CTI.2 - Posicionamento Organizacional

Nota integrante do grupo GOV (Governança e Modelo de Maturidade) da seção "15 - Framework CTH - Controles".
Deriva do Capítulo 4 do Framework CTH, controle CTI.2, e define onde a função de CTI e Threat Hunting deve se situar na estrutura da organização.
O posicionamento organizacional determina o acesso a dados, a proximidade dos consumidores de inteligência e a capacidade de influenciar decisões defensivas.

1. Contexto e Posicionamento no Framework CTH

O controle CTI.2 trata de uma decisão estrutural que antecede qualquer discussão de ferramenta ou técnica: onde a função de inteligência vai viver dentro da organização. O texto do Capítulo 4 do Framework CTH é direto ao afirmar que a posição da equipe define seu acesso a informações, sua capacidade de influenciar decisões defensivas e sua integração com outros processos de segurança. Um posicionamento inadequado resulta em isolamento, falta de dados críticos, duplicação de esforços e incapacidade de traduzir inteligência em ações defensivas eficazes.

Ao contrário dos controles técnicos, esta decisão não tem resposta universal correta. Existem quatro modelos predominantes, cada um com vantagens e desvantagens específicas que devem ser avaliadas de acordo com o tamanho, a maturidade e a cultura da organização. A escolha errada não é fatal, mas corrigi-la depois custa caro em energia política, retrabalho de processos e perda de credibilidade dos primeiros produtos de inteligência. Este documento apresenta os modelos com seus trade-offs, a decisão entre estrutura centralizada e federada, as interfaces obrigatórias, os critérios de escolha e as salvaguardas de implementação por nível de maturidade.

2. Por Que a Posição Organizacional Define a Eficácia

Inteligência só tem valor quando é consumida, e consumo depende de proximidade e confiança. Uma equipe de CTI situada longe do SOC produz relatórios que chegam tarde e sem contexto operacional; uma equipe presa à fila de triagem do SOC produz apenas IOC (Indicator of Compromise) de resposta a alerta e nunca alcança a análise estratégica que a diretoria precisa. O posicionamento também determina de forma prática quais dados a equipe consegue acessar, quais ferramentas pode operar e em quais reuniões de decisão tem assento.

Há três efeitos mecânicos que explicam a importância do controle. Primeiro, o efeito de prioridade: a equipe tende a executar o que a cadeia de gestão imediata cobra, de modo que um gestor focado em fechar alertas do dia nunca vai priorizar hunts de médio prazo. Segundo, o efeito de acesso: permissões de leitura a telemetria de EDR, logs de rede e dados de identidade são concedidas com muito mais facilidade quando a equipe pertence à mesma linha de gestão que opera essas fontes. Terceiro, o efeito de reputação: produtos de inteligência assinados por uma célula reconhecida e sênior recebem mais atenção do que os mesmos produtos emitidos por uma subfunção vista como suporte.

3. Modelos de Posicionamento e Seus Trade-offs

A tabela a seguir consolida os quatro modelos de posicionamento descritos no Framework CTH, ampliados com prática de mercado. Nenhum modelo é superior em abstrato; a escolha correta é a que minimiza as desvantagens mais perigosas para o contexto específico da organização.

Uma variação híbrida muito comum em organizações médias combina célula interna reduzida com reforço externo. A equipe interna mantém o contexto, os PIRs e o relacionamento com o SOC, enquanto o provedor externo fornece cobertura de análise de malware, monitoramento de grupos de invasores e profundidade em horas de pico. Essa configuração reduz o risco da terceirização pura, que é a entrega de inteligência genericamente correta e contextualmente inútil.

4. Modelos Centralizado e Federado em Grandes Organizações

Em organizações com múltiplas unidades de negócio, países ou filiais, a pergunta muda de "onde colocar a equipe" para "como distribuir a capacidade". O modelo centralizado concentra produção de inteligência em uma única célula, que atende toda a organização com padrões, ferramentas e metodologia únicos. O modelo federado mantém analistas de CTI embutidos nas unidades, com uma célula central de coordenação que define padrões, agrega conhecimento e evita duplicação.

A prática recomendada em grandes organizações é o modelo hub-and-spoke: um núcleo central forte, responsável por PIRs corporativos, avaliação de ameaças, ferramentas, Taxonomia e disseminação, com pontos de contato capacitados nas unidades que traduzem requisitos locais e garantem consumo. Esse arranjo preserva a escala do modelo centralizado sem abrir mão da proximidade que faz a inteligência ser usada.

