Gestão de vulnerabilidades é o processo contínuo de identificar, classificar, priorizar e corrigir falhas de segurança em sistemas, aplicações e equipamentos de rede. Vai além da varredura pontual: envolve inventário de ativos, análise de risco baseada no impacto para o negócio, prazos de correção por severidade e tratamento formal de exceções. Apoia-se em referências como o CVSS (Common Vulnerability Scoring System), sistema de pontuação que mede a gravidade técnica de cada falha.
O scanner terminou a varredura e devolveu um relatório com 800 achados, 120 deles marcados como críticos. A equipe tem uma janela de manutenção por mês e nenhum critério para decidir o que entra nela primeiro.
Esse é o ponto em que a maioria das operações trava: não falta ferramenta, falta método de priorização.
Este guia mostra como transformar a lista bruta do scanner em uma fila de correção que a operação consegue cumprir e a diretoria consegue acompanhar.
O que é gestão de vulnerabilidades
Gestão de vulnerabilidades é o processo contínuo de identificar, classificar, priorizar, corrigir e verificar falhas de segurança em sistemas, aplicações e equipamentos de rede. O objetivo é reduzir a janela de tempo em que uma falha conhecida permanece explorável no ambiente.
Para funcionar, exige inventário atualizado de ativos, critério de priorização ligado ao negócio e prazos de correção acordados por severidade, com registro do que foi tratado e do que ficou pendente.
Vale separar três termos que costumam se misturar. Vulnerabilidade é a falha em si, como um servidor sem atualização de segurança. Ameaça é o agente capaz de explorá-la, como um grupo de ransomware. Risco é a combinação dos dois com o impacto no negócio.
Gestão de vulnerabilidades e varredura não são a mesma coisa
A varredura (scan) é uma fotografia: aponta falhas em um momento específico. O pentest, teste de intrusão conduzido por especialista, também é um evento pontual.
A gestão é o que acontece depois do relatório: decidir o que corrigir, em qual ordem, com qual prazo e quem responde por cada item. Empresas que compram scanner e param aí acumulam relatórios, sem redução de risco.
O ciclo completo em cinco etapas
O processo se organiza assim: descoberta dos ativos e das falhas, classificação por severidade, priorização por risco real, correção dentro de janelas de manutenção e verificação de que a falha foi de fato eliminada.
Se o seu ambiente para em alguma dessas etapas, é ali que o risco se acumula.
Por que CVSS sozinho não serve para priorizar correções
O CVSS (Common Vulnerability Scoring System) atribui uma nota de 0 a 10 à gravidade técnica de uma falha. O problema: em um parque médio, centenas de itens recebem nota alta ao mesmo tempo, e nenhuma equipe corrige tudo dentro do prazo.
A nota mede o dano potencial da falha, não a chance de alguém explorá-la no seu ambiente.
O que o CVSS mede e o que ele ignora
O CVSS avalia vetor de ataque, complexidade e impacto sobre confidencialidade, integridade e disponibilidade. A nota base do CVSS, que é a exibida pela maioria dos scanners, ignora se existe código de ataque público, se o sistema afetado é crítico para o negócio e se há controles compensatórios, como segmentação de rede, já mitigando o risco.
Exploração real e catálogos de referência
Segundo a FIRST, organização que mantém o EPSS, apenas 2,5% a 3% das CVEs publicadas mostram sinais de exploração em qualquer período de 30 dias. O catálogo KEV da CISA, com falhas de exploração confirmada, reúne cerca de 0,5% delas.
Criticidade do ativo e exposição
Uma falha nota 7 em servidor exposto à internet costuma pesar mais que uma nota 9 em máquina isolada. Exposição e valor do ativo reordenam a fila.
Como montar uma fila de correção que a operação consegue cumprir
O primeiro passo é definir prazos de correção por faixa de risco, o chamado SLA (Service Level Agreement, acordo de nível de serviço). Um modelo comum: falha crítica com exploração ativa em até 7 dias, alta em 30, média em 90.
O prazo só funciona se segurança e infraestrutura o pactuarem juntos, com janelas de manutenção reservadas no calendário. Fila sem janela vira backlog eterno.
Quando a correção não existe ou quebra um sistema legado, aplique contenção: isole o ativo em segmento de rede restrito, desative o serviço vulnerável ou limite o acesso por firewall. Registre a exceção com prazo de revisão e responsável nomeado. Risco aceito sem dono e sem data é risco esquecido.
Esse fluxo de registro e responsabilização segue a mesma lógica da gestão de incidentes ITIL, o que facilita a integração entre as duas rotinas.
Quatro indicadores provam evolução:
- Tempo médio de correção por severidade;
- Cobertura do parque (percentual de ativos varridos);
- Backlog envelhecido (críticas abertas além do SLA);
- Taxa de reincidência da mesma falha.
Critérios para escolher uma abordagem de gestão de vulnerabilidades
A escolha depende menos da ferramenta e mais da capacidade da equipe de sustentar o ciclo todos os meses.
