Todo painel de segurança promete medir; quase nenhum decide. Equipes que mantêm um SGSI — em certificação ISO/IEC 27001 ou ainda em implantação — acumulam contadores de alertas, de treinamentos e de máquinas com agente instalado, e mesmo assim não conseguem responder se os controles reduzem risco de verdade. A ação prioritária é trocar volume por decisão: reduzir o painel a poucos indicadores, cada um com dono, limiar de acionamento e frequência de revisão definidos por escrito. A referência para esse trabalho já existe: a ISO/IEC 27004:2016 orienta a avaliação do desempenho da segurança da informação e da eficácia do sistema de gestão, atendendo à cláusula 9.1 da ISO/IEC 27001:2013. Este guia mostra como transformar essa exigência em instrumento de decisão, sem depender de ferramenta nova.
O problema das métricas decorativas
Métrica decorativa é aquela que sobe e desce sem que nenhuma decisão mude junto. O exemplo clássico é o número total de alertas gerados no mês: ele cresce quando a equipe contrata mais ferramentas ou afrouxa as regras de detecção — e não diz se a organização está mais protegida. O problema não está na coleta, e sim na ausência de vínculo entre número e escolha.
O guia de recursos do NIST para o CSF resume o papel correto da medição dentro da governança: analisar riscos em intervalos regulares e monitorá-los continuamente, com o mesmo tratamento dedicado aos riscos financeiros. Traduzindo: o indicador existe para alimentar decisão de gestão, não para enfeitar relatório. Quando um painel não muda nenhuma decisão durante um trimestre inteiro, ele não mede segurança — mede atividade.
Há ainda a exigência externa. Um SGSI certificado precisa demonstrar eficácia dos controles, e não apenas a existência deles. Contadores de atividade não sustentam essa demonstração em auditoria nem convencem uma diretoria a liberar orçamento. E os dois públicos exigem coisas diferentes da mesma medição: a operação quer sinal para agir em horas; a governança quer tendência para decidir em meses. Um desenho honesto separa esses níveis desde o início.
O que a norma estabelece
A ISO/IEC 27004:2016 organiza o trabalho em três frentes: o monitoramento e a medição do desempenho da segurança da informação; o monitoramento e a medição da eficácia do sistema de gestão, incluindo processos e controles; e a análise e avaliação dos resultados obtidos. A norma vale para organizações de todos os tipos e tamanhos — não é documento exclusivo de grandes empresas, e uma operação pequena pode começar com metade do painel que imagina precisar.
Dois pontos merecem atenção do time defensivo. O primeiro é a separação entre desempenho, que mede quanto se executou, e eficácia, que mede quanto funcionou. O segundo é que a referência está em movimento: a ISO mantém em desenvolvimento a edição 3 da ISO/IEC 27004, em fase de rascunho internacional. Isso recomenda tratar qualquer programa de medição como algo vivo, com revisão programada, e não como projeto de prateleira.
Para quem opera com o framework americano, o encaixe é direto. O CSF 2.0 do NIST organiza os resultados em funções que vão de Govern a Recover, e a função Govern concentra a estratégia, as expectativas e a política de gestão de risco, com supervisão contínua dos resultados. Nesse desenho, métricas de segurança são instrumento de governança — insumo que alimenta a função mais alta do framework, e não apêndice técnico opcional.
Como desenhar indicadores úteis
Indicador útil nasce de uma pergunta de decisão, nunca de uma fonte de dados que por acaso está disponível. Uma ficha simples força essa amarração e pode ser mantida em planilha ou wiki, com os seguintes campos:
- Pergunta de decisão: qual escolha esse número muda — manter, trocar ou ampliar um controle.
- Medida base: o dado bruto e onde ele nasce, como console de identidade, fila de tickets ou repositório.
- Medida derivada: a taxa, razão ou mediana que responde diretamente à pergunta.
- Limiar: o valor que dispara ação, definido antes do início da coleta.
- Dono: quem responde pelo número e pela ação decorrente.
- Frequência: intervalo de coleta e de revisão, separados quando necessário.
- Destino: a reunião ou comitê que consome o resultado.
