Evidência técnica para subscrição de risco cyber
O segurado declarou que o controle existia. O sinistro descobriu que não.
Entre a autodeclaração da proposta e a perícia do sinistro existe uma lacuna que hoje ninguém mede. A Arandu testa ofensivamente cada segurado, em infraestrutura e em IA, e entrega a evidência por controle que sustenta preço, exigência de apólice e defesa de sinistro.
Questionário da propostaExtrato de evidência Arandu
| Controle | Situação |
|---|---|
| 01MFA em todo acesso privilegiado | SimVerificado |
| 02EDR ativo em todos os endpoints | SimVerificado |
| 03Chaves de API fora do código | SimExposta |
| 04Endpoint de scoring com autenticação | SimSem autenticação |
| 05Chatbot isolado de dado de cliente | SimVaza contexto |
| 06Backup imutável com restore testado | SimNão comprovado |
6 de 6 controles declarados. Assinado pelo próprio segurado.Três achados abertos condicionam a emissão. Cada um vem com remediação e prazo.
Seguro cibernético no Brasil · jan–abr 2026 sobre o mesmo período de 2025
Indenização paga
+253,1%
≈ R$ 30 mi em quatro meses
Prêmio arrecadado
+71,1%
R$ 134,6 mi em prêmios
O sinistro cresce num ritmo 3,5 vezes maior que o do prêmio. A subscrição não está acompanhando o risco real.
Fonte: CNseg, jan–abr 2026
O problema
Toda apólice cyber nasce de uma pergunta que o segurado responde sozinho.
- 01
Autodeclaração
O questionário de segurança registra o que o segurado declara. O que está exposto fica fora dele, e ninguém reverifica depois que a apólice é emitida.
- 02
Descompasso
O sinistro cresce mais rápido que o prêmio: +253% contra +71% nos quatro primeiros meses de 2026.
- 03
Sem verificação
Corretores e seguradoras não têm como validar tecnicamente o que o segurado informa. Vontade de checar existe; o que falta é o dado.
- 04
Ponto cego de IA
Chatbot, scoring e agente de IA já são superfície de ataque em produção. Nenhum questionário padrão do mercado pergunta sobre eles.
A Arandu
O dado que falta na sua subscrição, medido no ambiente real do segurado.
- 01
Evidência técnica na contratação e na renovação
Teste ofensivo real contra a infraestrutura, a aplicação e as APIs do segurado.
- 02
Monitoramento contínuo depois da emissão
Revalidação periódica durante toda a vigência. O risco que surge no nono mês aparece no nono mês.
- 03
Cobertura nativa de IA
Chatbots, scoring de crédito e agentes testados como superfície de ataque: injeção de prompt, vazamento por contexto, abuso de ferramenta.
- 04
Cada achado vem com remediação
Correção priorizada e com prazo. O sinistro cai quando a falha é fechada.
- 05
Selo Arandu Verified
Versionado e com validade. O segurado exibe, a seguradora confere pela URL e a subscrição anda mais rápido.
- 06
Modelos prontos para os segmentos da sua carteira
PSTIs, fintechs, healthtechs, startups investidas por VC, FIDCs e B2B SaaS, cada um com pesos próprios na nota.
Quatro etapas entre a proposta e o monitoramento da vigência.
-
Dia 0
01O segurado roda o diagnóstico Arandu na contratação ou na renovação da apólice.
-
48–72 h
02Evidência técnica por controle, convertida em nota de risco por segmento.
-
Pré-emissão
03A seguradora usa a nota para precificar, condicionar a emissão ou exigir correção antes de fechar.
-
Na vigência
04Revalidações periódicas alimentam o monitoramento do risco até o último dia da apólice.
Do campo
Sem credenciais, em poucos minutos, já encontramos chaves de API em produção expostas, endpoints sem autenticação e zero security headers, numa plataforma que já processava dados de clientes. É o tipo de falha que nenhum questionário de subscrição pergunta e que aparece primeiro como sinistro.
Para quem
Quatro mesas recebem a mesma evidência. Cada uma decide uma coisa diferente.
“O que o segurado declarou existe de fato?”
“Como levo à seguradora um risco que eu consigo defender?”
