Em 19 e 20 de março de 2018, as seguintes partes interessadas participaram de mesas-redondas de consulta: justiça criminal, cumprimento da lei, comunidade de defesa, funcionários de tecnologia da informação e representantes de entidades do setor público, proprietários de infraestrutura crítica, formuladores de políticas, equipes de resposta a emergências informáticas, funcionários de tecnologia da informação do setor privado (incluindo instituições financeiras), empresas de telecomunicações, o
setor bancário e parceiros internacionais.
Os pesquisadores do GCSCC visitaram Brasília novamente, um ano depois, para validar os resultados de 2018 e para atualizar adequadamente o projeto de relatório de análise da capacidade de segurança cibernética. A metodologia de coleta de dados, utilizada em março de 2019, foi semelhante à metodologia utilizada no ano anterior. As partes interessadas que participaram das entrevistas do grupo de discussão incluíram representantes do setor acadêmico, operadores da infraestrutura crítica nacional, fornecedores de serviços de telecomunicações e outras entidades do setor privado, ministérios do governo, o Poder Judiciário, encarregados do cumprimento da lei, a comunidade de defesa, o setor financeiro, equipes de resposta a emergências informáticas (CERTs), a mídia, o setor privado e a sociedade civil.
Tanto em 2018 quanto em 2019, as consultas foram realizadas utilizando o Modelo de Maturidade em Capacitação (CMM), do Centro, que estabelece cinco dimensões da capacidade de segurança cibernética:
- Política e estratégia de segurança cibernética
- Cultura cibernética e sociedade
- Educação, treinamento e competências em segurança cibernética
- Estruturas jurídicas e regulamentares
- Normas, organizações e tecnologias
Cada dimensão é composta por uma série de fatores que descrevem o significado de possuir capacidade de segurança cibernética. Cada fator apresenta uma série de aspectos, e para cada aspecto há indicadores que descrevem passos e ações que, uma vez observados, definem o estágio de maturidade desse aspecto. Os estágios de maturidade são cinco, abrangendo do estágio inicial ao estágio dinâmico. O estágio inicial pressupõe uma abordagem ad hoc da capacidade, enquanto o estágio dinâmico representa uma abordagem estratégica e a capacidade de adaptação dinâmica ou de mudança em resposta a considerações ambientais. Mais detalhes sobre as definições de cada estágio em todas as dimensões constam do documento do CMM.
