Resposta direta. Uma avaliação de maturidade de segurança apura quais controles se aplicam ao ambiente e verifica quais deles estão ativos. No NTM contratado, produz índice, estado dos controles, fila de prioridades e histórico das medições. O formulário gratuito é a porta de entrada: coleta o contexto, e a equipe da NowCy indica o próximo passo para medir.
O restante deste texto abre o que está por trás dessas três entregas: o que o apurador olha no ambiente, o formato do relatório que chega na mesa, a diferença prática entre um índice reavaliável e um gap analysis de foto única, e a cadência que separa um retrato de uma curva.
O que uma avaliação de maturidade de segurança apura no ambiente?
A avaliação começa por uma pergunta de escopo: quais controles se aplicam a este ambiente. Um banco de médio porte com core bancário terceirizado, uma indústria com rede de chão de fábrica e uma operadora de saúde com prontuário eletrônico têm listas de controles aplicáveis diferentes, e comparar as três contra a mesma lista genérica produz um número bonito e inútil.
Definida a lista, o apurador verifica controle por controle se ele está ativo no ambiente, e não apenas descrito em política. Essa distinção é o coração do trabalho. Um controle de menor privilégio pode existir no documento de governança, estar configurado no console e ainda assim não ter enforcement no tráfego, porque uma regra de exceção antiga do legado deixou uma rota aberta. No papel, ativo. Na medição, inativo.
O NowCy Trust Maturity (NTM) formaliza isso numa razão simples: controles ativos divididos por controles aplicáveis ao ambiente, cada controle valendo um ponto. A fórmula declarada facilita a conferência por terceiros. Frameworks como NIST CSF 2.0, ISO/IEC 27001:2022 e CIS Controls v8 podem servir de referência técnica, sem transformar o índice em certificação ou prova automática de conformidade.
Dois recortes ajudam a dimensionar o tema. Na Pesquisa Nacional BugHunt, cerca de 240 empresas de tecnologia foram ouvidas e 96% declararam investir em segurança em 2026, contra 72% em 2021. Em outro estudo, com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação ficou em 1,61 numa escala de 0 a 5 [Vultus 2025]. Os dados não medem a mesma população nem provam causalidade; mostram por que investimento e estado dos controles precisam ser apurados separadamente.
O que a empresa recebe ao fim de uma avaliação de maturidade de segurança?
Quando o NTM é contratado, a medição produz quatro elementos confirmados para a tomada de decisão.
O índice. Um número único, com a data da medição, que serve de linha de base. É o dado que o responsável por segurança leva à reunião de diretoria sem depender da palavra de nenhum fornecedor.
O estado dos controles. A base que permite verificar quais controles aplicáveis estão ativos e quais permanecem abertos na data da medição.
A fila de prioridades. A lista dos controles abertos ordenada por peso de exposição para orientar o ciclo seguinte.
O histórico. A série de medições disponível no dashboard de acesso somente leitura, com data e mudança registrada a cada ciclo.
A validação conjunta com o time técnico é parte importante da qualidade da medição. O formato e a duração dessa etapa são definidos no escopo contratado; o artigo não promete uma sessão ou ferramenta específica.
Qual a diferença entre um índice contínuo de maturidade e um gap analysis de foto única?
Os dois formatos convivem no mercado e resolvem coisas diferentes. A tabela separa o que cada um entrega.
Deslize horizontalmente para ver toda a tabela.
| Critério | Gap analysis de foto única | Índice contínuo e reavaliável |
|---|---|---|
| Unidade de saída | Registro das lacunas na data da apuração | Índice com data e histórico por ciclo |
| Escopo | Requisitos definidos para a análise | Controles aplicáveis definidos para o ambiente |
| Horizonte | Retrato do período avaliado | Acompanhamento entre ciclos contratados |
| Uso no board | Estado observado na apuração | Evolução do estado dos controles |
| Continuidade | Depende do escopo contratado | Alimenta priorização e nova medição |
A limitação da foto única está no intervalo. Para instituições dentro do escopo da Resolução CMN 4.893, com as alterações da Resolução CMN 5.274, o teste de intrusão tem periodicidade mínima anual. Entre verificações, fornecedores, regras e aplicações podem mudar o estado dos controles.
Essa lacuna merece atenção. No estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio de R$ 8,98 milhões no Brasil. Os incidentes no ambiente Pix em 2025 também envolveram credenciais e terceiros, segundo as fontes citadas neste conjunto editorial.
Com que frequência uma avaliação de maturidade de segurança se repete?
O NTM roda num ciclo contínuo de quatro fases, e a reavaliação está dentro dele:
- Diagnóstico. Apura controles aplicáveis e ativos, e fecha o índice de partida.
- Priorização. Ordena os inativos por exposição e interdependência.
- Ativação. A equipe responsável ativa os controles da fila com o time do cliente, conforme o escopo definido.
