Há controles que falham de maneira muito educada. Não derrubam sistemas, não disparam alertas e nem aparecem em vermelho no relatório. Pelo contrário: continuam sendo executados, têm responsável definido, seguem uma periodicidade e entregam exatamente a evidência que uma auditoria espera encontrar.
O problema é que, enquanto o controle permaneceu praticamente igual, a operação ao redor dele mudou.
Um fornecedor recebeu novos acessos, uma aplicação migrou para a nuvem, outra deixou de existir, equipes foram reorganizadas, novas ferramentas entraram na rotina e determinadas exceções, criadas para durar algumas semanas, continuaram abertas meses depois.
Quando isso acontece, pode surgir uma situação estranha: o controle continua correto no documento, mas já não corresponde completamente ao risco que deveria reduzir.
É uma fragilidade difícil de enxergar justamente porque não se apresenta como ausência. Há política, processo, aprovação e registro. Tudo parece estar no lugar. Só que estar no lugar não significa necessariamente estar funcionando.
O risco muda mais rápido do que o documento
Alguns controles envelhecem devagar. Outros podem perder aderência em poucos meses.
Uma matriz de acessos construída antes de uma reorganização pode continuar sendo revisada regularmente mesmo depois que cargos e responsabilidades mudaram. Um processo de homologação de fornecedores pode ter sido suficiente quando havia poucos serviços externos, mas começar a mostrar limitações quando diversas áreas passam a contratar plataformas SaaS. Uma política pode continuar formalmente válida mesmo depois que a tecnologia que deu origem a parte de suas regras desapareceu.
Esse problema é relevante o suficiente para aparecer de forma explícita no NIST Cybersecurity Framework 2.0. A versão atual do framework colocou Govern entre suas seis funções centrais e determina que políticas de gestão de riscos sejam revisadas e atualizadas para acompanhar mudanças em requisitos, ameaças, tecnologia e na própria organização. O framework também prevê que mudanças e exceções sejam avaliadas, registradas e acompanhadas ao longo do tempo.
A lógica é simples: um controle não termina quando é aprovado. A aprovação é apenas o início da vida útil dele.
E essa vida útil deveria incluir uma pergunta que raramente aparece nos relatórios: aquilo ainda reduz o risco que justificou sua criação?
Às vezes o problema já foi encontrado. Só continua sem solução.
Um dos dados mais interessantes do Verizon Data Breach Investigations Report 2026 não está relacionado à quantidade total de ataques, mas ao que acontece depois que uma vulnerabilidade crítica já é conhecida.
Entre vulnerabilidades presentes no catálogo Known Exploited Vulnerabilities (KEV) da CISA, apenas 26% foram completamente corrigidas pelas organizações analisadas em 2025. No período anterior, eram 38%.
Ao mesmo tempo, o prazo mediano para a resolução completa aumentou de 32 para 43 dias, enquanto as organizações passaram a lidar com uma quantidade mediana de vulnerabilidades críticas aproximadamente 50% maior.
Isso muda um pouco a discussão. Em muitos casos, a dificuldade já não está em descobrir que existe um problema. O scanner encontrou, a vulnerabilidade foi classificada, o risco entrou no processo e alguém recebeu uma notificação.
Depois disso começa uma parte muito menos automatizada. A aplicação pode precisar de homologação antes de receber a atualização. A correção talvez exija indisponibilidade. O fornecedor pode precisar participar. A área de negócio pode considerar aquele momento inadequado para uma parada. Uma exceção é aprovada para permitir que a operação continue e o prazo é deslocado.
Cada decisão, isoladamente, pode ser perfeitamente justificável. O problema aparece quando a sequência termina sem uma nova decisão.
A exceção vence, o responsável muda, surgem outras prioridades e aquela vulnerabilidade continua registrada. Ela não desapareceu, mas também já não provoca a mesma reação.
O próprio DBIR mostra por que esse atraso merece atenção: em sua edição de 2026, a exploração de vulnerabilidades passou a representar 31% dos acessos iniciais conhecidos em breaches, superando pela primeira vez o abuso de credenciais como principal vetor registrado pelo relatório.
