CTI.1 - Patrocínio Executivo

Nota integrante do grupo GOV (Governança e Modelo de Maturidade) da seção "15 - Framework CTH - Controles".
Deriva do Capítulo 4 do Framework CTH, controle CTI.1, e estabelece a base de sustentação executiva do programa.
O patrocínio executivo é o controle que garante orçamento, acesso a dados e legitimidade organizacional para que CTI e Threat Hunting gerem valor defensivo real.

1. Contexto e Posicionamento no Framework CTH

No Framework CTH, o grupo GOV abre a estrutura de controles porque nenhuma capacidade técnica sobrevive sem sustentação executiva. O controle CTI.1 é o ponto de partida: ele formaliza a existência de um defensor do programa no nível de diretoria, responsável por transformar a inteligência de ameaças em prioridade institucional e não em projeto de entusiasta. O texto de referência do Capítulo 4 é explícito ao afirmar que, sem patrocínio visível e consistente, o programa enfrenta risco crônico de subfinanciamento, falta de acesso a dados e sistemas e dificuldade de cooperação com outras áreas.

A lógica do controle é simples de enunciar e difícil de executar: programas de CTI e Threat Hunting exigem investimento contínuo em pessoas, ferramentas e processos, e os resultados aparecem como risco evitado, algo invisível por natureza. O patrocinador executivo existe para resolver exatamente esse problema de assimetria, traduzindo risco evitado em narrativa de valor, removendo barreiras organizacionais e cobrando entregas mensuráveis. Este documento detalha por que o controle é crítico, o que o patrocinador faz na prática, como construir o caso de negócio, como governar o relacionamento e como evoluir a maturidade do patrocínio por meio das salvaguardas CTI.1.1 a CTI.1.4.

2. Por Que Programas Falham Sem Patrocínio Executivo

A maioria dos programas de CTI e Threat Hunting que morre no primeiro ou no segundo ano não falha por falta de técnica, e sim por falta de patrocínio. O padrão de fracasso é recorrente e reconhecível em qualquer organização de médio ou grande porte. Os sintomas mais comuns aparecem em três formas interligadas.

• Orçamento instável: o programa nasce com verba de projeto e não de operação; no primeiro ciclo de corte de custos, licenças de Threat Intelligence Platform, acesso a feeds pagos e horas de consultoria são cancelados sem análise de impacto, porque ninguém sênior defende a continuidade.
• Ferramentas sem analistas: a organização compra uma plataforma cara de inteligência, mas não aprova contratação ou alocação de analistas para operá-la; a ferramenta vira um painel de feeds não lidos, e a diretoria conclui, erroneamente, que CTI "não funciona".
• Inteligência sem consumo: relatórios são produzidos com qualidade, mas não chegam a quem decide; sem um executivo que obrigue a integração da inteligência nas decisões de arquitetura, priorização de patches e resposta a incidentes, o produto vira literatura interna.
• Isolamento organizacional: sem endosso executivo, a equipe de CTI não consegue acesso a telemetria de EDR, logs de proxy, dados de RH para campanhas de phishing simulado ou cooperação do jurídico, e passa a operar às cegas.
• Perda de constância: hunting depende de prática regular; sem patrocinador que proteja tempo dedicado, as caças são interrompidas por "incêndios" operacionais e a capacidade proativa nunca amadurece.

Cada um desses sintomas tem raiz na mesma causa: ninguém no nível certo da organização assume a defesa do programa quando há disputa de recursos. O controle CTI.1 existe para eliminar essa causa-raiz antes de qualquer investimento técnico.

3. O Que o Patrocinador Executivo Faz na Prática

O patrocinador eficaz não é um padrinho nominal em organograma, e sim um agente ativo com quatro responsabilidades concretas. Primeiro, garantir orçamento estável: defender a verba do programa no ciclo orçamentário anual, tratando inteligência como capacidade permanente e não como projeto com data de término. Segundo, remover barreiras: destravar acessos a dados, mediar conflitos de prioridade entre equipes, aprovar contratações e abrir portas junto a áreas como jurídico, compliance e negócio.

