SOC Tips · CISO as a Service · Edição completa
SOCTips

The CISO's
Guide to Claude

33 skills enterprise, estilo Accenture, que levam o Claude Fable 5 ao limite — e transformam o Claude em um motor de CISO as a Service. Com ferramentas prontas para aplicar, fluxogramas, arquiteturas de referência e processos de ponta a ponta.

33 skills em 9 domínios 9 ferramentas práticas Diagramas & arquiteturas de referência
Denny Roger
Managing Director · @dennyroger.ciso
00
Sumário · 33 skills em 9 domínios

Um sistema completo,
não uma lista de prompts.

Cada skill é um módulo de engajamento: contexto, método, critérios de qualidade e formato de saída. Juntas, elas cobrem o ciclo inteiro de um CISO — do diagnóstico do risco à comunicação com o conselho — com as ferramentas e os diagramas para aplicar na prática, no modelo copiar, colar e adaptar.

01Enquadramento do RiscoDiagnóstico
02Avaliação de Postura de SegurançaDiagnóstico
03Auditoria de PremissasDiagnóstico
04Contexto de Negócio & Apetite de RiscoDiagnóstico
05Mapeamento da Superfície de AtaqueInteligência
06Inteligência de AmeaçasInteligência
07Perfil de AdversáriosInteligência
08Risco de Terceiros & Supply ChainInteligência
09Geração de Opções EstratégicasEstratégia
10Business Case de SegurançaEstratégia
11Revisão do Portfólio de ControlesEstratégia
12Estratégia de Sourcing do SOCEstratégia
13Modelo Operacional de SegurançaExecução
14Arquitetura de Referência do SOCExecução
15Priorização de IniciativasExecução
16Roadmap de MaturidadeExecução
17Plano dos Primeiros 90 DiasExecução
18Engenharia de Detecção & Casos de UsoOperações
19Playbooks de Resposta a IncidentesOperações
20Gestão de Vulnerabilidades & ExposiçãoOperações
21Automação & IA no SOCOperações
22War-Gaming de IncidentesGovernança
23Mitigação de RiscosGovernança
24Arquitetura de KPIs & KRIsGovernança
25Realização de ValorGovernança
26Conformidade RegulatóriaGovernança
27Continuidade de Negócios (PCN/SGCN)Resiliência
28Gestão de Crises CibernéticasResiliência
29Recuperação CibernéticaResiliência
30Alinhamento de StakeholdersComunicação
31Construtor de Narrativa ExecutivaComunicação
32Decision Memo & Reporte ao ConselhoComunicação
33Sistema Operacional do CISOBackbone
USO
Como usar este guia com o Claude Fable 5

Cada skill é um jeito
de conversar com o Fable 5.

O Fable 5 é o motor operacional deste guia: rápido, direto e feito para o dia a dia do CISO. Cada uma das 33 skills a seguir é uma forma estruturada de pedir — e todas seguem a mesma fórmula. Aprenda a fórmula uma vez e você aplica em qualquer skill.

A fórmula

Todo bom prompt tem quatro partes

Quanto mais completa a fórmula, melhor a resposta. Em cada skill, o bloco “Peça ao Fable 5” já vem montado nesse formato — é só trocar pelo seu contexto.

1 · Papel

Diga quem o Fable 5 deve ser. “Aja como um CISO sênior” muda a profundidade da resposta.

2 · Contexto

Seu setor, tamanho e o que está em jogo. Cole dados reais: relatórios, listas, exports.

3 · Tarefa

O que você quer, de forma decidível. Um verbo claro: enquadre, avalie, priorize, compare.

4 · Formato

Como quer a saída. Tabela, memo de uma página, heatmap, lista priorizada, linguagem de board.

Exemplo prático

O mesmo pedido — sem e com a fórmula

Prompt fraco
“Como melhorar a segurança da minha empresa?”
Resposta genérica, que serve para qualquer um e não decide nada.
Prompt com a fórmula
“Aja como um CISO sênior (papel). Somos um varejo com e-commerce que fatura R$ 2M/dia no site (contexto). Enquadre ‘melhorar a segurança’ em uma pergunta de risco decidível, com ativo, ameaça, impacto em faixas de R$ e apetite de risco (tarefa). Entregue como um problem statement com critérios de decisão (formato).”
Resposta específica, acionável e pronta para levar ao comitê.
Fluxo de trabalho

Como navegar o guia na prática

Abra a skill

Escolha, no sumário, a skill que resolve seu problema de agora.

Copie o exemplo

Use o “Peça ao Fable 5” do card como ponto de partida.

Troque o contexto

Substitua pelos seus números, setor e dados reais.

Itere

Refine: “detalhe mais”, “resuma para o board”, “assuma outro cenário”.

Quatro hábitos que elevam qualquer resposta

Peça como um CISO, não como um curioso

HábitoPor quê
Peça em faixas, não em adjetivos“Impacto de R$ 500k–2M” decide orçamento; “impacto alto” não.
Cole dados reaisExports do scanner, lista de fornecedores, resultado do assessment — a resposta fica sua, não genérica.
Defina o formato de saídaMemo de uma página, tabela priorizada, heatmap. Você economiza rodadas de retrabalho.
Itere sem medoA primeira resposta é rascunho. Pressione: “e se o orçamento cair 30%?”, “prepare o Q&A hostil”.

Em cada uma das 33 skills a seguir, procure o bloco “Peça ao Fable 5” — é um exemplo pronto, no formato da fórmula, para você copiar, adaptar e disparar.

01
Skills de diagnóstico do risco · 01–04

Comece pelo problema real,
não pelo sintoma óbvio.

Antes de recomendar qualquer controle, o Claude enquadra a situação como um CISO sênior: qual é o risco de negócio por trás do pedido, o que os dados realmente mostram, quais premissas ninguém questionou e quanto risco a organização de fato tolera.