Uma terceira configuração relevante em organizações distribuídas é o modelo de cooperação por domínio, no qual a produção é dividida por tema e não por unidade: uma equipe cuida de ameaças a pagamentos, outra de ameaças a infraestrutura, outra de grupo de invasores específicos, e todas trocam entre si com formatos comuns. Esse modelo funciona apenas quando existe um padrão de produto compartilhado e um fórum periódico de coordenação, e tende a degradar para duplicação quando um dos dois falta.

5. Interfaces Necessárias com Outras Funções

Independentemente do modelo escolhido, a equipe de CTI precisa de interfaces formais com um conjunto fixo de funções. A ausência de interface formalizada transforma dependência crítica em gargalo invisível, que só aparece quando um incidente já aconteceu.

Cada interface deve ter dono dos dois lados, cadência definida e artefato de troca explícito, por exemplo uma reunião semanal de 30 minutos com o SOC e um formulário de solicitação de análise para o IR. Interfaces informais funcionam no início, mas não sobrevivem a troca de pessoas.

Um teste rápido de maturidade das interfaces é verificar se cada fluxo da tabela tem registro rastreável: solicitações de análise numeradas, IOC disseminados com data e destino, relatórios de cobertura entregues à engenharia. Onde o fluxo existe apenas em conversas de corredor, a interface é frágil e tende a desaparecer na primeira reorganização vizinha.

6. Anatomia do Documento de Mandato

O artefato que materializa a decisão de posicionamento é o documento de mandato da função de CTI. Ele deve ser curto, aprovado pelo CISO e pelo patrocinador executivo, e publicado onde qualquer gestor possa consultá-lo. Um mandato eficaz contém, no mínimo, os blocos exemplificados a seguir.

Mandato da Funcao de CTI e Threat Hunting (modelo)
  1. Missao: uma frase com o que a funcao entrega e para quem.
  2. Posicionamento: a qual area reporta, a qual nivel hierarquico,
     quem e o gestor imediato.
  3. Escopo: tipos de produto (estrategico, tatico, operacional,
     tecnico) e atividades (avaliacao de ameacas, hunt, suporte a IR).
  4. Interfaces: lista de funcoes parceiras, com dono e cadencia.
  5. Autoridade: acesso a dados garantido, poder de propor prioridades
     de deteccao e de requerer cooperacao de outras areas.
  6. Limites: o que a funcao nao faz, por exemplo execucao de
     contencao, que permanece com o IR.
  7. Revisao: data e criterio de revisao do mandato.

O item de limites é o mais negligenciado e o mais importante para a convivência saudável com outras equipes. Quando o mandato não diz que a CTI não executa contenção, o IR descobre na prática, geralmente durante um incidente, e o relacionamento fica marcado pelo conflito. Definir limites com antecedência transforma a interface em contrato e evita disputas de território no pior momento possível.

7. Critérios para Escolher o Posicionamento

A escolha pode ser orientada por cinco critérios objetivos, avaliados com pesos próprios de cada organização. O primeiro critério é o consumidor prioritário: se o principal consumidor é operacional, a proximidade com o SOC pesa mais; se é a diretoria e o comitê de risco, o reporte direto ao CISO ou ao risco pesa mais. O segundo critério é a maturidade atual do programa: programas em início se beneficiam de estar dentro do SOC, onde há dados e feedback imediato, enquanto programas maduros ganham autonomia ao migrar para estrutura dedicada.

O terceiro critério é o acesso a dados: o posicionamento escolhido deve minimizar a burocracia para acessar telemetria de EDR, logs de rede, dados de identidade e inteligência de fornecedores. O quarto critério é a disponibilidade de talento: centros de excelência exigem perfis seniores raros, e a localização da equipe em unidade com política de atração fraca condena o programa à rotatividade. O quinto critério é o alinhamento ao modelo de resposta: organizações com CSIRT forte e formalizado tendem a posicionar CTI próxima dele, pois a análise tática durante incidentes é a entrega de maior valor imediato.

Uma forma prática de decidir é pontuar cada modelo de 1 a 5 em cada critério, envolver o patrocinador do controle CTI.1 na validação dos pesos e documentar a decisão com data e justificativa. A decisão documentada deve ser revisada a cada grande mudança estrutural, como reorganização da área de segurança, aquisição ou mudança de estratégia de operação.

