Vulnerabilidades Técnicas Não Mapeadas: Framework #1534 Para Eliminar a Superfície de Ataque Oculta

TL;DR — Leia em 60 segundos

• Vulnerabilidades técnicas não mapeadas são falhas invisíveis aos inventários tradicionais, frequentemente localizadas em integrações, APIs esquecidas, ambientes legados, credenciais expostas e ativos fora do radar do time de segurança.
• Em 2026, com ambientes híbridos, multicloud e crescimento de IA generativa, a superfície de ataque oculta é o principal vetor explorado por ransomware e grupos de espionagem digital.
• O Framework #1534 propõe uma abordagem estruturada em quatro fases para identificar, classificar, priorizar e eliminar riscos invisíveis antes que sejam explorados.
• Empresas que adotam monitoramento contínuo e inteligência de ameaças reduzem em até 60 por cento o tempo médio de detecção de incidentes relacionados a ativos não inventariados.
• A combinação de diagnóstico externo contínuo, SOC 24x7 e testes ofensivos recorrentes é o único caminho sustentável para eliminar a superfície de ataque oculta.

O que é Vulnerabilidades Técnicas Não Mapeadas e por que é crítico em 2026

Vulnerabilidades técnicas não mapeadas são falhas de segurança existentes em ativos digitais que não estão formalmente registrados, monitorados ou incluídos nos processos tradicionais de gestão de risco da organização. Diferentemente das vulnerabilidades conhecidas e catalogadas em bases como CVE, essas fragilidades podem estar associadas a servidores esquecidos, ambientes de teste expostos à internet, APIs criadas para integrações temporárias, subdomínios abandonados, buckets de armazenamento mal configurados ou credenciais vazadas que continuam ativas. O problema central não é apenas a existência da vulnerabilidade, mas o fato de ela estar fora do radar.

Em 2026, o cenário se tornou ainda mais complexo devido à expansão acelerada de ambientes multicloud, adoção massiva de SaaS, crescimento de arquiteturas baseadas em microsserviços e uso disseminado de inteligência artificial integrada a fluxos críticos de negócio. Cada nova integração amplia a superfície de ataque. Segundo relatórios recentes de mercado, mais de 30 por cento dos incidentes graves registrados na América Latina envolveram ativos que não estavam devidamente inventariados. No Brasil, empresas de médio porte têm, em média, 25 por cento de seus ativos digitais fora dos controles formais de segurança.

A criticidade desse tema aumenta quando analisamos o tempo médio de permanência do invasor dentro do ambiente. Estudos internacionais indicam que o dwell time ainda ultrapassa 20 dias em muitas organizações. Em boa parte desses casos, o ponto inicial de acesso foi uma vulnerabilidade não mapeada, explorada silenciosamente por semanas antes da detecção. Isso inclui desde portas administrativas abertas em dispositivos de rede até ambientes de desenvolvimento acessíveis por senha fraca.

No contexto brasileiro, a digitalização acelerada de setores como saúde, educação, varejo e setor público ampliou significativamente a exposição. Muitas instituições priorizaram a continuidade operacional, mas não consolidaram processos robustos de inventário e governança de ativos. A Lei Geral de Proteção de Dados elevou o nível de responsabilidade, mas ainda há lacunas operacionais na identificação contínua de riscos invisíveis. Assim, vulnerabilidades técnicas não mapeadas deixaram de ser um problema técnico isolado e passaram a ser um risco estratégico e reputacional.

Como funciona na prática: Anatomia completa

A anatomia das vulnerabilidades técnicas não mapeadas envolve três elementos principais: ativos invisíveis, falhas não catalogadas e ausência de monitoramento contínuo. O primeiro elemento refere-se a qualquer recurso digital que não esteja formalmente registrado no inventário corporativo. Isso pode incluir máquinas virtuais criadas temporariamente para testes, integrações com fornecedores que não passaram por avaliação de risco, ou domínios adquiridos por áreas de marketing sem alinhamento com TI.

O segundo elemento está relacionado às falhas técnicas propriamente ditas. Muitas vezes não se trata de uma vulnerabilidade zero-day sofisticada, mas de erros básicos como configurações inadequadas de firewall, ausência de autenticação multifator, permissões excessivas em serviços de nuvem ou atualizações pendentes. O fato de esses ativos não estarem mapeados impede que scanners internos e processos de patch management atuem sobre eles.

