O guia definitivo security awareness para 2026

A formação em sensibilização para a segurança é uma formação estruturada que ensina os colaboradores a reconhecer, evitar e comunicar as ameaças cibernéticas com que se deparam no trabalho. Durante anos, foi algo que as organizações sensatas faziam. Em 2026, passou a ser algo que muitas delas são legalmente obrigadas a fazer.

A NIS2, a diretiva europeia sobre cibersegurança já transposta para a legislação nacional na maior parte da União, inclui a formação em cibersegurança entre as medidas de gestão de risco que as organizações têm de implementar e responsabiliza pessoalmente os órgãos de gestão por essas medidas. A Lei da IA da UE vai ainda mais longe: desde fevereiro de 2025, exige conhecimentos básicos sobre IA a todas as organizações cujos colaboradores utilizem IA no trabalho, sem qualquer limite de dimensão.

Este guia explica o que é e o que não é a formação em sensibilização para a segurança, porque é que os anos de 2026 e 2027 mudaram o que está em jogo tanto para as grandes como para as pequenas organizações, os quatro formatos de formação mais comuns e quais são os pontos fracos de cada um, e como é que cinco organizações holandesas gerem os seus programas atualmente.

Prefere a plataforma em vez da teoria? Dá uma vista de olhos na formação em sensibilização para a segurança da Guardey.

O que é a formação security awareness ?

A formação em sensibilização para a segurança é uma formação estruturada que ensina os colaboradores a reconhecer, evitar e comunicar as ameaças cibernéticas com que se deparam no trabalho ou em casa. Um bom programa abrange temas como o phishing, a engenharia social, o malware, as boas práticas de gestão de palavras-passe, o manuseamento seguro de dados e a segurança física, e é avaliado com base na mudança de comportamento e não na conclusão de módulos.

O termo mais curto, «consciência de segurança», descreve o resultado: o nível de atenção que as pessoas de uma organização têm em relação aos riscos digitais. A formação é a forma de a desenvolver. A avaliação é a forma de provar que a tens, o que, a partir de 2026, vai ser tão importante quanto a própria formação.

Um programa pode estar ligado a um quadro específico, como a norma ISO 27001, a NIS2 ou uma norma setorial, ou pode ser de caráter geral. Pode decorrer como uma única sessão anual ou como pequenos exercícios distribuídos ao longo do ano. Como o resto deste guia mostra, essa escolha é mais determinante para o sucesso da formação do que o próprio conteúdo.

Porque é que a formação security awareness é tão importante?

No seu Relatório de Investigações sobre Violações de Dados de 2026, a Verizon descobriu que o fator humano esteve envolvido em 62% de todas as violações, um aumento em relação aos 60% do ano anterior, sendo que só a engenharia social representou 16%. Clicar num link convincente, reutilizar uma palavra-passe em várias contas, aprovar uma solicitação de autenticação multifator (MFA) a mais: os colaboradores não são, por natureza, o elo mais fraco, mas são o alvo dos atacantes, porque são eles que respondem. É por isso que ensinar as pessoas a reconhecer e a comunicar ameaças vale tanto quanto qualquer ferramenta que compres.

A importância da formação security awareness tem sido um tema quente desde há alguns anos. Nem todos os profissionais de segurança a consideram necessária, pois acreditam que o erro humano não pode ser excluído. Acredita nas medidas tecnológicas para garantir a segurança mesmo quando ocorrem erros humanos.

Na Guardey, acreditamos numa combinação de ambos. Embora seja verdade que a formação não pode garantir a segurança, compreendemos que a tecnologia também não o pode fazer. Não existe nenhum filtro de spam no mundo que garanta que irá apanhar todos os e-mails phishing . Para o 1% de phishing que consegue passar pelas tuas defesas tecnológicas, queres que os teus funcionários estejam conscientes dos perigos de phishing.

Há muitas ameaças cibernéticas que não podem ser evitadas pela tecnologia. Pensa na engenharia social da vida real, em que uma pessoa entra no escritório e convence a receção de que é um empreiteiro que precisa de aceder aos servidores. Situações como esta só podem ser evitadas quando todos na tua organização têm um elevado sentido de security awareness.

