CTI.5 - Missão e Estratégia

Nota integrante do grupo GOV (Governança e Modelo de Maturidade) da seção "15 - Framework CTH - Controles".
Deriva do Capítulo 4 do Framework CTH, controle CTI.5, e define o propósito, os requisitos e o plano de evolução do programa.
A missão e a estratégia conectam o trabalho de CTI e Threat Hunting aos objetivos de negócio e à tolerância a risco da organização.

1. Contexto e Posicionamento no Framework CTH

O controle CTI.5 encerra o grupo de governança do Capítulo 4 do Framework CTH com a pergunta mais fundamental de todas: para que existe este programa. O texto de referência é categórico ao afirmar que uma missão claramente definida e uma estratégia documentada garantem que o programa esteja alinhado com os objetivos de negócio e com a tolerância a risco da organização, e que, sem esses elementos, o programa corre o risco de se tornar um exercício acadêmico, produzindo inteligência que não é consumida e realizando caças que não geram valor defensivo mensurável.

A relação entre os controles do grupo GOV é sequencial: CTI.1 fornece o patrocinador, CTI.2 define onde a função vive, CTI.3 define quem faz o quê, CTI.4 garante as competências, e CTI.5 define o rumo que tudo isso serve. A estratégia é também o documento que converte a avaliação do Modelo de Maturidade CTH em plano de ação, com metas mensuráveis, recursos necessários e cronograma progressivo de implementação dos controles do framework. Esta nota detalha a construção da carta de missão, a ligação com os requisitos de inteligência, a estratégia por maturidade, um roadmap exemplificado de 12 meses e as práticas de comunicação e revisão.

2. Carta de Missão: o Que Faz, para Quem, com Que Resultado

A carta de missão da capacidade de CTI e Threat Hunting deve responder três perguntas em uma frase ou parágrafo curto: o que a função produz, para quem produz e qual resultado se espera. O Framework CTH traz um exemplo de referência, adaptado a seguir com variação de linguagem para ilustrar o padrão.

Declaracao de missao (exemplo adaptado do Framework CTH):
  Produzir e disseminar inteligencia de ameacas acionavel que proteja
  os ativos de informacao da organizacao, reduza o tempo de permanencia
  de adversarios no ambiente (dwell time) e apoie a tomada de decisoes
  estrategicas de seguranca, em alinhamento com os objetivos de negocio
  e com a tolerancia a risco definida pela diretoria.

Uma missão bem formulada tem propriedades verificáveis. Ela nomeia os consumidores, como SOC, resposta a incidentes, gestão de riscos e diretoria, em vez de dizer "a organização"; ela indica o resultado esperado, como reduzir dwell time e habilitar decisões, em vez de listar atividades; ela se limita ao alcance da função, sem prometer prevenção de tudo. O teste prático é simples: qualquer pessoa da equipe deve conseguir explicar, a partir da missão, por que uma atividade proposta entra ou não no escopo do programa.

Missões genéricas falham no teste e nas consequências práticas. Quando a missão diz apenas "monitorar ameaças cibernéticas", qualquer atividade se justifica, os PIRs perdem força e o comitê não consegue avaliar o programa. A recomendação é revisar a missão em voz alta com o patrocinador do controle CTI.1 e com os consumidores designados, ajustando até que cada palavra tenha função.

3. Da Missão aos Requisitos de Inteligência

A missão só se torna operacional quando decomposta em requisitos de inteligência, tratados em profundidade pelo controle CTI.1 do grupo de inteligência estratégica. A decomposição segue o padrão de mercado: os PIRs (Priority Intelligence Requirements) expressam as perguntas de alto nível que a organização precisa responder para gerenciar risco, e cada PIR se desdobra em SIRs (Specific Intelligence Requirements), que orientam a coleta e a análise do dia a dia. A missão define o campo de perguntas legítimas, e os PIRs definem as perguntas prioritárias da vez.

A ligação é bidirecional e deve ser explícita. Do topo para a base, cada PIR deve citar a missão e o objetivo de negócio que o justifica, o que protege o programa quando alguém questiona o investimento. Da base para o topo, cada produto de inteligência deve indicar qual PIR atende, o que permite medir consumo e verificar se a produção está cobrindo os requisitos. Um produto que não responde a nenhum PIR é candidata natural a descontinuação, e um PIR que nenhum produto responde em dois trimestres revela lacuna de coleta ou de capacidade.

