Mesmo organizações maduras continuam entre as vítimas dos incidentes mais notáveis dos últimos anos. Possuem certificações reconhecidas, programas de segurança bem estruturados, equipes dedicadas e investimento contínuo em tecnologia. Ainda assim, falham.
A constatação é desconfortável porque desafia uma das crenças mais difundidas no mercado: a de que seria possível atingir, quantificar e sustentar um nível estável e definitivo de maturidade em cibersegurança.
Os acontecimentos recentes sugerem algo diferente. A maturidade se forma, evolui, sofre desgaste, responde a mudanças organizacionais e pode até regredir quando os mecanismos que a sustentam deixam de operar de forma articulada.
Essa reflexão está no centro da Helix Cyber Resilience Architecture, arquitetura conceitual desenvolvida por Daniel Ferreira Porta, CISO da DANRESA, e publicada no paper “The Helix Cyber Resilience Architecture: Articulating Human Formation, Operational Integration, and Governance Across the Cyber Resilience Lifecycle”, disponível na SSRN, plataforma científica mantida pela Elsevier.
A proposta chama atenção por deslocar o debate. De um tema amplamente explorado – a presença de controles e capacidades de segurança – para uma discussão menos frequente: os mecanismos que permitem à maturidade em cibersegurança se formar, evoluir, manter-se consistente e responder às mudanças que pessoas e instituições enfrentam ao longo do tempo.
O limite dos modelos estáticos de maturidade
Boa parte dos frameworks utilizados atualmente foi concebida para avaliar o estágio de maturidade de uma organização a partir de um recorte específico no tempo.
A leitura costuma emergir da análise de controles implementados, aderência regulatória, processos documentados, indicadores de desempenho e estruturas de governança.
Essa abordagem foi fundamental para a profissionalização da segurança da informação e segue relevante. O desafio aparece quando a avaliação se concentra apenas no retrato atual da organização.
Uma empresa pode apresentar plena aderência a frameworks reconhecidos e, ainda assim, enfrentar dificuldades significativas diante de um incidente real. Da mesma forma, pode possuir processos robustos de resposta e perceber, durante uma crise, que decisões críticas dependem de fatores que não aparecem em auditorias ou avaliações formais.
Existe uma diferença importante entre possuir capacidades e conseguir sustentá-las sob pressão. É exatamente nesse ponto que a Helix Cyber Resilience Architecture propõe uma nova leitura da maturidade cibernética.
Resiliência como uma capacidade em evolução
A arquitetura parte de um princípio: a resiliência cibernética não deve ser entendida como um estado que se “atinge” em determinado nível e ali se estabiliza. Trata-se de uma capacidade em evolução, desenvolvida de forma progressiva ao longo do tempo.
Mais do que avaliar as capacidades existentes em um dado momento, a Helix busca compreender como essas capacidades são formadas, articuladas e sustentadas. E faz isso a partir de uma escolha conceitual central: sua unidade de análise é o indivíduo em contexto – a pessoa considerada em relação aos ambientes de exposição, prática e responsabilidade em que atua ao longo de sua trajetória.
É a maturidade dessas pessoas – quem forma, quem opera e quem decide – que, somada e articulada, sustenta a resiliência das instituições. A resiliência organizacional, nessa leitura, não é o ponto de partida da medição: é o resultado que emerge da continuidade estrutural dessa maturidade humana ao longo do ciclo de vida.
Para organizar essa leitura, a Helix estrutura a evolução da maturidade em três curvas interdependentes – formativa, operacional e de governança, unificadas por uma variável comum: a maturidade do indivíduo frente à exposição ao risco cibernético. As três são descritas separadamente, mas operam como um sistema integrado, no qual a maturidade desenvolvida em uma curva influencia a que pode ser sustentada nas demais.
Um ponto essencial – e que costuma ser mal compreendido – é que as três curvas não descrevem três tipos diferentes de pessoa, nem três públicos distintos a serem comunicados. Elas descrevem o mesmo indivíduo atuando em dimensões diferentes do ciclo de vida da resiliência cibernética: da formação inicial à responsabilidade estratégica.
As 3 curvas:
- A curva formativa diz respeito ao desenvolvimento pré-operacional do comportamento e da consciência digital. É a fase em que a pessoa é formada – em contextos educacionais, culturais e de início de carreira – e em que a exposição ao risco tende a ser mediada, supervisionada e estruturada. Isso permite construir uma base comportamental antes das consequências típicas dos ambientes profissionais reais. A solidez dessa base influencia diretamente o que poderá ser sustentado nas etapas seguintes.
- A curva operacional trata da integração desse comportamento em ambientes profissionais reais. Aqui a exposição é direta e não mediada: ações e omissões têm consequências concretas sobre sistemas, processos e equipes. É a curva em que conhecer um risco deixa de ser suficiente – o que importa é sustentar o comportamento adequado sob pressão, com tempo reduzido para decisão e em cenários de complexidade variável. Reconhecer uma tentativa sofisticada de phishing no meio de uma rotina operacional intensa, por exemplo, é um desafio bem distinto de apenas saber, em tese, que phishing é perigoso.
- A curva de governança trata do alinhamento da resiliência cibernética com a liderança, a responsabilidade executiva e a decisão estratégica. Nesse nível, as decisões influenciam de forma sistêmica a postura de cibersegurança de organizações e, em alguns casos, de ecossistemas inteiros. O risco cibernético passa a ser situado ao lado da continuidade de negócios, da exposição regulatória, da gestão de riscos corporativos e da proteção de ativos estratégicos.
