CTI.4 - Matriz de Competências

Nota integrante do grupo GOV (Governança e Modelo de Maturidade) da seção "15 - Framework CTH - Controles".
Deriva do Capítulo 4 do Framework CTH, controle CTI.4, e organiza as habilidades necessárias para operar CTI e Threat Hunting.
A matriz de competências é o instrumento que revela lacunas de habilidade, orienta treinamento e reduz a dependência de indivíduos-chave.

1. Contexto e Posicionamento no Framework CTH

O controle CTI.4 do Capítulo 4 do Framework CTH estabelece que a matriz de competências permite identificar lacunas de habilidades na equipe, planejar treinamentos direcionados, definir trilhas de carreira e garantir que todas as competências necessárias à operação do programa estejam cobertas de forma adequada. O texto de referência alerta para um risco concreto: na ausência da matriz, o conhecimento se concentra em poucos indivíduos, e a saída de um membro-chave deixa lacunas operacionais que levam meses para serem fechadas.

A matriz é, na prática, uma tabela de dupla entrada que cruza domínios de competência com os papéis definidos no controle CTI.3, atribuindo a cada cruzamento um nível de proficiência esperado e um nível real medido. O valor do instrumento não está no documento em si, e sim no processo de medição periódica que ele sustenta: sem reavaliação, a matriz vira foto desatualizada de uma equipe que mudou. Esta nota apresenta os domínios relevantes, uma escala de proficiência aplicável, um exemplo completo de matriz por papel, o processo de uso para planejar desenvolvimento, e as práticas que mantêm competências vivas.

2. Domínios de Competência para CTI e Threat Hunting

Os domínios abaixo cobrem o repertório técnico e analítico exigido dos papéis de um programa de CTI e Threat Hunting. Nenhum indivíduo precisa ser forte em todos, mas o programa como um todo precisa de cobertura adequada em cada domínio, na profundidade exigida pelos produtos que entrega.

3. Níveis de Proficiência

Uma escala de proficiência precisa ser descritiva e verificável, e não apenas numérica. A escala de quatro níveis a seguir é adequada para programas de qualquer tamanho, porque cada nível descreve um comportamento observável que pode ser demonstrado em avaliação prática.

Três regras de aplicação evitam distorções comuns. Primeiro, o nível atribuído deve se apoiar em evidência, como casos resolvidos, consultas escritas ou apresentações feitas, e não em autodeclaração isolada. Segundo, a matriz define o nível esperado por papel, e não o nível máximo desejado por indivíduo; exceder o esperado é positivo e indica candidato a mentor. Terceiro, a escala serve para conversa de desenvolvimento, e não para remuneração direta, pois misturar os usos incentiva inflação de autoavaliação.

4. Exemplo de Matriz por Papel

O exemplo a seguir, adaptado do Framework CTH, mostra a matriz esperada para os principais papéis do programa. N/A indica competência não exigida para o papel. O objetivo é ter cobertura de todos os domínios críticos no conjunto, e não em cada indivíduo.

A leitura da matriz por coluna revela o perfil de contratação e desenvolvimento de cada papel, e a leitura por linha revela fragilidades do programa. Uma linha com todos os valores em Fundamental ou N/A, como pode acontecer com cloud em equipes tradicionais, é uma lacuna sistêmica que o plano de treinamento precisa atacar primeiro, porque não pode ser resolvida por redistribuição interna.

5. Uso da Matriz para Avaliar Lacunas e Planejar Treinamento

O processo recomendado tem cinco etapas, executadas em ciclo semestral ou anual. A disciplina do ciclo é mais importante que a sofisticação do instrumento, e um formulário simples aplicado com regularidade produz mais valor que uma plataforma cara usada uma única vez.