O modelo de decisão a seguir resume o raciocínio aplicado a perfis comuns de organização. Ele não substitui a análise específica, mas acelera a conversa inicial com o patrocinador.

Perfil da organizacao               | Modelo tipicamente adequado
  SOC grande e maduro, sem CTI      | Celula integrada ao SOC (Tier 3)
  Diretoria consome relatorios      | Equipe dedicada reportando ao CISO
  Multiplas unidades e paises       | Hub-and-spoke federado
  Seguranca com menos de 10 pessoas | Hibrido: nucleo interno + MSSP
  CSIRT forte e formalizado         | CTI como subfuncao do CSIRT

8. Salvaguardas Recomendadas por Nível

O Framework CTH não prescreve salvaguardas numeradas para CTI.2 na granularidade dos outros controles, e as recomendações a seguir seguem o padrão de níveis Básico, Intermediário e Avançado usado em todo o framework. Elas representam o caminho incremental de implementação esperado.

A implementação dessas salvaguardas deve ser registrada como evidência para a autoavaliação de maturidade descrita na nota do Modelo de Maturidade CTH. Um posicionamento que funciona na prática, mas não está documentado, pontua menos do que deveria, e o registro evita perder histórico em reorganizações.

A detecção precoce de um posicionamento ruim poupa meses de esforço. Os sinais clássicos de desalinhamento são reconhecíveis na rotina da equipe e devem disparar a revisão do modelo escolhido.

Nenhum sinal isolado condena o modelo escolhido, mas dois ou mais sinais simultâneos indicam desalinhamento estrutural que a revisão anual não deve esperar para tratar. O caminho de correção costuma ser incremental: reforçar interfaces e catálogo antes de mover a equipe de lugar, reservando a migração estrutural para os casos em que o acesso a dados ou a prioridade não se resolvem de outra forma.

Quando a correção exigir migração estrutural, planeje a transição como projeto, com data, responsáveis e plano de comunicação. Migrações abruptas, anunciadas por e-mail de reorganização, destroem em uma semana a confiança construída em meses, e deixam as interfaces órfãs justamente no período em que os consumidores mais precisam de previsibilidade.

9. Erros Comuns e Pontos de Atenção

• Colocar a CTI como subfunção da triagem de alertas: em poucos meses a equipe vira Tier 3 de fila, e a produção estratégica para de existir; se a célula vive no SOC, proteja tempo dedicado com meta explícita.
• Escolher terceirização para "resolver" a falta de analistas: o provedor entrega inteligência genérica sem contexto interno, e a organização nunca constrói capacidade própria; combine externo com núcleo interno mínimo.
• Ignorar a interface com gestão de vulnerabilidades: sem priorização por ameaça ativa, a fila de CVEs é tratada por severidade teórica, e explorações em curso esperam o ciclo padrão de 30 dias.
• Mudar o posicionamento a cada reorganização: cada migração de caixinha quebra relacionamentos e reinicia a construção de confiança; mude apenas quando um critério objetivo deixar de ser atendido.
• Copiar o modelo de outra organização sem contexto: o modelo que funciona em um banco com 500 analistas não se aplica a uma indústria com 20 pessoas na segurança; adapte ao tamanho e à maturidade reais.
• Deixar o posicionamento implícito: sem documento formal de mandato, a equipe depende da boa vontade de gestores vizinhos para acessar dados e tempo de outras pessoas.

10. Integração com Outros Controles do Framework CTH

O posicionamento organizacional é a moldura estrutural sobre a qual CTI.3 define papéis e responsabilidades, e CTI.5 declara missão e estratégia com consumidores claros. Um posicionamento bem escolhido reduz o atrito da matriz de competências do controle CTI.4, pois deixa explícito quais competências pertencem à célula central e quais ficam nos pontos de contato das unidades.

No plano operacional, CTI.2 condiciona a qualidade das interfaces previstas nos grupos DET (Detecção), HNT (Threat Hunting) e IR (Resposta a Incidentes), uma vez que a conversão de inteligência em detecção e em hunts depende do canal entre a equipe de CTI e as equipes técnicas. No plano de medição, o posicionamento determina quais métricas do grupo MET são viáveis de coletar, e o grupo AUT depende do acesso que a equipe tiver às plataformas de orquestração. A recomendação de sequenciamento é simples: resolva o posicionamento junto com o patrocínio do controle CTI.1, antes de formalizar papéis, contratar pessoas ou comprar qualquer plataforma.