O terceiro elemento é a falta de visibilidade contínua. Mesmo quando um ativo é identificado em determinado momento, a ausência de monitoramento ativo pode fazer com que novas exposições surjam sem detecção. Ambientes em nuvem são dinâmicos por natureza. Recursos podem ser criados e removidos em minutos. Se não houver integração entre inventário, monitoramento e inteligência de ameaças, a superfície de ataque cresce silenciosamente.

Vetores mais comuns de exposição oculta

Entre os vetores mais comuns estão subdomínios esquecidos, ambientes de homologação expostos, APIs documentadas publicamente sem autenticação robusta, painéis administrativos acessíveis externamente e repositórios de código contendo credenciais. No Brasil, é recorrente encontrar prefeituras e pequenas instituições financeiras com painéis administrativos indexados por mecanismos de busca.

Esses vetores são frequentemente descobertos por atacantes por meio de técnicas de reconnaissance automatizadas. Ferramentas públicas permitem mapear domínios associados a uma organização, identificar portas abertas e coletar metadados de certificados digitais. A mesma tecnologia usada por equipes de segurança ofensiva é explorada por grupos criminosos.

O agravante é que muitas empresas acreditam que firewalls tradicionais são suficientes para bloquear acessos indevidos. No entanto, se o ativo não está formalmente protegido ou sequer identificado como crítico, ele pode permanecer acessível. A falsa sensação de segurança é um dos fatores que perpetuam o problema.

O papel das integrações e da shadow IT

Shadow IT representa sistemas e aplicações utilizados sem aprovação formal da área de tecnologia. Em 2026, com a facilidade de contratar serviços SaaS com cartão corporativo, áreas de negócio passaram a adquirir ferramentas sem análise de risco. Essas integrações frequentemente exigem permissões amplas e troca de dados sensíveis.

Quando essas aplicações não são incluídas no inventário central, tornam-se pontos cegos. Um simples webhook mal configurado pode permitir vazamento de informações. APIs de integração mal protegidas são alvos comuns de exploração automatizada.

Além disso, integrações antigas raramente são revisadas. Uma parceria comercial encerrada pode deixar acessos ativos. Tokens de autenticação podem permanecer válidos por meses. Sem governança estruturada, essas brechas se acumulam e compõem a superfície de ataque oculta.

Passo a passo: Implementação profissional

Fase 1: Diagnóstico e mapeamento

A primeira fase do Framework #1534 consiste em identificar tudo que existe antes de tentar proteger. Isso envolve varredura externa contínua, mapeamento de domínios, identificação de IPs associados, análise de certificados digitais e levantamento de serviços expostos. Ferramentas de Attack Surface Management são essenciais nesse momento.

Paralelamente, deve-se realizar um inventário interno detalhado, incluindo ambientes de desenvolvimento, homologação e produção. É fundamental entrevistar áreas de negócio para identificar sistemas contratados fora do fluxo padrão de TI. Muitas descobertas relevantes surgem em conversas com marketing, financeiro e operações.

Entre as ações críticas dessa fase estão:

• Mapeamento completo de domínios e subdomínios.
• Identificação de ativos em nuvem vinculados ao CNPJ da empresa.
• Varredura de portas e serviços expostos externamente.
• Análise de credenciais vazadas em bases públicas.
• Levantamento de integrações com terceiros.

Fase 2: Planejamento e arquitetura

Após identificar a superfície real, a organização precisa classificar os ativos por criticidade e risco. Nem todo ativo exposto representa o mesmo impacto. Sistemas que processam dados pessoais ou financeiros devem ter prioridade máxima.

Nesta fase, define-se a arquitetura de proteção. Isso inclui segmentação de rede, aplicação de autenticação multifator, implementação de políticas de zero trust e definição de padrões de hardening. A arquitetura deve considerar tanto ambientes on-premises quanto nuvem.

Também é o momento de estabelecer políticas formais de criação e desativação de ativos. Cada novo recurso deve passar por registro automático no inventário central. Processos de change management precisam ser revisados para incluir validações de segurança.

Fase 3: Implementação e testes

A implementação envolve corrigir vulnerabilidades identificadas, aplicar patches, revisar permissões e eliminar ativos desnecessários. Ambientes obsoletos devem ser desativados. Integrações não utilizadas precisam ser encerradas formalmente.

