White PaperO ciclo de vida da exposição, do achado ao fechamento validado
Janela de exposição, MTTR e vazão líquida como métricas do programa
Exposição não é só CVE, e não fecha sozinha. O EcoTrust Flow recebe achados de todos os módulos, dá dono e prazo a cada um, conduz até o fechamento validado e mede o programa por janela de exposição, Tempo Médio de Correção e vazão líquida. Não faz scan: administra o que os outros produzem.
O problema: a priorização responde o que tratar primeiro. Ela não responde o que aconteceu depois. Um achado priorizado que ninguém conduziu continua aberto, e a exposição continua valendo. Em 2026, um exploit funcional surge em média 1,8 dias após a divulgação pública. A correção leva em média 20 dias. Essa diferença não é uma estatística de mercado, é uma janela que existe exposição por exposição, com data de abertura, responsável e data de fechamento.
A abordagem: o EcoTrust Flow gerencia o ciclo de vida da exposição, da priorização recebida até o fechamento validado. Recebe achados de todos os módulos de detecção, não apenas CVEs: superfície externa, desvio de configuração, risco de terceiro, vulnerabilidade priorizada e achado de aplicação. Cada achado entra em uma fila única com dono, prazo e histórico rastreável.
O resultado: três métricas que antes ninguém conseguia produzir sem trabalho manual: janela de exposição por achado, Tempo Médio de Correção (MTTR) real e vazão líquida, quantas exposições abriram contra quantas fecharam no período. O EcoTrust Flow não faz scan e não descobre nada. Administra o que os outros módulos produzem, até o fim.
A janela existe por exposição, e precisa ser gerenciada.
A média de mercado descreve um setor. Ela não descreve nenhum achado específico do seu ambiente. A janela de exposição é uma propriedade individual: abre quando o achado é detectado e priorizado, e fecha quando a correção é validada. Entre esses dois eventos existe um intervalo com um responsável, um prazo e um estado. Se ninguém conduz esse intervalo, ele não é um indicador, é uma suposição.
Com 48.185 CVEs publicadas em 2025 e uma taxa mediana de remediação de 15% ao mês, nenhum programa fecha tudo. Isso é conhecido. O que raramente é conhecido é o saldo: no mês passado, quantas exposições abriram e quantas fecharam? Se o número de aberturas supera o de fechamentos de forma consistente, o backlog cresce por definição, e nenhuma priorização corrige isso. O dado só existe se o ciclo de cada achado for registrado do início ao fim.
O intervalo que ninguém mede: o achado priorizado sai do módulo de detecção, entra em uma planilha, gera um ticket, é tratado quando a equipe consegue e o ticket é fechado. Ninguém sabe quantos dias a exposição ficou aberta, quem era o responsável no dia 12, se o prazo foi cumprido nem se a correção foi validada. O trabalho aconteceu. O ciclo não foi gerenciado.
Gerenciar a janela não significa encurtá-la por automação, isso é execução e pertence a outro módulo. Significa saber, a qualquer momento, quantas exposições estão abertas, há quanto tempo, sob responsabilidade de quem e a que distância do prazo. Sem esse controle, o programa opera sem instrumentação.
Uma fila única, alimentada por todas as fontes.
Quando cada módulo de detecção mantém a sua própria lista, a organização passa a ter tantas filas quantas ferramentas. Cada fila tem um dono diferente, um critério de fechamento diferente e uma noção diferente do que significa "resolvido". O CISO recebe relatórios que não somam. O EcoTrust Flow resolve isso recebendo os achados de todos os módulos em uma fila única, com o mesmo modelo de ciclo de vida para todos.
Achados de natureza diferente exigem tratativas diferentes. Um desvio de configuração é revertido, uma vulnerabilidade recebe patch, um risco de terceiro é negociado com o fornecedor, um achado de aplicação entra no backlog de desenvolvimento. O que é comum a todos é a estrutura do ciclo: recebido, atribuído, com prazo, em tratativa, fechado e validado. O EcoTrust Flow padroniza a estrutura, não a solução técnica.
