Avaliação de Ameaças e Vulnerabilidades

Nota 02 do capítulo 13, pasta 04 - Processo e Ciclo de CI. Dimensiona o risco de espionagem cruzando os adversários prováveis da matriz de direcionamento com as fraquezas reais da organização, nos vetores humano, físico, técnico e processual.
Recebe a matriz de direcionamento da nota 01 e entrega a matriz de risco de espionagem que orienta a nota 03 (Indicadores e Plano de Coleta).
A metodologia dos três eixos de avaliação de adversário é detalhada na nota 01 da pasta 06 - Teorias e Abordagens.

1. Contexto e Posicionamento na Biblioteca

A segunda fase do ciclo de CI transforma a matriz de direcionamento, que lista ativos e adversários prováveis, em uma avaliação de risco com prioridades defensivas. O trabalho combina duas perguntas que a prática corporativa costuma separar: o adversário é capaz e tem intenção de atacar este ativo, e a organização é vulnerável por onde ele preferiria entrar. Na leitura de CI, ameaça é a combinação de capacidade, intenção e oportunidade de um adversário identificado, e não um catálogo de malware; vulnerabilidade é qualquer fraqueza explorável, e não apenas uma versão desatualizada de software. É a união das duas leituras que produz o produto da fase, a matriz de risco de espionagem.

A avaliação combinada existe porque cada pergunta isolada engana. Um adversário altamente capaz sem intenção sobre o seu setor é ruído de alerta; um concorrente com intenção evidente e capacidade baixa é risco real, mas de outro tipo, porque tenderá a caminhos baratos como insiders e intermediários. Do lado das vulnerabilidades, o inventário técnico clássico ignora exatamente os pontos que a espionagem explora: a receptividade do RH a abordagens de recrutamento, o controle de visitantes de uma planta, o excesso de exposição de pessoas-chave em redes sociais e a falta de NDA em parcerias. Esta nota organiza as duas leituras e as cruza em uma matriz única e defensável.

Quatro perguntas fixas organizam o trabalho da fase e devem ser respondidas em ordem, porque cada uma alimenta a seguinte. Elas também servem de roteiro de apresentação quando a matriz for levada à liderança, e a resposta a cada uma deve citar evidência, e não impressão.

• Quem, entre os adversários da matriz de direcionamento, tem capacidade demonstrada para capturar cada ativo P1 e P2?
• Qual é a evidência de intenção de cada um, no histórico do setor, na conjuntura recente e nos registros internos de abordagens?
• Por onde cada adversário provavelmente entraria, dado o inventário de fraquezas nos vetores humano, físico, técnico e processual?
• Quais células do cruzamento merecem classificação de risco alto, e o que a organização fará sobre cada uma delas neste ciclo?

A nota assume conhecidos os conceitos de crown jewels e matriz de direcionamento da nota 01, e antecipa a linguagem de eixos da pasta 06, onde capacidade, intenção e oportunidade recebem metodologia própria de mensuração. O consumidor imediato do produto é a nota 03, que converte cada risco alto em indicadores observáveis; o consumidor estratégico é a liderança, que decide onde alocar salvaguardas com base nas linhas de risco alto.

A fase entrega quatro produtos encadeados, e todos precisam estar versionados para sobreviver às perguntas futuras. Eles também definem o critério de encerramento da fase: sem os quatro, o ciclo não avança para indicadores, porque a nota 03 precisa de vetor dominante por célula para desenhar coleta específica.

• Ficha de avaliação por adversário, com notas nos três eixos, tendência e lacunas declaradas.
• Inventário de fraquezas por ativo, com evidência de observação direta e dono de ação proposto.
• Matriz de risco de espionagem consolidada, com classificação por célula e confiança declarada.
• Recorte executivo com as decisões pedidas à liderança, com dono e prazo por linha.

2. Ameaça e Vulnerabilidade na Leitura de CI

A mesma palavra "vulnerabilidade" significa coisas distintas em gestão de vulnerabilidades e em CI, e a tabela abaixo fixa a diferença. A confusão entre as leituras é uma das causas mais comuns de programas de CI que produzem relatórios bonitos e nenhuma mudança de postura, porque o inventário técnico dominou a conversa e os vetores reais da espionagem ficaram fora do escopo.

