Registro de riscos cyber
A biblioteca de riscos cibernéticos, riscos autorais e a superfície exposta.
Biblioteca e risco autoral
O registro de riscos cyber parte de uma biblioteca de riscos conhecidos, que você adota para a sua organização. O que não estiver lá entra como risco autoral, seguindo o mesmo fluxo dos outros domínios: você relaciona controles — escolhendo na biblioteca ou aceitando sugestão da Ara — e o residual passa a derivar da maturidade desses controles.
Dos controles relacionados o risco herda, só para leitura, as vulnerabilidades e as técnicas de ataque associadas. Isso evita que você precise manter à mão o vínculo entre um risco de negócio e o catálogo técnico que o sustenta.
Superfície exposta
Há uma leitura curta e deliberadamente separada da matriz: o que é alcançável de fora, ordenado pelo custo de perder. Ela cruza a exposição do ativo com a criticidade técnica dele e marca quais desses ativos também carregam ameaça aberta.
A distinção muda a natureza da lista. Ativo exposto com ameaça aberta é fila de trabalho; ativo exposto sobre o qual ninguém reportou nada é inventário. Confundir os dois transforma uma lista acionável numa lista longa.
Esta tela usa a criticidade técnica do próprio ativo, e não a criticidade derivada do BIA — de propósito. A criticidade de negócio já é o eixo da matriz de risco, e repeti-la aqui daria ao mesmo ativo duas criticidades diferentes em duas telas. O que esta lista quer responder é o que um operador consegue tratar hoje.