Por que é que a formação em sensibilização para a segurança é obrigatória em 2026 e 2027

Três atos legislativos europeus transformaram a formação dos trabalhadores de uma recomendação numa obrigação, e os prazos importantes já expiraram. Eis o que se aplica neste momento e a quem.

A NIS2 considera a formação uma medida de segurança, não uma sugestão

A NIS2 substituiu a diretiva original sobre segurança das redes e da informação e tinha de ser transposta para a legislação nacional até 17 de outubro de 2024. A maioria dos Estados-Membros não cumpriu esse prazo e, em meados de 2026, a Comissão Europeia já tinha aberto processos por infração contra 23 deles, mas as leis nacionais têm vindo a ser aprovadas de forma constante desde então. A Comissão estima que cerca de 160 000 organizações em 18 setores estejam abrangidas pelo âmbito de aplicação da diretiva, desde a energia e a água potável até aos cuidados de saúde, à administração pública, aos transportes e às infraestruturas digitais.

São dois artigos que tratam disso. O artigo 21.º, n.º 2, alínea g), enumera práticas básicas de higiene cibernética e formação em cibersegurança entre as medidas de gestão de risco que as entidades abrangidas têm de implementar, o que faz com que a formação dos colaboradores passe de uma boa prática para um controlo que tens de poder comprovar. O n.º 2 do artigo 20.º é ainda mais rigoroso ao nível da direção: os membros dos órgãos de gestão são obrigados a frequentar eles próprios a formação, para que possam identificar riscos e avaliar se as medidas funcionam mesmo. A sensibilização para a segurança deixou de ser algo que o conselho de administração aprova para os outros. Para essa obrigação em particular, consulta a formação NIS2 para executivos.

As pequenas organizações são arrastadas pela cadeia de abastecimento

A NIS2 tem um limiar de dimensão. Aplica-se a entidades de média e grande dimensão, basicamente aquelas com pelo menos 50 colaboradores ou 10 milhões de euros de volume de negócios, pelo que, em teoria, a maioria das pequenas empresas fica fora do seu âmbito de aplicação. Mas a história não acaba aqui.

A alínea d) do n.º 2 do artigo 21.º exige que as organizações abrangidas pela norma gerem os riscos de segurança ao longo de toda a sua cadeia de abastecimento, incluindo as práticas dos seus fornecedores diretos e prestadores de serviços. Há uma forma prática de o fazer: incluir esses requisitos nos contratos.

Assim, uma empresa de software com quinze pessoas que venda a um hospital, a um fornecedor de energia ou a uma entidade pública vai ter de provar que o seu pessoal tem formação, mesmo que a diretiva nunca o mencione explicitamente. A obrigação não chega na forma de uma carta de uma entidade reguladora. Chega através de um questionário para fornecedores, de um anexo de segurança numa renovação ou de uma lista de verificação de aquisições com uma caixa que tem de ser assinalada antes de assinar o contrato.

Para muitas empresas mais pequenas, isso muda completamente a questão. A formação em sensibilização para a segurança já não é ponderada em relação ao risco de um incidente, que é fácil de adiar. É ponderada em relação ao risco de perder o maior cliente da empresa, o que não é fácil de adiar.

A Lei da IA tornou obrigatória a literacia em IA para todas as organizações

O artigo 4.º da Lei da IA da UE exige literacia em IA desde 2 de fevereiro de 2025, e a maior parte da lei entrou em vigor a 2 de agosto de 2026. Esta disposição não tem qualquer limite de dimensão nem lista de setores. Qualquer organização cujos colaboradores utilizem IA a nível profissional, incluindo aquelas que apenas utilizam ferramentas como o ChatGPT ou o Microsoft Copilot, tem de garantir que esses colaboradores compreendem os riscos, as limitações e a utilização adequada das ferramentas com que trabalham. As sanções previstas na lei podem ir até 15 milhões de euros ou 3% do volume de negócios anual global.

O efeito prático é impressionante: uma agência com duas pessoas que insere dados de clientes num chatbot tem uma obrigação de formação que nenhum limiar de dimensão previsto na NIS2 teria jamais abrangido. Atualmente, é o requisito de formação de colaboradores mais abrangente previsto na legislação europeia. Abordamos este tema no nosso guia sobre formação em literacia em IA.

