Resumo Técnico: Avaliando o ROI da Inteligência de Ameaças Cibernéticas

1. Definição do Problema

A quantificação do Retorno sobre o Investimento (ROI) para programas de Inteligência de Ameaças Cibernéticas (CTI) enfrenta um problema fundamental de mensuração: a prevenção bem-sucedida resulta em "não-eventos" que não deixam um sinal financeiro observável. Consequentemente, os gastos com CTI resistem à análise tradicional de custo-benefício. Além disso, o valor da CTI é frequentemente indireto, atuando como um multiplicador de força para controles downstream (ex: firewalls, EDR, analistas) em vez de um controle técnico autônomo. Isso complica a atribuição causal e a definição do limite do investimento. Modelos econômicos tradicionais, como o modelo Gordon–Loeb (GL), são projetados para controles técnicos independentes e falham em capturar os efeitos de redução de risco probabilístico e de alavancagem inerentes aos fluxos de trabalho orientados por inteligência. Sem um modelo defensável, os programas de CTI correm o risco de serem percebidos como centros de custo, levando ao subfinanciamento e à alocação incorreta de recursos.

2. Metodologia

O artigo propõe uma estrutura de múltiplas camadas que combina métricas quantitativas, indicadores qualitativos e uma abordagem específica de modelagem financeira para enfrentar a lacuna de mensuração.

2.1 O Índice de Eficácia de Inteligência de Ameaças (TIEI)

Para operacionalizar a maturidade da CTI, os autores introduzem o Índice de Eficácia de Inteligência de Ameaças (TIEI). Diferente das médias aritméticas ponderadas tradicionais, que assumem linearidade e permitem que pontuações altas em uma área compensem falhas em outra, o TIEI utiliza uma média geométrica ponderada. Esta formulação penaliza elos fracos, refletindo a realidade de que uma deficiência em uma dimensão (ex: integração deficiente) pode anular o valor de outras.

O TIEI agrega quatro dimensões:

1. Qualidade da Inteligência: Precisão, tempestividade, relevância e completude.
2. Enriquecimento: Mapeamento para TTPs (ATT&CK), correlação interna, vinculação de entidades e aplicabilidade (actionability).
3. Integração e Automação: Cobertura de controle, sucesso de entrega, taxas de automação e adesão a SLAs.
4. Impacto Operacional: Reduções no Tempo Médio de Detecção (MTTD) e no Tempo Médio de Resposta (MTTR), redução de falsos positivos e aumento de cobertura.

As pontuações são normalizadas em uma escala de [1, 100] usando alvos definidos ou normalização de múltiplos âncoras (níveis inaceitáveis, de referência e de superação/stretch) para garantir a reprodutibilidade.

2.2 Estrutura Financeira: Abordagem Focada no Ponto de Equilíbrio (Breakeven-First)

O artigo muda de prever valores específicos de ROI para definir uma fronteira de viabilidade de ponto de equilíbrio. Esta abordagem reconhece que a probabilidade anual específica da organização de um evento de perda material ($p_0$) e a fração de mitigação atribuível à CTI ($M$) são incógnitas que não podem ser estimadas de forma confiável a partir de relatórios amplos de prevalência do setor.

O modelo define o Custo Total de Propriedade (TCO) para CTI ($TCO_{CTI}$) para incluir não apenas plataformas e custos de feeds, mas também os custos incrementais downstream necessários para operacionalizar a inteligência (integração, engenharia, automação).

A condição para um ROI positivo é derivada como:
$$p_0 \times M > \kappa$$
Onde $\kappa = \frac{TCO_{CTI}}{L_M}$, e $L_M$ é a magnitude da perda condicional do evento.

Isso cria uma fronteira de duas incógnitas: uma organização deve substanciar que o produto de sua probabilidade de evento específica e sua capacidade de mitigação específica excede a razão custo-perda.

