CTI.9 - Feedback Loop

Controle CTI.9 do grupo ANA (Ciclo de Inteligência: Análise e Disseminação) do Framework CTH, derivado do Capítulo 10 do PDF de referência. Fecha o ciclo de inteligência coletando, analisando e agindo sobre o feedback dos consumidores, ajustando PIRs, fontes de coleta, produtos e cadências. Transforma o programa do modo push, em que se produz o que se acha relevante, para o modo pull, em que se produz o que os consumidores realmente necessitam.

1. Contexto e Posicionamento no Framework CTH

O feedback dos consumidores de inteligência, hunters, analistas de SOC, resposta a incidentes e liderança, é o mecanismo primário para medir a relevância e a qualidade do que o programa produz e para direcionar as melhorias seguintes. Sem feedback estruturado, a equipe de CTI opera às cegas, repetindo produtos e formatos que talvez ninguém utilize, enquanto necessidades reais permanecem sem atendimento. O Framework CTH trata o feedback como controle formal, com mecanismos de coleta definidos, análise periódica e ação documentada, porque o ciclo de inteligência só se fecha quando a retroalimentação ajusta o planejamento.

O posicionamento na esteira é preciso: o CTI.8 entrega os produtos e coleta as métricas de consumo, e o CTI.9 interpreta esses sinais junto com opiniões e perguntas, convertendo tudo em decisões de mudança. Essas decisões retroagem para o início do ciclo, revisando os PIRs definidos na fase de planejamento, ajustando as fontes de coleta, reformulando produtos e recalibrando cadências. É essa volta ao início que diferencia um programa maduro de uma fábrica de relatórios.

2. Por que o Ciclo Só Funciona com Feedback

O ciclo de inteligência tem seis etapas, e a retroalimentação é a que garante que as outras cinco continuem alinhadas à realidade. Requisitos de inteligência envelhecem: ameaças mudam, a organização muda de foco, novos produtos criam novos consumidores, e um PIR definido há um ano pode hoje consumir esforço analítico sem gerar valor. Feedback é o mecanismo que detecta esse desalinhamento cedo, antes que o custo de correção se acumule em meses de produção inútil.

O feedback também protege a credibilidade do programa. Consumidores que percebem que suas opiniões geram mudança concreta passam a colaborar ativamente, reportando o que funciona e o que não funciona; consumidores ignorados param de responder formulários, e o programa perde exatamente as informações que mais precisa. A regra prática é que todo feedback coletado deve receber resposta em algum nível, mesmo quando a decisão é não atender o pedido, com justificativa registrada.

Por fim, o feedback oferece a evidência de valor que sustenta orçamento. As decisões documentadas de melhoria, os produtos reformulados por demanda e as métricas de utilização crescente formam o portfólio de resultados que a governança avalia. Um programa que consegue demonstrar, com registro, como o feedback mudou seus produtos ao longo do ano tem argumento de defesa muito mais forte do que um programa que apenas declara utilidade.

3. Mecanismos de Coleta de Feedback

Nenhum mecanismo isolado é suficiente, porque cada um captura um tipo diferente de sinal. O conjunto recomendado combina quatro mecanismos, com coleta contínua e análise agregada periódica, conforme resumido na tabela abaixo.

O formulário pós-entrega, exigido pela salvaguarda CTI.9.1, avalia relevância em escala de 1 a 5, acionabilidade, ou seja, se a inteligência resultou em alguma ação, e qualidade de clareza, precisão e tempestividade. A coleta é obrigatória para relatórios estratégicos e por amostragem para táticos, equilibrando esforço de resposta com cobertura estatística. A reunião mensal de alinhamento, exigida pela CTI.9.2, revisa os principais produtos do mês, discute gaps identificados, registra solicitações de novas análises e revisa o feedback acumulado.

