Uma consultoria Zero Trust projeta a arquitetura de acesso da empresa, define os controles aplicáveis ao ambiente e conduz a implantação. Na comparação de propostas, quatro pontos decidem: quem desenha a arquitetura, se existe um índice conferível por auditor que produza evidência do resultado, quem opera o ambiente depois e com qual SLA por escrito, e como a proposta trata a exposição residual.
Este artigo abre os quatro critérios, com as perguntas exatas para levar à próxima reunião de fornecedor e o que aceitar como resposta suficiente. Ele foi escrito para quem responde por segurança e precisa defender a escolha diante da diretoria com lastro, sem depender da palavra de quem está vendendo.
Por que ficou difícil comparar propostas de consultoria Zero Trust?
O conceito já é base aceita no mercado regulado brasileiro, onde a adoção de Zero Trust já começou. Ao mesmo tempo, 96% das empresas investem em segurança em 2026, contra 72% em 2021 [Pesquisa Nacional BugHunt, cerca de 240 empresas de tecnologia]. A adoção parou de ser o diferencial.
Em estudo com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação está em 1,61 numa escala de 0 a 5 [Vultus 2025]. Esse recorte não mede a qualidade das propostas do mercado; ele reforça por que o comprador precisa pedir evidência verificável em vez de decidir pelo vocabulário comercial.
Os quatro critérios abaixo existem para tirar essa conversa do terreno da promessa.
O que uma consultoria Zero Trust entrega, na prática?
Antes dos critérios, o entregável. Ao comparar propostas, procure quatro elementos e verifique quais estão formalmente dentro do escopo:
- Diagnóstico do ambiente atual. Inventário de identidades, acessos, aplicações, rotas de rede e controles já implantados, com o que está ativo e o que está apenas configurado no papel.
- Desenho da arquitetura de acesso. Como identidade, dispositivo, aplicação e rede passam a ser verificados a cada acesso, com o caminho de saída do legado (VPN e firewall perimetral) escrito em etapas reversíveis.
- Condução da implantação. Priorização por peso de exposição, ativação controle a controle e acompanhamento com especialista que domina o ambiente, em vez de transferir ao time interno um roadmap em PDF.
- Medição continuada do resultado. O número que mostra, ciclo a ciclo, quais controles aplicáveis ao ambiente estão de fato ativos, e quanto de exposição residual sobrou.
O quarto item permite acompanhar o resultado depois da implantação e sustentar a conversa com a diretoria ao longo do contrato.
Critério 1: quem desenha a arquitetura, e quem apenas entrega a tecnologia?
A pergunta que separa: "o desenho da arquitetura é um entregável nomeado no contrato, com responsável técnico, ou ele aparece embutido no fornecimento da solução?"
Uma proposta de arquitetura descreve o estado atual, o estado alvo e a sequência entre os dois, com decisão justificada em cada ponto de controle. Uma proposta de catálogo descreve produtos, licenças e prazos de ativação. As duas citam as mesmas siglas, e o preço sozinho não separa uma da outra.
Três sinais úteis de leitura:
- A tecnologia entra depois da decisão de arquitetura, e não antes. A escolha do motor de execução (o produto que aplica o controle) deveria sair do ambiente, do porte e da regulação que se aplica à empresa. Quando a proposta chega com o produto já definido antes do diagnóstico, o desenho foi ajustado ao catálogo disponível.
- O escopo nomeia controles, não módulos. "Verificação de identidade por aplicação", "menor privilégio em acesso administrativo" e "segmentação entre ambientes críticos" são controles. "Pacote avançado" é módulo comercial.
- As dependências estão declaradas. Peça por escrito quais partes do desenho dependem do motor de execução atual, quais são portáveis e o que muda se a tecnologia for substituída.
Critério 2: existe um índice conferível por auditor, ou apenas um relatório?
Este critério precisa ser verificado na proposta: qual número será produzido, de onde vem a evidência e quem consegue refazer a conta.
A pergunta que separa: "depois da implantação, qual número mostra se os controles aplicáveis ao meu ambiente estão ativos, com que frequência ele é atualizado, e um auditor externo consegue refazer a conta?"
