Como construir uma cultura forte de segurança cibernética na empresa

O tamanho da equipe dedicada de segurança cibernética tem uma correlação muito forte com a maturidade do programa dentro da organização. São necessários pelo menos 3 profissionais dedicados (FTEs ou full-time employees) para começar a mudar comportamentos de conscientização em segurança, e 4,3 profissionais dedicados para impactar a cultura da organização, de acordo com o “SANS Security Awareness & Culture Report”. 

O SANS usa um Modelo de Maturidade de Conscientização e Cultura de Segurança, com cinco estágios: Inexistente, Focado em Conformidade, Promovendo Conscientização e Mudança de Comportamento, Mudança de Cultura de Longo Prazo, e Otimização e Resiliência. Em 2026, a distribuição ficou assim: 

• 3% das organizações ainda não têm programa
• 19% das empresas apenas cumprem requisitos de conformidade
• 45% das organizações já promovem mudança de comportamento
• 21% das empresas alcançaram mudança de cultura de longo prazo
• 12% das organizações chegaram à otimização e resiliência, com métricas robustas e ROI demonstrável.

O tamanho ideal da equipe de profissionais dedicados não escala de forma linear com o número de funcionários da empresa: a média de profissionais dedicados vai de 2,70 em companhias com menos de 1.000 funcionários a 5,78 em organizações com mais de 75.000 pessoas. Como referência prática, para cada dez profissionais na equipe de segurança, ao menos um deveria estar dedicado ao fator humano. Hoje é comum ver equipes de 50 pessoas com 49 focadas em tecnologia e apenas uma no lado humano, justamente o principal vetor de ataque.

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Ao cadastrar-se você declara que está de acordo
com nossos Termos de Uso e Privacidade.

Cadastrar

O relatório, que chega à 11ª edição com dados de mais de 1.700 profissionais de conscientização em segurança, de organizações espalhadas por seis continentes, deixa claro que treinar pessoas não é o mesmo que mudar comportamentos, e mudar comportamentos não é o mesmo que embutir uma cultura de segurança. Como resume o próprio relatório, “seu trabalho não é educar as pessoas sobre segurança – é educar o time de segurança sobre as pessoas”.

O maior obstáculo citado não é orçamento nem tecnologia, e sim falta de tempo (30% das respostas), seguido de orçamento (26%) e falta de pessoal (25%). Também pesam a dificuldade em medir e comunicar o valor do programa (19%), relacionamentos fracos com outras áreas (18%), fadiga de treinamento (17%) e falta de apoio da liderança (14%). Isso se conecta a outro achado: mudar comportamento e cultura leva anos, não trimestres. São necessários de três a cinco anos para impactar comportamentos, de cinco a dez anos para impactar a cultura organizacional, e mais de dez para a correlação mais forte com o estágio de Otimização. Programas com mais de dez anos concentram 43% dos casos nesse estágio máximo, contra apenas 2% dos programas informais e sem estrutura.

IA: adoção acelerada, governança atrasada

Três quartos (75%) dos respondentes relataram algum engajamento com IA em seus programas; 25% ainda não a utilizam. Detalhando: 26% não usam IA em nenhuma capacidade, 32% começaram a testar, 32% já a usam para desenvolver elementos do programa e 8% a usam extensivamente. O uso mais comum é criação de conteúdo (34%), seguido de comunicações (25%) e coleta e análise de dados (22%).

O relatório detalha três frentes de risco humano ligadas à IA. A IA Generativa traz riscos de uso de sistemas não autorizados, compartilhamento de dados não autorizados e redução do pensamento crítico, quando funcionários aceitam a saída da IA sem validá-la. O “vibe coding” (criar software descrevendo o resultado em linguagem natural) permite que pessoas sem formação técnica gerem e implantem código sem revisão de segurança. Já a IA Agêntica, com bots agindo de forma autônoma em nome dos funcionários, traz o risco de decisões tomadas sem supervisão humana; o relatório recomenda que agentes de IA sigam as mesmas políticas já aplicadas aos funcionários humanos.

Nas respostas abertas, dois temas se destacaram: exposição de dados, com funcionários colando informações sensíveis e código-fonte em ferramentas públicas de IA sem entender o destino desses dados; e “Shadow AI”, adoção não autorizada de ferramentas de IA em ritmo mais rápido que qualquer onda anterior de shadow IT, muitas vezes pressionada pela própria liderança.

