MET.5 - Dashboard e Reporte Executivo

Nota do grupo MET (Métricas, KPIs e Medição) da seção 15 do Framework CTH.
Deriva do Capítulo 19 do PDF de referência, controle MET.5, com os subcontroles MET.5.1 a MET.5.5.
Define o dashboard operacional e o reporte executivo que traduzem as métricas do programa em decisões de recurso e de risco, sustentando o patrocínio garantido pelo CTI.1 e a governança do GOV.

1. Contexto e Posicionamento no Framework CTH

Sem visibilidade executiva, a segurança cibernética é uma caixa preta para os decisores, e seu financiamento é tratado como custo em vez de investimento. O MET.5 fecha o grupo MET ao transformar os números produzidos pelo MET.1, MET.2, MET.3 e MET.4 em dois artefatos de públicos diferentes: o dashboard operacional, que serve o time em tempo real, e o reporte executivo, que serve a liderança em cadência periódica. Confundir os dois públicos é a origem da maioria dos painéis inúteis, e separá-los é a primeira decisão de desenho deste controle.

O resultado prático do MET.5 é a continuidade do patrocínio. O CTI.1 garante um executivo que defende o programa, mas esse executivo precisa de munição objetiva para defendê-lo na rodada de orçamento, e é o reporte mensal que a fornece. Cada apresentação é também um pedido implícito de confiança: números claros, metas visíveis, lacunas admitidas com plano, tudo isso comunica maturidade de gestão e sustenta a percepção de que o programa é gerido, e não apenas executado.

2. Dashboard Operacional versus Reporte Executivo

O dashboard operacional e o reporte executivo atendem necessidades que não se sobrepõem. O analista consulta o dashboard para decidir o que investigar agora; o executivo lê o reporte para decidir onde alocar recurso e qual risco aceitar. O executivo não consulta KQL, não abre console de ferramenta e não quer filtrar widget; ele quer entender, em quinze minutos, se a exposição da organização está melhorando, onde estão as lacunas e o que precisa de decisão dele. A tabela abaixo consolida as diferenças de desenho entre os dois artefatos.

O erro clássico que essa separação evita é o painel de ferramenta exportado: capturar a tela do SIEM ou da plataforma de casos e apresentá-la à diretoria. Esse painel responde perguntas operacionais com vocabulário operacional, exige conhecimento do contexto para ser lido e transmite a mensagem involuntária de que ninguém traduziu o trabalho em valor. O subcontrole MET.5.3 pede justamente o artefato intermediário que resolve isso: um dashboard executivo simplificado, com score consolidado de postura derivado das métricas-chave e alertas de desvio negativo, acessível a CISO e diretores sem mediação do time.

3. Widgets do Dashboard Operacional

O dashboard operacional previsto pelo MET.5.1 precisa de poucos widgets bem escolhidos, cada um alimentado automaticamente por API e cada um respondendo a uma pergunta do turno. A lista a seguir constitui o conjunto mínimo de partida, e a regra de construção importa tanto quanto a lista: widget sem dono e sem notificação de desvio é parede, e não instrumento.

Widgets operacionais também envelhecem, e a revisão trimestral do painel remove os que ninguém consultou e ajusta os que geram perguntas que ninguém consegue responder a partir deles. O teste de qualidade é simples: em um dia de turno, cada widget deve ser consultado ao menos uma vez com consequência observável, seja uma priorização, um alerta ou um encaminhamento; o que não passa nesse teste sai da versão seguinte.

4. O Que a Liderança Precisa Ver

O conteúdo executivo deve responder, em ordem, cinco perguntas que a liderança efetivamente faz. A tabela abaixo mapeia cada pergunta ao conteúdo do reporte e à métrica de origem dentro do grupo MET, garantindo que nada apresentado seja número órfão sem provedor definido.

O caso concreto é o elemento de maior poder de persuasão do reporte inteiro e merece destaque em todo relato mensal que o tiver. Um parágrafo objetivo, descrevendo que o hunting encontrou persistência em um servidor de faturamento com dezenove dias de presença, contido em quarenta minutos e com impacto evitado estimado em X pela área de risco, faz mais pela percepção de valor do que qualquer série histórica. Números mostram tendência; caso mostra competência. Quando o período não tiver caso positivo, o reporte deve dizer isso com franqueza e mostrar o que a medição validou no lugar, como cobertura confirmada por hunts no estado limpo validado.

A tradução de exposição para linguagem de risco é o que separa o bloco de métricas de um relatório de notas fiscais de números. Dias de dwell time viram janela de acesso do adversário; lacuna de cobertura ATT&CK vira técnica de adversário relevante sem detecção, nomeada pelo perfil de ameaça do CTI.2; horas devolvidas pela automação viram capacidade humana disponível para investigação proativa. Nenhuma dessas traduções inventa valor, todas transportam o número técnico para a unidade que o decisor usa para comparar investimentos entre áreas.