O exemplo a seguir ilustra a cadeia completa em um caso de setor industrial.

Missao: proteger a operacao industrial contra interrupcoes causadas
  por adversarios direcionados.
PIR-1: quais atores tem capacidade e intencao de atacar OT do setor?
  SIR-1.1: catalogo de atores com historico em OT e tecnicas usadas.
  SIR-1.2: monitoramento de campanhas e vulnerabilidades exploradas.
PIR-2: nossa exposicao corresponde a quais tecnicas priorizadas?
  SIR-2.1: cobertura ATT&CK do ambiente corporativo e de OT.
  SIR-2.2: inventario de acessos remotos de terceiros e riscos.

A disciplina de revisão completa a ligação entre missão e requisitos. PIRs devem ter revisão trimestral programada e revisão ad hoc quando eventos significativos alteram o cenário, como conflito geopolítico relevante para a cadeia de suprimentos ou divulgação de vulnerabilidade explorada ativamente, garantindo que a inteligência produzida continue respondendo às perguntas que importam naquele momento.

4. Estratégia de Capacidades por Maturidade

A estratégia precisa dizer o que construir primeiro, e a resposta correta depende do nível de maturidade atual medido pelo Modelo de Maturidade CTH. Construir na ordem errada é o erro mais caro do programa: comprar plataforma de inteligência antes de ter patrocinador e PIRs produz ferramenta ociosa, e tentar caças avançadas antes de ter telemetria e processos documentados produz frustração. A tabela a seguir resume a sequência recomendada por nível de partida.

Dois princípios atravessam todos os níveis. O primeiro é construir capacidade antes de ferramenta: cada compra deve ser precedida do processo manual funcionando, ainda que lentamente, pois ferramenta automatiza processo, e não cria processo. O segundo é priorizar por risco real: a ordem de construção deve seguir os PIRs e as ameaças mais prováveis para a organização, e não a moda de mercado nem a facilidade técnica.

5. Componentes do Documento de Estratégia

A estratégia documentada do programa deve ser um documento curto, de cinco a dez páginas, que o patrocinador consiga defender sem a presença da equipe. Documentos longos não são lidos, e estratégia não lida não governa nada. Os componentes a seguir formam o núcleo mínimo e suficiente.

• Diagnóstico de partida: nível de maturidade medido por domínio, com evidências, e resumo do risco de ameaça prioritário para a organização.
• Missão e escopo: a carta de missão aprovada e a lista explícita do que está fora do escopo da função.
• Prioridades: as três a cinco frentes de trabalho do ciclo, cada uma vinculada a PIRs e a riscos de negócio.
• Metas mensuráveis: metas com linha de base, valor-alvo e prazo, como redução de dwell time, aumento de cobertura ATT&CK e tempo de disseminação de IOC.
• Recursos: equipe, orçamento, ferramentas e dependências de outras áreas, com o custo de cada fase.
• Roadmap: sequência de entregas por fase, com donos retirados da matriz RACI do controle CTI.3.
• Critérios de revisão: gatilhos e cadência de revisão da própria estratégia, conforme a seção 8 desta nota.

Cada componente deve poder ser lido de forma independente, porque os públicos diferem: a diretoria lê diagnóstico, metas e recursos; as equipes técnicas leem prioridades e roadmap; e os auditores leem critérios de revisão e evidências. Essa modularidade evita que o documento precise de cinco versões paralelas que divergem com o tempo.

6. Roadmap de 12 Meses em Fases

O roadmap exemplificado a seguir assume uma organização partindo do nível 2, com patrocinador formalizado e uma equipe pequena dedicada. Ele organiza o ano em três fases, fundação, operação e otimização, e pode ser ajustado conforme a partida real medida na autoavaliação.

Três regras de gestão mantêm o roadmap vivo. Cada entrega precisa de um dono com nome, retirado da matriz RACI do controle CTI.3; cada fase precisa de um marco de valor visível ao patrocinador, para sustentar o compromisso de CTI.1; e o roadmap deve ser revisado a cada marco, incorporando o que a operação aprendeu, pois plano de 12 meses imutável é documento morto.

