança, entendemos que a tecnologia também não pode. Não existe nenhum filtro de spam no mundo que garanta a captura de todos os e-mails phishing . Para o 1% de phishing que consegue passar por suas defesas tecnológicas, você quer que seus funcionários estejam cientes dos perigos do phishing.

Há muitas ameaças cibernéticas que não podem ser evitadas pela tecnologia. Pense na engenharia social da vida real, em que uma pessoa entra no escritório e convence a recepção de que é um contratado que precisa acessar os servidores. Situações como essas só podem ser evitadas quando todos em sua organização têm um alto senso de security awareness.

Por que o treinamento de conscientização sobre segurança será obrigatório em 2026 e 2027

Três atos legislativos europeus transformaram a capacitação dos funcionários de uma recomendação em uma obrigação, e os prazos relevantes já venceram. Veja a seguir o que se aplica atualmente e a quem.

A NIS2 considera o treinamento uma medida de segurança, e não uma sugestão

A NIS2 substituiu a diretiva original sobre segurança de redes e informações e deveria ter sido incorporada à legislação nacional até 17 de outubro de 2024. A maioria dos Estados-Membros não cumpriu esse prazo e, em meados de 2026, a Comissão Europeia havia aberto processos por infração contra 23 deles, mas as leis nacionais vêm sendo aprovadas de forma constante desde então. A Comissão estima que cerca de 160 mil organizações em 18 setores estejam abrangidas pelo âmbito de aplicação da diretiva, desde energia e água potável até saúde, governo, transporte e infraestrutura digital.

Dois artigos tratam do assunto. O Artigo 21(2)(g) enumera práticas básicas de higiene cibernética e treinamento em segurança cibernética entre as medidas de gestão de riscos que as entidades abrangidas devem adotar, o que transforma o treinamento de funcionários de uma boa prática em um controle que deve ser comprovado. O Artigo 20, parágrafo 2, é mais rigoroso no que diz respeito aos altos escalões: os membros dos órgãos de administração são obrigados a participar pessoalmente da capacitação, para que possam identificar riscos e avaliar se as medidas realmente funcionam. A conscientização sobre segurança deixou de ser algo que o conselho aprova para outras pessoas. Para essa obrigação específica, consulte a capacitação NIS2 para executivos.

As pequenas organizações são envolvidas por meio da cadeia de suprimentos

A NIS2 estabelece um limite de tamanho. Ela se aplica a entidades de médio e grande porte, em linhas gerais, aquelas com pelo menos 50 funcionários ou 10 milhões de euros em faturamento; portanto, a maioria das pequenas empresas fica fora de seu escopo, pelo menos no papel. Mas a história não termina aí.

O Artigo 21, parágrafo 2, alínea d), exige que as organizações abrangidas gerenciem os riscos de segurança em toda a sua cadeia de suprimentos, incluindo as práticas de seus fornecedores diretos e prestadores de serviços. Há uma maneira prática de fazer isso, que é incluir os requisitos nos contratos.

Assim, uma empresa de software com quinze funcionários que forneça serviços para um hospital, uma concessionária de energia ou um órgão público será solicitada a comprovar que sua equipe está treinada, mesmo que a diretiva nunca mencione isso explicitamente. Essa obrigação não chega na forma de uma carta de um órgão regulador. Ela se apresenta como um questionário para fornecedores, um anexo de segurança em uma renovação ou uma lista de verificação de aquisição com uma opção que precisa ser marcada antes da assinatura do contrato.

Para muitas empresas menores, isso muda completamente a questão. O treinamento de conscientização sobre segurança não é mais avaliado em relação ao risco de um incidente — algo que é fácil de adiar —, mas sim em relação ao risco de perder o maior cliente da empresa, o que não é tão fácil assim.

A Lei da IA tornou obrigatória a alfabetização em IA para todas as organizações

O Artigo 4º da Lei de IA da UE exige o domínio dos conceitos básicos de IA desde 2 de fevereiro de 2025, e a maior parte da lei entrou em vigor em 2 de agosto de 2026. Essa disposição não prevê limite de tamanho nem lista de setores. Qualquer organização cujos funcionários utilizem IA profissionalmente, incluindo aquelas que utilizam apenas ferramentas como o ChatGPT ou o Microsoft Copilot, deve garantir que esses funcionários compreendam os riscos, as limitações e o uso adequado das ferramentas com as quais trabalham. As penalidades previstas na Lei podem chegar a 15 milhões de euros ou 3% do faturamento anual global.