Terceiro, alinhar o programa ao apetite de risco: o patrocinador comunica à equipe quais ameaças preocupam a diretoria, quais ativos são inegociáveis e qual nível de risco a organização aceita, alimentando diretamente os PIRs (Priority Intelligence Requirements) tratados no controle CTI.1 do grupo de inteligência estratégica. Quarto, cobrar resultados: um patrocinador que não cobra vira conivente; ele deve exigir métricas, questionar entregas que não geram ação e sustentar a disciplina de revisão trimestral.

Em termos operacionais, o papel se materializa em atitudes verificáveis. O patrocinador assina a carta de endosso do programa, participa das reuniões trimestrais de resultados, apresenta o programa no comitê de segurança da informação e intercede em momentos de crise, como quando um hunt encontra indício que exige parada de um serviço de negócio. A ausência dessas atitudes indica patrocínio nominal, que é quase tão prejudicial quanto a ausência total.

4. Escolha e Preparação do Patrocinador

Nem todo executivo sênior serve como patrocinador eficaz, e a escolha errada desperdiça o esforço de governança descrito nas seções seguintes. O perfil ideal combina três atributos: autoridade orçamentária real sobre segurança, credibilidade junto ao CEO e ao conselho, e interesse genuíno no tema de ameaças. O CISO é o candidato natural, mas em organizações onde segurança é subordinada a TI, um diretor de risco, um Chief Risk Officer ou até o próprio conselho de administração, por meio de um comitê de auditoria, pode exercer o papel com mais força.

A preparação do patrocinador é responsabilidade da equipe, não do executivo. Antes da primeira reunião formal, a equipe deve preparar o patrocinador com material de contexto em linguagem executiva, explicar o ciclo de vida da inteligência e ensinar quais perguntas ele deve fazer. Um patrocinador bem preparado pergunta sobre cobertura de técnicas, tempo de disseminação e consumo da inteligência; um mal preparado pergunta apenas quantos alertas o sistema bloqueou, o que empurra o programa para métricas de vaidade.

5. Construindo o Caso de Negócio com Métricas de Risco

O caso de negócio do programa de CTI e Threat Hunting precisa falar o idioma da diretoria: risco, dinheiro e comparáveis setoriais. Argumentos técnicos sobre APT (Advanced Persistent Threat) e TTP (Tactics, Techniques and Procedures) não movem orçamento sozinhos. A recomendação prática é estruturar o caso em três camadas de evidência, descritas na tabela a seguir.

Além das métricas, o caso de negócio ganha força com exemplos concretos e verificáveis. Um bom modelo de narrativa executiva segue este esqueleto.

1. Contexto: campanha de ransomware no setor, dwell time médio do setor em semanas.
2. Situação atual: cobertura de detecção em 3 de 12 técnicas da cadeia do adversário.
3. Proposta: equipe de 3 analistas, TIP, 20% do tempo de dois hunters, 12 meses.
4. Retorno esperado: redução de dwell time, cobertura ATT&CK de 25% para 60%,
   tempo de disseminação de IOC de 5 dias para 24 horas.
5. Alternativa: manter status quo e aceitar o custo estimado de um incidente.

Duas recomendações de mercado merecem destaque. Primeiro, evitar prometer prevenção absoluta; o compromisso realista é reduzir tempo de exposição e melhorar a qualidade das decisões. Segundo, apresentar marcos trimestrais de valor, como o primeiro relatório estratégico consumido pela diretoria, para que o patrocinador tenha vitórias parciais para defender internamente.

