Resposta direta
A TI está apenas funcionando quando o resultado depende de conhecimento informal, esforço individual e reação rápida. Ela começa a ser madura quando a empresa consegue demonstrar, com registros e testes, o que possui, quem pode acessar, quais riscos aceita, como detecta falhas e quanto tempo leva para recuperar os processos críticos. Disponibilidade aparente não prova controle: um ambiente pode permanecer meses sem incidente grave e ainda ter backups irrecuperáveis, contas excessivas, contratos sem dono ou capacidade no limite.
A avaliação, portanto, não deve perguntar apenas se cada recurso existe. Deve examinar escopo, responsável, padrão, evidência de execução, exceções, teste e decisão resultante. O objetivo também não é obter uma nota abstrata. É separar riscos imediatos, lacunas de gestão e melhorias que podem ser programadas, considerando criticidade, dependências e capacidade de investimento.
Maturidade não é complexidade
Uma PME não precisa reproduzir a estrutura de uma grande corporação. Pode operar com processos simples, desde que sejam proporcionais ao risco e repetíveis. Uma planilha de ativos com dono, data de revisão e reconciliação periódica pode ser mais útil do que uma ferramenta sofisticada abandonada. O critério é a capacidade de tomar decisões e repetir o resultado, não a quantidade de plataformas.
O NIST Cybersecurity Framework 2.0 organiza resultados de segurança nas funções Governar, Identificar, Proteger, Detectar, Responder e Recuperar. A lógica é útil além da segurança: operação madura combina direção, conhecimento do ambiente, controles, detecção e capacidade de resposta e recuperação. O framework não prescreve uma tecnologia ou um nível único para todas as empresas.
Quais evidências um executivo deve esperar
| Dimensão | Sinal de que apenas funciona | Evidência de maturidade |
|---|---|---|
| Inventário e documentação | Listas parciais, desatualizadas ou mantidas por uma pessoa. | Ativos, serviços, responsáveis, criticidade, dependências e ciclo de revisão definidos; diferenças entre registro e ambiente são tratadas. |
| Identidade e acessos | Contas criadas por solicitação informal e privilégios acumulados. | Entrada, mudança e desligamento registrados; MFA e privilégios proporcionais ao papel; contas administrativas e de serviço identificadas; revisões periódicas com evidência. |
| Backup e recuperação | A ferramenta informa que a cópia terminou sem erro. | Escopo, retenção, responsáveis, RPO/RTO e testes de restauração documentados; o teste comprova recuperação utilizável, não apenas leitura da mídia. |
| Continuidade | Existe um documento genérico ou a expectativa de que a equipe resolva. | Processos críticos, dependências, alternativas, contatos, critérios de acionamento e exercícios têm dono, data e lições incorporadas. |
| Monitoramento e observabilidade | Alertas em excesso ou descoberta da falha pelo usuário. | Cobertura ligada aos serviços críticos, limiares revisados, responsáveis e escalonamento; sinais ajudam a explicar impacto e causa. |
| Incidentes e backlog | Chamados fechados sem causa, prioridade ou tendência. | Critérios de impacto e urgência, tempos medidos, recorrências agrupadas, causa raiz quando justificável e backlog priorizado por risco e valor. |
| Capacidade e mudanças | Expansões emergenciais e alterações dependentes de quem conhece o ambiente. | Tendências, limites, previsão, janela, avaliação de risco, plano de retorno e registro do resultado das mudanças relevantes. |
| Custos, contratos e fornecedores | Faturas pagas sem alocação, renovação ou nível de serviço verificado. | Dono, finalidade, vigência, renovação, dependências, SLA e desempenho acompanhados; desvios geram decisão. |
| Indicadores e planejamento | Relatórios de volume sem meta, tendência ou ação. | Indicadores ligados a risco, disponibilidade, recuperação, demanda, capacidade e custo; cada desvio tem responsável e encaminhamento. |
Backup mostra por que perguntas binárias falham
Perguntar “existe backup?” produz uma resposta pouco útil. Uma avaliação consistente verifica quais dados e sistemas entram no escopo, quantas versões são mantidas, onde as cópias residem, quem recebe e trata falhas e qual perda de dados e tempo de indisponibilidade o negócio admite.
RPO representa o ponto de recuperação e traduz a perda de dados tolerável. RTO representa o tempo para restabelecer o serviço. Ambos devem partir do impacto para o negócio e ser confrontados com a capacidade técnica real. Se um sistema precisa voltar em quatro horas, mas o último teste levou dez, existe uma lacuna mensurável, mesmo que todas as cópias apareçam como concluídas.
O NIST SP 800-34 trata análise de impacto, estratégias de recuperação, testes e manutenção como partes do planejamento de contingência. Esse encadeamento evita confundir compra de ferramenta com capacidade efetiva de recuperação.
Como transformar a avaliação em prioridade
1. Comece pelos serviços de negócio
Mapeie faturamento, atendimento, produção, logística, colaboração e obrigações legais antes de avaliar tecnologias isoladas. A criticidade define a profundidade do controle esperado.
2. Peça evidência, não opinião
Amostre registros de acesso, relatórios de restauração, incidentes, mudanças, inventário e contratos. Evidência ausente deve ser tratada como incerteza e risco até ser confirmada.
3. Classifique a consequência
Para cada lacuna, registre impacto possível, probabilidade, exposição atual, dependências e esforço de correção. Critérios consistentes impedem que urgência política substitua risco real.
4. Defina o próximo nível necessário
Nem todo controle precisa atingir o nível máximo. Defina o estado-alvo compatível com o negócio, o responsável, o prazo e a evidência que comprovará a melhoria.
O que vemos na prática
Os sinais mais relevantes raramente estão isolados. Inventário incompleto dificulta corrigir vulnerabilidades; dependência de uma pessoa compromete mudanças e recuperação; monitoramento sem criticidade gera ruído; contratos sem responsável mantêm custos e riscos invisíveis. Por isso, avaliar ferramenta por ferramenta tende a produzir uma lista longa e pouca direção.
Um assessment de TI organiza evidências e lacunas. A consultoria de TI transforma o diagnóstico em decisões e plano. Quando a necessidade inclui sustentação contínua, serviços gerenciados podem assumir rotinas e indicadores definidos. São entregas diferentes.
Conclusão prática
A pergunta correta não é se a TI está funcionando hoje, mas se a empresa consegue demonstrar controle e repetir o resultado quando pessoas, demanda ou condições mudam. Se as respostas dependem de “provavelmente”, “nunca precisamos restaurar” ou “só uma pessoa sabe”, a operação pode estar disponível, mas ainda não está madura.
O primeiro avanço é tornar as incertezas explícitas, validar evidências nos serviços mais críticos e aprovar uma sequência curta de redução de risco. Maturidade útil é a que melhora decisões e capacidade de recuperação, não a que apenas aumenta documentação.
Fontes consultadas
- NIST Cybersecurity Framework 2.0: Funções Governar, Identificar, Proteger, Detectar, Responder e Recuperar.
- NIST SP 800-34 Rev. 1: Planejamento de contingência, análise de impacto, recuperação, testes e manutenção.
- CIS Critical Security Controls v8.1: Controles priorizados de inventário, acesso, logs, recuperação e fornecedores.
Quer aplicar isso na sua empresa?
O Diagnóstico Executivo de TI da G2C traduz o cenário atual em prioridades claras, sem compromisso comercial.