SKILL 01

Enquadramento do Risco

Transforma um pedido vago ("precisamos de mais segurança") em uma pergunta de risco bem definida: ativo, ameaça, impacto no negócio e apetite de risco. O Claude separa o sintoma da causa antes de propor qualquer coisa.

EntregaProblem statement de risco, árvore de hipóteses e critérios de decisão.
Peça ao Fable 5
“Aja como um CISO sênior. A diretoria pediu “mais segurança em nuvem” depois de um susto com um concorrente. Transforme esse pedido em uma pergunta de risco decidível — ativo, ameaça, impacto em faixas de R$ e apetite de risco — e entregue um problem statement com critérios de decisão.”
SKILL 02

Avaliação de Postura de Segurança

Diagnóstico estruturado da situação atual: controles, processos, pessoas e tecnologia contra frameworks como NIST CSF 2.0, CIS Controls e ISO 27001. Onde a organização está — e onde acha que está.

EntregaHeatmap de maturidade por domínio, gaps críticos e quick wins de 30 dias.
Peça ao Fable 5
“Vou colar o resultado do nosso assessment e a lista de controles atuais. Avalie nossa postura contra o NIST CSF 2.0 e entregue um heatmap de maturidade por função, os 5 gaps mais críticos e 3 quick wins de 30 dias.”
SKILL 03

Auditoria de Premissas

Caça as premissas invisíveis que sustentam a estratégia de segurança: "o backup funciona", "o MFA cobre todo mundo", "o fornecedor é seguro". Cada premissa vira uma verificação com dono, prazo e evidência.

EntregaRegistro de premissas classificadas por criticidade e plano de validação.
Peça ao Fable 5
“Nossa estratégia assume que “o backup é testado”, “o MFA cobre todos os acessos” e “os fornecedores críticos são auditados”. Liste as premissas invisíveis do nosso plano, classifique por criticidade e proponha uma verificação com dono, evidência e prazo para cada uma.”
SKILL 04

Contexto de Negócio & Apetite de Risco

Mapeia o que realmente gera receita, quais processos não podem parar e quanto risco a liderança aceita — em números, não em adjetivos. Sem isso, toda priorização de segurança é opinião.

EntregaDeclaração de apetite de risco com limites quantificados por categoria.
Peça ao Fable 5
“Somos um varejo com e-commerce que fatura R$ 2M/dia no site. Ajude-me a escrever uma declaração de apetite de risco com limites quantificados: quanto de indisponibilidade, vazamento e fraude a liderança aceita por categoria — em números, não em “alto/médio/baixo”.”
Ferramenta na prática

Canvas de Enquadramento do Risco

Preencha as seis células com o Claude na primeira hora de qualquer engajamento. Se uma célula ficar vazia, o problema ainda não está pronto para receber solução — nem orçamento.

1 · Ativo & valor de negócio

O que está em risco? Qual processo de receita, dado ou operação depende dele? Quanto vale um dia de indisponibilidade?

2 · Ameaça & vetor

Quem atacaria e como? Qual cenário é plausível — não apenas possível — para este ativo neste setor?

3 · Impacto

Consequência financeira, regulatória, operacional e reputacional. Estimada em faixas (R$), não em "alto/médio/baixo".

4 · Apetite de risco

Quanto desse risco a liderança formalmente aceita? Qual é o limite que, se cruzado, exige ação imediata?

5 · Pergunta de risco

Uma única frase decidível: "Devemos investir X para reduzir a exposição do ativo Y de A para B até a data Z?"

6 · Critérios de decisão

O que precisa ser verdade para aprovar? Custo máximo, prazo, risco residual aceitável e evidência exigida.

Processo de referência

Fluxo do diagnóstico — do pedido à pergunta decidível

Todo pedido de segurança passa por quatro estações antes de virar projeto. O Claude executa as quatro em sequência e devolve uma pergunta que o comitê consegue decidir.

ETAPA 1
Pedido do negócio
Capturar o pedido bruto e quem o originou
ETAPA 2
Enquadramento
Ativo, ameaça, impacto e apetite (Skill 01 e 04)
ETAPA 3
Evidência
Postura atual e gaps contra o framework (Skill 02)
ETAPA 4
Premissas testadas
O que precisa ser verificado antes de decidir (Skill 03)
SAÍDA
Pergunta decidível
Problem statement com critérios de decisão
02
Skills de inteligência de ameaças · 05–08

O Claude não resume o cenário.
Ele encontra a exposição.

Onde está a superfície de ataque real, como o adversário pode se mover, o que entra pela porta dos fornecedores e onde está o ponto cego que ninguém mapeou — antes que o atacante encontre primeiro.

SKILL 05

Mapeamento da Superfície de Ataque

Mapeia sistematicamente ativos, identidades, integrações, APIs, nuvem e shadow IT. Constrói a visão de fora para dentro — como um atacante enxerga a organização — e prioriza a exposição por valor de negócio.

EntregaMapa de superfície de ataque priorizado por criticidade e exploração provável.
Peça ao Fable 5
“A partir desta lista de domínios, IPs públicos e aplicações SaaS, mapeie nossa superfície de ataque externa. Aponte os ativos expostos, o provável shadow IT e ordene tudo por probabilidade de ser o ponto de entrada.”
SKILL 06

Inteligência de Ameaças

Traduz threat intel bruto em decisão executiva: quais campanhas, TTPs e vulnerabilidades importam para o seu setor, o seu stack e o seu momento — e o que ignorar sem culpa.

EntregaBriefing de ameaças acionável com relevância setorial e recomendações.
Peça ao Fable 5
“Somos um hospital privado no Brasil. Faça um brief de threat intelligence do setor: quais grupos de ransomware estão ativos contra saúde, quais TTPs usam (mapeie no MITRE ATT&CK) e quais dos nossos controles não cobrem esses vetores.”
SKILL 07

Perfil de Adversários

Modela quem tem motivo, capacidade e oportunidade para atacar a organização: crime organizado, ransomware, insider, hacktivismo. Cada perfil vira cenários de ataque plausíveis mapeados no MITRE ATT&CK.

