--- title: "Para de formar pessoas. Começa a corrigir a tecnologia. | Guardian360" description: "Porque é que a formação de sensibilização para a segurança quase não altera o comportamento, e porque é que deve ser a tecnologia, e não a formação, a suportar o peso." url: https://guardian360.net/pt/blog/stop-training-people-start-fixing-technology/ locale: en source: guardian360.net --- [← Todos os artigos](https://guardian360.net/pt/blog/) Cibersegurança # Para de formar pessoas. Começa a corrigir a tecnologia. Por Jan Martijn Broekhof · 15 de abril de 2026 Porque é que a formação de sensibilização para a segurança é uma mentira reconfortante, e o que devíamos fazer em vez disso Na semana passada, no ESET Cyber Defence Summit, a Prof. Bibi van den Berg, Professora de Cybersecurity Governance na Universidade de Leiden e membro do Conselho Neerlandês de Cibersegurança, disse algo que a maioria da plateia já suspeitava mas poucos se atreviam a dizer em voz alta: a investigação mostra de forma consistente que a formação de sensibilização para a segurança quase não altera o comportamento seguro real. A sala ficou em silêncio por um momento. Depois, lentamente, começaram a acenar com a cabeça. Eu era uma dessas cabeças a acenar. Não porque goste de ser do contra, mas porque isto coincide com tudo o que vi em mais de uma década a trabalhar em segurança da informação. Gastámos milhares de milhões em programas de sensibilização, simulações de phishing e módulos de e-learning. E, mesmo assim, as violações continuam a acontecer. As taxas de cliques quase não se mexem. As pessoas continuam a ser pessoas. ## A investigação está feita, e é condenatória Van den Berg não se limita a apresentar opiniões no palco. Ela e os seus colegas da Universidade de Leiden produziram a investigação que o comprova. Em 2024, Prümmer, Van Steen e Van den Berg publicaram uma meta-análise que examinou 69 estudos sobre a eficácia da formação em cibersegurança. A conclusão é impressionante: embora a formação melhore o conhecimento e a sensibilização, ou seja, as pessoas aprendem a identificar ameaças em teoria, o efeito no comportamento real é uma história completamente diferente. Quando os estudos usaram grupos independentes para medir a mudança de comportamento real, encontraram apenas um efeito pequeno e estatisticamente não significativo. Por outras palavras: “as pessoas sabem o que deviam fazer, mas não o fazem de forma fiável.” Esta conclusão não surgiu do nada. Um ano antes, a mesma equipa de investigação publicou na mesma revista uma revisão sistemática dos métodos atuais de formação em cibersegurança. Essa revisão concluiu que a mera transmissão de informação tem um efeito limitado na mudança de comportamento, que os programas de formação têm muitas vezes um âmbito demasiado estreito e que os colaboradores frequentemente têm pouco entusiasmo pelo material. A tradução da formação em comportamento no local de trabalho é, nas palavras dos próprios autores, uma empreitada difícil. Quando se usam métodos com eficácia limitada, desperdiçam-se esforço e recursos. O que torna estas conclusões particularmente devastadoras é a análise de moderadores: a meta-análise testou se o tipo de método de formação, a plataforma, o contexto social ou o uso de múltiplos métodos faziam uma diferença significativa. Nenhum deles fazia. Não é que ainda não tenhamos encontrado o método de formação certo. Todo o paradigma da formação-como-redução-de-risco é fundamentalmente limitado. ## A certeza matemática do fracasso Aqui está a verdade incómoda que a nossa indústria se recusa a aceitar: mesmo que treinasses todos os colaboradores até uma taxa de acerto de 99% (o que seria uma proeza extraordinária, muito para além do que a investigação mostra ser possível), a matemática continua a jogar contra ti. Numa organização com 1.000 colaboradores, cada um a tomar dezenas de decisões relevantes para a segurança todos os dias, estás a olhar para dezenas de milhares de oportunidades de erro. Todos os dias. A probabilidade de que pelo menos uma pessoa faça a coisa errada na hora errada é, para todos os efeitos práticos, de cem por cento. Isto não é um problema de formação. Isto é um problema de conceção de sistemas. E não se resolvem problemas de conceção de sistemas a dar sermões às pessoas que estão presas dentro de um sistema mal desenhado. ## A indústria das simulações de phishing está a vender placebos Na Guardian360, deixámos de oferecer testes de phishing há vários anos. Não foi uma decisão de negócio popular, porque as simulações de phishing são um mercado lucrativo. Mas parámos porque não conseguíamos, em consciência, continuar a vender um serviço que sabíamos não reduzir o risco de forma significativa. As simulações de phishing medem um único