Relatórios de Valor para a Liderança

Nota 04 do capítulo 11 - Indicadores e Métricas. Define o relatório executivo de CTI e threat hunting: o que a liderança precisa receber, a estrutura canônica com BLUF, indicadores de risco, incidentes relevantes e plano, além de frequência, formato e erros comuns.
Fecha o capítulo convertendo métricas técnicas e o argumento de ROI da nota 03 em comunicação que provoca decisão.
Dialoga com a produção de relatórios de inteligência do capítulo 05, com o dashboard executivo da MET.5 e com a disseminação segmentada da CTI.8.

1. Contexto e Posicionamento na Biblioteca

O capítulo 11 mediu o programa por dentro e por fora: cobertura, cadência, conversão, custo e retorno. Esta nota fecha o ciclo com o artefato que entrega esse conjunto a quem decide: o relatório executivo mensal de CTI e hunting. A diferença entre um programa que continua e um programa que é cortado raramente está na qualidade técnica das caças; está, com frequência desconfortável, na qualidade da comunicação para cima, porque patrocinador que não entende o que recebe não defende o que não consegue recontar na própria cadeia.

A nota parte de um princípio consolidado desde o capítulo 01: inteligência existe para apoiar decisão, e o relatório executivo é o produto de inteligência cujo cliente é a liderança. Tudo o que se aplicou a requisitos, PIRs e disseminação segmentada se aplica aqui com uma exigência adicional: o executivo lê em minutos, decide em uma reunião e esquece detalhes em uma semana, e o documento precisa funcionar sob essas três restrições simultâneas.

2. O que a Liderança Precisa Saber

Quatro perguntas esgotam, na prática, o que a liderança espera do relatório, e cada uma tem bloco dedicado na estrutura canônica:

O erro mais comum é responder a uma pergunta que ninguém fez. O executivo não pediu quantos eventos o SIEM processou, quantos IOCs o feed entregou nem qual a versão da plataforma; essas informações pertencem ao anexo técnico, e o corpo do relatório pertence às quatro perguntas da tabela. A regra editorial é simples: toda linha do relatório precisa permitir que um leitor não técnico diga algo novo na próxima reunião de negócios.

Um teste complementar para o corpo do relatório é a releitura. O executivo vai recontar o documento na própria cadeia, para o conselho, para o auditor, para o colega de diretoria, e o relatório que sobrevive a esse ciclo é aquele cujo BLUF pode ser repetido de memória sem distorção. Escrever pensando na releitura elimina naturalmente o jargão, o número sem contexto e a linha que existe só para impressionar.

3. Estrutura Canônica do Relatório Executivo

A estrutura canônica desta biblioteca tem quatro blocos, na ordem em que a leitura executiva funciona. O primeiro é o BLUF, do inglês bottom line up front, três a cinco linhas que abrem o documento com a conclusão e o pedido, na lógica inversa do relatório acadêmico: primeiro o veredito, depois a sustentação. O segundo bloco é o painel de indicadores de risco, com números comparados ao período anterior e direção declarada. O terceiro bloco narra incidentes e caças relevantes do período, no formato de três perguntas: o que aconteceu, o que foi feito e o que muda a partir de agora. O quarto bloco é o plano, com entregas concluídas, entregas em atraso e pedidos de decisão com custo, prazo e consequência de não decidir.

O BLUF merece exemplo porque é a técnica que mais diferencia relatórios maduros. Compare as duas aberturas para o mesmo mês, usando os números do caso da nota 03:

Abertura fraca: "Este relatório apresenta as atividades de threat hunting de
novembro, incluindo as caças executadas, os indicadores analisados e as
recomendações do time de inteligência para o próximo ciclo."

Abertura forte: "Em novembro, o programa concluiu 3 caças e converteu 2 em
detecções permanentes; o dwell time médio caiu de 21 para 9 dias. Uma lacuna
de telemetria de autenticação na filial sul mantém inviável a caça de
manipulação de contas (T1098) na região. Pedido de decisão: aprovar ajuste de
GPO e 1 TB de ingestão, custo de R$ 45.000 e prazo de 30 dias; sem a decisão,
a lacuna permanece aberta no próximo trimestre."

A abertura forte funciona porque contém as quatro perguntas: o que mudou no risco, o que a equipe fez, o que ainda dói e o que se pede, com preço e consequência. Note que o pedido de decisão declara o custo de não decidir, que é o elemento que transforma informação em agenda de reunião; pedido sem consequência é sugestão, e sugestão não ocupa espaço em pauta de comitê.

3.1 O BLUF em Detalhe

O BLUF vem da escrita militar e de inteligência, e sua regra é dura: a primeira linha deve bastar para quem lê só ela. Um BLUF completo carrega cinco elementos em ordem fixa, a conclusão do período, a principal mudança de risco, o pedido de decisão, o preço do pedido e a consequência de não decidir, e cabe em até cinco linhas. A falha mais comum é o BLUF que resume sem pedir, transformando a abertura em prefácio; relatório sem pedido na primeira linha raramente tem pedido de verdade no corpo, e a disciplina da abertura força a disciplina do documento inteiro.