EntregaDossiê de adversários com cenários priorizados e controles correspondentes.
Peça ao Fable 5
“Monte o perfil dos 3 adversários mais prováveis para uma fintech: motivação, capacidade, TTPs típicas e o caminho de menor resistência de cada um na nossa arquitetura. Para cada, indique o controle que mais atrapalharia o ataque.”
SKILL 08

Risco de Terceiros & Supply Chain

Avalia a exposição que entra por fornecedores, integrações e software de terceiros. Classifica o parque de fornecedores por criticidade, acesso e histórico — e define o regime de due diligence proporcional a cada camada.

EntregaTiering de fornecedores com plano de avaliação e cláusulas mínimas de contrato.
Peça ao Fable 5
“Vou colar a lista dos nossos 20 fornecedores mais críticos. Classifique o risco de cada um por acesso a dados, criticidade operacional e postura conhecida, priorize os que exigem reavaliação urgente e aponte as cláusulas de segurança que faltam.”
Arquitetura de referência

Ciclo de inteligência de ameaças — de dado bruto a decisão

Inteligência que não muda uma decisão é ruído caro. O ciclo abaixo é o processo de referência que o Claude executa: cada volta termina em requisitos novos, não em relatório arquivado.

FASE 1
Direcionar
Requisitos de inteligência: o que o negócio precisa saber
FASE 2
Coletar
Feeds, OSINT, dark web, ISACs, telemetria interna
FASE 3
Processar
Normalizar, deduplicar, enriquecer com contexto
FASE 4
Analisar
Relevância setorial, TTPs, priorização por exposição
FASE 5
Disseminar
Briefing tático (SOC) e executivo (comitê)
FASE 6
Retroalimentar
O que mudou de decisão? Ajustar requisitos
Ferramenta na prática

Matriz de Priorização de Cenários de Ameaça

Peça ao Claude para preencher esta matriz com os cenários do seu setor. Exposição = probabilidade × impacto, ponderada pela cobertura de controles atual. Os exemplos abaixo mostram o formato da saída.

Cenário de ameaçaProbabilidadeImpactoCobertura atualPrioridade
Ransomware com dupla extorsão via phishing e credencial válidaAltaCríticoParcial — EDR sem cobertura em legadoP1 · Agir agora
Comprometimento de fornecedor crítico com acesso à redeMédiaCríticoBaixa — sem segmentação de terceirosP1 · Agir agora
BEC / fraude do CEO em processos de pagamentoAltaAltoParcial — sem verificação duplaP2 · Este trimestre
Vazamento de dados por insider negligente ou maliciosoMédiaAltoMédia — DLP parcial, sem UEBAP3 · Planejar
03
Skills de escolha estratégica · 09–12

Compare caminhos e economia
antes de recomendar o investimento.

Segurança é alocação de capital sob incerteza. O Claude compara opções, trade-offs, custos e sensibilidades — e defende a recomendação com números, não com medo.

SKILL 09

Geração de Opções Estratégicas

Gera e estrutura caminhos mutuamente exclusivos para o mesmo problema: internalizar vs. MSSP, consolidar vs. best-of-breed, remediar vs. transferir risco. Cada opção com prós, contras, custo e reversibilidade.

EntregaMatriz de opções com trade-offs, custos e recomendação fundamentada.
Peça ao Fable 5
“Precisamos reduzir o tempo de detecção, hoje em ~8 horas. Gere 3 a 4 opções estratégicas distintas (SOC interno, MSSP, híbrido, automação com IA), com trade-offs de custo, prazo e risco. Não recomende ainda — só exponha os caminhos.”
SKILL 10

Business Case de Segurança

Constrói o caso econômico do investimento: exposição anualizada, redução esperada de risco, custo total de propriedade e retorno em linguagem de CFO. Segurança deixa de ser custo e vira decisão de negócio defensável.

EntregaBusiness case com cenários, sensibilidades e ponto de equilíbrio.
Peça ao Fable 5
“Quero justificar R$ 1,2M em um novo SIEM+SOAR. Monte o business case: custo total em 3 anos, exposição financeira evitada, ganho de eficiência do time e a análise de sensibilidade. Formato pronto para o CFO.”
SKILL 11

Revisão do Portfólio de Controles

Audita o portfólio atual de ferramentas e controles: sobreposição, subutilização, licenças ociosas e gaps reais. Onde cortar, onde consolidar e onde o dinheiro está comprando risco em vez de reduzir.

EntregaRevisão de portfólio com plano de racionalização e economia estimada.
Peça ao Fable 5
“Vou listar nossas ferramentas de segurança e seus custos anuais. Revise o portfólio: onde há sobreposição, o que está subutilizado, o que não cobre risco relevante e onde há gaps. Diga o que consolidar, cortar ou adicionar, com impacto no orçamento.”
SKILL 12

Estratégia de Sourcing do SOC

Decide o que fica dentro, o que vai para MSSP e o que opera em modelo híbrido — por função, não por moda. Analisa custo, retenção de talento, tempo de resposta, dependência e caminho de internalização futura.

EntregaBlueprint de sourcing por função do SOC com modelo de transição.
Peça ao Fable 5
“Ajude-me a decidir entre SOC interno, MSSP ou modelo híbrido para uma empresa de 800 funcionários. Compare os três em custo de 3 anos, tempo de maturação, controle e dependência — e entregue uma recomendação com as condições que a sustentam.”
Diagrama de decisão

Quadrante de priorização de investimentos

Cada iniciativa candidata é plotada em dois eixos: impacto na redução de risco e facilidade de execução (custo, prazo, dependências). O Claude posiciona o portfólio inteiro e defende cada posição.

