Volume e Qualidade da Inteligência Recebida

Nota 01 da subpasta 04 do capítulo 22 (Compartilhamento e Colaboração), dedicada às métricas do que o programa recebe de fontes externas.
Trata métricas de volume, métricas de qualidade, deduplicação entre comunidades e dashboards de ingestão, com tabela de métricas por fonte.
Dialoga com a nota 07 do capítulo 02 (avaliação de fontes), com a nota 03 do capítulo 11 (KPIs de CTI) e com as notas das subpastas 01 a 03 deste capítulo.

1. Contexto e Posicionamento na Biblioteca

As subpastas anteriores deste capítulo descreveram de onde vem a inteligência: ISACs setoriais, canais governamentais, plataformas federadas e comunidades de IA. Esta nota abre a subpasta de métricas com a pergunta que sustenta qualquer uma dessas relações ao longo do tempo: o que, exatamente, está chegando, e vale o que custa. Volume e qualidade são as duas dimensões básicas da resposta, e medir bem as duas evita os dois erros opostos de gestão: renovar contratos por inércia porque os números nunca foram olhados, e cortar fontes valiosas porque o volume era baixo e a qualidade não foi medida.

A nota dialoga com a nota 07 do capítulo 02, que estabelece a avaliação qualitativa de fontes na entrada do pipeline; aqui o recorte é a mensuração contínua de carteira, com números que cabem em dashboard e que alimentam decisão de orçamento. O princípio que atravessa a subpasta é simples: inteligência que chega e não aciona nada não é ativo, é custo, e a única forma de saber a diferença é medir desde a ingestão.

2. Por que Medir o Que Se Recebe

A primeira razão é econômica. Carteiras de inteligência acumulam fontes por adesão histórica, indicação de colega e moda de mercado, e a soma de anuidades, licenças e horas de equipe cresce sem que ninguém pergunte o retorno de cada item. A medição por fonte transforma a renovação anual de contrato em decisão de dados, com a mesma lógica que a nota de ROI da subpasta aplica ao compartilhamento como um todo. Sem números, a conversa sobre renovação é de impressão; com números, é de portfólio.

A segunda razão é operacional. Volume sem qualidade afoga a triagem e corrompe controles, porque indicadores antigos e imprecisos bloqueiam tráfego legítimo e desgastam a confiança do SOC na inteligência como função. Qualidade sem volume suficiente cria pontos cegos, porque o programa não vê a campanha que só aparece na fonte que faltava. A medição das duas dimensões é o que permite calibrar a carteira: mais volume onde falta cobertura, mais filtragem onde sobra ruído.

A terceira razão é institucional. O compartilhamento tem dimensão comunitária, e o programa que mede o que recebe tem base para contribuir com devolutiva de qualidade, reportar de volta o que acionou e negociar produtos melhores com o fornecedor. A métrica de recebimento é, nesse sentido, o primeiro passo da reciprocidade que as subpastas anteriores descreveram como requisito de sustentabilidade de comunidade.

3. Métricas de Volume

Volume é a contagem do que entra, e a primeira regra é contar por unidade correta, porque comparar relatório com indicador é comparar unidades diferentes. As unidades básicas da biblioteca são o indicador individual, o objeto estruturado que agrupa indicadores, o relatório analítico, o alerta de campanha e a participação em comunidade, e cada uma tem sua métrica natural. A tabela abaixo organiza as métricas de volume com definição e uso típico.

A leitura de volume exige normalização, e três cuidados evitam ilusões comuns. Primeiro, contagem bruta esconde deduplicação, e a métrica honesta é a de indicadores únicos após normalização da nota 09 do capítulo 02. Segundo, período de agregação importa, e a comparação entre fontes deve usar a mesma janela, tipicamente mensal e trimestral. Terceiro, volume alto não é virtude nem defeito por si, e só ganha significado dividido pelas métricas de qualidade da próxima seção, que transformam massa em valor.

4. Métricas de Qualidade

Qualidade é a proporção do recebido que produz efeito, e a biblioteca a opera com quatro métricas centrais. A taxa de acionamento mede a proporção de indicadores ou objetos que dispararam detecção, alerta ou caça no ambiente em janela definida, e é a métrica de maior peso em decisão de carteira. A precisão mede a proporção de acionamentos que eram verdadeiros positivos após triagem, separando a fonte que aciona muito e erra da fonte que aciona e acerta. O frescor mede a idade média do material entre a primeira observação da fonte e o recebimento, porque inteligência tardia tem valor residual, e a sobreposição mede quanto do recebido já estava coberto por outra fonte da carteira.

