Construção de uma Equipe de CTI e Hunting

Nota 04 do capítulo 12 - Desafios e Boas Práticas. Fecha o capítulo com a dimensão humana: modelos de equipe, papéis, dimensionamento por porte, contratação, avaliação de candidatos e onboarding para CTI e hunting.
Transforma as competências espalhadas pela biblioteca em organograma viável e em plano de contratação.
Dialoga com a nota 03 do capítulo 06 sobre o perfil do hunter e com as salvaguardas GOV.03 e GOV.04 do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

Os desafios anteriores do capítulo trataram de dado, ruído e moldura legal; este trata da variável que decide todos eles: quem executa. A biblioteca inteira assume capacidades, formular hipótese, analisar incerteza, escrever detecção, comunicar risco, que não existem nas pessoas por acaso, e a construção deliberada da equipe é o desafio de gestão mais citado e menos resolvido dos programas de CTI e hunting. A escassez de profissionais maduros é real, mas o diagnóstico completo é mais nuanciado: faltam vagas bem desenhadas quase tanto quanto faltam pessoas, e muitos programas falham em contratação porque não sabiam o papel que estavam contratando.

A nota organiza a decisão em quatro camadas: o modelo de equipe que a organização adota, os papéis que precisam existir, o dimensionamento que o porte permite e os processos de contratação e integração que transformam vaga em capacidade. A nota 03 do capítulo 06 descreveu o perfil individual do hunter e a matriz de habilidades por senioridade; esta nota organiza o conjunto em equipe, e as salvaguardas GOV.03 e GOV.04 do capítulo 15 fornecem a formalização institucional de papéis e competências que o organograma deve refletir.

O recorte desta nota é o time interno de CTI e hunting, e a fronteira com os vizinhos importa: ela não substitui o SOC na resposta, não substitui o jurídico na privacidade e não substitui a TI na coleta. Equipe de CTI e hunting bem desenhada é um time pequeno que faz o restante da organização caçar melhor, e o desenho que a promove a departamento separado do resto da esteira costuma produzir o isolamento que a tabela da seção 2 já advertiu.

2. Modelos de Equipe

Não existe modelo correto em absoluto; existe modelo adequado ao porte, à maturidade e ao patrocinador. A tabela compara os três modelos dominantes no mercado:

A experiência consolidada de mercado aponta dois padrões que valem como regra de decisão. Primeiro, o modelo embutido no SOC funciona apenas se a atribuição de caça tiver tempo protegido formalmente, na casa de 20 por cento do tempo, porque sem proteção a fila vence sempre, e a função morre sem que ninguém tenha decidido matá-la. Segundo, a terceirização funciona bem para o que é compressível, monitoramento de vazamentos, coleta de fontes, emulação de adversário pontual, e mal para o que não é, baselines, conhecimento do ambiente e relação com o SOC, que são exatamente os ativos que fazem a caça valer a pena e que não se compram prontos.

Os modelos não são estáticos, e a migração entre eles segue a maturidade do programa: a função embutida cresce até o ponto em que a fila sufoca o tempo protegido, e esse ponto é o sinal de que a célula dedicada se pagou; a célula dedicada amadurece até o ponto em que a demanda de escala, fontes novas, caça em domínio que a casa não domina, justifica o complemento externo. A prática recomendada é revisar o modelo anualmente junto com o diagnóstico de maturidade do capítulo 06, declarando qual modelo está em vigor e qual é o próximo, porque a indecisão de modelo é o estado que mais desperdiça capacidade em organizações médias.

3. Papéis e Entregas

Quatro papéis cobrem o espectro de CTI e hunting, e a clareza sobre o que cada um entrega evita o erro mais comum de contratação, o de buscar uma pessoa que faça tudo com profundidade:

Os papéis se sobrepõem de propósito e se distinguem pelas entregas. O analista de CTI olha para fora e chega ao ambiente; o hunter parte do ambiente e chega ao achado; o engenheiro de detecção parte do achado e chega ao controle permanente; o gerente organiza as prioridades e cobra o ciclo. Em equipes pequenas, uma pessoa acumula três papéis com profundidade parcial, e o risco acumulado não é a sobreposição, é a ausência: o programa que ninguém representa no papel de gerente de inteligência acumula hipóteses sem prioridade e resultados sem comunicação, e morre de indiferença institucional.

