NIST CSF, MITRE ATT&CK e NIS2: priorizar a defesa

Uma equipe de segurança compra mais uma ferramenta de EDR, renova o firewall de próxima geração e ainda assim não sabe responder a uma pergunta simples: se um adversário usasse a técnica X para se mover na rede, alguém veria? O problema quase nunca é falta de investimento. É investimento sem mapa — dinheiro gasto onde é confortável comprar, não onde a organização está cega. É exatamente esse mapa que o NIST CSF, o MITRE ATT&CK e a NIS2 ajudam a desenhar, cada um resolvendo uma parte diferente da mesma conta.

Frameworks não são burocracia — são o mapa

Existe uma resistência compreensível a frameworks. Quem já preencheu planilha de conformidade só para arquivá-la associa "framework" a papel morto, ritual de auditoria que não muda a postura real de defesa. Essa leitura confunde o instrumento com o mau uso dele. Um framework bem aplicado não é uma lista de tarefas para carimbar — é a estrutura que impede a organização de tomar decisões de segurança no escuro, guiada pelo pitch do último fornecedor ou pelo susto do último incidente noticiado.

A pergunta que um framework responde não é "o que eu preciso comprar". É "onde eu estou exposto que eu ainda não enxergo, e o que isso deveria custar em relação ao resto". Sem esse referencial, a priorização vira intuição, e a intuição tende a superproteger o que já está protegido e ignorar o flanco aberto. Os três instrumentos a seguir atacam camadas distintas desse mesmo problema: organizar o programa, medir a cobertura de detecção e ler para onde a régua regulatória caminha.

NIST CSF para organizar o programa

O NIST CSF, na versão 2.0, é o framework do NIST norte-americano que organiza um programa de segurança em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. O valor dele não está em nenhuma dessas funções isoladamente, mas na exigência de olhar para todas ao mesmo tempo. É comum encontrar organizações que investiram pesado em Proteger — controles de acesso, criptografia, segmentação — e quase nada em Detectar e Responder. Quando o incidente chega, a defesa que parecia sólida se revela um muro alto sem nenhuma câmera atrás.

O NIST CSF força essa conversa. Ele não é um checklist de produto e não diz qual EDR comprar; diz que uma organização madura precisa saber o que tem (Identificar), decidir quem responde por quê (Governar) e ter capacidade real de perceber, conter e voltar a operar. Para um CISO ou um gestor público, isso vira um mapa de calor honesto: onde a organização já está bem servida, onde há redundância desnecessária e, principalmente, quais funções inteiras estão desassistidas. É essa leitura que transforma orçamento em prioridade — em vez de comprar o que é fácil justificar, você investe onde a lacuna dói mais. Vale notar a proximidade conceitual com o CIMBRA brasileiro, que também mede maturidade por níveis em vez de perguntar apenas se o controle existe.

MITRE ATT&CK para medir a detecção

Organizar o programa responde "estou cobrindo as áreas certas". Não responde "estou cego para quê". Essa é a pergunta do MITRE ATT&CK — uma base de conhecimento que cataloga as táticas e técnicas que adversários reais usam, do acesso inicial à exfiltração. Enquanto o NIST CSF opera no nível do programa, o ATT&CK opera no nível do combate: ele descreve, com granularidade, o que um atacante de fato faz dentro de uma rede comprometida.

O uso mais poderoso do ATT&CK é o mapeamento de cobertura. Você pega o inventário das suas capacidades de detecção — o que os logs capturam, o que as regras do SIEM disparam, o que o time do SOC consegue ver — e o sobrepõe às técnicas do catálogo. O resultado é um mapa de pontos cegos: as técnicas para as quais a organização simplesmente não tem visibilidade. Uma equipe pode descobrir que detecta muito bem malware conhecido, mas está inteiramente cega para movimentação lateral com credenciais legítimas ou para persistência via mecanismos nativos do sistema operacional — precisamente as técnicas que um adversário paciente prefere. Esse mapa muda a conversa de orçamento: em vez de "precisamos de mais uma ferramenta", vira "temos zero cobertura nesta tática, e é aqui que o próximo investimento em detecção precisa ir". É o instrumento que impede que "temos um SOC" seja confundido com "vemos o que importa".

NIS2 como referência de exigência regulatória

O terceiro instrumento não é um framework técnico, e sim regulatório — mas ler para onde a regra caminha é parte de priorizar a defesa. A NIS2, a Directive (EU) 2022/2555, é a diretiva da União Europeia que ampliou de forma significativa o escopo de quem responde por cibersegurança. Ela alcança um universo muito maior de entidades essenciais e importantes, endurece as obrigações de gestão de risco, exige notificação de incidentes em prazos curtos e — talvez o ponto mais sensível — responsabiliza diretamente a alta gestão pela supervisão dessas medidas. Segurança deixa de ser assunto delegável ao time técnico e passa a ser dever de conselho.

Um detalhe da NIS2 costuma pegar organizações brasileiras de surpresa: o alcance à cadeia de fornecimento. A diretiva não olha apenas para a entidade regulada, mas para os fornecedores que a sustentam. Isso significa que uma empresa brasileira sem qualquer operação na Europa pode ser cobrada por controles no estilo NIS2 porque atende um cliente ou integra uma cadeia europeia — a exigência viaja pelo contrato, não pela fronteira. E mesmo para quem não tem exposição europeia direta, a NIS2 funciona como referência de para onde a regulação de segurança caminha no mundo, ao lado do próprio NIST e do CIMBRA nacional. Priorizar defesa hoje com esse horizonte à vista é mais barato do que se adequar às pressas quando o requisito chega dentro de um edital ou de um contrato internacional.

Os três juntos, não em concorrência

O erro comum é tratar esses instrumentos como opções entre as quais escolher. Eles não competem; encaixam. O NIST CSF dá a estrutura do programa e mostra em quais funções a organização está descoberta. O MITRE ATT&CK entra dentro das funções de Detectar e Responder e mede, com precisão, a cobertura real contra o comportamento adversário. A NIS2 fornece a régua de exigência externa — o nível de rigor, os prazos e a responsabilização que o mercado e o regulador vão cobrar. Um organiza, o outro mede, o terceiro estabelece o patamar. Usados em conjunto, eles respondem à pergunta que nenhuma ferramenta isolada responde: onde exatamente investir o próximo real de segurança para reduzir mais risco.

É esse trabalho de tradução — de framework para prioridade executável — que costuma faltar. Ter o NIST CSF impresso não gera valor; usá-lo para descobrir que a função Detectar está desassistida, cruzar isso com um mapa ATT&CK que mostra as técnicas invisíveis e dimensionar o esforço com a régua da NIS2, sim. Na Certus Cyber, esse é o ponto de partida com quem não pode falhar — forças de lei, governo, saúde, sistema financeiro, infraestrutura crítica —, onde uma falha de segurança não é só prejuízo financeiro, é serviço interrompido e dado sensível exposto. Traduzimos esses frameworks em um diagnóstico com engenharia local e suporte em português, para que a priorização deixe de ser intuição. Se a sua organização já investe em segurança mas não consegue dizer onde ainda está cega, fale com um especialista da Certus para transformar os frameworks em um plano de defesa priorizado — e, se quiser entender como operamos essa leitura na prática, conheça também nossas soluções.