Indicadores e métricas de segurança cibernética: como medir a evolução do seu programa

Todo programa maduro de segurança cibernética precisa responder, com números, a uma pergunta simples que a diretoria repete a cada trimestre: estamos melhores ou piores do que estávamos três meses atrás? A resposta não pode depender de percepção, de bom humor no dia da reunião ou da última manchete sobre ransomware. Ela vem de um conjunto disciplinado de indicadores e métricas de segurança cibernética, construído com metodologia, revisado com frequência e apresentado no idioma correto para cada público.

Este artigo consolida a visão de fontes reconhecidas sobre o tema, incluindo a ISO/IEC 27004:2016, a NIST SP 800-55 Volumes 1 e 2 (publicada em dezembro de 2024 pelo NIST), o Cybersecurity Framework 2.0 do NIST, o benchmark de métricas orientadas a resultado da Gartner e a produção editorial da Deloitte e da KPMG sobre reporte executivo de cibersegurança. O objetivo é dar ao gestor de segurança um mapa prático, separando com clareza indicadores operacionais e indicadores estratégicos, evitando o erro clássico de tratar controle e indicador como se fossem a mesma coisa.

Por que medir a evolução da segurança cibernética

Medir existe para três finalidades objetivas: decidir onde investir, comprovar o valor gerado pelo investimento já feito e detectar tendências antes que virem incidentes. A ISO/IEC 27004:2016, que orienta o monitoramento, a medição, a análise e a avaliação do Sistema de Gestão de Segurança da Informação, deixa claro que a organização deve determinar o que medir, como medir, quando medir e quem é responsável, sob pena de gerar dados sem conclusão. A NIST SP 800-55 Volume 1 adiciona a classificação clássica em medidas de implementação, de eficácia e de impacto, que descreve bem a jornada de amadurecimento de qualquer programa.

Sem medição, o CISO negocia orçamento com adjetivos. Com medição, negocia com evidência. A diferença aparece em três momentos: no comitê executivo, quando é preciso justificar continuidade de investimento; no board, quando é preciso mostrar postura de risco alinhada ao apetite declarado; e no dia a dia da operação, quando é preciso saber se o SOC próprio ou terceirizado está performando dentro dos acordos de nível de serviço contratados.

Indicadores não são controles: a distinção que muitos programas erram

Um erro recorrente em programas de segurança é confundir controle com indicador. Controle é a medida implantada para reduzir risco, como um firewall de nova geração, uma política de autenticação multifator, o processo de gestão de vulnerabilidades ou o treinamento anual de conscientização. Indicador é o número que descreve se aquele controle está presente, se está funcionando como projetado e se está entregando o resultado esperado. A ISO/IEC 27004:2016 organiza essa distinção em três camadas: medidas base (dados brutos coletados diretamente do ambiente), medidas derivadas (cálculos a partir de duas ou mais medidas base) e indicadores (interpretações que respondem a uma pergunta de gestão).

Um exemplo prático: MFA é o controle. O percentual de contas privilegiadas com MFA ativo é uma medida derivada. O indicador é a comparação desse percentual com a meta e a tendência ao longo dos últimos trimestres. Confundir os três leva a relatórios que listam controles implementados como se fossem evidência de segurança, quando na verdade são apenas evidência de que a organização gastou dinheiro. A NIST SP 800-55 Volume 2 dedica atenção especial a esse ponto, orientando a modelagem de cada medida com propósito, fórmula, unidade, frequência, meta e responsável.

Frameworks de referência para construir a bateria de indicadores

Antes de escolher métricas, o gestor precisa se apoiar em um referencial reconhecido. Os cinco mais utilizados em consultoria de cibersegurança no Brasil e no exterior são:

• ISO/IEC 27004:2016: orienta como monitorar, medir, analisar e avaliar o SGSI (Sistema de Gestão de Segurança da Informação), com a estrutura de medidas base, medidas derivadas e indicadores. Referência obrigatória para organizações em jornada ISO/IEC 27001.
• NIST SP 800-55 Volumes 1 e 2 (dez/2024): guia de medição para segurança da informação, com o Volume 1 focado em identificar e selecionar medidas e o Volume 2 em desenvolver o programa de medição. Substitui a antiga SP 800-55 Rev. 1.
• NIST Cybersecurity Framework 2.0 (fev/2024): as seis funções (Governar, Identificar, Proteger, Detectar, Responder e Recuperar) fornecem a espinha dorsal natural para agrupar indicadores por função de segurança.
• CIS Controls v8.1: os 18 controles críticos e suas Safeguards são candidatos naturais a medidas de implementação, cobrindo higiene de segurança de forma priorizada.
• Gartner Cybersecurity Business Value Benchmark: propõe 25 métricas orientadas a resultado (Outcome-Driven Metrics, ODM), desenhadas para conectar investimento em proteção ao nível de risco tolerado pela alta gestão.

