Nos últimos anos, os centros de operações de segurança foram estruturados principalmente para responder sobre o que está acontecendo no ambiente agora. Detectar uma ameaça, analisar um alerta e reagir rapidamente continuam sendo funções fundamentais, mas já não são suficientes diante da velocidade, da complexidade e da dimensão que o risco cibernético ganhou dentro das organizações.
Uma nova discussão começa, portanto, a ganhar espaço no setor: a evolução do SOC para o ROC, o Risk Operations Center, um modelo operacional em que a prioridade deixa de ser apenas detectar eventos e passa a ser identificar, antecipar e reduzir as exposições que representam maior risco para o negócio.
Para a Diretora de Negócios da NetSecurity, Marília Cardoso, essa mudança aproxima definitivamente a operação de segurança das decisões da alta gestão. “O board não precisa receber uma lista de vulnerabilidades ou saber quantos alertas foram tratados durante o mês. Precisa entender quais operações estão expostas, quais riscos podem interromper receita, produção ou atendimento e onde a empresa precisa agir primeiro. O ROC muda a conversa porque coloca o risco do negócio no centro da operação”.
O conceito vem sendo discutido internacionalmente como uma evolução da gestão tradicional de segurança. Em vez de trabalhar com vulnerabilidades, identidades, ativos, ameaças e incidentes como universos separados, o ROC busca consolidar essas informações e acrescentar contexto sobre criticidade dos ativos, exposição, possibilidade de exploração e consequência para a organização.
Modelos de Risk Operations Center já descritos pelo mercado propõem justamente essa integração contínua entre informações técnicas e impacto de negócio, com priorização baseada no risco efetivamente representado por cada exposição, e não apenas na quantidade ou severidade individual de alertas.
Uma visão única entre IT e OT
O primeiro pilar dessa transformação é a visão holística do ambiente. Nas empresas industriais, de infraestrutura, energia, logística e em diferentes setores com operações físicas conectadas, já não faz sentido analisar segurança de tecnologia da informação, IT, separadamente da tecnologia operacional, OT.
Um ataque iniciado em uma credencial corporativa pode chegar a um servidor que controla uma operação crítica. Já uma vulnerabilidade em um ativo conectado pode produzir consequências que ultrapassam o ambiente digital e atingem produção, disponibilidade, logística, segurança operacional e receita.
A expansão da superfície de ataque está diretamente relacionada à convergência entre IT e OT, ao crescimento das cadeias digitais de fornecedores, à nuvem e à adoção acelerada de novas tecnologias. Relatórios recentes de cibersegurança apontam essa combinação como um dos principais fatores de aumento da complexidade do risco corporativo.
Por isso, um ROC precisa olhar para ativos, identidades, vulnerabilidades, inteligência de ameaças, cloud, endpoints e ambientes operacionais como partes da mesma exposição.
Ao invés de mensurar qual vulnerabilidade tem maior pontuação técnica, os times passam a entender onde está essa vulnerabilidade, qual processo depende desse ativo, existe exploração conhecida, quais caminhos um invasor poderia utilizar e o que acontece com o negócio se esse ambiente for comprometido e é essa correlação que muda a prioridade.
Da reação à previsão
O segundo pilar está na passagem de uma segurança predominantemente reativa para uma abordagem preditiva.
Os ataques estão ficando mais rápidos justamente enquanto as empresas administram superfícies digitais cada vez maiores. Dados globais mostram que o tempo médio entre o primeiro acesso de um criminoso e sua movimentação para outros equipamentos demora menos do que 30 minutos para ser descoberto, sendo que o caso mais rápido observado levou apenas 27 segundos.
O desafio deixa de ser apenas detectar rapidamente depois que o ataque começou. “Quanto mais rápido o adversário se movimenta, menos sustentável é depender exclusivamente da lógica de detectar e reagir. Precisamos identificar as condições que tornam aquele ataque possível e reduzir a exposição antes de o incidente acontecer”, explica Marília.
Nesse modelo, inteligência de ameaças, gestão contínua da superfície de ataque, vulnerabilidades, comportamento de identidades, configurações, exposição externa e criticidade dos ativos passam a alimentar a mesma tomada de decisão.