2.3 Simulação Condicional

Para ilustrar como a incerteza se propaga, os autores empregam uma simulação PERT condicionada ao score do TIEI. O fator de mitigação ($M$) é modelado como uma distribuição PERT onde os limites (pessimista, mais provável, otimista) são funções afins do score do TIEI. Isso vincula a maturidade operacional diretamente ao intervalo de resultados financeiros plausíveis sem afirmar um valor determinístico único.

3. Principais Contribuições

O artigo apresenta duas contribuições primárias:

1. O Índice de Eficácia de Inteligência de Ameaças (TIEI): Uma medida de maturidade estruturada, ponderada e geométrica que captura qualidade de inteligência, enriquecimento, integração e impacto operacional. Ele penaliza explicitamente o desempenho desequilibrado e fornece uma base reprodutível para o acompanhamento da evolução do programa.
2. Uma Estrutura de Decisão Financeira Focada no Ponto de Equilíbrio (Breakeven-First): Um método que trata $p_0$ e $M$ como incógnitas, caracterizando as combinações necessárias para um ROI positivo. Esta estrutura inclui uma definição abrangente do limite de investimento (TCO) e demonstra como derivar requisitos de ponto de equilíbrio compatíveis com o escopo sem depender de dados enganosos de prevalência setorial.

4. Resultados e Aplicação

A estrutura foi aplicada a cenários ilustrativos nos setores de serviços financeiros e saúde.

• Serviços Financeiros: Usando um custo de violação estimado ($L_M$) de $5,82M e um investimento anual total ($TCO_{CTI}$) de $0,40M, a constante de viabilidade $\kappa$ é 6,87%. A análise mostra que, para um programa de CTI atingir o ponto de equilíbrio com uma capacidade de mitigação de 20% ($M=0,20$), a probabilidade anual de um evento material compatível com o escopo da organização deve exceder 34,4%.
• Saúde: Com um custo de violação estimado mais alto (\8,595M) e um investimento de \0,60M, $\kappa$ é 6,98%. Da mesma forma, uma capacidade de mitigação de 20% requer uma probabilidade de evento superior a 34,9%.

O artigo enfatiza que estas não são previsões de risco do setor, mas sim fronteiras de viabilidade. Elas definem a evidência mínima que uma organização deve fornecer para justificar o investimento. A simulação PERT condicionada ilustra ainda que, para um programa maduro (TIEI = 80), a probabilidade de alcançar um ROI positivo aumenta significamente à medida que a probabilidade assumida do evento ($p_0$) sobe, mas a simulação depende da organização fornecer um $p_0$ defensável.

5. Significância e Alegações

Os autores alegam que esta estrutura fornece uma base reprodutível para decisões de investimento em CTI ao vincular a maturidade operacional (TIEI) a um limite financeiro auditável.

• Reenquadramento do ROI: O artigo argumenta que o ROI deve ser visto como uma medida de "fragilidade evitada" em vez de lucro ganho, abordando o "paradoxo da prevenção" onde o sucesso da segurança é invisível.
• Consistência Causal: Ao recusar a substituição da prevalência setorial ampla pela probabilidade de evento específica da organização, a estrutura evita o "erro de categoria" de aplicar modelos tradicionais de controle a ativos informacionais.
• Valoração Holística: A abordagem integra indicadores de desempenho quantitativos (MTTD, MTTR), valor estratégico qualitativo (proteção de marca, conformidade regulatória) e modelagem financeira (redução de risco baseada em FAIR).
• Modéstia nas Alegações: O artigo afirma explicitamente que não estima um ROI universal do setor. As fronteiras numéricas são limites de sensibilidade determinísticos baseados em entradas de cenário, não intervalos de confiança. A simulação PERT condicionada pelo TIEI é apresentada como uma ilustração secundária e condicional a pressupostos, não como uma ferramenta preditiva.

O estudo conclui que, embora existam desafios significativos de mensuração (atribuição, sobrecarga de dados, intangíveis), uma abordagem de múltiplas camadas combinando o TIEI com um modelo financeiro focado no ponto de equilíbrio permite que os líderes de segurança comuniquem o valor da CTI como um investimento estratégico defensável, em vez de um centro de custo.