Retorno sobre Investimento (ROI) em Hunting

Nota 03 do capítulo 11 - Indicadores e Métricas. Traduz o valor do threat hunting para a linguagem de decisão financeira, com componentes de custo, componentes de benefício, fórmulas de ROI e de custo por caça e um caso numérico completo.
É a ponte entre o programa técnico dos capítulos 06 a 08 e a defesa de orçamento no comitê de segurança, e fornece os números que a nota 04 transforma em relatório de liderança.
Dialoga com as KPIs do grupo MET do capítulo 15, com a redução de dwell time do grupo RES e com o modelo de maturidade do capítulo 06.

1. Contexto e Posicionamento na Biblioteca

As notas anteriores deste capítulo trataram de medir o programa por dentro: cobertura, cadência, conversão de achados e qualidade dos dados que o sustentam. Esta nota mede o programa por fora, na moeda que a organização entende: quanto custa, quanto evita de perda e quanto retorna por real investido. Sem essa tradução, o hunting compete mal por orçamento, porque entrega valor real que nunca aparece na contabilidade, e programas tecnicamente sólidos morrem em ciclos de corte financeiro por não saberem argumentar o próprio valor.

O posicionamento é deliberadamente prático. A nota não discute se caça proativa vale a pena; assume o consenso técnico da biblioteca e arma o leitor com três instrumentos: um mapa completo de custos que não esconde nada do CFO, um catálogo de benefícios com proxies mensuráveis e um caso numérico fechado, do custo à taxa de retorno, que serve de modelo para adaptação. Os números do caso são fictícios e coerentes entre si, e o exercício recomendado é substituí-los pelos dados da própria organização.

A nota dialoga diretamente com as KPIs de caça da MET.2, que fornecem as métricas operacionais de entrada, e com a salvaguarda RES.5, que trata de dwell time, o benefício mais defensável do portfólio. A nota 04 deste capítulo consome o resultado: o relatório executivo mensal deve apresentar custo, benefício e retorno nas seções de indicadores e de plano.

2. Por que o ROI de Caça é Diferente

O hunting tem um problema de contabilidade que a maioria dos controles de segurança não tem: seu principal produto é o incidente que não aconteceu, e evento que não aconteceu não gera nota fiscal. Um firewall que bloqueia 40 mil conexões por dia produz logs que parecem valor; a caça que impede uma persistência de 90 dias produz um relatório e o silêncio. O argumento de ROI precisa então reconstruir o cenário contrafactual: o que teria acontecido se a caça não existisse, com que probabilidade e com que custo.

A segunda diferença é o horizonte. Ferramentas de prevenção entregam valor no primeiro dia, enquanto a caça constrói ativos que acumulam: detecções permanentes, baselines, telemetria nova e inteligência interna. Um ROI medido só no primeiro ano penaliza o programa exatamente no período em que ele está investindo em capacidade, e por isso esta nota separa o ROI de implantação do ROI de regime, distinção que o CFO reconhece imediatamente porque espelha a lógica de CAPEX e OPEX de qualquer outra área do negócio.

A terceira diferença é a recusa honesta em prometer imunidade. Caça reduz probabilidade e duração de comprometimento, não elimina a possibilidade de incidente, e qualquer argumento de ROI que sugira o contrário será desmontado no primeiro incidente relevante pós-apresentação. O argumento sobrevivível é sempre em termos de redução de risco esperado, nunca de risco zerado, e a seção 7 transforma essa regra em técnica de comunicação.

3. Componentes de Custo

O custo total do programa precisa incluir tudo que o CFO inclui no dele, sob pena de perder credibilidade no primeiro escrutínio. A tabela consolida as quatro famílias de custo com as rubricas típicas e as observações de cálculo que mais causam erro:

Duas regras de honestidade evitam os erros clássicos de estimativa. Primeiro, custo total de pessoal significa encargos e overhead sobre o salário, e na prática brasileira o multiplicador fica entre 1,7 e 2,0 sobre o salário nominal; usar salário bruto infla o ROI em um terço sem nenhum esforço real. Segundo, a fração de FTE é a alocação real medida no trimestre, e não a prometida no plano: o analista que passou 12 por cento do tempo caçando custou 0,12 FTE, e o portfólio de caças deve ser dimensionado para esse número, e não o contrário.

