O que é Exposure Management (gestão de exposição)?

Por que exposure management é importante?

O volume de vulnerabilidades publicadas cresce todo ano, e nenhuma equipe corrige tudo. Ordenar a fila por CVSS concentra esforço em falhas graves no papel que podem nem estar alcançáveis, enquanto problemas sem CVE — uma chave de API exposta, uma conta de serviço com privilégio de administrador, um subdomínio esquecido — ficam fora de qualquer fila. A gestão de exposição troca a pergunta “quantas vulnerabilidades fechamos?” por “quais caminhos de ataque até ativos críticos ainda estão abertos?”.

A Gartner descreve o Continuous Threat Exposure Management (CTEM) como uma abordagem pragmática e sistêmica para avaliar continuamente a acessibilidade, a exposição e a explorabilidade dos ativos digitais e físicos de uma organização, alinhando o escopo de avaliação e correção a vetores de ameaça ou a projetos de negócio, e não a componentes de infraestrutura.

Como funciona

Na prática, o programa roda em ciclos curtos: delimitar o escopo a partir de um processo de negócio ou de um vetor de ameaça; descobrir ativos e exposições dentro dele; priorizar o que é explorável e relevante; validar os itens priorizados; e mobilizar as áreas responsáveis pela correção, com prazo acordado. O ciclo recomeça quando o ambiente ou a ameaça mudam.

Exemplo prático

Quatro achados do mesmo ciclo (exemplo ilustrativo):

Três dos quatro itens não seriam priorizados — ou sequer apareceriam — numa fila ordenada apenas por CVSS. A lógica de priorização com KEV e EPSS está detalhada em 48 mil CVEs por ano: por onde começar, e a leitura correta da nota em CVSS 4.0: como ler a nota.

Como calcular ou avaliar

Métricas que mostram se o programa reduz exposição, e não apenas produz atividade:

• Cobertura de descoberta: percentual de ativos críticos com inventário e varredura atualizados; ativos encontrados fora do inventário em cada ciclo.
• Tempo de correção de exposições críticas — por exemplo, KEV em ativo exposto —, medido do surgimento ao fechamento, e não a média do backlog inteiro.
• Taxa de validação: quantas prioridades foram confirmadas como exploráveis e quantas descartadas. Mede a qualidade da priorização.
• Caminhos de ataque abertos até ativos críticos e sua tendência.
• Exceções vencidas: correções adiadas sem aceite de risco válido.

Para definir urgência, o catálogo KEV da CISA é uma referência pronta. Desde junho de 2026, a diretiva BOD 26-04 — que substituiu a BOD 22-01, a que criou o catálogo — fixa os prazos de correção das agências federais civis dos Estados Unidos combinando quatro critérios: se o ativo está exposto à internet, se a vulnerabilidade está no KEV, se a exploração pode ser automatizada e qual o impacto técnico. Organizações privadas não estão sujeitas a ela, mas esses critérios são uma referência defensável para a própria política de correção.

Exposure management na gestão de cyber risk

A exposição é a parte do risco cibernético que muda todos os dias. Avaliações formais de risco acontecem em ciclos; a gestão de exposição mantém o insumo atualizado entre eles. Quando uma exposição crítica aparece em um ativo que sustenta um cenário de risco relevante, a chance de sucesso desse cenário aumenta — e o risco residual registrado deixa de ser verdadeiro até a correção.

A ligação com risco também muda a conversa com as áreas de TI: em vez de “a segurança pede para corrigir 3 mil itens”, a pauta passa a ser “estes 12 itens abrem caminho até o faturamento”. Em modelos de quantificação, exposições validadas informam a probabilidade de a ameaça vencer os controles; na BIA, a criticidade do processo diz quanto cada exposição pesa.

Relação com frameworks

• NIST CSF 2.0: Asset Management (ID.AM), incluindo a priorização de ativos por criticidade (ID.AM-05); ID.RA-01, vulnerabilidades identificadas, validadas e registradas; e ID.RA-02, inteligência de ameaças recebida de fontes e fóruns de compartilhamento.
• CIS Controls v8: Controles 1 e 2 (inventário de ativos corporativos e de software) e Controle 7 (gestão contínua de vulnerabilidades).
• ISO/IEC 27001:2022, Anexo A: 8.8, gestão de vulnerabilidades técnicas, e 5.7, inteligência de ameaças.
• Resolução CMN 4.893/2021, na redação da 5.274/2025: a avaliação e a correção de vulnerabilidades estão entre os controles mínimos do art. 3º, § 2º.
• Fontes de sinal: EPSS e CVSS, mantidos pelo FIRST; catálogo KEV, mantido pela CISA.