Ciclo de gestao de competencias (semestral)
  01. Definir matriz-alvo: niveis esperados por papel, revisados
      contra a estrategia do programa (controle CTI.5).
  02. Medir nivel atual: autoavaliacao com evidencia + validacao
      do gestor com base em casos reais executados.
  03. Consolidar lacunas: comparar alvo e atual; priorizar
      lacunas que bloqueiam produtos ou metas do roadmap.
  04. Planejar acoes: por pessoa e por papel, combinando
      treinamento formal, pratica guiada e mentorias.
  05. Reavaliar: repetir a medida e ajustar o plano, verificando
      se o investimento produziu deslocamento de nivel.

A priorização das lacunas deve seguir a contribuição para os objetivos do programa, e não a curiosidade da equipe. Uma lacuna em análise de telemetria de EDR que bloqueia a meta de caças trimestrais é mais urgente que uma lacuna em desmontagem de firmware, por mais interessante que o segundo tema pareça. Como regra prática, cada ciclo deve concentrar no máximo duas ou três competências por pessoa, pois planos com dez prioridades não executam nenhuma.

O resultado da etapa de medição alimenta também decisões de recrutamento: quando a lacuna é estrutural e o prazo de desenvolvimento interno é incompatível com a meta, a contratação externa pontual é a resposta correta. O oposto também vale, pois a matriz frequentemente revela pessoas subutilizadas, com competências avançadas em domínios que o papel atual não explora.

6. Evidências para Validação de Nível

A validação de nível é a etapa que separa uma matriz útil de uma planilha de desejos, e ela exige evidência material por domínio. A tabela a seguir sugere, para cada domínio, o tipo de evidência mais fácil de coletar na rotina do programa. O critério geral é simples: preferir artefatos produzidos no trabalho real a respostas de questionário.

Para o domínio de ameaças e adversários, a evidência mais forte é a qualidade analítica dos perfis de ator mantidos pela equipe, com avaliação de intenção e capacidade fundamentada e nível de confiança declarado. Para ferramentas, atenção ao viés do operador: dominar a interface não equivale a dominar a análise, e a evidência deve mostrar raciocínio, e não apenas clique.

7. Trilhas de Desenvolvimento por Papel

A matriz define onde se quer chegar, e a trilha define o caminho realista entre níveis. As trilhas a seguir descrevem a progressão típica de cada papel, com foco no que muda de um nível para o outro.

Duas práticas de mercado aceleram todas as trilhas. A primeira é o par de trabalho com rotação: cada análise complexa deve ter um analista sênior e um em desenvolvimento, com rotação de quem lidera. A segunda é a revisão por pares obrigatória dos produtos analíticos, que é simultaneamente controle de qualidade do produto e treinamento contínuo de quem escreve.

O plano de desenvolvimento individual materializa a trilha em compromissos com prazo. O modelo a seguir é suficiente para a maior parte dos casos e deve ser revisado a cada ciclo semestral da matriz.

Plano de desenvolvimento individual (modelo)
  Pessoa e papel: analista de CTI tatico
  Competencia priorizada: analise de malware (do Fundamental
    para o Intermediario)
  Evidencia de partida: 2 triagens basicas concluidas em 2024
  Acoes do ciclo:
    - Curso de analise estatica com laboratorio (6 semanas)
    - 4 analises guiadas de amostras reais do ambiente
    - Mentoria quinzenal com analista senior
  Evidencia-alvo do ciclo: relatorio de analise completo de uma
    amostra de phishing, com TTPs e IOCs extraidos e validados
  Prazo: fim do proximo semestre

8. Certificações Úteis e Seu Papel Realista

Certificações têm papel de sinalização de linha de base e de estruturação de estudo, e não de prova de competência operacional. No recrutamento, elas filtram candidatos com disciplina de estudo e vocabulário comum, mas a decisão final deve recair sobre evidência prática: consulta escrita, relatório produzido, caso resolvido em laboratório ou contribuição em comunidade. Em programas de desenvolvimento interno, o curso preparatório pode organizar o estudo, mas o deslocamento real de nível exige prática aplicada no ambiente da organização.