O efeito prático é impressionante: uma agência com apenas duas pessoas que insere dados de clientes em um chatbot está sujeita a uma obrigação de treinamento que nenhum limite de tamanho previsto pela NIS2 jamais teria abrangido. Atualmente, esse é o requisito de treinamento de funcionários mais abrangente da legislação europeia. Abordamos esse assunto em nosso guia sobre treinamento em alfabetização em IA.

O que está por vir em 2027

A Lei de Resiliência Cibernética completa o quadro. Suas obrigações relativas à notificação de vulnerabilidades entraram em vigor em 11 de setembro de 2026, e suas principais obrigações se aplicam a partir de 11 de dezembro de 2027 a qualquer pessoa que fabrique ou venda produtos com elementos digitais. A lei estabelece um dever de cuidado ao longo da cadeia de suprimentos e um período de suporte de pelo menos cinco anos.

Quando analisadas em conjunto, essas orientações são suficientemente consistentes para que se possa planejar com base nelas. Os órgãos reguladores deixaram de perguntar se as organizações adquiriram ferramentas de segurança e passaram a questionar se as pessoas que as utilizam sabem o que fazer e se isso pode ser comprovado quando solicitado. Um programa de treinamento que não consiga apresentar evidências resolve apenas metade do problema que você enfrenta atualmente.

Uma introdução às ameaças cibernéticas comuns

Phishing, vishing, smishing e quishing

Phishing é o uso de mensagens de e-mail para atacar um alvo. Os e-mails Phishing fingem ser originados de alguém em quem o alvo normalmente confiaria, como um cliente ou colega, ou de uma entidade confiável, como um banco ou um varejista on-line. Às vezes, o objetivo de um e-mail phishing é induzir o destinatário a fazer download de malware. Porém, de modo mais geral, o objetivo é obter informações confidenciais, como as credenciais de login do alvo para um serviço bancário on-line ou informações de identificação pessoal, como o número do seguro social.

O vishing é um ataque semelhante que utiliza chamadas de voz e vídeo, enquanto o smishing utiliza SMS e mensagens de texto. O spear phishing é um ataque direcionado a um indivíduo específico, como um executivo de alto escalão ou alguém com acesso ao sistema de TI. Nesses casos, o hacker costuma recorrer à engenharia social para fazer com que o alvo acredite que a mensagem é autêntica. O quishing refere-se ao uso de códigos QR que induzem os alvos a visitar sites maliciosos ou a transferir dinheiro diretamente para criminosos.

Malware

Malware é um software malicioso disseminado por criminosos cibernéticos. Ele pode infectar computadores individuais e outros dispositivos, ou redes inteiras. Há muitos tipos diferentes de malware. Aqui estão alguns exemplos:

Vírus

Os vírus são programas autorreplicantes projetados para causar danos a um sistema, excluindo dados ou introduzindo outras vulnerabilidades que podem ser exploradas.

Cavalos de Troia

Cavalos de Troia são programas disfarçados de software legítimo, mas que causam danos ao sistema. Os cavalos de Troia geralmente se escondem sem serem detectados nos sistemas de computador por um longo período, roubando informações e enviando-as aos criminosos cibernéticos. Um tipo comum de cavalo de Troia é um keylogger. Ele registra todas as teclas digitadas em um computador infectado, podendo revelar senhas e outras informações confidenciais. Essas informações podem ser usadas para outros crimes, como roubo de dados e roubo de identidade.

Ransomware

Outro tipo comum de malware é o ransomware. O ransomware é um malware projetado para obter um resgate da vítima. Normalmente, o ransomware criptografa todos os arquivos em um sistema ou rede de computadores e, em seguida, solicita um resgate da vítima em troca dos meios para descriptografá-los.

Os resgates exigidos costumam ser muito altos, às vezes muito acima do que a vítima jamais poderia pagar. Mesmo que o resgate seja pago, não há garantia de que o invasor forneça as chaves de descriptografia. Em muitos casos, os arquivos criptografados são perdidos para sempre. Nos últimos anos, o ransomware paralisou departamentos de hospitais, interrompeu linhas de produção e fechou escolas em toda a Europa, muitas vezes entrando pelo computador de um único funcionário que abriu o anexo errado.

O ransomware está em ascensão internacionalmente, com o tamanho dos pagamentos de resgate aumentando.

