Conhecimento · Vulnerabilidades
Processo de gestão de vulnerabilidades: do achado à correção
A gestão de vulnerabilidades é o processo recorrente de encontrar vulnerabilidades nos sistemas, avaliá-las conforme o risco, corrigi-las e comprovar a correção. O decisivo não é o número de achados, e sim a ordem certa.
Atualizado em 14 de novembro de 2026
FIGProcesso de gestão de vulnerabilidades
As seis etapas do processo
- Inventário: sem um inventário completo de ativos, sistemas ficam sem verificação (veja gestão da superfície de ataque).
- Detectar: scanners, agentes e integrações com a nuvem fornecem os achados.
- Avaliar: reunir severidade, explorabilidade, acessibilidade e valor para o negócio.
- Priorizar: definir a ordem conforme o risco e atribuir prazos.
- Corrigir: patch, mudança de configuração ou medida compensatória.
- Reverificar e comprovar: escanear novamente e documentar o resultado.
Por que o CVSS sozinho não basta
A pontuação CVSS descreve a severidade técnica de uma vulnerabilidade – não o risco para a sua empresa. Grande parte das vulnerabilidades com CVSS alto nunca é explorada ou afeta sistemas que nem sequer estão acessíveis. Quem trabalha estritamente pelo CVSS aloca capacidade nos lugares errados.
Sinais melhores: EPSS, KEV e caminhos de ataque
- O EPSS (Exploit Prediction Scoring System, do FIRST) estima a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias.
- O catálogo KEV da agência americana CISA lista vulnerabilidades comprovadamente exploradas de forma ativa.
- Acessibilidade e caminhos de ataque mostram se uma vulnerabilidade pode ser alcançada de fora e se leva a sistemas críticos – é isso que o gerenciamento de exposição oferece.
Prazos e evidências
Os prazos de correção devem seguir o risco – por exemplo, poucos dias para vulnerabilidades ativamente exploradas e acessíveis em sistemas críticos. Para auditorias de ISO/IEC 27001 (Anexo A 8.8, „Gestão de vulnerabilidades técnicas“) e para a NIS2, o que conta é que processo, prazos e correção estejam documentados de forma rastreável.
O que importa em um software de gestão de vulnerabilidades
- Consolidação de todas as fontes sem duplicidades
- Priorização por explorabilidade e acessibilidade, não apenas pelo CVSS
- Tarefas com contexto para as equipes responsáveis
- Reverificação automática após a correção
- Relatórios com histórico para auditores e diretoria
01Plataforma
Produtos relacionados
02FAQ
Perguntas frequentes
O que é gestão de vulnerabilidades baseada em risco?
Uma abordagem que prioriza vulnerabilidades não só pela severidade técnica, mas pelo risco real: explorabilidade, acessibilidade e importância do sistema afetado.
Qual a diferença entre CVSS e EPSS?
O CVSS avalia a gravidade técnica de uma vulnerabilidade. O EPSS estima a probabilidade de ela ser explorada em breve. Juntos, oferecem uma visão melhor do que cada um isoladamente.
Com que frequência devo escanear?
Sistemas críticos e acessíveis pela internet, continuamente; sistemas internos, pelo menos semanalmente – e sempre após mudanças relevantes.
Know your exposure.
Control your risk.
3Contato
Converse com a gente sobre sua superfície de ataque, suas prioridades e a melhor forma de começar com o XMfortress.