“Qual é o risco cyber do alvo, e ele mata o negócio?”
“Como eu provo que estou seguro?”
O que chega à mesa
Seis entregas, do resumo para o comitê ao arquivo para o time técnico.
- 01
Score card
Nota geral de A a F e subnotas por categoria: IA, infraestrutura, dados, nuvem e compliance.
PDF de 1 página + painel web
- 02
Sumário executivo
Três páginas para o comitê: achados impeditivos, risco quantificado e ações recomendadas.
PDF
- 03
Achados técnicos
Cada vulnerabilidade com evidência, severidade, explorabilidade e impacto no negócio.
Painel web + API JSON
- 04
Relatório de deal-breakers
O que deve parar ou pausar a emissão ou o investimento, com a evidência de cada item.
PDF de 2 páginas
- 05
Selo Arandu Verified
Selo digital com versão e data de validade, conferível por URL pública.
SVG + página de verificação
- 06
Guia de remediação
Lista de correções em ordem de prioridade, com esforço estimado.
Markdown + PDF
Relatórios em português, inglês, espanhol, alemão, francês e italiano.
Diferenciação
Scanner de reputação, plataforma de governança de IA ou Arandu: três respostas diferentes.
Arraste para ver a tabela inteira
| Critério | Scanners externosBitSight, SecurityScorecard | Governança de IACredo AI, OneTrust | AranduCOST + Agent SPM |
|---|---|---|---|
| Fonte do dado | Sinal externo público: DNS, certificados, vazamentos | Política declarada e inventário documental | Teste ofensivo executado no ambiente do segurado |
| Profundidade | Superfície visível de fora, sem exploração | Documental; o sistema em produção fica sem teste | Exploração real de infraestrutura, aplicação e API |
| Superfície de IA | Não cobre | Cobre no papel: conformidade e rastreio de modelo | Chatbot, scoring e agentes testados em produção |
| Risco operacional | Nota de reputação, sem plano de correção | Rastreia conformidade; a exposição fica de fora | Achado com remediação priorizada e prazo |
| Serve para subscrição | Indicativo; não sustenta exigência de apólice | Não trata de precificação nem de sinistro | Evidência por controle, nota por segmento e revalidação na vigência |
Perguntas
Perguntas de quem subscreve.
01Como a Arandu entra no processo de subscrição da minha seguradora?
A avaliação entra como etapa técnica antes da emissão. O segurado roda o diagnóstico e a seguradora recebe a nota por controle e o relatório de evidência no mesmo fluxo em que hoje recebe o questionário. A entrega sai em relatório, planilha estruturada ou API, sem mudança nos sistemas de subscrição.
02Isso substitui o questionário de segurança que já usamos?
Não. O questionário continua registrando a declaração do segurado e a responsabilidade contratual que vem com ela. A Arandu verifica tecnicamente o que foi declarado e cobre o que o formulário não pergunta, em especial superfície de IA, exposição de credencial e endpoints sem autenticação.
03Como funciona a parceria e o comissionamento com corretores?
O corretor indica o segurado à avaliação e é remunerado por contrato fechado com evidência Arandu. Para corretoras Tier-1 que padronizam a avaliação em toda a carteira existe modelo de volume, com preço por avaliação e prioridade de fila.
04Quais segmentos vocês cobrem hoje?
PSTIs, fintechs e instituições de pagamento, hospitais e healthtechs, fundos de VC e alvos de M&A, FIDCs e gestoras de crédito digital, B2B SaaS e empresas de serviços. Cada segmento tem modelo de risco e pesos próprios na nota.
05Como funciona o teste de segurança de IA (chatbot, scoring, agentes)?
O modelo em produção é tratado como superfície de ataque: injeção de prompt, vazamento de dado por contexto, contorno de política, manipulação de scoring de crédito e abuso de agente com acesso a ferramenta. O resultado entra como controle separado na nota, fora da conta de infraestrutura.
06Qual o prazo de entrega da avaliação?
48 a 72 horas para a avaliação padrão, a partir da liberação de escopo. Ambientes complexos, como várias subsidiárias, integração com core bancário ou agentes com acesso a dado sensível, levam de 5 a 10 dias úteis.