As fórmulas operacionais são simples e devem ser fixadas por escrito para evitar discussão posterior.

taxa_acionamento  = acionados / recebidos  em janela (por fonte)
precisão          = verdadeiros positivos / acionados  em janela
frescor           = média(recebido_em - primeira_observação) em dias
sobreposição      = únicos que já existiam / recebidos  (por fonte)
valor_líquido     = acionados verdadeiros positivos / custo da fonte

A tabela abaixo define cada métrica de qualidade com o sinal de leitura que orienta decisão de carteira.

Duas calibrações são obrigatórias para que a tabela não minta. A primeira é o diferencial por tipo de produto: feed de IOC tem acionamento medido em detecção, alerta de campanha tem acionamento medido em caça e decisão, e relatório analítico tem acionamento medido em revisão de cobertura e briefing, de modo que exigir taxa de acionamento de detecção de um relatório estratégico é erro de categoria. A segunda é a janela de observação: indicadores de infraestrutura têm vida útil de dias, e medir acionamento de material de dois trimestres atrás sem expiração confunde qualidade da fonte com má gestão de ciclo de vida.

5. Deduplicação Entre Comunidades

A sobreposição entre fontes só é mensurável se a deduplicação for rigorosa, e a nota 09 do capítulo 02 fornece a base: normalização de valor, consistência de tipo e controle de proveniência por fonte. No contexto de múltiplas comunidades, o problema ganha uma camada a mais, porque o mesmo indicador circula em bundles diferentes com marcações diferentes, e a contagem de recebimento deve ocorrer no ponto em que o indicador entra na base, com atribuição a todas as fontes que o trouxeram.

A prática funcional é manter na base de indicadores o histórico de proveniência multi-fonte, e calcular a sobreposição por pares de fontes. O exemplo abaixo ilustra a consulta conceitual em SQL sobre a tabela de indicadores com proveniência.

-- Sobreposição por pares de fontes em janela de 90 dias
SELECT f1.fonte AS fonte_a, f2.fonte AS fonte_b,
       COUNT(*) AS indicadores_compartilhados
FROM proveniencia_indicador p
JOIN (SELECT id_indicador, fonte
      FROM proveniencia_indicador
      WHERE recebido_em >= CURRENT_DATE - INTERVAL '90 days') f1
  ON f1.id_indicador = p.id_indicador
JOIN (SELECT id_indicador, fonte
      FROM proveniencia_indicador
      WHERE recebido_em >= CURRENT_DATE - INTERVAL '90 days') f2
  ON p.id_indicador = f2.id_indicador
WHERE f1.fonte < f2.fonte
GROUP BY f1.fonte, f2.fonte
ORDER BY indicadores_compartilhados DESC;

A leitura do resultado orienta cortes e renegociações: quando a fonte comercial cara traz, em sobreposição de noventa dias, mais de oitenta por cento do que a comunidade setorial traz de graça, a conversa com o fornecedor é sobre o que ele entrega além do mesmo material, e não sobre volume. O inverso também informa: fonte com sobreposição baixa mas acionamento baixo provavelmente mira ameaças que não tocam o ambiente, e a resposta pode ser ajuste de escopo em vez de corte.

6. Dashboards de Ingestão

O dashboard de ingestão é o artefato que torna as métricas visíveis para decisão, e o desenho mínimo cabe em quatro painéis. O painel de carteira mostra, por fonte, os indicadores de volume e qualidade da janela atual, com semáforo derivado das faixas acordadas. O painel de tendência mostra a evolução trimestral de acionamento e sobreposição, expondo degradação gradual que a visão mensal não captura. O painel de reciprocidade mostra contribuições de saída contra recebimento, cobrando a simetria que comunidades maduras exigem. E o painel de custo mostra anuidade e horas de equipe por fonte, habilitando o cálculo de valor líquido que a nota de ROI usa.

A implementação é direta quando o TIP guarda proveniência: um pipeline agendado exporta métricas agregadas para o sistema de observabilidade da organização, e o painel não exige ferramenta nova. O trecho KQL abaixo ilustra a métrica de acionamento por fonte sobre um índice de alertas enriquecidos com proveniência, no padrão do capítulo 09.