As entregas encadeiam os papéis em um fluxo verificável: o analista de CTI entrega ao hunter a hipótese informada e o IOC de qualidade; o hunter entrega ao engenheiro de detecção o achado documentado com consulta reproduzível; o engenheiro entrega ao SOC a detecção com instrução de triagem; e o gerente fecha o ciclo medindo conversão e realimentando a priorização. O fluxo é também a ferramenta de gestão dos atritos: quando um elo entrega mal para o seguinte, a conversa de correção tem referência concreta, e a competência a desenvolver aparece na matriz da seção 8 com nome e nível.

O anúncio de vaga é o primeiro artefato do processo, e a qualidade dele antecipa a qualidade da contratação: papel descrito por entregas, com as três competências centrais explícitas e o nível esperado na matriz, atrai o candidato certo e filtra o errado sem custo de entrevista. Vaga escrita como lista de ferramentas atrai colecionadores de ferramenta, e o filtro errado já começou no título; a prática recomendada é escrever a descrição a partir da tabela de entregas desta seção, que é a definição real do papel.

4. Dimensionamento por Porte da Organização

O dimensionamento honesto parte do que a organização consegue sustentar por um ciclo orçamentário inteiro, e não do organograma dos concorrentes. A tabela sugere um ponto de partida calibrável:

Duas correções de rotação são mais úteis que a tabela. A primeira é temporal: o dimensionamento muda com a maturidade, e o programa de nível 1 precisa menos de headcount e mais de uma pessoa com tempo protegido para executar o ciclo básico, enquanto o de nível 3 demanda engenharia de detecção proporcional à conversão de achados. A segunda é de demanda: o fator que mais estica a equipe não é o número de endpoints, é a cadência que o programa se compromete a sustentar, porque 28 caças por ano com produto documentado exige mais capacidade que 12 caças com o dobro de infraestrutura. Comprometer cadência e dimensionar equipe são a mesma decisão, e separá-las é o erro que gera atraso crônico.

A ordem de contratação também é decisão de dimensionamento, e a prática recomendada para quem começa do zero é clara: primeiro a pessoa que executa o ciclo, o hunter com capacidade de consulta e documentação; depois a fração que sustenta a detecção; e por último a gerência de inteligência, que nos primeiros meses é acumulada por quem patrocina o programa, com disciplina de ritograma. Ordem inversa, com gerente contratado antes de caçador, produz portfólio bonito sem execução, e é um dos padrões mais comuns em programas que não decolam.

5. Contratação e Avaliação de Candidatos

A contratação para CTI e hunting tem uma assimetria estrutural: as competências técnicas são verificáveis em prova, e as analíticas, que decidem o desempenho real, só aparecem em exercício. O processo recomendado combina os dois em três etapas curtas. A primeira etapa é de triagem técnica, com consultas reais sobre log fornecido, e rejeita o candidato que conhece nomes de ferramenta sem saber operar consulta. A segunda é o exercício analítico, e o formato mais revelador é o de material cru: entregar de 300 a 500 linhas de log real anonimizado e pedir ao candidato que identifique o que é anômalo, formule uma hipótese e diga o que coletaria a mais para prosseguir; a resposta boa mostra curiosidade dirigida, tolerância a incerteza e disciplina de não afirmar o que o dado não sustenta. A terceira etapa é de comunicação: pedir um resumo em cinco linhas do exercício anterior para um executivo fictício, porque o profissional que não traduz achado em decisão vira gargalo do programa na primeira conversa com a diretoria.

