Priorização de Requisitos de Inteligência

Nota 10 do capítulo 01 - Fundamentos de Cyber Threat Intelligence (CTI). Ensina a priorizar o portfólio de requisitos quando a capacidade de coleta e análise não basta para responder a tudo.
É a nota que converte escassez em decisão argumentada, com critérios explícitos, matriz numérica e ciclo de revisão trimestral.
Dialoga com a nota 07 (PIRs e governança do portfólio), com a nota 08 (matriz de decisões como matéria-prima) e com a nota 11 (dados de uso que realimentam a prioridade).

1. Contexto e Posicionamento na Biblioteca

Priorizar requisitos é inevitável, e a única escolha real do programa é entre fazê-lo com critérios explícitos ou deixá-lo acontecer por pressão, volume de voz e proximidade hierárquica. Uma equipe de CTI de médio porte consegue sustentar com qualidade um punhado de requisitos simultâneos, enquanto a demanda elicitada na nota 08 costuma gerar listas três vezes maiores, e a diferença precisa ser resolvida por método. A matriz de priorização é esse método: um exercício curto, auditável e repetível, que transforma a fila de PIRs em um ranking justificado e em decisões declaradas de entrada, manutenção e aposentadoria.

A nota assume o portfólio estruturado pela nota 07 e a matriz de decisões da nota 08, e acrescenta a camada da escassez: critérios, pesos, escala de pontuação e regime de revisão. O resultado alimenta diretamente a nota 11, porque prioridade sem dados de uso é conjectura, e realimenta a nota 07, porque a regra de admissão por substituição exige saber o que vale menos. No capítulo 15, a mesma lógica reaparece no TH.5, que prioriza hipóteses de hunting com critérios equivalentes, e no grupo MET, que cobra cobertura de PIRs como evidência de portfólio honesto.

2. Por Que Priorizar

A capacidade de um time de CTI é finita em três recursos simultâneos: horas de análise humana, orçamento de fontes e janelas de atenção dos consumidores. Cada requisito ativo consome os três, e o custo real de um requisito de baixo valor não é zero, e sim o valor do requisito bom que não recebeu a mesma capacidade. Sem priorização explícita, a diluição acontece em silêncio: todos os requisitos são parcialmente atendidos, nenhum é respondido com profundidade suficiente, e a cobertura medida pela nota 11 despenca sem que ninguém tenha decidido nada.

A priorização explícita também protege o programa na dimensão política. Quando o ranking é documentado, com pesos e notas registrados, a recusa de um pedido vira consequência do método, e não opinião pessoal do líder. O escalonamento de um patrocinador impaciente passa a enfrentar números, e não apenas hierarquia, e programas que não registram o método acabam refazendo a mesma discussão a cada ciclo, com resultado dependente de quem insistiu mais na reunião anterior.

Há ainda o argumento da qualidade da resposta. Requisitos priorizados recebem coleta em cadência adequada, análise com profundidade e produto no formato certo, enquanto requisitos no limite da capacidade recebem material genérico, que não apoia decisão nenhuma. Vale mais responder bem a cinco perguntas do que responder mal a quinze, e a matriz é o instrumento que transforma essa frase em política, em vez de intenção.

2.1 Sintomas de Portfólio Não Priorizado

Os sintomas abaixo indicam que o portfólio está funcionando como lista de desejos, e não como fila governada:

3. Critérios de Priorização

O método recomendado usa cinco critérios, pontuados em escala de 1 a 5 e combinados por pesos. Os pesos sugeridos refletem uma organização de médio porte, devem ser calibrados na primeira aplicação e mantidos estáveis entre ciclos, para que os rankings sejam comparáveis ao longo do tempo. A tabela define cada critério e as âncoras das extremidades da escala:

Dois critérios são invertidos por natureza, e o registro precisa deixar isso explícito. No custo de coleta, nota alta significa barato, porque a pontuação premia o que é fácil de responder com honestidade. Na lacuna de cobertura, nota alta significa vazio, porque a pontuação premia o que falta fazer; inverter o sentido de um critério sem registrar a regra é a forma mais rápida de gerar rankings absurdos na primeira revisão feita por outra pessoa.