Testes de intrusão são fundamentais para validar se a superfície de ataque realmente foi reduzida. Pentests externos simulam o comportamento de atacantes reais, tentando explorar exatamente os pontos invisíveis mapeados anteriormente.

Durante essa fase, recomenda-se:

• Aplicar autenticação multifator em todos os acessos administrativos.
• Revisar políticas de senha e gestão de identidade.
• Configurar monitoramento de logs centralizado.
• Executar testes de invasão recorrentes.

Fase 4: Monitoramento contínuo

A última fase transforma o projeto em processo permanente. A superfície de ataque muda diariamente. Novos ativos surgem, novas integrações são criadas e novas vulnerabilidades são descobertas.

Monitoramento contínuo envolve integração com SOC 24x7, análise de inteligência de ameaças e varreduras automatizadas frequentes. Alertas devem ser configurados para qualquer novo ativo detectado fora do padrão.

Relatórios periódicos para a alta gestão garantem visibilidade estratégica. Indicadores como tempo médio de detecção e número de ativos não inventariados devem ser acompanhados mensalmente.

Erros críticos e como evitá-los

Um erro comum é confiar exclusivamente em scanners internos. Eles só analisam o que já está no inventário. Se o ativo não estiver cadastrado, não será escaneado. A solução é complementar com monitoramento externo contínuo.

Outro erro recorrente é negligenciar ambientes de teste. Muitas empresas concentram esforços em produção e esquecem homologação. Atacantes não fazem distinção. Qualquer porta aberta é oportunidade.

A ausência de integração entre TI e áreas de negócio também é crítica. Shadow IT prospera quando não há comunicação estruturada. Governança colaborativa reduz esse risco.

Subestimar integrações antigas é outro problema. Tokens e chaves de API esquecidos podem permanecer ativos por anos. Revisões periódicas de acesso são indispensáveis.

Ignorar credenciais vazadas na dark web é falha grave. Monitoramento de vazamentos permite revogar acessos antes que sejam explorados.

Não implementar autenticação multifator em acessos privilegiados continua sendo um dos erros mais explorados por grupos de ransomware.

Falta de segmentação de rede facilita movimentação lateral após invasão inicial.

Ausência de monitoramento 24x7 aumenta o tempo de permanência do invasor.

Ferramentas e tecnologias essenciais

Ferramenta | Finalidade | Diferencial Attack Surface Management | Mapeamento externo contínuo | Identifica ativos fora do inventário SIEM | Correlação de logs | Visibilidade centralizada EDR | Detecção em endpoints | Resposta rápida a comportamentos suspeitos Scanner de Vulnerabilidades | Identificação de falhas conhecidas | Automatização de varreduras Threat Intelligence | Monitoramento de vazamentos | Antecipação de riscos IAM | Gestão de identidades | Controle de acessos privilegiados

Cada ferramenta deve ser integrada em uma arquitetura unificada. Attack Surface Management fornece visão externa, enquanto SIEM e EDR monitoram comportamento interno. IAM garante controle de acessos e threat intelligence amplia visibilidade sobre vazamentos e campanhas ativas.

Checklist completo de implementação

Prioridade alta:

1. Mapear todos os domínios.
2. Identificar ativos em nuvem.
3. Ativar MFA em acessos críticos.
4. Revisar permissões administrativas.
5. Executar varredura externa.
6. Monitorar credenciais vazadas.
7. Implementar SIEM.
8. Integrar logs ao SOC.
9. Desativar ativos obsoletos.
10. Revisar integrações com terceiros.

Prioridade média:

1. Estabelecer política de inventário automático.
2. Implementar segmentação de rede.
3. Revisar tokens de API.
4. Formalizar processo de change management.
5. Realizar pentest anual.
6. Criar indicadores executivos.

Prioridade contínua:

1. Monitorar novos ativos semanalmente.
2. Atualizar patches regularmente.
3. Treinar equipes.
4. Revisar acessos trimestralmente.
5. Avaliar fornecedores.
6. Atualizar plano de resposta a incidentes.

Casos reais e estudos de caso

Um hospital brasileiro sofreu ataque de ransomware iniciado por servidor de teste exposto. O ativo não estava no inventário oficial. O invasor explorou senha fraca e movimentou-se lateralmente até sistemas críticos. A interrupção durou cinco dias.