Os sinais de alerta são tão úteis quanto as competências. Reduzir o candidato a ferramenta, a pessoa que responde qualquer pergunta com o nome de um produto raramente desenvolve a análise que o papel exige; a escrita pobre em português técnico desqualifica para papéis que documentam caça e produzem inteligência; a ausência de curiosidade sobre o ambiente, o candidato que não pergunta nada sobre o parque, os riscos e o SOC na entrevista, é o melhor preditor negativo de desempenho em hunter. Na direção oposta, histórico de transferência lateral de conhecimento, pessoa que aprendeu o ofício em comunidade, captura de pacote por hobby, caderno pessoal de estudo, vale mais que certificação empilhada, e a certificação vale como piso de vocabulário, nunca como teto de competência.

O processo em três etapas se organiza em mesa de avaliação com tempo controlado:

O conjunto cabe em meio período por candidato e elimina a maioria dos erros de contratação que a entrevista conversada comete. Os avaliadores incluem obrigatoriamente o par que vai trabalhar com a função, porque o time que recebe a pessoa julga melhor o fit operacional que qualquer rubrica de recursos humanos, e o registro padronizado das avaliações permite comparar candidatos e auditar a própria barra de critério ao longo do tempo.

6. Onboarding e Desenvolvimento

O onboarding em CTI e hunting tem um objetivo específico: transformar competência genérica em competência sobre este ambiente, e o prazo realista para a primeira entrega independente é de 90 dias. O plano em três marcos organiza a integração:

• Primeiros 30 dias: ler o ambiente, acompanhar a operação e herdar o contexto; o recém-chegado estuda os baselines existentes, o caderno de caça, os PIRs e o perfil de ameaça, assiste ao ciclo de caça em modo sombra e termina o marco reproduzindo, com supervisão, uma caça já executada.
• Dias 31 a 60: primeira caça própria, com hipótese formulada pelo próprio, time-box curto e revisão por pares obrigatória antes do fechamento; o erro é permitido e esperado, e o propósito do marco é calibrar o padrão de documentação e de veredicto da casa.
• Dias 61 a 90: entrega ponta a ponta, do PIR ou do heatmap de lacunas ao produto, seja detecção experimental, requisito de coleta ou inteligência interna; ao fim do marco, o profissional entra no ritograma com dono de hipóteses próprias e sua entrada completa o dimensionamento da seção 4.

O desenvolvimento continuado usa a matriz de competências da seção 8 como contrato: o par com o gestor escolhe uma ou duas competências por ciclo semestral, define a evidência que prova o avanço e revisa no ritograma. As fontes de desenvolvimento que a biblioteca recomenda são as mesmas do capítulo 06: caças supervisionadas em ambiente de estudo, escrita pública ou interna com revisão, participação em comunidades de detecção e rotação deliberada de papéis, porque o hunter que nunca escreveu detecção e o engenheiro que nunca caçam produzem entregas desalinhadas do ciclo real.

A ferramenta de integração mais eficaz do período é a caça em par, o recém-chegado conduzindo a consulta com o veterano observando, e depois os papéis invertidos. A caça em par transfere em uma tarde o repertório tácito que nenhum documento transfere, os atalhos de consulta, as suspeitas de dado ruim, os nomes das contas de serviço, e cria o vínculo de confiança que sustenta a revisão por pares honesta nos marcos seguintes. A mentoria formal com responsável designado e checkpoint semanal completa o arranjo, e a dupla é registrada na matriz de competências como evidência do desenvolvimento.

7. Ritograma e Rotinas da Equipe

A equipe se sustenta por rotinas, e não por disposição, e o ritograma mínimo do programa tem quatro encontros com produtos definidos:

O ritograma é também o antídoto para os dois extremos que matam equipes jovens: o vazio de rotina, em que a caça acontece quando sobra energia e nunca sobra, e o excesso de cerimônia, em que a equipe passa mais tempo reportando do que caçando. A regra de calibração é que nenhum rito sem produto sobrevive à próxima revisão trimestral, e a remoção de um rito que não entrega é tão boa quanto a criação de um que entrega.

