Requisitos de Inteligência e PIRs

Nota 07 do capítulo 01 - Fundamentos de Cyber Threat Intelligence (CTI). Ensina a formular PIRs (Priority Intelligence Requirements), a estrutura de pergunta que governa todo o ciclo de inteligência.
É a nota que conecta decisões de negócio à produção de inteligência, e a base das notas 08 a 10 deste capítulo.
Dialoga com a nota 03 (fase de direção), com a nota 09 (EEIs derivados) e com o controle CTI.1 do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

A direção é a fase mais barata de acertar e a mais cara de ignorar. Um programa que coleta sem requisitos gasta capacidade com material genérico, produz relatórios sem cliente e termina defendendo o próprio orçamento com métricas de volume. O PIR (Priority Intelligence Requirement), ou requisito de inteligência priorizado, é o instrumento que impede esse destino: uma pergunta formalizada, com dono de decisão, prioridade e janela de validade, que justifica coleta, análise e disseminação de inteligência.

A doutrina de inteligência chama a direção de "fase que comanda o ciclo", e CTI herda essa lógica integralmente. Esta nota define o PIR, apresenta a estrutura de formulação com critérios de qualidade, traz exemplos reais por nível de inteligência e estabelece o regime de revisão periódica. As notas 08 e 09 cuidam da elicitação de necessidades e dos EEIs que derivam dos PIRs, a nota 10 prioriza o portfólio, e a nota 11 mede se os PIRs continuam merecendo prioridade. No capítulo 15, o controle CTI.1 institui os PIRs como salvaguarda básica do programa.

2. O Que É um PIR

Um PIR é uma pergunta específica, priorizada e vinculada a uma decisão, que a inteligência de ameaças deve responder para que a organização decida melhor. Ele não é um tema de pesquisa, e sim um compromisso de resposta: quando o ciclo termina, alguém precisa conseguir agir com base na resposta recebida. Essa ligação com decisão é o que separa requisito de curiosidade, e é por isso que a formulação exige dono de decisão desde a origem.

Dois adjetivos da sigla merecem decomposição. "Priority" reconhece que capacidade de coleta e análise é finita, e que só uma fração das perguntas possíveis pode ser respondida com qualidade no ciclo corrente. "Intelligence Requirement" delimita o escopo: PIR é pergunta que exige inteligência, e não requisito de projeto, de compliance ou de operação de ferramenta. A distinção evita o erro comum de transformar o portfólio de PIRs em lista de desejos do conselho sobre tudo que a área de segurança deveria fazer.

A doutrina também reconhece um segundo nível de requisitos, o SIR (Specific Intelligence Requirement), que decompõe um PIR em perguntas específicas e imediatas, normalmente ligadas a uma campanha ou incidente em curso. Se o PIR pergunta quais técnicas de persistência o grupo X usa, o SIR pergunta qual das técnicas observadas na campanha da semana está coberta por nossas detecções. PIR é estrutural e duradouro, SIR é situacional e de curta vida, e manter as duas camadas separadas evita que requisitos de emergência poluam o portfólio estável.

Bons PIRs compartilham características verificáveis, úteis como critério de revisão:

• Específicos: delimitam adversário, vetor, setor ou ativo, e não ameaça cibernética em geral.
• Respondíveis: existe fonte realista, acessível e legal, capaz de produzir a resposta no horizonte declarado.
• Decisórias: há uma decisão nomeada que muda conforme a resposta, com dono identificado.
• Temporais: têm janela de validade, porque requisitos vencem quando o negócio, o adversário ou o ambiente mudam.
• Mensuráveis: é possível dizer, ao fim do ciclo, se a pergunta foi respondida com qualidade suficiente.
• Priorizados: ocupam posição explícita na fila, e não uma lista paralela sem governança.

