O Custo Real de Ignorar Simulações de Phishing e Campanhas: R$ 4,45 Mi por Incidente no Brasil

TL;DR — Leia em 60 segundos

• O custo médio de um incidente de segurança no Brasil já ultrapassa R$ 4,45 milhões, e grande parte dessas violações começa com um simples clique em phishing.
• Empresas que não realizam simulações periódicas têm taxas de cliques até 5 vezes maiores do que organizações com campanhas contínuas de conscientização.
• Simulações de phishing reduzem drasticamente o risco humano, que é responsável por mais de 80% dos incidentes cibernéticos registrados no país.
• Ignorar campanhas estruturadas de treinamento pode significar multas da LGPD, paralisação operacional, danos reputacionais e perda de contratos estratégicos.
• Implementar um programa profissional de simulações não é custo: é seguro contra prejuízos milionários.

O que é Simulações de Phishing e Campanhas e por que é crítico em 2026

Simulações de phishing são campanhas controladas realizadas por empresas para testar, medir e fortalecer o comportamento de seus colaboradores diante de ataques de engenharia social. Diferentemente de treinamentos tradicionais baseados apenas em vídeos ou apresentações, as simulações colocam o funcionário em uma situação realista: um e-mail falso, um link aparentemente legítimo, uma mensagem de WhatsApp corporativo ou até um SMS simulando um fornecedor. O objetivo não é punir, mas educar com base em comportamento real.

Em 2026, esse tipo de iniciativa deixou de ser opcional. O Brasil se consolidou como um dos países mais atacados do mundo em volume de tentativas de phishing, segundo relatórios globais de inteligência de ameaças. A profissionalização do cibercrime no país, somada ao crescimento do trabalho híbrido e à expansão do uso de dispositivos móveis corporativos, criou um cenário onde o fator humano se tornou o principal vetor de risco. A cada nova campanha sazonal, como Imposto de Renda, Black Friday ou atualizações bancárias, os criminosos exploram a urgência e o medo para capturar credenciais.

O dado mais alarmante é financeiro. O custo médio de um incidente de violação de dados no Brasil já supera R$ 4,45 milhões por ocorrência, considerando investigação forense, interrupção operacional, multas regulatórias, comunicação de crise e perda de receita. Em muitos casos analisados pela Decripte, o ponto inicial foi um único colaborador que inseriu credenciais corporativas em uma página falsa de Microsoft 365 ou clicou em um anexo malicioso que liberou ransomware na rede.

Em 2026, o conceito de maturidade em segurança mudou. Não basta ter firewall, antivírus ou EDR. Se o usuário final não estiver preparado para identificar tentativas sofisticadas de engenharia social, toda a arquitetura técnica pode ser comprometida em minutos. As simulações de phishing e campanhas contínuas de conscientização tornaram-se parte essencial da governança corporativa, da estratégia de compliance com a LGPD e das exigências de auditorias internas e externas.

Ignorar esse cenário é assumir risco financeiro direto. Empresas que não medem a taxa de clique, que não realizam campanhas mensais e que não acompanham indicadores de vulnerabilidade humana estão, na prática, operando às cegas diante do vetor mais explorado do cibercrime moderno.

Como funciona na prática: Anatomia completa

Uma campanha profissional de simulação de phishing é estruturada com base em inteligência de ameaças reais. O primeiro passo é mapear o perfil da organização: setor, porte, tecnologias utilizadas, modelo de trabalho e histórico de incidentes. Não faz sentido aplicar um template genérico se o mercado financeiro enfrenta ameaças diferentes das que impactam o varejo ou a indústria.

Após esse mapeamento, são criados cenários personalizados. Por exemplo, uma empresa de logística pode receber um e-mail simulando atualização de nota fiscal eletrônica, enquanto um hospital pode ser testado com um falso comunicado de atualização de prontuário. A eficácia está na verossimilhança. Quanto mais próximo da realidade do colaborador, maior a capacidade de medir o risco comportamental.

Durante a execução, métricas são coletadas em tempo real. Taxa de abertura, taxa de clique, inserção de credenciais e tempo de resposta são indicadores fundamentais. Empresas maduras não utilizam esses dados para punição individual, mas para direcionar treinamentos específicos. Colaboradores que clicam recebem capacitação imediata, reforçando o aprendizado no momento mais eficaz.