Uma vulnerabilidade crítica que está isolada e sem rota conhecida de exploração pode representar menor urgência do que uma falha classificada tecnicamente como menos severa, mas localizada em um ativo de produção exposto à internet, acessível por uma identidade privilegiada e associado a uma técnica já explorada por criminosos.
O avanço da Inteligência Artificial reforça essa necessidade. Segundo o Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, 87% dos entrevistados apontaram vulnerabilidades relacionadas à IA como o risco cibernético que mais cresceu ao longo de 2025. Para 94%, a IA será a principal força de transformação da cibersegurança em 2026.
Nesse ambiente, prever exposição passa a ser tão importante quanto responder ao incidente.
Da linguagem técnica à decisão executiva
O terceiro pilar está na comunicação orientada ao impacto do negócio. Durante muito tempo, relatórios de cibersegurança chegaram à alta administração carregados de indicadores técnicos: quantidade de alertas, tentativas bloqueadas, vulnerabilidades abertas, eventos processados ou endpoints monitorados.
Estas são informações importantes para administrar uma operação de segurança. Entretanto, para o conselho de administração, precisam ser convertidas em outra dimensão, respondendo as questões: Quanto da receita depende dos sistemas mais expostos? Qual seria o impacto de quatro horas de indisponibilidade em determinada operação? Quais riscos podem gerar descumprimento regulatório? Existem contratos ou clientes que dependem de requisitos específicos de segurança? Quais exposições precisam ser reduzidas primeiro porque representam maior possibilidade de perda?
É aqui que a dimensão financeira do ROC continua relevante, mas como parte de uma visão mais ampla. A quantificação de risco pode ajudar a traduzir cenários cibernéticos em possíveis impactos econômicos, permitindo que CIOs, CISOs, CFOs e demais executivos tomem decisões de investimento, mitigação, transferência ou aceitação de risco com uma referência comum.
O próprio conceito de Risk Operations Center vem sendo desenvolvido com essa lógica de conectar risco cibernético, contexto operacional e consequências financeiras para apoiar decisões empresariais.
Essa comunicação ganha importância porque o impacto econômico dos incidentes continua elevado. O relatório mais recente da IBM disponível até o momento reforça que violações de dados geram custos associados a detecção, resposta, perda de negócios e recuperação, além de consequências de longo prazo para as organizações.
No Brasil, essa dimensão também envolve governança e responsabilidade regulatória. Incidentes de segurança envolvendo dados pessoais capazes de causar risco ou dano relevante precisam ser comunicados à Autoridade Nacional de Proteção de Dados e aos titulares dentro dos prazos estabelecidos pela regulamentação, exigindo capacidade de identificação, avaliação e resposta estruturada.
SOC e ROC não são concorrentes
A evolução para um Risk Operations Center não significa abandonar o SOC. Muito pelo contrário, o SOC continua sendo essencial para monitorar eventos, investigar atividades suspeitas, responder a incidentes e coordenar ações de contenção. Enquanro o ROC acrescenta uma camada de contexto e priorização que conecta essa operação ao gerenciamento contínuo do risco.
Na prática, é aproximar SOC, Cyber Threat Intelligence, gestão de vulnerabilidades, identidades, exposição externa, resposta a incidentes, IT, OT e contexto de negócio.
Essa integração permite trocar uma operação baseada predominantemente no volume de eventos por outra orientada pelas exposições que realmente importam.
Indicadores como tempo de detecção e contenção continuam relevantes, mas passam a conviver com métricas como cobertura dos ativos críticos, exposição a vulnerabilidades exploradas, caminhos de ataque, evolução de privilégios inadequados, tempo de permanência de riscos críticos, indisponibilidade potencial e impacto sobre processos essenciais.
“Não adianta dizer ao board que 50 mil ameaças foram bloqueadas se nenhuma delas ameaçava uma operação crítica. Segurança madura é conseguir mostrar onde existe risco real, o que estamos fazendo para reduzi-lo e como essa decisão protege a continuidade da companhia”, afirma Marília.
É uma mudança aparentemente simples de nomenclatura, mas profunda na maneira de operar. O SOC olha para o que está acontecendo e o ROC acrescenta outras duas perguntas: o que pode acontecer e o que realmente importa para o negócio?
Quando a operação de segurança consegue responder às três, cibersegurança deixa de ser uma disciplina isolada dentro da tecnologia e passa a participar das decisões sobre risco, continuidade, investimentos e crescimento da empresa.