5. Princípios de Storytelling com Dados

Um visual por mensagem é a regra fundamental: cada gráfico responde uma pergunta e apenas uma, com título que já entrega a conclusão desejada, como Dwell time cai pela quarta vez seguida, em vez de títulos neutros que obrigam o leitor a interpretar. Todo gráfico de evolução deve carregar três referências no mesmo desenho, a linha de base histórica, a meta e a tendência atual, porque número sem meta não informa e meta sem histórico não contextualiza. A escolha do tipo de gráfico segue a mensagem: evolução temporal pede linha, comparação entre categorias pede barras, e composição pede barras empilhadas; gráfico de radar e visualizações decorativas, com eixos rotulados com siglas e escalas não lineares, costumam esconder mais do que mostram e não têm lugar em reporte executivo.

A unidade de apresentação também é decisão de storytelling. Exposição em dias de dwell time é traduzível diretamente para janela de risco; percentual de cobertura ATT&CK precisa vir acompanhado do que a lacuna significa em técnica de adversário relevante para o setor, porque 62% de cobertura não diz nada a um diretor até que a frase complete, as técnicas ausentes incluem as mais usadas pelos grupos que atacam nosso setor. Por fim, cores carregam significado fixo em todo o documento, vermelho apenas para desvio crítico com plano, amarelo para atenção, verde para meta atingida, e essa régua é declarada na primeira página para evitar interpretação pessoal.

A tabela abaixo resume os princípios com sua aplicação prática e o erro que cada um evita, servindo de checklist de revisão antes de qualquer reporte ir à diretoria.

6. Estrutura do Reporte Mensal em Uma Página

O reporte executivo mensal deve caber em uma página e quinze minutos de apresentação, com quinze minutos de perguntas na sequência, conforme o desenho do Capítulo 19. O template abaixo organiza essa página em cinco blocos, do resumo ao pedido de decisão, e pode ser gerado automaticamente no nível avançado, com intervenção humana limitada à revisão e aprovação, exatamente como pede o subcontrole MET.5.5.

RELATORIO EXECUTIVO DE SEGURANCA, CTI E THREAT HUNTING
Periodo: abril de 2025 | Publico: Comite Executivo | 15 min + 15 min de perguntas

1. RESUMO EXECUTIVO (tres paragrafos, BLUF)
   Postura: dwell time mediana de 11 dias (meta 17, mes anterior 14).
   Evento significativo: intrusao achada por hunting em servidor de faturamento;
   19 dias de presença, contencao em 40 minutos, impacto evitado estimado em X.
   Pedido de decisao: aprovar plano de retencao de logs de proxy para 180 dias.

2. METRICAS-CHAVE (mes atual, mes anterior, meta, tendencia de 6 meses)
   MTTD | MTTR | Tempo de contencao | Dwell time | Taxa de contencao automatica
   Hunts concluidos | Taxa de acionamento de inteligencia | Detecoes implantadas

3. VALOR ENTREGUE NO PERIODO
   Casos concretos com impacto evitado; horas devolvidas pela automacao;
   cobertura ATT&CK antes e depois do periodo; lacunas fechadas.

4. COBERTURA E LACUNAS (MAP.2)
   Percentual de cobertura por tatica; lacunas criticas priorizadas;
   plano de fechamento com prazo e responsavel.

5. MATURIDADE E PLANO DE ACAO (GOV)
   Nivel atual versus meta; status das iniciativas em andamento;
   proximos passos e decisoes solicitadas a diretoria.

Nota metodologica: mediana e P90 por severidade Alta e Critica;
datas de comprometimento declaradas com confianca; deteccao interna
versus externa separada. Nenhum numero apresentado sem meta de referencia.

Três regras de uso acompanham o template. Primeira, o pedido de decisão é obrigatório mesmo quando a resposta for nada a decidir neste mês, porque reporte sem pedido vira boletim e boletins não geram diálogo. Segunda, a nota metodológica protege o apresentador na primeira pergunta difícil, declarando antes do questionamento que os números têm método, janelas de confiança e segmentação conhecidas. Terceira, o bloco de valor precede o bloco de lacunas na fala, ainda que a página mostre os dois, porque a ordem de leitura emocional prepara a liderança para receber a lacuna como investimento e não como falha.

O template de uma página convive com a versão documental de até cinco páginas prevista pelo MET.5.2, que serve de anexo para os perguntadores profundos. A estrutura do anexo segue o desenho do Capítulo 19: página 1 com o resumo executivo, página 2 com a evolução das métricas-chave em gráficos de linha de seis meses, página 3 com o heatmap de cobertura simplificado e lacunas críticas, página 4 com a tabela de incidentes do período e lições aplicadas e página 5 com o plano de ação e os pedidos de decisão. A regra de uso é apresentar pela página única e abrir o anexo apenas sob demanda, garantindo profundidade disponível sem sacrificar a síntese da fala.

