Não é novidade que os ataques ao setor financeiro deixaram de obedecer à fronteira entre incidente de ciber ou caso de fraude. A pressão para repensar a postura de defesa está posta.
O Cyber Fusion Center é considerado a estrutura mais capaz de lidar com as fronteiras borradas entre ameaças e fraudes cibernéticas, porque a estrutura de um SOC é capaz de prover sinais de fraude em tempo quase real, complementando a análise da cadeia completa e conduzindo em conjunto planos de resposta.
No meu primeiro artigo sobre CFC me concentrei na parte conceitual, trazendo também uma visão sobre os benefícios, elementos essenciais e uma visão panorâmica sobre a implantação.
Agora, quero me concentrar no detalhamento dessa migração de SOC para CFC.
Na minha experiência com clientes da DataRunk, a transição de SOC para Cyber Fusion Center não foi uma evolução só a nível de organograma: houve mudança de modelo operacional, com impactos em pessoas, processos e tecnologias.
Aqui, vamos retomar a comparação entre a estrutura standard de um SOC e a estrutura de um CFC que conhecemos. Disso, vamos discutir sinais de prontidão essenciais para migrar um SOC para CFC, um roteiro de migração e, por fim, como contribuímos para construir esse modelo.
SOC e Cyber Fusion Center comparados
| Dimensão | SOC | Cyber Fusion Center |
| Missão primária | Detectar, investigar e responder a eventos de segurança | Reduzir risco operacional e financeiro por meio da convergência entre cibersegurança, fraude, identidade, ameaças e resposta |
| Unidade de análise | Alerta, IOC, ativo, usuário, vulnerabilidade | Entidade de risco: cliente, conta, dispositivo, sessão, beneficiário, credencial, ativo e campanha |
| Fontes de dados | SIEM, EDR/XDR, firewall, IAM, e-mail, cloud, logs de aplicações | Dados do SOC mais eventos transacionais, motores antifraude, CRM/KYC, device intelligence, comportamento, AML quando pertinente, inteligência externa e dados de negócio |
| Pergunta operacional | Houve comprometimento? | Houve impacto financeiro? |
| Resposta | Bloqueio de IOC, isolamento de endpoint, contenção de acesso | Resposta cibernética e financeira: bloqueio de transação, step-up authentication, retenção de saque/Pix, suspensão de beneficiário, reset de credenciais, bloqueio de sessão e investigação de rede |
| Governança | Normalmente liderada por Segurança/TI | Compartilhada entre CISO, Risco, Fraude, Operações, Tecnologia e, conforme o desenho, Compliance/PLD-FT |
| Métricas | MTTD, MTTR, cobertura de logs, taxa de falsos positivos | Métricas do SOC mais perdas evitadas, exposição financeira reduzida, fraude interrompida antes da liquidação, reincidência, qualidade de decisão e atrito legítimo |
O CFC não é um SOC com equipe de fraude sentada ao lado. O CFC aproveita a estrutura de inteligência de detecção de ameaças cibernéticas para correlacionar sinais técnicos, comportamentais e transacionais que indiquem uma ameaça de fraude, antes de que ela se materialize como perda financeira, evasão de controle ou incidente regulatório.
A convergência exige o compartilhamento de componentes que normalmente permanecem separados: enriquecimento, variáveis e features, modelos analíticos, motor de decisão, workflows, orquestração, resposta, investigação e inteligência.
Sinais de que cibersegurança e antifraude precisam trabalhar em conjunto
- Casos de fraude são identificados depois da transação, enquanto o SOC já possuía indicadores prévios de comprometimento, mas que não foram traduzidos em inteligência antifraude.
- Times de fraude e cyber investigam a mesma entidade em ferramentas e filas diferentes, sem correlação de evidências.
- Alertas de identidade, endpoint, e-mail, cloud e transação não se conectam em uma linha do tempo comum.
- Há escalonamentos manuais entre SOC, fraude, atendimento, operações de pagamentos e gestão de incidentes.
- A instituição mede produtividade de alertas, mas não mede risco financeiro evitado ou exposição por campanha.
- O playbook de ciber encerra no bloqueio técnico, sem acionar controles de negócio — como retenção de pagamento, revisão de beneficiário ou challenge de autenticação.
