Campanha de Phishing na ISO 27001: Guia Completo para CISOs

O elo mais frágil da segurança da informação continua sendo o comportamento humano. A maioria dos incidentes relevantes começa com um clique: um e-mail que se passa por um fornecedor, um falso alerta de redefinição de senha ou uma mensagem urgente do "diretor financeiro". Nenhum firewall bloqueia integralmente esse vetor — a defesa depende da capacidade das pessoas de reconhecer e reportar a tentativa.

É exatamente aí que entra a campanha de phishing simulado. Trata-se de um exercício controlado, conduzido pela própria organização, em que e-mails fraudulentos inofensivos são enviados aos colaboradores para medir o comportamento real diante de uma ameaça e treinar a resposta correta. Diferente de um treinamento teórico, o teste de engenharia social gera dados concretos: quem clicou, quem inseriu credenciais, quem reportou e em quanto tempo.

Para o CISO, essa abordagem transforma um requisito abstrato de conscientização em métrica auditável. A ISO/IEC 27001 exige que a eficácia dos controles seja monitorada e melhorada continuamente — e a taxa de clique em uma simulação é um dos indicadores mais tangíveis de maturidade em segurança que se pode apresentar à alta direção e ao organismo certificador.

A revisão de 2022 reorganizou o Anexo A em 93 controles, distribuídos em quatro temas: organizacional, pessoas, físico e tecnológico. Uma campanha de phishing bem estruturada não atende a um único item — ela produz evidência para um conjunto interligado de controles, o que aumenta muito o seu valor no processo de certificação.

Além desses, o exercício se conecta a controles técnicos e de gestão de incidentes. O controle 8.7 (proteção contra malware) é reforçado ao validar se os usuários evitam anexos maliciosos; o 8.23 (filtragem web) é testado quando se observa o comportamento diante de links fraudulentos; e os controles 5.24 a 5.28 (gestão de incidentes) ganham insumo quando um reporte de phishing simulado percorre todo o fluxo de tratamento.

Vale reforçar a distinção entre o requisito da cláusula 7.3 (Conscientização), que é obrigatório e não sujeito à declaração de aplicabilidade, e o controle 6.3 do Anexo A. A campanha é o meio prático que dá substância a ambos. Se a sua organização ainda está estruturando o Sistema de Gestão de Segurança da Informação, o phishing simulado é uma peça que amadurece o programa desde cedo.

Uma campanha eficaz nasce de um planejamento formal, não de um disparo improvisado. O primeiro passo é definir o objetivo e o escopo: você quer estabelecer uma linha de base (baseline) da organização, testar um departamento de alto risco como o financeiro, ou validar a eficácia de um treinamento recém-aplicado? Cada objetivo exige um desenho diferente.

Em seguida, defina os cenários com base em inteligência de ameaças real. Evite iscas genéricas e artificiais; use temas que os atacantes efetivamente empregam contra o seu setor — cobranças falsas, benefícios de RH, notificações de sistemas internos, comunicados de fusão. A verossimilhança da isca é o que torna a métrica confiável.

Governança e aprovação prévia

Antes de qualquer disparo, obtenha aprovação documentada da alta direção e alinhe com as áreas Jurídica, de Recursos Humanos e de Comunicação. Esse alinhamento define regras de conduta claras: a simulação nunca deve usar temas que causem dano emocional real (falso corte de salário, falsa demissão) ou que exponham dados sensíveis de colaboradores, em respeito aos princípios da LGPD.

Definição de métricas de sucesso

Estabeleça os indicadores antes de iniciar — taxa de clique, taxa de submissão de credenciais e, o mais importante, taxa de reporte. Determine também a meta de melhoria entre campanhas. Um programa maduro não busca zero cliques imediatos; busca uma tendência consistente de queda no clique e alta no reporte ao longo dos ciclos.

