ROI do Compartilhamento (Redução de Intrusões)

Nota 02 da subpasta 04 do capítulo 22 (Compartilhamento e Colaboração), dedicada ao retorno sobre o investimento da participação em comunidades de compartilhamento.
Cobre benefícios e custos, a metodologia de medição de incidentes evitados e tempo economizado, um caso numérico completo e o argumento executivo pronto para defesa.
Dialoga com a nota 01 (volume e qualidade recebidos), com a nota 03 do capítulo 11 (ROI de hunting) e com o controle MET.1 do framework CTH.

1. Contexto e Posicionamento na Biblioteca

A nota anterior entregou as métricas de volume e qualidade por fonte; esta nota fecha o capítulo respondendo à pergunta que decide o orçamento: quanto retorno a participação em comunidades de compartilhamento gera, e como demonstrar isso em números que a diretoria aceita. O ROI do compartilhamento é candidato a controverso porque os benefícios são, em parte, eventos que não aconteceram, e eventos que não aconteceram não aparecem em relatório de incidente. A resposta da nota é metodológica: nenhum número de ROI é honesto sem uma definição explícita de como incidentes evitados são atribuídos, e a nota fornece essa definição com um caso numérico completo que o leitor pode adaptar.

A nota dialoga com a nota 03 do capítulo 11, que trata ROI de hunting com a mesma disciplina de atribuição, e com o controle MET.1 do framework CTH, que organiza os KPIs do programa. O objetivo prático é que o leitor saia com três artefatos: a lista de benefícios e custos para orçar, a fórmula de cálculo com premissas registradas e a apresentação executiva que traduz a matemática em decisão.

Vale posicionar o tema na economia do programa. A carteira de compartilhamento compete por orçamento com feeds comerciais, ferramentas e contratação, e a comparação só é justa quando todos os lados são medidos com a mesma régua de retorno atribuído. A vantagem comparativa do compartilhamento é estrutural, porque o custo marginal do material de qualidade recebido de comunidade é baixo e a densidade setorial é alta, e a desvantagem é que o material chega sem garantia de acionamento, o que torna a medição da nota 01 pré-requisito direto deste cálculo.

2. Benefícios e Custos do Compartilhamento

O inventário honesto de benefícios e custos é o ponto de partida, e a tabela abaixo organiza os dois lados com a forma de monetização de cada item.

A tabela revela o padrão que complica a conversa de ROI: os custos são mensais e visíveis, e os benefícios são anuais, probabilísticos e invisíveis no relatório de incidente. A disciplina que resolve o problema é a mesma da contabilidade de risco da organização: registrar cada benefício no momento da atribuição, com evidência mínima documentada, e auditar o registro periodicamente, porque a memória do analista não é fonte aceitável para defesa de orçamento. O item de risco de exposição em contribuição merece atenção especial, porque é o único custo que pode ser infinito em cenário ruim, e o parecer jurídico sobre o que pode ser compartilhado em cada formato TLP deve existir antes da primeira contribuição, nunca depois do primeiro problema.

3. Metodologia de Medição

A medição de incidentes evitados por inteligência externa descansa em uma regra de atribuição estrita: um incidente conta como evitado por inteligência externa quando três condições estão documentadas no registro. A primeira é a origem, o indicador, alerta ou TTP que motivou a ação veio de fonte de compartilhamento identificada. A segunda é a evidência, a investigação confirmou que a ameaça estava presente ou tentando o ambiente, com registro técnico que um terceiro conseguiria auditar. A terceira é o contrafactual razoável, a organização registra por que acredita que a detecção interna padrão não teria acionado a tempo sem o material externo, premissa que deve ser honesta e discutida na revisão.