O que vai acontecer em 2027

A Lei da Resiliência Cibernética vem completar o quadro. As obrigações relativas à comunicação de vulnerabilidades entraram em vigor a 11 de setembro de 2026, e as principais obrigações aplicam-se a partir de 11 de dezembro de 2027 a quem fabricar ou vender produtos com elementos digitais. A lei prevê um dever de diligência ao longo da cadeia de abastecimento e um período de assistência de, pelo menos, cinco anos.

Se analisarmos tudo em conjunto, a orientação é suficientemente consistente para que possas planear com base nela. As entidades reguladoras deixaram de perguntar se as organizações compraram ferramentas de segurança e passaram a perguntar se as pessoas que as utilizam sabem o que fazer e se isso pode ser demonstrado quando solicitado. Um programa de formação que não consiga apresentar provas resolve apenas metade do problema que tens agora.

Uma introdução às ciberameaças comuns

Phishing, vishing, smishing e quishing

Phishing Phishing é a utilização de mensagens de correio eletrónico para atacar um alvo. As mensagens de correio eletrónico fingem ser provenientes de alguém em quem o alvo normalmente confia, como um cliente ou colega, ou de uma entidade de confiança, como um banco ou um retalhista em linha. Por vezes, o objetivo de um e-mail é enganar o destinatário para que descarregue malware. Mais geralmente, porém, o objetivo é obter informações sensíveis, como as credenciais de início de sessão do alvo para um serviço bancário online ou informações de identificação pessoal, como o número da segurança social. phishing

O vishing é um ataque semelhante que usa chamadas de voz e vídeo, enquanto o smishing usa SMS e mensagens de texto. O spear phishing é um ataque dirigido a uma pessoa específica, como um executivo de topo ou alguém com acesso aos sistemas de TI. Nestes casos, o hacker costuma recorrer à engenharia social para fazer com que o alvo acredite que a mensagem é autêntica. O quishing refere-se ao uso de códigos QR que levam os alvos a visitar sites maliciosos ou a transferir dinheiro diretamente para os criminosos.

Malware

O malware é um software malicioso que é disseminado por cibercriminosos. Pode infetar computadores individuais e outros dispositivos, ou redes inteiras. Existem muitos tipos diferentes de malware. Eis alguns exemplos:

Vírus

Os vírus são programas auto-replicantes concebidos para causar danos a um sistema, eliminando dados ou introduzindo outras vulnerabilidades que podem ser exploradas.

Cavalos de Troia

Os cavalos de Troia são programas que se disfarçam de software legítimo, mas que causam danos a um sistema. Os cavalos de Troia escondem-se frequentemente sem serem detectados nos sistemas informáticos durante um longo período de tempo, roubando informações e enviando-as para os criminosos informáticos. Um tipo comum de cavalo de Troia é um keylogger. Este regista todas as teclas introduzidas num computador infetado, revelando potencialmente palavras-passe e outras informações sensíveis. Estas informações podem depois ser utilizadas para outros crimes, como o roubo de dados e de identidade.

Ransomware

Outro tipo comum de malware é o ransomware. O ransomware é um malware concebido para obter um resgate da vítima. Normalmente, o ransomware encripta todos os ficheiros num sistema ou rede de computadores e depois solicita um resgate à vítima em troca dos meios para os desencriptar.

Os resgates exigidos costumam ser muito elevados, por vezes muito mais do que a vítima alguma vez poderá pagar. Mesmo que o resgate seja pago, não há garantia de que o atacante forneça as chaves de desencriptação. Em muitos casos, os ficheiros encriptados perdem-se para sempre. Nos últimos anos, o ransomware paralisou departamentos hospitalares, interrompeu linhas de produção e fechou escolas por toda a Europa, entrando muitas vezes através de um único colaborador que abriu o anexo errado.

O ransomware está a aumentar a nível internacional, com a dimensão dos pagamentos de resgate a aumentar.

Sítios Web maliciosos

Os sites maliciosos, também conhecidos como sites de ataque, são sites que alojam código malicioso com a intenção de enganar os utilizadores para que o descarreguem para os seus dispositivos. Em alguns casos, os sítios de ataque são criados para este fim específico. Noutros, um site legítimo é sequestrado por cibercriminosos que depois inserem nele código malicioso. Alguns sites, chamados sites de ataque drive-by, nem sequer exigem que a vítima clique numa ligação de descarregamento ou interaja de qualquer forma - basta visitar o site para infetar um sistema que esteja mal protegido.

