Modelo de Maturidade CTH (Níveis 1 a 5)

Nota integrante do grupo GOV (Governança e Modelo de Maturidade) da seção "15 - Framework CTH - Controles".
Deriva da seção 4.2 do Capítulo 4 do Framework CTH, que define o Modelo de Maturidade CTH de cinco níveis.
O modelo avalia o estado atual do programa de CTI e Threat Hunting e orienta sua evolução incremental e sustentável.

1. Contexto e Posicionamento no Framework CTH

O Modelo de Maturidade CTH é a régua que transforma a lista de controles do framework em um plano de evolução. Conforme a seção 4.2 do Capítulo 4, o modelo fornece uma estrutura para avaliar o estado atual do programa de CTI e Threat Hunting e planejar sua evolução de forma incremental e sustentável, com cinco níveis que representam estágios de maturidade nas dimensões de CTI, Threat Hunting e Automação. Cada nível não é apenas um rótulo, e sim um conjunto de comportamentos observáveis que podem ser verificados com evidências.

No conjunto da biblioteca, esta nota é o ponto de partida prático recomendado para qualquer programa: a autoavaliação honesta de maturidade define a linha de base que alimenta a estratégia do controle CTI.5, prioriza salvaguardas de todos os grupos técnicos e dá ao patrocinador do controle CTI.1 uma linguagem objetiva de progresso. O uso correto do modelo exige duas disciplinas: medir com evidência, e não com intenção, e evoluir um nível por vez, respeitando que cada estágio pressupõe o anterior em funcionamento real.

2. Os Cinco Níveis do Modelo

O modelo adota a lógica de escada utilizada por frameworks de maturidade de mercado, na qual cada nível representa um aumento concreto de formalização, repetibilidade e medição, e não apenas de volume de atividade. Dois programas com o mesmo orçamento podem estar em níveis diferentes, e o que os separa é justamente essa qualidade de processo. A tabela a seguir reproduz a estrutura oficial do modelo, cruzando cada nível com as três dimensões avaliadas pelo Framework CTH. A característica-chave descreve o estado geral do programa naquele estágio.

3. Características Detalhadas de Cada Nível

A leitura detalhada de cada nível evita a avaliação otimista e ajuda a reconhecer o estágio real da organização. As descrições a seguir seguem o texto do Framework CTH, ampliado com sinais práticos de identificação. Ao aplicar em autoavaliação, procure o nível cujas características descrevem a prática predominante dos últimos seis meses, e não a melhor exceção que você consegue lembrar.

• Nível 1, Inexistente: a segurança é inteiramente reativa, dependendo de proteção perimetral e de detecção por assinatura, como antivírus e IDS/IPS tradicionais. Não existe coleta sistemática de informação sobre ameaças, não há caça proativa e a resposta é acionada apenas por alertas de ferramenta ou reporte de usuário. O risco é máximo: a organização é cega quanto às ameaças específicas que a afetam e prioriza defesas sem base de inteligência.
• Nível 2, Inicial: a organização reconhece a importância da inteligência e da caça, mas as atividades são ad-hoc. Assinaturas de feeds públicos de IOCs podem estar configuradas no SIEM ou no firewall, sem processo formal de análise, validação ou enriquecimento. Caças acontecem de forma esporádica, tipicamente após incidente de alta visibilidade ou alerta recebido de parceiro ou ISAC. O desafio central é a dependência da iniciativa individual, que torna as atividades insustentáveis e não reproduzíveis.
• Nível 3, Definido: processos documentados e repetíveis estão estabelecidos. O ciclo de inteligência, com planejamento, coleta, processamento, análise, disseminação e retroalimentação, é formalmente adotado, com PIRs definidos, fontes mapeadas e formatos de saída padronizados. A produção cobre os quatro níveis de inteligência, estratégico, tático, operacional e técnico. No hunting, hipóteses são formuladas a partir de inteligência e mapeadas em ATT&CK, documentadas antes da execução, e os resultados são registrados. Pipelines de coleta e processamento começam a reduzir trabalho manual.
• Nível 4, Gerenciado: os processos são medidos e gerenciados ativamente. A qualidade da inteligência é avaliada por taxa de falsos positivos, tempo entre descoberta e disseminação, grau de utilização pelos consumidores e cobertura de técnicas ATT&CK. O hunting é medido por número de caças, taxa de descobertas positivas, tempo médio e impacto nas detecções implementadas. A automação avança com SOAR integrando coleta, análise e resposta, e a retroalimentação entre CTI, hunting e resposta opera de forma sistemática e mensurável.
• Nível 5, Otimizado: o programa opera em melhoria contínua baseada em dados. A inteligência evolui para abordagens preditivas, antecipando tendências e campanhas a partir de padrões históricos e dados acumulados. O hunting se torna atividade contínua e parcialmente automatizada, com hipóteses sugeridas por algoritmos de aprendizado de máquina que analisam anomalias, telemetria e inteligência. A organização antecipa e se prepara para ameaças emergentes, em vez de apenas reagir às conhecidas.