Um relatório de avaliação registra o estado na data da coleta. Para instituições dentro do escopo da Resolução CMN 4.893, o artigo 22-A incluído pela Resolução CMN 5.274 exige teste de intrusão com periodicidade mínima anual, execução independente e documentação dos resultados. Entre verificações, aplicações, integrações e fornecedores podem alterar o estado dos controles.
Um índice conferível funciona de outro modo. Ele tem três propriedades verificáveis, e vale exigir as três:
- Fórmula explícita e simples. O NowCy Trust Maturity (NTM), por exemplo, calcula a razão entre controles ativos e controles aplicáveis ao ambiente do cliente, com um ponto por controle. A fórmula declarada facilita a conferência a partir da evidência.
- Escopo definido pelo ambiente. O denominador precisa ser a lista dos controles aplicáveis àquela empresa, com as inclusões e exclusões registradas.
- Histórico e acesso somente leitura. O comprador precisa ver a curva, e não apenas o ponto de hoje. Painel com acesso de leitura para o time interno e para a auditoria fecha o ciclo.
Dois números podem responder a perguntas diferentes. Cobertura de framework organiza aderência a uma referência; painel de produto mostra o que uma ferramenta observa. Nenhum dos dois, isoladamente, demonstra o estado de todos os controles aplicáveis ao ambiente.
Critério 3: quem opera o ambiente depois, e com qual SLA por escrito?
A pergunta que separa: "quem atende o chamado depois da implantação, qual o prazo de resposta contratado por severidade e qual a consequência prevista quando esse prazo não é cumprido?"
Depois da implantação, a proposta precisa explicar como projeto e sustentação se conectam. Sem papéis, escalonamento e SLA formal, o comprador perde clareza sobre quem responde e como cobrar.
O que exigir na proposta, item a item:
- SLA formal por escrito, com prazo por severidade, dentro do contrato, e não em anexo de marketing.
- Nomes e papéis do time que fica: líder técnico, ponto de relacionamento e analista de sustentação.
- Regra de escalonamento e a consequência do descumprimento.
- Continuidade entre o time de projeto e o time de sustentação, ou o processo formal de transferência entre eles.
O comparativo de custo precisa considerar equipe interna, cobertura, responsabilidades, SLA e dependências do fornecedor. A decisão fica defensável quando esses elementos aparecem com premissas e preço total, sem estimativa genérica de mercado.
Critério 4: como a proposta trata a exposição residual?
A pergunta que separa: "o que continua exposto depois que tudo isso for implantado, e como esse resíduo será acompanhado?"
A resposta a essa pergunta é o teste de honestidade da consultoria. Nenhuma arquitetura zera risco. Proposta que promete blindagem, imunidade ou proteção total está vendendo uma certeza que ninguém pode entregar, e essa mesma linguagem vai constranger o responsável por segurança na primeira reunião pós-incidente.
O contexto brasileiro torna isso concreto. Informações públicas sobre os incidentes da C&M Software e da Sinqia, em 2025, destacaram credenciais e fornecedores conectados. Os relatos não demonstram que uma arquitetura específica teria evitado os episódios. No estudo IBM Cost of a Data Breach 2025, violações iniciadas por comprometimento de terceiros e da cadeia tiveram custo médio estimado de R$ 8,98 milhões no Brasil.
Uma proposta madura, portanto, escreve o resíduo: o que fica exposto, por que fica, quanto custaria fechar, e em que ciclo esse número será revisto. Isso é o que dá ao comprador uma conversa defensável na diretoria.
Quais perguntas levar para a próxima reunião de fornecedor?
Oito perguntas, na ordem. Elas funcionam com qualquer proposta, inclusive com a da NowCy.
- O desenho da arquitetura é entregável nomeado no contrato, com responsável técnico?
- A tecnologia foi escolhida antes ou depois do diagnóstico do meu ambiente?
- Qual a fórmula do número que vocês vão me entregar depois da implantação?
- Um auditor externo consegue refazer essa conta a partir da evidência do meu ambiente?
- Com que frequência esse número é atualizado, e eu vejo o histórico?
