Análise, Produção e Feedback

Nota 06 do capítulo 13, pasta 04 - Processo e Ciclo de CI. Fecha o ciclo de contra-inteligência: consolida a análise do dossiê, produz o relatório de caso, atualiza o perfil de ator, propõe salvaguardas e realimenta o direcionamento com feedback.
Consome o dossiê da nota 05 e devolve à nota 01 a evidência que ajusta a matriz de direcionamento, completando a espiral do ciclo de CI.
Compara o ciclo de CI com o ciclo de CTI do capítulo 01 e conecta os produtos à matriz de públicos dessa nota 08.

1. Contexto e Posicionamento na Biblioteca

A última fase do ciclo de CI transforma o trabalho das fases anteriores em três coisas que a organização consegue usar: um julgamento sobre o que aconteceu e quem está por trás, produtos que distribuem esse julgamento aos públicos certos e um conjunto de salvaguardas propostas que mudam a postura da organização. Ela também fecha a espiral: o feedback realimenta o direcionamento da nota 01, e o ciclo seguinte começa com a matriz ajustada pela evidência do ciclo que terminou. Sem essa realimentação, o programa de CI produz dossiês e esquece, e a organização paga o custo da investigação sem colher a mudança de postura.

A fase tem a mesma espinha dorsal da análise e disseminação do ciclo de CTI do capítulo 01, e a diferença está no ponto de partida e no cliente. O ciclo de CTI parte do ecossistema de ameaças e produz inteligência para decisões amplas de segurança; o ciclo de CI parte de ativos específicos e produz julgamentos e salvaguardas para quem protege a vantagem competitiva, com clientela que inclui jurídico, RH e liderança executiva além da segurança. Essa clientela múltipla exige produtos escritos com mais cuidado ainda, porque o mesmo caso é lido por públicos com gramáticas diferentes.

Esta nota detalha a consolidação analítica, os três produtos padrão da fase, a estrutura do relatório de caso, o mecanismo de feedback e a comparação explícita com o ciclo de CTI, e fecha com um exemplo completo de produto final do caso fictício que acompanhou as notas 04 e 05. A regra de qualidade que atravessa tudo é a mesma da biblioteca: fatos separados de inferências, confiança declarada e cada recomendação rastreável até uma evidência.

2. Da Investigação à Análise Consolidada

O dossiê que chega da nota 05 contém fatos estabelecidos, hipóteses testadas, avaliação de atribuição com confiança e lacunas declaradas. A análise consolidada pergunta o que tudo isso significa para a organização, e essa pergunta é diferente da pergunta investigativa. O investigador estabelece que o abordador tem vínculo documentado com uma consultoria; o analista conclui que o programa de coleta dirigida ao laboratório é maior do que um caso isolado sugere, porque o padrão é compatível com a campanha que dois pares do setor relataram no trimestre. É na análise que o caso individual se torna inteligência sobre o adversário e sobre a própria superfície de exposição.

A consolidação usa as técnicas do capítulo 05 com ênfase própria. A análise de hipóteses competitivas reaparece para testar a leitura ampla, e não apenas o caso: a coleta dirigida ao laboratório é campanha contínua ou reação a um evento específico, como o anúncio dos ensaios? A análise de impacto aplica a matriz de direcionamento para classificar o dano potencial real, distinguido do dano máximo teórico. E a análise de lacunas transforma o que o caso não conseguiu responder em requisitos para o ciclo seguinte, alimentando o plano de coleta da nota 03 com indicadores novos ou limiares ajustados.

Três produtos saem dessa consolidação, e a tabela abaixo resume cada um com público, marcação de divulgação e cadência típica.

Quatro perguntas organizam a sessão de consolidação, que é melhor executada por dois analistas, o dono do caso e um analista que não investigou, na mesma lógica da revisão por segundo analista da nota 05. A resposta a cada pergunta cita evidência do dossiê, e a sessão gera notas datadas que se anexam ao caso.

• O que o caso individual revela sobre o adversário que vai além dele, em padrão, capacidade ou intenção?
• O que o caso revela sobre a superfície da organização, em fraqueza explorada, rota de acesso e tempo de reação?
• O que permanece sem resposta, e qual indicador ou coleta nova responderia no próximo ciclo?
• O julgamento final muda alguma prioridade da matriz de direcionamento, e qual linha da nota 01 é afetada?