Sites maliciosos

Sites mal-intencionados, também conhecidos como sites de ataque, são sites que hospedam códigos mal-intencionados com a intenção de induzir os usuários a baixá-los em seus dispositivos. Em alguns casos, os sites de ataque são configurados para essa finalidade específica. Em outros, um site legítimo é sequestrado por criminosos cibernéticos que inserem códigos maliciosos nele. Alguns sites, chamados de sites de ataque drive-by, nem mesmo exigem que a vítima clique em um link de download ou interaja de alguma forma - apenas visitar o site é suficiente para infectar um sistema que esteja protegido de forma inadequada.

Os sites mal-intencionados também podem imitar sites confiáveis para induzir os usuários a inserir suas credenciais de login, permitindo que os criminosos obtenham acesso às contas das vítimas.

Ataques por USB

Mídias removíveis, como unidades USB, podem ser facilmente usadas como um vetor para códigos mal-intencionados. Em alguns casos, um criminoso pode obter acesso físico aos dispositivos de uma organização; geralmente, os invasores deixam pendrives infectados em locais onde os funcionários podem encontrá-los.

É trivial para um invasor adquirir uma unidade USB adornada com o logotipo da organização-alvo ou de outra entidade confiável, como um cliente ou fornecedor regular, e deixá-la perto das instalações onde será recolhida. Eles contam com membros da equipe curiosos ou prestativos para conectar a unidade USB em um dos computadores da rede da organização para verificar seu conteúdo. Uma vez conectada, a unidade infectada pode depositar sua carga útil de malware.

Observe que qualquer dispositivo capaz de armazenar dados pode ser usado para esse tipo de ataque, incluindo MP3 players, câmeras digitais e smartphones. Um exemplo recente é o Sogu, uma campanha de espionagem cibernética com auxílio de USB que tem como alvo vários setores.

Todos esses ataques podem ser devastadores para uma organização. É possível minimizar as chances de ser atingido por um ataque como esse com o treinamento adequado security awareness para funcionários e proprietários de empresas. Quando a equipe de uma organização está ciente dos riscos e de como evitá-los, ela deixa de ser um ponto de falha e passa a ser um firewall humano.

E a lista continua

As ameaças cibernéticas mencionadas acima são algumas das mais predominantes, mas os criminosos cibernéticos têm muitos métodos para roubar dados valiosos. Com o passar do tempo, seus métodos se aprimoram e são mais difíceis de serem percebidos por olhos não treinados. Especialmente com a IA em ascensão, os diferentes tipos de ameaças cibernéticas parecem ilimitados.

Os diferentes tipos de treinamento security awareness

Há várias maneiras de treinar seus funcionários. A seguir, veremos algumas das mais usadas.

Cursos anuais

Muitas organizações ainda dependem de cursos de treinamento anuais para preparar sua equipe para lidar com ameaças cibernéticas. O treinamento anual de security awareness para os funcionários tem dois problemas principais. Em primeiro lugar, o cenário de ameaças digitais está em constante mudança. Novas ameaças surgem o tempo todo, não apenas uma vez por ano, de modo que o treinamento anual fica rapidamente desatualizado.

Em segundo lugar, as pessoas simplesmente não retêm informações por um ano inteiro. Mesmo o aluno mais atento não se lembrará de tudo o que aprendeu por mais de alguns meses. Essa deterioração do conhecimento significa que o conhecimento dos funcionários inevitavelmente se tornará menos abrangente com o tempo, tornando-os menos eficazes para evitar riscos.

Treinamento em sala de aula

O treinamento em sala de aula tem algumas vantagens em relação a outros métodos de ensino. Ele cria um ambiente livre de distrações, no qual os alunos podem se concentrar nos tópicos específicos que precisam entender e internalizar. No entanto, o treinamento em sala de aula tem desvantagens significativas. Os alunos precisam ser afastados de outras atividades, o que significa que eles ficam para trás nas tarefas de trabalho ou abrem mão de seu tempo livre.

O treinamento em sala de aula também impõe aos alunos um modelo de tamanho único, com alguns alunos se sentindo entediados ou sem desafios e outros confusos com os novos tópicos.

Aprendizado eletrônico tradicional

O e-learning tradicional tenta replicar o aprendizado em sala de aula em um ambiente remoto. As aulas são ministradas em uma plataforma como Canvas ou Moodle, usando slides e outras mídias. Geralmente, há palestras pré-gravadas ou ministradas ao vivo por um instrutor. Embora o e-learning tradicional seja mais flexível e dimensionável do que o aprendizado em sala de aula, ele tem algumas das mesmas desvantagens. O aprendizado tende a ser passivo, com interatividade limitada e envolvimento ou retenção abaixo da média.

