Human Risk Behavior Management · Brasil

O comportamento humano é o vetor recorrente de incidentes. Treinamento isolado não muda esse comportamento.

Gestão contínua de risco humano, com governança, mensuração e modelo de maturidade. Um programa para TI e RH conduzirem juntos.

Fazer o diagnóstico de maturidade Falar com um especialista

Metodologia de Alexandre Russo

62%
das violações de dados envolvem o fator humano
Verizon DBIR 2026
R$ 50 mi
limite da multa da LGPD por infração, de até 2% do faturamento
Lei 13.709/2018, art. 52, II
Por que o treinamento isolado falha

Comportamento não muda com conteúdo. Muda com gestão.

  1. 01

    O problema é de desenho, não de volume

    As campanhas de conscientização se multiplicaram, e o comportamento que gera incidente continua o mesmo. Conteúdo informa. Mudar comportamento exige contexto, repetição, medição e gestão.

  2. 02

    Cada camada tem um risco diferente

    O risco de um executivo não é o de um analista operacional. Conteúdo único para todos cumpre tabela de compliance e não reduz exposição.

  3. 03

    Sem medição, não há gestão

    A maioria das empresas sabe que tem exposição humana. Poucas sabem onde ela se concentra, qual camada pesa mais e como ela evolui mês a mês.

Soluções

Três formas de começar a gerir o risco humano

Programa contínuo · 12 meses

Security Awareness Office (SAO)

Programa contínuo para gerir o risco humano da organização, baseado no SANS Security Awareness Maturity Model.

Modelo padrão: governança com operação assistida. Conduzimos o programa junto com a TI e o RH da empresa.

Meses 1 a 3
Fase de Implantação, 90 diasDiagnóstico, governança, plano de comunicação por camada e indicadores de linha de base.
Até o mês 12
Operação contínuaIntervenções comportamentais, capacitação, medição periódica e leitura executiva.
Palestra in-company

Palestra sobre risco humano

Apresentação para lideranças e equipes sobre por que o comportamento é o vetor recorrente de incidentes e como geri-lo. Pode abrir o programa ou funcionar de forma independente. Ministrada por Alexandre Russo.

Ponto de partida

Diagnóstico de maturidade

Ferramenta online que posiciona a organização nos cinco níveis de maturidade e indica prioridades por camada. Responda e receba o resultado.

Fazer o diagnóstico

O método é independente de plataforma. Quando a empresa já usa ou prefere uma plataforma de simulação e capacitação (por exemplo, Hacker Rangers), o programa opera sobre ela.

Para TI e para RH

A mesma oferta, lida por quem conduz cada parte

A TI define os requisitos técnicos do projeto e dos usuários. O RH conduz a capacitação. O programa precisa funcionar para as duas áreas.

Governança, integração e leitura para a diretoria

  • Governança do programa: papéis, política, comitê e rito de acompanhamento definidos desde a Fase de Implantação.
  • Integração com a plataforma: o programa se encaixa na plataforma de simulação e capacitação que a empresa já adota.
  • Indicadores de risco: medição por camada, comparável mês a mês.
  • Leitura executiva: relatório para a diretoria que dispensa tradução técnica.

Comportamento, comunicação e capacitação contínua

  • Mudança de comportamento: o objetivo é o que as pessoas fazem, não a conclusão de um curso.
  • Comunicação por camada: mensagens e formatos distintos para operacional, gestão e executivo.
  • Engajamento: acompanhado ao longo dos 12 meses, não só na entrega.
  • Capacitação contínua: formatos curtos, ligados à rotina de cada função.
Método · SANS Security Awareness Maturity Model

Cinco níveis de maturidade, uma trajetória

NÍVEL 1
Inicial

Sem programa estruturado. Ações pontuais, sem responsável definido.

NÍVEL 2
Básico

Existe capacitação regular, orientada a conformidade, sem medir comportamento.

NÍVEL 3
Estruturado

Governança definida, comunicação por camada e indicadores de linha de base.

NÍVEL 4
Integrado

O programa sustenta a mudança de comportamento e se liga a processos de TI, RH e liderança.

NÍVEL 5
Estratégico

O risco humano é medido e reportado como risco de negócio, com melhoria contínua.

A Fase de Implantação estabelece a linha de base e leva a organização ao nível Estruturado. A operação contínua sustenta a mudança de comportamento (nível Integrado) e produz os indicadores que permitem tratar o risco humano como risco de negócio (nível Estratégico). O ritmo depende do ponto de partida de cada organização. Os cinco níveis correspondem, na ordem, aos cinco estágios do SANS Security Awareness Maturity Model.

Setores prioritários

Risco humano com o contexto de cada setor

Cooperativas de crédito

Cultura e capacitação em segurança cibernética, com possibilidade de programa sistêmico para centrais e singulares.

Ver o setor →

Saúde

Hospitais, laboratórios e operadoras: dados sensíveis sob a LGPD e operação que não pode parar.

Ver o setor →
Trajetória

Uma metodologia construída em 20 anos de cibersegurança

A metodologia foi desenvolvida por Alexandre Russo, com formação em Neurociências pela UFMG e 20 anos de atuação em cibersegurança. Ele é sócio-fundador da CW4, referência em segurança da informação em Minas Gerais, e fundador da BizMarket.

Nesse período, o trabalho foi da operação de segurança à consultoria e à gestão comercial, sempre próximo das pessoas que decidem e executam a segurança no dia a dia. Dessa vivência vem a convicção que orienta o programa: risco humano se gerencia com método, medição e continuidade.

Conheça Alexandre Russo e suas palestras

Diagnóstico de maturidade

Descubra em qual nível de maturidade sua empresa está

O diagnóstico posiciona a organização nos cinco níveis e mostra por onde começar. Os dados são tratados com confidencialidade.

Fazer o diagnóstico de maturidade
Contato

Falar com um especialista

Conte o contexto da sua empresa. Respondemos com os próximos passos para TI e RH.