Para incidentes detectados mais cedo, a métrica é o delta de tempo: o registro compara a data da detecção real com a data estimada de detecção pela esteira padrão, na lógica do dwell time do capítulo 15, e o benefício monetário é o custo diário do incidente multiplicado pelos dias poupados. A estimativa da detecção padrão deve se apoiar em dados internos, como a mediana de dwell time de incidentes similares detectados sem inteligência externa, e a premissa deve constar do registro.

O custo total do incidente evitado segue o modelo da organização, tipicamente composto de horas de resposta, downtime de negócio, impacto de dados e reputação, com a mesma régua usada em gestão de risco. Duas regras de honestidade protegem o cálculo: aplicar fator de desconto para incerteza, tipicamente cinquenta por cento em casos de contrafactual fraco, e nunca somar benefícios de fontes em sobreposição duas vezes, porque o mesmo incidente evitado não pode ser creditado ao ISAC e ao feed comercial que trouxeram o mesmo indicador.

A tabela abaixo mostra como as três condições de atribuição se aplicam a eventos típicos, com a decisão esperada em cada caso.

ROI anual = (custo evitado ponderado + economia de triagem + economia
             de resposta antecipada)
            - (anuidades + horas de equipe + integração e manutenção)
custo evitado ponderado = soma( custo do incidente x probabilidade
                                de ocorrência sem o aviso x fator de
                                confiança do contrafactual )

4. Atribuição, Proveniência e Governança do Registro

A regra de atribuição única precisa de uma camada complementar para funcionar em escala: a governança do registro. Cada registro de atribuição tem autor identificado, revisor independente do autor e status de aprovação, e o estoque completo de atribuições do ano é revisado trimestralmente em reunião com ata, com três produtos esperados: eventos aprovados, eventos reclassificados com justificativa e eventos pendentes de evidência com prazo para resolução. O revisor independente é o controle que impede o vício de sala, em que o mesmo analista que executou a ação também define o valor do benefício e ninguém desafia o número.

A proveniência resolve o caso do material que circula por mais de uma fonte antes de chegar à organização. Quando o mesmo indicador chega pelo ISAC e pelo feed de parceiro, o registro documenta a primeira fonte que motivou a ação e lista as demais como có-fontes sem crédito duplicado, porque o evento é uno e o benefício não se soma. A proveniência também protege o relacionamento com as fontes: o relatório anual de valor da carteira mostra a contribuição real de cada canal, e a fonte que só repassa material de terceiros aparece com o papel que de fato cumpre, o de amplificação, e não com crédito de origem.

O registro aprovado vira linha no acervo que sustenta a apresentação executiva, e o ciclo se fecha com auditoria interna eventual, que verifica por amostragem se a evidência técnica dos registros existe e sustenta o contrafactual declarado. Essa disciplina burocrática é o que separa um programa de compartilhamento medido de um programa justificado por anedota, e o custo dela é de horas por trimestre, ordem de grandeza irrelevante perto do valor em disputa. A retenção mínima dos registros acompanha o ciclo de auditoria da organização, tipicamente três anos, alinhada ao prazo de renovação de seguro e ao histórico exigido em renegociação de apólice.

5. Caso Ilustrativo Numérico

O caso abaixo é ilustrativo e usa uma organização de porte médio com três fontes de compartilhamento, um ISAC setorial, um canal governamental e um feed de parceiro. Os números servem como gabarito de estrutura, e o leitor deve substituí-los pelos próprios.

O lado dos benefícios, no mesmo ano, registrou quatro eventos atribuídos com a regra da seção 3. O primeiro foi uma campanha de phishing com kit adversary-in-the-middle avisada pelo ISAC em TLP:AMBER, com bloqueio e caça imediatos que evitaram comprometimento estimado de credencial de alto privilégio; custo estimado do incidente, 900.000, probabilidade de ocorrência sem aviso, sessenta por cento, fator de confiança do contrafactual, setenta por cento, resultando em 378.000 ponderados. O segundo foi o acesso a C2 avisado pelo canal governamental, que permitiu cortar uma intrusão em curso com nove dias de dwell time poupados em um incidente de custo diário de 40.000, o que dá 360.000 antes do fator, e com fator de confiança de oitenta por cento resulta em 288.000 ponderados. O terceiro e o quarto foram caças motivadas por material do parceiro que confirmaram exposição de ativos e ausência de exploração, com economia combinada de 90.000 em horas de investigação dirigida. A economia de triagem da carteira, medida pela nota 01, somou 48.000 no ano.