- A fraude utiliza dispositivos, IPs, contas, credenciais ou padrões de comportamento já observados pela Segurança, mas essas evidências não retroalimentam os modelos e regras antifraude.
Sinais de prontidão para migrar o SOC para Cyber Fusion Center
Um Cyber Fusion Center não substitui o SOC, e sim incorpora e amplia as capacidades do SOC ao conectá-las a fraude, identidade, dados de negócio e operações transacionais. O SOC continua sendo essencial para telemetria, detecção, resposta a incidentes e defesa técnica.
Três condições simultâneas definem o momento oportuno de migrar:
- Materialidade de risco: incidentes cibernéticos já têm potencial direto de gerar perdas financeiras, abuso de contas, indisponibilidade transacional ou impacto sobre clientes.
- Repetição operacional: os mesmos tipos de casos exigem colaboração recorrente entre cyber, fraude e operações para que a história de um incidente seja reconstruída.
- Base mínima de dados: a instituição consegue correlacionar identidades, eventos técnicos e ao menos parte dos eventos transacionais relevantes.
| Pilar de maturidade | Patamar para iniciar | Evidência esperada |
| Telemetria | Cobertura consistente dos ativos, identidades e canais críticos | Logs normalizados de IAM, endpoints, e-mail, cloud, aplicações críticas e canais digitais |
| Detecção | Casos de uso priorizados por risco e threat intel | Cobertura para ATO, phishing, credenciais expostas, comportamento anômalo, abuso de privilégio e fraude em canal digital |
| Resposta | Playbooks repetíveis e autoridade de contenção | Capacidade de bloquear identidade, sessão, dispositivo, IOC e acesso privilegiado com trilha de auditoria |
| Gestão de vulnerabilidades | Priorização baseada em exposição e criticidade de negócio | Exploits conhecidos correlacionados a ativos expostos, serviço crítico e risco transacional |
| Dados e correlação | Identificadores comuns entre ambientes | Capacidade de relacionar usuário, conta, device, sessão, IP, aplicação, transação e beneficiário |
| Governança | RACI e processo de decisão | Critérios de escalonamento, SLAs, responsáveis por bloqueio e processo de exceção |
| Métricas | Indicadores além de volume de alertas | MTTD/MTTR, precisão de detecção, taxa de automação, impacto e risco residual |
Roteiro de transição de SOC para Cyber Fusion Center
Para um SOC sustentar monitoramento de negócio, o caminho mais seguro que adotamos com nossos clientes foi começar por jornadas de fraude de alta materialidade — como fraude no Pix, alteração de favorecido, comprometimento de credenciais privilegiadas ou abuso de APIs — e expandir progressivamente.
1. Defina a missão e o escopo
A missão do CFC precisa ser formulada em termos de risco de negócio, não em termos de tecnologia. Aqui, a convergência entre cibersegurança e fraude deve ser orientada a risco de negócio: não basta concluir que uma conta foi comprometida; é preciso correlacionar comprometimento de identidade, alteração de dispositivo, comportamento de sessão, movimentação financeira e rede de contrapartes para decidir, em minutos, a resposta adequada.
Um exemplo:
“Detectar, investigar e interromper campanhas que combinem comprometimento digital, abuso de identidade e tentativa de monetização, reduzindo exposição financeira e impacto ao cliente nos canais críticos.”
Defina também quais jornadas entram primeiro no CFC. Priorize casos com alta convergência de sinais e resposta possível em tempo operacional. Nós costumamos incluir nesta lista:
- Account takeover em internet banking e mobile banking
- Fraude Pix e alteração de beneficiário
- Comprometimento de credenciais corporativas com risco de pagamento
- Fraude em onboarding digital e identidade sintética
- Phishing, engenharia social e malware voltados à captura de credenciais
- Abuso de APIs, bots e automação maliciosa em canais financeiros
Evite começar com escopo excessivamente amplo. O primeiro objetivo é provar redução mensurável de exposição em uma ou duas jornadas prioritárias.
2. Estabeleça governança de decisão
O CFC precisa de um sponsor executivo com autoridade para resolver conflitos entre segurança, negócio, fraude e operações. Na prática, a governança deve definir:
- Comitê executivo com CISO, liderança de Fraude, Risco Operacional, Tecnologia, Operações e Compliance/PLD-FT, de acordo com a estrutura da instituição.