4. Componentes de Benefício

Os benefícios caem em quatro famílias, cada uma com proxy de quantificação e fonte de evidência rastreável às métricas da biblioteca:

A regra anti-duplicação é a parte mais importante da tabela e o ponto em que argumentos de ROI quebram no escrutínio. O mesmo achado não pode gerar benefício duas vezes: se a caça evitou o incidente, o custo evitado entra na família de incidente evitado, e o dwell time dessa mesma hipótese não é somado de novo. A prática recomendada é escolher uma família por achado e registrar a decisão no dossiê da caça, porque a linha que sobrevive à auditoria é a que tem rastro.

Há ainda o benefício de opção, difícil de precificar e impossível de ignorar: a caça que opera regularmente produz baselines e familiaridade com o próprio ambiente que encurtam toda investigação futura, inclusive as de incidentes não relacionados ao portfólio. A recomendação é citá-lo qualitativamente no relatório e não tentar convertê-lo em reais, porque o número não resiste a pergunta alguma e contamina a credibilidade das linhas que resistem.

O número mais sensível do catálogo é o custo diário de comprometimento, e a defesa dele vale uma nota de método. O valor deve combinar horas técnicas de resposta e recuperação, horas de negócio parado ponderadas pela criticidade do processo afetado, custo de notificação e de retrabalho de clientes e, quando disponível, a referência de estudos setoriais de custo de violação, usada como ordem de grandeza e não como veredito. No caso da seção 6, os R$ 32.000 por dia resultam de uma operação com 4.000 endpoints e dependência crítica de sistema de originação, e a mesma organização com outro modelo de negócio chegaria a outro número; o que sustenta o argumento não é a precisão do valor, é o método auditável que o produz.

5. Fórmulas de ROI e de Custo por Caça

As fórmulas centrais cabem em uma linha cada, e o trabalho real está nas variáveis, não na álgebra:

ROI (%) = ((Benefício anual atribuível - Custo anual total) / Custo anual total) x 100

ROI de regime (%) = ((Benefício anual - Custo anual recorrente) / Custo anual recorrente) x 100

Custo por caça (rateio) = Custo total do programa no período / Número de caças concluídas no período

Custo direto por caça = (Horas de hunter x Custo hora) + (Horas de engenharia x Custo hora) + Rateio de infraestrutura + Enriquecimento

O custo por caça existe em duas versões e as duas são úteis. O custo de rateio divide o programa inteiro pelo número de caças e responde à pergunta de gestão sobre quanto o programa custa por unidade de produção, incluindo gestão, baselines e tempo improdutivo. O custo direto soma apenas o que aquela caça específica consumiu e responde à pergunta de priorização: se a caça candidata custa R$ 8.000 diretos e a hipótese tem valor esperado de R$ 40.000, a fila decide com número, e não com entusiasmo. A diferença entre as duas versões é sempre grande, e apresentá-las juntas com os rótulos corretos é sinal de maturidade, não de contradição.

6. Caso Ilustrativo Numérico Completo

Considere uma empresa de médio porte do setor financeiro, com 4.000 endpoints, SOC interno de sete analistas e um programa de hunting no primeiro ano completo. A equipe tem um hunter sênior dedicado, metade de um engenheiro de detecção e um gerente de inteligência que dedica 20 por cento do tempo. A composição de custos anuais do caso:

Os benefícios do ano, com a regra anti-duplicação aplicada por achado e o total em versão conservadora:

O cálculo fechado do caso, com as quatro fórmulas da seção 5:

ROI ano 1 = ((939.000 - 880.000) / 880.000) x 100 = 6,7%

ROI de regime = ((939.000 - 660.000) / 660.000) x 100 = 42,3%

Custo por caça (rateio) = 880.000 / 28 caças concluídas = R$ 31.400 por caça

Custo direto por caça típica = (16 x 190) + (6 x 150) + 1.800 + 260 = R$ 6.000

As premissas que sustentam o caso, cada uma revisável no anexo de premissas do relatório:

• O custo diário de comprometimento de R$ 32.000 deriva de horas técnicas, horas de negócio parado e custo de notificação, conforme o método da seção 4.
• A redução média de 11 dias por incidente compara a média histórica de 21 dias com os 9 dias dos dois incidentes respondidos no ano.
• A fração de 0,2 FTE de triagem economizada considera o volume médio de alertas absorvido pelas 14 detecções criadas.
• A probabilidade de incidente evitado não foi monetizada separadamente; o caso usa apenas o dwell time dos incidentes que de fato ocorreram, que é a leitura conservadora.