O ciclo não termina na campanha. O verdadeiro valor está na análise estratégica. Departamentos mais suscetíveis, cargos com maior exposição e padrões recorrentes de vulnerabilidade são identificados. A partir daí, a empresa pode ajustar políticas internas, reforçar controles técnicos e planejar novas rodadas de testes com complexidade crescente.

Engenharia social personalizada

A engenharia social evoluiu drasticamente nos últimos anos. Em 2026, criminosos utilizam inteligência artificial para personalizar mensagens com base em dados públicos e vazamentos anteriores. Isso significa que uma campanha profissional de simulação precisa acompanhar esse nível de sofisticação.

Na prática, isso envolve análise de presença digital da empresa, identificação de executivos com maior visibilidade e simulação de ataques direcionados, conhecidos como spear phishing. Um CFO pode receber um falso pedido de transferência urgente. Um gerente de RH pode receber um currículo aparentemente legítimo com anexo malicioso. Ao replicar esses cenários, a organização testa sua capacidade de reação antes que o ataque real aconteça.

Além disso, campanhas modernas incluem múltiplos canais. Não se limitam ao e-mail. Podem envolver SMS, mensagens em aplicativos corporativos e até ligações simuladas. O objetivo é treinar o colaborador para reconhecer padrões suspeitos, independentemente do meio utilizado.

Métricas e indicadores de maturidade

Um dos erros mais comuns é medir apenas a taxa de clique. Programas maduros analisam indicadores mais amplos. O tempo médio para reportar um e-mail suspeito é um dos principais. Empresas com cultura forte de segurança conseguem reportes em poucos minutos, permitindo que o time de TI bloqueie ameaças reais rapidamente.

Outro indicador relevante é a reincidência. Se um colaborador falha repetidamente, isso indica necessidade de abordagem educacional diferenciada. Departamentos com alta taxa de vulnerabilidade podem demandar treinamentos presenciais ou workshops específicos.

A evolução ao longo do tempo é o indicador mais estratégico. Empresas que mantêm campanhas trimestrais ou mensais geralmente observam queda significativa nas taxas de clique em menos de 12 meses. Esse dado é essencial para justificar investimento junto ao conselho e demonstrar retorno concreto.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

O diagnóstico inicial define o sucesso do programa. Nessa fase, é essencial avaliar maturidade atual, políticas internas, histórico de incidentes e tecnologias já implementadas. Muitas empresas acreditam estar protegidas apenas por possuir filtros de e-mail, mas não têm qualquer métrica sobre comportamento humano.

Também é necessário mapear o perfil dos colaboradores. Equipes financeiras, por exemplo, lidam com pagamentos e transferências e são alvos frequentes de fraude de CEO. Já o setor de compras pode ser explorado com boletos falsos. Compreender essas dinâmicas permite criar campanhas realistas.

Outro ponto crítico é o alinhamento jurídico e de compliance. Simulações devem respeitar LGPD e políticas internas, garantindo que dados coletados sejam usados exclusivamente para fins educativos. Transparência com a liderança é fundamental para evitar resistência cultural.

Fase 2: Planejamento e arquitetura

Com base no diagnóstico, define-se a arquitetura da campanha. Isso inclui periodicidade, complexidade dos cenários e integração com plataformas de treinamento. Empresas iniciantes podem começar com campanhas mais simples, enquanto organizações maduras podem testar ataques sofisticados com múltiplas etapas.

É nessa fase que se definem métricas-chave de desempenho. Taxa de clique aceitável, meta de redução anual e indicadores de reporte são formalizados. A clareza desses objetivos garante mensuração adequada de resultados.

A comunicação interna também é planejada. A cultura da empresa deve entender que o objetivo é aprendizado, não punição. Quando colaboradores percebem que o programa visa proteção coletiva, a adesão aumenta significativamente.

Fase 3: Implementação e testes

A implementação envolve envio das campanhas de forma controlada e monitoramento em tempo real. Ferramentas especializadas permitem segmentar grupos, variar horários e simular diferentes níveis de urgência.

Durante essa fase, o time de segurança acompanha métricas e prepara relatórios detalhados. Colaboradores que clicam são direcionados automaticamente para conteúdos educativos personalizados.