4. Matriz Cruzada: Níveis por Domínio Operacional

Além das três dimensões oficiais, avaliar o nível por domínio operacional expõe desequilíbrios que a nota geral esconde. É comum uma organização estar no nível 3 em coleta e no nível 1 em resposta, e essa assimetria define onde o esforço deve ser aplicado. A tabela a seguir descreve comportamentos típicos de cada domínio em cada nível, para uso direto na autoavaliação.

Recomenda-se calcular o nível do programa como o menor nível entre os domínios, e não como a média. A média de 3 com resposta no nível 1 esconde que os produtos de inteligência não chegam à ação, e o menor nível descreve melhor a capacidade real do sistema como um todo.

Ao registrar a pontuação por domínio, anote sempre o exemplo concreto que sustentou o julgamento, como a caça específica ou o relatório específico analisado. Essa nota de rodapé analítica cumpre três funções na consolidação: acelera a discussão entre avaliadores, explica a nota para quem revisar o ciclo seguinte e fornece material pronto para o plano de ação da estratégia.

5. Conduzindo uma Autoavaliação Honesta

A autoavaliação de maturidade falha quando vira exercício de autocomplacência ou quando é feita por uma única pessoa com memória seletiva. O método recomendado combina três fontes de evidência e segue um roteiro com passos verificáveis.

Roteiro de autoavaliacao de maturidade CTH
  01. Definir escopo: dominios e dimensoes avaliados, periodo de
      observacao (sugestao: ultimos 6 meses).
  02. Selecionar avaliadores: gestor do programa, um representante
      tecnico e um consumidor de inteligencia (SOC ou IR).
  03. Coletar evidencias por dominio: documentos de processo,
      amostras de produtos, registros de caças, metricas existentes.
  04. Amostrar em vez de perguntar: revisar 10 a 20 itens reais
      (caças, IOC disseminados, relatorios) e verificar consistencia.
  05. Entrevistar: conversas de 30 a 45 minutos com SOC, engenharia
      de deteccao e IR sobre como realmente recebem e usam CTI.
  06. Pontuar por dominio: usar a tabela do item 4 e registrar o
      nivel e a evidencia que sustenta cada pontuacao.
  07. Consolidar: nivel geral como o menor entre dominios, lacunas
      listadas e priorizacao proposta para a estrategia.

A regra de ouro do método é a evidência sobre a declaração. Processo documentado que ninguém segue pontua no nível anterior ao documento; produto de inteligência que ninguém consome pontua menos; caça sem hipótese registrada não sustenta o nível Definido. A amostragem é o mecanismo que impede inflação: dez caças sorteadas mostram se o registro documentado é prática ou exceção, e cinco relatórios lidos junto aos consumidores revelam se a disseminação existe de fato. Quando a evidência disponível é insuficiente para pontuar um domínio, a resposta honesta é atribuir o nível imediatamente inferior e registrar a lacuna de medição como achado.

A tabela a seguir orienta quais evidências sustentam cada nível na maior parte dos programas. A ausência da evidência esperada para o nível reivindicado é o sinal mais claro de avaliação inflada.

Recomenda-se repetir a avaliação semestralmente ou anualmente, com os mesmos critérios e, quando possível, os mesmos avaliadores, para que a comparação entre ciclos seja válida. O histórico de pontuações é um dos produtos mais valiosos do exercício, pois mostra trajetória ao patrocinador e expõe estagnações cedo.

6. Uso do Resultado para Priorizar Salvaguardas

O resultado da autoavaliação alimenta diretamente a estratégia do controle CTI.5 e define a ordem de implementação das salvaguardas de todo o framework. O princípio operacional é simples: implemente primeiro as salvaguardas Básicas dos domínios que estão no nível 1 ou 2, depois as Intermediárias que elevam os domínios para o nível 3, e trate as Avançadas como etapa de consolidação, e não como ponto de partida.

O registro do resultado deve seguir um formato estável para permitir comparação entre ciclos. O modelo a seguir consolida as informações mínimas que a estratégia do controle CTI.5 precisa receber.