- Dono operacional do CFC, responsável por priorização de casos de uso, métricas e evolução do modelo.
- RACI para decisões de bloqueio, challenge, retenção transacional, comunicação ao cliente, investigação e escalonamento regulatório.
- Critérios explícitos de severidade que combinem impacto técnico, exposição financeira, alcance de clientes e criticidade do processo.
- Regras de exceção para evitar que medidas de proteção causem indisponibilidade ou fricção desproporcional para clientes legítimos.
- Cadência de revisão de campanhas, perdas, falsos positivos, controles falhos e aprendizado operacional.
A decisão precisa sair da lógica do dono do alerta e migrar para responder qual é a equipe que tem a próxima ação mais eficaz para reduzir a exposição?
3. Integre funções, não apenas equipes
A estrutura inicial pode ser federada, sem transferir todas as pessoas para uma mesma área. O requisito é operar com uma fila, taxonomia e playbooks compartilhados para os casos priorizados.
| Função integrada | Responsabilidade no CFC |
| Detecção e engenharia de segurança | Desenvolver detecções, correlacionar telemetria, operar SIEM/XDR/SOAR e investigar vetores técnicos |
| Prevenção e investigação de fraude | Avaliar padrões transacionais, comportamento, rede de contas, dispositivos, beneficiários e perdas potenciais |
| Threat intelligence | Mapear TTPs, infraestrutura adversária, credenciais expostas, campanhas, grupos e indicadores reutilizáveis |
| IAM e identidade | Aplicar controles de autenticação, reset, revogação de sessão, MFA adaptativo e governança de acessos |
| Dados e analytics | Construir modelo de dados, features, grafos, regras, scoring e monitoramento de qualidade |
| Operações de negócio | Executar retenções, reversões possíveis, bloqueios, validações adicionais e comunicação operacional |
| Resposta a incidentes | Conter, erradicar, preservar evidências e conduzir investigação em incidentes de maior impacto |
| Risco e compliance | Avaliar risco residual, obrigações de reporte, governança de controles e evidências de auditoria |
O desenho operacional deve permitir que um analista de cyber consulte contexto de transação e que um analista de fraude consulte evidências de comprometimento, sem criar acesso indiscriminado a dados sensíveis. Isso exige controles de acesso por função, minimização de dados, mascaramento quando apropriado e logging de consultas.
4. Construa a camada de dados e tecnologia
A convergência entre segurança cibernética e antifraude falha quando se resume a dashboards. O CFC precisa de uma camada de contexto que correlacione entidades e preserve uma timeline investigativa.
A arquitetura deve contemplar:
- Camada de ingestão: SIEM/data lake, APIs e conectores para IAM, EDR/XDR, e-mail, WAF, CDN, cloud, aplicações, antifraude, transações, CRM/KYC, device fingerprint, atendimento e inteligência externa.
- Modelo de entidade comum: identidade, conta, cliente, dispositivo, sessão, IP, aplicação, ativo, evento, transação, beneficiário, merchant e caso.
- Resolução de identidade: vincular aliases, contas, credenciais, devices, sessões e dados comportamentais ao mesmo sujeito ou cluster de risco.
- Correlação temporal: relacionar eventos técnicos e financeiros em janelas de tempo relevantes para cada jornada.
- Motor de decisão: regras, scores, modelos analíticos e mecanismos de priorização que combinem confiança de detecção, valor exposto, velocidade de monetização e impacto potencial.
- Orquestração: SOAR e APIs para acionar contenção técnica e controles de negócio com aprovações, trilha de auditoria e rollback quando aplicável.
- Investigação e grafo: relações entre contas, dispositivos, IPs, credenciais, favorecidos, campanhas e indicadores para identificar mule networks e infraestrutura compartilhada.
- Observabilidade e qualidade: completude, latência, consistência e lineage dos dados. Uma correlação atrasada pode ser analiticamente correta e operacionalmente inútil.
A implementação deve separar três latências: tempo de evento, tempo de decisão e tempo de ação.
Em fraude transacional, reduzir o primeiro sem reduzir o terceiro não protege a instituição. Um alerta em segundos que demanda duas horas para acionar retenção financeira ainda pode chegar tarde.
5. Padronize processos e playbooks conjuntos
Os playbooks devem começar pela hipótese de campanha, não por uma ferramenta isolada.