Testes técnicos paralelos também podem ser realizados, como validação de filtros de e-mail e integração com sistemas de detecção de ameaças. Isso garante que a campanha também sirva para avaliar controles tecnológicos.

Fase 4: Monitoramento contínuo

Simulações não são eventos isolados. O monitoramento contínuo permite acompanhar evolução e ajustar estratégias. Campanhas recorrentes criam cultura de atenção constante.

Relatórios executivos são apresentados à diretoria, destacando redução de risco e comparativos históricos. Esses dados fortalecem governança e justificam investimento contínuo.

A maturidade final ocorre quando colaboradores passam a reportar ativamente ameaças reais, transformando-se em sensores humanos de segurança.

Erros críticos e como evitá-los

Um dos erros mais graves é tratar a simulação como ação punitiva. Isso gera medo e resistência, reduzindo a eficácia educacional. O foco deve ser cultura de segurança.

Outro erro comum é realizar campanha única anual. A memória humana é limitada. Sem repetição e reforço contínuo, os índices voltam a subir rapidamente.

Ignorar personalização também compromete resultados. Templates genéricos não refletem ameaças reais enfrentadas pela empresa.

Não envolver a liderança é falha estratégica. Quando executivos participam ativamente, a cultura de segurança se fortalece.

Ausência de métricas claras impede mensuração de progresso. Sem indicadores, não há governança.

Desconsiderar LGPD pode gerar riscos legais. Dados coletados devem ser tratados com responsabilidade.

Falhar em integrar campanhas com treinamentos complementares reduz retenção de aprendizado.

Ignorar reincidência impede intervenção direcionada.

Não atualizar cenários conforme ameaças evoluem torna o programa obsoleto.

Por fim, acreditar que tecnologia substitui treinamento humano é ilusão perigosa.

Ferramentas e tecnologias essenciais

Cada ferramenta possui características específicas. Plataformas robustas oferecem dashboards executivos e integração com SIEM. Soluções open source exigem maior maturidade técnica, mas oferecem flexibilidade. A escolha deve considerar porte, orçamento e nível de risco da organização.

Checklist completo de implementação

Prioridade alta inclui diagnóstico inicial, definição de métricas, alinhamento jurídico, escolha de plataforma e comunicação interna.

Prioridade média envolve personalização de cenários, integração com treinamentos e definição de relatórios executivos.

Prioridade contínua inclui monitoramento mensal, atualização de templates, análise de reincidência e workshops presenciais.

Outros itens essenciais incluem definição de política de reporte, criação de canal interno de denúncia, integração com SOC, auditoria periódica e benchmarking com mercado.

Casos reais e estudos de caso

Uma empresa do setor financeiro em São Paulo sofreu incidente iniciado por phishing que resultou em ransomware e prejuízo superior a R$ 6 milhões. Após implementação de programa contínuo, reduziu taxa de clique de 28% para 4% em um ano.

Uma indústria no Sul do Brasil evitou fraude de CEO após colaborador treinado reportar e-mail suspeito. A tentativa envolvia transferência de R$ 1,2 milhão.

Um hospital privado enfrentou vazamento de dados após credenciais médicas serem capturadas. Posteriormente, implementou campanhas trimestrais e reduziu drasticamente incidentes.

Como a Decripte Resolve Simulações de Phishing e Campanhas: Serviços e Diferenciais

A Decripte atua com abordagem integrada que combina simulações avançadas, SOC 24x7, resposta a incidentes, testes de invasão e consultoria em LGPD. O objetivo é transformar o fator humano em camada ativa de defesa.

Nosso SOC monitora eventos em tempo real, permitindo correlação entre campanhas simuladas e ameaças reais. Isso amplia capacidade de detecção precoce.

A resposta a incidentes garante atuação rápida caso uma campanha revele vulnerabilidades críticas. Pentests complementam avaliação técnica.

Para iniciar, acesse https://decripte.com.br/intelligence-center, realize diagnóstico gratuito, agende reunião de alinhamento e ative o serviço.

Perguntas frequentes (FAQ)

1. O que são simulações de phishing?

Simulações de phishing são testes controlados que replicam ataques reais para treinar colaboradores. Elas permitem medir comportamento diante de ameaças e fortalecer cultura de segurança. Ao contrário de ataques reais, são conduzidas internamente com objetivo educativo e estratégico.