Na prática, a fase começa com dois inventários paralelos. De um lado, o perfil de cada adversário da matriz de direcionamento, construído com evidência pública e interna: TTPs documentadas, sofisticação observada, histórico de alvejar o setor, recursos financeiros e padrões de operação. De outro, o inventário de fraquezas da organização nos quatro vetores, construído com teste real e entrevista, e não com suposição. O cruzamento dos dois inventários, ativo por ativo, gera as células da matriz de risco.

3. Avaliação de Adversários: Capacidade, Intenção e Histórico

Cada adversário da matriz de direcionamento recebe uma avaliação em três eixos, com evidência registrada para cada nota atribuída. Capacidade mede meios: ferramentas, pessoal, financiamento, sofisticação técnica e habilidade de operação humana. Intenção mede vontade: histórico de alvejar o setor ou a empresa, motivação declarada ou inferida e eventos recentes que aumentam o interesse, como um lançamento de produto concorrente ou uma disputa comercial. Histórico, tratado aqui como evidência de comportamento passado, é o melhor preditor disponível e inclui campanhas públicas atribuídas, ações judiciais, contratações suspeitas e padrões de recrutamento de ex-funcionários do setor.

• Fontes públicas: relatórios de CTI comercial e comunitário, base de grupos do MITRE ATT&CK, ações judiciais públicas, noticiário de economia sobre disputas e contratações no setor.
• Fontes internas: registros de abordagens passadas a funcionários, incidentes de segurança com padrão direcionado, dados de rotatividade de pessoas-chave e percepções estruturadas do comercial sobre concorrentes.
• Fontes humanas institucionais: conversas com pares de outras empresas do setor em fóruns de compartilhamento, com respeito a acordos de confidencialidade e marcação TLP.
• Registros próprios: a base de casos de CI da organização, mesmo pequena, vira evidência de padrão quando consolidada ao longo dos ciclos.

A avaliação termina com três notas de 1 a 5 por adversário, uma tendência de alta, estável ou de queda, e as lacunas de evidência declaradas. O formato tabulado da ficha está na nota 01 da pasta 06, e aqui basta fixar a regra de ouro: nota sem evidência anotada não entra na matriz, porque risco de espionagem defensável perante a liderança exige que cada célula possa ser questionada e respondida.

A tabela abaixo fixa as perguntas mínimas por eixo e as fontes que costumam respondê-las. Ela funciona como checklist de avaliação e evita que um eixo domine a conversa por ser mais fácil de medir.

4. Inventário de Fraquezas nos Quatro Vetores

O inventário de fraquezas cobre os quatro vetores pelos quais informação sai de uma organização, e a tabela abaixo organiza os exemplos com a pergunta-chave que cada vetor exige. O objetivo não é listar todas as fraquezas possíveis, e sim identificar, para cada ativo P1 e P2 da matriz, por onde cada adversário avaliado provavelmente entraria.

O inventário deve ser construído com observação direta e teste, e não apenas com entrevistas, porque a distância entre o procedimento escrito e a prática real é exatamente o espaço que a espionagem explora. Caminhar pela planta como visitante, passar pelo processo de onboarding de um fornecedor, solicitar acesso a um repositório como um analista novo e simular uma abordagem de recrutador em ambiente controlado revelam fraquezas que nenhum formulário de autoavaliação captura. Cada fraqueza registrada deve apontar para o ativo que ela expõe, para que o cruzamento com a avaliação de adversários seja direto.

Cada fraqueza registrada segue o modelo fixo abaixo, que permite agrupar fraquezas por ativo e converter a lacuna dominante de cada célula da matriz de risco em ação concreta. Sem estrutura fixa, o inventário vira uma lista de reclamações genéricas que nenhuma salvaguarda consegue responder.

