O CIS RAM (Center for Internet Security Risk Assessment Method) transforma a pergunta vaga “quais controles implantar primeiro?” em uma decisão com critério explícito: qual risco a organização aceita assumir e qual precisa tratar. O método, mantido pelo Center for Internet Security (CIS) e co-criado com a HALOCK Security Labs, chegou à família CIS RAM v2.2 publicada em dezembro de 2025, alinhada ao CIS Controls v8.1. Ele interessa diretamente a equipes que usam os CIS Controls como espinha dorsal do programa de segurança e precisam defender prioridades de investimento diante de diretoria, auditores e, quando um incidente vira litígio, da Justiça. A ação prioritária é baixar o documento CIS RAM Core v2.2 e registrar, por escrito, a linha de risco aceitável da organização antes de montar qualquer roadmap de salvaguardas.
O que é o CIS RAM
O CIS RAM é um método de avaliação de risco criado para justificar, de forma defensável, a implantação dos CIS Controls. Ele nasceu na HALOCK Security Labs em parceria com o CIS: a primeira versão pública, a 1.0, saiu em 2018, e o método avançou para a 2.0 em outubro de 2021 e para a 2.1 em 2022, sempre com documentos, planilhas e exercícios gratuitos para qualquer organização usar. O autor principal, Chris Cronin, é sócio da HALOCK e preside o conselho que mantém o padrão por trás do método.
Esse padrão é o DoCRA (Duty of Care Risk Analysis), mantido pelo DoCRA Council, entidade sem fins lucrativos da qual o CIS é membro fundador. Segundo o texto do padrão, a análise de dever de cuidado existe para que as salvaguardas adotadas protejam terceiros do dano e imponham um fardo razoável à própria organização — o mesmo equilíbrio que juízes e reguladores aplicam ao julgar se a segurança de uma empresa era razoável no momento do incidente. A documentação da HALOCK resume a divisão de papéis: o DoCRA traz os princípios do que é razoável, e o CIS RAM aplica esses princípios diretamente aos CIS Controls, com planilhas, critérios e um processo repetível de avaliação.
Expectancy em vez de probabilidade
A mudança conceitual mais citada do método veio com a versão 2.1: o CIS RAM abandonou o termo “Likelihood” (probabilidade) e adotou “Expectancy” (expectativa). A definição formal, publicada pelo CIS, diz que expectativa é a estimativa de que, se um incidente ocorrer, ele ocorrerá pela ameaça previsível descrita na análise. A diferença importa na prática: probabilidade pergunta quando o incidente vai acontecer; expectativa assume que ele vai acontecer e pergunta por qual caminho previsível.
Para tornar essa estimativa menos subjetiva, o método compara a frequência das ameaças relatadas com a força das salvaguardas que as previnem. A heurística usa o Veris Community Database (VCDB), base pública de incidentes reais, como referência de quão comum é cada tipo de ameaça. O resultado é uma pontuação de risco que combina evidência empírica com a avaliação da confiabilidade do controle — bem distante do chute de matriz de probabilidade e impacto que ainda domina muitas planilhas corporativas.
A linha do risco aceitável
O coração do CIS RAM é a definição formal de apetite: a organização “traça uma linha” na sua definição de risco aceitável. Riscos abaixo da linha aderem ao due care — o dever de cuidado demonstrável em auditoria e tribunal; riscos acima exigem tratamento: mitigar, transferir ou aceitar com justificativa registrada. A linha transforma a discussão de comitê em decisão documentada, com critério conhecido por todas as partes.
O CIS critica explicitamente o hábito de priorizar controles por avaliação de lacunas (gap assessment). Para o método, auditorias e matrizes de maturidade implicam que toda lacuna precisa de remediação completa — o que leva à super-segurança e ao superinvestimento, gastando tempo e dinheiro contra eventos improváveis e, às vezes, atrapalhando a operação. O CIS RAM propõe o oposto: aplicar a quantidade certa de segurança, nem muita nem pouca, equilibrando proteção e capacidade de conduzir o negócio.
Essa lógica conversa com exigências regulatórias de gestão de risco, como as que conectam NIS2 e ISO 27001 — o guia da ENISA sobre o tema mostra como demonstrar esse processo ao regulador. Quem já mede risco de dependências com critérios formais, como no OpenSSF Scorecard, encontra no CIS RAM o mesmo raciocínio aplicado ao portfólio interno de controles.
Priorização prática com grupos de implantação
A família de documentos da edição atual segue a estrutura dos grupos de implantação dos CIS Controls: um núcleo enxuto (CIS RAM Core) e um guia com pasta de trabalho para cada grupo — IG1 para pequenas empresas com TI limitada, IG2 para organizações com equipes de segurança dedicadas e IG3 para estruturas com especialistas em segurança de rede e aplicação. Cada documento traz exemplos, modelos e exercícios, e a versão para o CIS Controls v8.1 substitui a geração anterior, que cobria as versões 8 e 7.1. Os workbooks automatizam boa parte da análise de risco, o que reduz o tempo entre a coleta de dados e a decisão.
Na prática, a priorização sai da tabela de lacunas e vira uma lista de riscos com expectativa, impacto e decisão contra a linha de apetite. A comparação abaixo resume a diferença de postura:
| Critério | Avaliação de lacunas | CIS RAM |
|---|---|---|
| Pergunta central | A salvaguarda existe? | O risco fica abaixo da linha aceitável? |
| Resultado | Lista de falhas a corrigir | Riscos classificados em aceitar ou tratar |
| Investimento | Tende ao máximo possível | Ajustado ao apetite e ao fardo |
| Defesa em auditoria | Depende do escopo | Baseada em due care documentado |
Checklist para a primeira avaliação
Um ciclo inicial realista cabe em uma ou duas sprints por grupo de implantação:
- Defina a linha de apetite. Escreva a definição de risco aceitável com patrocinador de negócio; sem essa linha, o resto da análise não decide nada.
- Liste ameaças previsíveis. Use o VCDB e o histórico interno para descrever ameaças concretas, não categorias genéricas.
- Pontue expectativa e impacto. Aplique as fórmulas do workbook do grupo correspondente; registre clientes, objetivos de negócio e terceiros afetados.
- Compare com a linha. Classifique cada risco em aceitável ou a tratar; para os aceitos, registre a justificativa e o responsável.
- Priorize o tratamento. Ordene os riscos acima da linha por expectativa e impacto, não por facilidade de remediação.
P1: concluir a definição de apetite e a primeira rodada para o grupo atual (IG1 ou IG2 na maioria das empresas), com as decisões de aceitação documentadas e assinadas pelo patrocinador. P2: estender a análise aos ativos de maior criticidade, integrar a pontuação à esteira de mudanças e revisar a linha a cada ciclo anual de gestão de risco — ou antes, se o portfólio de ameaças mudar.