Reguladores brasileiros exigem gestão de vulnerabilidades baseada em risco, priorização por criticidade e evidências do tratamento
A gestão de vulnerabilidades no Brasil teve duas métricas por muito tempo. A primeira era quantas falhas a varredura encontrou e a segunda quantas a equipe corrigiu. Nenhuma norma brasileira pede esses dois números. ANPD, Banco Central, SUSEP, ANEEL e ANATEL exigem que a organização conheça seus ativos, trate o risco por criticidade, comunique em prazo curto e mantenha evidência do processo por anos. Isso é priorização baseada em risco, escrita em linguagem regulatória.
Os textos mudam, mas a exigência permanece a mesma. A LGPD solicita medidas de segurança no artigo 46 e comunicação de incidentes no artigo 48, com prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024 e registro guardado por cinco anos. A Resolução CMN nº 4.893/2021 cobra mecanismos que comprovem a efetividade da política de segurança cibernética.
A Circular SUSEP nº 638/2021 é a mais direta de todas: exige controles efetivos para identificar e reduzir vulnerabilidades de forma proativa. A Resolução Normativa ANEEL nº 964/2021 obriga os agentes a enviar ao regulador os riscos identificados e a forma de tratamento de cada um.
E o R-Ciber da ANATEL, alterado em julho de 2024, ampliou a notificação de incidentes e a avaliação de fornecedores. As sanções da LGPD chegam a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração.
Nenhum desses reguladores aceita um relatório de dez mil vulnerabilidades fechadas como prova de diligência. O foco aqui é saber quais falhas podiam ser exploradas, em quais ativos, por que aquelas vieram primeiro e como a empresa comprova que a exposição acabou.
Três dias úteis para comunicar um incidente à ANPD parece um problema jurídico, na verdade, é um problema de inventário.
A comunicação exige descrever a natureza dos dados afetados, os titulares envolvidos, os riscos e as medidas adotadas. Quem leva duas semanas para determinar quais ativos foram atingidos não produz essa descrição em três dias. O mesmo vale para a comunicação tempestiva ao Banco Central.
Um movimento internacional tem consequência direta aqui. Em 15 de abril de 2026, o NIST passou a enriquecer apenas três categorias de CVE no National Vulnerability Database: os do catálogo Known Exploited Vulnerabilities da CISA, os de software do governo federal americano e os de software crítico da Ordem Executiva 14028. O restante fica listado como lowest priority, sem análise.
Heriberto Cabrera, Regional Vice President, Solutions Engineering LATAM da Tanium, explica que “o motivo é volume, pois o NIST enriqueceu quase 42 mil CVEs em 2025, 45% mais do que em qualquer ano anterior, e ainda assim não deu conta. As submissões cresceram 263% entre 2020 e 2025.”
O enriquecimento é o processo que gera a pontuação de severidade e a lista de produtos afetados. Uma empresa que ordena a fila de correção por CVSS depende de um dado que, para a maior parte dos CVEs, deixou de ser produzido.
A nota de severidade nunca disse onde a falha estava nem o que aquele ativo faz pelo negócio. Agora ela também deixou de existir para a maioria dos registros e, sem contexto do ativo, a priorização vira apenas mais uma fila.
Em 10 de junho de 2026, a CISA emitiu a diretiva BOD 26-04 e abandonou prazos definidos por pontuação técnica. A norma obriga apenas agências civis do governo federal americano, mas oferece um critério que funciona em qualquer ambiente. Para cada vulnerabilidade, quatro perguntas:
- O ativo afetado está exposto publicamente?
- A exploração pode ser totalmente automatizada?
- A exploração dá ao atacante o controle do sistema?
- Existe evidência de exploração ativa no mundo real?
Os prazos variam conforme o número de critérios atendidos: três, 14 ou 60 dias. O rigor se justifica. Segundo o Verizon Data Breach Investigations Report de 2026, apenas 26% das vulnerabilidades do catálogo KEV foram totalmente corrigidas em 2025, contra 38% no ano anterior.
“Atender às normas brasileiras exige quatro capacidades operando juntas: enxergar o estado atual de cada endpoint, ordenar a correção por exposição e criticidade do ativo, executar a remediação e comprovar que a exposição desapareceu”, explica Cabrera.
A quarta é a que os reguladores efetivamente cobram, e a que costuma faltar. A ANEEL pede o risco identificado e a forma de tratamento; a SUSEP solicita o tratamento das vulnerabilidades exploradas; e a Resolução CMN nº 4.893 os mecanismos que comprovem a efetividade da política. Ferramentas que apenas varrem e apontam devolvem uma nova lista na semana seguinte, sem encerrar o ciclo.
“Quando as quatro capacidades operam na mesma plataforma, a correção deixa de ser um projeto para ser uma operação de rotina, executável em minutos sobre milhares de dispositivos. Quando estão distribuídas em ferramentas diferentes, a exposição vive no intervalo entre elas e é esse intervalo que o regulador enxerga como prazo descumprido”, reforça o VP da Tanium.
Essa métrica não é quantidade de vulnerabilidades fechadas e nem velocidade isolada, mas a redução comprovada da superfície de risco. Quem acerta a ordem, executa em escala e comprova o resultado resolve dois problemas de uma vez: reduz risco e produz a evidência que o regulador vai pedir.
Duas medidas dão a linha de base para começar esse processo nas organizações. São elas:
- Cronometre quanto tempo a organização leva para listar todos os ativos afetados por um CVE específico, com função de negócio e exposição à internet. Compare com os três dias úteis da ANPD. Se a resposta vier em dias, o problema é inventário.
- Aplique as quatro perguntas da BOD 26-04 ao backlog atual. Quatro respostas afirmativas definem a fila do dia. Duas ou três, a fila da quinzena. O restante entra em rotina, com fundamento documentado.
Cabrera ainda diz que “a segunda medida importa por um motivo pouco discutido. Postergar sem critério registrado é negligência; postergar com critério documentado e auditável é gestão de risco. Diante de um regulador, a diferença entre as duas coisas é o registro.”
A fila de espera, porém, não é um objetivo. Ela mede o que a operação ainda não consegue executar. Quanto maior a capacidade de correção, menor essa fila e menos risco fica parado aguardando justificativa.
O volume de vulnerabilidades cresce mais rápido do que a capacidade dos times de analisar uma a uma. Priorizar resolve a ordem, pois a organização ainda precisa corrigir em escala e com velocidade. A vantagem está em fazer as duas coisas, acertando a ordem e executando no mesmo fluxo em que enxerga, com prova do resultado. Quem usa uma ferramenta para descobrir, outra para priorizar e uma terceira para corrigir raramente perde tempo na decisão, pois se perde na costura entre elas.
Golpe Fantasma: Como criminoso se passou por funcionário da Avast
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