3.1 Como Pontuar com Menos Subjetividade

A pontuação é feita por duas pessoas, de preferência o líder de CTI e um analista sênior, de forma independente, e as divergências acima de um ponto são discutidas antes de registrar a média. Três práticas reduzem o ruído:

• Ancore a escala em evidência: probabilidade 5 exige relatório ou incidente recente citado, e não sensação de risco; janela 5 exige data de decisão declarada pelo dono.
• Pontue o requisito, e não o solicitante: a hierarquia de quem pediu não entra em critério algum, e o impacto avaliado é o da decisão, não o do cargo.
• Reutilize notas anteriores: requisito reavaliado parte da nota anterior e muda apenas o que a evidência nova justifica, o que mantém o histórico comparável.
• Registre a evidência da nota máxima: toda nota 5 em probabilidade cita fonte e data, e sem citação a nota volta para 3.
• Trate divergência como informação: avaliadores que divergem muito geralmente leram requisitos diferentes, e a correção do texto precede a nota.

4. Matriz de Priorização com Exemplo Numérico

O cálculo é uma soma ponderada direta, executável em planilha ou em script, e o exemplo abaixo usa o portfólio de referência desta biblioteca, com os PIRs citados nas notas 07 e 08. O script calcula a nota ponderada de cada requisito e produz o ranking:

# Matriz de priorizacao: notas de 1 a 5 por criterio, combinadas por pesos
pesos = {"impacto": 0.30, "probabilidade": 0.25, "janela": 0.20,
         "custo_coleta": 0.15, "lacuna_cobertura": 0.10}

pirs = {
    "PIR-2025-011": {"impacto": 4, "probabilidade": 3, "janela": 5,
                     "custo_coleta": 5, "lacuna_cobertura": 5},
    "PIR-2025-003": {"impacto": 5, "probabilidade": 4, "janela": 3,
                     "custo_coleta": 4, "lacuna_cobertura": 4},
    "PIR-2025-014": {"impacto": 3, "probabilidade": 4, "janela": 5,
                     "custo_coleta": 5, "lacuna_cobertura": 4},
    "PIR-2025-007": {"impacto": 4, "probabilidade": 5, "janela": 4,
                     "custo_coleta": 2, "lacuna_cobertura": 3},
    "PIR-2025-018": {"impacto": 2, "probabilidade": 2, "janela": 2,
                     "custo_coleta": 3, "lacuna_cobertura": 2},
}

ranking = sorted(
    ((pid, round(sum(pesos[c] * n[c] for c in pesos), 2)) for pid, n in pirs.items()),
    key=lambda t: t[1], reverse=True)

for posicao, (pid, nota) in enumerate(ranking, start=1):
    print(f"{posicao}. {pid}: {nota}")
# Saida esperada: 011 (4.2), 003 (4.1), 014 (4.05), 007 (3.85), 018 (2.15)

A leitura do resultado aplica a capacidade declarada da equipe, e não o inverso. Com três produtos sustentáveis por ciclo, a tabela abaixo registra a decisão de cada linha:

O PIR-2025-007 ilustra o valor de anotar a causa da nota baixa: o gargalo é o custo de coleta, e não o impacto, e a saída pode ser telemetria interna melhor ou fonte nova, o que devolve o requisito ao topo no ciclo seguinte. Uma ressalva obrigatória completa o exercício: a matriz instrumenta a conversa, e não a substitui. Um requisito de nota média com patrocinador executivo nomeado pode merecer entrada por razão de governança legítima, desde que registrada como exceção, com dono e custo declarados, e o problema real não é a exceção, e sim a exceção não documentada, que degrada o método para sempre.

4.1 Regras de Corte e Desempate

Empates e cortes de fronteira acontecem em todo ciclo, e regras predefinidas evitam improviso:

• Empate técnico: prevalece o requisito com janela de decisão mais curta, porque urgência é o critério que o tempo não perdoa.
• Requisito em observação: permanece no máximo dois ciclos na camada intermediária, e dela sai por volta ao topo ou por aposentadoria.
• Requisito ad hoc de incidente: entra no topo da fila com validade curta, e a capacidade dele vem da suspensão temporária declarada de um requisito do portfólio, nunca de hora extra silenciosa.
• Corte de fronteira: quando dois requisitos disputam a última vaga com diferença menor que 0.2, decide o histórico de uso medido pela nota 11.
• Exceção de governança: só vale com registro, dono e custo, e o total de exceções por ciclo é limitado a uma.

5. Ciclo de Revisão Trimestral

A revisão acontece trimestralmente, na mesma sessão de governança que revisa o portfólio da nota 07 e a matriz de decisões da nota 08, com agenda fixa e duração limitada. A tabela abaixo organiza a agenda mínima de cada ciclo:

Fora da cadência fixa, quatro gatilhos forçam reavaliação imediata, e cada um tem efeito previsível sobre o ranking. Incidente relevante na organização promove requisitos ad hoc ao topo, e publicação de vulnerabilidade explorada em massa contra a pilha promove requisitos de exposição. Mudança de negócio, como aquisição ou entrada em setor novo, reescreve impacto e probabilidade de vários requisitos de uma vez, e perda ou degradação de fonte muda o custo de coleta de todos os requisitos dependentes dela.