Quem apoia, quem trava e para quem reportar

A maioria das equipes de conscientização (43%) reporta ao próprio time de segurança, e 22% à área de TI, uma configuração que o SANS considera positiva. Entre os principais apoiadores estão o time de Segurança da Informação (64%), TI (28%) e lideranças seniores (21%). Já os maiores bloqueadores são Operações (23%, pela primeira vez no topo da lista), lideranças seniores, média gerência e Finanças (17% cada). Curiosamente, a liderança sênior aparece ao mesmo tempo entre os maiores apoiadores e os maiores bloqueadores, a depender da organização.

Os quatro maiores riscos humanos de 2026

Os riscos humanos prioritários para 2026: engenharia social (phishing, vishing, smishing e deepfakes) lidera com 77% das respostas; uso inadequado de IA no trabalho vem em segundo com 42%, saltando da quarta posição do ano anterior; tratamento incorreto de dados sensíveis aparece com 39%; e senhas fracas ou autenticação deficiente com 22%. Completam a lista falha em detectar/reportar incidentes (17%), violações de política (14%), uso inseguro de nuvem (12%), erros não intencionais (12%), dispositivos móveis desprotegidos (9%) e insiders maliciosos (7%).

O que realmente funciona, segundo quem está no campo

Nas mais de 4.500 respostas às perguntas abertas do estudo, um tema se repetiu: pessoas são ativos, não passivos a controlar. Uma organização relatou ter criado um programa interno de reconhecimento público de bons comportamentos em vez de punir falhas. Em cerca de três meses, a denúncia de phishing subiu quase 40%. Outra relatou que, quando funcionários viraram defensores voluntários da segurança, a denúncia de phishing na equipe subiu mais de 70%, efeito mais forte do que qualquer treinamento formal.

Já os treinamentos anuais únicos e genéricos foram citados como fracasso recorrente: alta conclusão no papel, pouco impacto real. As campanhas baseadas em punição, medo e constrangimento público, como divulgar quem clicou em simulações de phishing, tendem a sair pela culatra, corroendo a confiança e incentivando as pessoas a esconder erros em vez de reportá-los.

Diretivas acionáveis para organizações

Com base nos insights, o SANS Institute recomenda: 

• desenvolver parcerias reais com comunicação, RH e áreas de negócio, em vez de tentar cobrir tudo sozinho
• construir um caso de negócio estruturado (Problema–Solução–Valor) ao apresentar propostas à liderança
• demonstrar o desequilíbrio de investimento entre segurança técnica e humana, contando quantas pessoas do time de segurança estão de fato dedicadas ao fator humano
• comunicar-se regularmente com a liderança, reservando tempo mensal fixo para reportar métricas e histórias de sucesso
• substituir treinamentos anuais monolíticos por reforço contínuo, curto e vinculado a ameaças reais
• trocar punição por reforço positivo e reconhecimento
• simplificar a comunicação técnica para o público não especialista, atenta à “maldição do conhecimento” que dificulta explicar temas complexos de forma simples
• usar a IA de forma responsável para acelerar o próprio trabalho, ao mesmo tempo em que se estabelecem políticas claras de uso de IA para toda a força de trabalho, já que a lacuna entre adoção e governança é hoje um dos maiores riscos da organização.

Compensação e satisfação de quem constrói essa cultura

O relatório também traz um retrato de quem está por trás desses programas. O salário médio anual global de profissionais de conscientização em segurança em 2026 foi de US$ 123.624, um aumento de US$ 7.000 em relação ao ano anterior. Há diferenças relevantes por região: a América do Norte tem a maior média, US$ 131.783, enquanto a África registra a menor. As duas variáveis com maior impacto na remuneração foram o histórico profissional da pessoa e o setor da organização, variáveis como trabalhar em tempo integral ou parcial no tema, tamanho da equipe e porte da organização tiveram pouca influência.

Quanto à satisfação, 56% dos respondentes afirmam amar a área e a empresa em que trabalham e não pretendem sair; 32% amam o lado humano da cibersegurança, mas estão considerando trocar de empregador; apenas 9% preferem permanecer em segurança, mas não no lado humano, e só 3% querem deixar a cibersegurança por completo. No total, quase 90% dos profissionais querem continuar na área, e menos de 12% pensam em sair do campo, o mesmo percentual do ano anterior.

• cibersegurança
• cultura da empresa
• cultura organizacional
• cultura de empresa