3. Relatório de Caso: Estrutura Padrão

O relatório de caso é o produto de maior longevidade, porque é o documento que a organização consulta quando o tema volta ao debate meses depois. A estrutura padrão desta biblioteca tem sete seções, e cada uma responde a uma pergunta que o público faria de qualquer forma, na ordem em que ela faria.

• Resumo executivo: até dez linhas com o julgamento central, o nível de confiança e a decisão pedida; é a única seção que a maioria dos executivos lerá, e por isso é escrita por último e com mais cuidado.
• Linha do tempo: os eventos relevantes em ordem cronológica, com hora UTC, fonte e nível de verificação de cada item, separando fato registrado de relato.
• Avaliação de atribuição: a conclusão com nível de confiança declarado, a distinção entre atribuição de atividade e de benefício e as hipóteses descartadas com motivo.
• Impacto sobre crown jewels: o que o caso significa para cada ativo envolvido, usando a linguagem de impacto da matriz de direcionamento, e não o dano máximo genérico.
• Salvaguardas propostas: as medidas recomendadas, cada uma vinculada à fraqueza que responde, com dono, prazo e custo estimado.
• Lacunas de inteligência: o que permanece sem resposta e que indicador ou coleta nova poderia responder, alimentando o ciclo seguinte.
• Anexos restritos: evidência de referência, log de custódia resumido e o dossiê de hipóteses, com acesso controlado por need-to-know.

Duas regras de escrita valem para o relatório inteiro. A primeira é a separação visual entre fato e avaliação, com formulação do tipo "a evidência de acesso mostra X; avaliamos com confiança moderada que Y", que treina o leitor a tratar cada afirmação no peso certo. A segunda é a proibição de adjetivos acusatórios sobre pessoas e empresas: o relatório descreve comportamento e vínculos documentados, e a decisão sobre responsabilidade formal é do jurídico, não do analista, na linha que a nota 05 fixou.

4. Atualização de Perfil de Ator

Toda investigação que alcança atribuição mínima produz atualização de perfil de ator, e é essa atualização que acumula valor estratégico ao longo dos ciclos. O perfil da nota 04 do capítulo 01 fornece o formato, e a CI o alimenta com campos próprios da disciplina: vetores humanos preferidos, padrões de abordagem, tipos de intermediário usados, temporalidade de campanhas e resposta observada a salvaguardas. Um perfil de ator alimentado por três ciclos já consegue prever o tipo de abordagem que o adversário usará na próxima campanha, e essa previsão é o que permite à triagem da nota 04 acertar cedo.

A atualização registra também o que não se confirmou, porque perfil que acumula apenas acertos vira memória seletiva. Um padrão suspeito que se revelou recrutador legítimo sai do perfil ou entra como observação negativa datada, e a fila de triagem se beneficia do discriminador testado. A disciplina de registrar o que era errado é o que mantém o perfil vivo, e a cadência de revisão segue a do ciclo de direcionamento, com atualização extraordinária a cada caso fechado.

Os campos específicos que a CI acrescenta ao perfil de ator do capítulo 01 merecem lista própria, porque são eles que distinguem o perfil de coleta dirigida do perfil de intrusão cibernética. Cada campo é preenchido com evidência de caso e data, e nunca por impressão acumulada.

• Vetores humanos preferidos, como abordagem em rede profissional, contato em eventos ou recrutamento por intermediário, com exemplos documentados.
• Padrões de abordagem, incluindo ritmo de aproximação, tipo de pedido inicial e comportamento após recusa.
• Tipos de intermediário usados, de consultorias de fachada a headhunters, com os vínculos que os casos conseguiram documentar.
• Temporalidade de campanhas, como concentração após anúncios de produto, feiras do setor ou disputas comerciais.
• Resposta observada a salvaguardas, como mudança de vetor após a instalação de monitoramento ou de procedimento de registro.

Os perfis alimentam ainda o compartilhamento externo, quando a política da organização permite. Relatos de padrão sem nomes, marcados em TLP:AMBER e distribuídos por fóruns setoriais e grupos de compartilhamento, devolvem à organização relatos de pares que enriquecem a avaliação de adversários da nota 02, e o capítulo 22 da biblioteca detalha os mecanismos dessa colaboração.

