Board não quer ver dashboard de CVE. Board quer saber se a operação está segura o suficiente para manter contrato com cliente enterprise, aprovar próxima rodada e evitar multa da ANPD. Este artigo traduz cinco métricas técnicas em número que conselheiro entende — e mostra o slide que você deveria apresentar.

As cinco métricas

1. SLA por severidade

Contrato interno entre o time de engenharia e o negócio. Cada severidade tem prazo máximo para correção em produção.

• O que mede: disciplina de remediação.
• Alvo 2026: crítico ≤ 7 dias, alto ≤ 30 dias, médio ≤ 90 dias.
• Instrumentação: cada finding no scanner tem discovered_at e remediated_at. SLA = fração remediada dentro do prazo.
• Risco de negócio: SLA baixo é fumaça — indica dívida técnica que vira incidente e vira notificação à ANPD.

2. MTTD — Mean Time To Detect

Tempo médio entre a introdução da vulnerabilidade (ou início do ataque) e sua detecção.

• O que mede: qualidade dos sensores e do monitoramento contínuo.
• Alvo 2026: < 24h para vulnerabilidade de produção, < 15 min para ataque ativo.
• Instrumentação: cruzar timestamp de deploy da versão vulnerável com timestamp do primeiro alerta. Para ataque, log do IDS/WAF.
• Risco de negócio: o relatório IBM Cost of a Data Breach 2025 indica que MTTD acima de 200 dias eleva o custo médio do incidente em 30%.

3. MTTR — Mean Time To Remediate

Tempo médio entre detectar e corrigir em produção.

• O que mede: velocidade da resposta e capacidade da engenharia.
• Alvo 2026: crítico < 7 dias, mediana total < 21 dias.
• Instrumentação: ticketing (Jira/Linear) + tags de severidade + hook de deploy.
• Risco de negócio: MTTR alto é multiplicador de exposição — janela de exploração cresce linearmente.

4. Escape rate

Fração de vulnerabilidades que atingem produção antes de serem detectadas por controles no SDLC.

• O que mede: eficácia do shift-left.
• Alvo 2026: < 5% para times maduros.
• Instrumentação: número de findings originados em produção / total de findings. Sinal claro se scanners internos de CI estão pegando pouco.

5. Métricas DORA cruzadas

Métricas DORA (deploy frequency, lead time, MTTR de mudança, change failure rate) já estão no radar de qualquer CTO. Cruze com segurança:

• Deploy frequency: deploys/dia. Meta: elite = múltiplas vezes ao dia.
• Lead time for changes: commit → produção. Meta: elite < 24h.
• Change failure rate: % de deploys que causam incidente. Meta: < 15%. Se estiver acima, provavelmente falta gate de segurança.
• MTTR de mudança: tempo de restauração após incidente causado por deploy. Meta: < 1h.

Time elite em DORA sem AppSec maduro entrega bugs em velocidade recorde. Time seguro sem DORA gera compliance teatral. As duas dimensões andam juntas.

Tabela de referência 2026

| Métrica | Baixo desempenho | Médio | Elite | |---------|------------------|-------|-------| | SLA crítico | > 30 dias | 7-30 dias | < 7 dias | | MTTD (vuln) | > 30 dias | 3-30 dias | < 24h | | MTTR crítico | > 30 dias | 7-30 dias | < 7 dias | | Escape rate | > 30% | 5-30% | < 5% | | Deploy freq | < 1/semana | 1/dia | > 5/dia | | Change fail rate | > 30% | 15-30% | < 15% |

Mapeamento para risco de negócio

Cada métrica conversa com um risco que o board reconhece:

• SLA baixo → risco regulatório (LGPD, PCI, ISO 27001).
• MTTD alto → risco reputacional e custo de breach.
• MTTR alto → risco operacional e churn de cliente enterprise.
• Escape rate alto → risco de qualidade e velocidade da roadmap.
• DORA fraco → risco de perda competitiva.

Template de slide executivo

Um slide, quatro quadrantes, cor semafórica. Nada de gráfico complicado.

┌────────────────────────────────────────────────────┐
│ POSTURA DE SEGURANÇA — Q3 2026                     │
├──────────────────────┬─────────────────────────────┤
│ SLA CRÍTICO          │ MTTD                        │
│ 92% (meta 95%)  🟡   │ 18h (meta < 24h)       🟢   │
│ ▲ 4pp vs Q2          │ ▼ 6h vs Q2                  │
├──────────────────────┼─────────────────────────────┤
│ MTTR CRÍTICO         │ CHANGE FAILURE RATE         │
│ 5.2 dias (meta 7d)   │ 22% (meta 15%)         🔴   │
│ 🟢 ▼ 1.5d vs Q2      │ ▲ 3pp vs Q2                 │
├──────────────────────┴─────────────────────────────┤
│ RISCO REGULATÓRIO: baixo (LGPD art. 46-49 ok)      │
│ INCIDENTES REPORTADOS ANPD: 0 (últimos 12m)        │
│ INVESTIMENTO PROPOSTO Q4: R$ 240k                  │
│ AÇÕES: 1) reduzir change failure rate → gate CI    │
│        2) elevar SLA crítico → priorização auto    │
└────────────────────────────────────────────────────┘

Uma variação útil: manter esse slide com histórico trimestral. Trend é mais persuasivo que valor absoluto.

Como instrumentar sem consultoria cara

Três passos:

1. Ligue um scanner externo contínuo. Cada finding sai com timestamp; MTTR e SLA saem prontos.
2. Padronize labels no ticketing. sev:critical, sev:high, origem:prod, origem:ci. Toda métrica sai de uma query.
3. Exporte para BI. Metabase ou Looker Studio com refresh diário. Board vê o mesmo dashboard que você.

Instrumentação de MTTD e MTTR começa com detecção contínua. A Varredura monitora sua superfície e devolve findings com timestamp preciso, prontos para alimentar seu painel executivo. Rode agora e comece a medir na próxima reunião de board.