Visão do Adversário (Capacidade, Intenção, Oportunidade)

Nota 01 do capítulo 13, pasta 06 - Teorias e Abordagens. Apresenta a tríade capacidade, intenção e oportunidade como lente de análise do adversário, herança direta da doutrina de contra-inteligência adaptada ao ambiente corporativo.
Fornece a metodologia dos três eixos usada na avaliação de ameaças da nota 02 da pasta 04 e a ficha de avaliação que alimenta a matriz de risco de espionagem.
Dialoga com a nota 04 do capítulo 01 (perfis de ameaça), com a nota 02 desta pasta sobre prevenção situacional, com a nota 03 sobre sinais e probabilidade bayesiana e com a nota 04 sobre economia da segurança.

1. Contexto e Posicionamento na Biblioteca

Toda avaliação de ameaça reduz, no fundo, a três perguntas: o adversário pode, o adversário quer e o adversário consegue chegar. Essas três perguntas são os eixos clássicos da avaliação de ameaças na doutrina de inteligência: capacidade, intenção e oportunidade. A tríade sobreviveu a décadas porque faz uma coisa que modelos mais elaborados não fazem: ela obriga o analista a separar juízos que naturalmente se misturam, e cada eixo tem evidência própria, método próprio e grau próprio de incerteza. No ambiente corporativo, ela é a estrutura por trás de qualquer ficha de adversário defensável, e é a base sobre a qual a nota 02 da pasta 04 constrói sua matriz de risco de espionagem.

A confusão entre os eixos é a falha analítica mais comum na avaliação de ameaças corporativas. O time de segurança enxerga capacidade em tudo, porque lê relatórios técnicos o dia inteiro; o time comercial enxerga intenção em todo concorrente, porque vive a disputa de mercado; e ninguém mede oportunidade com rigor, apesar de ser o único eixo sobre o qual a organização tem controle direto. O resultado é uma avaliação que infla ameaças por projeção ou as descarta por falta de evidência técnica, nos dois casos perdendo o adversário real, que frequentemente é modesto em capacidade e paciente na oportunidade.

Esta nota define cada eixo, mostra como cada um se mede no ambiente corporativo, discute as assimetrias de mensuração que determinam onde a avaliação erra com mais frequência e apresenta a aplicação da tríade na priorização de defesas. Fecha com o formato de ficha de avaliação de adversário pelos três eixos, com exemplo completo preenchido, que é o artefato operacional que as outras notas do capítulo consomem.

A tríade também funciona como gramática comum entre funções que raramente falam a mesma língua. Segurança técnica, jurídico, RH e executivos disputam narrativas sobre ameaças, e cada um traz seu vocabulário de origem; a tríade dá a todos as mesmas três perguntas, as mesmas três escalas e o mesmo formato de registro, o que torna a discussão comparável entre casos e auditável entre ciclos. Um programa que adota a ficha desta nota como padrão descobre, em poucos trimestres, que as reuniões de risco deixam de ser troca de impressões e passam a ser confronto entre avaliações anteriores e evidência nova, que é exatamente o que um ciclo de inteligência deve produzir.

2. A Tríade: Definições e Relações

A tabela abaixo fixa a definição operacional de cada eixo no ambiente corporativo, com a pergunta central e o tipo de evidência que responde. As definições são deliberadamente operacionais, no sentido de que cada uma aponta para dados que a organização consegue realmente coletar.

Os três eixos se combinam em uma lógica de conjunção, e não de soma: ameaça real exige capacidade, intenção e oportunidade simultâneas, e a ausência de qualquer um dos três reduz o risco a potencialidade. Um adversário capaz e motivado sem oportunidade ainda não é ameaça imediata, e é sobre ele que a organização tem mais controle, porque oportunidade é o eixo que as salvaguardas alteram. Essa assimetria de controle é o argumento central da nota 02 desta pasta: a prevenção situacional opera essencialmente no eixo da oportunidade, e é por isso que ela funciona mesmo quando capacidade e intenção estão fora do alcance da organização.

