Gestão de riscos de segurança

O vocabulário

• Ativo: algo de valor (dados, um sistema, um serviço, a reputação).
• Ameaça: algo que pode causar dano (um atacante, um erro, uma falha).
• Vulnerabilidade: uma fraqueza que uma ameaça pode explorar.
• Risco: a chance e o impacto de uma ameaça explorar uma vulnerabilidade contra um ativo. Costuma ser classificado como probabilidade vezes impacto.
• Controle: algo que reduz a probabilidade ou o impacto.
• O risco inerente é antes dos controles; o risco residual é o que resta depois deles.

O ciclo

• Estabelecer o contexto: o que o negócio busca alcançar e o que ele consegue tolerar (apetite a risco).
• Identificar riscos: a partir de modelagem de ameaças, avaliações, incidentes, auditorias, fornecedores e mudanças.
• Analisar e avaliar: classificar probabilidade e impacto em uma escala consistente e priorizar.
• Tratar: reduzir (adicionar controles), aceitar (com um responsável e uma data), transferir (seguro, contrato) ou evitar (encerrar a atividade).
• Monitorar e revisar: os riscos mudam; revisite-os periodicamente e após eventos importantes.

Uma entrada do registro de riscos

- id: R-014
  title: Dados de clientes expostos por uma falha de autorização na API
  asset: customer-api
  threat: atacante externo com uma conta gratuita
  likelihood: 4          # 1 raro .. 5 quase certo
  impact: 5              # 1 pequeno .. 5 grave (regulatório, financeiro, confiança)
  inherent_score: 20
  controls: [authorization tests in CI, WAF anomaly rules]
  residual_score: 10
  treatment: reduce
  actions:
    - { what: "camada central de autorização", owner: platform-lead, due: 2027-01-31 }
  risk_owner: vp-engineering
  review_date: 2026-12-15

Fazendo bem feito

• Use uma única escala em toda a empresa para que as pontuações possam ser comparadas; explique o que cada nível significa em dinheiro, usuários ou indisponibilidade.
• Quantifique sempre que possível: faixas de perda são mais úteis que uma cor, mesmo que aproximadas.
• Torne a aceitação explícita: um risco aceito por um executivo identificado por um período definido é uma decisão; um que ninguém menciona é negligência.
• Mantenha o registro curto o bastante para agir e ligado ao trabalho: cada risco aponta para ações com responsáveis.
• Conecte-o à realidade: incidentes, achados de auditoria e threat intelligence devem mudar as pontuações.