O mapa realista por domínio inclui certificações de fundamentos de segurança e redes para ingresso, certificações de análise forense e resposta a incidentes para a trilha de CTI técnica e hunting, certificações de segurança ofensiva para quem precisa pensar como o adversário, e certificações de arquitetura e gestão para o papel de gestor do programa. Nenhuma delas substitui o que a matriz mede: capacidade demonstrada de produzir o resultado esperado do papel. Orçamento de certificação sem tempo protegido de estudo e sem prática posterior é dinheiro desperdiçado, e o plano da seção 5 deve alocar os dois juntos.

9. Como Manter Competências Atualizadas

O cenário de ameaças muda em semanas, e uma matriz medida uma vez por ano precisa de mecanismos de manutenção contínua entre ciclos. Quatro mecanismos se complementam e devem constar do plano de trabalho da equipe, com tempo efetivamente reservado.

• Laboratório interno: um ambiente permanente, mesmo que pequeno, com máquinas Windows e Linux, um controlador de Active Directory e uma instância de SIEM ou EDR, onde o adversário simulado do dia pode ser reproduzido e investigado; a prática sem laboratório degrada em leitura passiva.
• Exercícios programados: caças de treino mensais baseadas em técnicas ATT&CK sorteadas, war games com cenário de intrusão e simulações de relatório com revisão cruzada; a cadência importa mais que a complexidade.
• Comunidade e pesquisa: participação em ISAC setoriais, grupos de troca com TLP 2.0, leitura orientada de pesquisa de fornecedores e de blogs de resposta a incidentes, com apresentação interna do que foi aprendido; transformar leitura em apresentação obriga a compreensão real.
• Rotação de casos: exposição deliberada dos analistas a casos fora da rotina, como apoio ao IR em um incidente real ou análise de malware de uma campanha do setor, sob supervisão de quem domina o domínio.

Esses mecanismos também alimentam a própria matriz: evidências de exercícios e casos resolvidos são o insumo da validação de nível na próxima medição, fechando o ciclo entre manutenção e avaliação.

10. Erros Comuns e Pontos de Atenção

• Confundir matriz de competências com avaliação de desempenho: o instrumento mede capacidade contra requisitos do papel, e misturá-lo com nota de desempenho corrompe a honestidade das autoavaliações.
• Usar escala sem definição comportamental: níveis 1 a 5 sem descrição verificável produzem inflação generalizada e comparação sem sentido entre pessoas e papéis.
• Planejar treinamento apenas com cursos: curso ensina vocabulário e estrutura, e o deslocamento de nível só acontece com prática no ambiente real, com dados e ferramentas da própria organização.
• Ignorar lacunas sistêmicas por linha: quando todos estão em nível baixo em um domínio, a resposta é plano coletivo ou contratação, e não exigência individual.
• Deixar a matriz parar no tempo: sem ciclo semestral de medição, o documento envelhece e perde a confiança da equipe, que passa a tratá-lo como burocracia.
• Concentrar todo o desenvolvimento no talento existente: a matriz serve também para planejar sucessão, e a ausência de reserva para papéis críticos reflete fragilidade, não eficiência.

11. Integração com Outros Controles do Framework CTH

A matriz de competências materializa, em pessoas, o que CTI.3 define em papéis: cada cruzamento da matriz corresponde a uma atividade da RACI, e a lacuna entre nível esperado e real indica onde a RACI corre risco de não ser executada. Com CTI.5, a matriz garante que a estratégia do programa seja construtível, pois metas de roadmap sem competência disponível são ficção orçamentária, e o roadmap precisa reservar tempo de desenvolvimento para cada fase.

No plano técnico, as competências de ferramentas sustentam os grupos COL, DET e HNT, as competências de análise sustentam o grupo ANA, e as competências de automação sustentam o grupo AUT. As competências de escrita analítica e comunicação executiva sustentam o grupo MET, pois métrica só gera decisão quando bem comunicada. Em referência externa, o controle dialoga com a prática de gestão de talentos da função Govern do NIST CSF 2.0, e a evidência de ciclo de competências executado costuma ser aceita como demonstração de maturidade organizacional em auditorias.