6. Governança do Patrocínio: Comitê, Reporte e Metas

Patrocínio não é evento único de endosso, e sim um relacionamento governado por cadência, pauta e metas. A recomendação do Framework CTH é começar com reuniões trimestrais de apresentação de resultados e evolução da maturidade do patrocínio até a gestão por dashboard automatizado. A tabela a seguir resume os elementos de governança recomendados.

O conteúdo do reporte executivo deve ser estável e previsível, seguindo sempre a mesma estrutura para permitir comparação entre períodos. Um relatório executivo eficaz contém no máximo cinco indicadores, cada um com tendência em relação ao trimestre anterior, e uma seção curta de decisões solicitadas, com opções explícitas e custo de cada uma. Evite relatórios longos: o patrocinador lê páginas, não capítulos, e decide sobre opções, não sobre dados brutos.

A pauta da reunião executiva deve ser desenhada para caber em 45 minutos e terminar sempre com decisões tomadas. O modelo a seguir tem funcionado bem em programas de mercado.

Reuniao trimestral de CTI e TH (45 minutos)
  01. Riscos e ameacas do trimestre (10 min)
      - 3 achados mais relevantes e implicacao para o negocio
  02. Desempenho do programa (10 min)
      - KPIs com tendencia, comparacao com meta do trimestre
  03. Casos de valor (10 min)
      - 2 casos concretos: hunt, deteccao melhorada, decisao habilitada
  04. Decisoes solicitadas (10 min)
      - Opcoes com custo e impacto de cada uma
  05. Proximo trimestre (5 min)
      - Compromissos e metas acordadas

Metas bem formuladas completam a governança. Exemplos realistas de metas por trimestre incluem: formalizar e revisar os cinco PIRs prioritários junto às áreas de negócio; reduzir o tempo médio entre a publicação de um IOC relevante e sua aplicação nas detecções de 72 para 24 horas; conduzir no mínimo duas caças documentadas por trimestre com hipóteses baseadas em inteligência; e aumentar a cobertura de detecção MITRE ATT&CK de um valor medido para uma meta acordada. Cada meta deve ter dono, linha de base e prazo explícitos.

7. Salvaguardas do Controle CTI.1 por Nível

O Framework CTH define quatro salvaguardas para este controle, distribuídas em três níveis de maturidade. A implementação deve ser sequencial, pois cada salvaguarda avançada pressupõe as anteriores em operação efetiva.

Para implementar CTI.1.1, o documento de endosso deve conter no mínimo: nome e cargo do patrocinador, escopo do programa, compromisso de orçamento anual, mandato para requisitar cooperação de outras áreas e critérios de avaliação do programa. Para CTI.1.2, defina agenda padrão de reunião com blocos de resultados, riscos, decisões e recursos, e registre atas com responsáveis e prazos. Para CTI.1.3, negocie um item permanente de "inteligência e ameaças" na pauta do comitê, com poder real de influenciar priorização de projetos. Para CTI.1.4, automatize a extração dos KPIs direto do TIP, do SIEM e do sistema de tickets, evitando relatórios manuais que envelhecem mal.

O sinal de que o patrocínio está maduro aparece em comportamentos observáveis, e não em documentos. A diretoria passa a puxar informação de inteligência espontaneamente, por exemplo ao questionar o impacto de um conflito geopolítico na operação ou de uma vulnerabilidade divulgada em componente crítico. O orçamento do programa sobrevive intacto a um ciclo de cortes, e novos executivos mencionam o programa em discursos institucionais sem que a equipe precise solicitar.

A evidência de atendimento de cada salvaguarda deve ser auditável. A tabela a seguir sugere o que arquivar como comprovação, prática que facilita autoavaliações de maturidade e auditorias externas.

8. Critérios de Sucesso e Métricas

Além das salvaguardas, o programa precisa de critérios de sucesso que provem que o patrocínio funciona como mecanismo, e não como formalidade. Três critérios de resultado são especialmente reveladores: a estabilidade orçamentária, medida pela variação percentual do orçamento aprovado em relação ao proposto nos últimos dois ciclos; a taxa de decisões executadas, medida pelo percentual das solicitações levadas ao patrocinador que geraram decisão em até 30 dias; e o consumo da inteligência, medido pelo número de decisões de negócio, arquitetura ou resposta que citam explicitamente produtos de CTI como insumo.

