--- title: "Porque a Guardian360 está a substituir o seu motor de análise, e porque «menos» vai significar «mais seguro» | Guardian360" description: "Se trabalhas com scanners de vulnerabilidades há algum tempo, conheces o padrão: executas uma análise, obténs uma lista gigante, ordenas por gravidade e começas a perseguir os vermelhos. Funciona, até que…" url: https://guardian360.net/pt/blog/why-guardian360-is-replacing-its-scanning-engine-and-why-less-will-mean-safer/ locale: en source: guardian360.net --- [← Todos os artigos](https://guardian360.net/pt/blog/) Sensibilização # Porque a Guardian360 está a substituir o seu motor de análise, e porque «menos» vai significar «mais seguro» Por Guardian360 · 16 de janeiro de 2026 Se trabalhas com scanners de vulnerabilidades há algum tempo, conheces o padrão: executas uma análise, obténs uma lista gigante, ordenas por gravidade e começas a perseguir os vermelhos. Isto *funciona*, até deixar de funcionar. Porque a realidade em 2026 é esta: os dados de vulnerabilidades estão a explodir, o comportamento dos atacantes está a mudar depressa e o recurso mais escasso na maioria das equipas de TI não são as ferramentas… é o tempo. É por isso que a Guardian360 está a fazer duas grandes mudanças no Lighthouse: 1. Estamos a substituir o nosso arsenal de scanners (a nossa «casa das máquinas» de análise). 2. Estamos a introduzir uma abordagem baseada no risco que liga as descobertas técnicas ao risco de negócio, alinhada com a ISO 27001, a NIS2 e outros referenciais. E sim: para muitos parceiros e clientes, isto vai levantar uma questão legítima: **«Vamos passar a ver menos vulnerabilidades… e isso é, de facto, seguro?»** Vamos desmontar o «porquê» destas decisões, e explicar porque descobertas menos numerosas, mas mais relevantes, conduzem tipicamente a melhores resultados, melhores insights e uma utilização muito mais eficaz de horas caras. ## 1. Porque estamos a substituir o nosso arsenal de scanners Estamos a reconstruir a base para tornar a análise: - **Mais fiável** (resultados consistentes, menos surpresas em casos-limite) - **Mais rápida** (menos espera, mais visibilidade contínua) - **Mais leve** (menor pegada e sobrecarga operacional) E há também uma razão estratégica: **Ir além das máquinas virtuais em direção a um agente** Hoje, muitas soluções de análise ainda dependem fortemente de máquinas virtuais e de implementações pesadas. A nossa direção é clara: **ativar capacidades baseadas em agentes**, para que parceiros e clientes possam obter cobertura sem terem sempre de manter appliances virtuais como abordagem por defeito. Isto não é mudar por mudar. Trata-se de construir uma plataforma de análise pronta para a próxima fase do Lighthouse: **insights contínuos, menos fricção operacional e resultados mais acionáveis.** ## 2. Porque estamos a introduzir uma abordagem baseada no risco (e porque se ajusta melhor à ISO 27001 e à NIS2) A maioria dos scanners é construída para responder a uma pergunta técnica: «Quão grave é esta vulnerabilidade?» Mas a ISO 27001, a NIS2 e a governança de segurança moderna exigem que respondas a uma pergunta diferente: «Então, o que é que isto significa para a nossa organização, e o que fazemos primeiro?» Essa mudança importa, porque a gravidade técnica por si só não descreve o risco de negócio. O risco de negócio depende do contexto: onde vive a vulnerabilidade, o que toca e o que acontece se for abusada. ### CIA: o ingrediente em falta na gestão de vulnerabilidades «só por gravidade» Uma forma prática de tornar esse contexto explícito é a clássica tríade CIA: - **Confidencialidade**: a exploração exporia informação sensível (dados de clientes, propriedade intelectual, credenciais, registos médicos)? - **Integridade**: a exploração permitiria adulteração (alterar dados, manipular transações, modificar configurações, envenenar logs)? - **Disponibilidade**: a exploração causaria indisponibilidade ou disrupção (impacto de ransomware, interrupção de serviço, paragem de produção)? Por outras palavras: o mesmo CVE pode significar *coisas muito diferentes* consoante o perfil CIA do ativo. Exemplo: mesma vulnerabilidade, risco de negócio diferente Uma vulnerabilidade de «gravidade alta» num servidor de testes de baixo valor pode ser irritante, mas não ameaça o negócio. Essa mesma vulnerabilidade num: - sistema que processa salários (integridade), - portal de clientes com dados pessoais (confidencialidade), - ou aplicação crítica de um hospital (disponibilidade), …passa subitamente a ser um risco de negócio material. Assim, em vez de tratar cada descoberta como igual e ordenar puramente por CVSS, uma abordagem baseada no risco pergunta: - Que ativo é afetado? - Quão crítico é esse ativo para a confidencialidade, a integridade e a disponibilidade? - É alcançável / explorável neste ambiente? - Qual é o impacto real se for abusada? - Qual é a próxima ação mais eficaz? **Porque isto se ajusta melhor à ISO 27001 e à NIS2** A ISO 27001 não é uma norma de «recolher todas as vulnerabilidades». Trata-se de gerir um SGSI que identifica, avalia e trata o risco de forma controlada e repetível. Uma abordagem baseada no risco apoia isso diretamente: consegues mostrar *porque* priorizaste algo, *o que* fizeste e *como* isso reduziu