REGISTRO DE FRAQUEZA
ID: FRQ-012 | Ativo exposto: CJ-03 | Vetor: Humano
Descrição: o RH não tem procedimento para registrar abordagens de recrutamento
  dirigidas a pessoas-chave; relatos ficam dispersos em conversas informais.
Evidência: entrevista com 3 pessoas-chave e 2 analistas de RH; nenhum registro em 2024.
Efeito: sinais precoces de recrutamento dirigido são perdidos; sem linha de base de casos.
Ação proposta: procedimento de registro e canal dedicado; dono: RH | prazo: 60 dias.

5. Vetores Humanos e Físicos em Detalhe

Os vetores humano e físico merecem tratamento detalhado porque são os menos cobertos pelas ferramentas de segurança tradicionais e os mais usados em espionagem industrial. No vetor humano, o padrão dominante é a abordagem profissional e paciente: um recrutador plausível, uma oferta generosa, uma relação construída por semanas em rede profissional, seguida de pedidos cada vez mais específicos sobre o trabalho atual. O padrão técnico equivalente é a exploração de acesso legítimo, na qual o adversário não quebra nada e simplesmente usa o que o cargo permite, por isso o monitoramento de exportação e a revisão de privilégios pesam mais do que qualquer firewall nesse cenário.

A contramedida inicial desses vetores raramente é técnica: procedimento de registro de abordagens no RH, sensibilização específica para as pessoas-chave da matriz, roteiros de visita com escolta e política de contatos pós-desligamento custam pouco e fecham a maior parte da superfície barata. A nota 02 da pasta 06 organiza essas contramedidas no quadro de prevenção situacional, e a nota 03 desta pasta converte os sinais precoces da tabela em indicadores com plano de coleta.

O ciclo de vida do insider merece atenção específica no inventário, porque a fraqueza raramente está no evento final e quase sempre está na trajetória. Ressentimento acumulado por avaliação percebida como injusta, desligamento mal conduzido, tentativa frustrada de promoção e dívidas pessoais formam a linha de base que a área de pessoas observa melhor do que a segurança. Um programa de CI maduro tem com o RH um acordo de intercâmbio: o RH entrega sinais de trajetória de risco, dentro dos limites legais de privacidade, e a CI devolve ao RH um retrato dos padrões de abordagem externa que os funcionários estão enfrentando.

Os controles de primeira linha abaixo custam pouco, dependem pouco de tecnologia e respondem pela maior parte da redução de oportunidade nos vetores humano e físico. Eles são os candidatos naturais a salvaguardas propostas na nota 06, quando o cruzamento de risco os apontar como lacuna dominante.

• Procedimento de registro de abordagens, com formulário simples, canal dedicado e garantia de que relatar não cria desconforto para o funcionário.
• Sensibilização específica por público, com cenários reais do setor para pessoas-chave, em vez de treinamento genérico anual de segurança.
• Roteiro de visita com escolta e proibição de fotografia em áreas sensíveis, aplicado com cortesia e sem exceções informais para parceiros conhecidos.
• Política de contatos pós-desligamento e entrevista de saída estruturada, com lembrete de obrigações de confidencialidade registradas por escrito.

6. Produto: Matriz de Risco de Espionagem

A matriz de risco de espionagem cruza adversários avaliados com ativos priorizados, e cada célula combina a probabilidade do adversário alvejar o ativo com o impacto da perda já pontuado na nota 01. A probabilidade resulta da intenção e da oportunidade: intenção 4 com oportunidade 4 sobre um ativo gera probabilidade alta, e intenção 2 com oportunidade 1 gera baixa, independentemente da capacidade, que serve mais para prever o vetor do que para prever a probabilidade. A regra de classificação adotada nesta biblioteca é simples e defensável: célula alta exige intenção e oportunidade iguais ou superiores a 4, célula média aceita combinações intermediárias, e todo o restante é baixo, com lacunas de evidência anotadas ao lado.

O exemplo abaixo usa a oficina da nota 01 como base. Note a coluna de vetor dominante, que é o entregável operacional da matriz, e a coluna de confiança, que evita que a liderança leia inferências como fatos.

A leitura da matriz segue prioridade por linha e por coluna. Na linha do concorrente direto B, as células altas em CJ-01 e CJ-02 justificam indicadores de insider e de abordagem comercial imediatos; na coluna CJ-03, as células altas do serviço de inteligência e a média do concorrente confirmam que o pesquisador-chefe é o ativo de maior pressão combinada e concentra o esforço de proteção das fases seguintes. Linhas com confiança baixa não são descartadas: elas geram requisitos de coleta para elevar a confiança, e essa conversão é o elo exato entre esta fase e o plano da nota 03.

