Os três números que explicam a categoria
O DBIR 2026 da Verizon mostra a exploração de vulnerabilidade passando à frente do roubo de credencial como forma mais comum de entrada. No mesmo relatório, o tempo mediano para corrigir subiu de 32 para 43 dias. E apenas 26% das falhas do catálogo de exploração conhecida da CISA estavam totalmente corrigidas.
Os três se leem juntos. A porta mais usada hoje é a falha exposta, a fila de correção ficou mais lenta que no ano passado, e três quartos do que se sabe estar sob ataque continua aberto. Nenhuma dessas coisas melhora com mais varredura.
As três etapas
Identificar tudo que responde do lado de fora, incluindo o que ninguém registrou. O ativo esquecido é a porta que ninguém tranca, e ele não aparece em inventário mantido à mão.
Validar se aquilo é de fato explorável. Exposição detectada e exposição usável são coisas diferentes, e a distância entre as duas costuma ser a maior fonte de trabalho inútil num programa de segurança.
Agir antes que a janela abra, o que na prática significa remover, isolar ou corrigir enquanto ainda não existe incidente.
A ordem importa. Pular a validação produz uma fila enorme de coisa que ninguém consegue explorar, e é assim que times perdem o ano inteiro.
O que a palavra "preemptivo" acrescenta
Gestão de exposição já dizia contínua. Preemptivo aperta o compromisso: o trabalho acontece antes de existir alerta, e não depois. Detecção e resposta operam sobre o que já entrou. A camada preemptiva opera sobre o que ainda está do lado de fora, e o sucesso dela se mede por incidente que não aconteceu.
O Gartner listou cibersegurança preemptiva entre as dez tendências estratégicas de tecnologia para 2026, no anúncio de 20 de outubro de 2025, com a projeção de que soluções preemptivas cheguem a metade do orçamento de segurança até 2030. É uma aposta grande em uma categoria que quase ninguém ainda sabe nomear.
Onde a palavra vira só rótulo
Um scanner que roda toda segunda-feira continua reativo. A granularidade dele é de sete dias, e nenhum adversário trabalha em janela semanal. Trocar o nome do relatório não muda o intervalo.
O teste que separa uma coisa da outra é fácil de fazer e desconfortável de responder: quanto tempo passa entre um ativo novo aparecer na internet e alguém dentro da empresa saber que ele existe? Se a resposta vem em dias, o programa é periódico com nome novo.
Um segundo teste, mais duro: de tudo que você detectou no último trimestre, quanto passou por alguma verificação de que era mesmo explorável? Programa periódico normalmente não responde essa.
PEM, CTEM e gestão de vulnerabilidades
Três nomes que aparecem juntos e não querem dizer a mesma coisa.
Gestão de vulnerabilidades trata a falha no ativo que já está no inventário. É a etapa mais antiga e continua necessária.
CTEM é o ciclo de cinco fases que organiza o trabalho: escopo, descoberta, priorização, validação e mobilização. É método, não cadência.
PEM é o compromisso sobre quando esse ciclo age. Dá para rodar CTEM em cadência trimestral, e nesse caso o ciclo existe sem nada de preemptivo dentro dele. A disciplina mais ampla que os dois instrumentam é o threat exposure management.
Preemptivo, proativo e a briga de nomes
Em português e em espanhol, quem busca hoje escreve proativa. Preemptiva é decalque do inglês e ainda quase não aparece nas buscas. As duas apontam para a mesma ideia de agir antes, e a segunda tende a vencer porque foi a que os analistas de mercado escolheram.
Há uma distinção que costuma se perder no meio disso. Proativo descreve postura. Preemptivo descreve o momento da ação em relação ao ataque. Uma empresa pode ter postura proativa e mesmo assim agir depois de todo mundo.
O que PEM não resolve
Nada disso cobre o que já entrou. Detecção e resposta continuam necessárias, porque a camada preemptiva reduz a probabilidade sem zerá-la.
E o que só é visível de dentro segue sendo trabalho de outra ferramenta. Permissão excessiva em conta de nuvem, estação sem atualização, uso indevido de credencial válida: nada disso responde numa porta na internet, então nenhuma plataforma externa vai encontrar.
Qualquer fornecedor que prometa as duas metades no mesmo produto está vendendo o nome da categoria, e não a categoria.
O que isso exige de quem opera
Inventário que se atualiza sozinho, porque o ativo esquecido é a porta que ninguém tranca. Dono definido para cada ativo, porque sem responsável nada é corrigido nem desligado. Validação do que é de fato explorável. E ordenação pelo que está sob ataque agora, em vez da nota teórica de gravidade.
O último item é o que a maioria dos programas erra. O CVSS mede dano potencial em condições ideais para o atacante, e não diz nada sobre a probabilidade de alguém tentar. Existem falhas 9.8 publicadas há anos sem um único exploit conhecido, e falhas de nota média em campanha ativa neste momento.