Registro de autoavaliacao de maturidade (modelo)
  Data e ciclo: 2025-S1
  Avaliadores: gestor CTI/TH, engenheiro de deteccao, representante IR
  Niveis por dominio:
    Coleta:      2 (evidencia: feeds sem validacao formal)
    Analise:     2 (evidencia: sem produto proprio recorrente)
    Hunting:     2 (evidencia: 3 caças no semestre, sem registro)
    Automacao:   1 (evidencia: ausencia de pipelines)
    Resposta:    2 (evidencia: integracao informal com CTI)
  Nivel geral: 2 (menor dominio)
  Lacunas prioritarias: validacao de IOC, registro de caças,
    integracao CTI-IR
  Salvaguardas priorizadas para o ciclo: CTI.1.1, CTI.1.2,
    template de hipotese de caaca, reuniao semanal SOC-CTI
  Meta para o proximo ciclo: nivel 3 em coleta e resposta

Em programas reais, o orçamento nunca permite elevar todos os domínios ao mesmo tempo, e a priorização deve seguir o risco: domínios que bloqueiam a resposta a ameaças prioritárias dos PIRs vêm antes. Um programa com caça no nível 2 e resposta no nível 1, em setor sob campanha de ransomware ativa, prioriza a integração CTI-IR antes de qualquer sofisticação analítica, porque é ali que o risco se converte em dano.

7. Armadilhas de Maturidade

A escalada de níveis produz tentações previsíveis, e reconhecê-las é parte da governança. As armadilhas a seguir são as mais destrutivas na prática, porque todas produzem a mesma falha: decisões tomadas sobre uma maturidade que não existe.

• Pular etapas: tentar caça contínua assistida por IA sem processos documentados de caça, ou SOAR sem playbooks escritos, gera fragilidade estrutural que desmorona no primeiro turnover de equipe; cada nível constrói a fundação do seguinte.
• Maturidade de papelão: processos bonitos em wiki, templates completos e políticas assinadas, sem prática correspondente; a autoavaliação baseada em evidência e amostragem existe justamente para expor essa discrepância.
• Confundir compra de ferramenta com maturidade: licença de TIP ou SOAR não altera o nível; ferramenta sem processo, pessoas e métricas eleva o custo sem elevar a capacidade, padrão já descrito nas armadilhas do controle CTI.1.
• Maturidade por projeto: programa evolui em surtos após incidentes e estagna depois, voltando ao nível anterior pela falta de rotina; maturidade é estado sustentado, e não pico histórico.
• Avaliação inflada por pressão de reporte: pontuar alto para satisfazer diretoria ou auditoria destrói a utilidade do instrumento; o nível 4 honesto com plano de evolução vale mais que o nível 5 decorativo.
• Ignorar a dependência de indivíduos: programa que pontua nível 3 apenas porque um analista brilhante compensa a ausência de processo está no nível 2, pois a capacidade não é reproduzível, condição exigida desde o nível Definido.

8. Metas Realistas por Tipo de Organização

Nível 5 não é destino obrigatório, e perseguir o topo sem considerar porte, risco e orçamento é receita para frustração. A tabela a seguir sugere metas realistas de horizonte, entendendo que níveis não são permanentes e precisam de manutenção para não regredirem.

A meta escolhida deve ser formalizada na estratégia com prazo, dono e critério de verificação, e revisada a cada ciclo de autoavaliação. Regressão de nível é sinal legítimo de mudança de contexto, como perda de pessoas ou corte de orçamento, e deve ser reportada ao patrocinador com plano de recuperação, e não escondida.

Manter um nível conquistado exige menos esforço que conquistá-lo, mas não exige zero esforço. Níveis acima do 2 dependem de rotina, e rotina depende de pessoas treinadas e tempo protegido; por isso, cada nível alvo deve incluir explicitamente os mecanismos de sustentação, como cadência de caças, revisão de processos e plano de sucessão para papéis críticos. Organizações que tratam a meta de maturidade como projeto pontual voltam ao nível anterior no intervalo entre um projeto e o seguinte.

9. Integração com Outros Controles do Framework CTH

O modelo de maturidade é o instrumento de leitura que conecta governança e técnica: seu resultado define a sequência de implementação dos grupos INS, COL, ANA, DET, HNT, AUT, SIM e IR, e fornece à governança, controles CTI.1 a CTI.5, a linguagem de progresso que sustenta patrocínio, posicionamento, papéis, competências e estratégia. A nota de Missão e Estratégia usa o nível medido como linha de base do roadmap, e a nota de Patrocínio Executivo usa a trajetória entre ciclos como evidência de valor.

Na prática de mercado, o modelo dialoga com as funções Govern e Identify do NIST CSF 2.0, que exigem exatamente o que a autoavaliação produz: conhecimento do estado atual, priorização baseada em risco e plano documentado de melhoria. A recomendação operacional final é tratar a autoavaliação como mecanismo permanente de governança, com data fixa no calendário, avaliadores nomeados e resultado registrado, pois maturidade que não é medida periodicamente tende a regredir em silêncio.