Apetite de risco é a quantidade e o tipo de risco que a organização aceita assumir para alcançar seus objetivos; tolerância é o limite mensurável desse aceite em cada categoria. Sem esses dois elementos por escrito, a equipe defensiva decide por opinião, o negócio aprova por pressão e ninguém sabe quando dizer não. A ação prioritária é converter intenções vagas em declarações com limites numéricos, donos nomeados e prazos de revisão, usando como referência o NIST SP 800-39, a ISO/IEC 27005 e o material de gestão de risco da ENISA.
Por que a declaração importa
Grande parte das organizações diz que quer risco baixo, mas nunca define o que isso significa em número. O resultado é previsível: o time de segurança pede orçamento com base em medo, a diretoria corta com base em custo e cada incidente reabre a mesma discussão. A declaração de apetite existe justamente para tirar essa negociação do campo da retórica.
O NIST Special Publication 800-39, publicado em março de 2011, continua sendo a referência que organiza a decisão em três níveis: organização, missão e sistema. Para o glossário do instituto, tolerância a risco é o nível de risco ou o grau de incerteza aceitável para uma organização — definição que transfere a decisão do analista para o dirigente que responde pelo objetivo do negócio. O documento trata a segurança como programa integrado de toda a organização, e não como uma tarefa isolada da área técnica, com avaliação, resposta e monitoramento contínuos distribuídos entre papéis claros.
Do apetite ao limite mensurável
A declaração de apetite é curta e qualitativa: define, em uma página, que tipos de risco a organização aceita, reduz ou recusa. Já a tolerância opera por categoria e precisa ser verificável. Uma frase como aceitamos apenas riscos baixos não sustenta decisão nenhuma; uma frase como nenhum sistema exposto à internet pode ficar sem autenticação multifator por mais de 30 dias sustenta auditoria, compra e exceção.
Um método funcional é trabalhar em três camadas. Primeiro, categorias de risco: disponibilidade, confidencialidade de dados pessoais, integridade financeira, reputação e conformidade regulatória. Segundo, métricas por categoria, sempre com fonte de dados que a equipe já coleta: tempo de recuperação observado, número de contas privilegiadas sem revisão, percentual de ativos críticos com backup testado, prazo médio de correção de falhas graves. Terceiro, gatilhos de escalonamento: o valor que, quando ultrapassado, obriga uma decisão formal registrada.
Os exemplos numéricos deste artigo são hipotéticos, criados para ilustrar o formato; cada organização deve calibrar os valores contra sua própria análise de impacto, e é exatamente essa calibração que conecta a declaração de apetite à análise de impacto de negócio já documentada no portal.
Tabela de limites por categoria
A tabela abaixo mostra o formato recomendado, com valores de exemplo que devem ser substituídos pelos limites reais acordados com a diretoria:
| Categoria | Métrica de tolerância | Limite (exemplo) | Gatilho de escalonamento |
|---|---|---|---|
| Disponibilidade | Tempo máximo de indisponibilidade de sistema crítico | 4 horas por trimestre | Uma única indisponibilidade acima de 2 horas |
| Confidencialidade | Contas privilegiadas sem revisão de acesso | Zero | Qualquer achado em auditoria trimestral |
| Integridade | Prazo médio de correção de falha grave | 14 dias | Média acima de 21 dias por dois meses |
| Conformidade | Tratativos de incidente com notificação em atraso | Zero | Um único caso |
Como redigir em quatro passos
O procedimento abaixo cabe em um ciclo de governança e produz um artefato aprovável em reunião de diretoria:
- Eleger as categorias com o negócio. Liste no máximo cinco categorias que a diretoria reconhece como próprias; categoria que ninguém quer patrocinar não entra.
- Atribuir dono e fonte de dados a cada métrica. Sem dono, o limite não é medido; sem fonte, o número é estimado e vira discussão em vez de decisão.
- Escrever a exceção antes do incidente. Defina quem aprova exceção, por quanto tempo ela vale e qual compensação o requerente precisa apresentar.
- Agendar a revisão. Toda tolerância recebe data de reavaliação; limite que nunca foi revisitado é decorativo.
Priorização e revisão contínua
Com limites definidos, a priorização deixa de ser corrida por gravidade de vulnerabilidade e passa a considerar distância até o gatilho. Ações P1 são as que fecham violações ativas de tolerância em ativos críticos: autenticação ausente, backup nunca restaurado, exceção vencida. Ações P2 são as que reduzem a tendência da métrica antes que ela estoure, como revisão periódica de acessos e automação do inventário de ativos.
A ISO/IEC 27005 fornece orientação formal de gestão de riscos para apoiar o sistema de gestão baseado na ISO/IEC 27001, e organiza o trabalho em ciclo: avaliação, tratamento, comunicação, monitoramento e revisão. A quarta edição, publicada em 25 de outubro de 2022, tem 62 páginas e alinha o raciocínio de risco à norma geral ISO 31000 — o que importa na prática é o ciclo: tolerância defina uma vez vira dívida se não houver monitoramento e revisão periódicos.
No plano europeu, a ENISA lançou em 2022 o Interoperable EU Risk Management Framework, que descreve passos para avaliar a interoperabilidade de estruturas e metodologias de gestão de risco, complementado em 2023 por uma caixa de ferramentas para ajudar Estados-membros e pequenas e médias empresas a desenvolver entendimento compartilhado de riscos. Para organizações que operam com parceiros na Europa, alinhar vocabulário com essa estrutura reduz atrito em auditorias de cadeia.
Por fim, conecte a revisão de limites à realidade operacional: cada post-mortem de incidentes deve responder se o limite prevaleceu, se foi ignorado ou se estava mal calibrado. Incidente que estoura tolerância sem disparar escalonamento aponta falha de processo, não de tecnologia — e essa é a evidência mais barata de coletar antes do próximo ciclo de orçamento.