Por Tiago Rodilha*

Em um ambiente de negócios cada vez mais digital, toda organização depende de uma estrutura capaz de monitorar ameaças, detectar invasões e coordenar a resposta a incidentes de segurança.

Essa estrutura, conhecida como Security Operations Center (SOC), tornou-se um dos pilares da resiliência cibernética. No entanto, simplesmente possuir um SOC não significa estar protegido.

O que realmente diferencia empresas mais preparadas é o grau de maturidade dessa operação. Não basta monitorar eventos ou responder a alertas: é preciso transformar dados em inteligência e inteligência em decisões capazes de proteger a continuidade do negócio.

Aproximadamente metade das lideranças brasileiras considera sua empresa apenas "razoavelmente capaz" de resistir a grandes ataques explorando vulnerabilidades críticas, conforme a Pesquisa Global Digital Trust Insights 2026, da PwC, mostrando que possuir ferramentas não significa necessariamente possuir resiliência operacional.

Somente 6% dos respondentes globais se dizem confiantes em relação a todas as vulnerabilidades. Essa discussão tornou-se ainda mais urgente diante da escalada das ameaças.

Segundo o Relatório de Cibersegurança 2026 da Check Point, as organizações sofreram, em média, 1.968 ciberataques por semana em 2025, um crescimento de 18% em relação ao ano anterior e de quase 70% desde 2023.

Diante desse cenário, conselhos de administração e executivos precisam se perguntar se o SOC da organização está evoluindo no mesmo ritmo das ameaças ou, ao menos, reduzindo essa distância.

Do SOC reativo para o proativo

Um SOC em estágio inicial de maturidade é tipicamente reativo e focado em ferramentas. A rotina é dominada por milhares de alertas, muitos deles falsos positivos, enquanto o desempenho é medido pela quantidade de ocorrências tratadas.

Embora esse modelo transmita uma sensação de atividade constante, ele nem sempre reduz o risco ao qual a organização está exposta. Essa lógica também aparece na estratégia de investimento das organizações.

Segundo o mesmo estudo da PwC, 62% das empresas brasileiras destinam praticamente o mesmo volume de recursos para ações proativas e reativas de cibersegurança, enquanto apenas 29% investem significativamente mais em medidas preventivas, cenário considerado o mais adequado para reduzir riscos de longo prazo.

A evolução para a maturidade real começa quando o SOC passa a ser orientado por risco e contexto de negócio. Essa necessidade torna-se ainda mais evidente no Brasil.

Dados da Check Point Research mostram que as organizações brasileiras sofreram, em média, 4.118 ataques por semana em abril de 2026, quase o dobro da média global. Quanto maior a pressão sobre as equipes de segurança, mais importante se torna utilizar inteligência para concentrar esforços nos ativos realmente críticos.

Como medir a maturidade de um SOC?

Empresas maduras não avaliam a operação pela quantidade de ataques bloqueados, mas pelo impacto que ela gera na redução de riscos para o negócio. Relatórios que destacam milhares de ataques bloqueados ou milhões de eventos monitorados pouco contribuem para a tomada de decisão estratégica.

Para conselhos de administração e executivos, a pergunta mais relevante é outra: a operação está conseguindo reduzir a exposição da empresa aos riscos mais críticos?

Nesse contexto, métricas como MTTD (Mean Time to Detect) e MTTR (Mean Time to Respond) continuam essenciais, desde que sejam interpretadas em conjunto com indicadores de impacto para o negócio.

Mais importante do que saber quantos incidentes foram tratados é compreender quantos deles foram detectados antes de comprometer operações críticas, quanto tempo a empresa levou para responder e como essa capacidade evoluiu ao longo do tempo.

Essa mudança também se reflete na forma como os conselhos vêm avaliando a segurança cibernética. De acordo com a PwC, 65% das empresas brasileiras utilizam a quantificação do risco cibernético para estimar impactos financeiros.

Entretanto, apenas 18% afirmam fazê-lo em um nível elevado de maturidade, evidenciando que ainda existe uma distância significativa entre produzir indicadores e utilizá-los para orientar decisões estratégicas.

O que caracteriza um SOC realmente maduro?

Um dos principais sinais de maturidade é a capacidade de diferenciar criticidade. Nem todos os alertas têm o mesmo peso, nem todos os ativos representam o mesmo risco.

Um incidente em um servidor responsável pelas transações financeiras da empresa demanda prioridade absoluta, enquanto um evento em uma estação de trabalho comum tende a ter impacto muito menor sobre a continuidade da operação.

Essa capacidade de priorização exige uma integração estreita entre o SOC e a liderança da empresa. Sem compreender os processos críticos, os fluxos de receita, os ativos sensíveis e as exigências regulatórias do setor, a operação consegue até detectar incidentes, mas dificilmente estabelece as prioridades corretas.

Além disso, a cibersegurança não pode funcionar como uma área isolada. O SOC precisa atuar em conjunto com jurídico, compliance, desenvolvimento de produtos e unidades de negócio para que novos serviços digitais já sejam concebidos dentro dos princípios de Security by Design.

A maturidade do SOC também pode ser observada pela capacidade de aprendizado da organização. Cada incidente deve gerar conhecimento, permitindo aperfeiçoar processos, regras de detecção e planos de resposta. Quando o mesmo problema se repete sem que sua causa tenha sido eliminada, a limitação deixa de ser tecnológica e passa a ser de governança.

Mais um sinal claro de evolução é a automação inteligente, muitas vezes via SOAR (Security Orchestration, Automation, and Response). Em um SOC maduro, tarefas repetitivas e de baixo julgamento, como coletar informações sobre um endereço IP ou bloquear um usuário que errou a senha múltiplas vezes, são executadas por máquinas.

Isso libera o talento humano para focar em atividades de alto valor, como o Threat Hunting e a análise de causa raiz. No entanto, a automação não é um fim em si mesma, mas um meio de ganhar velocidade e escala.

Um SOC maduro entende que a tecnologia potencializa processos bem desenhados, mas nunca substitui a inteligência humana necessária para interpretar o contexto de um ataque complexo.

Mais do que segurança, resiliência

Por fim, medir a maturidade do SOC é medir a confiança que a empresa pode depositar em seu futuro digital. Não se trata de buscar a perfeição ou a invulnerabilidade, algo impossível, mas de garantir que a organização tenha visibilidade para tomar decisões bem fundamentadas, agilidade para responder aos incidentes e resiliência para preservar a continuidade do negócio.

A pergunta que conselhos de administração e executivos deveriam fazer ao Diretor de Segurança da Informação (CISO) não é "estamos seguros?", mas "nossa capacidade de detecção e resposta está evoluindo na mesma velocidade das ameaças e do negócio?".

Afinal, a maturidade não é um destino, mas um processo contínuo de evolução, que depende de investimentos, governança e alinhamento estratégico. É essa evolução que transforma segurança em resiliência.

*Tiago Rodilha é Head de Security Operations Center (SOC) da NovaRed Brasil.