5. Salvaguardas Propostas: Da Análise à Ação

A proposta de salvaguardas é o produto que muda a postura da organização, e ela nasce do cruzamento entre as fraquezas exploradas no caso e o quadro de prevenção situacional da nota 02 da pasta 06. Cada medida proposta responde a uma pergunta de causa: o que tornou possível este caso, e qual estratégia de prevenção reduz a chance de repetição? A tabela abaixo exemplifica o padrão de proposal para o caso fictício, com estratégia de prevenção situacional, medida, dono e prazo.

O padrão de proposta tem três regras de qualidade. Cada medida tem dono com autoridade sobre a mudança, porque salvaguarda sem dono é voto de boa vontade. Cada medida tem prazo e critério de conclusão verificável, na linha das métricas do capítulo 11. E a proposta distingue o imediato do estrutural: a sensibilização do laboratório acontece em semanas, enquanto a revisão de acesso pode levar um trimestre, e o relatório declara as duas horizontais para que a liderança gerencie expectativa com honestidade.

6. Feedback que Realimenta o Direcionamento

O feedback é a etapa que distingue o programa que aprende do programa que opera em piloto automático, e ele responde a cinco perguntas fixas ao final de cada caso e de cada ciclo. As respostas são registradas por escrito e anexadas à revisão da matriz, e é essa documentação que transforma feedback em mudança real no ciclo seguinte.

• Os indicadores funcionaram, e detectaram a atividade antes ou depois do dano potencial, com qual antecedência?
• A coleta cobriu o vetor real, e as lacunas registradas pela nota 03 explicam o que ficou sem observação?
• O adversário previsto na matriz era o certo, e a avaliação de capacidade e intenção da nota 02 se confirmou?
• A triagem aplicou os critérios corretamente, e o caso nasceu do quadrante certo da matriz de decisão?
• As salvaguardas do ciclo anterior teriam prevenido ou detectado este caso, e quais mudanças elas precisam sofrer?

As respostas realimentam fases específicas: a primeira e a segunda ajustam indicadores e limiares da nota 03, a terceira ajusta a avaliação de adversários e pode reclassificar células da matriz de risco, a quarta recalibra os critérios da nota 04, e a quinta alimenta a proposta de salvaguardas da seção 5. O feedback também fecha a contabilidade do programa: o caso que começou em uma abordagem registrada pelo RH prova que o procedimento da fase de coleta funcionou, e essa prova vale mais do que qualquer apresentação de valor, porque é evidência de cadeia completa.

O registro do feedback segue o modelo fixo abaixo, que é anexado ao caso e resumido na revisão semestral da matriz. O modelo é curto de propósito: feedback que exige formulário longo não é preenchido, e o que importa é a pergunta respondida com evidência e a mudança associada.

REGISTRO DE FEEDBACK DE CASO
Caso: CI-2025-014 | Data: data | Preenchido por: dono do caso
Detecção: indicador IAA-01 funcionou; abordagem 1 detectada tardia, abordagem 2
  imediata; antecedência média insuficiente para proteção preventiva.
Coleta: cobertura humana adequada; lacuna em reconhecimento de perfis (LAC-02
  confirmada); nenhuma lacuna nova relevante.
Adversário: hipótese de coleta dirigida confirmada em nível moderado; avaliação de
  capacidade do concorrente C sobe para 4 na próxima revisão da ficha.
Triagem: critérios funcionaram; caso nasceu do quadrante alto por alto.
Salvaguardas: registro de abordagens criado antes deste caso; foi decisivo para a
  detecção da segunda abordagem; manutenção garantida.
Mudanças derivadas: IAA-08 com limiar revisado; ficha do concorrente C atualizada;
  novo indicador proposto para reconhecimento de perfis internos.

7. Comparação com o Ciclo de CTI do Capítulo 01

A tabela abaixo compara fase a fase o ciclo de CTI da nota 03 do capítulo 01 com o ciclo de CI desta pasta, para fixar as equivalências e as diferenças. A leitura conjunta evita dois erros opostos: tratar CI como disciplina separada da CTI, o que duplica esforço, e tratá-la como sinônimo, o que apaga a especificidade dos ativos e dos vetores humanos.