7. Comunicação da Estratégia às Partes Interessadas

Uma estratégia que não é conhecida pelas partes interessadas não orienta decisão nenhuma. A comunicação precisa ser segmentada por público, com o mesmo conteúdo essencial e formatos diferentes, conforme resume a tabela a seguir. Para a própria equipe de CTI, a estratégia precisa ainda virar plano de trabalho individual, conectado às trilhas de competências do controle CTI.4.

Cadências simples bastam para manter a estratégia viva no dia a dia. A apresentação da estratégia no comitê de segurança, com revisão semestral de progresso; a publicação do roadmap onde as equipes trabalham, com status visível; e a citação explícita de qual objetivo estratégico cada produto de inteligência atende, no cabeçalho dos próprios relatórios. Esse último mecanismo é particularmente eficaz, porque ensina os consumidores a ler a produção da função como parte de um plano, e não como conteúdo avulso.

O artefato mais eficaz de comunicação executiva é o sumário de uma página, que o patrocinador pode apresentar sozinho em qualquer fórum. O esqueleto a seguir demonstra o padrão recomendado.

Sumario executivo do programa de CTI e TH (1 pagina)
  Situacao: nivel de maturidade atual e ameaca prioritaria do setor
  Missao: uma frase, igual a da carta aprovada
  O que entregamos neste ciclo: 3 casos concretos de valor
  Metas do ano: 3 numeros-alvo com linha de base
  O que precisamos: recursos e decisoes pendentes, com custo
  Proximo marco: data e entrega verificavel

8. Critérios de Revisão da Estratégia

Estratégia é hipótese sobre o que gerará valor, e hipóteses precisam de teste programado. A revisão deve acontecer em duas frentes: revisão periódica semestral, independentemente de eventos, e revisão ad hoc disparada por gatilhos objetivos. A tabela a seguir consolida os critérios de revisão recomendados.

O resultado de cada revisão deve ser registrado com decisão explícita de manter, ajustar ou redefinir cada frente de trabalho, citando o critério que motivou a mudança. Esse registro cumulativo é a memória institucional do programa, e protege a continuidade quando o gestor ou o patrocinador muda.

9. Erros Comuns e Pontos de Atenção

• Escrever missão genérica que aceita qualquer atividade: sem consumidores nomeados e resultado esperado, a missão não arbitra prioridades e não protege o escopo; teste cada palavra com o patrocinador.
• Confundir estratégia com lista de ferramentas: ferramenta é meio; a estratégia de ferramenta em vez de capacidade produz licenças sem processo e analistas sem tempo, o padrão clássico de fracasso descrito no controle CTI.1.
• Copiar roadmap de outra organização: metas importadas sem linha de base medida produzem cronograma irreal; comece pela autoavaliação honesta do nível atual.
• Planejar 12 meses sem marcos de valor visível: patrocinador que não vê valor parcial perde o interesse antes da maturidade; distribua vitórias consumíveis a cada fase.
• Manter PIRs decorativos: requisitos que não orientam coleta nem priorizam produtos são burocracia; exija rastreabilidade entre PIR e produto, como previsto no grupo de inteligência estratégica do framework.
• Não comunicar a estratégia às equipes técnicas: quando o SOC e a engenharia não sabem o que vem pela frente, a integração de inteligência à detecção fica para depois, e depois nunca chega.
• Tratar a revisão como falha do plano: ajuste de rota com critério documentado é sinal de gestão madura, e não de plano malfeito.

10. Integração com Outros Controles do Framework CTH

A missão e a estratégia de CTI.5 são o referencial que dá sentido a todos os outros controles de governança: o patrocínio de CTI.1 existe para sustentar um rumo definido, o posicionamento de CTI.2 serve aos consumidores que a missão nomeia, os papéis de CTI.3 alocam pessoas às frentes do roadmap, e as competências de CTI.4 garantem que essas pessoas consigam executar. Na direção oposta, a autoavaliação do Modelo de Maturidade CTH fornece a linha de base a partir da qual a estratégia define o próximo nível alvo.

No plano técnico, os PIRs derivados da missão alimentam os controles de inteligência estratégica e de coleta do framework, e as metas de cobertura do roadmap direcionam os grupos DET e HNT. As métricas definidas na estratégia devem ser implementadas pelo grupo MET, que as transforma em evidência de valor para o patrocinador. Em referência externa, a prática corresponde à articulação entre as funções Govern e Identify do NIST CSF 2.0, e uma estratégia documentada com metas e revisões registradas costuma ser aceita como evidência madura de planejamento em auditorias e certificações.