3. Estrutura de Formulação

A estrutura recomendada decompõe cada PIR em campos explícitos, que a equipe registra no sistema de gestão de requisitos ou no TIP. O modelo abaixo, em YAML, é o formato de referência usado nas notas 08 a 10 deste capítulo, e os campos são suficientes para governança sem burocracia:

pir:
  id: PIR-2025-003
  titulo: Capacidade de extorsão contra o setor logístico
  pergunta: >-
    Quais grupos de ransomware têm atacado empresas logísticas da America Latina
    nos últimos 12 meses, quais técnicas de acesso inicial usam e qual a
    probabilidade de alvo direto contra nossa organização no próximo trimestre?
  nivel: estrategico e tatico
  decisao_apoiada: aprovar ou não o investimento em hardening de VPN e MFA geral
  dono_decisao: CISO
  consumidor: [CISO, conselho de segurança]
  horizonte: 6 meses
  validade: 2025-09-30
  prioridade: alta
  eeis:
    - grupos ativos no setor com vitimas recentes publicas
    - vetores de acesso inicial observados nas campanhas do setor
    - técnicas de pre-criptografia e exfiltracao usadas pelos grupos
  fontes_previstas: [relatorios comerciais, ISAC setorial, sites de vazamento, agencias publicas]
  produto_esperado: avaliação trimestral com cenário de probabilidade e recomendação
  criterio_resposta: cenário quantificado e recomendação decisional com evidência citada
  revisao: trimestral
  origem: elicitação com gestão de risco em 2025-05

Cada campo existe para prevenir um erro típico. A pergunta delimitada evita temas vagos; a decisão apoiada impede requisitos sem cliente; a validade força revisão; os EEIs conectam o PIR à coleta; e o critério de resposta permite avaliar a entrega sem discussão subjetiva. O campo de origem registra quem pediu, o que dá rastreabilidade completa entre necessidade de negócio e produto entregue, e sustenta as conversas de priorização da nota 10.

3.1 Cinco Testes de Qualidade da Pergunta

Antes de registrar o PIR, a pergunta central deve passar por cinco testes rápidos, e falhar em qualquer um deles é sinal de reformulação:

• Teste da frase única: a pergunta cabe em uma frase sem conjunções múltiplas, e a complexidade vai para os EEIs.
• Teste do dono: existe uma pessoa nomeada que decidirá algo com a resposta, e não um público genérico.
• Teste da fonte: é possível nomear as fontes que produzirão a resposta, com acesso real e uso legal.
• Teste do prazo: existe data de validade e horizonte de resposta compatíveis com a janela da decisão.
• Teste da resposta negativa: se a resposta for "nenhum risco relevante", algo concreto muda, como liberar verba para outro requisito.

4. Exemplos Reais por Nível de Inteligência

A tabela abaixo traz exemplos de PIRs por nível, com a decisão que cada um apoia. Eles são calibrados para uma organização de médio porte, e devem ser adaptados ao setor e à superfície real da organização que os adota:

Observe a diferença de granularidade entre os níveis: o PIR estratégico pergunta sobre tendência e probabilidade, o tático sobre comportamento técnico do adversário, o operacional sobre evento em curso e o técnico sobre artefato exato. As notas 08 e 09 mostram como chegar a essas perguntas partindo das necessidades de cada cliente interno, e a regra prática é que todo PIR deve caber em uma frase, com a complexidade residindo nos EEIs e não na pergunta.

5. Vínculo com Decisões de Negócio

O teste definitivo de um PIR é a pergunta "o que muda na organização se a resposta chegar". Sem resposta convincente, o requisito é curiosidade disfarçada e deve esperar. Os vínculos mais comuns entre PIRs e decisões reais de negócio são:

• Investimento: responder quanto risco um vetor carrega define quanto orçamento ele merece no próximo ciclo.
• Arquitetura: conhecer técnicas preferidas de adversários relevantes orienta segmentação, hardening e controle de identidade.
• Operação de detecção: saber o que o adversário executa define o que regras e hunts devem cobrir primeiro.
• Gestão de crise: conhecer campanhas ativas contra o setor prepara comunicação, jurídico e resposta antecipada.
• Seguro e compliance: demonstrar inteligência dirigida sustenta apólices, auditorias e conversas regulatórias.

Esse vínculo também protege o programa na hora de dizer não. Quando um pedido de "inteligência sobre todos os ataques do mundo" chega sem decisão associada, o líder de CTI responde com o processo: descreva a decisão que a resposta apoiaria, e o requisito entra na fila da nota 10. Pedidos sem decisão não são recusados por má vontade, e sim encaminhados ao material informativo de rotina, que não consome capacidade de análise dedicada.

