CIMBRA-I: como medir a maturidade em cibersegurança

Toda diretoria que já sentou numa reunião de auditoria conhece a pergunta que trava a sala: "quão maduros somos em cibersegurança?". A resposta, quase sempre, vem em forma de opinião — a percepção do gestor de TI, a impressão do consultor, o otimismo de quem montou o slide. O CIMBRA-I muda o terreno dessa conversa: ele oferece uma régua oficial brasileira para responder essa pergunta com evidência comprovada, não com autoconfiança. E é uma régua deliberadamente exigente.

O que é o CIMBRA-I

O CIMBRA — Modelo de Ciber-Maturidade Brasileiro — foi elaborado por um Grupo de Trabalho do Comitê Nacional de Cibersegurança (CNCiber), vinculado à Presidência da República, e publicado como documento público em sua primeira versão, em Brasília, 2026. Ele nasce em duas variantes complementares. A CIMBRA-N é nacional: mede a maturidade cibernética do país e sua evolução ao longo do tempo. A CIMBRA-I é institucional: mede a maturidade de uma instituição específica, pública ou privada, de qualquer setor e de qualquer porte. Quando os resultados institucionais de um mesmo setor são agregados, a CIMBRA-I também permite mapear a maturidade setorial — algo que interessa diretamente a reguladores.

O modelo não foi inventado do zero. Ele bebe de referências consolidadas: o Cyber Capability Maturity Model (C2M2), do Departamento de Energia dos Estados Unidos, o NIST Cybersecurity Framework (CSF) 2.0 e o Programa de Privacidade e Segurança da Informação (PPSI) 2.0 do próprio governo brasileiro. Além disso, incorpora elementos de COBIT, ITIL, CIS e ISO. Para quem já trabalha com esses frameworks, o CIMBRA-I não chega como um corpo estranho — ele organiza, em linguagem nacional, práticas que o mercado já reconhece.

Como a régua funciona: eixos, processos e ações

A avaliação se estrutura em três níveis hierárquicos. No topo estão os Eixos, que são os domínios temáticos. Cada Eixo se desdobra em Processos, e cada Processo em Ações — a prática granular, o ponto onde a maturidade é efetivamente avaliada. São 14 Eixos: Ativos de TI, Ciberfísicos, Informações, Acessos, Ameaças, Riscos, Resposta, Resiliência, Equipe, Terceiros, Situação, Arquitetura, Programa e Sustentação. Essa cobertura é ampla de propósito. Ela força a instituição a olhar além do óbvio — não basta ter firewall e antivírus se o Eixo de Terceiros está descoberto ou se não há capacidade de resposta a incidente.

A escala de maturidade tem seis níveis cumulativos: 0-Inicial, 1-Fundamental, 2-Básico, 3-Médio, 4-Evoluído e 5-Avançado. A palavra cumulativo é o detalhe que muda tudo. Uma instituição só atinge determinado nível quando comprova TODAS as exigências daquele nível e de todos os anteriores. Falhar em uma única exigência já impede o enquadramento naquele nível. Não existe média ponderada, não existe "quase lá". É uma régua de gargalo: o elo mais fraco define onde a instituição está. Isso é desconfortável, e é assim por decisão de projeto — porque em segurança a lacuna que não foi fechada é justamente por onde o adversário entra.

Há ainda uma nuance importante no desenho dos níveis. Nos estágios iniciais, o modelo é prescritivo: entrega receitas prontas, o que ajuda instituições menores ou menos maduras a saber exatamente o que implementar. Nos níveis mais altos — Evoluído e Avançado — ele se torna descritivo, exigindo customização e maturidade de gestão para interpretar e adaptar as exigências ao contexto de cada organização.

Essencialidade: nem toda instituição é medida pela mesma vara

O CIMBRA-I reconhece que um hospital que opera UTIs, uma distribuidora de energia e uma pequena autarquia municipal não carregam o mesmo risco social. Por isso o modelo traz uma Escala de Essencialidade de Serviços, com cinco níveis, de 1-Complementar a 5-Vital. A essencialidade é determinada por critérios como alcance — quantos usuários seriam afetados por uma interrupção —, participação de mercado e criticidade da operação. Quando um serviço se enquadra em mais de um critério, vale o maior nível apurado: a essencialidade final é sempre o teto, nunca a média.

Esse conceito tem consequência prática direta. Autoridades reguladoras setoriais podem exigir níveis de maturidade distintos conforme a essencialidade do serviço prestado. Um operador de infraestrutura crítica classificado como Vital não será cobrado como uma empresa cujo serviço é meramente Complementar. Para o setor de saúde, para o financeiro, para energia e para forças de segurança pública, essa é a diferença entre um alvo de conformidade genérico e uma exigência calibrada ao dano real que uma falha causaria — o território onde uma falha de segurança não é só prejuízo financeiro.

Por que a evidência muda a conversa

O ponto mais rigoroso do CIMBRA-I é que ele é baseado em evidências. Cada exigência precisa de comprovação concreta; o avaliador não pergunta se a instituição "tem" um controle, ele verifica a evidência de que o controle existe, opera e produz resultado — e a partir daí aponta as melhorias necessárias. Isso desmonta o teatro de segurança. Política escrita mas nunca aplicada não conta. Ferramenta comprada mas mal configurada não conta. Processo que existe no papel mas ninguém executa não conta. A régua só reconhece o que se sustenta diante de prova.

É aqui que vale um alerta de vocabulário. O CIMBRA-I é um instrumento de autoavaliação e de avaliação de maturidade — não é um selo nem uma certificação. Quem apresenta o modelo como "certificação CIMBRA" está distorcendo o que ele é. O valor não está em pendurar um diploma na parede; está em ter um diagnóstico honesto, mensurável e comparável ao longo do tempo, que mostra onde a instituição está hoje e o que falta para o próximo nível.

O que fazer com o resultado

Um diagnóstico CIMBRA-I só vale pelo que vem depois. Como a régua é cumulativa, a estratégia racional é atacar o Eixo que trava o enquadramento — o gargalo — antes de investir onde já se está bem. Na prática, cada Eixo aponta para uma frente de trabalho concreta: o Eixo Equipe pede capacitação e treinamento contínuos; o Eixo Ameaças pede inteligência cibernética para antecipar o adversário; os Eixos Resposta e Resiliência pedem capacidade de perícia digital e de resposta a incidentes; o Eixo Acessos pede controle de acesso maduro e verificável. O resultado deixa de ser uma nota e passa a ser um roteiro de priorização.

É exatamente nesse ponto que a Certus atua. Não vendemos um selo — não existe selo a vender. O que fazemos é ajudar a instituição a diagnosticar sua maturidade frente aos 14 Eixos, reunir e organizar a evidência que cada Ação exige e, sobretudo, fechar as lacunas com engenharia local e suporte em português. Como parceira da KELA em inteligência de ameaças, da Detego Global em perícia digital e da CyCube em treinamento de equipes por cyber range, a Certus cobre justamente os Eixos onde a maioria das instituições brasileiras trava — Ameaças, Resposta, Resiliência e Equipe — e sustenta esse trabalho com um portfólio de serviços gerenciados de segurança que produz a evidência operacional que o modelo cobra.

Medir a maturidade é o começo, não o fim. Se sua instituição precisa entender onde está na régua do CIMBRA-I e construir o caminho para o próximo nível com evidência, fale com um especialista da Certus.