O controle existe. A detecção também. O ponto fraco pode estar justamente no espaço entre identificar, decidir e concluir.
O problema não é apenas encontrar
Vulnerabilidades críticas: menos correções, mais tempo em aberto
| Indicador | Período anterior | 2025 |
|---|---|---|
| Vulnerabilidades KEV totalmente corrigidas | 38% | 26% |
| Tempo mediano para resolução completa | 32 dias | 43 dias |
Fonte: Verizon 2026 Data Breach Investigations Report.
O fornecedor foi aprovado. O risco não ficou congelado.
A avaliação de terceiros é outro bom exemplo de controle que pode envelhecer enquanto continua formalmente em dia.
Um fornecedor passa por questionários, apresenta documentos, recebe aprovação e começa a prestar o serviço. A partir daí, é fácil tratar a homologação como uma característica permanente daquele parceiro.
Mas o fornecedor continua mudando depois de ser aprovado. Pode trocar infraestrutura, criar novas integrações, contratar outros fornecedores, receber mais permissões ou passar a processar informações que nem faziam parte do escopo original.
E a relevância dessa mudança aparece nos números.
No DBIR 2026, 48% dos breaches analisados tiveram envolvimento de terceiros, um aumento de 60% em relação ao conjunto anterior.
Há outro dado ainda mais interessante para quem trabalha com governança. Ao acompanhar exposições em ambientes de terceiros na nuvem, a Verizon constatou que apenas 23% das organizações terceiras corrigiram completamente problemas relacionados à ausência ou configuração inadequada de MFA. Nos casos envolvendo senhas fracas e permissões mal configuradas, foram necessários quase oito meses para que metade dos achados fosse resolvida.
O ponto não é concluir que fornecedores sejam inseguros. É perceber a limitação de uma fotografia tirada na contratação.
Um questionário respondido em fevereiro pode não representar o ambiente de novembro.
Por isso, o próprio NIST CSF 2.0 trata o risco da cadeia de fornecedores como algo que deve ser monitorado ao longo da relação, incluindo mudanças e até atividades posteriores ao encerramento do contrato.
Isso muda a lógica de “fornecedor aprovado” para algo mais realista: fornecedor acompanhado.
A fotografia do risco de terceiros
48% dos breaches analisados pelo DBIR 2026 envolveram terceiros.
23% dos terceiros analisados corrigiram completamente problemas de MFA em contas cloud.
Quase 8 meses foi o tempo necessário para resolver metade dos achados envolvendo senhas fracas e permissões mal configuradas.
Fonte: Verizon 2026 DBIR.
A evidência pode estar certa e o controle, nem tanto
Existe uma diferença delicada entre comprovar que um processo foi executado e demonstrar que ele continua funcionando.
Uma revisão de acessos pode acontecer dentro do prazo e gerar uma planilha perfeitamente preenchida. Ainda assim, se centenas de permissões forem aprovadas quase automaticamente porque ninguém conhece todos os perfis, a existência da evidência diz pouco sobre a qualidade da revisão.
Um relatório pode comprovar a execução diária de backups sem responder quando ocorreu o último teste completo de restauração. Um treinamento pode registrar presença de toda a equipe sem mostrar se comportamentos arriscados diminuíram. Uma política pode receber nova versão e nova data sem que as mudanças ocorridas na operação tenham alterado uma única linha relevante.
Isso não torna essas evidências inúteis. Elas são necessárias para rastreabilidade, auditoria e prestação de contas.
O problema começa quando a evidência vira a medida do sucesso. É relativamente fácil verificar se uma atividade aconteceu. Avaliar se ela continua interferindo de maneira útil no risco exige olhar além do checklist.
Por isso, um controle que nunca encontra nada também merece alguma curiosidade. Uma revisão de acessos que passa anos sem identificar permissões desnecessárias pode indicar uma gestão de identidades excepcional, mas pode igualmente sinalizar que a revisão se transformou em confirmação. Um processo de terceiros em que ninguém jamais é reprovado pode estar diante de fornecedores extraordinários ou de critérios que já não conseguem separar situações de maior e menor risco.
