CyAS: contrate a simulação com decisões de aceite
Uma simulação precisa produzir decisões que a organização consiga executar e conferir. Prepare o escopo com responsáveis, limites de impacto e evidências que sustentem o aceite do exercício.
Read in EnglishPor Pentesty
O lançamento e as regras de aplicabilidade
O anúncio oficial de 11 de novembro de 2026 apresenta o Cyber Adversary Simulation, CyAS, inicialmente como MVP. A reportagem do ITPro de 13 de novembro repercute o lançamento. A publicação jornalística não é a data de criação de todas as orientações anteriores.
A introdução oficial do esquema prevê maturidade operacional. Scheme Partners podem estabelecer exigências setoriais, inclusive requerer um exercício. Confirme o enquadramento da empresa. O reconhecimento de fornecedores pelo NCSC não se aplica automaticamente a outras consultorias.
Comece por uma decisão de negócio
Escolha uma pergunta que possa mudar uma decisão real. Por exemplo: a equipe consegue reconhecer e interromper um acesso indevido antes que ele alcance o processo de faturamento? Defina a função de negócio, o limite de impacto e quem poderá decidir durante o exercício. A pergunta precisa ser compreensível para segurança e operação.
Converta essa pergunta em observações combinadas. Determine onde a equipe deverá detectar a atividade, como ela chegará ao responsável e qual ação estará autorizada. Se a resposta depende de um fornecedor, inclua o canal de acionamento no planejamento. Evite aceitar o número de técnicas executadas como medida suficiente do resultado.
Documente o que pode interromper a execução
Antes de iniciar, registre ativos permitidos, contas de teste, horários e contatos de emergência. Identifique serviços sensíveis à indisponibilidade e dependências compartilhadas. Combine um canal de coordenação e uma condição objetiva de suspensão. Os operadores precisam saber quem pode parar a atividade e quem autoriza a retomada.
Prepare também uma alternativa para a perda do canal principal. Um exercício que afeta a ferramenta usada para coordená-lo exige um caminho independente. A análise sobre decisões entre organizações em exercícios cibernéticos ajuda a revisar essas passagens de responsabilidade, incluindo terceiros que administram partes do serviço.
Relacione a ação com a evidência
Para cada objetivo, planeje uma linha do tempo com a ação autorizada, o sinal esperado, a triagem e a decisão operacional. Registre identificadores suficientes para localizar o evento original. Reduza dados pessoais no material compartilhado e defina quem poderá consultar a documentação técnica completa.
Uma detecção que chegou à ferramenta pode não ter chegado a quem podia agir. Examine o encaminhamento, o contexto disponível e o tempo até a decisão. Quando o objetivo não puder ser exercitado com segurança, documente a restrição. A limitação deve permanecer visível na conclusão entregue a gestores e compradores.
Faça a correção voltar ao cenário
O relatório deve produzir tarefas com responsável, prioridade e uma forma de verificar o resultado. Separe correção de configuração, mudança de procedimento e dependência contratual. Para cada tarefa concluída, repita uma parte delimitada do cenário e confira se o comportamento esperado mudou, preservando o escopo autorizado.
A discussão de segurança centrada nas pessoas complementa a avaliação de quem recebe e executa uma orientação. Considere o exercício aceito quando a empresa consegue explicar o que foi observado, o que ficou sem cobertura e quais decisões ainda dependem de trabalho. Esse aceite tem um responsável e uma data de revisão.
Perguntas frequentes
O CyAS é obrigatório para toda empresa?
Verifique as exigências do Scheme Partner aplicável ao setor. O anúncio não estabelece uma obrigação geral.
Quem participa do aceite do exercício?
Segurança acompanha a detecção e a investigação; operação avalia o serviço; o responsável pelo risco aceita pendências. Defina essas responsabilidades no planejamento.
O que demonstra utilidade para o negócio?
Uma pergunta delimitada, sinais recuperáveis e uma decisão que alguém pôde executar. Vincule os resultados ao serviço escolhido e registre as restrições da avaliação.
Como verificar uma correção sugerida pelo exercício?
Escolha a parte do cenário que depende da correção e repita-a dentro da autorização. Compare o comportamento com o esperado e documente o que não foi reavaliado.
Fontes e referências
- ITPro: cobertura do CyAS, 13 de novembro de 2026
- NCSC: lançamento do CyAS, 11 de novembro de 2026
- NCSC: introdução e aplicabilidade do CyAS
Análise original da Pentesty, publicada em 13 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.