Ameaças Internas (MICE - Dinheiro, Ideologia, Coerção, Ego)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "05 - Ecossistema de Ameaças".
Trata o adversário que já está dentro: o colaborador recrutado, negligente ou comprometido.
Usa o modelo MICE da doutrina de CI e conecta-se às notas de vetting e need-to-know da Taxonomia de CI e às de Ética e Marcos Legais.

1. Contexto e Posicionamento na Biblioteca

Toda a maturidade técnica de um programa de CI pode ser anulada por uma pessoa com credencial legítima e motivo para trair. A ameaça interna é o único vetor que contorna perímetro, EDR e política de senhas com a naturalidade de quem trabalha ali, e é o vetor que a doutrina estatal de contra-inteligência estudou por mais tempo. Esta nota apresenta o modelo MICE (Money, Ideology, Coercion, Ego), que explica por que pessoas dentro de organizações se tornam fontes hostis, e mostra como esse modelo se conecta aos controles de vetting e de need-to-know tratados nas notas de CI Defensiva da pasta "02 - Taxonomia de CI".

O posicionamento na pasta é estratégico: Estados e crime organizado, tratados nas notas anteriores, usam pessoas internas como meio de acesso, e o recrutador hostil aplica MICE de forma deliberada. Compreender as alavancas de recrutamento permite desenhar controles que reduzem a superfície de persuasão, identificar sinais precoces com critérios objetivos e diferenciar o insider malicioso do negligente, cujas respostas são completamente distintas. A nota termina com gestão prática, limites legais de monitoramento e um exemplo com sinais de cada letra.

2. A Ameaça Interna e Suas Classes

A literatura de segurança e a doutrina de CI convergem para uma tipologia útil, baseada em intenção e não apenas em consequência. A intenção determina a resposta, porque tratar um funcionário negligente como traidor destrói confiança, e tratar um traidor como negligente destruições de valor prolongadas e evitáveis. A tabela resume as classes com exemplos típicos e a resposta primária de cada uma.

A classe comprometida merece destaque por ser a mais negligenciada. Uma pessoa não precisa aceitar dinheiro para ser vetor: um celular comprometido, uma conta pessoal invadida ou uma dívida que virou chantagem já produz o mesmo efeito operacional do recrutamento clássico. Por isso o modelo MICE, apresentado a seguir, descreve alavancas e não apenas escolhas conscientes.

3. O Modelo MICE

MICE é a sigla consolidada na doutrina de contra-inteligência para as quatro motivações que historicamente explicam por que pessoas autorizadas traem a organização que as emprega: Money (dinheiro), Ideology (ideologia), Coercion (coerção) e Ego (ego). O modelo é usado por recrutadores hostis como mapa de pressão, e deve ser usado pela defesa na direção oposta, como mapa de proteção. Três premissas guiam o uso correto: motivações se combinam, a alavanca dominante muda com o tempo e o modelo descreve risco e não prova de culpa.

• Money (dinheiro): o motivador mais frequente em ambientes corporativos, em geral ligado a dívidas, estilo de vida fora do padrão de renda ou percepção de injustiça salarial; o recrutador hostil oferece consultoria, comissão ou pagamento por dado.
• Ideology (ideologia): a pessoa age por convicção, contrária à política da empresa ou favorável a causa externa, como ambiental, política ou religiosa; históricos públicos de vazamentos ideológicos mostram que o ganho financeiro não é necessário.
• Coercion (coerção): a alavanca da vulnerabilidade, que pode ser chantagem, dívida com terceiros, ameaça a familiares ou exploração de relacionamento iniciado por engano; frequentemente a vítima começa como alvo de influência e termina como ativo hostil.
• Ego (ego): a pessoa busca reconhecimento, poder ou prova de inteligência que a organização nega; é a motivação clássica do profissional talentoso desprezado, e o disparo típico é uma promoção negada ou uma demissão percebida como injusta.