Treinamento gamificado

O treinamento de security awareness gamificado oferecido por provedores como o Guardey é uma solução moderna. É semelhante à abordagem adotada por aplicativos de aprendizado de idiomas como o Duolingo. Em vez de receber uma grande quantidade de informações uma vez por ano, ou como aulas discretas com interação limitada, os alunos recebem um fluxo constante de treinamentos curtos e de fácil digestão.

Com o Guardey, os usuários recebem um desafio semanal que leva cerca de 3 minutos para ser concluído. Durante um desafio, eles aprendem sobre ameaças cibernéticas, como phishing, malware, senhas fracas e IA. Com um bom desempenho durante os desafios, eles podem marcar pontos para a tabela de classificação da organização. A competição amigável entre colegas comprovadamente mantém os usuários envolvidos.

Ao gamificar a experiência de aprendizado, os usuários ficam intrinsecamente motivados a continuar participando. Seja para chegar ao primeiro lugar da tabela de classificação, continuar com suas sequências de semanas consecutivas jogadas ou simplesmente para melhorar sua própria pontuação máxima.

Como fazer com que sua organização participe do treinamento security awareness

Você decidiu que a aprendizagem gamificada é a solução ideal para as necessidades de treinamento em segurança da sua organização. Você encontrou alguns produtos excelentes que atendem a todos os seus requisitos. Agora vem a parte difícil: persuadir sua organização a adotar uma nova solução de treinamento.

As pessoas podem estar relutantes em mergulhar no treinamento de segurança gamificado por vários motivos. Você precisará responder a muitas perguntas. O que é security awareness? Como isso beneficia a organização? As pessoas que já passaram por uma aula anual de segurança cibernética podem achar que não têm nada a ganhar com o treinamento contínuo. Os gerentes e executivos podem acreditar que sua equipe é muito perspicaz para ser enganada por um e-mail phishing ou por um pen drive misterioso no estacionamento. Aqui estão algumas ideias que podem ajudar a persuadir as pessoas e a fazê-las participar.

Organize uma semana de conscientização sobre security awareness : um evento divertido e envolvente security awareness pode ajudar a deixar as pessoas entusiasmadas com a segurança cibernética e ansiosas por saber mais.

Realize uma simulação de spear phishing: uma simulação realista de spear phishing direcionada a indivíduos-chave pode ajudar a demonstrar que qualquer pessoa em sua organização pode estar vulnerável.

Recrute um palestrante convidado: Um palestrante especializado pode ajudar as pessoas a aceitarem seu ponto de vista de forma mais eficaz do que informações abstratas. Pode ser uma vítima de crime cibernético, um especialista em segurança ou até mesmo um hacker ético de "chapéu branco".

Como as organizações holandesas estão treinando security awareness

Aqui estão alguns exemplos de organizações holandesas que implementaram com sucesso o treinamento security awareness para seus funcionários.

EyeOn

EyeOn é uma empresa especializada em previsão e planejamento, que ajuda empresas internacionais a gerenciar os desafios da cadeia de suprimentos. A EyeOn é responsável por uma grande quantidade de dados de suas empresas clientes, que precisam ser tratados com segurança. A empresa adotou uma solução de treinamento em segurança cibernética gamificada para garantir que sua equipe estivesse à altura do desafio e para alinhar sua segurança com os requisitos da certificação ISO27001.

Eles introduziram o novo programa de treinamento entre os funcionários com o que chamaram de semana de security awareness . "Começávamos todos os dias com uma entrevista de 15 minutos e chamávamos isso de atualização de segurança. Cada dia tinha um tema específico. O primeiro foi chamado de 'da mesa ao destino'. Tratava-se de medidas de segurança durante a viagem, como o uso de uma tela de segurança, o armazenamento seguro do laptop e assim por diante. Outro tema foi sobre dados confidenciais, que foi o que chamamos de 'como não ter problemas com a SEC'."

Prêmio

A Priore oferece serviços de consultoria contábil e tributária. Com a responsabilidade pelas informações financeiras confidenciais dos clientes, a segurança cibernética é vital para eles. A Priore queria manter um alto nível de security awareness entre sua equipe o tempo todo. Por isso, trocou um curso anual de segurança cibernética por uma solução que proporcionasse aprendizado contínuo: Guardey.

