Sua equipe financeira arrasou na simulação. Taxa de cliques abaixo de 2%. Taxa de denúncia em alta. O CISO respira aliviado, o slide para a diretoria se escreve sozinho e todos seguem para o próximo incêndio.
Daqui a três meses, a maior parte dessa conscientização já terá desaparecido. Daqui a seis meses, estatisticamente, é como se a simulação nunca tivesse acontecido.
Isso não é cinismo — é o comportamento real dos dados, e é o problema que a Frame foi criada para resolver.
A curva de declínio é real, e é mais curta do que você imagina
Em um estudo longitudinal apresentado em uma conferência de segurança em 2020, pesquisadores descobriram que os funcionários eram significativamente melhores em identificar e-mails de phishing logo após o treinamento e na marca de quatro meses, mas, ao chegar aos seis meses, a melhoria havia desaparecido completamente.
A exceção que confirma a regra
Aqui está a parte interessante. Quando pesquisadores acompanharam mais de 1.300 funcionários em 20 empresas durante 12 meses sob um programa contínuo — simulações a cada poucas semanas, feedback imediato, microtreinamento obrigatório após uma falha — o padrão foi quebrado. A taxa de ações inseguras caiu quase pela metade nos primeiros seis meses, de 8,5% para 4,2%, e depois estabilizou perto da referência do setor de 4,1%.
Isso é um resultado real. Mas note o que o produziu: não foi um conteúdo melhor, nem um vídeo mais chocante, nem uma isca mais inteligente. Apenas exposição consistente e feedback curto e oportuno quando algo dava errado.
Um estudo separado da ETH Zurich de 2024 foi além e analisou qual parte de um programa de treinamento estava realmente funcionando. O principal fator de eficácia não foi o conteúdo dos módulos de treinamento — que até os participantes mais suscetíveis descreveram como inúteis —, mas os "empurrõezinhos" regulares lembrando-os de que o phishing existe e é importante.
Leia isso novamente. Os lembretes eram mais eficazes do que o treinamento. Essa é uma conclusão sobre a qual a maioria dos programas de conscientização não está estruturada para agir. O Frame está.
Então, o que realmente prolonga a meia-vida
Toques mais curtos e frequentes superam grandes eventos anuais. Um microaprendizado de 45 segundos após um clique simulado supera um módulo anual de 30 minutos. O módulo anual é uma dose única e decadente. O microaprendizado é um reforço.
O timing importa mais do que o conteúdo. Um lembrete na semana anterior ao processamento da folha de pagamento, no dia em que um acordo de fusão e aquisição é anunciado ou na manhã seguinte a uma violação noticiada publicamente no seu setor vale mais do que dez e-mails genéricos de "Outubro é o Mês da Conscientização em Segurança Cibernética".
A taxa de denúncia também decai. As pessoas que denunciaram rapidamente e-mails suspeitos em fevereiro ficam mais silenciosas em julho, a menos que você mantenha o hábito de denunciar ativo. Acompanhe o tempo médio de denúncia como um indicador principal — quando ele começa a aumentar, a sua meia-vida está alcançando você.
Pare de medir o pico. A taxa de cliques na semana seguinte a uma campanha é o seu melhor cenário possível. O número honesto é aquele de seis semanas depois, quando ninguém está olhando.
Construir um programa baseado em toques mais curtos, lembretes no momento certo, denúncias sustentadas e medições honestas é o que o Frame faz.
A conclusão desconfortável
Fazer uma simulação por trimestre não é um programa. É apenas um retrato da conscientização em um momento em que ela está artificialmente alta, seguido por doze semanas de esquecimento gradual. As organizações que realmente fazem a diferença não realizam simulações mais impressionantes. Elas realizam simulações menores e mais frequentes, com feedback que chega em segundos e alertas que surgem exatamente quando o risco é real. O Frame foi criado para executar programas exatamente assim.
A conscientização, como qualquer comportamento aprendido, é um ativo que se degrada. Seu programa está reforçando isso ou apenas assistindo ao declínio.
O Frame é a plataforma de gestão de risco humano desenvolvida para resolver o problema da meia-vida: simulações pequenas e contínuas, microvídeos com deepfake que oferecem o alerta no momento da falha e conteúdo baseado em funções, garantindo que o treinamento da equipe financeira seja diferente do da engenharia. Se o seu programa ainda funciona em um ritmo trimestral, os números não estão a seu favor. Agende uma demonstração hoje mesmo.