A conjunção também tem leitura quantitativa útil para quem precisa justificar prioridades. Se a intenção de um ator sobre o seu setor é estimada em 20 por cento para o ano e a chance de sucesso da coleta, dada a capacidade dele contra a sua superfície atual, é 10 por cento, a probabilidade combinada do evento adversário é da ordem de 2 por cento, e nenhum dos dois números, isolado, diz isso. Misturar os eixos em uma única nota, como fazem avaliações que dizem apenas que o adversário é "sofisticado", esconde justamente a multiplicação que separa cenário alarmante de cenário administrável, e é essa multiplicação que a ficha da seção 7 explicita campo a campo.

A tríade também explica fenômenos que modelos unidimensionais não explicam. O adversário de alta capacidade e baixa intenção é o serviço de inteligência que não prioriza o seu setor, e o custo de defendê-lo como se fosse ameaça imediata é desperdício. O adversário de baixa capacidade e alta intenção é o concorrente pequeno que contrata o intermediário, e sua ameaça é real justamente porque a baixa capacidade o empurra para vetores baratos, insiders e intermediários, que escapam ao radar técnico. E o adversário de alta oportunidade percebida é a organização que publica organograma, exibe pessoas-chave em eventos e não registra abordagens: ela amplifica a ameaça de qualquer eixo sem gastar um real do adversário.

3. Como Medir Cada Eixo

A capacidade se mede por evidência de execução passada e por recursos observáveis. No plano técnico, relatórios de CTI, a base de grupos do MITRE ATT&CK e avaliações públicas de ferramentas dão uma leitura de sofisticação, com a ressalva de que sofisticação técnica não se traduz diretamente em eficácia de coleta humana. No plano humano e financeiro, o tamanho da equipe inferida, a velocidade de adaptação observada entre campanhas e o patrocínio presumido, estatal ou comercial, completam a leitura. No ambiente corporativo, a capacidade do adversário de espionagem comercial se mede mais por paciência e discrição do que por ferramentas, e relatos de pares do setor são, frequentemente, a fonte mais informativa.

A intenção é o eixo mais difícil e o que exige mais disciplina, porque ela é inferida e não observada. Os indicadores práticos são o histórico de direcionamento, que é o melhor preditor disponível; a conjuntura recente, como disputa comercial ativa, lançamento concorrente ou entrada em mercado novo; a motivação estrutural, como vantagem estatal ou pressão competitiva; e os sinais de foco, como contratações no domínio técnico da organização ou interesse documentado em eventos do setor. A intenção é avaliada por período, e não para sempre: intenção alta em um trimestre pode virar baixa no seguinte quando a conjuntura muda, e a ficha de avaliação registra tendência exatamente por isso.

A oportunidade é o eixo mais mensurável e o único que a organização controla, porque descreve a própria superfície. Os indicadores práticos são a exposição pública de pessoas-chave e de detalhes de processos, a facilidade de acesso físico e lógico, a rotatividade de pessoal em posições sensíveis, a densidade de parcerias e o histórico de procedimentos frouxos observados em testes. A medição da oportunidade combina o inventário de fraquezas da nota 02 da pasta 04 com observação direta, e cada redução de oportunidade é registrável como métrica, o que a torna o eixo favorito de quem precisa mostrar progresso executivo.

A tabela abaixo organiza os indicadores de cada eixo em formato operacional, com a fonte de dados e a cadência de coleta recomendada. Ela serve como plano mínimo de coleta para manter a ficha da seção 7 viva, e cada linha faltante é, na prática, uma lacuna declarada.

A oportunidade, por descrever telemetria própria, permite medição automatizada, e um painel simples já sustenta o eixo entre testes. A consulta abaixo, em KQL, mede a exposição de contas de pessoas-chave e o acesso a repositórios sensíveis, que são proxies diretos de oportunidade lógica; a leitura de tendência, e não o valor absoluto, é o que alimenta a ficha.

