Quanto estamos expostos?
- A resposta de hoje
- Uma nota de maturidade de 1 a 5, que não cabe em orçamento.
- A resposta da Indene
- Perda esperada em reais, em faixa, com confiança ao lado.
Quanto a sua instituição está exposta: em reais, com faixa e com confiança.
Avaliação de controles com hierarquia de evidência, quantificada em exposição financeira que sustenta a reunião do conselho e a fiscalização do Banco Central.
Perda esperada anual
R$ 8,4 mi a R$ 21,7 mi
P10valor mais provávelP90
confiança38%baixa: 61 de 184 controles com evidência validada
Números de exemplo: existem para mostrar o formato da saída, não representam medição real.
As três perguntas
O conselho pergunta. A planilha não responde.
Se eu aprovar este investimento, quanto cai?
- A resposta de hoje
- Nenhuma ferramenta liga o gasto à redução.
- A resposta da Indene
- Simulação com antes e depois, na mesma escala.
Como estamos frente ao mercado?
- A resposta de hoje
- Sem referência externa, todo número parece errado.
- A resposta da Indene
- Referência setorial ao lado do seu número.
Por que agora
O prazo já venceu. A fiscalização é documental.
- CMN 5.274 · BCB 538
Publicadas em 18/12/2025: 14 procedimentos e controles mínimos verificáveis, teste de intrusão anual independente e evidência retida por 5 anos.
Resoluções CMN 5.274/2025 e BCB 538/2025
- 01/03/2026
O prazo de adequação venceu. Quem ainda responde por planilha, responde atrasado.
CMN 5.274/2025
- < 650 servidores
O quadro de supervisão do Banco Central caiu de 1.100 para menos de 650. A fiscalização chega por ofício; quem responde com dossiê datado e rastreável tem vantagem objetiva.
Sinal/BC, 2025
- R$ 8,92 mi
Custo médio de uma violação de dados no setor financeiro no Brasil. É o argumento que o board entende sem tradução.
IBM/Ponemon, Cost of a Data Breach 2025
Como funciona
Você traz documentos e exports. Você leva dossiê e relatório de board.
O caminho do produto é o caminho da implantação: primeira leitura de exposição em até 10 dias úteis.
- 01
Avaliação
Cada controle recebe duas notas, desenho e efetividade, que nunca colapsam em score único.
- 02
Ingestão
Evidência entra por documento, CSV e conector. Cada uma com origem, data e autor.
- 03
Exposição
O motor FAIR com Monte Carlo traduz o estado dos controles em faixa de perda, com a confiança colada no número.
- 04
Plano e dossiê
Fila ordenada por redução de exposição e dossiê de fiscalização em PDF, com trilha imutável, sem coleta manual.
Hierarquia de evidência
Declarado não é prova. O número sabe disso.
“Quando foi a última vez que vocês restauraram de verdade, cronometraram, e o número bateu com o RTO declarado?”
Declarado
Alguém disse. Sem cor, de propósito; ainda não é prova de nada.
Peso no númeromenor
Evidenciado
Documento, export de ferramenta, coleta de conector.
Peso no númeromédio
Validado
Teste ativo que respondeu. Só isso sobe o teto.
Peso no númeromaior
As três métricas
Três cenários que o conselho já teme, agora com número.
M1A porta de entrada
Resiliência a ransomware
Se criptografarem nossos sistemas amanhã, quanto perdemos e em quanto tempo voltamos?
M2A diferenciação
Shadow AI
Que dado nosso já está saindo por ferramenta de IA que ninguém aprovou?
M3A obrigação regulatória
Risco de terceiros
Se o fornecedor crítico cair ou vazar, quanto perdemos, e conseguimos provar ao Bacen que sabíamos?
Simulação
Aprovar investimento vira número de redução.
Ative os controles e veja a faixa encurtar: na mesma escala, porque comparar faixas em escalas diferentes é mentira visual.
AntesR$ 8,4 mi a R$ 21,7 mi · confiança 38%
DepoisR$ 7,3 mi a R$ 19,6 mi · confiança 45%
Escala única de R$ 0 a R$ 24 mi nas duas faixas.
Números de exemplo: mostram o formato da saída, não uma medição real.
Um controle, todas as normas
Norma nova deixa de ser projeto novo e vira mapeamento.
O mapeamento entre controle e requisito é muitos-para-muitos, com grau de cobertura explícito. Um controle avaliado uma vez responde a todos os frameworks mapeados a ele.
CTL-014
Backups imutáveis testados
cobertura totalcobertura parcial
- CMN 5.274cobertura total
- ISO/IEC 27001cobertura total
- CIS Controlscobertura total
- NIST CSFcobertura total
- ISO 22301cobertura parcial
- ISO/IEC 42001cobertura parcial
Cobertura total e parcial aparecem separadas; parcial não vira "atendido".
O que você leva
Duas peças que saem da plataforma e entram na reunião.
Relatório de board
PDF · 3 a 5 páginas3 a 5 páginas na linguagem do conselho. Opinativo, imprimível, gerado com histórico.
Dossiê de fiscalização
PDF · trilha completaOrigem, data e trilha de cada evidência, sem nenhuma coleta manual. A promessa é comercial porque o banco de dados a garante.
De onde vem o dado
Conectado hoje, separado do catálogo. De propósito.
Conectado hoje
- Wazuh
- Proxmox VE
- Proxmox Backup Server
No catálogo · ainda não verificado contra ambiente real
- Veeam
- Rubrik
- CrowdStrike
- Microsoft Defender
- Intune
- Nessus
- Qualys
- AWS
- Azure
- GCP
- VMware
- Acronis
- Cohesity
- Commvault
- Veritas
Conector traz evidência evidenciada, nunca validada; só teste ativo valida.
Aegis · IA com trilhos
A IA propõe. A pessoa decide.
- 01
A IA lê documento e propõe classificação, origem e trechos, dentro de trilhos, sob prompt versionado.
- 02
Nenhum snapshot de risco existe sem aceite humano.
- 03
Filtro de conteúdo antes de qualquer chamada: dado sensível é barrado nos trilhos antes de chegar ao modelo.
- 04
O produto mede sozinho a taxa de aceite sem edição. A meta declarada é 70%.
Quem usa
Três pessoas, três telas, o mesmo número.
Board
10 minutos antes da reunião
Faixa, confiança, variação e referência setorial. O que levar para o conselho.
Consultor e GRC
O dia inteiro, em período de inspeção
Programa, frameworks, SoA, fila de trabalho e export do recorte filtrado.
Técnico
Entra, resolve, anexa prova, sai
Consolidado, vulnerabilidades, backup, detecção e conformidade.
Programa de design partner
Cinco vagas. Condição de fundador.
Ainda não temos cliente para nomear, e não vamos inventar um. As cinco primeiras contas entram com metade da tabela no primeiro ano, implantação incluída, primeira leitura de exposição em até 10 dias úteis e prioridade de roadmap.
- Metade da tabela no primeiro ano
- Implantação incluída
- Primeira leitura em até 10 dias úteis
- Prioridade de roadmap
5vagas
Atravesse o incidente. Saia indene.
Uma demonstração de 30 minutos: faixa, confiança, simulação e o dossiê saindo em PDF. Quem responde é uma pessoa, em até 24 horas úteis.
Agendar demonstração (30 min)
Ou escreva direto: contato@indene.io