Um exemplo sanitizado próprio ilustra o mecanismo. Uma equipe quer saber se vale antecipar a substituição de senhas em sistemas críticos. Medida base: logins bem-sucedidos com senha em contas administrativas por semana. Medida derivada: proporção desses acessos que ainda depende de credencial reutilizável. Limiar acordado com as partes interessadas: acima do percentual definido internamente, o sistema entra na fila de migração. Pronto — o indicador passou a alimentar roteiro, e não apenas gráfico.
Automação ajuda a coletar, mas não decide por ninguém. Automatize a medida base desde o primeiro dia; deixe limiar e dono em discussão humana até o histórico mostrar estabilidade. Essa disciplina conversa com práticas que o portal já detalhou: a quantificação e o registro de decisões tratados no guia sobre registro de risco e a leitura de controles pela ótica do risco aceitável apresentada na análise do CIS RAM.
Painel mínimo para decisão
Antes de expandir, enxugue. Um painel de partida para uma operação de porte médio cobre as perguntas que a diretoria e o comitê realmente fazem, com fonte e destino definidos:
| Indicador | Fonte de dado | Decisão que dispara | Revisão |
|---|---|---|---|
| Cobertura de autenticação forte nas contas administrativas | Console de identidade | Priorizar migração dos sistemas descobertos | Mensal |
| Tempo entre detecção e contenção de incidente | Tickets e registros de resposta | Revisar runbook ou reforçar plantão | Mensal |
| Falhas corrigidas dentro do prazo acordado por criticidade | Gestão de vulnerabilidades | Escalar para donos de sistema em atraso | Quinzenal |
| Cobertura do inventário de ativos críticos | CMDB ou planilha mantida | Abrir busca por ativos não mapeados | Trimestral |
| Backups com restauração testada no trimestre | Registro de execução do teste | Reabrir teste ou trocar solução | Trimestral |
| Contas com revisão de acesso vencida | Processo de revisão periódica | Bloquear ou reduzir privilégios | Mensal |
Cada linha acima já nasce com pergunta, dono possível e destino natural. Se a sua organização não consegue preencher a coluna de decisão para um indicador existente, esse é o primeiro candidato a sair do painel.
Erros que invalidam o painel
Quatro erros aparecem em quase todo programa de métricas que fracassa. Primeiro, limiar por sentimento: o número é coletado, mas ninguém definiu o valor que dispara ação, e a discussão sobre o que está ruim recomeça a cada reunião. Segundo, métrica sem dono: o gráfico existe, mas ninguém responde pela mudança quando o limite estoura. Terceiro, incentivo perverso: premiar queda no volume de alertas abre espaço para regras mais permissivas e para ocorrências que deixam de ser registradas. Quarto, linha de base congelada: comparar o mês com o anterior exige histórico; sem ele, todo limiar é chute.
Há também a confusão entre conformidade e eficácia. Percentual de treinamento concluído mede presença, não capacidade de reconhecer ataque. Se a pergunta de decisão é sobre o usuário reconhecer um golpe, a medida precisa vir de exercício simulado — e o indicador correto é outro, mesmo que o primeiro seja mais fácil de coletar.
Plano de adoção com prioridades
A implantação funciona melhor em duas ondas, com entregas curtas:
- Prioridade P1, primeiras semanas: escolher entre cinco e oito indicadores com pergunta de decisão explícita; nomear dono e limiar para cada um; definir frequência de coleta e a reunião que consome o resultado; versionar tudo em documento acessível — é essa a evidência que sustenta a etapa de avaliação do SGSI em auditoria.
- Prioridade P2, trimestre seguinte: revisar limiares com o histórico acumulado; reconciliar o painel com o registro de riscos, garantindo que cada risco relevante tenha ao menos um indicador associado; e submeter o conjunto ao comitê, amarrando a leitura à função Govern do CSF e à supervisão contínua recomendada pelo NIST.
A regra de manutenção é simples: indicador que não mudou nenhuma decisão em dois trimestres seguidos sai do painel ou ganha pergunta nova. Medição parada vira decoração — e decoração custa a credibilidade do programa inteiro na próxima auditoria.