Em uma reunião de quinze minutos, a diretoria de uma seguradora de porte médio aprova adiar a atualização do sistema de emissão de apólices. O fornecedor homologou apenas a versão anterior, a integração com o motor de cálculo de prêmios quebra a cada correção aplicada, e a área comercial tem metas de emissão para a semana seguinte. A decisão é razoável, fica registrada em um e-mail e ninguém volta ao assunto pelos dezoito meses seguintes.
A cena se repete em empresas de todos os portes, com outros nomes no lugar do sistema de apólices: o ERP (Enterprise Resource Planning, sistema integrado de gestão) travado em uma versão homologada, o servidor que sustenta um processo crítico e não admite parada, o equipamento de operação com sistema fora de suporte do fabricante. Cada exceção nasce de um bom motivo operacional, e é justamente por isso que ela sobrevive tanto tempo sem revisão.
Para quem responde pelo resultado, o ponto relevante é que o conjunto dessas decisões isoladas, e não a ausência de uma ferramenta de correção automática, define a superfície de risco real da empresa. A pergunta de gestão deixa de ser se a empresa está atualizada e passa a ser quanto risco ela carrega de propósito, por quanto tempo e em troca de qual retorno.
A dívida que ninguém lançou no balanço
O NIST (National Institute of Standards and Technology, instituto americano de padrões e tecnologia) tratou o assunto de forma direta no guia SP 800-40 Revisão 4, publicado em 2022: a gestão de correções é um problema de negócio antes de ser um problema técnico, e toda exceção deveria nascer com prazo definido, responsável nomeado e controle compensatório associado. O mesmo guia observa que as organizações costumam enxergar a aplicação de correções como custo operacional puro, quando ela funciona como um prêmio pago em pequenas parcelas para evitar um sinistro grande.
A conta de não pagar esse prêmio aparece nos dados de incidentes. O Microsoft Digital Defense Report de 2024 registra que mais de oito em cada dez comprometimentos por ransomware, o sequestro de dados mediante criptografia e pedido de resgate, alcançaram a rede por meio de dispositivos que não estavam sob gestão formal da empresa. São exatamente os ativos que vivem em regime de exceção: fora do inventário, fora do ciclo de correção, dentro do perímetro de confiança e conectados aos sistemas que sustentam a receita.
O volume também trabalha contra o gestor. O Gartner, no Market Guide for Vulnerability Assessment de 2024, aponta que as empresas conseguem remediar apenas uma fração pequena das vulnerabilidades detectadas em cada ciclo, o que transforma a priorização na variável decisiva do programa. Quando a fila é praticamente infinita e a capacidade é finita, a qualidade da escolha sobre o que fica para depois passa a valer mais do que a velocidade com que se aplica a correção da vez.
Como transformar exceção em decisão
O primeiro movimento é documental, custa pouco e pode começar em duas semanas: escrever a lista. Um inventário explícito de exceções contém cinco colunas, quais sejam o ativo afetado, o motivo técnico ou contratual, o responsável nomeado pela decisão, a data de vencimento da exceção e o controle compensatório que reduz o risco enquanto ela existir. A simples existência desse registro muda o comportamento da organização, porque converte uma memória informal em um objeto de gestão que pode ser revisado, cobrado e precificado.
O segundo movimento é elevar a aceitação de risco ao nível decisório correto. Quando a exceção compromete um sistema que sustenta receita, dados de clientes ou obrigação regulatória, quem assina não deveria ser o coordenador de infraestrutura, e sim o executivo que responde por aquele processo perante o conselho. Estruturas maduras de governança e conformidade tratam a aceitação de risco como ato formal, com data, assinatura e revisão periódica, o que evita descobrir depois do incidente que a decisão nunca teve dono.
O terceiro movimento é traduzir severidade técnica em exposição de negócio. Uma vulnerabilidade classificada como crítica pelo CVSS (Common Vulnerability Scoring System, padrão aberto de pontuação de vulnerabilidades) em um servidor isolado de laboratório importa menos que uma falha de gravidade média em um sistema exposto à internet e conectado à base de segurados. Programas de gestão contínua de vulnerabilidades combinam varredura recorrente, monitoramento contínuo e contexto de negócio para produzir uma fila ordenada por dano potencial, colocando no topo aquilo que realmente pode parar a operação.
Cinco perguntas que todo gestor deveria fazer
Quantos ativos estão em regime de exceção permanente, e alguém consegue listá-los sem consultar a memória de um técnico?
A resposta honesta, na maioria das empresas, é que a lista existe apenas na cabeça de duas ou três pessoas. Isso cria uma dependência perigosa, porque o conhecimento sobre os pontos mais frágeis do ambiente sai pela porta quando o profissional muda de emprego, e o sucessor herda um mapa incompleto que só será atualizado no próximo incidente.
Um teste simples mede a maturidade da organização nesse ponto: peça a lista de exceções por escrito e observe quanto tempo ela leva para chegar. Se demorar mais de dois dias úteis ou vier em formatos distintos de fontes distintas, a lacuna está no processo, que deixa de registrar a decisão no momento exato em que ela é tomada.