// Proxies de oportunidade: acessos a aplicacoes criticas por perfis de pessoas-chave
SigninLogs
| where TimeGenerated > ago(30d)
| where AppDisplayName in ("Confluence", "SharePoint", "SAP")
| where UserPrincipalName has_any ("presidencia", "diretoria", "pesquisa")
| summarize Tentativas = count(),
    Falhas = countif(ResultType != 0),
    ContasDistintas = dcount(UserPrincipalName)
  by bin(TimeGenerated, 7d), AppDisplayName
| order by TimeGenerated asc

4. Assimetrias de Mensuração Entre os Eixos

Os três eixos têm custos de mensuração radicalmente diferentes, e essa assimetria explica a maior parte dos erros sistemáticos de avaliação. A oportunidade é a mais fácil: os dados estão dentro da organização, são observáveis por teste e auditáveis. A capacidade é intermediária: existe evidência pública relevante, mas ela é incompleta, enviesada para o técnico e envelhece rápido. A intenção é a mais difícil: ela é inferida a partir de indícios, depende de contexto de conjuntura e é justamente o eixo sobre o qual o adversário trabalha ativamente para enganar, porque a intenção declarada é parte do jogo de dissuasão de qualquer ator.

A tabela abaixo resume a assimetria e suas consequências práticas para o analista.

Duas consequências práticas derivam da tabela. A primeira é que a avaliação honesta declara, para cada eixo, a qualidade da evidência que a sustenta, e a ficha da seção 7 tem campos exatamente para isso: nota, base e lacuna. A segunda é que a tríade deve ser reavaliada em ritmos diferentes por eixo, porque eles envelhecem em velocidades diferentes: oportunidade muda com cada mudança de superfície e é revista no ritmo da matriz de direcionamento, capacidade muda com campanhas e relatórios e é revista trimestralmente, e intenção muda com conjuntura e é revista em cada evento relevante do setor, além do ciclo regular.

O espelhamento merece alerta específico no eixo da intenção, porque é o viés documentado que mais distorce avaliações corporativas. Projetar a própria lógica leva a conclusões do tipo "ninguém pagaria por isso" ou "ninguém faria isso tão discretamente", e o antídoto é trabalhar com motivação documentada por categoria de adversário, na linha dos arquétipos da nota 01 da pasta 04, e não com a percepção de valor que a própria organização tem de seus ativos.

A assimetria tem ainda uma consequência de governança que costuma passar despercebida: ela define quem na organização é fonte primária de cada eixo. Oportunidade se mede com segurança, infraestrutura e RH; capacidade se mede com CTI e com a rede de pares; intenção se mede com negócios, jurídico e inteligência competitiva autorizada. Fichas redigidas por uma única função tendem a ficar fortes no eixo da função e ocasional nos outros dois, e a revisão por pares da ficha deve incluir, sempre, ao menos um revisor que domine o eixo mais fraco da avaliação.

5. Confiança por Eixo e Combinação dos Juízos

Avaliar os três eixos exige declarar quanta confiança cada juízo carrega, e a confiança naturalmente difere entre eixos no mesmo adversário: é rotina ter confiança alta sobre oportunidade, média sobre capacidade e baixa sobre intenção, porque a qualidade da evidência disponível difere por natureza. A ficha desta nota adota três níveis declarados por eixo, e a regra de combinação é conservadora: a recomendação final da ficha carrega a confiança do eixo que comanda a decisão, e nunca a média ilusória de três eixos com qualidades distintas. Avaliação que diz "confiança média" sobre o conjunto, quando a intenção que comanda a ação tem confiança baixa, é avaliação que esconde o ponto fraco exatamente onde o risco acontece.