APOSTAS ESTRATÉGICAS Alto impacto, execução difícil — faseie e proteja o orçamento QUICK WINS Alto impacto, fácil execução — comece por aqui REAVALIAR / EVITAR Baixo impacto, difícil — questione por que está no plano OPORTUNISTAS Baixo impacto, fácil — encaixe em janelas ociosas FACILIDADE DE EXECUÇÃO → IMPACTO NA REDUÇÃO DE RISCO → MFA resistente a phishing Playbooks de resposta Segmentação de rede Programa de identidade Hardening de e-mail Troca de SIEM sem caso de uso

Posições ilustrativas — o Claude gera o quadrante com o seu portfólio real e justifica cada posição com custo, prazo e redução de exposição estimada.

Ferramenta na prática

Template — Business Case de Segurança em uma página

A estrutura que o Claude preenche para cada investimento relevante. Se o CFO não consegue decidir lendo só esta página, o business case ainda não está pronto.

BlocoO que escreverCritério de qualidade
1 · Problema & riscoCenário de ameaça, ativo exposto e consequência para o negócioUma frase; sem jargão técnico
2 · Exposição anualizadaFaixa de perda esperada por ano (frequência × impacto)Faixas em R$, com fonte e premissas
3 · Opções consideradas2–4 caminhos, incluindo "não fazer nada"Cada opção com custo e risco residual
4 · RecomendaçãoA opção escolhida e por quêExplicita o trade-off aceito
5 · Investimento & paybackCAPEX/OPEX 3 anos, redução de exposição esperadaPonto de equilíbrio em meses
6 · Riscos da execuçãoO que pode dar errado no projeto e mitigaçãoTop 3, com plano B
7 · PedidoDecisão exata que se pede ao comitê e prazoAprovação, valor e data — sem ambiguidade
04
Skills de arquitetura & execução · 13–17

Estratégia vira capacidade,
dono, fase — e os primeiros 90 dias.

O plano que não define quem decide o quê não é plano. O Claude desenha o modelo operacional e a arquitetura-alvo, sequencia as iniciativas e entrega o roadmap que sobrevive ao contato com a realidade.

SKILL 13

Modelo Operacional de Segurança

Desenha como a segurança funciona de verdade: estrutura, papéis, direitos de decisão, interfaces com TI e negócio, e o que fica interno vs. terceirizado. Governança que funciona sem depender de heróis.

EntregaBlueprint do modelo operacional com RACI e fluxos de decisão.
Peça ao Fable 5
“Desenhe o modelo operacional de segurança da nossa empresa: quais capacidades precisamos, quem é dono de cada uma, os direitos de decisão (RACI) entre segurança, TI e negócio, e as interfaces entre os times. Aponte onde falta um dono claro.”
SKILL 14

Arquitetura de Referência do SOC

Constrói a arquitetura-alvo das operações de segurança em camadas — fontes, coleta, detecção, resposta e governança — com automação e IA transversais. Cada tecnologia entra por função, não por marca.

EntregaArquitetura de referência com gaps atuais e sequência de evolução.
Peça ao Fable 5
“Desenhe a arquitetura de referência de um SOC moderno para nós: camadas de coleta, detecção, análise, resposta e automação, com as tecnologias e os fluxos de dado entre elas. Indique o que já temos e o que falta para chegar lá.”
SKILL 15

Priorização de Iniciativas

Ordena o backlog de segurança por impacto no risco, esforço, dependências e capacidade real do time. Mata o critério "quem gritou mais alto" e instala sequenciamento defensável.

EntregaPortfólio priorizado com matriz impacto × esforço e sequência de execução.
Peça ao Fable 5
“Tenho 15 iniciativas de segurança disputando o mesmo orçamento — vou colar a lista. Priorize por redução de risco versus esforço, agrupe numa matriz (quick wins, apostas, evitar) e diga por onde começar nos próximos 90 dias.”
SKILL 16

Roadmap de Maturidade

Converte a estratégia em fases com marcos, entregáveis e métricas de saída. Cada fase eleva o nível de maturidade e prepara o próximo — nível a nível, como toda subida bem feita.

EntregaRoadmap de 18–36 meses com marcos e métricas de saída por fase.
Peça ao Fable 5
“Estamos em maturidade ~2 no NIST CSF e queremos chegar a 3.5 em 18 meses. Construa um roadmap por trimestre: quais capacidades evoluir em cada fase, os marcos, as dependências e como medir o avanço em cada etapa.”
SKILL 17

Plano dos Primeiros 90 Dias

O plano de entrada (ou reinício) do CISO na função: escutar, diagnosticar, conquistar credibilidade e entregar resultados visíveis — na sequência certa. O erro mais comum é inverter a ordem.

EntregaPlano 30-60-90 com entregáveis, aliados-chave e vitórias rápidas.
Peça ao Fable 5
“Assumi como CISO há uma semana. Monte meu plano dos primeiros 90 dias: o que diagnosticar, quem entrevistar, quais quick wins entregar cedo para ganhar credibilidade e o que apresentar à diretoria no fim do trimestre.”
Arquitetura de referência

Arquitetura de referência do SOC moderno

Cinco camadas funcionais, com pessoas & processos e automação & IA como pilares transversais. Use como mapa: cada tecnologia do seu parque deve ocupar uma função — sobreposição é custo, lacuna é risco.

PESSOAS & PROCESSOS
Camada 5 · Governança & valor
Apetite de riscoKPIs & KRIsConformidadeReporte executivoRealização de valor
Camada 4 · Resposta & recuperação
SOAR / automaçãoPlaybooksGestão de crisesForenseRecuperação cibernética
Camada 3 · Detecção & análise
SIEMUEBAThreat intelThreat huntingEngenharia de detecção
Camada 2 · Coleta & telemetria
LogsEDR / endpointRedeIdentidadeNuvem & SaaS
Camada 1 · Fontes & ativos
On-premisesMulticloudSaaSOT / IoTTerceiros
AUTOMAÇÃO & IA

O Claude compara o seu parque atual contra este mapa, identifica sobreposições e lacunas por camada e propõe a sequência de evolução — incluindo onde copilotos de IA geram mais retorno.

