Avaliação de maturidade em cibersegurança é a medição de quão estruturadas estão as práticas de segurança de uma organização, comparadas a um framework reconhecido e expressas numa escala, normalmente de 0 a 5. Ela mostra onde a empresa está, onde estão empresas parecidas e qual a distância até a meta.
Maturidade mede processo; risco mede o que um adversário consegue fazer. As duas medidas se relacionam, mas uma nota alta não garante sozinha que a empresa está protegida.
O que significa cada nível da escala
A maioria das avaliações usa uma escala inspirada no CMMI. Na metodologia da Vultus, de 0 a 0,9 o nível é inicial, e as atividades acontecem de forma irregular. De 1,0 a 1,9 é conhecido: o processo existe, mas depende de pessoas específicas. De 2,0 a 2,9 é padronizado, com documentação e responsável definido.
De 3,0 a 3,9 o nível é gerenciado, com indicadores e metas acompanhadas, e de 4,0 a 5,0 é otimizado, com melhoria contínua e automação. A passagem de conhecido para padronizado é a mais importante: é quando a segurança continua funcionando mesmo com a ausência de quem a opera.
O que é avaliado
O NIST Cybersecurity Framework 2.0 é o framework mais usado como base, por ser legível para executivos e permitir comparação entre empresas. O resultado pode ser lido pelas seis funções do NIST (governar, identificar, proteger, detectar, responder e recuperar) ou por quatro dimensões organizacionais: governança, processos, pessoas e tecnologia.
A leitura por dimensão costuma ser a mais reveladora para o conselho, porque mostra onde o investimento foi aplicado. A comparação entre frameworks está no artigo sobre NIST CSF 2.0, ISO 27001 e CIS Controls.
Onde as empresas brasileiras estão
O Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações de 11 setores, registrou maturidade média de 1,87 em tecnologia, 1,67 em pessoas, 1,62 em processos e 1,48 em governança. Todas ficaram abaixo de 2, na faixa em que a segurança ainda depende de pessoas específicas.
Entre 2025 e 2026, a maturidade média subiu 5,6% e a probabilidade de ataque subiu 3,7%. A melhora da nota não acompanhou o aumento da exposição.
O mesmo padrão aparece na escala dos países. O Global Cybersecurity Index 2024, da UIT, agência da ONU, mostra que a nota média global subiu para 65,7 de 100 desde 2021, mas que capacitação e medidas técnicas seguem como os pilares mais fracos na maioria dos países.
Autodeclaração ou evidência
Quando a nota vem de um questionário respondido pelo próprio time, o viés tende a ser otimista, porque quem responde conhece a política e raramente a viu falhar. Pedir evidência documental para cada resposta, entrevistar quem executa e cruzar a nota com um teste real reduzem esse viés.
Considere uma empresa de logística fictícia que chega a 2,4 na autoavaliação. Na avaliação com evidência, a revisão de acessos está parada há dois anos, o plano de resposta nunca foi testado e o inventário não inclui os serviços em nuvem contratados pelas áreas. A nota cai para perto de 1,6.
Como transformar a nota em plano
A nota só gera valor quando se converte em gestão:
- Meta: onde a empresa quer estar e até quando, conforme o apetite ao risco.
- Roadmap: iniciativas em ondas anuais, cada uma ligada à dimensão que ela melhora.
- Rotina de medição: reavaliação anual com o mesmo método, para que a evolução seja comparável.
Para a maioria das empresas, chegar ao nível padronizado nas dimensões críticas já representa uma mudança estrutural. A avaliação também é um dos componentes do Plano Diretor de Segurança da Informação.
Avaliação com referência setorial
A Vultus avalia a maturidade com evidência e compara o resultado com empresas do mesmo segmento, porte e faixa de faturamento, para que a nota tenha contexto e vire meta. Faça a avaliação de maturidade da Vultus e leia sobre segurança cibernética baseada em riscos.
