A partir de hoje a Solustic Networks tem um canal próprio para publicar o que aprende operando rede de provedor: novos projetos, novidades da operação e artigos técnicos aprofundados.

O que você vai encontrar

• Projetos — plataformas e ferramentas que desenvolvemos para NOC/SOC e ISPs.
• Novidades — lançamentos, capacidades novas e marcos da empresa.
• Artigos técnicos — engenharia de rede real: BGP, RPKI, CGNAT/BNG, GPON/MPLS, monitoração de fluxo, DNS/DNSSEC e segurança operacional.

Sem post patrocinado e sem enrolação. Conteúdo de quem opera rede de verdade, para quem opera rede de verdade.

Toda semana alguém apresenta um "relatório de pentest" que é, na verdade, a saída de um scanner de vulnerabilidades com a capa trocada. São coisas diferentes, e confundir as duas custa caro — em falsa sensação de segurança e em achado que não vira risco tratado.

O que um scanner faz (e o que não faz)

Um scanner compara banners, versões e assinaturas contra uma base de CVEs. É rápido, barato e útil como higiene contínua. Mas ele:

• não encadeia falhas — reporta cada item isolado, sem enxergar que a soma de três "médias" vira um caminho crítico;
• não valida exploração — marca como vulnerável o que parece vulnerável, gerando falso-positivo que consome o time;
• não entende contexto — trata igual um serviço exposto na borda e um atrás de três camadas de controle.

O resultado é uma planilha de CVSS sem priorização real. O atacante não ataca por CVSS; ataca pelo caminho mais curto até o objetivo.

O que muda num teste conduzido por gente

Um teste de intrusão parte de objetivos (o que um adversário quer alcançar) e trabalha por attack paths — cadeias de exploração que atravessam o ambiente. A régua que usamos:

• PTES para o processo (do escopo e ROE à pós-exploração e reporte);
• NIST SP 800-115 como referência técnica de execução;
• MITRE ATT&CK para mapear táticas e técnicas ao comportamento real de adversário.

Na prática, a diferença aparece aqui: um scanner aponta "credencial fraca" e "serviço desatualizado" como dois itens médios. O testador usa a credencial fraca para entrar, o serviço desatualizado para escalar privilégio, e a partir dali alcança um ativo que nenhuma das duas falhas, isoladas, indicava alcançável. Isso é o achado que importa — e nenhum scanner o produz.

Correlacionar com o inventário e a topologia

Achado sem contexto vira ruído. O valor de um teste está em correlacionar cada vulnerabilidade ao inventário, aos CVEs aplicáveis e à topologia real do alvo: onde o ativo está, o que ele alcança, e o que acontece se cair. Uma falha "crítica" em um host isolado pode ser menos urgente que uma "média" num ponto de pivô. Priorização honesta nasce dessa leitura.

Como isso vira redução de risco

Um bom relatório não entrega uma lista — entrega:

1. Attack paths reproduzíveis, com evidência de exploração;
2. Priorização por impacto real, não só por CVSS;
3. Recomendações acionáveis, mapeadas ao ambiente;
4. Reteste para confirmar que a correção fechou o caminho, não só o item.

É a diferença entre saber que existem vulnerabilidades e saber quais delas um adversário usaria primeiro — e ter fechado exatamente essas.

---

A SolusThreat é a divisão de segurança ofensiva da Solustic: pentest, red team, bug bounty e disclosure coordenado, com metodologia PTES, NIST SP 800-115 e MITRE ATT&CK.

Como credenciais de verificação organizacional, a SolusThreat mantém os programas CVP — Cyber Verification Program, da Anthropic e TAC — Trusted Access for Cyber, da OpenAI, que atestam maturidade no uso responsável de IA aplicada à segurança ofensiva.

Fale com a gente: comercial@solustic.network · https://solusthreat.io

SolusThreat não é afiliada à Anthropic nem à OpenAI. "Anthropic", "Claude", "OpenAI" e nomes correlatos são marcas de seus respectivos titulares.

Durante anos, cibersegurança foi tratada no mercado de provedores regionais como um assunto de "quando sobrar tempo". Essa janela fechou. O Brasil hoje tem três camadas normativas empilhadas — uma setorial, uma nacional e uma de governança — e todas convergem para o mesmo lugar: o provedor de internet é infraestrutura crítica e responde como tal.

Este artigo separa o que é sigla de o que é obrigação, e mostra o caminho prático de adequação.