A tabela abaixo fixa os critérios de atribuição dos três níveis e o modo como cada um aparece na ficha. Os critérios seguem a lógica da escala de confiança usada na nota 06 da pasta 04, e a nota 03 desta pasta formaliza a atualização desses juízos com o peso de cada evidência nova.

A combinação dos juízos tem uma segunda regra prática: mudanças de nível são eventos que exigem revisão da recomendação, e não apenas atualização de texto. Quando a confiança sobre a intenção sobe de baixa para média, a ficha sai do registro passivo e entra na agenda do ciclo; quando sobe de média para alta, a célula da matriz de risco é reclassificada e a recomendação de defesa da seção 6 é reaberta. Programa que atualiza notas sem atualizar decisões está colecionando documentos, e não produzindo inteligência.

6. Aplicação na Priorização de Defesas

A tríade prioriza defesas porque separa o que a organização influencia do que apenas observa. Sobre a intenção não há controle direto, apenas influência indireta por dissuasão, tema da nota 02 desta pasta. Sobre a capacidade não há controle, apenas acomodação: contra adversário de alta capacidade, a defesa é reduzir a aposta em sigilo absoluto e investir em detecção, redundância e resposta. Sobre a oportunidade há controle real, e é ali que a maioria do investimento defensivo tem retorno direto, porque cada superfície fechada reduz simultaneamente a ameaça de todos os adversários com aquele vetor.

A combinação dos eixos produz quatro posturas típicas de defesa, e a tabela abaixo as resume. A leitura por quadrante evita a decisão comum de tratar todos os adversários da matriz com o mesmo pacote de controles.

A leitura por quadrante tem uma consequência contraintuitiva que merece destaque. O adversário de baixa capacidade e alta intenção, o concorrente pequeno e faminto, é frequentemente mais perigoso no curto prazo do que o adversário de alta capacidade e intenção média, porque ele opera por vetores que as organizações não monitoram. A defesa contra ele é quase toda processual e barata, como procedimento de registro de abordagens, due diligence de terceiros e revisão de acessos, e o erro típico é ignorá-lo porque "não tem sofisticação para nos atacar", enquanto ele contrata o funcionário descontente que a organização não percebeu.

A tríade também orienta a construção da matriz de risco da nota 02 da pasta 04, onde a probabilidade de cada célula nasce de intenção e oportunidade, e a capacidade predomina na escolha do vetor. Essa separação tem mérito analítico fino: capacidade alta aumenta a probabilidade de sucesso da coleta, mas não a probabilidade de ela acontecer, e misturar as duas coisas infla matrizes de risco que depois não sobrevivem ao escrutínio executivo.

Para transformar a postura em plano, cada quadrante deve virar um conjunto nomeado de controles com responsável e prazo, e não uma frase de intenção. No caso do quadrante de baixa capacidade e alta intenção, que é onde a consultoria K do exemplo da seção 7 se enquadra, o pacote típico tem quatro peças: registro único de abordagens com relatório trimestral ao comitê, revisão de acessos de pessoas-chave com prazo de rotação, cláusulas e due diligence de fornecedores e parceiros próximos, e treinamento específico de engenharia social comercial para o público exposto. Nenhuma dessas peças é tecnologia caríssima, e todas atacam a oportunidade que sustenta a ameaça; a nota 04 desta pasta mostra como comparar o custo desse pacote com a perda esperada evitada, e a nota 02 mostra como encarecer ainda mais o caminho do adversário.

7. Ficha de Avaliação de Adversário pelos Três Eixos

A ficha abaixo é o formato padrão desta biblioteca para registrar a avaliação de um adversário, e ela é consumida pela avaliação de ameaças da nota 02 da pasta 04 e atualizada pelo feedback da nota 06 da mesma pasta. Cada nota vem com base de evidência e lacuna declarada, e a regra da nota 02 vale aqui: nota sem evidência anotada não entra na matriz.