6. Priorização com Recursos Limitados do Time

Times pequenos priorizam bem quando a regra declarada protege o foco, e não quando dependem de disciplina individual. O instrumento central é o limite de trabalho em progresso: um número máximo de requisitos ativos por analista e por ciclo, declarado publicamente, que transforma a entrada de cada novo em decisão explícita de saída ou de espera. A tabela abaixo define as camadas de serviço que organizam a fila:

A camada documental merece destaque, porque é a resposta honesta à maioria dos pedidos de panorama geral: o solicitante continua recebendo material, mas pelo canal de rotina, e não pela fila que consome análise dedicada. Combinada com a regra de admissão por substituição da nota 07, a estrutura faz o programa crescer por qualidade, e não por inflação. O escalonamento ao patrocinador acontece com a matriz na mesa, e a conversa deixa de ser sobre opinião para ser sobre capacidade: ou o requisito entra e outro sai, ou a capacidade aumenta, e as duas opções são legítimas quando declaradas.

7. Erros Comuns de Priorização

Os erros abaixo aparecem com regularidade em ciclos reais de priorização e têm correção direta:

• Priorizar por hierarquia: o pedido do diretor entra e o do SOC espera, independentemente de decisão apoiada; correção: critérios explícitos e pontuação independente registrada.
• Matriz como numerologia: números calculados e nunca discutidos, com resultado seguido sem julgamento; correção: a matriz abre a conversa, e a decisão final sai com registro e justificativa.
• Ignorar o custo de coleta: requisitos caros no topo por impacto, sustentados por fonte que não existe; correção: pontuar custo com honestidade e tratar lacuna de fonte como decisão, não como detalhe.
• Prioridade eterna: requisito que entra em janeiro e nunca mais é reavaliado; correção: rescore obrigatório por ciclo, partindo da nota anterior.
• Tudo é máximo: portfólio com dez itens de prioridade máxima, matematicamente impossível de sustentar; correção: número de vagas garantidas igual à capacidade real, sem exceção silenciosa.
• Revisar sem dados de uso: rescore baseado em impressões, ignorando acionamento e decisões apoiadas; correção: métricas da nota 11 como insumo obrigatório da sessão.
• Priorizar pedido sem decisão: requisito sem dono de decisão disputando vaga com requisitos decisionais; correção: devolver para elicitação da nota 08 antes de pontuar.
• Rebaixar sem comunicar: requisito sai da camada garantida e o consumidor descobre pelo silêncio; correção: comunicação nominal com a camada nova e previsão honesta.
• Exceções acumuladas: cada ciclo adiciona um caso especial fora da regra, até o método virar ficção; correção: limite de exceções por ciclo e revisão pública do histórico.

Um ponto final de atenção é o uso da matriz como evidência de financiamento. O ranking trimestral, acompanhado da cobertura medida, é um dos melhores argumentos de orçamento que um programa pode apresentar, porque mostra com precisão o que a capacidade atual não alcança. Quando o patrocinador pergunta por que o requisito X não é respondido, a resposta honesta é a própria matriz: ele está em quarto lugar, a equipe sustenta três, e mudar isso exige tirar algo ou colocar capacidade. Essa conversa, documentada ciclo a ciclo, transforma a priorização de exercício interno em instrumento de governança com o negócio.

8. Integração com o Restante da Biblioteca

A priorização é o ponto onde o capítulo 01 fecha o sistema: a nota 07 estrutura os requisitos, a nota 08 elicita a demanda, esta nota decide o que recebe capacidade e a nota 11 cobra o resultado. A lógica se repete adiante na biblioteca. No capítulo 02, a prioridade dos requisitos define a hierarquia de fontes e o orçamento de coleta; no capítulo 15, o TH.5 reaproveita critérios equivalentes para priorizar hipóteses de hunting, e o grupo MET cobra cobertura de PIRs como KPI de portfólio honesto.

Para aplicar esta nota hoje, tome o portfólio atual, pontue os requisitos com a tabela da seção 3 em uma sessão de 90 minutos com dois avaliadores, declare a capacidade real do ciclo e comunique as camadas resultantes aos donos de decisão. A primeira aplicação costuma ser desconfortável, porque revela inflação acumulada, e é exatamente esse o valor do exercício. A partir do segundo ciclo, a conversa de capacidade do programa acontece com números na mesa, e a fila passa a ser defendida por método.