- Quem atende o chamado depois da implantação, e qual o SLA por severidade dentro do contrato?
- O que continua exposto depois de tudo implantado?
- Se eu trocar o motor de execução, quais partes do desenho permanecem válidas e quais precisam ser refeitas?
Uma proposta que responde às oito por escrito entrega ao comprador material verificável para levar ao board, com responsável, prazo e fórmula por escrito.
Um exemplo ilustrativo: o controle que estava no diagrama e não estava no tráfego
O exemplo abaixo é fictício e composto, criado apenas para mostrar o mecanismo de um controle que consta no diagrama e não aparece no tráfego. Ele não descreve cliente nem resultado real da NowCy.
Numa instituição financeira de médio porte sob supervisão do BACEN, com aproximadamente 900 colaboradores, o diagrama de arquitetura mostrava verificação de identidade em todas as aplicações internas. O time acreditava nisso, e a documentação sustentava a crença.
Na primeira medição de controles ativos, um grupo de aplicações legadas apareceu fora da verificação. Elas tinham sido migradas anos antes por uma exceção temporária que virou permanente, e o controle constava como configurado, sem enforcement no tráfego. Nenhum relatório anual havia apontado isso, porque a coleta olhava a configuração declarada.
No exemplo, a exceção entra na fila de priorização e a medição seguinte registra o estado do controle. O cenário ilustra como um dado do próprio ambiente pode apoiar a decisão; não representa cliente, prazo ou resultado real da NowCy.
O que a NowCy responde a cada um dos quatro critérios?
A NowCy é uma boutique de arquitetura Zero Trust. Ela projeta a arquitetura de acesso e, quando o NTM integra o escopo, calcula a razão entre controles verificados como ativos e controles aplicáveis ao ambiente, um ponto por controle. O ciclo reúne diagnóstico, priorização, ativação e medição; painel, frequência e forma de acesso seguem a proposta.
Critério a critério: o desenho da arquitetura é o entregável, e o motor de execução entra com suas dependências declaradas; o NTM usa fórmula explícita e evidência rastreável quando contratado; responsabilidade, canais e prazos ficam registrados na proposta e no SLA aplicáveis ao escopo; e a exposição residual é nomeada em cada ciclo medido.
O ecossistema completa o desenho: a consultoria projeta, o NTM mede, o NowCy Academy apoia a capacitação da equipe e o Zero Trust Experts (ZTE) reúne a troca entre pares do mercado.
Perguntas frequentes
O que faz uma consultoria Zero Trust? Uma consultoria Zero Trust diagnostica o ambiente atual, desenha a arquitetura de acesso alvo, conduz a implantação dos controles por prioridade de exposição e mede o resultado depois da entrega. O escopo cobre identidade, dispositivo, aplicação e rede, com o caminho de saída do legado escrito em etapas.
Qual a diferença entre uma consultoria Zero Trust e um integrador ou revendedor? A diferença precisa ser verificada no escopo. Procure quem responde pelo desenho, quais controles serão ativados, como o estado será medido e quais dependências pertencem à tecnologia. O rótulo comercial, sozinho, não resolve essa comparação.
Como comparar duas propostas de consultoria Zero Trust com preços diferentes? Compare pelos quatro critérios antes do preço: quem assina o desenho da arquitetura, se existe um índice atualizado periodicamente e conferível por auditor, qual o SLA por escrito da sustentação, e como cada proposta descreve a exposição residual. Duas propostas com o mesmo preço podem entregar escopos incomparáveis.
Quanto tempo leva um projeto de arquitetura Zero Trust? Depende do porte, do inventário de aplicações e do quanto de legado precisa ser migrado. A implantação corre em ondas priorizadas por peso de exposição, com resultado medido a cada ciclo, sem esperar o fim do programa para mostrar número.
Uma consultoria Zero Trust substitui a auditoria ou o teste de intrusão anual? Não. Auditoria, teste de intrusão e medição contínua têm escopos distintos. A medição registra o estado dos controles entre ciclos e pode apoiar a preparação de evidências, sem substituir a avaliação formal aplicável.