A leitura do caso importa mais que os números. No ano de implantação o ROI é magro, 6,7 por cento, e apresentá-lo sem contexto seria vender o programa como quase inútil; a pergunta correta do CFO é qual o ROI de regime, e a resposta, 42,3 por cento com benefícios conservadores, é o número que sustenta a continuidade. O custo direto por caça de R$ 6.000 contra o custo rateado de R$ 31.400 não é contradição: os R$ 25.400 de diferença compraram baselines, inteligência interna e a capacidade de repetir as caças que valem, e essa frase, exatamente nessa forma, é o argumento.

7. Como Comunicar com o CFO

O CFO não precisa entender ATT&CK para aprovar hunting; precisa entender três números e uma lógica. A tabela traduz as perguntas típicas da área financeira para as respostas que esta nota arma:

Três princípios de comunicação fecham o método. Primeiro, levar sempre o anexo de premissas, com probabilidade atribuída, custo diário de comprometimento e frações de FTE, e oferecer sensibilidade, do tipo que o ROI em regime cai para 25 por cento se o custo diário cair pela metade, porque demonstrar os próprios limites é o que separa análise de venda. Segundo, nunca prometer ausência de incidente; prometer redução de probabilidade e de duração, com número. Terceiro, cadência trimestral e uma página: o CFO que precisa reler a lógica toda a cada reunião ainda não comprou o programa.

Resta o caso que a maioria evita apresentar e o CFO respeita: o ano em que o benefício calculado fica abaixo do custo. A apresentação honesta mostra o número, explica a composição, cuja razão mais comum e mais legítima é a ausência de incidente de grande porte no período, e contrasta com o ROI de regime, que é a decisão que está em jogo. Programas fechados em ano ruim de cálculo voltam comprados de fornecedor a preço multiplicado, e o patrocinador que entende esse argumento defende o programa no comitê melhor que o próprio time.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com regularidade em defesas de orçamento de hunting e todos são evitáveis com disciplina de método:

• Duplicar benefício: somar incidente evitado com dwell time do mesmo achado; a regra de uma família por achado, registrada no dossiê, resolve.
• Custo subestimado: omitir ingestão de telemetria e armazenamento; é a rubrica que mais cresce e a que o CFO percebe primeiro na fatura da plataforma.
• ROI de vaidade: atribuir ao programa todo incidente evitado pelo SOC; a fração atribuível deve ser argumentada e registrada, nunca presumida.
• Prometer risco zero: a promessa desmonta o programa no primeiro incidente posterior; redução de probabilidade e de duração é o argumento que sobrevive.
• Comparar com o nada: o baseline correto é a operação atual sem caça, que também tem custo e custo crescente de resposta; o cenário de fazer nada precisa estar na mesa.
• Medir só o primeiro ano: a implantação penaliza o ROI; regime é a métrica de decisão, e a distinção deve estar explícita no relatório.

Um ponto final de atenção é o risco do número preciso demais. Afirmar que o programa evitou R$ 939.000 com a precisão da tabela exige que toda premissa esteja documentada e revisável; a alternativa defensável é apresentar faixas, do conservador ao central, e deixar claro qual delas foi usada no total. Faixas honestas sobrevivem à auditoria; precisão de três algarismos sobre premissas implícitas não sobrevive à primeira pergunta.

9. Integração com o Restante da Biblioteca

A nota consome métricas e produz argumento. As KPIs da MET.2 fornecem cadência, conversão e custo operacional de entrada; a RES.5 fornece o dwell time que sustenta o benefício mais forte; o grupo MAP fornece a cobertura que quantifica lacunas fechadas; o capítulo 06 fornece o nível de maturidade que calibra quanto investimento faz sentido no momento, porque programa de nível 1 com orçamento de nível 3 produz desperdício documentável.

Para frente, a nota 04 deste capítulo transforma estes números em relatório executivo, e o capítulo 13 de contra-inteligência lembra que parte do valor do programa, o conhecimento profundo do próprio ambiente, é também vantagem que o adversário não deve conseguir mapear a partir de vazamentos. O exercício de fechamento é reescrever o caso da seção 6 com os números da própria organização, marcar cada premissa como verificável ou estimada e levar o resultado, em uma página, à próxima conversa de orçamento.