A disciplina
Operational Security
Um método definido, nascido onde informação exposta custa vidas, aplicado aqui ao que custa dinheiro, contrato e reputação.
A diferença
Duas perguntas diferentes.
Como protegemos o que temos?
O objeto de análise é o inventário de ativos. A resposta é uma arquitetura de controles: quem acessa o quê, com qual autenticação, protegido por qual barreira.
O que o adversário consegue descobrir sobre nós, e o que faria com isso?
O objeto de análise é o rastro que a organização deixa. Documentos publicados, vagas anunciadas, registros obrigatórios, certificados emitidos, pessoas identificáveis, fornecedores inferíveis.
Nada dessa segunda lista é vulnerabilidade técnica. Tudo isso é informação, e informação é o que um adversário reúne antes de agir.
A diferença não é semântica. Uma organização pode ter arquitetura de controles impecável e, ainda assim, publicar tudo o que um atacante precisa para construir uma abordagem que nenhum controle bloqueia.
O que está em jogo
O ataque não passa pelo firewall.
Passa por uma pessoa.
E, antes de passar, ele estuda. A abordagem que funciona é a que foi construída com informação sobre quem vai recebê-la.
O que isso significa para a defesa
O mesmo relatório não encontrou variação na taxa de clique entre pessoas treinadas e não treinadas.
Não porque treinamento seja inútil, mas porque ele disputa uma corrida desigual: o adversário melhora a abordagem mais rápido do que a pessoa melhora o reconhecimento.
O que degrada a abordagem é retirar o material com que ela é construída. Quem ela é, o que aprova, com quem fala, qual o endereço, qual ferramenta usa, qual fornecedor tem acesso.
Esse material está exposto agora, e é isso que nós encontramos.
Fontes: Verizon Data Breach Investigations Report, edições de 2025 e 2026. Federal Bureau of Investigation, Internet Crime Complaint Center, relatório anual de 2025.
O método
Cinco etapas.
A sequência importa. Pular a primeira produz volume desconectado de decisão, que é o defeito mais comum em relatórios de segurança.
Identificar a informação crítica
Nem toda informação exposta importa. Esta etapa determina o que, se descoberto por um adversário, causaria dano real a esta organização especificamente. É a etapa que a maioria dos fornecedores pula, e é por isso que entregam listas longas e pouco acionáveis.
Analisar a ameaça
Quem teria motivação e capacidade para agir? Concorrente, grupo de extorsão, fraudador, pessoa interna, ativista. Cada perfil busca informação diferente e opera de forma diferente, e a coleta se orienta por isso.
Analisar a vulnerabilidade
Que parte da informação crítica está efetivamente acessível a esses adversários, pelos meios que eles empregariam? É a etapa de coleta, e ela é integralmente passiva: nada é executado contra os sistemas da organização.
Avaliar o risco
Cruzamento entre probabilidade de exploração e magnitude do dano, apresentado em faixas e com as premissas explicitadas. Precisão aparente sobre estimativa incerta é distorção, não rigor.
Aplicar contramedidas
Tratamento priorizado pelo efeito real de redução. Tratar a exposição moderada que interrompe três caminhos produz mais resultado que tratar a crítica isolada que não compõe nenhum.
Delimitação
O que OPSEC não é.
Não é teste de intrusão
O teste de intrusão pergunta o que dá para invadir. OPSEC pergunta o que dá para descobrir. São complementares e respondem a decisões diferentes.
Não é monitoramento de marca
Proteção de marca conta menções e detecta uso indevido. OPSEC avalia se a identidade da organização é reproduzível de forma crível, e por quem.
Não é conformidade
Auditoria de norma verifica aderência a um referencial. OPSEC não certifica nada. Informa decisão, e o resultado pode subsidiar processos de conformidade.
Não é conscientização
Treinar a pessoa a reconhecer a abordagem tem limite conhecido. OPSEC atua antes: reduz o material com que a abordagem é construída.
Entender o adversário é pré-requisito para proteger contra ele. Nós operamos as mesmas técnicas, nas mesmas fontes, com a mesma sequência lógica que ele empregaria. Não é simulação teórica: é o reconhecimento real, conduzido com autorização formal, sobre o perímetro que você declara.