Processo de referência

Linha do tempo — os primeiros 90 dias do CISO

DIAS 0–30 DIAS 31–60 DIAS 61–90 Escutar & diagnosticar Stakeholders, postura, riscos herdados Decidir & alinhar Prioridades, apetite de risco, quick wins Entregar & comunicar Vitórias visíveis, roadmap, reporte ao board Mapa de stakeholders Baseline de postura Top 5 riscos aprovados Quick wins em execução 1ª vitória comunicada Roadmap no board
Ferramenta na prática

Matriz RACI — decisões críticas de segurança

A briga não é sobre tecnologia, é sobre quem decide. Peça ao Claude para adaptar esta matriz à sua estrutura — e leve para o comitê aprovar. R = Responsável · A = Aprovador · C = Consultado · I = Informado.

Decisão / atividadeCISOTI / CIONegócioJurídicoBoard
Aceitar risco acima do apetiteCCRCA
Declarar incidente de criseR / ACICI
Aprovar exceção de políticaARCCI
Priorizar investimento de segurançaRCCIA
Notificar autoridade / reguladorRIIAI
Desligar sistema em ataque ativoARCII
05
Skills de operações de segurança · 18–21

O SOC deixa de apagar incêndio
e passa a operar por engenharia.

Detecção desenhada a partir das ameaças que importam, resposta que segue playbook em vez de improviso, exposição gerenciada por prioridade — e automação com IA onde ela devolve horas ao time.

SKILL 18

Engenharia de Detecção & Casos de Uso

Constrói o catálogo de casos de uso de detecção a partir dos cenários de ameaça priorizados — não do que a ferramenta traz de fábrica. Cada caso de uso nasce com fonte de dados, lógica, tática MITRE e critério de tuning.

EntregaCatálogo de casos de uso priorizado com cobertura MITRE ATT&CK.
Peça ao Fable 5
“Com base nas TTPs de ransomware mais relevantes para nós, proponha os 10 casos de uso de detecção prioritários. Para cada um: a técnica MITRE coberta, a lógica de detecção, as fontes de log necessárias e como reduzir falso positivo.”
SKILL 19

Playbooks de Resposta a Incidentes

Escreve playbooks executáveis por cenário: gatilho, triagem, contenção, erradicação, recuperação, comunicação e escalonamento — com decisões pré-autorizadas para não travar às 3h da manhã.

EntregaPlaybooks por cenário com decisões pré-autorizadas e matriz de escalonamento.
Peça ao Fable 5
“Crie um playbook de resposta a ransomware: fases (detecção, contenção, erradicação, recuperação, lições), quem faz o quê, os critérios de escalonamento e as decisões que exigem aprovação executiva. Formato pronto para exercício.”
SKILL 20

Gestão de Vulnerabilidades & Exposição

Sai do "CVSS alto = urgente" e prioriza por exploração ativa, exposição real do ativo e valor de negócio. Institui SLAs de remediação por criticidade e mede o envelhecimento do backlog.

EntregaModelo de priorização baseado em risco com SLAs e métricas de envelhecimento.
Peça ao Fable 5
“Vou colar o export do scanner com 4.000 vulnerabilidades. Priorize de verdade: cruze severidade com exposição real e criticidade do ativo, aponte as 20 que importam esta semana e proponha SLAs de correção por faixa de risco.”
SKILL 21

Automação & IA no SOC

Identifica onde automação e copilotos de IA geram mais retorno: triagem, enriquecimento, resposta assistida, relatórios. Define guardrails, supervisão humana e métricas de ganho — IA como multiplicador, não como risco novo.

EntregaMapa de oportunidades de automação com casos de uso de IA priorizados.
Peça ao Fable 5
“Liste os 5 processos do nosso SOC que mais consomem tempo do analista. Para cada um, proponha onde automação ou IA devolve mais horas, o esforço de implementar e o risco de automatizar — e priorize.”
Fluxograma de referência

Fluxo de resposta a incidentes — do alerta à lição aprendida

O fluxo que cada playbook implementa. Losango é decisão; as decisões críticas devem estar pré-autorizadas na matriz RACI — no meio do incidente ninguém debate governança.

Alerta SIEM · EDR · usuário Triagem Enriquecer · validar É incidente confirmado? Encerrar & tunar Falso positivo vira tuning Classificar severidade Ativar playbook do cenário Conter Isolar · bloquear · preservar Erradicar Remover causa raiz Recuperar Restaurar · validar · monitorar Pós-incidente Lições · métricas · reporte NÃO SIM melhoria contínua
Ferramenta na prática

Template — Anatomia de um playbook executável

Os oito campos que todo playbook precisa ter. O Claude preenche este template para cada cenário priorizado da sua matriz de ameaças — pronto para colar no seu SOAR ou wiki de operações.

CampoConteúdoExemplo — ransomware
1 · GatilhoO que ativa o playbookDetecção de criptografia em massa ou nota de resgate
2 · Severidade & SLAClassificação e tempos-alvoCrítico · contenção em 30 min · comitê em 1 h
3 · TriagemPerguntas para confirmar e dimensionarQuantos hosts? Backup íntegro? Exfiltração?
4 · ContençãoAções imediatas pré-autorizadasIsolar VLAN afetada, suspender contas comprometidas
5 · Erradicação & recuperaçãoSequência de restauração seguraRestaurar do backup validado, rotacionar credenciais
6 · ComunicaçãoQuem informa quem, quando e com qual mensagemComitê em 1 h · jurídico avalia notificação ANPD
7 · EscalonamentoCritérios objetivos para subir de nível>10 hosts ou dado pessoal → crise corporativa
8 · MétricasO que medir para melhorarMTTD, MTTC, tempo de restauração, custo
06
Skills de risco & governança de valor · 22–26

Pressione a estratégia
antes que o atacante pressione.

