Segurança que se mede.

A 3MP Tecnologia diz em que nível a sua segurança está, em que nível o seu risco exige que ela esteja, e o que custa o caminho entre os dois. Consultoria independente: sem revenda, sem comissão de fabricante.

Medir a minha maturidade Ver os cinco serviços

Inicial

Depende de pessoa e improviso. Sem documentação nem medição.

Gerenciado informalmente

A prática existe e funciona, sem padrão escrito nem medição confiável.

Definido

Processo documentado, papéis claros, execução consistente.

Medido

Indicadores confiáveis. Decisão baseada em dado, não em percepção.

Otimizado

Melhoria contínua institucionalizada, automação e antecipação.

A pergunta que o conselho faz

Estamos seguros o bastante para o risco que corremos?

A maioria das empresas responde essa pergunta com uma lista de ferramentas. Lista de ferramenta não é resposta: é inventário. O conselho não pergunta o que você comprou, pergunta onde você está.

A 3MP responde com número. Aplicamos o NIST CSF 2.0 nas seis funções, verificamos evidência em vez de aceitar declaração, e devolvemos o nível atual de 1 a 5, o alvo que o seu risco exige e o caminho entre os dois, com dono, custo e prazo por controle recomendado.

As seis funções do NIST CSF 2.0

Governar: Política, papéis, orçamento e supervisão do risco cibernético.
Identificar: Ativos, dados, fornecedores e o risco que eles carregam.
Proteger: Controles que reduzem a probabilidade de o incidente acontecer.
Detectar: Monitoramento que gera alerta acionável, com cobertura conhecida.
Responder: Contenção, erradicação, comunicação e registro do incidente.
Recuperar: Volta à operação dentro de RTO e RPO definidos por processo.

Uma régua só. A escala de 1 a 5 é a mesma em diagnóstico, autoavaliação, proposta e apresentação. Nunca convertemos para outra escala para facilitar, e nunca entregamos nota sem o alvo ao lado. Nota sozinha não é medida, é opinião com número.

Serviços

Cinco frentes, uma régua

Medimos, validamos e, quando o gap exige operação, construímos. Cada frente entra com escopo escrito e sai com critério de saída verificável.

Construir

SOC Building

Construção de Security Operations Center do zero, ou reconstrução de um SOC que gera alerta e não gera decisão.

Para quem: Empresa que precisa de monitoramento próprio, e provedor ou MSSP em jornada de montar a operação para vender.
O que entra: Desenho do serviço: catálogo, níveis de atendimento, matriz de escalonamento
Requisitos antes de fabricante, e só então a definição de tecnologia
Engenharia de detecção: casos de uso, fontes de log, cobertura MITRE ATT&CK
Estrutura de equipe, turnos, perfis e plano de contratação
Cadência de operação, indicadores e rotina de revisão
O que você recebe: Processo documentado, casos de uso em produção, painel de indicadores e o time do cliente operando sem a 3MP.
Critério de saída: Operação rodando por um ciclo completo com indicador estável, e cada gate assinado antes do próximo começar.

Medir

NIST Assessment

Avaliação de maturidade em segurança cibernética pelo NIST CSF 2.0, com verificação de evidência e nota de 1 a 5 por função.

Para quem: CISO, CIO ou VP de Tecnologia que precisa justificar investimento sem depender do discurso de fabricante.
O que entra: Seis funções do CSF 2.0 percorridas por entrevista e coleta
Verificação de evidência: o que foi declarado é conferido contra artefato
Definição do alvo por função, a partir do risco e do setor
Priorização por distância até o alvo, não por severidade genérica
O que você recebe: Uma página de decisão antes de qualquer anexo, nível por função, gap priorizado e plano com dono, custo estimado e prazo por controle.
Critério de saída: Diretoria consegue repetir o número e a razão dele sem a 3MP na sala.

Validar

Pentest

Teste de invasão que verifica se o controle implantado segura um atacante, e não apenas se ele existe no papel.

Para quem: Quem já tem controles e precisa de prova, e quem precisa atender requisito de cliente, auditoria ou regulador.
O que entra: Externo, interno, aplicação web e API
Active Directory: caminhos de ataque, delegação, certificados e escalação
Engenharia social, quando o escopo autoriza
Retorno de retestagem depois da correção
O que você recebe: Achado com evidência reproduzível, caminho de ataque completo, impacto no negócio e correção descrita para quem vai executar.
Critério de saída: Achados críticos e altos retestados e fechados, com a causa de origem endereçada, não apenas o sintoma.

Medir

BIA

Análise de impacto no negócio: quanto tempo cada processo crítico suporta parado, e quanto isso custa por hora.

Para quem: Empresa que precisa priorizar investimento em resiliência, e quem responde a regulador ou cliente sobre indisponibilidade.
O que entra: Mapa de processos críticos com dono de negócio declarado
Impacto financeiro, operacional, regulatório e de reputação por janela de parada
RTO e RPO definidos por processo, não por servidor
Dependências: sistemas, pessoas, instalações e fornecedores
O que você recebe: Processos ordenados por criticidade com número atrás da ordem, e a lista de dependências que ninguém tinha escrito.
Critério de saída: Cada processo crítico tem RTO, RPO e dono aprovados pela área de negócio, não pela TI.

Construir

PCN

Plano de continuidade de negócios alinhado à ISO 22301, construído sobre a BIA e testado antes de ser necessário.