Os KPIs do dashboard executivo do nível Avançado devem ser poucos, estáveis e compreensíveis sem contexto técnico. Uma configuração inicial recomendada inclui: cobertura de detecção MITRE ATT&CK por técnica prioritária; tempo médio de disseminação de IOC das fontes para os controles; número de caças executadas e taxa de descobertas; dwell time de incidentes relevantes no período; e índice de satisfação dos principais consumidores, coletado por pesquisa simples semestral. Cada KPI deve ter definição escrita, fonte de dados, frequência de atualização e dono, para que o painel não degenere em número sem significado.

9. Variações por Tipo e Tamanho de Organização

O desenho do patrocínio precisa se adaptar à realidade da organização, e importar um modelo de governança incompatível com o porte gera burocracia sem proteção real. A tabela a seguir resume adaptações recomendadas por perfil organizacional, considerando o que deve ser mantido e o que pode ser simplificado em cada caso.

Em todos os perfis, os elementos inegociáveis são os mesmos: um nome e um cargo responsáveis, uma cadência de encontro com registro, e um conjunto mínimo de metas com dono. O que varia é a sofisticação do veículo de reporte, e não a existência da governança.

10. Erros Comuns e Pontos de Atenção

• Escolher patrocinador por conveniência hierárquica: um CIO sem envolvimento com risco cibernético defende mal o programa; prefira CISO, diretor de risco ou executivo com mandato claro sobre segurança.
• Confundir patrocínio com permissão: endosso sem orçamento, sem cadência de reporte e sem poder de decisão é decorativo; exija os quatro atributos do item 3 antes de declarar o controle atendido.
• Reportar atividade em vez de valor: listas de relatórios produzidos e caças executadas não dizem nada à diretoria; reporte sempre em termos de risco reduzido, tempo de resposta melhorado e decisões habilitadas.
• Deixar o caso de negócio sem linha de base: sem medir dwell time, cobertura de detecção e tempo de disseminação antes do programa, fica impossível demonstrar melhora depois; meça o antes, mesmo de forma aproximada.
• Centralizar todo o relacionamento em uma pessoa: se o patrocinador sai da organização, o programa perde proteção; garanta que o comitê de segurança conheça e valorize o programa de forma independente.
• Prometer métricas que o programa não controla: redução de incidentes depende de muitas variáveis; prefira métricas de processo e de capacidade, como cobertura e tempo de disseminação, cuja causalidade é direta.

11. Integração com Outros Controles do Framework CTH

O patrocínio executivo é pré-condição operacional para praticamente todo o restante do Framework CTH. Com CTI.2, o patrocinador decide e legitima o posicionamento organizacional da equipe, garantindo que ela tenha acesso aos dados de que precisa. Com CTI.3 e CTI.4, ele aprova o quadro de papéis e o plano de desenvolvimento de competências, que dependem de orçamento de pessoal e de treinamento. Com CTI.5, ele valida a missão e a estratégia, assegurando alinhamento com o apetite de risco corporativo.

No plano técnico, o patrocinador habilita os investimentos que sustentam os grupos COL (Coleta), DET (Detecção) e HNT (Threat Hunting), e é o interlocutor natural para os resultados medidos pelo grupo MET (Métricas). Em organizações que adotam NIST CSF 2.0, este controle corresponde diretamente à função Govern (GV), e pode ser usado como evidência de governança em auditorias e processos de certificação. A recomendação final de sequenciamento: formalize CTI.1.1 e CTI.1.2 antes de contratar qualquer ferramenta, pois uma carta de endosso assinada vale mais do que qualquer licença.