O uso analítico correto do MICE é combinatório. Um caso real raramente tem uma letra só: um profissional de ego ferido pode aceitar dinheiro, e uma pessoa coagida pode racionalizar a ação como ideologia. Para o programa de CI, cada letra aponta um conjunto diferente de sinais observáveis e de controles preventivos, como as próximas seções detalham.

É importante reconhecer também que o recrutador hostil aplica MICE de forma deliberada e sequencial, e não como teoria abstrata. Serviços de inteligência e grupos criminosos usam OSINT para identificar quem tem acesso, quem demonstra insatisfação e quem expõe frustrações em redes profissionais, e depois escolhem a alavanca mais barata para o alvo específico. Essa simetria é a razão pela qual a organização deve estudar o modelo de ataque: conhecer as alavancas do recrutador é o que permite reduzir a superfície de persuasão antes da abordagem, tema da próxima seção.

4. O Ciclo de Recrutamento Hostil e a Defesa Correspondente

A doutrina de CI descreve o recrutamento hostil como um ciclo em fases, e cada fase deixa marcas observáveis na organização. A tabela abaixo detalha as fases usuais, o que o recrutador faz, o sinal que pode aparecer no ambiente e a defesa correspondente. O uso defensivo do ciclo é preventivo: cada fase interrompida custa menos do que a resposta a um caso ativo.

A leitura por fases corrige dois vieses frequentes. Ela mostra que o sinal mais precoce raramente é técnico, pois identificação e avaliação acontecem fora da telemetria da organização, o que reforça o papel de RH, gestores e treinamento. E ela mostra que a janela de defesa é longa, porque o ciclo leva semanas ou meses, tempo suficiente para intervenção quando os canais de registro e de denúncia funcionam.

5. Sinais Comportamentais por Motivação

Sinais comportamentais são indícios a investigar, nunca prova, e qualquer uso deles em decisão sobre pessoas precisa de base legal, proporcionalidade e envolvimento de RH e jurídico. A tabela mapeia sinais possíveis por motivação, com exemplos corporativos concretos e o cuidado ético correspondente.

Dois erros clássicos distorcem o uso da tabela. O primeiro é caçar sinais isolados sem contexto, o que gera perseguição injusta, pois cada sinal listado tem alternativas benignas frequentes. O segundo é ignorar sinais consolidados por desconforto ético, o que transfere o problema para vítimas futuras; o caminho correto é o processo de revisão ética tratado na nota de Ética da pasta de Liderança e Governança.

A tabela anterior mapeia sinais por motivação; a tabela abaixo complementa com o encaminhamento operacional, indicando a primeira ação de resposta, a trilha responsável e o registro exigido para cada sinal consolidado. O objetivo é eliminar a improvisação no momento do alerta, que é quando a pressa gera erro de trilha e risco legal.

O critério de trilha é sempre o mesmo: suspeita de intenção ou de coerção desloca o caso para a trilha formal descrita na seção de gestão do insider, e todo o resto permanece na trilha educativa. Esse critério precisa estar escrito no procedimento, testado em exercício e conhecido por quem atende os alertas, e não apenas absorvido informalmente pela equipe.

6. Entrelace com Vetting e Need-to-Know

O modelo MICE é descritivo, mas a defesa é construtiva: cada letra tem controles que reduzem a probabilidade de a alavanca funcionar. O vetting, tratado na nota de CI Defensiva da Taxonomia de CI, verifica antecedentes, referências e consistência de histórico antes da admissão e deve ser reavaliado em mudanças para posições sensíveis, pois o risco de insider é dinâmico. Vetting não é discriminação, e sim verificação padronizada de elegibilidade para acesso, conduzida com base legal e consentimento informado nos limites da legislação aplicável.

O need-to-know complementa o vetting em dois sentidos. Primeiro, ele reduz o que está disponível para qualquer insider individual, e com isso reduz o valor do que uma única pessoa pode entregar, seja por má-fé, seja por coação. Segundo, ele torna a atividade anômala visível, pois acessos fora do papel se destacam quando a distribuição de conhecimento é estrita. Sem need-to-know, todo mundo parece ter motivo legítimo para tudo, e a telemetria perde poder discriminante.