War-gaming, mitigação, conformidade e um scorecard que prova se o valor prometido foi capturado. Governança não é relatório — é o mecanismo que mantém a subida.

SKILL 22

War-Gaming de Incidentes

Simula ataques de ponta a ponta como tabletop executivo: ransomware na sexta à noite, vazamento com exposição na mídia, fornecedor crítico comprometido. Cada rodada expõe decisões não tomadas e conflitos de autoridade — no papel, não na crise.

EntregaCenários de tabletop com injects, decisões críticas e plano de correção.
Peça ao Fable 5
“Conduza um war-game de mesa comigo: vazamento de dados de clientes descoberto por um jornalista numa sexta à noite. Aja como facilitador, injete complicações a cada rodada e, no fim, aponte onde nosso plano de resposta quebrou.”
SKILL 23

Mitigação de Riscos

Para cada risco priorizado: tratar, transferir, aceitar ou eliminar — com controle proposto, custo, prazo, dono e risco residual. O registro de riscos deixa de ser planilha morta e vira agenda de gestão.

EntregaPlano de tratamento com donos, prazos e risco residual explícito.
Peça ao Fable 5
“Para os 10 principais riscos do nosso registro, proponha a estratégia de cada um (mitigar, transferir, aceitar, evitar), o controle específico, o risco residual esperado e o custo aproximado. Ordene pela melhor redução de risco por real gasto.”
SKILL 24

Arquitetura de KPIs & KRIs

Constrói a árvore de métricas que conecta operação e conselho: indicadores de risco (KRIs) que antecipam problemas e indicadores de desempenho (KPIs) que provam progresso — poucos, acionáveis e auditáveis.

EntregaScorecard executivo com metas, limiares de alerta e cadência de revisão.
Peça ao Fable 5
“Ajude a montar o scorecard de segurança para a diretoria: quais KPIs mostram desempenho, quais KRIs sinalizam risco crescente, as metas e o gráfico que conta a história. Máximo de 8 indicadores — só o que move decisão.”
SKILL 25

Realização de Valor

Fecha o ciclo: o investimento aprovado reduziu o risco prometido? Compara baseline, meta e resultado real por iniciativa, e devolve ao comitê a resposta que quase nenhum programa de segurança consegue dar.

EntregaRelatório de valor realizado com desvios e ações corretivas.
Peça ao Fable 5
“Aprovamos R$ 3M em segurança há um ano prometendo reduzir exposição e tempo de resposta. Monte o relatório de realização de valor: o prometido, o entregue, os números antes/depois e onde o valor ainda não foi capturado.”
SKILL 26

Conformidade Regulatória

Mapeia obrigações — LGPD, Lei Geral de Cibersegurança, NIS 2, ISO 27001, exigências setoriais — contra os controles existentes. Um controle, múltiplas conformidades: o custo de compliance cai quando o mapa é único.

EntregaMatriz de conformidade unificada com gaps e plano de adequação.
Peça ao Fable 5
“Precisamos nos preparar para a Lei Geral de Cibersegurança e a NIS 2. Faça um gap assessment: o que ainda não atendemos, o esforço para fechar cada gap, os prazos e as evidências que um auditor pediria. Priorize por risco de não conformidade.”
Modelo de maturidade

Curva de maturidade em cibergovernança — do reativo ao otimizado

Cinco níveis, cada um com critérios de saída objetivos. O Claude posiciona a organização na curva com evidências — e desenha o degrau seguinte, não o salto impossível.

NÍVEL 1 NÍVEL 2 NÍVEL 3 NÍVEL 4 NÍVEL 5 Reativo Gerenciado Definido Quantificado Otimizado Apaga incêndio;sem visibilidade Processos dependentesde pessoas Políticas e playbooksdefinidos e seguidos Medido por KPIs/KRIs;decisões por dados Melhoria contínua;automação e IA VOCÊ ESTÁ AQUI?
Ferramenta na prática

Scorecard executivo — KPIs & KRIs de referência

Oito indicadores que cabem em uma página de board. O Claude adapta metas e limiares ao seu contexto e monta a cadência de revisão. KRI antecipa; KPI comprova.

IndicadorTipoMetaLimiar de alertaCadência
MTTD — tempo médio de detecçãoKPI< 1 h> 4 hMensal
MTTC — tempo médio de contençãoKPI< 4 h> 24 hMensal
Cobertura de MFA em contas privilegiadasKRI100%< 95%Mensal
Vulnerabilidades críticas fora do SLAKRI0> 10Quinzenal
Cobertura de backup testado em sistemas críticosKRI100%< 90%Trimestral
Phishing reportado vs. clicadoKPIRazão > 3:1< 1:1Mensal
Terceiros críticos avaliados nos últimos 12 mesesKRI100%< 80%Trimestral
Valor realizado — exposição reduzida vs. prometidaKPI≥ 90%< 70%Trimestral
07
Skills de resiliência & continuidade · 27–29

A pergunta não é se vai acontecer.
É se a operação sobrevive.

Continuidade de negócios, gestão de crises e recuperação cibernética tratadas como disciplina de engenharia — do zero à auditoria, com papéis claros e tempos de recuperação que o negócio validou.

SKILL 27

Continuidade de Negócios (PCN/SGCN)

Estrutura o sistema de gestão de continuidade: análise de impacto (BIA), RTO/RPO validados pelo negócio, estratégias de continuidade e testes periódicos — alinhado à ISO 22301, do zero à auditoria.

EntregaBIA priorizado, estratégias de continuidade e calendário de testes.
Peça ao Fable 5
“Ajude a estruturar nosso Plano de Continuidade de Negócios: identifique os processos críticos, defina RTO e RPO pelo impacto, mapeie as dependências de TI e os cenários de indisponibilidade. Entregue o esqueleto do plano pronto para validar com as áreas.”
SKILL 28

Gestão de Crises Cibernéticas

Prepara a organização para o dia em que o playbook técnico não basta: comitê de crise, porta-vozes, comunicação com clientes, imprensa e reguladores, e critérios objetivos de ativação e desmobilização.