2. Qual a frequência ideal?

Empresas maduras realizam campanhas mensais ou trimestrais. Frequência constante mantém nível de alerta elevado e reduz taxa de clique ao longo do tempo.

3. Simulações podem gerar problemas trabalhistas?

Quando conduzidas com transparência e foco educativo, não. É essencial alinhar com RH e jurídico e garantir que dados sejam usados para treinamento, não punição.

4. Qual o custo médio de implementação?

Varia conforme porte e ferramenta, mas é significativamente inferior ao custo médio de R$ 4,45 milhões por incidente.

5. Pequenas empresas precisam disso?

Sim. Pequenas empresas são alvos frequentes por possuírem menor maturidade em segurança.

6. Como medir ROI?

Comparando redução de taxa de clique, incidentes evitados e potencial prejuízo mitigado.

7. Simulações substituem antivírus?

Não. São complementares à tecnologia.

8. Funcionários não ficam desconfiados?

Quando bem comunicadas, fortalecem confiança e cultura de proteção coletiva.

9. É possível personalizar por setor?

Sim. Personalização aumenta eficácia.

10. Quanto tempo leva para ver resultados?

Geralmente entre três e seis meses já há redução significativa de vulnerabilidade.

11. Como integrar com LGPD?

Utilizando dados apenas para treinamento e mantendo transparência.

12. A alta liderança deve participar?

Sim. O exemplo começa no topo.

Comece agora — diagnóstico gratuito em 5 minutos

Empresas que desejam reduzir risco humano precisam agir imediatamente. O primeiro passo é entender seu nível atual de exposição.

Acesse o Intelligence Center da Decripte em https://decripte.com.br/intelligence-center e receba diagnóstico gratuito. Conheça também nossos planos em https://decripte.com.br/planos e explore conteúdos técnicos em https://decripte.com.br/artigos.

Ignorar o problema pode custar milhões. Investir em prevenção custa uma fração disso. O momento de agir é agora.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

Campanhas modernas de phishing evoluíram de simples envios massivos de e-mails para operações estruturadas alinhadas às táticas do framework MITRE ATT&CK. Na fase inicial, observamos forte utilização da técnica T1566 (Phishing), especialmente nas sub-técnicas T1566.001 (Spearphishing Attachment) e T1566.002 (Spearphishing Link). Os atacantes utilizam engenharia social contextualizada, explorando eventos corporativos, mudanças regulatórias ou ciclos fiscais. O payload inicial frequentemente contém documentos Office com macros (T1204.002 – Malicious File) ou links para páginas de credential harvesting hospedadas em infraestruturas comprometidas (T1584 – Compromise Infrastructure).

Após a obtenção de credenciais, a técnica T1078 (Valid Accounts) é amplamente empregada. Em ambientes Microsoft 365, invasores utilizam autenticação legítima via OAuth abuse, criando aplicações maliciosas persistentes (T1136 – Create Account) ou adicionando permissões a tokens existentes. Isso reduz alertas de comportamento anômalo e permite movimentação lateral invisível. O abuso de protocolos como IMAP e POP3 para extração silenciosa de dados também é recorrente, especialmente quando MFA não é aplicado de forma consistente.

Na fase de execução e persistência, técnicas como T1059 (Command and Scripting Interpreter) e T1547 (Boot or Logon Autostart Execution) são observadas quando o phishing resulta em malware dropper. Ferramentas como PowerShell ofuscado, HTA loaders e scripts VBA continuam sendo vetores comuns. Em ataques mais sofisticados, o uso de C2 via HTTPS legítimo (T1071.001 – Web Protocols) dificulta a inspeção tradicional baseada em assinatura.

A movimentação lateral frequentemente explora T1021 (Remote Services), especialmente via RDP e SMB, após escalonamento de privilégios (T1068). Credenciais coletadas por keylogging ou dumping de LSASS (T1003.001) ampliam o impacto. Em ambientes híbridos, invasores pivotam da nuvem para o on-premises por meio de sincronizações mal configuradas de Azure AD Connect.