o risco. A NIS2 empurra as organizações no sentido de uma resiliência mensurável e de uma gestão de risco responsável, e não apenas de resultados técnicos. Uma abordagem baseada no risco ajuda parceiros e clientes a comunicar em termos de negócio, porque os conselhos de administração e os auditores não querem «tivemos 8000 descobertas»; querem «reduzimos o risco para os serviços críticos». O resultado: melhores decisões, melhores provas, menos esforço desperdiçado Ao ligar as descobertas à CIA e ao contexto de negócio, o Lighthouse pode passar de: - «Aqui está uma lista assustadora» para: - «Aqui estão os problemas que ameaçam o que realmente te importa, e aqui está a ordem mais inteligente para os corrigir.» É esse o núcleo da abordagem baseada no risco: não menos controlos, mas melhor priorização e uma governança mais forte. ## 3. A verdade incómoda: nem todos os CVE importam para o teu ambiente Eis a parte que muitas vezes se perde na gestão de vulnerabilidades: **o universo de CVE é enorme**, e a maior parte dele nunca importará para o ambiente específico do teu cliente. - A National Vulnerability Database (NVD) lista **centenas de milhares de CVE** (mais de 326 mil à data de redação)( [https://nvd.nist.gov/general/nvd-dashboard](https://nvd.nist.gov/general/nvd-dashboard)). - Entretanto, o catálogo CISA Known Exploited Vulnerabilities (KEV), uma referência prática de «isto está a ser explorado no mundo real», contém **cerca de 1484 entradas** (dados do final de 2025)( [https://www.securityweek.com/cisa-kev-catalog-expanded-20-in-2025-topping-1480-entries](https://www.securityweek.com/cisa-kev-catalog-expanded-20-in-2025-topping-1480-entries)). Esse contraste não significa «ignora tudo o resto». Significa: **Gravidade não é o mesmo que risco** Uma pontuação CVSS diz-te quão mau algo *poderia* ser sob certos pressupostos. **Não** te diz qual é a probabilidade de ser explorado nos próximos dias ou semanas. É por isso que existem modelos como o EPSS: para estimar a probabilidade de exploração com base em sinais e padrões observados. A documentação do EPSS da FIRST ilustra como a atividade de exploração tende a concentrar-se num pequeno subconjunto de CVE publicados (o exemplo deles mostra cerca de 2,7% com atividade de exploração observada numa janela de 30 dias)( [https://www.first.org/epss/model](https://www.first.org/epss/model)). E os relatórios de ameaças continuam a mostrar que a exploração é um importante vetor de acesso inicial, mas, mais uma vez, concentrada onde os atacantes obtêm o melhor retorno. O DBIR 2025 da Verizon destaca a exploração de vulnerabilidades como um dos principais vetores de violação (20%) e assinala um aumento significativo em termos anuais ([https://www.verizon.com/about/news/2025-data-breach-investigations-report](https://www.verizon.com/about/news/2025-data-breach-investigations-report)). Então sim: **as vulnerabilidades importam**. Mas **não todas por igual**, e não todas ao mesmo tempo. ## 4. Porque «menos vulnerabilidades» pode levar a melhores resultados de segurança Uma lista enorme de descobertas cria três problemas previsíveis: **1) O ruído sepulta o sinal** Quando tudo parece urgente, nada é urgente. As equipas gastam ciclos a triar itens tecnicamente válidos, mas praticamente irrelevantes. **2) O tempo é gasto no que é fácil, não no que é arriscado** Sem contexto de negócio, a remediação torna-se um concurso de popularidade de patches: «o CVSS mais alto primeiro», mesmo que o sistema afetado não seja crítico ou não seja alcançável. **3) O reporte torna-se performativo** Acabas por provar que *trabalhaste muito*, em vez de provar que *reduziste o risco*. Uma abordagem baseada no risco inverte isto: - Concentra-te no **que é explorável**, **alcançável** e **material** - Liga as descobertas ao **impacto no negócio** - Torna a remediação **mensurável**, **explicável** e **auditável** É assim que tornas a gestão de vulnerabilidades sustentável, e não heroica. ## 5. O que os parceiros podem esperar no Lighthouse Com a nova base de análise e a abordagem baseada no risco, os parceiros vão obter: - **Melhor visibilidade do risco de negócio** (para além dos níveis de gravidade técnica) - **Resultados de análise mais relevantes**, reduzindo o esforço desperdiçado - **Remediação mais eficaz**, porque as ações são priorizadas pelo risco real e pelo contexto de negócio - **Provas de conformidade mais sólidas**, porque as decisões e as ações podem ser explicadas e mapeadas para os requisitos de governança É assim que damos significado prático à nossa missão: **«Governança digital e resiliência ao teu alcance.»** E à nossa visão: **«Capacitar quem decide com insights para proteger, cumprir e otimizar o seu negócio.»** ## 6. Conclusão Não pretendemos mostrar *mais* descobertas. Pretendemos mostrar **as descobertas certas**, no momento certo, no contexto certo, para que parceiros e clientes possam gastar o seu tempo limitado onde ele reduz mais o risco. Se estás habituado a scanners que exibem com orgulho «10 000 problemas encontrados», esta mudança pode parecer contraintuitiva à primeira vista. Mas, na prática, **menos ruído + mais relevância = melhor visibilidade + redução mais rápida do risco**. E é exatamente para aí que o Lighthouse se dirige.