Registro de riscos e matriz

A matriz é sua, não nossa

A matriz de risco cruza probabilidade (frequência anual) com impacto (em dinheiro) e é configurável por organização. Você escolhe o tamanho — 3×3, 4×4 ou 5×5 — para alinhar à sua política de gestão de risco, e a escala das faixas, que pode ser linear (larguras iguais) ou exponencial (progressão geométrica).

Se você não definir os limites das faixas, eles são gerados: os de impacto a partir das faixas em dinheiro do BIA, os de probabilidade a partir de uma frequência padrão. Os três registros que usam matriz — organizacional, cyber e privacidade — leem o mesmo tamanho configurado, para não existirem duas réguas dentro da mesma organização.

Um nível é um intervalo

Os rótulos dos eixos mostram intervalos, não pontos. O primeiro nível é aberto embaixo ("menos de $ 50 mil"), o último é aberto em cima ("$ 5 milhões ou mais") e os do meio são fechados dos dois lados. O nível do topo não pode ser impresso como número único porque isso afirmaria um teto que a configuração nunca declarou.

Inerente e residual

O risco inerente — a exposição que existiria se não houvesse controle nenhum — é informado manualmente, com sugestão da plataforma. O residual varia conforme a origem do risco.

Para os riscos alimentados por um domínio (fornecedor, cyber e privacidade), o residual é lido no momento da consulta a partir das superfícies que já existem — o pior caso das avaliações de fornecedor concluídas, a matriz de risco cyber, a categoria RC07 para privacidade. Não há um pipeline paralelo recalculando: se houvesse, existiriam dois números para a mesma pergunta e o segundo envelheceria.

Para risco humano e para riscos organizacionais puros, o residual é manual. O risco humano é manual porque ainda não existe scoring humano na plataforma — a honestidade aqui é preferível a um número derivado de nada.

Tratamentos julgados por custo-benefício

Um tratamento pode ser um controle, uma estratégia de resiliência ou outro. Cada um registra o custo anual e a exposição em dinheiro que resta depois dele. A partir daí a plataforma deriva se ele é justificado: o tratamento se justifica quando o custo anual é menor ou igual à exposição que ele remove. Custo maior que o dano evitado é sinalizado como não justificado — o cálculo é do FAIR, e é derivado na leitura, não guardado.

Riscos fora da biblioteca

Riscos que não estão na biblioteca são inseridos manualmente e podem receber controles relacionados, escolhidos por você na biblioteca ou sugeridos pela Ara. A Ara sugere e você aceita — ela não vincula sozinha. Dos controles relacionados o risco herda, apenas para leitura, as vulnerabilidades e técnicas de ataque associadas, e o residual passa a derivar da maturidade desses controles. Quando não há controle relacionado — o caso de um desastre puro — ele volta a ser manual.