Os sites maliciosos também podem imitar sites de confiança para enganar os utilizadores e levá-los a introduzir as suas credenciais de início de sessão, permitindo que os criminosos tenham acesso às contas das vítimas.

Ataques USB

Os suportes amovíveis, como as unidades USB, podem ser facilmente utilizados como vetor de código malicioso. Nalguns casos, um criminoso pode obter acesso físico aos dispositivos de uma organização; mais habitualmente, os atacantes deixam as unidades USB infectadas onde os funcionários incautos as podem encontrar.

É trivial para um atacante adquirir uma unidade USB adornada com o logótipo da organização alvo, ou de outra entidade de confiança, como um cliente ou fornecedor regular, e deixá-la perto das instalações onde será recolhida. Confia que funcionários curiosos ou prestáveis liguem a unidade USB a um dos computadores da rede da organização para verificar o seu conteúdo. Uma vez ligada, a unidade infetada pode depositar o seu payload de malware.

De notar que qualquer dispositivo capaz de armazenar dados pode ser utilizado para este tipo de ataque, incluindo leitores de MP3, câmaras digitais e smartphones. Um exemplo recente é o Sogu, uma campanha de ciberespionagem assistida por USB que visa vários sectores.

Todos estes ataques podem ser devastadores para uma organização. Podes minimizar as probabilidades de ser atingido por um ataque como este com uma formação adequada em security awareness para funcionários e proprietários de empresas. Quando o pessoal de uma organização está ciente dos riscos e de como evitá-los, deixa de ser um ponto de falha e passa a ser uma firewall humana.

E a lista continua

As ameaças cibernéticas acima mencionadas são algumas das mais prevalecentes, mas os cibercriminosos têm muitos métodos para roubar dados valiosos. À medida que o tempo avança, os seus métodos melhoram e são mais difíceis de detetar por um olho destreinado. Especialmente com a IA em ascensão, os diferentes tipos de ciberameaças parecem ilimitados.

Os diferentes tipos de formação security awareness

Existem várias formas de formar os teus empregados. De seguida, apresentamos-te algumas das mais utilizadas.

Cursos anuais

Muitas organizações ainda dependem de cursos de formação anuais para preparar o seu pessoal para lidar com as ciberameaças. A formação anual dos funcionários em security awareness tem dois problemas principais. Em primeiro lugar, o panorama das ameaças digitais está em constante mudança. Estão sempre a surgir novas ameaças, e não apenas uma vez por ano, pelo que a formação anual fica rapidamente desactualizada.

Em segundo lugar, as pessoas simplesmente não retêm informação durante um ano inteiro. Mesmo o aluno mais atento não se lembrará de tudo o que aprendeu durante mais do que alguns meses. Esta deterioração do conhecimento significa que os conhecimentos do pessoal se tornarão inevitavelmente menos abrangentes ao longo do tempo, tornando-os menos eficazes na prevenção de riscos.

Formação em sala de aula

A formação em sala de aula tem algumas vantagens em relação a outros métodos de ensino. Cria um ambiente livre de distrações, onde os alunos podem concentrar-se nos tópicos específicos que precisam de compreender e interiorizar. No entanto, o treinamento em sala de aula tem desvantagens significativas. Os formandos têm de ser afastados de outras actividades, o que significa que ou ficam para trás nas tarefas de trabalho ou abdicam do seu tempo livre.

A formação em sala de aula também impõe aos alunos um modelo de tamanho único, com alguns alunos a sentirem-se aborrecidos ou sem desafios e outros a ficarem confusos com os novos tópicos.

Aprendizagem eletrónica tradicional

O e-learning tradicional tenta replicar a aprendizagem em sala de aula num ambiente remoto. As aulas são dadas através de uma plataforma como o Canvas ou o Moodle, utilizando diapositivos e outros meios de comunicação. Normalmente, há palestras, pré-gravadas ou apresentadas ao vivo por um instrutor. Embora o e-learning tradicional seja mais flexível e escalável do que a aprendizagem em sala de aula, tem alguns dos mesmos inconvenientes. A aprendizagem tende a ser passiva, com uma interatividade limitada e um envolvimento ou retenção abaixo da média.

