Sentrio

Open FAIR: o risco cibernético como distribuição, não como classificação

FAIR (Factor Analysis of Information Risk) é um padrão internacional, mantido como Open FAIR pelo The Open Group, para expressar o risco cibernético em termos financeiros em vez de escalas subjetivas como Alto, Médio ou Baixo. Em vez de classificar um risco por intuição, ele o decompõe em dois fatores mensuráveis: com que frequência se espera que ocorra um evento de perda, e quanto custa quando ocorre. Sentrio usa o Open FAIR como a ontologia de seu modelo quantitativo, e mostra cada resultado como uma faixa com sua procedência.

Os termos que você precisa conhecer

LEF
Frequência de Eventos de Perda
Quantas vezes por ano se espera que ocorra um evento de perda. Deriva de com que frequência uma ameaça entra em contato com o ativo, da probabilidade de que ela aja, e da proporção dessas tentativas que superam os controles existentes. Um LEF de 0,5 significa que se espera o evento uma vez a cada dois anos.
TEF
Frequência de Eventos de Ameaça
Com que frequência uma comunidade de ameaça age contra o ativo em um ano, tenha êxito ou não. É a âncora observável: tentativas que se podem contar, antes de os controles decidirem o resultado.
Vuln
Vulnerabilidade
A probabilidade de que um evento de ameaça se torne um evento de perda: a proporção de tentativas que superam os controles vigentes. A Frequência de Eventos de Perda é a Frequência de Eventos de Ameaça multiplicada pela Vulnerabilidade.
LM
Magnitude da Perda
Quanto custa um evento de perda. A perda primária é o que a organização paga diretamente: resposta, substituição, interrupção. A perda secundária é o que vem depois: multas, litígios, clientes perdidos. Sentrio monetiza apenas o que a organização paga; o dano às pessoas é mostrado como um impacto declarado e não monetizado ao lado do número.

As fórmulas

Risco

Risco = Frequência de Eventos de Perda × Magnitude da Perda

Frequência de eventos de perda

LEF = Frequência de Eventos de Ameaça × Vulnerabilidade

Magnitude da perda

LM = Perda Primária + Perda Secundária

O resultado

Perda anual = uma distribuição: percentis, P(sem perda), curva de excedência

Por que uma distribuição e não um número

Um único valor esperado esconde o quanto a incerteza é ampla e com que frequência passa um ano sem perda alguma. O motor de Sentrio sorteia a frequência e a magnitude com suas faixas e produz a distribuição de perdas anuais: percentis, a probabilidade de um ano sem perdas, e a curva de excedência, antes de seguros ou transferências. Ao lado da faixa vai sua qualidade: o quanto cada insumo está sustentado e de onde ele vem.

A falta de dados amplia a estimativa; nunca esconde um número. Uma ameaça que atinge o mesmo setor na mesma região, contextualizada para a organização, é um insumo legítimo e chega ao conselho com sua faixa ampla e sua frase de procedência.

Como se lê um cenário

Números ilustrativos para mostrar a leitura, não dados de um cliente nem um resultado de Sentrio.

  1. 1

    Cenário: ransomware que criptografa os servidores de faturamento, para a população de servidores que emitem faturas.

  2. 2

    Frequência aceita (LEF): de 0,2 a 0,6 eventos por ano, ancorada em tentativas observadas e nos controles vigentes.

  3. 3

    Magnitude aceita (LM): de USD 300.000 a 1.200.000 por evento entre resposta, indisponibilidade e notificação.

  4. 4

    Perda anual: P50 ≈ USD 190.000 · P90 ≈ USD 640.000 · probabilidade de um ano sem perdas ≈ 67%

  5. 5

    Qualidade: a frequência é uma estimativa declarada, a magnitude está documentada, a evidência de controles é parcial. O gargalo é a frequência; completá-la estreita a faixa.

Essa é uma frase sobre a qual um conselho pode agir: uma faixa, o que a sustenta, e o que a estreitaria. “Alto” não é.

Os controles e o número

Os controles delimitam a distribuição uma vez que sua contribuição está evidenciada; nunca entregam um número preciso. Um controle que existe no inventário não recebe crédito por existir. Detectar nunca reduz o risco por si só; habilita a resposta. Sentrio não usa FAIR-CAM nem conteúdo derivado; a camada causal de controles é própria de Sentrio.

Perguntas frequentes

O que é a metodologia FAIR?

FAIR (Factor Analysis of Information Risk) é um padrão internacional, mantido como Open FAIR pelo The Open Group, que expressa o risco cibernético em termos financeiros. Decompõe cada cenário de risco na frequência esperada de eventos de perda e na magnitude da perda por evento, de modo que o resultado é rastreável até premissas explícitas, e não até uma opinião.

Qual é a diferença entre Frequência de Eventos de Ameaça e Frequência de Eventos de Perda?

A Frequência de Eventos de Ameaça conta com que frequência uma ameaça age contra o ativo, com êxito ou sem ele. A Frequência de Eventos de Perda conta com que frequência essa ação se torna uma perda. A diferença entre as duas é a Vulnerabilidade: a proporção de tentativas que os controles vigentes não conseguem deter.

Por que uma faixa em vez de um número único?

Um número único esconde o quanto ele é incerto e com que frequência nada acontece. Uma distribuição mostra o ano típico, o ano ruim, e a probabilidade de não haver perda alguma, e permite que um conselho compare um cenário com seu apetite a risco com honestidade.

Quais dados são necessários para começar?

Nenhum é necessário para criar um cenário. Os dados gerais da organização, os dados que pertencem a um processo ou a um ativo, e os dados próprios do cenário são carregados uma vez e herdados. Os dados que faltam ampliam a faixa; não bloqueiam o cálculo. A telemetria estreita a foto, mas nada espera por ela.

Por que substituir as escalas de Alto, Médio e Baixo?

As escalas qualitativas não podem ser somadas, comparadas nem orçadas. Dois riscos "Altos" podem diferir em uma ordem de magnitude na perda esperada, e uma escala ordinal não permite justificar um orçamento diante de um CFO. Expressar o risco em moeda, com sua faixa, o torna comparável com qualquer outra decisão financeira.

Veja o seu estado como um mapa antes do próximo ciclo de orçamento.

Trinta minutos com a equipe bastam para percorrer uma rota de ponta a ponta.

Fale com a equipe