A combinação dos dois controles por letra de MICE é o plano prático de proteção. Contra Money, o need-to-know limita o catálogo vendável e o vetting reduz a entrada de perfis sob pressão financeira relevante para cargos críticos, dentro dos limites legais. Contra Ideology, canais formais de denúncia e governança transparente reduzem a justificativa de vazamento autoral. Contra Coercion, a pessoa coagida tem menos poder de dano quando seu conhecimento é restrito, e a detecção de anomalias de acesso permite intervenção cedo. Contra Ego, políticas claras de exceção e reconhecimento estruturado reduzem o sentimento de excepcionalidade que o recrutador explora.

7. Gestão do Insider Não Malicioso versus Malicioso

A resposta à ameaça interna não é um processo único, e sim dois processos com premissas opostas, e confundi-los é o erro de governança mais caro do tema. O insider não malicioso é o caso de segurança da informação e da experiência do usuário, com tom educativo e controles que orientam. O insider malicioso ou coagido é caso de investigação formal, com evidência, cadeia de custódia, envolvimento jurídico e decisões sobre emprego e eventual comunicação a autoridades. A tabela contrasta as dimensões centrais das duas trilhas.

A separação exige arquitetura organizacional específica, e três regras a materializam. Primeira, quem observa a telemetria de insider não é quem decide sobre a pessoa; a função de monitoramento produz alerta, e uma trilha distinta de avaliação decide. Segunda, toda escalada da trilha maliciosa passa por revisão com jurídico e RH antes de qualquer contato com o investigado, para preservar defesa trabalhista e admissibilidade da evidência. Terceira, o caso coagido tem braço de proteção à pessoa, com apoio de RH e avaliação de risco pessoal, pois a organização está lidando com vítima e vetor ao mesmo tempo.

O fluxo de triagem abaixo materializa a separação das trilhas na chegada do alerta, e deve constar do procedimento operacional com exemplos reais de cada ramo.

Triagem inicial de alerta de insider
  1. O sinal indica descuido ou possível intenção?
     Descuido claro: clicou, encaminhou, perdeu dispositivo. Trilha educativa.
     Possível intenção: volume anômalo, evasão de controle ou dado de alto
     valor. Segue para a etapa 2.
  2. Há indício de pressão externa (contato insistente, chantagem, dívida)?
     Sim: caso coagido, RH entra na trilha com proteção à pessoa.
     Não ou indeterminado: segue para a etapa 3.
  3. Há dano confirmado ou iminente?
     Sim: contenção de acesso com preservação forense e jurídico ciente.
     Não: observação estruturada com prazo definido e revisão programada.

O fluxo não substitui julgamento, mas restringe o espaço de erro nas primeiras horas, que é quando a pressa mais custa. Cada ramo deve ter dono nominal e prazo de resposta, e o caso que muda de trilha deve manter o histórico das decisões anteriores. Essa continuidade de registro é o que torna o processo defensável em auditoria e em disputa trabalhista.

8. Exemplo Prático: Caso com Sinais de Cada Letra de MICE

As quatro vinhetas abaixo ilustram, em cenários corporativos brasileiros plausíveis, como cada letra de MICE se manifesta e como a defesa poderia ter agido antes do dano. Elas servem como material de exercício para o comitê de segurança e para o treinamento de gestores.

Money. Analista com acesso amplo a dados de cobrança passa a exportar
  extratos agregados sem tarefa associada e menciona, em conversa
  informal, uma consultoria paralela recentemente aberta.
  Sinal técnico: exportações recorrentes de relatório geral fora do
  escopo da função, fora do horário usual.
  Ação preventiva possível: need-to-know restrito por segmento, alerta
  de volume no DLP e conversa de gestão documentada.

Ideology. Pesquisadora discorda publicamente de política de uso de
  dados de clientes e copia e-mails internos para denunciar o que
  considera prática abusiva.
  Sinal organizacional: conflito registrado em canal formal anterior e
  cópia de conteúdo interno em conta pessoal.
  Ação preventiva possível: canal de denúncia funcional, revisão do
  mérito da reclamação e contenção proporcional com registro.

