Resposta direta
Maturidade em segurança da informação é o grau em que os controles previstos para o ambiente estão ativos e operando, e não apenas contratados ou documentados. A maturidade se calcula pela razão entre controles ativos e controles aplicáveis, apurada em ciclo contínuo. O resultado é um número que o responsável por segurança leva ao board e que o auditor consegue conferir.
O que é maturidade em segurança da informação?
A palavra maturidade descreve o estágio de evolução dos controles de segurança de uma organização, do improviso reativo até a operação medida e sustentada. Os modelos públicos de referência descrevem essa evolução em escadas de níveis: o CISA Zero Trust Maturity Model organiza cinco pilares em quatro estágios, e o NIST Cybersecurity Framework 2.0 (NIST CSF 2.0) organiza a prática em seis funções. A escada ajuda a nomear onde a empresa está. O que a escada sozinha deixa em aberto é a pergunta prática do dia a dia: os controles que já foram comprados, configurados e assinados em contrato estão ativos neste momento, no ambiente real?
Essa distinção separa dois conceitos. A segurança declarada é o conjunto do que a empresa contratou, documentou em política e apresentou em slide. A segurança medida é o conjunto do que um instrumento consegue verificar como ativo no escopo avaliado. A segunda leitura acrescenta evidências à conversa com auditoria, seguradora e conselho.
A régua que este artigo propõe é essa: declarado contra medido. Um questionário respondido pela própria equipe serve como orientação inicial e devolve uma nota de percepção, que fica do lado declarado. A apuração do estado real de cada controle no ambiente, com evidência coletada, fica do lado medido. Os dois passos convivem, e só o segundo produz um número que um terceiro consegue conferir.
Por que investir em segurança e amadurecer em segurança são coisas diferentes?
O mercado brasileiro fechou a distância no investimento e manteve a distância na comprovação. Dois números desenham o quadro.
- 96% das empresas brasileiras declararam investir em segurança em 2026, contra 72% em 2021 [Pesquisa Nacional BugHunt, cerca de 240 empresas de tecnologia].
- Em estudo com 62 empresas de grande porte de 13 setores, a maturidade média em segurança da informação ficou em 1,61 numa escala de 0 a 5 [Vultus 2025].
Os levantamentos têm amostras e metodologias diferentes, portanto não permitem inferir causalidade nem comparar diretamente investimento e maturidade. Eles ajudam apenas a contextualizar duas perguntas distintas: quanto se investe e como o estado dos controles é demonstrado.
O estudo IBM Cost of a Data Breach 2025 estimou em R$ 8,98 milhões o custo médio, no Brasil, das violações iniciadas por comprometimento de terceiros e da cadeia. O dado dimensiona a exposição dessa categoria, sem indicar qual controle faltou em cada incidente.
Como se calcula a maturidade em segurança da informação?
A fórmula tem duas variáveis, e ela foi desenhada para ser conferível por quem não a calculou.
Denominador: controles aplicáveis. O inventário de todos os controles que fazem sentido para aquele ambiente específico, considerando setor, regulação incidente, arquitetura em uso e dado tratado. Um ambiente com dado financeiro sob supervisão do Banco Central tem um denominador diferente de uma operação industrial sem dado pessoal em escala.
Numerador: controles ativos. O subconjunto desses controles que está verificadamente em operação, com evidência coletada do próprio ambiente.
Cada controle vale um ponto. O índice é o numerador dividido pelo denominador. Essa é a fórmula declarada do NowCy Trust Maturity (NTM), calculada para o escopo contratado. A conta pode ser refeita a partir do inventário e das evidências disponibilizadas para a avaliação.
Três propriedades tornam o número defensável diante de um terceiro:
- Rastreabilidade. Cada ponto do numerador aponta para uma evidência coletada, com data.
- Registro do denominador. Mudanças no conjunto de controles aplicáveis precisam ser registradas para permitir a comparação entre leituras.
- Aplicabilidade no ambiente que a empresa já opera. O índice mede se as iniciativas de segurança já implantadas estão funcionando, controle a controle, no ambiente que existe. Serve tanto a quem já migrou quanto a quem opera perímetro legado com VPN e firewall tradicional.
Frameworks públicos podem apoiar a definição do escopo e a conversa com auditoria e compliance. Este artigo não afirma correspondência integral ou certificada entre o NTM e NIST CSF 2.0, ISO/IEC 27001:2022 ou CIS Controls v8.
Por que uma avaliação pontual não acompanha todas as mudanças do ambiente?
Uma auditoria produz uma fotografia de qualidade alta num dia determinado. O ambiente muda todo dia. Entre um ciclo e o seguinte entram novos fornecedores, saem colaboradores, sobem aplicações, mudam regras de firewall, expiram certificados e alguém desativa temporariamente um controle para resolver um chamado urgente, com a reativação dependendo de memória humana.
No intervalo, mudanças podem criar exposição residual fora do recorte da avaliação anterior. Em instituições financeiras, requisitos periódicos devem ser lidos conforme a norma aplicável e o escopo da instituição; a cadência regulatória não substitui o acompanhamento operacional.