Formação gamificada

A formação gamificada security awareness oferecida por fornecedores como a Guardey é uma solução moderna. É semelhante à abordagem adoptada por aplicações de aprendizagem de línguas como o Duolingo. Em vez de lhes ser apresentada uma grande quantidade de informação uma vez por ano, ou como aulas discretas com interação limitada, os formandos recebem um fluxo constante de formações curtas e facilmente digeríveis.

Com o Guardey, os utilizadores recebem um desafio semanal que demora cerca de 3 minutos a concluir. Durante um desafio, aprendem sobre ameaças cibernéticas como phishing, malware, palavras-passe fracas e IA. Se tiverem um bom desempenho durante os desafios, podem marcar pontos para a tabela de classificação da organização. A competição amigável entre colegas provou manter os utilizadores envolvidos.

Ao gamificar a experiência de aprendizagem, os utilizadores ficam intrinsecamente motivados para continuar a aparecer. Quer seja para chegar ao primeiro lugar da tabela de classificação, continuar a sua série de semanas consecutivas jogadas ou simplesmente para melhorar a sua própria pontuação.

Como fazer com que a tua organização adira à formação security awareness

Decidiste que a aprendizagem gamificada é a solução ideal para as necessidades de formação em segurança da tua organização. Encontraste alguns produtos excelentes que satisfazem todos os teus requisitos. Agora vem a parte difícil: persuadir a tua organização a adotar uma nova solução de formação.

As pessoas podem estar relutantes em mergulhar na formação de segurança gamificada por várias razões. Terás de responder a muitas perguntas. O que é security awareness? Como é que beneficia a organização? As pessoas que já passaram por uma aula anual de cibersegurança podem achar que não têm nada a ganhar com a formação contínua. Os gestores e executivos podem pensar que os seus funcionários são demasiado perspicazes para se deixarem enganar por um e-mail phishing ou por uma misteriosa pen drive no parque de estacionamento. Aqui estão algumas ideias que podem ajudar a persuadir as pessoas e a fazê-las aderir.

Organiza uma semana security awareness : um evento security awareness divertido e envolvente pode ajudar a entusiasmar as pessoas com a cibersegurança e a quererem saber mais.

Faça uma phishing spear phishing : uma phishing realista phishing spear phishing que visa pessoas importantes pode ajudar a mostrar que qualquer pessoa na sua organização pode estar vulnerável.

Recruta um orador convidado: Um orador especializado pode ajudar a convencer as pessoas do teu ponto de vista de forma mais eficaz do que uma informação abstrata. Pode ser uma vítima de cibercrime, um perito em segurança ou mesmo um hacker ético de "chapéu branco".

Como é que as organizações holandesas estão a formar security awareness

Eis alguns exemplos de organizações holandesas que implementaram com êxito a formação security awareness para os seus empregados.

EyeOn

EyeOn é um especialista em previsão e planeamento, que ajuda empresas internacionais a gerir os desafios da cadeia de fornecimento. A EyeOn é responsável por uma grande quantidade de dados das empresas suas clientes, que têm de ser tratados de forma segura. Adoptou uma solução de formação em cibersegurança gamificada para se certificar de que o seu pessoal estava à altura do desafio e para alinhar a sua segurança com os requisitos da certificação ISO27001.

Introduziram o novo programa de formação entre os funcionários com aquilo a que chamaram uma semana security awareness . Começámos todos os dias com uma entrevista de 15 minutos, a que chamámos de "catch-up" de segurança. Cada dia tinha um tema específico. O primeiro chamava-se "da secretária ao destino". Tratava-se de medidas de segurança durante as viagens, como a utilização de um ecrã de segurança, o armazenamento seguro do teu computador portátil, etc. Outro tema era sobre dados confidenciais, a que chamámos "como não te meteres em problemas com a SEC".

Priore

A Priore oferece serviços de contabilidade e consultoria fiscal. Com a responsabilidade pelas informações financeiras sensíveis dos clientes, a cibersegurança é vital para eles. A Priore queria manter sempre um elevado nível de security awareness entre o seu pessoal. Foi por isso que mudaram de um curso anual de cibersegurança para uma solução que proporcionasse uma aprendizagem contínua: Guardey.

