Glossário de cultura, segurança e compliance Os termos, sem jargão.

Exposição de alguém a condutas abusivas no trabalho, em geral repetidas e prolongadas, como humilhar, isolar ou intimidar. Atinge a dignidade e a saúde psíquica de quem sofre.

Conduta de natureza sexual não desejada no ambiente de trabalho. No Código Penal (art. 216-A), é crime constranger alguém para obter vantagem sexual valendo-se de superioridade hierárquica ou de ascendência sobre a vítima.

Meio para relatar suspeitas de irregularidade, assédio ou desvio de conduta, em geral com opção de anonimato e proteção contra retaliação.

Colaborador de fora da área especialista que se torna referência e multiplicador de um tema, como segurança, compliance ou valores, dentro da própria equipe. Também chamado de security champion ou champion de cultura.

Comissão Interna de Prevenção de Acidentes e de Assédio, regida pela NR-5. Desde a Lei 14.457/2022, também cuida da prevenção e do combate ao assédio sexual e a outras formas de violência no trabalho.

Documento que diz quais comportamentos a empresa espera e quais proíbe, em temas como ética, conflito de interesses, assédio e uso de informações. Costuma valer também para terceiros.

Função e conjunto de práticas que garantem que a empresa cumpra leis, regulamentos, normas internas e compromissos éticos.

Situação em que um interesse pessoal pode comprometer, ou parecer comprometer, uma decisão tomada em nome da empresa.

Ações contínuas que ensinam as pessoas a reconhecer e a reagir a riscos de segurança, como phishing e engenharia social. Em inglês, security awareness.

Grau em que comportamentos seguros parecem normais e esperados para as pessoas da empresa, com ou sem alguém fiscalizando.

Conjunto de valores, crenças, normas e práticas compartilhadas que orienta como as pessoas se comportam e decidem dentro de uma organização.

Dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dado genético ou biométrico, quando ligado a uma pessoa (LGPD, art. 5º, II).

Áudio, imagem ou vídeo falsificado com inteligência artificial para imitar uma pessoa real. Em golpes, serve para dar voz ou rosto a um executivo ou parente que nunca fez aquele pedido.

Pessoa indicada pelo controlador e pelo operador para ser o canal de comunicação com os titulares dos dados e com a ANPD. Entre suas atribuições está orientar funcionários e contratados sobre proteção de dados.

Manipulação que explora confiança, urgência ou autoridade para levar alguém a revelar uma informação, liberar um acesso ou executar uma ação.

Aspectos da organização, da gestão e das relações de trabalho, como excesso de demandas, pouca autonomia, falta de apoio, assédio e comunicação falha, que podem causar danos à saúde mental e física. Fazem parte do gerenciamento de riscos da NR-1 desde 26 de maio de 2026.

Golpe em que o criminoso se passa por um executivo, um fornecedor ou um parceiro para pedir pagamento urgente, troca de dados bancários ou informação sigilosa. Em inglês, BEC (business email compromise), embora hoje chegue também por WhatsApp, ligação e vídeo.

Uso de elementos e mecânicas de jogo, como pontos, missões, níveis, narrativa, competição e retorno imediato, em contextos que não são jogo, para aumentar a participação e favorecer mudança de comportamento.

Abordagem que identifica, mede e reduz riscos de segurança ligados ao comportamento das pessoas, combinando dados de comportamento, treinamento direcionado e controles. Em inglês, human risk management.

O Gerenciamento de Riscos Ocupacionais (GRO) é o processo previsto na NR-1 para identificar perigos e avaliar e controlar riscos. O Programa de Gerenciamento de Riscos (PGR) é o registro desse processo, com inventário de riscos e plano de ação.

Evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais. Pode exigir comunicação à ANPD e aos titulares.

Lei que criou o Programa Emprega + Mulheres. Para empresas com CIPA, exige medidas contra o assédio, como regras de conduta divulgadas, canal de denúncias e capacitação de todos os níveis hierárquicos no mínimo a cada 12 meses.

Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018). Regula o tratamento de dados pessoais por pessoas e organizações, públicas ou privadas, inclusive nos meios digitais.

Ataque em que o criminoso, já com a senha, dispara pedidos de aprovação de login no celular da vítima até ela aceitar por engano ou cansaço. Também chamado de push bombing.

Aprendizagem em unidades curtas, cada uma com um único objetivo, feitas em poucos minutos e repetidas ao longo do tempo.

Mecânica de jogo em que a pessoa avança por níveis ou papéis ao longo de um período, acumulando desafios e conquistas ligados aos comportamentos esperados.

Norma Regulamentadora nº 1 do Ministério do Trabalho e Emprego. Trata das disposições gerais de segurança e saúde no trabalho e do gerenciamento de riscos ocupacionais.

Ataque de engenharia social em que o criminoso se passa por alguém confiável, quase sempre por e-mail, para roubar dados ou credenciais ou induzir um clique ou um pagamento.

Variações: spear phishing mira uma pessoa ou um grupo; smishing chega por SMS ou aplicativo de mensagem; vishing chega por ligação de voz.

Engenharia social apoiada numa história inventada, como se passar por fornecedor, executivo ou suporte de TI, para conseguir uma informação ou uma ação.

Conjunto de mecanismos internos de integridade, auditoria e incentivo à denúncia de irregularidades, com aplicação efetiva de códigos de ética e conduta, para prevenir e corrigir atos lesivos contra a administração pública e para fomentar e manter uma cultura de integridade no ambiente organizacional (Decreto 11.129/2022, art. 56).

Uso de ferramentas de inteligência artificial no trabalho sem aprovação ou controle da empresa, como colar dados internos num assistente pessoal ou instalar extensão com IA no navegador.

Envio controlado de mensagens falsas pela própria empresa para medir e treinar a capacidade das pessoas de reconhecer e reportar ataques.

Phishing que chega por SMS ou aplicativo de mensagem, como o WhatsApp. Costuma trazer um link para "regularizar" uma conta ou pedir um código de verificação.

Percentual de pessoas que avisam a área de segurança quando recebem uma mensagem suspeita, real ou simulada. Costuma dizer mais sobre comportamento do que a taxa de clique.

Phishing por ligação ou mensagem de voz. O golpista se passa por banco, suporte de TI, fornecedor ou executivo para conseguir senha, código, acesso remoto ou pagamento.