Ferramenta isolada, plataforma integrada ou serviço gerenciado
O scanner avulso tem custo inicial baixo, mas entrega apenas o relatório: priorização, correção e verificação ficam por conta do time interno. Funciona quando há analista dedicado à segurança.
A plataforma integrada associa varredura, inventário de ativos e abertura de chamados no ITSM (IT Service Management, gestão de serviços de TI). Reduz trabalho manual, porém exige maturidade de processo e orçamento maior de licenciamento.
O serviço gerenciado transfere a operação do ciclo a um fornecedor, com prazos contratuais de análise e acompanhamento das correções. Costuma ser a via mais rápida para quem não tem equipe própria de segurança, e a estrutura de níveis de suporte de TI do fornecedor indica quem responde a cada etapa.
Perguntas para fazer ao fornecedor antes de contratar
- A varredura cobre nuvem, servidores legados e equipamentos de rede?
- A priorização considera exploração ativa ou só a nota CVSS?
- Quem valida se a correção foi aplicada?
- O relatório executivo mostra evolução do risco por trimestre?
Respostas vagas a qualquer uma delas indicam que você receberá listas, não gestão.
Por onde começar nos próximos 30 dias
O relatório com centenas de achados continua sendo o mesmo. O que mudou é a leitura: agora existe critério para separar as dez falhas que exigem correção nesta semana das duzentas que podem aguardar a próxima janela de manutenção.
Três princípios sustentam esse ciclo:
- Inventário antes de varredura. Ninguém prioriza correção em ativo que não sabe que existe, nem defende prazo para sistema cuja criticidade ninguém mediu.
- Risco decide, nota técnica informa. Exposição à internet, impacto no negócio e exploração ativa pesam mais que o CVSS isolado.
- Prazo pactuado vale mais que meta ambiciosa. SLA de correção só funciona quando segurança e infraestrutura assinam juntas, com janelas reservadas no calendário.
O passo prático de amanhã cabe em uma reunião: reúna o último relatório de varredura, marque quais ativos estão expostos à internet e quais sustentam processos críticos, e monte a primeira fila com no máximo dez itens. Registre exceções com prazo e responsável. Em 30 dias, meça o tempo médio de correção dessa fila e apresente o número à diretoria.
Gestão de vulnerabilidades madura não é a que encontra mais falhas, e sim a que reduz o tempo em que cada falha permanece explorável.
Se a sua equipe não consegue sustentar esse ciclo todos os meses, converse com o time de segurança da CTC e avalie o que faz sentido internalizar e o que compensa operar de forma assistida.
Perguntas frequentes
O que é gestão de vulnerabilidades?
É o processo contínuo de identificar, classificar, priorizar, corrigir e verificar falhas de segurança em sistemas, aplicações e equipamentos de rede. O objetivo é reduzir o tempo em que uma falha conhecida permanece explorável no ambiente. Exige inventário atualizado de ativos, critério de priorização baseado em risco, prazos de correção pactuados entre segurança e infraestrutura e indicadores que comprovem a evolução para auditorias e diretoria.
Qual a diferença entre varredura e gestão de vulnerabilidades?
A varredura é apenas uma etapa: o scanner examina o ambiente e gera o relatório de falhas encontradas. A gestão de vulnerabilidades é o ciclo completo que vem antes e depois: inventariar ativos, priorizar o que corrigir primeiro, aplicar as correções em janelas de manutenção, tratar exceções e medir resultados. Comprar o scanner sem estruturar o restante do ciclo produz relatórios extensos e pouca redução de risco real.
Como priorizar as correções de vulnerabilidades?
Combine três fatores além da nota técnica: exposição do ativo à internet, criticidade do sistema para o negócio e existência de exploração ativa da falha. Uma vulnerabilidade de nota média em servidor exposto e com exploração conhecida deve subir na fila antes de uma nota crítica em máquina isolada da rede. A nota CVSS (Common Vulnerability Scoring System) mede o dano potencial, não a probabilidade de ataque no seu ambiente.
Com que frequência fazer a varredura de vulnerabilidades?
A referência prática é varredura mensal no parque completo e semanal, ou contínua, nos ativos expostos à internet. Sistemas críticos merecem varredura autenticada, que acessa o ativo com credenciais e enxerga falhas internas que o exame externo não detecta. Varredura anual, comum em empresas que só a executam por exigência de auditoria, deixa a falha exposta por meses entre uma verificação e outra.
O que fazer quando não existe correção disponível?
Aplique medidas de contenção enquanto o fabricante não publica o pacote: isolar o sistema em segmento de rede restrito, limitar quem pode acessá-lo, desativar o recurso vulnerável ou criar regra de bloqueio no firewall. Registre a decisão como exceção formal, com responsável nomeado, prazo de revisão e justificativa documentada. Exceção sem prazo vira risco permanente e invisível, e é isso que auditorias e a LGPD questionam.