As métricas de uso chegam do CTI.8 e precisam ser lidas em conjunto com a opinião declarada, porque os dois sinais divergem com frequência. O consumidor que avalia bem um produto e nunca o aciona está revelando contradição informativa; o produto mal avaliado que gera tickets e regras pode estar mal formulado, mas relevante. A análise de tickets e perguntas recebidas, por sua vez, é a fonte mais rica de demanda não formalizada, e cada pergunta repetida por dois ou mais consumidores indica lacuna de cobertura a considerar.

A solicitação formal de inteligência, exigida pela salvaguarda CTI.9.3, é também um mecanismo de feedback de alto valor, porque explicita a demanda em linguagem estruturada. Cada SIR registra a pergunta de inteligência, o contexto e a justificativa, o nível de urgência e o prazo esperado, com SLA de resposta crítica em 24 horas e regular em 5 dias úteis. O template mínimo abaixo padroniza o registro e facilita a medição de tempos.

SIR-2025-042
Pergunta de inteligência: há indício de uso do Ator-B em campanha contra
o nosso segmento de pagamentos no último trimestre?
Contexto e justificativa: revisão trimestral de risco do produto interno
de pagamentos; decisão de investimento em WAF depende da resposta.
Urgência: alta. Prazo: 48 horas. Solicitante: gestão de risco.
Classificação TLP prevista da resposta: AMBER.
Resposta CTI: resumo analítico curto com confiança declarada e anexo ao
dossiê do ator; resposta registrada em 19 horas.

4. Perguntas de Feedback Eficazes

A qualidade do feedback depende diretamente da qualidade das perguntas. Perguntas vagas, como o relatório está bom, produzem respostas vagas e inúteis; perguntas eficazes conectam o produto à decisão, à ação e à lacuna percebida. O conjunto abaixo, derivado das boas práticas do ciclo de inteligência, serve de base para formulários e reuniões.

1. A inteligência mudou alguma decisão ou ação concreta, como nova detecção, correção de vulnerabilidade ou mudança de configuração? Se sim, qual?
2. O IOC ou a regra derivada do produto acionou? O acionamento foi útil, com falso positivo controlável, ou gerou ruído?
3. O nível de detalhamento técnico foi adequado à sua função, e em que trecho faltou ou sobrou conteúdo?
4. O produto chegou em tempo de influenciar sua decisão, ou a janela de ação já havia passado?
5. Quais tipos de inteligência você precisaria receber e não está recebendo hoje?
6. Existe fonte ou tipo de dado essencial para o seu trabalho que o programa não está cobrindo?
7. Em uma escala de 1 a 5, qual a probabilidade de você recomendar este produto a um colega da sua função, e por quê?

Duas práticas aumentam a utilidade das respostas. Primeiro, sempre pedir o porquê em perguntas fechadas, porque o número sem justificativa não orienta mudança. Segundo, vincular a resposta a um contexto identificável, como função do respondente e produto específico, sem expor o respondente, porque feedback descontextualizado não permite decisão: saber que um produto tem avaliação 3 não diz nada se não se sabe quem respondeu e para qual uso.

5. Do Feedback à Mudança Concreta

Coletar feedback sem transformá-lo em mudança é a forma mais comum de fracasso do controle. A análise trimestral exigida pela salvaguarda CTI.9.4 identifica padrões sistêmicos em quatro frentes: tipos de inteligência consistentemente bem avaliados, para manter e expandir; tipos mal avaliados, para reformular ou descontinuar; lacunas de cobertura recorrentes, para adicionar fontes ou PIRs; e problemas de formato ou tempestividade, para ajustar processos de produção e canais do CTI.8.

A mudança resultante assume um dos quatro tipos abaixo, e nomear o tipo ajuda a dimensionar o custo e o responsável corretamente.

O exemplo ponta a ponta abaixo ilustra o circuito completo em um caso típico, do sinal à decisão documentada.

Sinal 1: métricas do CTI-8 mostram abertura de 92% e acionamento baixo
         no boletim mensal de CVEs para a gestão de vulnerabilidades.
Sinal 2: na reunião mensal, o time de VM relata que o boletim chega às
         terças, mas o ciclo de remediação fecha às segundas.
Sinal 3: formulário pontua tempestividade 2/5, com comentário sobre
         priorização genérica que ignora a superfície interna.