"80% da organização começou imediatamente a participar ativamente após o primeiro e-mail de apresentação. Passado um mês ou dois, todos, com exceção de 1 ou 2 pessoas, estavam a utilizar o Guardey todas as semanas. Tudo isto se deveu à motivação intrínseca e à compreensão da importância de security awareness. Não há incentivos como um prémio mensal ou qualquer outra coisa, por isso ainda podemos tentar isso se a participação abrandar."

Konot

KONOT é uma fundação educativa que fornece educação através de 22 escolas primárias holandesas. A organização precisava de uma solução de formação security awareness que a alinhasse com o RGPD. Tendo já sido alvo de vários ciberataques falhados, a KONOT precisava de um produto de formação que mantivesse o seu pessoal informado e consciente em todos os momentos. Adoptaram o Guardey para oferecer formação e avaliação contínuas e garantir a consistência security awareness.

A KONOT lançou recentemente o Guardey e os primeiros comentários dos utilizadores estão agora a chegar. "Os primeiros comentários que recebemos são entusiásticos. O Guardey tornou-os realmente competitivos, o que é um bom sinal", diz Martijn. "É muito acessível, o que eu aprecio. Alguns poucos estavam menos entusiasmados com o conceito de sensibilização para a formação antes de começarmos, mas vamos avaliá-los em breve." Frieda continua: "Não sou uma jogadora de todo, mas também reparei que estava sempre a aceitar novos desafios. É muito fácil passar pelas perguntas".

Vinhos Delta

Delta Wines é uma empresa grossista de vinhos. Quando o seu fornecedor de seguros sublinhou a importância da formação security awareness e a futura diretiva NIS2, o CEO da Delta Wines tomou medidas. Para que todos aderissem, foi efectuada uma simulação em phishing que constituiu uma valiosa chamada de atenção para muitas pessoas. Depois de muitos funcionários terem sido enganados pelo e-mail convincente, mostraram-se muito receptivos a uma formação adicional.

"Estamos a receber muitos comentários positivos. Muitos empregados começam imediatamente a jogar o novo desafio semanal assim que recebem o e-mail a dizer que está pronto. Alguns deles ficam seriamente desiludidos quando erram uma pergunta. Já deu início a várias discussões internas sobre segurança, o que é ótimo."

Marca de roupa de marca em Amesterdão

Gezamenlijke Brandweer Amsterdam (Bombeiros Unidos de Amesterdão) é um importante corpo de bombeiros, encarregado de responder a incidentes numa zona industrial de Amesterdão. Se um corpo de bombeiros for vítima de um ciberataque, os resultados podem ser catastróficos. O departamento também precisava de cumprir os requisitos NIS2. O líder da equipa, Raymond Pikee, queria uma solução de formação recorrente que fosse divertida e envolvente.

Na tabela de classificação, os bombeiros podem ver como se estão a sair em comparação com os colegas, o que aumenta a competição interna. "Somos um grupo competitivo, por isso é um toque agradável. Estes elementos de gamificação tornam divertido jogar Guardey, o que também nos ajuda a recordar a informação."

Como começar a implementar a formação security awareness

Agora que já sabes o que é a formação em sensibilização para a segurança e porque é que deixou de ser opcional, a questão é: o que deves procurar num programa. Há três aspetos que distinguem os programas que funcionam dos que são apenas cumpridos por cumprir.

Tem de ser contínuo, porque os conhecimentos perdem-se em meses e não em anos, e o panorama das ameaças não espera pela tua sessão anual. Tem de ser suficientemente curto para que as pessoas o concluam mesmo, já que um programa com uma taxa de conclusão de 80% protege 80% da tua organização. E tem de medir e registar a participação, porque, a partir de 2026, vão pedir-te para provar o que fizeste, e não só para o descrever.

Se não fazes ideia de qual é a situação atual da tua organização, começa por avaliar, em vez de comprar. Uma avaliação de referência da sensibilização para a segurança mostra-te quais as equipas que estão realmente em risco e transforma a formação de um custo em algo cujos resultados podes demonstrar.

Na Guardey, oferecemos uma formação gamificada em security awareness que se concentra em manter os utilizadores envolvidos durante longos períodos de tempo. Ao utilizar uma tabela de classificação, conquistas, hot streaks e outros elementos de gamificação, os utilizadores têm uma sensação de competição amigável que aumenta a participação.