A integração prática entre os dois ciclos acontece em três pontos, e vale registrá-los como desenho de programa. O primeiro ponto é a entrada: casos de CTI com padrão direcionado geram PIRs de CI, e sinais de CI geram hipóteses de caça para o SOC, como o capítulo 10 detalha. O segundo ponto é o vocabulário compartilhado: perfis de ator, TTPs e indicadores usam os mesmos formatos nos dois ciclos, o que evita tradução manual. O terceiro ponto é a governança: os dois ciclos reportam ao mesmo comitê e usam a mesma cadência de revisão, porque decisões de prioridade de um ciclo afetam a capacidade do outro.

8. Exemplo de Produto Final de Caso

O bloco abaixo apresenta o resumo executivo do relatório de caso fictício que acompanhou as notas 04 e 05, no formato de distribuição TLP:AMBER. Ele é o padrão de saída esperado da fase para um caso concluído com atribuição moderada.

RELATÓRIO DE CASO CI-2025-014 - TLP:AMBER - Distribuição restrita aos
destinatários da lista do mandato; não reproduzir fora do círculo autorizado.

RESUMO EXECUTIVO
Entre 12 de março e 2 de abril de 2025, dois funcionários ligados ao laboratório
de baterias (CJ-03) foram abordados por agentes que se apresentaram como
recrutadores, com empresa declarada sem registro ativo e sem vaga publicada.
Avaliamos com confiança moderada que as abordagens integram coleta dirigida ao
know-how de baterias, com vínculo documentado de um dos abordadores com
consultoria que atende o concorrente C. Não há evidência de perda de material
sensível; houve exposição parcial de escopo de ensaios em conversas iniciais.

DECISÕES PEDIDAS
Aprovar as quatro salvaguardas do anexo B, com orçamento estimado e prazos de
30 a 90 dias; decidir, com jurídico, sobre resposta formal à consultoria.

O relatório completo segue a estrutura da seção 3, e o anexo B citado é a tabela de salvaguardas da seção 5 com o custo estimado por linha. Note que o resumo executivo não menciona nomes de funcionários nem do abordador: nomes ficam no anexo restrito, e a versão que circula além do círculo do mandato, se aprovada pela liderança, é derivada com pseudônimos e sem identificação de ativo específico, no padrão de marcação TLP do capítulo 22.

9. Erros Comuns e Pontos de Atenção

O erro mais comum da fase é o relatório que só o time de CI entende: jargão de inteligência sem tradução, conclusão sem confiança declarada e recomendação sem dono, produzindo um documento que a liderança arquiva sem decidir nada. O segundo erro é pular o feedback por pressa ou por desconforto com a autoavaliação, o que congela a matriz e transforma o ciclo em repetição. O terceiro erro é a proposta de salvaguardas descolada do caso, herdada de catálogo genérico de boas práticas; proposta que não responde à fraqueza explorada no caso específico dilui a autoridade do programa.

Dois cuidados completam a lista. O primeiro é de forma: o relatório de caso é a vitrine do programa, e a disciplina de escrita, com fatos separados de avaliação e confiança declarada em cada conclusão, é o que constrói a reputação que autoriza o próximo caso. O segundo é de arquivo: relatórios, perfis e feedback são arquivados com controle de acesso e política de retenção acordada com jurídico, porque o acervo do programa é simultaneamente ativo analítico e responsabilidade legal, e tratá-lo como um ou outro isoladamente produz os problemas descritos na nota 05.

10. Integração com o Restante da Biblioteca

Os produtos desta fase alimentam diretamente o direcionamento da nota 01, cuja próxima revisão consome o feedback registrado, e a avaliação da nota 02, cujas fichas de adversário são atualizadas com a evidência dos casos fechados. No capítulo 01, as notas 03 e 11 sobre ciclo e avaliação de utilidade fornecem os conceitos de feedback e de valia do produto que esta nota aplicou; no capítulo 05, as técnicas analíticas sustentam a consolidação; e no capítulo 08, as TTPs documentadas nos perfis atualizados alimentam a caça por comportamento. No capítulo 11, as métricas de ciclo fechado, como tempo de caso, taxa de salvaguarda implementada e antecedência média da detecção, formam o painel executivo do programa. No capítulo 15, os grupos ANA e a salvaguarda de resposta do Framework CTH recebem os fluxos desta fase, e o capítulo 22 trata a disseminação externa dos relatos de padrão que os perfis alimentam.