O somatório ponderado de benefícios chega a 804.000 contra 214.800 de custo, um retorno de aproximadamente 3,7 para 1 no ano, com a maioria do retorno concentrada em dois eventos. O detalhe mais importante do caso é esse: o ROI do compartilhamento é concentrado, com poucos eventos carregando a maior parte do valor, o que tem duas consequências práticas para a gestão, a primeira é que a falta de registro de atribuição em um único evento pode inverter o resultado do ano, e a segunda é que a expectativa executiva correta é de retorno concentrado, e não de retorno constante, e a apresentação deve preparar a diretoria para essa forma.

O registro de atribuição desses mesmos eventos, no formato mínimo que sustenta a auditoria, segue o gabarito abaixo.

REGISTRO DE ATRIBUICAO 2026-ATR-007
DATA: 2026-03-02   ANALISTA: R. Souza   REVISOR: Coord. CTI
ORIGEM: alerta ISAC setorial ID FSISAC-2026-0302-04, TLP:AMBER
MATERIAL: kit AITM, 3 dominios, TTPs de coleta de token
ACAO: bloqueio dos dominios; caça de acesso em proxy e DNS, 90 dias
EVIDENCIA: acessos ao dominio X por 41 hosts em 12 dias; sem envio
          de credencial confirmado; contas revisadas
CONTRAFACTUAL: esteira de e-mail interna sem detecção do kit; mediana
          de dwell time interna para phishing com sucesso: 26 dias
PONDERACAO: custo 900.000 x 60% x 70% = 378.000
STATUS: aprovado na revisão trimestral de 2026-04-10

6. Sensibilidade e Análise de Cenários

O caso da seção 5 usa um conjunto de premissas, e a apresentação madura mostra como o resultado se comporta quando as premissas mudam. A análise de sensibilidade reprocessa o mesmo caso com fatores de desconto e regras de atribuição mais e menos generosos, e o objetivo não é inflar o retorno apresentado, e sim demonstrar robustez: se o ROI permanece positivo nos três cenários, a decisão de investimento é defensável mesmo sob ataque à premissa mais fraca.

A leitura executiva da tabela é que o ponto de equilíbrio fica muito abaixo do pior cenário plausível: a carteira paga os próprios custos anuais se um único evento de phishing com credencial de alto privilégio for evitado no ano, e qualquer coisa além disso é retorno atribuído. Esse é o argumento mais resistente em comitê, porque não depende de otimismo, depende de aritmética e de um caso narrado com evidência. A sensibilidade também disciplina a gestão interna: quando o retorno da base depende de poucos eventos, o programa prioriza o registro impecável desses eventos em vez de diluir esforço em contabilização de dezenas de benefícios pequenos.

7. Comparação com Alternativas de Investimento

O ROI da carteira fica mais claro quando apresentado ao lado das alternativas que competem pelo mesmo orçamento, porque o comitê decide por comparação e não por número absoluto. A tabela abaixo compara as quatro alternativas típicas com o perfil de custo e de retorno de cada uma.

A leitura estratégica da tabela é de complementaridade, e não de substituição, e é assim que a defesa de orçamento deve ser construída: o retainer cobre o incidente grave que excede a capacidade interna, a ferramenta de superfície alimenta a descoberta, e a carteira de compartilhamento é o único item das quatro que entrega antecipação, com custo menor que qualquer outro e retorno que depende diretamente da disciplina de registro desta nota. Em comitê, a pergunta certa não é qual item cortar, e sim se a carteira, sendo a mais barata das quatro, está recebendo as horas de equipe que fazem seu retorno aparecer.