6. Revisão Periódica e Governança do Portfólio

PIRs vencem, e portfólios que não vencem nada acumulam requisitos mortos que poluem a fila e escondem os vivos. O regime de governança recomendado combina cadências fixas com gatilhos de revisão, e a tabela abaixo organiza as duas:

Dois artefatos de governança completam o regime. O primeiro é o registro histórico de PIRs aposentados, com as respostas que geraram, que vira memória institucional e evita reabrir perguntas já respondidas. O segundo é a regra de admissão: PIR novo entra apenas substituindo outro de menor prioridade ou ocupando vaga declarada do portfólio, com capacidade real da equipe como limite, na mesma lógica de portfólio que a nota 10 detalha.

A coleta de cobertura também pode ser automatizada, e o exemplo abaixo, no estilo do Microsoft Sentinel, mede quantos PIRs do portfólio tiveram produto entregue na janela declarada. A watchlist PIRs guarda o registro da seção 3, e o cálculo alimenta o KPI de cobertura do grupo MET:

// Cobertura de PIRs: requisitos com entrega registrada nos ultimos 90 dias
let pirs = _GetWatchlist('PIRs')
  | project PIRId, Validade = todatetime(Validade), Prioridade;
let entregas = CTI_ProdutoLog
  | where TimeGenerated > ago(90d)
  | distinct PIRId;
pirs
| extend Entregue = PIRId in (entregas)
| summarize Cobertura = round(100.0 * countif(Entregue) / count(), 1),
            Total = count(), Entregados = countif(Entregue)

7. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com regularidade em portfólios reais de requisitos e têm correção direta:

• Pergunta-tema sem decisão: "qual o panorama de ameaças do setor" não decide nada; correção: exigir decisão e dono antes de aceitar o requisito.
• PIR inrespondível: perguntar o que nenhuma fonte acessível pode responder com honestidade; correção: validar fonte prevista na formulação, e reformular a pergunta para o respondível mais próximo.
• Portfólio inflado: trinta PIRs ativos para uma equipe de dois analistas; correção: limite explícito de itens por prioridade e fila de espera governada.
• Requisitos paralelos: PIRs criados fora do processo por e-mail e reunião; correção: regra de admissão única, com registro no sistema de requisitos.
• Validade eterna: requisito de 2022 ainda ativo em 2025 sem revisão; correção: validade obrigatória com aposentadoria automática ao vencer.
• Confundir PIR com EEI: a pergunta é o requisito, e a informação específica a coletar é o EEI da nota 09; correção: manter as duas camadas separadas no registro.
• Medir o programa por PIRs criados: número de requisitos não é resultado; correção: medir resposta obtida e ação tomada, como na nota 11.
• PIR sem nível declarado: sem nível, o produto sai no formato errado para o público errado; correção: campo de nível obrigatório na formulação.
• Copiar lista de PIRs de outra organização: requisitos refletem decisões e superfície próprias, e listas genéricas produzem produtos sem cliente; correção: elicitar com a nota 08 e derivar com a nota 09.

Um ponto final de atenção é a relação entre PIRs e a taxa de cobertura cobrada pelo grupo MET do capítulo 15. Cobertura de PIRs, o percentual de requisitos com resposta entregue na janela declarada, é uma das métricas mais honestas do programa, porque expõe de uma vez a capacidade real da equipe. Portfólios com cobertura cronicamente baixa estão inflados, subfinanciados ou mal priorizados, e a conversa de correção passa necessariamente pela nota 10, que decide o que fica na fila e o que sai.

8. Integração com o Restante da Biblioteca

Os PIRs são o ponto de partida operacional de quase toda a biblioteca. A nota 08 deste capítulo elicita as necessidades que originam PIRs; a nota 09 decompõe cada PIR em EEIs coletáveis; a nota 10 prioriza o portfólio quando a capacidade não basta; e a nota 11 mede se os requisitos continuam merecendo prioridade. No capítulo 03, os IOCs coletados passam a ter propósito quando respondem a um requisito; no capítulo 05, a produção analítica escolhe formatos por nível de requisito; e nos capítulos 06 e 07, cada hipótese de hunting declara o PIR ou o perfil que a motiva.

No capítulo 15, o CTI.1 formaliza os PIRs como salvaguarda básica, e o grupo MET cobra a cobertura como KPI. Para aplicar esta nota hoje, escolha as três decisões mais importantes que a segurança precisa tomar neste trimestre, formule um PIR para cada uma com o modelo da seção 3, atribua dono e validade, e leve o resultado à próxima conversa com o CISO. Três PIRs bem formulados valem mais do que qualquer plataforma, e são o passaporte para todas as notas seguintes do capítulo.