A articulação entre essas curvas é o que sustenta, ou fragiliza, a resiliência ao longo do tempo. A Helix identifica ainda as transições entre curvas (da formativa para a operacional e da operacional para a de governança) como elementos arquiteturais específicos: pontos em que a continuidade da maturidade pode se consolidar ou se romper. Quando formação, operação e governança não evoluem de forma articulada, é justamente nessas transições que as lacunas se abrem e a capacidade de resposta fica em risco.
O comportamento sob risco como indicador de maturidade
Um dos pontos mais distintivos da Helix é a forma como a maturidade é observada.
Modelos convencionais costumam verificar a presença de controles, processos ou requisitos de conformidade. A arquitetura propõe que a análise se concentre no comportamento observável do indivíduo quando exposto ao risco – e, sobretudo, na redução de risco que esse comportamento efetivamente produz.
A proposta não descarta os controles técnicos, que são e continuarão sendo essenciais. A distinção está em reconhecer que os controles, isoladamente, não revelam como pessoas, equipes e lideranças reagem sob a pressão do dia a dia, com informação incompleta e necessidade de decisão rápida.
Para isso, a Helix considera elementos como contexto, tempo de resposta, pressão e capacidade de adaptação, ancorando a leitura de maturidade na lógica de redução observável de risco, expressa pela relação Risco = Probabilidade × Impacto, consistente com a abordagem adotada por frameworks como ISO/IEC 27001 e NIST CSF.
Sob essa ótica, resiliência não é algo atribuível apenas à tecnologia: é o que emerge da continuidade estrutural entre formação humana, integração operacional e governança, sustentada, em última instância, pela maturidade das pessoas que formam, operam e decidem.
Cinco níveis de evolução da maturidade cibernética
A arquitetura define cinco níveis de maturidade comportamental, transversais às três curvas. Ou seja, os mesmos cinco níveis descrevem a progressão na curva formativa, na operacional e na de governança – ainda que se manifestem de modo específico em cada uma delas.
A progressão vai da exposição inicial e ainda passiva ao risco até a liderança arquitetural, estágio em que o indivíduo passa a moldar de forma sistemática as condições de resiliência dos ambientes em que atua:
- Exposição Fundamental: contato inicial com o risco, sem padrões consolidados de comportamento seguro na curva considerada;
- Formação Comportamental: adoção inicial de práticas seguras, ainda inconsistente e dependente de reforço ou supervisão;
- Consistência Comportamental: comportamentos seguros internalizados e sustentados de forma autônoma em contextos variados;
- Integração Operacional: o indivíduo passa a contribuir para a resiliência do ambiente como um todo, articulando sua prática com processos, equipes e objetivos organizacionais;
- Liderança Arquitetural: impacto estrutural e sistêmico sobre as condições de resiliência, independentemente de cargo formal.
Importante: os níveis classificam a progressão da maturidade do indivíduo dentro de cada curva – não rotulam organizações (nem pessoas) em tipos fixos. Sob essa lógica, a maturidade deixa de ser um ponto final e passa a ser um caminho, com avanços, pausas e até retrocessos. Isso é particularmente verdadeiro em contextos complexos – como infraestrutura crítica, telecomunicações, energia, varejo e serviços financeiros, ambientes em que a continuidade entre as três curvas é condição para sustentar a resiliência ao longo do tempo.
Da experiência operacional à produção científica
A Helix Cyber Resilience Architecture resulta da observação continuada da cibersegurança ao longo de mais de duas décadas de prática profissional, em contextos nos quais a interdependência entre segurança, continuidade de negócios e governança corporativa impacta diretamente a capacidade de resposta das organizações.
A partir dessa observação, a arquitetura foi estruturada em formato acadêmico e publicada na SSRN, recebendo DOI internacional permanente. A publicação amplia a inserção do tema em um contexto de pesquisa mais abrangente, permitindo que universidades, pesquisadores e profissionais utilizem, analisem e aprofundem seus conceitos.
Apesar da ampla produção de relatórios, estudos técnicos e whitepapers, iniciativas que conectam a experiência operacional à produção científica ainda são pouco frequentes no Brasil no campo da cibersegurança.
Uma nova perspectiva sobre maturidade em cibersegurança
O mercado desenvolveu formas eficientes de determinar quais controles uma organização deve implementar. Há, porém, menos consenso sobre como formar e sustentar a maturidade ao longo do tempo.
A Helix Cyber Resilience Architecture contribui para essa discussão ao ampliar a análise para as dimensões comportamental, operacional e estratégica que influenciam diretamente a resiliência – e ao se posicionar como uma arquitetura complementar, e não substitutiva, aos frameworks existentes. A proposta não é substituir NIST CSF, ISO/IEC 27001, NICE, CSTA ou COBIT, mas oferecer uma camada arquitetural adicional que torna observável como a maturidade necessária para sustentar esses frameworks evolui ao longo do ciclo de vida das pessoas e das instituições.
Em um cenário de risco contínuo e em transformação constante, compreender os fatores que sustentam essa evolução pode ser tão importante quanto medir o estágio de maturidade alcançado em determinado momento.
Últimos Posts
Resiliência cibernética na prática: as 4 etapas para proteger a operação antes, durante e depois de um ataque
Leia mais »
Helix Cyber Resilience Architecture: por que a maturidade em cibersegurança precisa ser tratada como um ciclo de evolução
Leia mais »
0 comentário