Indicadores verdes são confortáveis. Só não deveriam encerrar a conversa.
O provisório também envelhece
Exceções ajudam a perceber outro fenômeno comum. Muitas vezes, um controle não é ignorado; ele é contornado de maneira formal e justificável.
Uma aplicação precisa continuar funcionando antes de uma correção. Um fornecedor necessita de acesso ampliado durante determinado projeto. Uma regra precisa ser flexibilizada temporariamente. O risco é avaliado, alguém aprova e uma data é definida.
Até aqui, o processo funcionou. A fragilidade aparece quando ninguém retorna àquela decisão.
A operação costuma ter mecanismos eficientes para adicionar: criar usuário, liberar permissão, conectar sistema, contratar aplicação e abrir exceção. Remover exige descobrir se aquilo ainda é utilizado, quem depende do acesso, se o projeto terminou e quem pode autorizar a retirada.
Por isso, algo criado para durar trinta dias pode chegar ao aniversário sem que ninguém tenha decidido torná-lo permanente. E talvez essa seja uma das formas mais silenciosas de um controle perder força: não há uma quebra evidente. O contexto apenas muda ao redor de uma decisão que nunca foi revisitada.
O NIST CSF 2.0 trata justamente mudanças e exceções como itens que devem ter seu impacto de risco avaliado, registrado e acompanhado, em vez de serem encarados como eventos encerrados no momento da aprovação.
Revisar não é trocar a data do documento
Talvez a parte mais importante de uma revisão de controle seja justamente aquela que não cabe em um campo “sim/não”.
O processo ainda existe? Provavelmente. A pergunta melhor é se ele continua cobrindo o mesmo risco, se as pessoas responsáveis ainda são as corretas, se novas tecnologias alteraram sua abrangência, se as exceções acumuladas modificaram o cenário original e se existe alguma indicação concreta de que o controle continua encontrando problemas quando deveria.
Essa é uma diferença pequena na linguagem, mas enorme na prática. Uma governança muito orientada à existência termina acumulando políticas, matrizes, avaliações, relatórios e controles. Uma governança orientada à efetividade precisa aceitar que alguns desses controles terão de mudar, ser substituídos ou simplesmente deixar de existir.
Até porque manter controles obsoletos também custa tempo. Pessoas continuam preenchendo planilhas, gerando evidências e realizando etapas que talvez já não tenham relação clara com os riscos atuais.
O resultado pode ser curioso: quanto mais controles acumulados, menor a capacidade de olhar com atenção para aqueles que realmente importam.
O ponto cego não costuma estar onde falta controle
É natural procurar fragilidades onde algo ainda não foi implementado. Uma área sem processo, uma política ausente ou um risco sem tratamento são problemas visíveis e, justamente por isso, tendem a receber atenção.
Mais difíceis são os controles que já conquistaram confiança. Eles aparecem como concluídos. Fazem parte da rotina. Passam pelas revisões. Possuem evidências. Ninguém tem um motivo imediato para questioná-los.
E é justamente por isso que podem permanecer por muito tempo protegendo uma realidade que já mudou.
A governança começa a perder força quando deixa de perguntar por que determinado controle existe e passa apenas a verificar se ele continua sendo executado.
Não é necessário transformar cada revisão em uma nova auditoria. Mas é importante recuperar periodicamente o contexto: o risco que deu origem ao controle continua o mesmo? A operação mudou? O controle ainda consegue encontrar desvios? As exceções estão sendo encerradas? A evidência mostra execução ou também permite enxergar resultado?
Porque um controle não precisa estar quebrado para ter perdido valor. Ele pode estar aprovado, documentado, sendo executado no prazo e com todos os campos preenchidos. Só pode ter sido esquecido pela realidade.
Podemos te guiar e garantir que o controle de documentos da sua empresa seja bem executado. Fale conosco.