Adotar um framework como base não elimina a necessidade de customização, mas evita o erro de inventar métricas sem lastro conceitual e facilita a comparação da organização com benchmarks setoriais.

Indicadores operacionais: a linha de frente do programa

Indicadores operacionais medem a saúde diária dos processos e dos controles técnicos. São consumidos por gestores de segurança, líderes de SOC, responsáveis por gestão de vulnerabilidades, engenharia de segurança e resposta a incidentes. Costumam ter cadência semanal ou mensal e respondem à pergunta: nossa operação está funcionando dentro do padrão? Os principais, com base nas fontes consultadas, incluem:

• MTTD (Mean Time to Detect): tempo médio entre o momento em que uma ameaça se torna presente no ambiente e o momento em que a ferramenta de segurança gera o alerta. Deve ser medido por tipo de ameaça, pois o MTTD para ransomware é diferente do MTTD para fraude de e-mail corporativo.
• MTTR (Mean Time to Respond): tempo médio da geração do alerta até o fechamento do incidente. Ganha profundidade quando decomposto em tempo até triagem, tempo até contenção e tempo até remediação, revelando gargalos distintos em cada etapa.
• MTTC (Mean Time to Contain): tempo médio até a contenção efetiva, medindo a capacidade de impedir movimentação lateral e propagação da ameaça.
• Aderência a SLA de vulnerabilidades: percentual de vulnerabilidades remediadas dentro do prazo definido por severidade.
• Cobertura de detecção: percentual de técnicas do MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) monitoradas por regras ativas em relação ao escopo de ameaças priorizadas para o negócio.
• Taxa de falso positivo dos alertas: alertas não acionáveis divididos pelo total de alertas gerados.
• Cobertura de EDR/XDR: percentual de endpoints com agente ativo e reportando, um dos indicadores mais sensíveis a problemas silenciosos de operação.
• Patch Compliance Rate: percentual de sistemas na versão mais recente de patches críticos e altos, medido por população homogênea (servidores, estações, dispositivos de rede).
• Densidade de vulnerabilidades por ativo: média de vulnerabilidades abertas por ativo, útil para comparar unidades de negócio e priorizar esforço.
• Taxa de reincidência: percentual de vulnerabilidades que reaparecem após serem marcadas como corrigidas, indicador direto de qualidade da remediação.
• Cobertura de escaneamento: percentual do parque escaneado dentro do ciclo definido, tipicamente trinta dias.
• Taxa de conclusão de treinamento de conscientização e taxa de clique em phishing simulado: medem, na ponta humana, respectivamente adesão e susceptibilidade, e ambas devem ser reportadas em conjunto.

Nenhum indicador operacional isolado explica a segurança do ambiente. O valor está na leitura em conjunto e, principalmente, na tendência ao longo do tempo. Um MTTR estável e alto pode ser tão preocupante quanto um MTTD que oscila mês a mês, porque revela problema estrutural, não pontual.

Indicadores estratégicos: a leitura executiva do programa

Indicadores estratégicos traduzem a saúde do programa para a linguagem da alta gestão, informando decisões de alocação de capital, aceitação de risco e diálogo com reguladores, seguradoras e clientes. Têm cadência trimestral ou semestral, focam em tendências e sempre carregam uma leitura de risco de negócio. Os principais recomendados pelas fontes consultadas são:

• Valor em Risco Cibernético (Cyber VaR): estimativa monetária da perda máxima esperada por incidentes cibernéticos em um horizonte definido, geralmente calculada por simulação de Monte Carlo sobre cenários ponderados. A Deloitte defende a quantificação financeira do risco cibernético em bases equivalentes às demonstrações financeiras, para que a decisão seja tão confiável quanto qualquer outra decisão de capital.
• ROSI (Return on Security Investment): retorno percentual do investimento em segurança, calculado como redução do Valor em Risco. Serve para comparar iniciativas concorrentes de investimento.
• Exposição ponderada por EPSS (Exploit Prediction Scoring System): soma do EPSS multiplicado pela severidade normalizada de cada vulnerabilidade aberta, deslocando a prioridade da simples criticidade técnica para a probabilidade real de exploração no mundo real.
• Aderência ao apetite de risco declarado: percentual de riscos residuais dentro da faixa aprovada pela diretoria, indicador central de qualquer relatório de risco maduro.
• Maturidade por função do NIST CSF 2.0: score de maturidade em escala de 0 a 4 para cada função (Governar, Identificar, Proteger, Detectar, Responder e Recuperar), com tendência trimestral. É o painel mais aceito para conversar com o board em termos de postura, não de tarefa.
• Cobertura de controles críticos do CIS Controls v8.1 IG1, IG2 e IG3: percentual das Safeguards implementadas em cada Implementation Group aplicável ao porte da organização.
• Tempo médio de remediação de CVEs críticos desde a divulgação pública: métrica externa, comparável a benchmarks setoriais, que fala diretamente ao board sobre disciplina de patch.
• Cobertura de backup e RTO/RPO efetivos: percentual de sistemas críticos com backup válido e o tempo de restauração comprovado em teste, indicadores centrais de resiliência exigidos por seguradoras e por reguladores como o Banco Central do Brasil na Resolução BCB nº 85.
• Adequação da apólice de seguro cibernético: razão entre a estimativa de perda máxima esperada e a cobertura contratada, indicador financeiro relevante para o CFO.
• Percentual de fornecedores críticos com avaliação de risco vigente: indicador que ganha peso com o avanço de exigências como a Diretiva NIS2 na União Europeia e as regras de terceiros das agências reguladoras brasileiras.
• Prontidão a incidente medida em exercício: tempo até detecção, contenção e recuperação observado em tabletop e simulação, valor real, não teórico.

Como a Gartner e a NIST SP 800-55 Vol. 2 recomendam, esses indicadores devem ser apresentados sempre como linhas de tendência, nunca como fotografias isoladas. O board precisa enxergar se o programa está reduzindo risco mais rápido do que as ameaças estão evoluindo.

Como construir a bateria de indicadores: método em seis passos

Não existe conjunto único de indicadores válido para toda organização. Existe, sim, um método replicável que a Cibersec adota em seus projetos, alinhado a ISO/IEC 27004:2016 e NIST SP 800-55 Vol. 2:

• 1. Definir as perguntas de gestão: listar de cinco a dez perguntas objetivas que o CISO, o CEO e o board precisam ver respondidas. Cada indicador nasce para responder a uma delas.
• 2. Mapear o objeto de medição: identificar o processo, o controle ou o ativo que fornecerá os dados. Sem fonte de dado confiável não existe indicador confiável.
• 3. Modelar cada medida: documentar fórmula, unidade, frequência, meta, tolerância, dono do indicador e sistema de origem, em ficha própria.
• 4. Definir metas com lastro: meta interna, meta contratual (SLA) e benchmark externo quando aplicável. Meta sem lastro vira número decorativo.
• 5. Automatizar a coleta: sempre que possível, o dado deve sair do SIEM, do EDR, da plataforma de gestão de vulnerabilidades ou da GRC (Governance, Risk and Compliance), sem coleta manual, que é fonte crônica de erro e atraso.
• 6. Revisar a bateria periodicamente: indicadores envelhecem. A cada seis a doze meses o portfólio de métricas deve ser reavaliado à luz da evolução do negócio, das ameaças e do programa.

Cadência, governança e reporte

A cadência recomendada é: indicadores operacionais em ciclo mensal, para o CISO e o líder de operações; indicadores táticos em ciclo mensal, para o comitê de segurança; indicadores estratégicos em ciclo trimestral, para o comitê executivo e o board. Cada camada consome a anterior de forma agregada. O board não deve ver MTTR semanal, e o SOC não deve ser cobrado por Cyber VaR.

A governança do painel é tão importante quanto o painel em si. Precisa haver um dono formal para cada indicador, um responsável pela coleta, um responsável pela análise e um comitê onde as decisões baseadas nos números são tomadas e registradas. Sem governança, o dashboard vira mural.

