Ativos

O que é um ativo aqui

Ativo é o que sustenta a operação e pode ser atacado: sistemas, bases de dados, serviços, infraestrutura. Ele é a unidade do Risco Cyber — cada ativo vira uma linha da matriz — e é também o ponto onde o risco cibernético encontra o resto da plataforma.

Exposição

Cada ativo declara se é exposto ou interno, e isso entra no cálculo como multiplicador: exposto vale 1,0 e interno vale 0,7. Não é um desconto arbitrário — é o reconhecimento de que a mesma vulnerabilidade alcançável da internet e alcançável só de dentro não representam o mesmo risco, sem no entanto tratar o ativo interno como seguro.

A cadeia até o impacto

O impacto de um ativo não é informado nele: é herdado. O ativo sustenta processos de negócio, os processos sustentam produtos e serviços, e é o produto que tem impacto medido no BIA. O ativo recebe o pior caso dessa cadeia.

A consequência prática é direta: um ativo que não está ligado a nenhum processo, ou cujo processo não chega a um produto avaliado, não tem impacto conhecido — e por isso não gera linha na matriz. Ele aparece na lista de ativos fora da matriz, com o elo que falta nomeado, para que a lacuna seja endereçável em vez de invisível.

Dono

O ativo pertence a uma área, e é isso que faz o risco cibernético aparecer na leitura por área. Ativo sem área continua sendo calculado, mas some da visão organizacional — o risco existe e ninguém é apontado por ele.