8. Argumento Executivo

A apresentação executiva do ROI do compartilhamento funciona melhor quando se apoia em três blocos curtos. O primeiro é o comparativo de custo de referência: o custo total da carteira de compartilhamento, tipicamente a ordem do salário anual de um ou dois profissionais sêniores, contra o custo de um único incidente relevante do setor da organização, número que a diretoria já conhece de caso público ou de seguro. O segundo é o registro de atribuição do ano, com os eventos evitados e antecipados documentados na regra da seção 3, e o fator de desconto aplicado visível, porque a transparência da premissa é o que dá credibilidade ao total. O terceiro é o risco de sair, a perda estimada se a organização cancelasse a participação, que força a conversa para o valor do canal e não apenas para o custo da anuidade.

A tabela abaixo resume o formato de uma página para a defesa anual do orçamento.

Três dicas de defesa reduzem atrito em comitê. Apresentar o ROI com fator de desconto visível, porque o número otimista sem premissa é o que gera ceticismo persistente. Levar um caso narrado, porque a diretoria retém história melhor que fórmula, e o caso do phishing bloqueado por aviso do ISAC vale mais que qualquer tabela. E nunca prometer retorno constante, porque a forma concentrada do retorno é característica do instrumento, e a expectativa errada custa credibilidade no ano seguinte.

9. Erros Comuns e Pontos de Atenção

• Somar valor de inteligência sem atribuição documentada; efeito: o ROI é desmontado na primeira revisão séria e a função perde credibilidade; correção: registro com origem, evidência e contrafactual para cada evento creditado.
• Creditar o mesmo incidente a múltiplas fontes em sobreposição; efeito: duplicação de benefício e inflação do retorno; correção: atribuição única por evento, com proveniência registrada quando o material circula por mais de uma fonte.
• Usar custo total de incidente sem probabilidade nem fator de confiança; efeito: retorno otimista que a diretoria desconta mentalmente e depois desconta no orçamento; correção: aplicar ponderação explícita e mostrar o cálculo.
• Medir só o lado dos custos mensais; efeito: cortes aparentemente racionais que eliminam canal de crise que custa menos que uma hora de incidente; correção: apresentar o risco de saída junto com o custo.
• Ignorar o custo de horas da equipe; efeito: ROI real menor que o apresentado e atrito com planejamento de capacidade; correção: contar as horas de grupos, curadoria e contribuição com taxa interna de custo.
• Deixar o registro de atribuição para o fim do ano; efeito: memória falha, evidência perdida e benefícios não contabilizados; correção: registrar no momento do evento, com revisão trimestral do estoque de atribuições.

10. Integração com o Restante da Biblioteca

A nota consome os insumos da nota 01 da subpasta, que fornece taxa de acionamento, precisão e sobreposição por fonte, e devolve ao capítulo 11 a camada de justificativa econômica da carteira externa, ao lado do ROI de hunting da nota 03. O registro de atribuição de incidentes evitados é a extensão natural do registro de incidentes do controle RES do framework CTH, e a revisão trimestral do estoque de atribuições deve entrar no calendário do controle MET.1, com o mesmo revisor independente que as demais revisões do programa, evitando criar uma segunda governança para a mesma função.

Para o capítulo como um todo, esta nota fecha o arco que começou nos ISACs setoriais: as comunidades pedem contribuição, as plataformas pedem arquitetura, as fontes governamentais pedem integração, e as métricas pedem registro disciplinado, e o ROI é o resultado agregado de tudo isso em linguagem de orçamento. O programa que mantém o registro vivo transforma cada renovação de contrato em formalidade e cada comitê de orçamento em oportunidade de expandir a carteira com base em evidência, que é o estado final que o compartilhamento maduro permite alcançar.