3.2 Indicadores de Risco

O painel de indicadores vive com cinco a oito linhas, nunca mais, e cada indicador precisa de três atributos: valor atual, valor do período anterior e direção declarada com juízo, porque número sem direção obriga o executivo a interpretar sozinho o que o autor já sabe. A seleção mistura domínios de propósito, um indicador de exposição, um de capacidade e um de operação, para que a página inteira conte a história do programa e não apenas o desempenho de um recorte. E o indicador que piorou entra com o mesmo destaque dos que melhoraram: a credibilidade da página é o ativo que a honestidade pontual compra e a curadoria otimista desfaz.

3.3 Incidentes e Caças Relevantes

A seleção desta seção é editorial e obedece à relevância para a decisão, e não ao volume ou à gravidade técnica. Um incidente preliminar de ransomware contido entra porque muda a conversa de risco e provavelmente de investimento; uma caça que não encontrou nada, mas fechou uma hipótese e produziu uma detecção, entra porque mostra o método funcionando. Cada item é narrado nas três perguntas, o que aconteceu, o que foi feito e o que muda agora, sem detalhe técnico no corpo, que fica no anexo com as consultas e os indicadores usados.

3.4 O Plano e os Pedidos de Decisão

O bloco de plano é o único que o executivo relê entre reuniões, e por isso precisa de três linhas fixas: entregas concluídas com data, entregas em atraso com causa e nova data, e pedidos de decisão com custo, prazo e consequência de não decidir. O limite de dois a três pedidos por edição é deliberado, porque comitê decide poucas coisas por reunião e pedidos excedentes diluem os anteriores. A regra complementar é que todo pedido tem um dono no lado da liderança, porque pedido sem dono é apelo, e apelo não entra em ata.

4. Frequência, Formato e Audiências

A frequência mensal é o padrão recomendado para o comitê de segurança, com dois complementos: o relatório trimestral consolidado para conselho e diretoria, e o aviso ad hoc para evento de relevância, que substitui esperar o fim do mês para comunicar o que a liderança precisa saber hoje. Cadências mais frequentes diluem a pauta; menos frequentes enfraquecem a memória do patrocinador. A mensalidade mantém o programa dentro do ciclo de decisão orçamentária que as organizações realmente operam.

O formato canônico é uma página de corpo, mais anexos técnicos quantos forem necessários, distribuída com marcação TLP 2.0, tipicamente TLP:AMBER para circulação interna restrita. A página única não é restrição estética, é disciplina de síntese: se não cabe, o problema é a curadoria, não o espaço. Os anexos carregam o detalhe para quem quiser aprofundar, e a existência deles permite que o corpo seja agressivo na remoção de jargão.

A segmentação de audiência segue o padrão da disseminação segmentada da CTI.8. O conselho recebe risco agregado e posições de investimento; o comitê executivo recebe a estrutura canônica completa; a gestão de TI e segurança recebe o corpo com anexos técnicos; e o time de caça recebe o detalhe operacional que nunca vai no relatório executivo. Adaptar o mesmo conteúdo por audiência não é cortesia, é a condição de o relatório ser lido.

Para o aviso ad hoc, o formato é meia página com estrutura reduzida: uma linha de BLUF, os fatos em três ou quatro tópicos, a ação tomada e o pedido, se houver. O aviso não substitui a seção mensal correspondente; ele entra no relatório do mês em forma resumida, e o detalhe fica em anexo. A regra de decisão para disparar o aviso é o impacto: se a informação muda a decisão que a liderança tomaria hoje, ela vai hoje, e não no fim do mês.

5. Exemplo de Estrutura de Relatório Mensal

O esqueleto abaixo é o template desta biblioteca, com as seções fixas e o conteúdo típico de cada uma:

RELATÓRIO MENSAL DE CTI E THREAT HUNTING - NOVEMBRO 2025
Classificação: TLP:AMBER

1. BLUF (3 a 5 linhas)
   Conclusão do período, principal mudança de risco e pedido de decisão.

2. Indicadores de risco do período
   | Indicador                     | Mês atual | Mês anterior | Direção |
   | Dwell time médio (dias)       | 9         | 14           | Melhora |
   | Cobertura ATT&CK (técnicas)   | 118       | 109          | Melhora |
   | Lacunas críticas abertas      | 3         | 4            | Melhora |
   | Detecções de origem em caça   | 14        | 12           | Melhora |
   | Alertas P1 por semana         | 6         | 3            | Piora   |

3. Incidentes e caças relevantes
   Para cada item: o que aconteceu, o que foi feito, o que muda agora.
   - Incidente preliminar de ransomware contido; dwell time de 11 dias.
   - Caça HUNT-2025-041: persistência em tarefa agendada, 2 hosts, erradicada.

4. Situação do plano
   - Entregue no período: ingestão de DNS na filial sul; tuning da regra R-118.
   - Em atraso: contratação do engenheiro de detecção (60 dias).
   - Pedido de decisão: GPO de autenticação e 1 TB de ingestão, R$ 45.000.