Para quem: Quem já tem a BIA e precisa transformá-la em resposta, e quem busca certificação ou atende exigência contratual.
O que entra: Estratégias de recuperação escolhidas contra o RTO de cada processo
Estrutura de acionamento: quem decide, quem comunica, em que ordem
Planos de resposta, de continuidade e de retorno à normalidade
Exercício de mesa e teste com critério de aprovação escrito
O que você recebe: Plano que cabe na mão de quem vai executar sob pressão, com o resultado do teste e a lista do que falhou nele.
Critério de saída: O plano foi exercitado, as falhas do exercício foram corrigidas, e existe data marcada para o próximo teste.

Política de independência

Independência não se afirma, se publica

Qualquer consultoria diz que é independente. A diferença é publicar a regra que torna isso verificável, e aceitar ser cobrada por ela.

Receita de fabricante: A 3MP não revende, não recebe comissão, rebate, verba de marketing nem qualquer contrapartida de fabricante. Ninguém na equipe tem meta atrelada a produto de terceiro.
Declaração prévia: Antes de qualquer avaliação, declaramos por escrito toda relação comercial ativa com fornecedores presentes no escopo, sem ser perguntados.
Muralha de escopo: Não avaliamos, em processo de compra de cliente final, provedor ou fabricante que seja cliente ativo da nossa linha de precificação e go to market. Se a sobreposição aparecer, declaramos e saímos do escopo específico.
Registro aberto: Todas as relações comerciais ativas ficam registradas e disponíveis a qualquer cliente sob pedido.
Direito de recusa: Recusamos escopo em que não consigamos nos manter independentes. Recusar é comportamento esperado, não perda.
Revisão: Semestral, ou imediata a cada novo contrato de canal.

Requisitos antes de fabricante. Os critérios de uma compra são escritos antes de qualquer conversa de produto. É a única ordem em que a ferramenta serve ao requisito, e não o contrário.

Quem assina

Quem projeta SOC aqui já operou SOC

A 3MP nasce de 25 anos em tecnologia, os últimos 10 dedicados a segurança. Antes dela vieram duas empresas construídas do zero, uma fusão entre elas e uma venda. É essa sequência, e não uma metodologia, que explica por que a 3MP faz o que uma consultoria de segurança normalmente não faz: além de medir a maturidade de quem compra, lê a estrutura econômica de quem vende.

Quem montou, fundiu e vendeu empresa de tecnologia sabe onde está o custo, onde está a margem e o que uma proposta esconde. Daí vem a independência, não como postura, mas como escolha de quem já viveu o outro lado e decidiu não voltar.

Só recomendamos o que sabemos operar. O que não sabemos, indicamos a quem sabe.

Assina: Marlon de Paula
Advisory Estratégico
Experiência: 25 anos em tecnologia, 10 em segurança
Operação: Liderança de times de Blue Team, Red Team e Purple Team, e construção de SOC do zero
Percurso: Duas empresas fundadas, uma fusão e uma venda
Método: NIST CSF 2.0 para cliente final, SOC-CMM para provedor, régua única de 1 a 5

Perguntas

O que costumam perguntar antes de contratar

O que é o NIST CSF 2.0 e por que ele vira uma nota de 1 a 5?

O NIST CSF 2.0 organiza a segurança em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Ele descreve o que precisa existir, não o quanto está maduro. A régua de 1 a 5 entra para responder essa segunda pergunta, e é a mesma em todo material da 3MP: 1 inicial, 2 gerenciado informalmente, 3 definido, 4 medido, 5 otimizado. Nota sem alvo ao lado não é medida, é opinião com número.

Quanto tempo leva para construir um SOC?

O prazo sai do escopo, não de uma tabela. O que define é a quantidade de fontes de log, a cobertura de casos de uso pretendida, o modelo de equipe e o regime de operação. Trabalhamos o SOC Building por gates: desenho de serviço e requisitos, definição de tecnologia contra os requisitos, engenharia de detecção e casos de uso, e entrada em operação com cadência e indicador. Cada gate tem critério de saída escrito antes de começar, e a data de entrega vai no contrato.

Qual a diferença entre BIA e plano de continuidade de negócios?

A BIA é a medição: quais processos são críticos, quanto tempo cada um suporta parado, quanto de dado pode ser perdido e qual o impacto financeiro e regulatório por hora de indisponibilidade. O PCN é a resposta: as estratégias de recuperação, quem aciona, em que ordem e com quais recursos. Sem BIA, o PCN protege o que alguém achou que era importante. A BIA vem primeiro, sempre.

Pentest e assessment de maturidade são a mesma coisa?

Não. O assessment mede se o controle existe, está documentado e tem dono. O pentest verifica se ele segura um atacante. Um ambiente pode ter nível 3 documental e cair num teste de invasão porque o controle está implantado, mas mal configurado. Os dois se complementam: o assessment dá a cobertura, o pentest dá a prova.

A 3MP revende ferramenta de segurança?

Não. A 3MP não revende, não recebe comissão, rebate ou verba de fabricante, e ninguém na equipe tem meta atrelada a produto de terceiro. Antes de qualquer avaliação, toda relação comercial ativa com fornecedores presentes no escopo é declarada por escrito, sem ser perguntada. Quando a independência não se sustenta, saímos do escopo.

O plano de continuidade precisa seguir a ISO 22301?

Precisa se a empresa busca certificação, atende requisito de cliente ou responde a regulador que cobra a norma. Fora desses casos, a ISO 22301 continua sendo a melhor estrutura disponível, e a usamos como referência mesmo quando não há certificação em vista. O que muda é a profundidade do registro documental, não o método.

O que acontece depois que eu respondo a autoavaliação?

A autoavaliação devolve na hora um nível estimado de 1 a 5 por função, comparado ao alvo que você define. É evidência auto-declarada e não vale como assessment: nenhum dado foi verificado. Serve para você ver onde está a maior distância. Se quiser a medida com verificação de evidência, o contato está logo abaixo.