momento no tempo. Dizem-te que a Joana, da contabilidade, clicou num link falso numa terça-feira à tarde. Não te dizem porquê. Estava com pressa? O email era indistinguível de um legítimo? Estava a olhar para o telemóvel enquanto ia para uma reunião? O teste cria dados, mas não perceção. E a resposta organizacional típica, neste caso mais formação para a Joana, trata o sintoma e ignora a doença. Pior ainda, os testes de phishing criam uma falsa sensação de segurança. “A nossa taxa de cliques passou de 25% para 12%”, diz o CISO à administração, e toda a gente aplaude. Mas 12% de mil colaboradores continuam a ser 120 portas abertas. E ao atacante basta uma. A meta-análise de Leiden confirma esta intuição: mesmo nos estudos mais favoráveis, o efeito comportamental é, na melhor das hipóteses, modesto e, na pior, não significativo. ## A tecnologia tem de suportar o peso A minha convicção, endurecida por anos de experiência e agora apoiada pelo trabalho de Van den Berg e dos seus colegas, é simples: a tecnologia tem de resolver isto. Não como complemento da formação. Como a principal linha de defesa. O que é que isso significa na prática? Significa que deixamos de pedir às pessoas que sejam a última linha de defesa e começamos a construir sistemas onde as pessoas não conseguem facilmente cometer erros catastróficos. Pensa nisto: não formamos os passageiros de avião para inspecionarem os rebites da asa antes da descolagem. Construímos aeronaves seguras por conceção, mantidas por engenheiros certificados e monitorizadas por sistemas automáticos. Devíamos exigir a mesma filosofia à nossa infraestrutura digital. Concretamente, isto significa investir em tecnologias que tornam a segurança invisível e inevitável. A autenticação sem palavra-passe elimina toda a categoria do roubo de credenciais. As chaves de segurança de hardware tornam o phishing tecnicamente impossível, e não apenas improvável. A deteção e resposta em endpoints apanha o malware que alguém inevitavelmente descarrega. A filtragem de email para a mensagem maliciosa antes de ela chegar à caixa de entrada. As arquiteturas zero-trust limitam o raio de destruição quando, e não se, alguém comete um erro. ## Tornar a segurança o caminho de menor resistência O erro fundamental do paradigma da formação de sensibilização é que enquadra a segurança como algo que as pessoas têm de escolher ativamente, uma e outra vez, milhares de vezes por dia, contra a força da conveniência, da urgência e do hábito. Isso não é uma expetativa realista para seres humanos. Nunca foi. O paradigma de que precisamos é diferente. A segurança deve ser a predefinição. O caminho fácil e o caminho seguro devem ser o mesmo caminho. Quando divergem, quando a opção segura exige mais passos, mais atrito, mais carga cognitiva, o sistema é que está partido, e não o utilizador. Isto não é uma ideia radical. É assim que pensamos sobre a segurança em praticamente todos os outros domínios. Os engenheiros de estradas não confiam apenas na formação dos condutores para prevenir acidentes, instalam rails de proteção, projetam zonas de deformação e tornam os airbags obrigatórios. Os arquitetos de hospitais não confiam em cartazes sobre lavagem das mãos, instalam dispensadores automáticos em cada porta. E, no entanto, na cibersegurança, continuamos a pendurar os cartazes e a perguntar-nos porque é que as pessoas passam por eles sem parar. ## A coragem de mudar a conversa Sei que esta posição deixa algumas pessoas desconfortáveis. A indústria da sensibilização para a segurança vale milhares de milhões. Construíram-se carreiras à volta dela. Os frameworks de conformidade exigem-na. E sim, não estou a dizer que não devemos dizer absolutamente nada aos colaboradores sobre segurança. Higiene básica, como perceber porque não se deve partilhar a palavra-passe e reconhecer que existem ameaças, é o mínimo indispensável. A investigação de Leiden confirma que o conhecimento e a sensibilização melhoram com a formação. Mas conhecimento sem mudança de comportamento é uma ilusão cara de segurança. Está na hora de ter a coragem de redirecionar esses orçamentos, essa energia e essa atenção dos executivos dos programas de formação para investimentos em tecnologia que realmente façam a diferença. Não porque a tecnologia seja perfeita (não é), mas porque é escalável, consistente e não tem um dia mau numa terça-feira à tarde. Para de formar pessoas. Começa a corrigir a tecnologia. Os teus utilizadores não são o elo mais fraco, os teus sistemas é que são. ## Referências Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. *Computers & Security*, 150, 104206. Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. *Computers & Security*, 136, 103585. Van den Berg, B. (2026). Mesa-redonda no ESET Cyber Defence Summit.