Quem assina formalmente a aceitação do risco quando um sistema central não pode ser atualizado?
Em muitas organizações, a resposta prática é ninguém, por tempo indeterminado. O e-mail que autorizou a exceção não trazia prazo, o gestor que o escreveu mudou de área e a decisão segue produzindo efeito anos depois, com o agravante de que o contexto técnico que a justificava talvez já tenha desaparecido.
A prática recomendada pelo NIST no guia de 2022 é dar a toda exceção um vencimento explícito, com revisão obrigatória em intervalos de noventa ou cento e oitenta dias. Numa seguradora, isso significa que a impossibilidade de atualizar o sistema de emissão vira item recorrente na pauta do comitê executivo, com custo estimado e alternativa avaliada, em lugar de virar uma característica permanente da arquitetura que ninguém questiona.
Qual é o custo real de uma janela planejada comparado ao de uma interrupção não planejada?
Essa comparação raramente é feita, e é ela que costuma destravar o orçamento. Uma janela planejada de quatro horas em período de baixa demanda tem custo conhecido, com equipe preparada, plano de retorno testado e comunicação prévia às áreas afetadas, enquanto uma interrupção não planejada no mesmo sistema acumula perda de produção, horas de recuperação, desgaste com clientes e, em setores regulados, obrigação de notificar autoridades e titulares de dados.
Para uma seguradora, quatro horas sem emitir apólices em período de baixa demanda representam um número de propostas mensurável e recuperável, ao passo que três dias fora do ar em pico de renovação significam corretores migrando carteira para a concorrência. Quantificar os dois cenários em moeda, mesmo com margem de erro, tende a ser o argumento mais eficaz para aprovar a manutenção que vinha sendo adiada.
Sua empresa prioriza por severidade técnica ou por exposição efetiva ao negócio?
A maioria prioriza por severidade técnica, porque é o número que a ferramenta entrega pronto. O limite dessa escolha é que o índice descreve a gravidade teórica da falha, sem saber se aquele ativo está exposto à internet, se guarda dados sensíveis de clientes ou se sustenta o processo que gera caixa no fim do mês.
A tradução entre as duas linguagens é uma função de gestão e precisa de alguém formalmente encarregado dela. Esse papel combina conhecimento do ambiente técnico com entendimento de quais processos param o negócio, e é onde um parceiro de retaguarda agrega valor com rapidez, ao trazer método, histórico comparativo e capacidade analítica que uma equipe interna enxuta dificilmente sustenta enquanto atende à demanda do dia.
Se um cliente ou uma renovação de apólice cibernética exigisse evidência de cadência de correção em quinze dias, você conseguiria apresentá-la?
A pergunta é um teste de prontidão, e o prazo curto é proposital. Evidência de cadência significa demonstrar, com registros, quanto tempo a empresa leva em média entre a publicação de uma correção crítica e sua aplicação, qual percentual do parque está dentro da política vigente e quais exceções seguem ativas, com justificativa e data de vencimento.
Empresas capazes de produzir esse material em quinze dias costumam obter condições melhores na renovação do seguro cibernético e avançar mais rápido em homologações com clientes corporativos. As demais descobrem, no pior momento possível, que a lacuna documental tem preço, na forma de prêmio mais alto, franquia maior, cláusula de exclusão ou perda do contrato para um concorrente que respondeu melhor ao mesmo questionário.
Perguntas frequentes
O que é uma exceção de correção e por que ela representa risco para o negócio?
Uma exceção de correção é a decisão de não aplicar uma atualização de segurança em determinado sistema, geralmente por dependência de fornecedor, risco de quebra de integração ou impossibilidade de parada. O risco surge quando essa decisão não recebe prazo, responsável nomeado nem controle compensatório, porque a medida temporária se torna permanente sem nova avaliação. O acúmulo dessas decisões define a superfície de risco real da empresa.
Com que frequência a lista de exceções deveria ser revisada?
O guia SP 800-40 Revisão 4 do NIST, publicado em 2022, recomenda que toda exceção tenha vencimento explícito e revisão periódica, com ciclos usuais de noventa a cento e oitenta dias. Na revisão, verifica-se se o motivo original ainda existe, se o controle compensatório continua eficaz e qual o custo estimado de manter a exceção ativa. Revisões mais frequentes cabem a sistemas expostos à internet ou que tratam dados sensíveis.
Quem deve assinar a aceitação de risco de um sistema que não pode ser atualizado?
A assinatura deve vir do executivo que responde pelo processo de negócio sustentado por aquele sistema, e não apenas do responsável técnico. Quando a exceção afeta receita, dados de clientes ou obrigação regulatória, a aceitação precisa ser um ato formal, com data, prazo de validade e registro auditável. Esse desenho evita que a organização descubra, após um incidente, que a decisão nunca teve dono.
Se a lista de exceções da sua empresa nunca foi escrita, um Diagnóstico Estratégico de TI sem compromisso é um bom lugar para começar.