Visão geral do Risco Cyber
Risco cibernético por ativo: a fórmula, de onde vem cada entrada e por que nenhuma célula fica vazia.
A unidade é o ativo
O Risco Cyber mede exposição cibernética por ativo. Cada ativo vira uma linha numa matriz recalculada periodicamente. Ele complementa os outros domínios em vez de repetir: a maturidade de fornecedor vem do TPRM, o impacto vem do BIA e não é redefinido aqui, e o resultado consolidado sobe para o registro corporativo como o risco filho CR.
A fórmula
O risco de um ativo é a média entre vulnerabilidade e ameaça, multiplicada pela exposição e pelo impacto.
Entrada | De onde vem |
|---|---|
Vulnerabilidade | A autoavaliação da própria organização |
Ameaça | p95 da severidade das ameaças mapeadas no ativo |
Exposição | Multiplicador: exposto 1,0 · interno 0,7 |
Impacto | Do BIA, pela cadeia ativo → processo → produto |
Por que p95 e não média
A severidade das ameaças de um ativo é agregada pelo percentil 95, não pela média. A média dilui: cinco ameaças, quatro leves e uma crítica aberta, produziria um número tranquilo para um ativo que tem um problema grave. O p95 preserva a cauda, que é justamente onde mora o risco.
Zero não é um resultado válido
A base registra as ameaças conhecidas. Ausência de ameaça aberta conhecida não é ausência de ameaça — então um ativo cujas ameaças foram todas tratadas vai para um piso, nunca para zero e nunca para vazio. O piso é o menor degrau da escala e não é configurável, deliberadamente: um piso ajustável seria uma porta de volta para o zero, e viraria o caminho fácil de melhorar o número sem tratar a ameaça.
O piso vale só para ameaça. Impacto não tem piso, porque um piso de impacto afirmaria que o ativo prejudica o negócio em algum valor — e isso o modelo não sabe: o impacto vem do BIA, e um ativo fora dessa cadeia tem impacto que ninguém declarou.
Ativos que ficam fora da matriz
Um ativo sem cadeia até um objeto de BIA não gera linha na matriz — mas também não desaparece. Ele aparece numa lista própria, na mesma tela, com o elo que falta nomeado: sem processo, sem produto ou sem BIA. Trocar um número ausente por uma omissão silenciosa seria pior que o problema original, então essa lista não é opcional nem vai para uma aba secundária.