Finalmente, na fase de impacto, ataques de ransomware associados a phishing utilizam T1486 (Data Encrypted for Impact) combinados com T1041 (Exfiltration Over C2 Channel). A dupla extorsão tornou-se padrão: antes da criptografia, dados sensíveis são exfiltrados para pressionar o pagamento. A ausência de simulações regulares impede a identificação precoce dessas cadeias de ataque, aumentando drasticamente o custo médio por incidente.

---

Indicadores de Comprometimento e Detecção

A identificação precoce de IOCs (Indicators of Compromise) é essencial para conter ataques iniciados por phishing. Indicadores comuns incluem domínios recém-registrados (menos de 30 dias), certificados TLS emitidos por CAs gratuitas em padrões automatizados e URLs com typosquatting. Monitoramento de DNS passivo pode revelar consultas suspeitas a domínios semelhantes ao da organização (ex: substituição de “rn” por “m”). Endereços IP associados a bulletproof hosting também são sinais críticos.

No contexto de e-mail, regras SIEM devem correlacionar múltiplos fatores: falhas consecutivas de autenticação seguidas de login bem-sucedido a partir de ASN diferente, criação inesperada de regras de encaminhamento (Mailbox Rule Creation), ou concessão de permissões OAuth incomuns. Um exemplo de correlação eficaz é: Login Success + GeoIP Anomaly + MFA Bypass + Mailbox Rule Creation within 15 minutes. Esse encadeamento reduz falsos positivos e aumenta precisão de detecção.

Regras YARA podem ser aplicadas para identificar padrões de macros maliciosas ou strings ofuscadas comuns em loaders de phishing. Assinaturas devem buscar chamadas suspeitas a AutoOpen, Shell, CreateObject("Wscript.Shell") ou uso excessivo de Base64. Em endpoints, EDRs devem monitorar execução de powershell.exe com parâmetros como -EncodedCommand ou downloads via Invoke-WebRequest direcionados a domínios não categorizados.

Além disso, monitoramento comportamental baseado em UEBA (User and Entity Behavior Analytics) permite detectar desvios estatísticos no padrão de acesso. Por exemplo, download massivo de dados do SharePoint fora do horário comercial, ou autenticações simultâneas de países distintos. A integração entre SIEM, SOAR e inteligência de ameaças externa possibilita bloqueio automatizado de IOCs confirmados, reduzindo MTTD (Mean Time to Detect) e MTTR (Mean Time to Respond).

---

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O primeiro trimestre deve focar em avaliação de maturidade e baseline de risco humano. Isso inclui simulações de phishing não anunciadas para medir taxa de clique, submissão de credenciais e reporte voluntário. Métrica-chave: estabelecer taxa inicial de suscetibilidade (ex: 28%) e tempo médio de reporte (ex: 9 horas).

Simultaneamente, realizar assessment técnico de controles existentes: SPF, DKIM, DMARC, MFA, EDR, SIEM e políticas de least privilege. A meta é identificar lacunas críticas, como ausência de MFA para contas privilegiadas. Um relatório executivo deve quantificar risco financeiro potencial baseado no custo médio brasileiro por incidente.

Encerrar a fase com definição de KPIs: reduzir taxa de clique em 50% em 12 meses, alcançar 95% de cobertura de MFA e diminuir MTTD para menos de 1 hora em incidentes simulados.

Fase 2: Fundação (Meses 4-6)

Implementar programa estruturado de conscientização contínua, com microtreinamentos mensais e campanhas segmentadas por área. Times financeiros e executivos devem receber simulações específicas de BEC (Business Email Compromise). Métrica: redução trimestral de 10% na taxa de interação com phishing.

Fortalecer controles técnicos: ativar DMARC em modo enforcement (p=reject), implantar MFA resistente a phishing (FIDO2), e configurar alertas de criação de regras de e-mail. Integrar logs de identidade ao SIEM central.

Estabelecer playbooks automatizados em SOAR para bloqueio de contas comprometidas. Meta: reduzir MTTR para menos de 30 minutos em exercícios internos.

Fase 3: Operação (Meses 7-9)

Executar campanhas avançadas simulando ataques multiestágio, incluindo smishing e vishing. Avaliar comportamento sob pressão realista. Métrica: aumentar taxa de reporte voluntário para acima de 40%.

Realizar exercícios de Red Team focados em credential harvesting e movimento lateral. Integrar resultados ao ciclo de melhoria contínua. Medir capacidade de detecção por equipe SOC.