Com o plano aprovado, a execução exige rigor técnico e cuidado ético. Utilize uma plataforma dedicada de simulação de phishing, que permita disparo segmentado, páginas de captura controladas e rastreamento granular de eventos sem coletar as senhas reais digitadas. A infraestrutura deve ser isolada da produção e as iscas devem conter marcadores que permitam o descarte seguro caso um e-mail vaze do escopo previsto.

O momento do disparo influencia o resultado. Enviar em horários de pico, próximo a datas de pagamento ou durante períodos de alta pressão operacional aumenta a taxa de clique — o que pode ser desejável para um teste de estresse, mas distorce um baseline. Seja consistente entre campanhas para que os números sejam comparáveis.

O elemento mais importante da execução é a página de aterrissagem educativa. Quando um colaborador clica, ele não deve ser repreendido, e sim redirecionado imediatamente para um conteúdo curto que explica quais sinais denunciavam a fraude — remetente, senso de urgência, link suspeito, erros sutis. Esse "momento de aprendizado no ponto de falha" é comprovadamente mais eficaz do que treinamentos genéricos aplicados meses depois. Para aprofundar a defesa técnica que complementa o fator humano, avalie um Pentest de Engenharia Social conduzido por especialistas.

A ISO 27001 é fundamentada no ciclo PDCA (Planejar, Fazer, Verificar, Agir), e a campanha de phishing é um dos exemplos mais didáticos desse ciclo em operação. Os dados coletados só têm valor se alimentarem decisões e a próxima iteração do programa.

Os três indicadores centrais merecem leitura conjunta. A taxa de clique mede a exposição inicial; a taxa de submissão de credenciais mede a gravidade do comportamento; e a taxa de reporte mede a maturidade da resposta — frequentemente o KPI mais negligenciado e, ao mesmo tempo, o mais valioso. Uma organização com clique moderado, mas reporte alto e rápido, está em melhor posição defensiva do que uma com clique baixo e reporte inexistente.

A partir dos resultados, direcione o treinamento de forma cirúrgica: departamentos ou funções com desempenho pior recebem reforço específico, e os cenários da próxima campanha evoluem para refletir novas ameaças. Esse fechamento do ciclo — medir, treinar, remedir — é a essência da melhoria contínua que a norma exige e que o auditor procura evidenciar. Uma avaliação de riscos periódica ajuda a priorizar quais grupos e cenários endereçar primeiro.

Executar a campanha não basta; é preciso demonstrar ao organismo certificador que o controle está implementado, operante e sob melhoria contínua. A auditoria de certificação avaliará tanto o desenho quanto a eficácia do programa, e a evidência documental é o que sustenta essa avaliação.

Monte um dossiê organizado com os seguintes artefatos: o plano da campanha aprovado pela direção; os registros de disparo e escopo; os relatórios de resultados com os KPIs; a comprovação das ações de treinamento subsequentes; e a análise comparativa entre ciclos que demonstra a tendência de melhoria. Esse conjunto responde diretamente à pergunta do auditor sobre como a organização mede e aprimora a conscientização.

Relacione ainda a campanha à sua Declaração de Aplicabilidade (SoA) e aos objetivos de segurança da informação, deixando explícito o vínculo entre a atividade prática e os controles do Anexo A que ela sustenta. Essa rastreabilidade transforma o exercício em prova formal de conformidade, e não apenas em uma boa prática isolada.

A campanha de phishing simulado é a ponte entre o requisito de conscientização da ISO 27001 e a redução mensurável do risco humano. Bem planejada, executada com ética e integrada ao ciclo PDCA, ela deixa de ser um teste pontual e se torna um programa contínuo que gera evidência robusta para a certificação.

Para o CISO, o valor é duplo: fortalece a linha de defesa mais explorada pelos atacantes e entrega, à alta direção e ao auditor, indicadores objetivos de maturidade em segurança. O caminho para uma organização resiliente a engenharia social passa por medir, treinar e melhorar de forma sistemática — exatamente o que a norma preconiza.

Estruturar esse programa com metodologia e evidência adequada é o que separa a conformidade formal da segurança real.