Um playbook de ATO, por exemplo, pode seguir esta sequência:
- Detectar um sinal de comprometimento: phishing, credencial exposta, login anômalo, troca de device ou sessão suspeita.
- Enriquecer automaticamente com histórico de autenticação, device, geolocalização, reputação de IP, mudança de perfil, limite e transações recentes.
- Avaliar a exposição: saldo, limite disponível, transações pendentes, alteração de favorecido, tentativas de Pix e relacionamento com outras contas.
- Classificar o risco com base em evidências técnicas, comportamento, valor potencial e velocidade de monetização.
- Executar resposta proporcional: step-up MFA, revogação de sessão, bloqueio de dispositivo, reset de senha, retenção temporária de transação, revisão de beneficiário ou bloqueio de conta, conforme alçada.
- Registrar evidências, decisão, responsável, impacto e resultado para retroalimentar regras, modelos e investigação.
- Realizar pós-incidente orientado a controle: identificar falha de detecção, lacuna de dado, limitação de processo ou vetor que exige mitigação estrutural.
Os SLAs devem considerar a janela de monetização. Um caso de possível comprometimento de endpoint pode admitir investigação mais longa; uma transferência com alto risco de fraude precisa de decisão compatível com o ciclo de autorização e liquidação.
6. Desenvolva pessoas e rotinas de aprendizagem
Profissionais de cibersegurança nem sempre trazem da formação conhecimento do negócio. Aqui na DataRunk, os treinamentos em letramento sobre o negócio são contínuos com os times.
O ponto é que o CFC exige profissionais em “T”: profundidade em sua disciplina e fluência operacional nas disciplinas adjacentes. Não se trata de transformar analistas de SOC em especialistas completos de fraude — nem o contrário —, mas de criar vocabulário, taxonomia, critérios de decisão e investigação comuns.
Implante:
- Treinamentos cruzados em ATO, fraude transacional, IAM, investigação digital, redes de fraude, TTPs e resposta a incidentes.
- Simulações conjuntas de campanhas que cruzem phishing, comprometimento de conta e tentativa de movimentação financeira.
- Threat hunting orientado a monetização: “quais comprometimentos podem estar sendo preparados para fraude?”.
- Revisões semanais de casos relevantes e campanhas, com foco em evidência, decisões tomadas, perdas evitadas e oportunidades de automação.
- Biblioteca de padrões adversariais e playbooks versionados.
- Métricas de qualidade de decisão, não apenas produtividade individual.
Como a DataRunk estrutura o CFC em cima de um SOC
A DataRunk contribui com a estruturação do CFC em inúmeras instituições financeiras, em diferentes fases, por meio de consultorias, projetos de engenharia e automação, e operação continuada 24/7. Você pode entrar em qualquer um dos pontos dessa jornada, dependendo do seu nível de maturidade em um programa CFC.
DataRunk Strategy & Advisory
Aqui, você tem apoio na estruturação do seu cyber fusion center. Nós desenhamos junto com você a arquitetura dos fluxos transacionais da instituição do ponto de vista de segurança para diagnosticar sua maturidade e identificar gaps e oportunidades de monitoramento. O objetivo é estabelecer um roadmap evolutivo de 12 meses, envolvendo pessoas, processos, tecnologias, negócio e serviços. Veja mais sobre nossa consultoria em CFC.
Professional services
Os professional services são nosso pilar de desenvolvimento, para quem já estruturou os fundamentos e quer acelerar sua engenharia de detecção ou de automação. Nele, vamos aportar ao seu time todo o conhecimento em arquitetura, dados, analytics e segurança para transformar engenharia em detecções e automações bem tunadas, com taxonomia de casos única, severidade e risco. Veja mais sobre nossos Professional Services.
SecOps – Operação continuada 24/7
Neste serviços, vamos estabelecer a operação continuada 24/7, atuando com total transparência dentro do seu ambiente. Mais do que triagem e escalonamento, é aqui que estabeleceremos matriz de responsabilidades, playbooks de respostas automatizados, fluxos de escalonamento entre nosso time e seu time, curadoria de detecções, threat hunting e ritos de governança de acordo com KPIs, SLAs e métricas adequados para uma operação de proteção do negócio. Conheças nossos serviços continuados.
Vou adorar encontrar você para uma conversa sobre como o CFC seria no seu cenário. Agende uma conversa comigo.