A medição contínua cobre esse intervalo. No método da NowCy, ela acontece dentro de um ciclo de quatro fases que se repete:
- Diagnóstico. Levantamento dos controles aplicáveis ao ambiente e verificação de quais estão ativos. Esta fase monta o denominador e o numerador iniciais.
- Priorização. Ordenação das lacunas conforme os critérios definidos para o ambiente avaliado.
- Ativação. Implantação e correção com responsabilidade técnica definida no escopo, controle a controle.
- Medição contínua. Reapuração do índice ao longo do tempo; quando o painel integra a proposta, o histórico fica disponível em acesso somente leitura.
O acesso somente leitura dá ao cliente visibilidade sobre o histórico registrado. O índice é uma evidência da avaliação realizada, mas não prova, isoladamente, conformidade ou eficácia de toda a arquitetura.
Exemplo ilustrativo: o controle que constava como ativo
O cenário abaixo é uma composição construída para demonstrar a conta, com números escolhidos para que o leitor consiga refazer a divisão. Nenhum cliente da NowCy está descrito aqui, e nenhum destes números é resultado publicado de uma medição real.
Uma instituição financeira de médio porte, cerca de 1.200 colaboradores, sob supervisão do Banco Central, passa na auditoria do ano anterior sem apontamento em controle de acesso. A área de segurança tem três iniciativas relevantes implantadas nos dois anos anteriores e nenhum número próprio para mostrar o efeito delas.
No diagnóstico, o inventário registra 214 controles aplicáveis ao ambiente. A verificação encontra 129 ativos, o que coloca o índice inicial em 60%. O achado que muda a conversa interna é pontual: a revisão periódica de acessos privilegiados consta como implantada na política e no relatório de auditoria, e o ambiente mostra 47 contas com privilégio elevado sem revisão nos 11 meses anteriores, incluindo 9 contas de integração com fornecedores. O controle existe no papel e está parado na prática.
Esse é o padrão que a apuração expõe. A diferença entre o que a organização acredita ter e o que ela tem aparece quando alguém verifica controle a controle. Sem essa verificação, a área de segurança segue reportando ao comitê uma cobertura que a evidência do ambiente não sustenta.
Como o índice de maturidade chega ao board?
Diretoria e conselho podem usar a série histórica do índice ao discutir alocação de capital. Ela acrescenta contexto a projetos entregues ao mostrar onde a avaliação começou, onde está e quais lacunas permanecem no escopo.
Três cuidados evitam que o número se torne cerimônia:
- Reporte o índice sempre com o denominador. Uma variação de 60% para 72% significa pouco sem a informação de que o conjunto de controles aplicáveis permaneceu o mesmo.
- Ligue cada ponto ganho a uma decisão. O board acompanha melhor a curva quando cada degrau tem um responsável e um custo associado.
- Declare o que o índice não mede. Nenhuma arquitetura elimina risco. O índice mostra a exposição que continua aberta, e essa honestidade é o que sustenta a credibilidade do instrumento na segunda apresentação.
Esses três cuidados fazem parte da lógica do método. A experiência da NowCy aparece na combinação de arquitetura, ativação e leitura de evidências, com responsabilidades e limites definidos para cada projeto.
Perguntas frequentes
Qual a diferença entre avaliação de maturidade e auditoria de segurança? A auditoria verifica conformidade com um conjunto de requisitos num ponto do tempo e produz um parecer. A avaliação de maturidade descreve o estágio de evolução dos controles e, quando é contínua, acompanha esse estágio ao longo do tempo. As duas convivem: a auditoria aponta a lacuna formal, e o índice contínuo mostra o estado dos controles no intervalo entre um ciclo e o seguinte.
Com que frequência a maturidade em segurança da informação deve ser medida? A frequência deve acompanhar o ritmo de mudança do ambiente e o ciclo contratado. O histórico do NTM registra as reapurações realizadas; a periodicidade exata é definida para cada trabalho.
Preciso adotar Zero Trust para medir maturidade? Não. O índice pode medir controles aplicáveis ao ambiente existente, inclusive em arquitetura de perímetro legado. A decisão de migrar ou manter componentes depende da análise técnica, do risco e das prioridades da organização.
Qual framework devo usar como base: NIST CSF 2.0, ISO 27001 ou CIS Controls? Os três descrevem referências diferentes, e a escolha depende do objetivo e das exigências aplicáveis. Eventuais correspondências com o inventário do NTM precisam ser definidas e validadas no escopo contratado; o índice não substitui certificação nem parecer de conformidade.
Um índice de maturidade pode ser manipulado pelo fornecedor que o calcula? O risco existe em qualquer métrica calculada por parte interessada, e a defesa está no desenho. Uma fórmula plana, com um ponto por controle, denominador registrado e evidência rastreável por controle permite que um auditor independente refaça a conta. Dashboard de acesso somente leitura para o cliente completa o arranjo.