Introduzir métricas executivas em dashboard trimestral: taxa de clique, MTTD, MTTR, cobertura MFA, incidentes evitados estimados financeiramente.

Fase 4: Otimização (Meses 10-12)

Aplicar inteligência adaptativa: campanhas baseadas em ameaças emergentes observadas no setor. Atualizar treinamentos conforme novas TTPs identificadas.

Realizar auditoria independente de eficácia do programa. Comparar métricas com baseline inicial. Objetivo: taxa de clique inferior a 5% e 90% dos usuários reportando simulações corretamente.

Consolidar cultura de segurança com reconhecimento público de colaboradores que reportam ameaças reais. Formalizar programa como política corporativa permanente.

---

Perguntas Aprofundadas de Executivos Seniores

1. Qual é o ROI real de investir em simulações de phishing versus outras iniciativas de segurança?

O ROI deve ser analisado sob a ótica de redução de probabilidade e impacto financeiro. Considerando o custo médio de R$ 4,45 milhões por incidente no Brasil, mesmo uma redução modesta de 20% na probabilidade anual de ocorrência já representa economia potencial significativa. Simulações não apenas reduzem cliques, mas melhoram tempo de resposta e cultura organizacional. Diferentemente de controles puramente tecnológicos, o treinamento contínuo atua sobre o vetor humano — responsável por mais de 80% dos incidentes iniciais. Além disso, programas maduros reduzem prêmios de seguro cibernético e fortalecem posição regulatória perante LGPD. Quando integradas a métricas claras (MTTD, MTTR, taxa de reporte), as simulações deixam de ser custo operacional e tornam-se instrumento estratégico de mitigação de risco financeiro e reputacional.

2. Como garantir que o programa não se torne apenas um exercício de conformidade?

Para evitar superficialidade, o programa deve estar vinculado a métricas executivas e risco financeiro tangível. Relatórios trimestrais devem correlacionar desempenho humano com indicadores técnicos de detecção. A inclusão de campanhas realistas, alinhadas a ameaças atuais do setor, mantém relevância. Além disso, envolver liderança nas simulações cria accountability transversal. Quando resultados impactam KPIs estratégicos e bônus executivos, o programa transcende compliance e passa a integrar governança corporativa. A maturidade é medida não pela quantidade de treinamentos, mas pela redução consistente de risco demonstrável.

3. Qual é o risco específico para a alta liderança (CEO, CFO, CISO)?

Executivos são alvos prioritários de BEC e whaling devido à autoridade financeira e acesso a informações estratégicas. Ataques personalizados utilizam dados públicos, redes sociais e engenharia social contextualizada. Comprometimento de uma conta executiva pode resultar em transferências fraudulentas milionárias, vazamento de informações estratégicas e impacto direto no valor de mercado. Além disso, a exploração de identidade executiva amplia credibilidade para movimentação lateral interna. Portanto, treinamentos específicos e MFA resistente a phishing para C-Level não são opcionais — são controles críticos de risco estratégico.

4. Como equilibrar experiência do usuário e segurança sem gerar atrito excessivo?

A adoção de tecnologias como autenticação passwordless (FIDO2) reduz fricção e aumenta segurança simultaneamente. Simulações devem ser educativas, não punitivas, promovendo cultura positiva. Comunicação transparente sobre objetivos do programa reduz resistência. Métricas devem priorizar aprendizado progressivo, não penalização. Ao integrar segurança ao fluxo natural de trabalho — por exemplo, botões simples de “Reportar Phishing” — a organização transforma o colaborador em sensor ativo, sem comprometer produtividade.

5. Como medir maturidade de longo prazo e sustentabilidade do programa?

Maturidade é evidenciada por tendências consistentes: queda sustentada na taxa de clique, aumento no reporte voluntário, redução no MTTD e ausência de incidentes graves originados por phishing. Benchmarks setoriais podem servir como referência comparativa. Auditorias independentes e testes de Red Team validam eficácia real. Sustentabilidade depende de atualização contínua frente a novas TTPs e integração do programa ao planejamento estratégico anual. Quando segurança comportamental passa a ser indicador recorrente em reuniões de conselho, o programa atinge nível avançado de governança.