Coercion. Integrador externo começa a acessar sistema fora do escopo
  contratual após troca reiterada de mensagens com conta estrangeira e
  recusa férias com desculpas contraditórias.
  Sinal técnico: acessos fora do escopo, horários atípicos e origem de
  sessão nova em sincronia com contatos externos.
  Ação preventiva possível: least privilege por contrato, alerta de
  acesso fora do escopo e contato discreto do gestor do contrato.

Ego. Especialista sênior tem promoção negada e passa a exigir exceções
  às políticas, contornando aprovação de mudança e menosprezando
  revisores, com discurso de superioridade técnica.
  Sinal organizacional: rejeições de revisão repetidas e mudanças
  implantadas sem aprovação registrada.
  Ação preventiva possível: política de exceção formal, dupla
  aprovação em mudanças sensíveis e plano de desenvolvimento
  documentado.

As vinhetas mostram que cada letra produz assinatura em camadas diferentes: Money aparece mais em telemetria de dados, Ideology em conflito organizacional, Coercion em padrão de identidade e Ego em processo de mudança. Nenhuma assinatura isolada justifica decisão, mas a existência de critérios previamente acordados é o que permite agir rápido, dentro dos limites legais e com justiça para a pessoa investigada.

9. Erros Comuns e Pontos de Atenção

• Usar MICE como acusação: o modelo descreve alavancas de risco e não provas; transformar correspondência de letra em acusação cria responsabilidade legal e destrói confiança da equipe.
• Vigilância oculta de funcionários: monitoramento sem aviso prévio, sem base legal e sem proporcionalidade viola LGPD e jurisprudência trabalhista; transparência sobre telemetria corporativa é condição de validade.
• Tratar vetting como evento único: risco de insider muda com vida pessoal, cargo e contexto externo; posições sensíveis pedem revalidação periódica dentro dos limites legais.
• Concentrar need-to-know só em TI: dados de negócio, jurídico e RH são os mais vendáveis; a distribuição restrita precisa alcançar todas as áreas, e não apenas sistemas técnicos.
• Ignorar o terceirizado: integradores e consultores acumulam acessos privilegiados com menos vetting; contrato, least privilege e monitoramento por escopo são a defesa mínima.
• Responder ao negligente com investigação: criminalizar descuido ensina a equipe a esconder erros, e o efeito real é menos visibilidade para a defesa; trilhas educativas protegem a capacidade de detectar.
• Deixar o caso coagido sem apoio: tratar apenas o vetor e ignorar a vítima reproduz a coerção; RH precisa estar na trilha desde a classificação do caso.
• Confundir programa de insider com vigilância de produtividade: telemetria de segurança com finalidade declarada, base legal e proporcionalidade é defesa; uso indireto para gestão de desempenho corrompe o programa, a confiança e a própria validade da evidência.

10. Integração com o Restante da Biblioteca

Esta nota conecta o ecossistema externo ao risco que ele explora dentro da organização, e a leitura cruzada com a nota de CI Defensiva da pasta "02 - Taxonomia de CI" é obrigatória, pois é lá que vetting e need-to-know são especificados como controles. A nota de Estados explica por que recrutamento hostil alcança empresas brasileiras, e a nota de Crime Organizado mostra o mercado que consome o dado extraído por insiders, do infostealer ao broker de acesso. O modelo MICE, por sua vez, é o vocabulário comum entre CI, RH e compliance, e deve constar da matriz de competências tratada no grupo GOV do Framework CTH.

Na dimensão de execução, sinais de insider alimentam casos de UEBA e as detecções de identidade do capítulo 08, com atenção especial a acessos fora do escopo e a transferências anômalas de dados. Na dimensão de governança, todo uso de telemetria sobre pessoas segue as notas de Marcos Legais, de Ética e de Oversight da pasta "07 - Liderança e Governança", que definem base legal, proporcionalidade e supervisão independente. O objetivo integrado é reduzir a alavanca disponível ao recrutador hostil, tornando o insider malicioso mais difícil, o negligente mais corrigido e o coagido mais rapidamente socorrido.