5. Anexos técnicos
   Detalhe das caças, consultas, indicadores e custo por caça.

Três detalhes do template merecem justificativa. A tabela de indicadores mistura indicadores técnicos e de negócio de propósito, porque a liderança precisa ver a relação entre os dois; o item que piora, os alertas P1, deve ficar visível, e relatório em que todos os indicadores melhoram o tempo todo perde credibilidade no terceiro ciclo. A seção de plano registra atraso com responsabilidade e sem disfarce, porque atraso escondido vira surpresa no orçamento do semestre. E o pedido de decisão repete no anexo o preço que já apareceu no BLUF, porque leitores chegam ao documento por caminhos diferentes.

A revisão do template acontece a cada edição com duas perguntas rápidas: alguma seção não gerou conversa na última reunião, sinal de que precisa ser reescrita ou encurtada, e algum pedido ficou sem resposta, sinal de que precisa ser repetido com mais contexto ou substituído por um pedido menor. O relatório é instrumento vivo, e a estagnação do formato por um ano é sintoma de que ninguém lê; a mudança visível entre edições, por menor que seja, é o teste de que o autor também lê a própria publicação.

6. Métricas de Valor e Métricas de Vaidade

A escolha dos indicadores define a percepção de valor do programa, e a distinção entre métrica de valor e métrica de vaidade é a ferramenta editorial central desta nota:

O teste prático para classificar qualquer indicador é perguntar se o número mudaria alguma decisão se dobrasse ou zerasse. Eventos processados dobrando não muda decisão alguma; dwell time caindo à metade muda a conversa de seguro, de risco e de investimento. Métricas de vaidade não precisam ser banidas do relatório: algumas servem como contexto operacional no anexo, mas nunca ocupam o corpo, e nunca recebem destaque que sugira valor que não têm.

A prática madura opera as duas camadas em conjunto: o dashboard da MET.5 exibe a série contínua, e o relatório mensal interpreta a série, escolhe os dois ou três números que merecem atenção do comitê e explica por quê. O relatório que apenas espelha o dashboard é redundante; o que agrega valor é a camada de julgamento sobre o dado, exatamente o que a biblioteca define como inteligência desde o capítulo 01.

Do painel completo, o BLUF carrega no máximo dois números, e a escolha deles é a decisão editorial do mês: o número que mudou mais e o número que o pedido de decisão afeta. O executivo que recebe uma página com dez indicadores lembra de nenhum; o que recebe dois números com história lembra dos dois, e é essa memória que o relatório existe para criar.

7. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com regularidade em relatórios executivos de CTI e hunting, e todos são corrigíveis com disciplina editorial:

• Tecnicalismo: siglas sem explicação, IDs de técnica como protagonistas e nomes de ferramenta no BLUF; a tradução para risco e dinheiro é trabalho do autor, não do leitor.
• Métrica de vaidade no corpo: volume de eventos e uptime no lugar de efeito sobre risco; a seção 6 dá o teste.
• Relatório sem pedido: narrar o período sem pedir nada transforma a reunião em apresentação informativa; toda edição deve ter no mínimo um pedido de decisão, ainda que seja a confirmação de continuidade.
• Otimismo sistemático: indicadores que só melhoram e atrasos que nunca aparecem; o documento perde a função de instrumento de gestão.
• Incerteza omitida: afirmar com certeza o que é estimativa; expressar incerteza com o vocabulário de confiança da nota 09 do capítulo 05 protege o autor e informa melhor.
• Cópia direta do relatório técnico: anexo vira corpo sem edição; o executivo que recebe consulta KQL no corpo para de ler na primeira linha.
• Página que cresce: à página única de corpo soma-se anexo a cada mês até virar relatório de dez páginas; a curadoria é revista a cada edição, e o que virou rotina sai do corpo.

Um ponto final de atenção é a relação entre o relatório e a conversa. O documento não substitui o diálogo com o patrocinador entre reuniões, e o pedido de decisão deve ter sido socializado antes da reunião formal, nunca estreado nela; relatório que surpreende o comitê gera debate, e relatório que confirma conversa gera decisão. A regra prática é que nenhuma informação do BLUF pode ser novidade absoluta para o patrocinador no momento da leitura.

8. Integração com o Restante da Biblioteca

A nota consome o capítulo inteiro: os indicadores de risco do relatório vêm das notas anteriores deste capítulo, o argumento econômico vem da nota 03, e a disciplina de síntese é a mesma do relatório de inteligência do capítulo 05, com a audiência trocada. A disseminação segmentada da CTI.8 e o dashboard executivo da MET.5 são os instrumentos irmãos: a MET.5 automatiza a camada visual, e o relatório mensal interpreta o que o dashboard mostra.

Para frente, o capítulo 12 começa com o desafio que mais aparece em relatórios honestos: a lacuna de dados que o BLUF desta nota exemplificou. O exercício de fechamento é redigir o BLUF do próprio programa do último mês, em cinco linhas, com um pedido de decisão com custo e consequência, e testá-lo com um colega não técnico: se ele não souber repetir o pedido depois de uma leitura, o BLUF ainda não está pronto.