Por que a fila única importa para o board: enquanto existem cinco listas, "estamos melhorando?" só pode ser respondido com cinco respostas parciais e nenhuma consolidada. Com uma fila única e um modelo de ciclo comum, existe um número de exposições abertas, um tempo médio de fechamento e um saldo do período. É a diferença entre relatar atividade e relatar trajetória.
O que o EcoTrust Flow não faz, e por que isso é uma decisão de arquitetura.
O EcoTrust Flow não executa scan. Não descobre ativo, não testa vulnerabilidade, não avalia configuração e não aplica correção. Não gera achado próprio. Todo item na fila do EcoTrust Flow foi produzido por outro módulo da plataforma.
Essa restrição é deliberada. Um módulo que detecta e ao mesmo tempo julga o seu próprio desempenho de remediação não é uma instância confiável de medição. Separar quem detecta de quem conduz e mede mantém a métrica independente da ferramenta que originou o achado, e permite que a mesma régua de ciclo de vida seja aplicada a fontes muito diferentes entre si.
A divisão de responsabilidade no ciclo de correção
Cruza severidade técnica, explorabilidade atual e criticidade do ativo para definir o que importa primeiro. A decisão de prioridade é dele, com a justificativa que o auditor pode verificar. O EcoTrust VulScan entrega ao EcoTrust Flow um achado já ordenado por risco real.
Recebe o achado priorizado, atribui responsável, calcula prazo, acompanha o estado, cobra o vencimento, registra a tratativa e só encerra com o fechamento validado. Produz janela de exposição, MTTR e vazão líquida. Não decide a prioridade e não executa a correção.
Faz o staging, implanta e confirma por re-scan que a vulnerabilidade não existe mais no ativo. O EcoTrust AutoPatch é a execução. O resultado da validação retorna ao EcoTrust Flow como evidência de fechamento, não como declaração de conclusão.
A consequência prática é direta: o EcoTrust Flow nunca fecha uma exposição por declaração. Fecha por evidência devolvida pelo módulo que executou. Se a validação falha, o item volta ao estado aberto com o histórico preservado e a janela de exposição continua contando. O ciclo não é encerrado por ninguém dizer que terminou.
O ciclo de vida da exposição, da priorização recebida ao fechamento validado.
O ciclo completo de tratativa é a função central do módulo. Cada exposição percorre os mesmos estados, independentemente da fonte que a originou, e cada transição de estado é registrada com autor, data e evidência.
Entre a atribuição e o fechamento, o EcoTrust Flow mantém o estado vivo: reatribui quando o responsável muda, escala quando o prazo se aproxima do vencimento, aceita exceção documentada quando a correção não é viável e reabre o item quando a validação não confirma o fechamento. A exposição sai da fila em uma única condição, correção validada ou risco formalmente aceito com registro de quem aceitou.
Rastreabilidade total por exposição
Cada item carrega um histórico imutável: quando foi detectado, por qual módulo, com qual prioridade recebida, quem foi o responsável em cada momento, qual era o prazo, quais tratativas foram registradas, quando fechou e com qual evidência. Nada é sobrescrito. A reabertura por validação falha aparece no histórico como um evento, não como um item novo.
Toda exposição aberta tem um responsável nomeado e uma data. Não existe item na fila do EcoTrust Flow sem dono. O que não tem responsável definido aparece como pendência de atribuição, não como trabalho em andamento.
Quando o re-scan do EcoTrust AutoPatch não confirma o fechamento, o item volta ao estado aberto e a contagem da janela de exposição continua do início da detecção. O tempo perdido em uma correção que não funcionou aparece na métrica.
Detecção, prioridade, atribuição, prazo, tratativas, exceções e evidência de fechamento por exposição. É o registro de ações que ISO 27001, PCI DSS e BACEN pedem, disponível sem coleta manual.
As métricas do ciclo, janela, MTTR e vazão líquida.
O intervalo entre a detecção do achado e o seu fechamento validado, medido por exposição, não por média do parque. É o indicador que permite responder "esse ativo crítico ficou exposto por quantos dias?" com um número específico e não com uma estimativa.