8. Matriz de Papéis e Competências

A matriz abaixo resume o nível esperado por papel em seis competências centrais, na escala básico, intermediário e avançado, e é o ponto de partida para a matriz institucional da salvaguarda GOV.04:

A leitura da matriz também orienta o recrutamento interno, que é a fonte mais subaproveitada de todas. O analista de triagem sênior do SOC já tem consultas avançadas e conhecimento de sistemas, e a distância dele até o papel de hunter é o repertório analítico de hipótese e incerteza, treinável em dois ciclos; o caminho inverso, contratar hunter de fora e esperar que ele aprenda o ambiente, é mais caro e mais lento na maioria das organizações, e a prática recomendada é mover por dentro sempre que a matéria-prima existir, reservando a contratação externa para os papéis de que a casa de fato não tem o grão.

A matriz também resolve a conversa de salário, porque progressão de nível com evidência é argumento de revisão anual que o RH entende: o profissional que mostra evidência do avanço de intermediário para avançado em duas competências tem o documento que sustenta a faixa seguinte. Equipes sem matriz negociam salário por oferta de mercado, e o resultado é a rotação que toda organização conhece e nenhuma quer.

9. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com regularidade na construção de equipes de CTI e hunting:

• Contratar uma pessoa para quatro papéis: o unicórnio não existe no mercado e, quando existe na casa, não escala; dimensionar por entregas e aceitar sobreposição com lacuna declarada.
• Confundir ferramenta com competência: avaliar candidatos por experiência com a plataforma que a empresa usa, e não pela capacidade de formular hipótese e executar consulta em qualquer plataforma.
• Prometer caça sem proteger tempo: atribuir a função a analistas de fila sem 20 por cento de tempo blindado é criar responsabilidade sem capacidade, e a função morre sem decisão formal.
• Ignorar o SOC na célula dedicada: time que para de triangular alertas e não mantém ponte com a operação perde contexto e credibilidade simultaneamente.
• Onboarding de mergulho: soltar o recém-chegado em caça real no primeiro mês produz veredicto apressado e deseduca o caderno; os três marcos da seção 6 existem por isso.
• Carreira sem trilha: retenção em segurança cibernética é função de progressão visível, e o profissional de hunting sem matriz de competências vira caso de saída em dois anos.
• Tratar escrita como acessório: em programa de inteligência, quem não escreve bem trava a esteira inteira, e o critério de escrita é eliminatório na triagem, não diferencial.

Um ponto final de atenção é o pior cenário de todos, a vaga que nunca fecha. O cargo de hunter sênior com exigências de dez competências avançadas permanece aberto por oito meses enquanto o programa não roda, e a alternativa eficaz é dividir a vaga: uma pessoa júnior ou plena com fortaleza em consultas, formada internamente, e o gerente de inteligência cobrindo a priorização, entregam o ciclo básico enquanto a vaga ideal é reescrita com exigências realistas. Equipe em movimento vale mais que organograma perfeito parado.

10. Integração com o Restante da Biblioteca

A nota materializa em pessoas o que os capítulos 05 a 07 exigem em processo, e formaliza em gestão o que as salvaguardas GOV.03 e GOV.04 descrevem em matriz; o perfil individual do hunter detalhado na nota 03 do capítulo 06 é o insumo direto da seção de competências desta nota. O dimensionamento conecta-se ao modelo de maturidade do capítulo 06 e da GOV.06, porque o tamanho honesto da equipe é função do nível que a organização sustenta, e não do nível que ela gostaria de declarar.

Fechando o capítulo 12, a sequência das quatro notas forma o kit de sobrevivência do programa real: dado que existe, fila que não abafa, operação dentro da lei e pessoas que executam. O exercício de fechamento é aplicar a matriz da seção 8 à equipe real da própria organização, marcar os níveis com evidência e não com simpatia, escolher a competência mais fraca do papel mais crítico e definir, com o gestor, a evidência que provaria o avanço no próximo semestre.