Análise CTI.9 (trimestral):
  padrão detectado: produto relevante com cadência e priorização erradas.

Decisões documentadas:
  d1) antecipar a entrega do boletim de terça para sexta;
  d2) adicionar seção de priorização cruzada com o inventário do INS.2;
  d3) reduzir o volume genérico e destacar apenas CVEs exploradas ativamente
     com correspondência no ambiente.

Resultado medido no trimestre seguinte:
  acionamento sobe de 11% para 64% dos itens recomendados, e o feedback
  qualitativo registra aprovação do novo formato.

A decisão de não atender também é decisão, e precisa de registro. Quando o feedback pede um produto inviável, seja por falta de fonte, seja por conflito de prioridade, a resposta formal com justificativa preserva a relação de confiança e evita que o mesmo pedido retorne como reclamação meses depois. O log de decisões de feedback, com data, fonte do sinal, análise, decisão e resultado medido, é o entregável que transforma opinião em governança.

6. Feedback do Hunting e da Resposta a Incidentes

O feedback mais valioso do programa vem do hunting e da resposta a incidentes, porque ambos operam no ambiente real e descobrem o que nenhum feed externo sabe. Uma caça que confirma hipótese revela TTPs presentes no ambiente; uma resposta a incidente revela a sequência exata de comportamentos do adversário contra a infraestrutura da organização, incluindo variações inéditas. O Framework CTH exige que esses achados retornem ao ciclo como novos TTPs no catálogo do CTI.6, como ajustes de PIRs quando revelam focos de ameaça inesperados e como validação ou invalidação de inteligência recebida de terceiros.

Dois cuidados tornam esse retorno sistemático. Primeiro, a etapa de documentação e comunicação do ciclo de hunting e a etapa de lições aprendidas do ciclo de IR precisam de campo obrigatório de retroalimentação ao CTI, com perguntas padronizadas: o que foi visto que a inteligência não previa, o que a inteligência previa e não foi visto, e qual fonte ajudou ou enganou. Segundo, cada achado deve gerar itens concretos no log de feedback, com prazo de tratamento, porque achados de incidente não incorporados se perdem na pressão da operação.

Esse tipo de feedback também mede a qualidade preditiva do programa. Quando incidentes repetidamente trazem TTPs que a inteligência não antecipava, o sinal é de fontes mal direcionadas ou de PIRs defasados; quando o hunting valida repetidamente hipóteses derivadas de inteligência, o sinal é de ciclo saudável. A salvaguarda avançada CTI.9.5 materializa essa medição em indicadores de impacto, como número de detecções derivadas de inteligência, tempo entre recepção e implementação de controles e redução do MTTD atribuível ao programa.

O exemplo abaixo mostra a retroalimentação de uma caça em formato de registro padronizado, pronto para entrar no log de feedback e disparar as ações correspondentes.

FB-2025-118, origem: hunting (caça TH-2025-11)
Achado: processo legítimo do Windows usado para movimentação lateral com
argumentos atípicos, variante não descrita no perfil do Ator-A.
Ações derivadas:
  a1) adicionar procedimento ao catálogo de TTPs do CTI.6 (prazo 5 dias);
  a2) avaliar elevação de confiança da técnica correspondente;
  a3) requisitar telemetria adicional ao DAT.x para cobertura de linha de
     comando em servidores de arquivo;
  a4) revisar PIR de atores prioritários no próximo ciclo trimestral.
Responsável: CTI. Status: implementado. Resultado: perfil atualizado e
nova regra de detecção proposta ao DET no mesmo mês.

7. Documentação das Decisões e Indicadores de Maturidade

O registro das decisões de feedback é o que distingue um loop funcional de uma caixa de reclamações. Cada decisão documentada deve conter a fonte do sinal, a análise que a fundamentou, a mudança aprovada, o responsável pela implementação e o resultado medido na rodada seguinte. Esse registro permite auditar o ciclo, defender decisões impopulares com base em dados e demonstrar evolução contínua à governança, além de evitar que pedidos recorrentes sejam esquecidos.