A média das janelas de exposição fechadas no período, segmentável por criticidade, por módulo de origem e por responsável. O MTTR é uma métrica do EcoTrust Flow porque só quem conduz o ciclo completo tem as duas pontas: a detecção e a validação.
Quantas exposições abriram contra quantas fecharam no período. Vazão líquida negativa significa backlog em queda com o mesmo time. Positiva significa que o programa está perdendo terreno, mesmo que o volume de correções tenha aumentado.
Por que a vazão líquida muda a conversa
Um time que fechou 800 exposições em um mês em que 1.200 foram abertas trabalhou muito e ficou 400 itens mais atrás. Um time que fechou 300 em um mês de 180 aberturas reduziu o backlog. Sem vazão líquida, os dois relatórios se parecem, e o primeiro parece melhor. Com vazão líquida, a direção do programa fica explícita, e a discussão de capacidade deixa de ser opinião.
A latência que desaparece quando o ciclo tem dono
Entre a priorização de um achado e o início efetivo da tratativa existe um intervalo consumido por triagem, encaminhamento e negociação de responsabilidade. Esse intervalo não aparece em nenhum relatório de scanner, mas está inteiro dentro da janela de exposição. Quando cada achado chega ao destinatário já atribuído, com prazo calculado e prioridade justificada pelo módulo de origem, esse intervalo tende a zero, e a redução aparece diretamente no MTTR.
O dado de campo: parceiro MSSP brasileiro operando com o EcoTrust Flow reportou redução de 10× no tempo de remediação de vulnerabilidades de alto impacto. A redução não veio de mais pessoas nem de mais automação de deploy. Veio de nenhuma exposição ficar parada esperando alguém decidir de quem era.
Do ciclo para o financeiro
As métricas de ciclo do EcoTrust Flow alimentam o módulo EcoTrust Quantify. Uma exposição aberta por 40 dias em um ativo crítico tem um custo esperado diferente da mesma exposição fechada em 3 dias. Com janela de exposição e vazão líquida por período, o CISO apresenta ao board a trajetória do risco e o CFO avalia o custo de manter, ou de reduzir, o tempo em que as janelas ficam abertas.
Compliance, o registro de ciclo que os frameworks exigem.
Frameworks de segurança não pedem apenas detecção. Pedem tratativa tempestiva, registro das ações tomadas e evidência de que a correção foi eficaz. Isso é exatamente o ciclo de vida da exposição, documentado item por item.
O histórico imutável do EcoTrust Flow, detecção, atribuição, prazo, tratativas e evidência de fechamento por exposição, é o registro de ações exigido pelo A.8.8, produzido sem coleta manual.
O fechamento apenas por validação devolvida pelo executor, com reabertura automática quando a confirmação falha, atende ao RS.MI-3 com evidência de eficácia e não de tentativa.
Prazo calculado por criticidade e aderência ao SLA medida por exposição e por período. A janela de exposição é a evidência direta de cumprimento, ou de descumprimento, de cada SLA.
MTTR e vazão líquida por período e por tipo de ativo, com histórico rastreável de cada exposição, atendem ao modelo de evidências exigido para prestação de contas ao regulador.
Conclusão, o que não é conduzido não fecha.
Nenhum programa vai zerar o backlog, e nenhuma métrica vai eliminar a janela entre a divulgação de uma falha e a sua correção. O que é controlável é o ciclo: cada exposição com dono, prazo, estado visível e fechamento comprovado. Quando isso existe, janela de exposição, MTTR e vazão líquida deixam de ser estimativas e passam a ser medições.
O EcoTrust Flow é o módulo que administra esse ciclo. Não faz scan, não descobre e não corrige. Recebe o que os outros módulos produzem, conduz cada item até o fim e mede o processo com rastreabilidade total. O EcoTrust VulScan diz o que importa primeiro. O EcoTrust AutoPatch executa e valida. O EcoTrust Flow garante que nada fica pelo caminho, e prova.
Meça a janela de exposição do seu ambiente.
Demonstração ao vivo