Uma fintech identificou credenciais vazadas em fórum clandestino. O monitoramento externo permitiu revogar acessos antes da exploração. O incidente não gerou impacto financeiro.

Uma indústria detectou subdomínio esquecido com painel administrativo acessível. Após mapeamento externo, desativou o ambiente e evitou possível exploração.

Como a Decripte Resolve Vulnerabilidades Técnicas Não Mapeadas: Serviços e Diferenciais

A Decripte atua com abordagem integrada que combina monitoramento contínuo de superfície de ataque, SOC 24x7 e inteligência de ameaças contextualizada ao cenário brasileiro. O Intelligence Center disponível em https://decripte.com.br/intelligence-center permite diagnóstico inicial gratuito, identificando exposições externas associadas ao domínio da empresa.

Nosso SOC 24x7 monitora eventos em tempo real, reduzindo drasticamente o tempo médio de detecção. A equipe especializada em resposta a incidentes atua de forma estruturada para conter ameaças antes que se tornem crises.

Executamos testes de intrusão regulares focados em identificar ativos não mapeados e integrações vulneráveis. Também apoiamos adequação à LGPD, garantindo que dados pessoais estejam protegidos conforme exigências legais.

Mini tutorial:

1. Acesse o Intelligence Center e realize diagnóstico gratuito.
2. Participe de reunião de alinhamento com nossos especialistas.
3. Ative o serviço adequado ao seu perfil de risco.

Perguntas frequentes (FAQ)

O que são vulnerabilidades técnicas não mapeadas?

São falhas existentes em ativos que não estão formalmente inventariados ou monitorados, tornando-se invisíveis aos controles tradicionais.

Por que são tão perigosas?

Porque não são monitoradas e podem ser exploradas por longos períodos sem detecção.

Como identificá-las?

Por meio de varreduras externas, inventário contínuo e inteligência de ameaças.

Apenas grandes empresas sofrem com isso?

Não. Pequenas e médias empresas frequentemente têm menos controle e maior exposição.

A nuvem reduz esse risco?

Não necessariamente. A nuvem pode ampliar a superfície se não houver governança adequada.

Pentest resolve o problema?

Ajuda, mas deve ser recorrente e combinado com monitoramento contínuo.

O que é Attack Surface Management?

É prática de monitoramento contínuo da superfície de ataque externa.

Shadow IT é sempre negativo?

Não, mas precisa de governança e visibilidade.

Quanto custa implementar o Framework #1534?

Depende do porte da empresa e complexidade do ambiente.

LGPD exige esse tipo de controle?

Exige proteção adequada de dados, o que inclui identificação de riscos ocultos.

Quanto tempo leva para implementar?

Pode variar de semanas a meses conforme maturidade da organização.

Como começar imediatamente?

Realizando diagnóstico gratuito no Intelligence Center da Decripte.

Comece agora — diagnóstico gratuito em 5 minutos

Acesse https://decripte.com.br/intelligence-center e descubra quais ativos da sua empresa estão expostos neste momento. O diagnóstico é automático e gratuito.

Conheça também nossos planos em https://decripte.com.br/planos e fortaleça sua postura de segurança com especialistas dedicados.

Para aprofundar seu conhecimento, visite nosso portal em https://decripte.com.br/artigos e acompanhe análises atualizadas sobre ameaças e estratégias de defesa.

Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK

A eliminação da superfície de ataque oculta exige mapeamento direto às Táticas, Técnicas e Procedimentos (TTPs) do framework MITRE ATT&CK. Um dos vetores mais negligenciados envolve T1190 – Exploit Public-Facing Application, especialmente em APIs shadow e serviços expostos inadvertidamente por equipes de desenvolvimento. Sistemas não inventariados frequentemente permanecem fora do escopo de varreduras automatizadas, permitindo exploração de RCE, SSRF e deserialização insegura. A correlação com T1068 – Exploitation for Privilege Escalation ocorre quando vulnerabilidades locais em workloads containerizados permitem escape para o host, ampliando a superfície inicialmente explorada.