A maturidade do loop pode ser avaliada por indicadores objetivos. Os principais são a taxa de resposta aos formulários, que abaixo de 40% em produtos estratégicos sinaliza desconexão com consumidores; o tempo médio entre a coleta do sinal e a decisão registrada, que programas maduros mantêm dentro do trimestre; a proporção de feedback com mudança implementada ou justificativa formal de não atendimento; e a estabilidade do calendário de reuniões mensais de alinhamento. A ausência de qualquer desses indicadores por dois trimestres consecutivos indica que o loop estagnou e precisa de intervenção da governança.

8. Implementação Prática e Salvaguardas por Nível

As salvaguardas do controle avançam do formulário básico ao indicador de impacto na postura de segurança. A tabela resume as salvaguardas CTI.9.1 a CTI.9.5 com os entregáveis verificáveis correspondentes.

Critérios de sucesso incluem 100% do feedback estratégico com resposta formal, decisões de feedback implementadas ou justificadas dentro do trimestre e evolução positiva das métricas de acionabilidade. O indicador mais representativo de loop maduro é a proporção de produtos reformulados por demanda real, e não por iniciativa isolada da equipe, porque isso evidencia o modo pull do programa.

9. Erros Comuns e Pontos de Atenção

• Transformar o feedback em caixa de reclamações sem ação: sinal coletado e ignorado descredencia o processo e seca a fonte; a correção é o log de decisões com resultado medido e resposta formal mesmo para pedidos negados.
• Nunca revisar PIRs: requisitos defasados consomem o esforço analítico em temas sem valor corrente; a correção é revisão formal dos PIRs alimentada pela análise trimestral do feedback.
• Coletar opinião sem contexto: avaliação média sem função do respondente e sem produto associado não permite decisão; a correção é vincular toda resposta a contexto identificável.
• Depender apenas de formulários: a opinião declarada diverge do comportamento real; a correção é combinar formulários com métricas de uso, tickets e reuniões de alinhamento.
• Adiar a resposta a SIRs até o colapso da confiança: pedidos críticos sem resposta empurram os consumidores para outras fontes; a correção é o SLA definido pela salvaguarda CTI.9.3 com registro de tempos.
• Tratar feedback de incidente como opcional: os achados de maior valor se perdem na pressão da resposta; a correção é campo obrigatório de retroalimentação ao CTI no relatório pós-incidente.
• Medir o loop por volume de respostas apenas: volume alto de respostas sem mudança implementada é teatralidade de processo; a correção é medir a proporção de feedback convertido em decisão documentada.

10. Integração com Outros Controles do Framework CTH

O CTI.9 fecha o circuito de todo o grupo ANA: as métricas de consumo do CTI.8 e as perguntas recebidas alimentam sua análise, e suas decisões retroagem ao planejamento dos PIRs, às fontes do COL, aos produtos do CTI.7 e aos canais do CTI.8. Do lado do consumo técnico, o feedback do hunting retorna pelos controles TH.x, e o feedback da resposta a incidentes pelos controles IR.x, ambos adicionando TTPs reais ao catálogo do CTI.6. A salvaguarda CTI.9.5 conecta o controle ao grupo MET, que consolida a mensuração do programa, e ao GOV, que avalia o valor entregue.

No plano de maturidade, o marco Básico exige formulários e reunião mensal de alinhamento; o Intermediário exige SIRs com SLA e análise trimestral com decisões documentadas; o Avançado exige métricas de acionabilidade conectando inteligência a detecções, correções e redução de MTTD. O sinal de maturidade consolidada é o ciclo autoajustável, em que cada trimestre termina com decisões registradas e o trimestre seguinte começa com produtos visivelmente diferentes, orientados pela demanda real dos consumidores.