As três siglas, sem confusão

Sigla	O que é	Base legal	Quem manda
R-Ciber	Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações. É a norma setorial, com obrigações diretas para prestadoras.	Resolução Anatel nº 740/2020, alterada pela nº 767/2024	Anatel (via GT-Ciber e SCO)
PNCiber	Política Nacional de Cibersegurança. Define princípios, objetivos e diretrizes nacionais — o guarda-chuva de política pública.	Decreto nº 11.856/2023	Presidência da República / GSI
CNCiber	Comitê Nacional de Cibersegurança. Órgão colegiado que acompanha e propõe evolução da política.	Mesmo Decreto nº 11.856/2023	GSI/PR, com Anatel, BCB, CGI.br, academia e setor privado

A leitura correta da hierarquia: a PNCiber dá a direção, o CNCiber conduz a evolução e o R-Ciber é o que te multa. Para o ISP, o R-Ciber é a régua imediata; PNCiber e CNCiber são o termômetro do que vem pela frente.

Nota sobre a ANCiber. O anteprojeto original da política previa uma Agência Nacional de Cibersegurança. O texto final de 2023 foi enxugado e a ANCiber ficou de fora, substituída pelo CNCiber. O tema não morreu — o Comitê mantém grupo de trabalho revisando o anteprojeto de lei da Agência. Existe um cenário plausível de segundo regulador sobre o setor. Quem se estruturar agora não é pego duas vezes.

O R-Ciber na prática: o que vale para quem

O R-Ciber nunca aplicou o mesmo peso para todos. O desenho é modulado por porte e por criticidade de infraestrutura.

Vale para todas as prestadoras, independentemente do porte

A Resolução 767/2024 incluiu o art. 2º-A no regulamento, deixando claro que todas as prestadoras de STIC, sem exceção de porte, estão sujeitas ao art. 8º: alterar a configuração padrão de autenticação dos equipamentos fornecidos em regime de comodato aos usuários.

Em português de operação: acabou a senha admin/admin na ONU/HGU do assinante.

Além disso, princípios e diretrizes gerais do regulamento (gestão de risco, boas práticas, cultura de segurança) valem para todos desde a origem.

O prazo que está no calendário: 27 de agosto de 2026

Via Despacho Decisório nº 5/2026/COQL/SCO, a Anatel detalhou como as Prestadoras de Pequeno Porte (PPPs) devem cumprir o art. 8º. Os pontos que importam:

• Credenciais não padronizadas e senha individual por equipamento — não serve "senha única do provedor" replicada na base inteira;
• PPPs têm até 27/08/2026 para adequar seus processos de aquisição de equipamentos;
• A base instalada também entra: equipamentos em operação e em estoque com configuração padrão devem ser gradualmente substituídos ou adequados;
• A responsabilidade recai sobre a operação do provedor, não sobre o fabricante.

Isso se soma ao Ato nº 2436/2023, que já estabeleceu critérios mínimos de segurança cibernética para homologação de CPEs — credenciais únicas e complexas por dispositivo e proteções contra acesso indevido. O recado combinado dos dois: comprar CPE já aderente é mais barato que remediar frota depois.

Obrigações ampliadas: PPP com infraestrutura crítica

Prestadoras não classificadas como PPP e PPPs detentoras de infraestrutura crítica — operadoras de cabo submarino internacional, SMP com rede própria e operadoras de atacado com PMS no transporte de dados em alta capacidade — respondem também pelo pacote pesado:

• Política de Segurança Cibernética formalizada, implementada e mantida (art. 7º e art. 14);
• Notificação de incidentes relevantes à Anatel e comunicação a prestadoras e usuários (art. 9º);
• Ciclos periódicos de avaliação de vulnerabilidades e plano de resposta a incidentes;
• Envio de informações sobre infraestruturas críticas à Agência.

A SCO já publicou rol nominal (Portaria nº 2899/2024), e a lista foi expandida. A tendência histórica dessas listas é uma só: crescer.

Dois pontos da 767/2024 que quase ninguém leu

(a) Notificação cruzada com a ANPD. Se o provedor comunicar um incidente à ANPD por dever da LGPD, a Anatel também precisa ser notificada. Um incidente, dois reguladores, prazos independentes. Quem não tem procedimento escrito descobre isso no pior dia possível.

(b) Cadeia de fornecedores, nuvem e data center. O art. 14, VIII-A passou a exigir que a política de segurança contemple os aspectos de cibersegurança na contratação de processamento, armazenamento e computação em nuvem: capacidade do fornecedor, compatibilidade das práticas dele com os princípios do R-Ciber, mapeamento de riscos e avaliação do grau de dependência.