Outro vetor recorrente é T1078 – Valid Accounts, especialmente credenciais órfãs associadas a contas de serviço e identidades não humanas. Em ambientes híbridos, credenciais expostas em pipelines CI/CD (T1552 – Unsecured Credentials) permitem acesso inicial silencioso. A movimentação lateral subsequente frequentemente utiliza T1021 – Remote Services, como RDP, SMB ou WinRM, explorando falta de segmentação adequada. A ausência de governança sobre contas privilegiadas amplia o impacto.

A persistência é frequentemente alcançada via T1098 – Account Manipulation, com criação de chaves SSH persistentes, tokens OAuth não rastreados ou inclusão em grupos privilegiados. Em ambientes cloud, a técnica T1098.003 – Additional Cloud Roles é particularmente crítica, permitindo expansão de privilégios sem alertas tradicionais de endpoint. Esse padrão evidencia a necessidade de telemetria integrada entre IAM, EDR e CSPM.

A evasão de defesa ocorre por meio de T1562 – Impair Defenses, especialmente desativação de agentes EDR em máquinas esquecidas ou mal gerenciadas. Workloads temporários em Kubernetes podem ser criados com políticas de segurança reduzidas (T1611 – Escape to Host), contornando controles tradicionais. Ambientes com baixa visibilidade em containers favorecem esse tipo de técnica.

Finalmente, a exfiltração frequentemente utiliza T1041 – Exfiltration Over C2 Channel ou T1567 – Exfiltration Over Web Service, explorando tráfego HTTPS legítimo. Aplicações SaaS não mapeadas podem servir como canais covertos. A ausência de DLP contextualizado e inspeção TLS aprofundada torna esses vetores praticamente invisíveis, consolidando a noção de superfície de ataque oculta.

Indicadores de Comprometimento e Detecção

A identificação precoce depende de IOCs comportamentais, não apenas assinaturas estáticas. Indicadores relevantes incluem criação anômala de contas de serviço, alteração de políticas IAM fora de janelas de mudança e execução de processos administrativos fora de horários padrão. Logs de autenticação devem ser correlacionados com geolocalização impossível (impossible travel) e padrões de acesso atípicos.

Regras SIEM eficazes devem correlacionar múltiplas fontes: autenticação + criação de token + elevação de privilégio em janela inferior a 10 minutos. Exemplo de lógica: detecção de AddMemberToGroup seguida por AssignRole em ambiente cloud, associado ao mesmo principal. A ausência de MFA em tokens recém-criados também deve disparar alertas críticos.

Em YARA, padrões podem identificar artefatos maliciosos associados a loaders e ferramentas de pós-exploração como Cobalt Strike. Regras devem buscar strings específicas combinadas com heurísticas de entropia elevada e seções PE anômalas. Entretanto, detecção moderna exige complementação com análise comportamental de memória (EDR) para evitar evasões baseadas em packing.

Monitoramento de rede deve incluir análise de beaconing periódico (intervalos regulares de 60–300 segundos) e DNS tunneling (comprimento excessivo de subdomínios, alta entropia). Integração entre NDR e logs de proxy permite identificar exfiltração via serviços legítimos como armazenamento em nuvem. A detecção deve priorizar anomalias persistentes em ativos não catalogados.

Roadmap de Implementação em 12 Meses

Fase 1: Diagnóstico (Meses 1-3)

O objetivo inicial é visibilidade total. Realizar discovery automatizado de ativos on-premise e cloud, incluindo APIs, containers e identidades. Ferramentas ASM (Attack Surface Management) devem ser combinadas com inventário interno para identificar discrepâncias.

Executar avaliação de maturidade baseada em MITRE ATT&CK coverage mapping, identificando lacunas de detecção por técnica. A medição de sucesso inclui: 95% dos ativos catalogados, baseline de identidades não humanas estabelecido e mapeamento inicial de integrações externas.

Conduzir pentests focados em ativos desconhecidos e red team direcionado a credenciais órfãs. Métrica-chave: redução de ativos desconhecidos em pelo menos 70% ao final da fase.

Fase 2: Fundação (Meses 4-6)

Implementar governança de identidades com PAM e rotação automática de credenciais. Aplicar princípio de menor privilégio em contas humanas e de serviço. Métrica: 100% das contas privilegiadas sob cofre seguro.

Estabelecer integração centralizada de logs (SIEM + SOAR) cobrindo cloud, endpoints e rede. Criar playbooks automatizados para revogação de credenciais comprometidas. Meta: reduzir MTTR para menos de 4 horas.