Para a apresentação executiva, a matriz completa é acompanhada de um recorte de três linhas com os riscos de maior prioridade do ciclo, no formato abaixo. O recorte evita o efeito de saturação da matriz grande e dá à liderança uma lista fechada de decisões a tomar, com dono e prazo por linha.

A matriz é documento vivo, e três eventos disparam revisão extraordinária fora da cadência semestral: um caso investigado que comprove capacidade ou intenção diferentes das avaliadas, uma mudança estrutural do negócio, como fusão ou entrada em mercado novo, e um evento setorial público que altere o interesse de algum adversário mapeado. Cada revisão registra data, motivo e células alteradas, e o histórico de revisões vira evidência de diligência que tem valor em eventual disputa legal, porque demonstra que a organização conhecia e gerenciava seus riscos de coleta adversária.

7. Erros Comuns e Pontos de Atenção

O erro mais comum da fase é colar no inventário técnico e entregar uma matriz de risco de espionagem que só fala de CVEs e serviços expostos, ignorando os vetores humano e físico onde a espionagem corporativa realmente opera. O segundo erro é pontuar adversários sem evidência anotada, produzindo uma matriz que impressiona na apresentação e desmorona na primeira pergunta da liderança; nota sem fonte é opinião. O terceiro erro é tratar a matriz como estática, quando ela deve ser revisada a cada ciclo de direcionamento e sempre que um caso investigado da nota 05 trouxer evidência nova sobre capacidade ou intenção de algum adversário.

Três cuidados operacionais completam a lista. Primeiro, evite a inflação de risco alto: se metade das células é alta, a matriz não prioriza nada, e a disciplina de limiares declarados existe justamente para isso. Segundo, separe claramente, na documentação, o que é fato registrado, o que é inferência e o que é especulação, porque esse é o padrão de formulação que a nota 05 exigirá no dossiê e que a liderança precisa aprender a ler. Terceiro, a própria matriz é informação sensível de alto valor para um adversário, pois descreve o que a organização entende de si; sua circulação segue a mesma restrição de need-to-know discutida na nota 05.

Os sinais abaixo indicam que a avaliação da fase precisa de revisão imediata, e não na próxima cadência. Eles funcionam como alarme de qualidade da própria metodologia e devem ser tratados como incidente de processo, com responsável nomeado para corrigir a causa.

• Nenhuma célula da matriz mudou em dois ciclos consecutivos, apesar de casos investigados e mudanças de conjuntura no setor.
• Todas as notas de capacidade de todos os adversários são iguais, indicando avaliação por achismo e não por evidência.
• O inventário de fraquezas não contém nenhuma fraqueza observada em teste, apenas declarações de áreas sobre si mesmas.
• A liderança pede explicações sobre células que a equipe não consegue justificar com evidência anotada.
• Os indicadores definidos pela nota 03 cobrem apenas o vetor técnico, sem resposta às células altas dos vetores humano e físico.

8. Integração com o Restante da Biblioteca

A matriz de risco de espionagem alimenta a nota 03 desta pasta, que converte as células altas e seus vetores dominantes em indicadores observáveis com plano de coleta por fonte técnica, humana e física, e indiretamente a nota 04, cuja triagem prioriza eventos pelo risco aqui classificado. A metodologia dos três eixos de avaliação de adversário, com ficha completa e discussão das assimetrias de mensuração, está na nota 01 da pasta 06, e as salvaguardas que respondem às fraquezas inventariadas estão organizadas na nota 02 da mesma pasta pelo quadro de prevenção situacional e dissuasão. No capítulo 01, a nota 04 sobre perfis de ameaça fornece o formato de registro de ator que esta fase atualiza; no capítulo 11, as métricas de cobertura de risco mostram como medir se a matriz está sendo consumida; e o capítulo 15 materializa a fase no Framework CTH, onde as salvaguardas propostas migram para os grupos de controle correspondentes.