"80% da organização começou a se envolver ativamente imediatamente após o primeiro e-mail de apresentação. Depois de um ou dois meses, todos, com exceção de uma ou duas pessoas, estavam usando o Guardey toda semana. Tudo isso se deveu à motivação intrínseca e à compreensão da importância da security awareness. Não há incentivos, como um prêmio mensal ou algo assim, então ainda podemos tentar isso se a participação diminuir."

Konot

KONOT é uma fundação educacional que oferece educação em 22 escolas primárias holandesas. A organização precisava de uma solução de treinamento de security awareness que a alinhasse com o GDPR. Já tendo sido alvo de vários ataques cibernéticos fracassados, a KONOT precisava de um produto de treinamento que mantivesse sua equipe informada e consciente o tempo todo. Eles adotaram o Guardey para oferecer treinamento e avaliação contínuos e garantir uma security awareness consistente.

A KONOT lançou recentemente o Guardey, e os usuários já estão recebendo os primeiros comentários. "O primeiro feedback que recebemos é entusiasmado. O Guardey os tornou realmente competitivos, o que é um bom sinal", diz Martijn. "É muito acessível, o que eu aprecio. Alguns poucos estavam menos entusiasmados com o conceito de conscientização do treinamento antes de começarmos, mas faremos uma avaliação com eles em breve." Frieda continua: "Não sou uma jogadora, mas também notei que continuei enfrentando novos desafios. É muito fácil passar pelas perguntas."

Vinhos Delta

Delta Wines é uma empresa atacadista de vinhos. Quando o provedor de seguros enfatizou a importância do treinamento security awareness e a futura diretriz NIS2, o CEO da Delta Wines entrou em ação. Para que todos participassem do treinamento, foi realizada uma simulação de phishing que foi um valioso alerta para muitas pessoas. Depois que muitos funcionários foram enganados pelo e-mail convincente, eles se mostraram muito receptivos a um treinamento adicional.

"Estamos recebendo muitos comentários positivos. Muitos funcionários começam imediatamente a jogar o novo desafio semanal assim que recebem o e-mail informando que ele está pronto. Alguns deles ficam seriamente desapontados quando erram uma pergunta. Isso deu início a várias discussões internas sobre segurança, o que é ótimo."

Marca registrada em Amsterdã

O Gezamenlijke Brandweer Amsterdam (Corpo de Bombeiros Unido de Amsterdã) é um importante corpo de bombeiros, encarregado de responder a incidentes em uma área industrial de Amsterdã. Se um corpo de bombeiros for vítima de um ataque cibernético, os resultados podem ser catastróficos. O departamento também precisava estar em conformidade com os requisitos do NIS2. O líder da equipe, Raymond Pikee, queria uma solução de treinamento recorrente que fosse divertida e envolvente.

Na tabela de classificação, os bombeiros podem ver como estão se saindo em comparação com seus colegas, o que aumenta a competição interna. "Somos um grupo competitivo, então esse é um toque agradável. Esses elementos de gamificação tornam divertido jogar Guardey, o que também nos ajuda a lembrar das informações."

Como começar a implementar o treinamento security awareness

Agora que você já sabe o que é o treinamento de conscientização em segurança e por que ele deixou de ser opcional, a questão é: o que procurar em um programa? Três aspectos diferenciam os programas que realmente funcionam daqueles que são apenas cumpridos por cumprir.

Tem que ser contínuo, porque o conhecimento se desatualiza em meses, e não em anos, e o cenário de ameaças não espera pela sua sessão anual. Tem que ser curto o suficiente para que as pessoas realmente o concluam, já que um programa com uma taxa de conclusão de 80% protege 80% da sua organização. E tem que medir e registrar a participação, porque, a partir de 2026, será solicitado que você comprove o que fez, e não apenas descreva.

Se você não tem ideia de qual é a situação atual da sua organização, comece medindo, em vez de comprar. Uma avaliação de referência da conscientização em segurança mostra quais equipes estão realmente em risco e transforma o treinamento de um custo em algo cujos resultados podem ser comprovados.

Na Guardey, oferecemos um treinamento security awareness gamificado que se concentra em manter os usuários envolvidos durante longos períodos de tempo. Com o uso de um placar de líderes, conquistas, sequências de sucesso e outros elementos de gamificação, os usuários têm uma sensação de competição amigável que aumenta a participação.