- Medição contínua. Um novo snapshot atualiza a curva; quando o painel integra a proposta, a leitura fica disponível em acesso somente leitura.
A cadência de trabalho é definida em contrato: a medição do índice roda a cada ciclo e a reavaliação completa do escopo acompanha o calendário acordado, com revisão da lista de controles aplicáveis quando o ambiente muda de forma relevante. Em setores regulados, o planejamento pode alinhar essa reavaliação ao calendário de auditoria aplicável.
A avaliação não substitui a auditoria. A auditoria aponta a lacuna num ponto do tempo, com a independência que o regulador exige. O índice ativa e mede o controle no intervalo entre uma auditoria e a próxima. Os dois convivem, e um alimenta o outro.
Como uma avaliação de maturidade aparece no dia a dia de quem responde por segurança?
O cenário abaixo é fictício e composto, criado apenas para mostrar o mecanismo. Ele não descreve cliente nem resultado real da NowCy.
Instituição financeira de médio porte, cerca de 1.200 colaboradores, regulada pelo BACEN, com VPN e firewall de perímetro comprados há seis anos e um teste de intrusão anual em dia. O gerente de segurança acumula a função sem equipe dedicada e chega à reunião de diretoria com o relatório do teste, que a diretoria não consegue ler.
No exemplo, o controle de revisão periódica de acessos privilegiados aparece marcado como ativo pelo time porque a política existe. A verificação fictícia encontra 14 contas de fornecedor com acesso administrativo criadas fora do processo e ausentes do inventário de referência. O controle estava ativo apenas no escopo inventariado.
O item entra na fila como risco crítico e sai como ganho rápido no ciclo seguinte: as contas fora do processo entram no inventário da revisão, o controle passa para a coluna dos ativos e o índice sobe na medição seguinte. O ganho que importa aparece na reunião seguinte da diretoria: o gerente chega com o número, com a curva de dois ciclos e com a frase que o board entende, "esta exposição existia, foi medida, foi fechada, e o que sobra está aqui nesta fila".
O que ter em mãos antes de começar uma avaliação de maturidade?
A avaliação depende de acesso às evidências relevantes. Inventário de aplicações críticas, responsáveis, desenho de acesso remoto, fornecedores, políticas vigentes e resultados de verificações anteriores são exemplos de insumos úteis. A lista definitiva é combinada no escopo contratado; este parágrafo não constitui checklist oficial da NowCy.
A NowCy conduz esse trabalho como boutique de arquitetura Zero Trust. O que se contrata é o método, a responsabilidade técnica e, quando previsto no escopo, o índice NTM.
O ecossistema completa o desenho: a consultoria projeta a arquitetura, o NTM mede o estado e a evolução dos controles, o NowCy Academy apoia a capacitação da equipe e o Zero Trust Experts (ZTE) reúne a troca entre pares do mercado.
Perguntas frequentes
O que é uma avaliação de maturidade de segurança? É a apuração que define quais controles de segurança se aplicam ao ambiente, verifica quais estão ativos e registra índice, estado dos controles e fila de prioridades no escopo contratado.
Qual a diferença entre avaliação de maturidade e gap analysis? O gap analysis compara o ambiente com requisitos definidos e registra lacunas no período avaliado. A avaliação de maturidade contínua entrega um índice datado, reavaliado a cada ciclo contratado, que alimenta a priorização e a medição seguinte.
Com que frequência a avaliação deve ser refeita? A cadência é definida em contrato. A medição do índice roda a cada ciclo, a reavaliação completa do escopo acompanha o calendário acordado, e a lista de controles aplicáveis é revista quando o ambiente muda de forma relevante. O calendário regulatório aplicável pode orientar esse planejamento.
A avaliação de maturidade substitui a auditoria ou o pentest? Os três se somam e cada um cumpre um papel próprio. A auditoria aponta lacunas com independência formal, o teste de intrusão exercita a exploração técnica, e a avaliação de maturidade mede se os controles seguem ativos no intervalo entre esses eventos.
Preciso ter uma arquitetura Zero Trust para ser avaliado? O índice mede os controles aplicáveis ao ambiente que existe hoje, inclusive em ambiente ainda apoiado em VPN e firewall de perímetro. O resultado pode informar as decisões sobre a saída do legado.
O que é o NowCy Trust Maturity (NTM)? O NowCy Trust Maturity (NTM) é o índice da NowCy que mede o estado observado dos controles aplicáveis ao ambiente. Quando contratado, ele calcula a razão entre controles verificados como ativos e controles aplicáveis, com cada controle valendo um ponto, e registra o ciclo de diagnóstico, priorização, ativação e medição. Painel, frequência e forma de acesso seguem a proposta. A fórmula é declarada para que um auditor externo consiga refazer a conta a partir do inventário e das evidências do ciclo.