Formalizar processo de secure-by-design no SDLC, incluindo SAST/DAST e análise de dependências. Indicador de sucesso: 90% dos pipelines com scanning automatizado.

Fase 3: Operação (Meses 7-9)

Ativar monitoramento contínuo baseado em comportamento (UEBA). Ajustar regras para reduzir falsos positivos em 40% sem perda de cobertura.

Executar purple team exercises trimestrais alinhados ao MITRE ATT&CK para validar detecção real. Métrica: cobertura efetiva de pelo menos 80% das técnicas críticas relevantes ao setor.

Implementar segmentação de rede baseada em identidade e microsegmentação em workloads críticos. Indicador: redução comprovada de caminhos de movimentação lateral em testes controlados.

Fase 4: Otimização (Meses 10-12)

Aplicar inteligência de ameaças contextualizada ao setor, ajustando controles dinamicamente. Meta: atualização de regras críticas em até 72h após divulgação de nova ameaça relevante.

Automatizar resposta a incidentes de baixa complexidade via SOAR, reduzindo carga operacional do SOC em 30%.

Executar auditoria independente para validar redução da superfície de ataque oculta. Métrica final: inventário com acurácia superior a 98% e redução mensurável de exposições críticas externas.

Perguntas Aprofundadas de Executivos Seniores

1. Qual é o risco financeiro real associado à superfície de ataque oculta?

A superfície de ataque oculta representa risco financeiro exponencial porque combina probabilidade elevada de exploração com baixa capacidade de detecção. Ativos não mapeados não recebem patches, monitoramento ou controles adequados, tornando-se alvos ideais para atacantes automatizados. Estudos de incidentes demonstram que o custo médio de uma violação aumenta significativamente quando o tempo de detecção ultrapassa 200 dias. Ativos invisíveis ampliam esse tempo. Além de multas regulatórias e impacto reputacional, há custos indiretos como interrupção operacional, perda de propriedade intelectual e aumento de prêmios de seguro cibernético. Investimentos preventivos em visibilidade e governança reduzem drasticamente a exposição financeira agregada e melhoram previsibilidade orçamentária de riscos.

2. Como equilibrar agilidade digital com redução de risco?

A chave está na automação integrada ao ciclo de desenvolvimento. Segurança não deve ser etapa posterior, mas componente do pipeline DevSecOps. Controles automatizados como scanning de código, validação de infraestrutura como código e políticas de IAM predefinidas permitem inovação sem comprometer governança. Métricas claras — como tempo médio de correção de vulnerabilidades e cobertura de scanning — permitem acompanhar risco sem bloquear entrega. Organizações maduras tratam segurança como habilitador de negócio, reduzindo retrabalho e incidentes futuros.

3. Como medir efetivamente a redução da superfície de ataque?

Medição deve ser quantitativa e contínua. Indicadores incluem número de ativos desconhecidos identificados por trimestre, percentual de contas privilegiadas sob gestão PAM, tempo médio de aplicação de patches críticos e cobertura MITRE ATT&CK validada por testes de intrusão. Auditorias externas e simulações adversariais fornecem validação independente. Dashboards executivos devem traduzir métricas técnicas em indicadores de risco residual compreensíveis para o board.

4. Qual o papel do conselho de administração na supervisão desse risco?

O conselho deve exigir relatórios periódicos sobre exposição cibernética, alinhados a frameworks reconhecidos como NIST e ISO 27001. A supervisão inclui validação de orçamento adequado, avaliação de maturidade e acompanhamento de métricas de risco. Conselheiros devem questionar explicitamente lacunas de visibilidade e dependências críticas de terceiros. Governança ativa reduz responsabilidade fiduciária e demonstra diligência regulatória.

5. Como garantir sustentabilidade do programa após os 12 meses iniciais?

Sustentabilidade depende de cultura organizacional e integração contínua com estratégia corporativa. Programas eficazes incorporam revisão trimestral de riscos emergentes, atualização tecnológica contínua e treinamento recorrente. Incentivos de desempenho podem incluir metas de segurança para lideranças técnicas. Além disso, benchmarking anual contra pares do setor assegura evolução constante. A segurança deve ser tratada como processo contínuo de melhoria, não projeto com fim definido.