7. Cadência e Fórum de Apresentação

A cadência recomendada tem três camadas. O dashboard operacional roda em tempo real, com atualização a cada cinco minutos e acesso restrito à equipe de segurança, conforme o subcontrole MET.5.1. O reporte executivo mensal é apresentado em reunião com a alta direção, com a estrutura de uma página e o tempo máximo de trinta minutos no total. A camada trimestral leva ao mesmo fórum o heatmap de cobertura ATT&CK, como pede o subcontrole MAP.2.2, e a revisão formal de metas, aproveitando a mesma audiência que decide recurso para ajustar rumo.

O fórum importa tanto quanto o conteúdo. O reporte deve ter data fixa no calendário da diretoria, apresentador único com autoridade técnica e executiva, e minuta de decisões registrada ao final, com dono e prazo para cada pedido aceito. Apresentação sem registro de decisão é uma aula; o objetivo é conversa com consequência. Quando um indicador vermelho é apresentado, o apresentador deve trazer o plano junto, e a expectativa declarada é que a diretoria decida entre aprovar o plano, ajustá-lo ou aceitar explicitamente o risco, transformando a métrica vermelha em material de governança e não em notícia ruim.

O formato se adapta ao fórum sem mudar de conteúdo. Diante do comitê de risco, a ênfase recai sobre exposição, tendência de tempos e lacunas com plano; diante da diretoria financeira, sobre custo, retorno da automação e impacto evitado; diante do conselho, sobre a síntese de uma linha e o pedido de decisão. O apresentador prepara versões da mesma página com ênfases diferentes, e não versões com números diferentes, porque a diretoria de segurança, a financeira e o conselho devem ver os mesmos números em recortes distintos.

8. Erros Comuns e Pontos de Atenção

• Exportar painel de ferramenta para a diretoria: o painel operacional responde perguntas que o executivo não faz, com vocabulário que ele não usa, e comunica indiretamente que o programa não sabe traduzir o próprio trabalho em valor.
• Apresentar métrica sem meta: número sem referência não permite decisão, e a pergunta como está nossa evolução fica sem resposta; toda métrica no reporte carrega meta e janela de tendência.
• Esconder a lacuna: lacuna omitida é descoberta em auditoria ou em incidente, momento em que custa a confiança em todo o programa; lacuna apresentada com plano de fechamento e prazo vira pedido de investimento.
• Confundir atividade com valor: listas de relatórios produzidos e hunts executados sem consequência mostram ocupação; o reporte mostra conversão, como hunts que viraram detecção e inteligência que virou ação.
• Usar visualizações decorativas: gráficos de radar com oito eixos, símbolos e medidores coloridos obscurecem a mensagem e sugerem forma em vez de conteúdo; linha com base, meta e tendência quase sempre basta.
• Deixar o reporte sem pedido de decisão: boletim mensal não gera diálogo nem recurso; cada apresentação deve terminar com o que a diretoria precisa decidir ou aceitar.
• Medir o reporte pela quantidade de páginas: página adicional não compra atenção; a disciplina de uma página força a síntese que a decisão executiva exige.
• Usar o reporte como instrumento de defesa pessoal: quando todos os números são sempre verdes e o pedido de decisão desaparece, a diretoria aprende a não ler, e o reporte perde a função de governança que o justifica.

9. Salvaguardas por Nível de Maturidade

A progressão segue a ordem dos subcontroles, com uma ressalva de sequência: a automação do MET.5.5 só deve ser implantada depois que o conteúdo de uma página estabilizou por alguns ciclos, porque automatizar um formato que ainda muda a cada mês produz retrabalho de script e reporte inconsistente. O score consolidado do MET.5.3 deve ter fórmula publicada, pois score sem fórmula é percebido como opinião com visual de dashboard, e a primeira divergência entre o score e a experiência da diretoria custa a credibilidade do instrumento inteiro.

10. Integração com Outros Controles do Framework CTH

O MET.5 é o consumidor terminal de todo o grupo MET: apresenta o desempenho de CTI do MET.1, o valor do hunting do MET.2, os tempos de resposta do MET.3 e o retorno da automação do MET.4, sempre com meta e tendência. Ele também apresenta a cobertura priorizada do MAP.2, o progresso de maturidade do GOV e a visão de risco que sustenta o patrocínio do CTI.1, tornando-se o ponto de contato mensal entre a operação de defesa e a governança da organização.

Em direção contrária, o reporte devolve à operação consequência: cada decisão tomada no fórum, aprovação de investimento, ajuste de meta ou aceite de risco, alimenta o plano de ação do GOV e a fila de priorização dos grupos técnicos. É essa volta que distingue o reporte vivo do boletim: o MET.5 não termina na apresentação, termina na decisão registrada, com dono e prazo, que no ciclo seguinte aparece como métrica em movimento na página única da próxima reunião.