AlertasInteligencia
| where TimeGenerated > ago(30d)
| summarize acionados = dcount(IndicatorId) by FonteFeed
| join kind=inner (
    RecebimentoIndicadores
    | where TimeGenerated > ago(30d)
    | summarize recebidos = dcount(IndicatorId) by FonteFeed
  ) on FonteFeed
| extend taxa_acionamento = round(todouble(acionados) / recebidos, 3)
| order by taxa_acionamento asc

A disciplina de uso vale mais que a ferramenta: o dashboard de ingestão deve ser aberto na reunião mensal de inteligência, com decisão registrada por fonte de fora da faixa, e a renovação anual de contrato deve exigir o histórico completo do painel. Painel que ninguém consulta é decoração, e o teste de utilidade é simples, se nenhuma decisão mudou nos dois últimos trimestres por causa do painel, o problema é governança, e não a métrica.

Para carteiras grandes, o painel ganha uma camada ativa de notificação, com regras que disparam quando uma fonte cruza as faixas acordadas: volume zerado por mais de sete dias em fonte ativa, taxa de acionamento em queda contínua por dois meses, sobreposição subindo em fonte de custo alto e frescor crescendo sem justificativa da fonte. O alerta de painel não substitui a análise, e sim garante que a degradação seja vista no mês em que começa, e não na renovação de contrato.

7. Exemplo de Tabela de Métricas por Fonte

A tabela abaixo ilustra o relatório trimestral de carteira de uma organização com cinco fontes, com valores ilustrativos que mostram o tipo de decisão que cada linha sustenta.

A leitura da tabela mostra por que volume e qualidade precisam andar juntos. O feed aberto tem o maior volume da carteira e o pior conjunto de métricas, e sua verdadeira função, amplificar material público, é melhor cumprida por monitoramento barato do que por ingestão inteira no TIP. O AIS tem volume enorme e acionamento baixo, mas custo próximo de zero e material de alta autoridade quando aciona, o que o mantém na carteira com regras próprias. A comunidade de IA parece pequena e aciona pouco em contagem de indicadores, mas cada acionamento é uma caça em cima de material que nenhuma outra fonte traz, e a sobreposição de quatro por cento é a menor da carteira. Nenhuma dessas conclusões é visível na contagem bruta de recebimento, e todas mudam decisão de orçamento e de operação.

8. Erros Comuns e Pontos de Atenção

• Medir só volume e decidir por volume; efeito: carteira infla com fontes grandes e ruidosas e a triagem afoga; correção: exigir par volume e qualidade em qualquer decisão de carteira.
• Usar a mesma taxa de acionamento para produtos de natureza diferente; efeito: relatórios analíticos parecem inúteis e feeds ruidosos parecem normais; correção: definir o acionamento esperado por tipo de produto, conforme a seção 4.
• Deixar a sobreposição invisível por falta de proveniência multi-fonte; efeito: pagamentos duplicados por material idêntico e negociação com fornecedor sem base; correção: manter proveniência por indicador e calcular sobreposição por pares.
• Não expirar indicadores antes de medir acionamento; efeito: fonte boa parece ruim porque o material antigo já não faz sentido; correção: medir em janela compatível com a vida útil do material de cada tipo.
• Fechar o dashboard para o time; efeito: a fonte degrade e ninguém percebe, e a contribuição de saída é esquecida; correção: painel visível na reunião mensal com decisão registrada por fonte fora de faixa.
• Cortar fonte por um trimestre ruim sem investigar causa; efeito: perda de cobertura em campanha que a fonte monitorava; correção: investigar degradação, verificar ciclo de vida e falar com a fonte antes de decidir.

9. Integração com o Restante da Biblioteca

A nota herda da nota 07 do capítulo 02 o quadro de avaliação de fontes e o transforma em medição contínua, e entrega para a nota de ROI da subpasta os insumos de acionamento e custo que o cálculo de retorno exige. Os KPIs do capítulo 11 ganham aqui a camada de carteira externa, e o controle PLT.4 do framework CTH, sobre gestão de fontes, é o endereço normativo do processo descrito.

Para o fluxo de leitura do capítulo, a sequência recomendada é fechar a carteira com esta nota, calcular o retorno com a nota 02 da subpasta e voltar às subpastas 01 a 03 para renegociar ou cancelar cada relação com a base em mãos. O resultado desejado é uma carteira de compartilhamento pequena, viva e medida, em que cada fonte tem função conhecida, custo transparente e valor demonstrável, e em que a renovação anual é formalidade burocrática porque a decisão já foi tomada com dados ao longo do ano.