Matriz de risco cyber

O que a matriz mostra

A matriz posiciona cada ativo pelo cruzamento entre a probabilidade calculada e o impacto herdado do BIA. É a leitura de portfólio do Risco Cyber: em vez de percorrer ativo por ativo, você vê onde a massa de exposição está concentrada.

O tamanho é o da sua organização

A grade usa o mesmo tamanho configurado para o registro organizacional — 3×3, 4×4 ou 5×5. Isso não é detalhe de layout: quando um registro fixava a própria grade, um risco plotado num nível que a grade da organização não desenha simplesmente sumia da tela, sem estado vazio que admitisse a ausência.

Os rótulos dos eixos são intervalos, não pontos, e a última faixa é aberta em cima pelo mesmo motivo do registro organizacional: imprimir um número único ali afirmaria um teto que a configuração nunca declarou.

Estados que não são posição

Nem todo ativo ocupa uma célula. Um ativo sem nenhuma ameaça mapeada aparece como não calculado — e é mostrado como pior do que o piso, ordenando acima dele, para que examinar um ativo nunca seja o que piora a sua posição relativa.

Um ativo sem cadeia até um objeto avaliado no BIA não gera linha nenhuma, e por isso vive numa lista à parte na mesma tela, com o elo faltante nomeado. A contagem dessa lista fica junto da matriz de propósito: é a única forma de a tela não afirmar cobertura que não tem.

Quando ela é recalculada

A matriz é materializada por um job periódico, não recalculada a cada abertura de tela. A lista de ativos fora dela, ao contrário, é apurada no momento da leitura — porque a cadeia até o BIA muda quando alguém liga um processo a um produto, sem que nada avise a matriz.