EntregaPlano de gestão de crise com estrutura de comando e kit de comunicação.
Peça ao Fable 5
“Monte nossa estrutura de gestão de crise cibernética: composição do comitê, gatilhos de ativação, papéis, a árvore de comunicação (interna, clientes, regulador, imprensa) e os primeiros 60 minutos de cada cenário grave.”
SKILL 29

Recuperação Cibernética

Diferente de disaster recovery tradicional: assume que o ambiente e o backup podem estar comprometidos. Define ambiente limpo de restauração, ordem de recuperação por valor de negócio e validação de integridade.

EntregaPlano de recuperação cibernética com sala limpa e ordem de restauração.
Peça ao Fable 5
“Desenhe nossa recuperação cibernética para um ransomware que criptografa produção e backups online: onde ficam os backups imutáveis, a ordem de restauração, os tempos esperados e como validar que o ambiente voltou limpo.”
Ferramenta na prática

Checklist — Prontidão para crise cibernética

Doze verificações que separam quem administra a crise de quem é administrado por ela. Rode com o Claude a cada trimestre: cada item sem evidência vira ação com dono e prazo.

Comitê de crise nomeado — com suplentes e contatos fora do horário comercial
Critérios de ativação objetivos — quando um incidente vira crise, sem debate
Canal de comunicação alternativo — que funciona com a rede corporativa fora do ar
Porta-voz definido e treinado — ninguém mais fala com a imprensa
Modelos de comunicação pré-aprovados — clientes, colaboradores, imprensa, reguladores
Prazos de notificação mapeados — ANPD, reguladores setoriais e contratos
Assessoria jurídica e forense contratadas — antes do incidente, com SLA
Backup crítico testado por restauração — não apenas "executado com sucesso"
RTO/RPO validados pelo negócio — e tecnicamente alcançáveis
Tabletop executivo nos últimos 12 meses — com a liderança presente, não delegada
Ciberseguro revisado — coberturas, exclusões e obrigações de resposta conhecidas
Lições do último incidente implementadas — não apenas documentadas
08
Skills de comunicação executiva · 30–32

Análise vira história —
e história vira decisão do board.

O melhor diagnóstico do mundo morre em um slide confuso. O Claude estrutura a mensagem no Princípio da Pirâmide, antecipa o Q&A hostil e entrega a recomendação pronta para o conselho.

SKILL 30

Alinhamento de Stakeholders

Mapeia quem apoia, quem bloqueia e quem decide: CFO, jurídico, TI, auditoria, negócio. Para cada stakeholder, o argumento que importa para ele — e a sequência de conversas antes da reunião decisiva.

EntregaMapa de stakeholders com estratégia de influência por pessoa.
Peça ao Fable 5
“Vou apresentar um plano de investimento em segurança. Mapeie meus stakeholders (CEO, CFO, CIO, jurídico, negócio): o que cada um valoriza, o que teme, a objeção provável e o argumento que convence cada um. Monte meu mapa de influência.”
SKILL 31

Construtor de Narrativa Executiva

Estrutura a comunicação no Princípio da Pirâmide: resposta primeiro, argumentos agrupados, evidência embaixo. A situação de segurança contada como história de negócio — situação, complicação, resolução.

EntregaStoryline executiva com governing thought e roteiro de apresentação.
Peça ao Fable 5
“Tenho a análise técnica de por que precisamos de um novo modelo de SOC. Transforme numa narrativa executiva no Princípio da Pirâmide: recomendação primeiro, 3 argumentos de sustentação e os dados embaixo. Prepare também 5 perguntas hostis com respostas.”
SKILL 32

Decision Memo & Reporte ao Conselho

Uma página que resolve a reunião — contexto, opções, recomendação, custo e pedido explícito — mais o board pack e a simulação de Q&A hostil: "por que agora?", "e se não fizermos nada?", "por que o concorrente gasta menos?".

EntregaDecision memo board-ready com Q&A antecipado e respostas ensaiadas.
Peça ao Fable 5
“Monte um decision memo de uma página para o conselho: a decisão pedida, o contexto, as opções, a recomendação, o risco de não agir e o que acontece se aprovarem. Linguagem de negócio, sem jargão. Pronto para enviar antes da reunião.”
Diagrama de decisão

Mapa de stakeholders — poder × posição

Antes da reunião decisiva, cada stakeholder tem um lugar neste mapa e uma estratégia correspondente. A reunião é onde a decisão é confirmada — não onde ela é construída.

CONVERTER COM CUIDADO Alto poder, resistente — entenda a objeção real antes de argumentar MOBILIZAR COMO ALIADO Alto poder, favorável — peça que patrocine, não apenas aprove MONITORAR Baixo poder, resistente — não gaste energia desproporcional INFORMAR & ENGAJAR Baixo poder, favorável — transforme em rede de apoio POSIÇÃO FAVORÁVEL À PROPOSTA → PODER DE DECISÃO → CEO — patrocinador CFO — sensível a custo Jurídico — aliado regulatório CIO — disputa orçamento Auditoria interna Gerência intermediária

Posições ilustrativas — o Claude constrói o mapa com os seus stakeholders reais e a estratégia de influência de cada um.

Ferramenta na prática

Template — Decision memo em uma página

A anatomia do memorando que resolve reuniões. Regra de ouro: se o board precisar ir ao anexo para decidir, a página falhou.