Erros comuns na definição de indicadores de segurança

• Confundir volume com valor, reportar quantidade de alertas, ataques bloqueados ou tickets fechados sem conectar ao risco reduzido.
• Listar controles implantados como se fossem indicadores de segurança, sem medir sua eficácia.
• Escolher métricas apenas porque a ferramenta as gera, ignorando as perguntas de gestão que deveriam ser respondidas.
• Reportar snapshots isolados, sem tendência, impossibilitando a leitura de melhora ou piora.
• Não separar público, misturando em uma mesma apresentação números de SOC e números de risco financeiro.
• Metas fixas sem revisão, que rapidamente ficam descoladas da realidade do negócio e das ameaças.
• Ausência de dono e de sistema de origem, com números que ninguém consegue reproduzir na próxima reunião.

Como a Cibersec ajuda

A Cibersec estrutura, para os seus clientes, o painel completo de indicadores e métricas de segurança cibernética, alinhado a ISO/IEC 27004:2016, NIST SP 800-55 Volumes 1 e 2, NIST Cybersecurity Framework 2.0, CIS Controls v8.1 e ao apetite de risco declarado pela diretoria. O trabalho é conduzido em modelo V-CISO (Virtual Chief Information Security Officer), com transferência progressiva de conhecimento para a equipe interna do cliente. Esse painel se conecta diretamente ao roadmap de segurança de 12 meses e ao Plano Diretor de Segurança da Informação, servindo como evidência de evolução em cada ciclo de revisão.

Glossário rápido de siglas

• SGSI: Sistema de Gestão de Segurança da Informação (ISMS, Information Security Management System).
• KPI: Key Performance Indicator, indicador chave de desempenho.
• MTTD: Mean Time to Detect, tempo médio até detectar.
• MTTR: Mean Time to Respond, tempo médio até responder.
• MTTC: Mean Time to Contain, tempo médio até conter.
• SLA: Service Level Agreement, acordo de nível de serviço.
• SOC: Security Operations Center, centro de operações de segurança.
• EDR: Endpoint Detection and Response, detecção e resposta em endpoint.
• XDR: Extended Detection and Response, detecção e resposta estendida.
• SIEM: Security Information and Event Management, gestão de eventos e informações de segurança.
• GRC: Governance, Risk and Compliance, governança, risco e conformidade.
• CVE: Common Vulnerabilities and Exposures, catálogo público de vulnerabilidades.
• EPSS: Exploit Prediction Scoring System, escore de probabilidade de exploração.
• MITRE ATT&CK: Adversarial Tactics, Techniques and Common Knowledge, base de conhecimento de táticas e técnicas de adversários.
• ODM: Outcome-Driven Metrics, métricas orientadas a resultado (Gartner).
• ROSI: Return on Security Investment, retorno do investimento em segurança.
• VaR: Value at Risk, valor em risco.
• RTO: Recovery Time Objective, objetivo de tempo de recuperação.
• RPO: Recovery Point Objective, objetivo de ponto de recuperação.
• CSF: Cybersecurity Framework (NIST).
• CIS: Center for Internet Security.
• IG: Implementation Group, grupo de implementação (CIS Controls).
• NIS2: Network and Information Security Directive 2, diretiva europeia de segurança de redes e sistemas de informação.
• BCB: Banco Central do Brasil.

Fontes consultadas: ISO — ISO/IEC 27004:2016 Information technology, Security techniques, Information security management, Monitoring, measurement, analysis and evaluation (iso.org); NIST — Special Publication 800-55 Vol. 1 e Vol. 2, Measurement Guide for Information Security, dezembro de 2024 (csrc.nist.gov); NIST — Cybersecurity Framework 2.0, fevereiro de 2024 (nist.gov); CIS — Critical Security Controls v8.1 (cisecurity.org); Gartner — 4 Metrics That Prove Your Cybersecurity Program Works e Cybersecurity Business Value Benchmark (gartner.com); Deloitte Brasil — A segurança cibernética e seu papel central na tomada de decisões junto ao C-level (deloitte.com); KPMG — Cybersecurity considerations 2025 e 2026 (kpmg.com); SentinelOne — Cybersecurity Metrics and KPIs What to Track (sentinelone.com); Banco Central do Brasil — Resolução BCB nº 85 (bcb.gov.br).