O exemplo preenchido avalia a consultoria de benchmarking K, o intermediário suspeito do cenário que acompanha o capítulo 13, na perspectiva de uma fabricante de componentes industriais.

A ficha viva exige histórico de revisão, porque tendência só existe com comparação temporal. O formato mínimo é o registro abaixo, com data, gatilho e mudança, e ele é mantido no rodapé da ficha de cada adversário prioritário.

Três hábitos mantêm a ficha viva e útil. A ficha é revisada em cada caso que toca o adversário, e não apenas no ciclo regular, porque caso é a evidência mais fresca disponível. A tendência é registrada em todas as revisões, porque três tendências consecutivas na mesma direção são o sinal mais confiável de mudança de postura do adversário. E as lacunas não são preenchidas por inferência tranquila: lacuna persistente gera requisito de coleta para o plano da nota 03 da pasta 04, e o ciclo seguinte é cobrado por ter tentado respondê-la.

8. Erros Comuns e Pontos de Atenção

O erro mais comum é a colagem no eixo da capacidade, que produz fichas cheias de sofisticação técnica para adversários cujo método real é o telefone, e a leitura errada resultante é comprar controles para o vetor errado. O segundo erro é tratar intenção como traço permanente do adversário, quando ela é função de conjuntura e se move; ficha de dois anos sem revisão de intenção é documento morto. O terceiro erro é avaliar a oportunidade do adversário como se fosse dele, quando a oportunidade é da organização: dizer que o adversário teve oportunidade é descrever a própria superfície, e é por isso que o eixo é o mais acionável e o mais negligenciado.

O quarto erro é o silêncio sobre lacunas, que transforma incerteza em aparência de certeza: ficha sem campo de lacuna preenchido não é avaliação completa, é avaliação truncada, e o leitor que não sabe o que falta assume que nada falta. O quinto erro é combinar os eixos em uma única nota de confiança, desfazendo a declaração por eixo que a seção 5 exige; quem lê precisa saber que a recomendação descansa sobre a intenção de confiança média, e não sobre a oportunidade de confiança alta, porque é sobre a intenção que a decisão de monitorar se sustenta.

Dois cuidados completam a lista. O primeiro é a disciplina de confiança por eixo: nada impede confiança alta sobre oportunidade e baixa sobre intenção no mesmo adversário, e declarar isso com clareza é o que diferencia a ficha profissional do palpite organizado. O segundo é o cuidado com o uso político da ficha: notas de intenção altos sobre concorrentes nomeados são documentos sensíveis, circulam por need-to-know e só se transformam em comunicação externa com revisão jurídica, na linha que a nota 05 da pasta 04 fixa para atribuição.

9. Integração com o Restante da Biblioteca

A ficha de avaliação alimenta a matriz de risco de espionagem da nota 02 da pasta 04, que usa intenção e oportunidade para classificar probabilidade e capacidade para escolher vetor, e é realimentada pelo feedback da nota 06 da mesma pasta, que atualiza os eixos com a evidência dos casos fechados. A nota 02 desta pasta usa a tríade para explicar por que a prevenção situacional funciona: ela age no único eixo que a organização controla, a oportunidade, e influencia os outros dois por dissuasão. A nota 03 desta pasta fornece a matemática de atualização dos juízos por eixo, convertendo cada evidência nova em mudança de probabilidade com custo de erro declarado, e a nota 04 fornece o critério econômico que decide quanto vale reduzir cada eixo. No capítulo 01, a nota 04 sobre perfis de ameaça fornece o formato geral de ator que esta ficha especializa para o contexto de CI, e as notas 07 a 10 do mesmo capítulo conectam a avaliação aos PIRs que a organização vai cobrar do programa. No capítulo 04, os frameworks de CTI contextualizam a avaliação de ameaças no fluxo mais amplo, e o capítulo 11 fornece as métricas de tendência e de cobertura que mostram, ciclo a ciclo, se a visão do adversário está melhorando ou apenas sendo repetida.