Por que o seu fornecedor de TI entrou no escopo

O ponto (b) tem uma consequência que passa despercebida: ao exigir avaliação de cibersegurança na contratação de nuvem, data center e processamento — e a medição do grau de dependência —, o R-Ciber puxou para dentro do escopo de compliance do provedor toda a sua cadeia de fornecedores de TI.

Na prática, o NOC terceirizado, o provedor de data center, o integrador que administra seu BNG e o MSP que opera sua rede deixaram de ser "só fornecedor". Viraram extensão da sua superfície de risco regulatório. Se o parceiro não consegue demonstrar práticas compatíveis com o R-Ciber, o problema é seu — não dele.

A leitura estratégica: escolher parceiro de operação virou decisão de compliance, não só de custo.

O caminho prático de adequação

Adequação ao R-Ciber não é "comprar um produto". É um ciclo. O caminho que faz sentido para a maioria dos provedores:

1. Diagnóstico de gap — mapear o que o regulamento exige para o seu porte e classificação (PPP? infraestrutura crítica?) contra o que você tem hoje.
2. Política de Segurança Cibernética formalizada — o documento vivo que o art. 7º e o art. 14 cobram, não um PDF de gaveta.
3. Adequação de CPE — aquisição e provisionamento com credencial individual por equipamento, e plano de substituição/remediação da base instalada até 27/08/2026.
4. Detecção e resposta — capacidade de identificar, conter e notificar incidentes nos prazos da Anatel (e no cruzamento com a ANPD).
5. Avaliação periódica de vulnerabilidades — o ciclo que o art. 9º e o pacote ampliado exigem, com evidência para auditoria.

Onde a Solustic Networks entra: como MSSP, operamos NOC/SOC 24×7, engenharia de rede N3/N4 e a esteira de detecção e resposta que sustenta os itens 4 e 5 — com a vantagem de sermos um fornecedor que já demonstra práticas compatíveis com o R-Ciber, o que resolve o seu problema de escopo de cadeia.

A validação ofensiva fica com a SolusThreat, nossa divisão de segurança ofensiva: pentests periódicos com metodologia PTES, NIST SP 800-115 e MITRE ATT&CK, correlacionando vulnerabilidades ao inventário, aos CVEs e à topologia real da rede — não um scan genérico. É o que transforma "avaliação de vulnerabilidades" de item de checklist em redução de risco mensurável.

Como diferencial de verificação organizacional, a Solustic mantém os programas CVP (Cyber Verification Program, da Anthropic) e TAC (Trusted Access for Cyber, da OpenAI) — credenciais que atestam maturidade no uso responsável de IA aplicada à cibersegurança.

SolusThreat não é afiliada à Anthropic nem à OpenAI. "Anthropic", "Claude", "OpenAI" e nomes correlatos são marcas de seus respectivos titulares.

Fim de papo: a data está marcada

27 de agosto de 2026 é o próximo marco concreto — mas não é o fim. É o começo de um regime em que o provedor é tratado como infraestrutura crítica, com fiscalização e multa. Quem trata adequação como projeto contínuo sai na frente; quem trata como corrida de última hora paga caro nos dois sentidos: remediação e exposição.

Quer um diagnóstico de gap do seu ISP contra o R-Ciber? Fale com a gente: comercial@solustic.network · https://solustic.network

O SolusWatch é a plataforma de monitoração de rede que desenvolvemos para provedores de internet. A primeira instalação em produção já acompanha 93 alvos monitorados, com foco no que realmente importa para um NOC de ISP.

O que ele faz

• Probing de caminho: descoberta de PMTU, MTU e ajuste de TCP MSS por destino, para detectar black holes de fragmentação antes do cliente reclamar.
• Traceroute e ping por card: diagnóstico rápido direto do painel, sem sair para o terminal.
• Geolocalização dos alvos e visualização por região.
• Integração com Downdetector via Telegram: alertas de indisponibilidade de serviços de terceiros que impactam a experiência do assinante.
• Instalador para Debian: sobe em minutos em qualquer VPS.

Por que construímos

Dashboards genéricos não entendem a realidade de um ISP: PMTU quebrado atrás de PPPoE, assimetria de rota, dependência de CDNs de terceiros. O SolusWatch nasceu para cobrir esses pontos cegos com a linguagem de quem opera a borda.

Disponível para clientes de monitoração gerenciada da Solustic Networks.

Precisa de NOC/SOC 24×7, engenharia de rede N3/N4, adequação ao R-Ciber ou uma validação ofensiva com a SolusThreat? Fala direto com a gente pelos canais abaixo.

Atendemos ISPs em toda a América Latina e estamos em expansão para outros países. Para proposta comercial, o caminho mais rápido é o e-mail comercial ou o WhatsApp — respondemos em horário comercial.