Os termos que você precisa conhecer
- Frequência de Eventos de Perda
- Quantas vezes por ano se espera que ocorra um evento de perda. Deriva de com que frequência uma ameaça entra em contato com o ativo, da probabilidade de que ela aja, e da proporção dessas tentativas que superam os controles existentes. Um LEF de 0,5 significa que se espera o evento uma vez a cada dois anos.
- Frequência de Eventos de Ameaça
- Com que frequência uma comunidade de ameaça age contra o ativo em um ano, tenha êxito ou não. É a âncora observável: tentativas que se podem contar, antes de os controles decidirem o resultado.
- Vulnerabilidade
- A probabilidade de que um evento de ameaça se torne um evento de perda: a proporção de tentativas que superam os controles vigentes. A Frequência de Eventos de Perda é a Frequência de Eventos de Ameaça multiplicada pela Vulnerabilidade.
- Magnitude da Perda
- Quanto custa um evento de perda. A perda primária é o que a organização paga diretamente: resposta, substituição, interrupção. A perda secundária é o que vem depois: multas, litígios, clientes perdidos. Sentrio monetiza apenas o que a organização paga; o dano às pessoas é mostrado como um impacto declarado e não monetizado ao lado do número.
As fórmulas
Risco
Risco = Frequência de Eventos de Perda × Magnitude da Perda
Frequência de eventos de perda
LEF = Frequência de Eventos de Ameaça × Vulnerabilidade
Magnitude da perda
LM = Perda Primária + Perda Secundária
O resultado
Perda anual = uma distribuição: percentis, P(sem perda), curva de excedência
Por que uma distribuição e não um número
Um único valor esperado esconde o quanto a incerteza é ampla e com que frequência passa um ano sem perda alguma. O motor de Sentrio sorteia a frequência e a magnitude com suas faixas e produz a distribuição de perdas anuais: percentis, a probabilidade de um ano sem perdas, e a curva de excedência, antes de seguros ou transferências. Ao lado da faixa vai sua qualidade: o quanto cada insumo está sustentado e de onde ele vem.
A falta de dados amplia a estimativa; nunca esconde um número. Uma ameaça que atinge o mesmo setor na mesma região, contextualizada para a organização, é um insumo legítimo e chega ao conselho com sua faixa ampla e sua frase de procedência.
Como se lê um cenário
Números ilustrativos para mostrar a leitura, não dados de um cliente nem um resultado de Sentrio.
- 1
Cenário: ransomware que criptografa os servidores de faturamento, para a população de servidores que emitem faturas.
- 2
Frequência aceita (LEF): de 0,2 a 0,6 eventos por ano, ancorada em tentativas observadas e nos controles vigentes.
- 3
Magnitude aceita (LM): de USD 300.000 a 1.200.000 por evento entre resposta, indisponibilidade e notificação.
- 4
Perda anual: P50 ≈ USD 190.000 · P90 ≈ USD 640.000 · probabilidade de um ano sem perdas ≈ 67%
- 5
Qualidade: a frequência é uma estimativa declarada, a magnitude está documentada, a evidência de controles é parcial. O gargalo é a frequência; completá-la estreita a faixa.
Essa é uma frase sobre a qual um conselho pode agir: uma faixa, o que a sustenta, e o que a estreitaria. “Alto” não é.
Os controles e o número
Os controles delimitam a distribuição uma vez que sua contribuição está evidenciada; nunca entregam um número preciso. Um controle que existe no inventário não recebe crédito por existir. Detectar nunca reduz o risco por si só; habilita a resposta. Sentrio não usa FAIR-CAM nem conteúdo derivado; a camada causal de controles é própria de Sentrio.
Perguntas frequentes
O que é a metodologia FAIR?
FAIR (Factor Analysis of Information Risk) é um padrão internacional, mantido como Open FAIR pelo The Open Group, que expressa o risco cibernético em termos financeiros. Decompõe cada cenário de risco na frequência esperada de eventos de perda e na magnitude da perda por evento, de modo que o resultado é rastreável até premissas explícitas, e não até uma opinião.
Qual é a diferença entre Frequência de Eventos de Ameaça e Frequência de Eventos de Perda?
A Frequência de Eventos de Ameaça conta com que frequência uma ameaça age contra o ativo, com êxito ou sem ele. A Frequência de Eventos de Perda conta com que frequência essa ação se torna uma perda. A diferença entre as duas é a Vulnerabilidade: a proporção de tentativas que os controles vigentes não conseguem deter.
Por que uma faixa em vez de um número único?
Um número único esconde o quanto ele é incerto e com que frequência nada acontece. Uma distribuição mostra o ano típico, o ano ruim, e a probabilidade de não haver perda alguma, e permite que um conselho compare um cenário com seu apetite a risco com honestidade.
Quais dados são necessários para começar?
Nenhum é necessário para criar um cenário. Os dados gerais da organização, os dados que pertencem a um processo ou a um ativo, e os dados próprios do cenário são carregados uma vez e herdados. Os dados que faltam ampliam a faixa; não bloqueiam o cálculo. A telemetria estreita a foto, mas nada espera por ela.
Por que substituir as escalas de Alto, Médio e Baixo?
As escalas qualitativas não podem ser somadas, comparadas nem orçadas. Dois riscos "Altos" podem diferir em uma ordem de magnitude na perda esperada, e uma escala ordinal não permite justificar um orçamento diante de um CFO. Expressar o risco em moeda, com sua faixa, o torna comparável com qualquer outra decisão financeira.