Método: da evidência à decisão
Três regras sustentam tudo o que a LATAMSEC entrega. Sem evidência não existe maturidade plena. A prioridade vem do risco de negócio, não da nota técnica isolada. E toda recomendação precisa continuar auditável depois que a reunião acaba.
Pontuação por evidência
Nenhum controle recebe nota máxima só porque alguém marcou "implementado". Cada situação tem um teto, e o Postura Score é a soma ponderada desses tetos.
| Situação do controle | Teto |
|---|---|
| Não implementado | 0% |
| Planejado | 20% |
| Declarado, sem evidência | 40% |
| Evidência vencida | 50% |
| Evidência válida, sem revisão | 65% |
| Evidência válida e dono definido | 75% |
| Revisão aprovada | 85% |
| Teste de efetividade registrado | 95% |
| Monitoramento contínuo | 100% |
O score sempre se explica
Junto com a nota vem a confiança dela: a distância entre a maturidade declarada e a comprovada. Uma leitura típica fica assim:
Postura Score 68/100. Confiança do score 54%.
Motivo: 46% dos controles críticos ainda não têm evidência suficiente.
O relatório mostra o que elevou e o que reduziu a nota, quais evidências venceram, quais riscos estão acima do apetite e qual ação melhora mais o resultado.
O caminho da evidência
Um achado passa por cinco perguntas antes de chegar à diretoria. Se uma delas fica sem resposta, a prioridade não fecha.
| Nº | Etapa | Pergunta | Evidência esperada |
|---|---|---|---|
| 01 | Identidade válida | A credencial funciona? Com que privilégio? | Inventário de contas com privilégio, MFA aplicado, data da última revisão de acesso. |
| 02 | Ativo exposto | O que essa identidade alcança: VPN, SaaS, nuvem, aplicação, banco de dados? | Inventário do ativo, criticidade atribuída, caminho de exposição documentado. |
| 03 | Técnica MITRE | Que comportamento de adversário o achado permite? | Técnica ATT&CK mapeada e o controle ou a detecção que a cobre. |
| 04 | Impacto no negócio | O que se perde: receita, dados, operação, conformidade? | Processo afetado, estimativa de impacto e dono de negócio que a validou. |
| 05 | Dono e SLA | Quem responde, até quando e com que prova? | Responsável nomeado, prazo pela severidade contextual e critério de encerramento. |
Sinais que mudam a prioridade
Severidade técnica é ponto de partida. Estes cinco sinais dizem se o achado sobe ou desce na fila.
| Sinal | O que indica | Evidência esperada |
|---|---|---|
| CISA KEV | Vulnerabilidade explorada em campo, não só publicada. | Versão corrigida, varredura de indicadores antes do patch, data de aplicação. |
| MITRE ATT&CK | Comportamento concreto de adversário. | Detecção ou controle mapeado à técnica, com teste registrado. |
| NIST CSF 2.0 | Lacuna de governança ou de ciclo de controle. | Função e categoria afetadas, dono e data de revisão. |
| OWASP Top 10 | Risco de aplicação. | Achado de teste, correção e reteste. |
| CTI LATAM | Campanha ativa na região ou no setor. | Indicadores verificados e exposição confirmada ou descartada. |
Cinco categorias executivas, quinze domínios técnicos
A diretoria enxerga cinco categorias. Por baixo delas, o diagnóstico percorre quinze domínios técnicos.
| Categoria | Escopo | Resultado para a diretoria |
|---|---|---|
| Governança corporativa e cultura | Políticas, comitês, preparo da liderança. | Papéis claros, cadência de decisão, liderança preparada. |
| Gestão de exposição técnica | Ativos, identidades, superfícies de ataque. | Visão executiva de pontos cegos e risco residual. |
| Orquestração defensiva | Endpoint, EDR/XDR, rede, resposta a incidentes. | Redundâncias e lacunas entre ferramentas. |
| Privacidade e conformidade | LGPD e aderência regulatória. | Relatórios prontos para comitê de auditoria. |
| IA paralela e novas tecnologias | Uso de IA generativa sem governança. | Proteção de propriedade intelectual e redução de exposição regulatória. |
Domínios técnicos avaliados
Frameworks de referência
Um controle interno costuma atender várias exigências ao mesmo tempo. O diagnóstico lê os cinco juntos para evitar retrabalho.
- NIST CSF 2.0
- Governar, Identificar, Proteger, Detectar, Responder, Recuperar. A estrutura que organiza o diagnóstico e o relatório.
- CIS Controls v8
- Controles críticos e acionáveis, bons para reduzir exposição de forma objetiva e medir o que mudou.
- ISO 27001
- Controles, evidências, responsabilidades e melhoria contínua. A linguagem que auditor e certificadora esperam.
- LGPD
- Liga segurança, privacidade, evidência e resposta a incidentes ao risco regulatório brasileiro.
- MITRE ATT&CK
- Vocabulário comum entre defesa, SOC, GRC e liderança para falar do que o adversário faz.
O que vai para o conselho
Cada achado que chega à diretoria vem com cinco peças. Sem elas, não é pauta, é alerta.
Decisão pedida
O que o conselho aprova, recusa ou adia, com o custo de cada escolha.
SLA por severidade contextual
Prazo definido pela criticidade do ativo e pela exposição, não só pela nota CVSS.
Aceite de risco residual
Quem aceitou, por quanto tempo e em que condição o aceite cai.
Trilha de auditoria
Cada recomendação ligada à evidência, ao dono e à data.
Prova de remediação
O que mostra que o controle passou a funcionar.
Método editorial do Radar e do Mercado
A leitura diária segue as mesmas regras do diagnóstico: fonte verificável e pergunta que alguém consegue responder.
- Fonte primária primeiro
- Boletim do fabricante, catálogo KEV da CISA, órgão regulador ou pesquisa publicada. As fontes ficam listadas no fim de cada texto.
- Leitura para o Brasil
- Cada matéria diz o que muda para empresas que operam aqui: ativos típicos, prazos, terceiros, regulação.
- Perguntas para três mesas
- Operação, resposta a incidentes e comitê de risco recebem cada um a pergunta que precisam responder naquela semana.
- Janela de 30 edições
- As últimas 30 edições ficam no índice. As mais antigas saem conforme a janela avança.
Comece pelo diagnóstico.
Dezoito minutos de questionário, revisão humana e um relatório que a diretoria consegue ler.
- Nenhuma credencial solicitada
- Tratamento conforme a LGPD
- Independente de fabricantes