SeçãoConteúdoTamanho máximo
Governing thoughtA recomendação completa em uma frase — o que, quanto, até quando1 frase
SituaçãoO contexto que todos aceitam como verdadeiro2–3 frases
ComplicaçãoO que mudou e por que decidir agora2–3 frases
Opções2–4 caminhos com custo e risco residual — incluindo não agir1 tabela
RecomendaçãoA escolha, o trade-off aceito e o plano de execução resumido1 parágrafo
PedidoDecisão exata: aprovação, valor, prazo e próximo checkpoint1 frase destacada
09
Skill 33 · O sistema operacional do CISO

O mesmo backbone
em todo engajamento.

A skill 33 amarra as outras 32 em um sistema operacional reutilizável de CISO as a Service. Não importa o cliente, o setor ou a crise: a subida segue a mesma espinha dorsal — e cada nível eleva o anterior.

Isso não é o Claude dando conselho genérico de segurança. É um método de engajamento completo, com critérios de qualidade, ferramentas e entregáveis definidos em cada etapa — no modelo copiar, colar e adaptar.

Peça ao Fable 5
“Quero usar o mesmo método em todo engajamento. Estruture minha próxima análise seguindo o backbone: Diagnosticar, Mapear, Decidir, Executar, Operar, Governar e Comunicar. Diga quais skills deste guia usar em cada etapa e o que entregar ao final de cada uma.”
01
Diagnosticar
Risco real, postura, premissas, apetite — skills 01–04.
02
Mapear
Superfície de ataque, ameaças, adversários, terceiros — 05–08.
03
Decidir
Opções, business case, portfólio, sourcing — 09–12.
04
Executar
Modelo operacional, arquitetura, roadmap, 90 dias — 13–17.
05
Operar
Detecção, playbooks, vulnerabilidades, IA no SOC — 18–21.
06
Governar
War-gaming, riscos, KPIs, valor, conformidade, resiliência — 22–29.
07
Comunicar
Stakeholders, narrativa, decision memo, conselho — 30–32.
Processo de referência

O ciclo do engajamento — cada volta eleva o nível

1
Diagnosticar
2
Mapear
3
Decidir
4
Executar
5
Operar
6
Governar
7
Comunicar

Ao final de "Comunicar", as decisões do conselho retroalimentam o próximo "Diagnosticar" — a espiral sobe, nível a nível.

10
Sobre a SOC Tips

Do risco à maturidade,
nível a nível.

A SOC Tips é uma empresa especializada em cibersegurança que ajuda MSSPs, empresas e organizações a construir, reestruturar e elevar a maturidade de suas operações de segurança — criando valor tangível com estratégia e execução personalizadas de ponta a ponta.

Somos uma equipe liderada por experiência e inovação, com mais de 24 anos de atuação internacional em cibersegurança, combinando vivência executiva em serviços financeiros e consultoria com atuação hands-on em operações modernas de segurança. Unimos profundidade técnica em SecOps com liderança em automação e inteligência artificial — e medimos nosso êxito pelo valor real que entregamos a clientes, parceiros e às comunidades que dependem de um ambiente digital mais seguro e resiliente.

Portfólio de serviços
01 · SOC para MSSPs
Construção, reestruturação e aumento de maturidade de operações de segurança para provedores de serviços gerenciados.
02 · SOC interno
Implementação e internalização de SOC dentro das próprias organizações.
03 · Manual do CISO
Mentoria para líderes de segurança da informação e cibersegurança.
04 · Cyber AI Factory
Mentoria para criação e implementação de copilotos de IA para SecOps.
05 · Cibergovernança
Consultoria para conformidade com a Lei Geral de Cibersegurança e a NIS 2.
11
Sobre o autor
Denny Roger
SOCTips
Denny Roger
Top 1 Cybersecurity Brasil 2026 · SOC Builder · CISO · 24 anos de consultoria estratégica em cibersegurança · Board Advisor
@dennyroger.ciso
WhatsApp +55 11 97095 0112

Quem já ocupou a cadeira
e enfrentou os mesmos desafios.

Diretor de Cibersegurança, com 24 anos de experiência internacional em tecnologia e cibersegurança, combinando vivência executiva em serviços financeiros e consultoria com atuação hands-on em operações modernas de segurança. Atualmente é fundador da SOC Tips, onde atua como advisor e "SOC Builder", estruturando metodologias e acelerando a maturidade de operações de segurança em ambientes corporativos complexos.

Ao longo da carreira, atuou em organizações globais como Santander, Accenture, Telefônica e EY, liderando iniciativas de transformação digital, estratégia e arquitetura de segurança, implantação e evolução de SOCs, governança e gestão de riscos, proteção de dados e resposta a incidentes — com foco em execução, métricas e impacto no negócio. É reconhecido por traduzir jargão técnico em linguagem de risco, valor e prioridade executiva, capacitando líderes e equipes a operacionalizar padrões globais de forma prática.

Além disso, Denny ministra treinamentos e cursos preparatórios oficiais de certificações internacionais em cibersegurança e gestão de incidentes, contribuindo ativamente para o desenvolvimento de novos profissionais e líderes da área. Com forte orientação a resultados, combina disciplina de governança com agilidade operacional, construindo times de alta performance e programas sustentáveis de segurança e resiliência.

Mentoria · Manual do CISO

As 33 skills são o método.
A mentoria é a subida guiada.

O Manual do CISO é a mentoria da SOC Tips para líderes de segurança da informação e cibersegurança: lidere com propósito, performance, método, influência e execução. São mais de 60 aulas e 20 horas de conteúdo, com frameworks práticos, playbooks e templates prontos no modelo copiar, colar e adaptar — dos primeiros 90 dias do CISO à comunicação com o board, do SOC orientado a resultado à governança de IA.

60+
aulas com 12 meses de acesso, templates e playbooks para download
1:1
call de onboarding, reunião individual com o mentor e comunidade de líderes
Top 1
mentor eleito Top 1 Cybersecurity Professional do LinkedIn Brasil em 2026
Denny Roger
Managing Director, SOC Tips · Mentor do Manual do CISO
@dennyroger.ciso dennyroger@gmail.com
SOCTips
Do risco à maturidade, nível a nível