O mapa de calor com faixas de alto, médio e baixo risco organiza a conversa interna da equipe de segurança, mas desmorona na primeira reunião em que a diretoria pergunta quanto custa cada risco e qual orçamento ele justifica. O problema atinge toda organização que precisa disputar verba com o risco financeiro, jurídico e operacional no mesmo comitê. A ação prioritária é reconstruir o registro de risco em torno de cenários completos, exposição calculada e tolerância mensurável, seguindo a orientação revisada do NIST para a gestão de risco empresarial e a moldura da ISO/IEC 27005:2022.
O que mudou no guia
A referência do NIST para integrar risco cibernético à gestão de risco empresarial (ERM), o IR 8286, foi substituído integralmente por uma revisão publicada em dezembro de 2025, que aposenta o texto de outubro de 2020. A página oficial da revisão confirma a troca e mostra a série atualizada de documentos companheiros: um cobre identificação e análise de risco, outro trata da priorização com base nos objetivos do negócio, um terceiro explica como os registros de risco cibernético entram no portfólio corporativo e o quarto usa análise de impacto de negócio para quantificar as consequências de ativos de TI comprometidos.
O diagnóstico que motiva a revisão é direto. Segundo o relatório integral, a quantificação do risco cibernético em valores monetários e a agregação de riscos ainda são, em muitas organizações, processos ad hoc, executados com menos rigor do que a mensuração de outras categorias de risco dentro da mesma empresa. O efeito prático é que o risco cibernético chega fraco à mesa de decisão: a diretoria compara exposição financeira auditada com um quadrado vermelho num quadro.
Por que o mapa engana
A escala ordinal tem três defeitos operacionais. Ela não soma: dois riscos altos não produzem um total agregado comparável ao orçamento. Ela esconde magnitude: um incêndio no data center e uma tarde de instabilidade no e-mail podem receber o mesmo quadrado. E ela não conversa com apetite: não existe critério objetivo de aceitável em escala de cores. A própria revisão do NIST inclui, entre os exemplos do documento, uma medida quantitativa — a curva de perda excedente —, sinal de que a instituição trata a estimativa em faixas de perda como destino desejável, e não como luxo de consultoria.
A transição não exige aposentar a matriz de um dia para o outro. Exige que cada célula relevante seja reescrita como cenário completo: fonte da ameaça, evento, vulnerabilidade explorável, ativos afetados e impacto resultante. O documento do NIST ilustra o formato com um caso de obra que rompe cabo de fibra sem proteção em duto, interrompe a comunicação com o data center e derruba a disponibilidade dos sistemas financeiros da empresa. Um cenário assim cabe numa linha de registro e, ainda assim, qualquer comitê consegue avaliá-lo.
Campos mínimos do registro
A revisão cita o OMB Circular A-11 para definir o conteúdo típico de um registro de risco: descrição do risco, impacto caso ocorra, probabilidade de ocorrência, estratégias de mitigação, responsáveis e uma ordenação que identifique as prioridades mais altas. Sobre essa base, três campos separam um registro que informa decisões de um que apenas documenta: o cenário em linguagem de negócio, a exposição calculada e um indicador de risco que sinalize quando a tolerância declarada foi rompida.
| Campo | Pergunta que responde | Erro comum |
|---|---|---|
| Cenário | Qual evento, em qual ativo, com qual consequência? | Palavra genérica como phishing, sem ativo nem impacto |
| Impacto | Quanto vale a perda para o negócio? | Adjetivo como grave em vez de faixa estimada |
| Probabilidade | Com que frequência o cenário se materializa? | Escala numérica sem base em histórico ou referência |
| Mitigação | Que controle reduz qual componente do cenário? | Lista de ferramentas sem vínculo com o risco |
| Responsável | Quem decide e responde pelo risco? | Dono técnico sem autoridade sobre o orçamento |
| Ordenação | Por que este risco entra antes daquele? | Ordem de chegada ou ruído do último incidente |
Da exposição à priorização
O ciclo recomendado pelo NIST tem seis etapas: identificar o contexto, identificar os riscos, analisá-los, priorizá-los, planejar e executar a resposta e monitorar continuamente. A priorização é o ponto em que o registro deixa de ser arquivo morto: a exposição de cada risco é calculada como produto de probabilidade e impacto, e é essa exposição — não a cor do quadrado — que define a ordem de investimento.
Apetite e tolerância assumem o papel de régua. O próprio documento ilustra a diferença com o exemplo do e-mail corporativo: o apetite declara que o serviço deve estar disponível na maior parte de um período de 24 horas; a tolerância traduz a declaração em número, limitando a interrupção a cinco minutos no horário crítico. Se a sua organização já discutiu limites de apetite de risco cibernético, o registro é onde essa decisão vira critério objetivo de priorização.
Um aviso de método: precisão falsa é o outro extremo do adjetivo. Faixas amplas, calibradas com histórico de incidentes e com o valor dos ativos, sustentam melhor a discussão do que números decimais sem lastro. O objetivo não é vencer o debate estatístico, e sim permitir soma, comparação e decisão.
Plano de adoção em etapas
- P1 — reescrever as dez primeiras linhas do registro como cenários completos, com ativo e consequência de negócio.
- P1 — estimar a exposição das três maiores linhas em faixa monetária, ainda que ampla, e apresentá-la ao lado da matriz.
- P2 — definir um indicador de risco por tolerância declarada, com gatilho de escalonamento quando o limite for rompido.
- P2 — consolidar os registros de cada sistema em um registro corporativo por trimestre, com campos normalizados.
- P2 — levar os riscos de fornecedores críticos ao mesmo formato, conectando com o modelo de avaliação de fornecedores já aplicado à cadeia de suprimentos.
Para quem opera um SGSI, a ISO/IEC 27005:2022 fornece a moldura equivalente do lado das normas internacionais: o documento adapta os princípios gerais da ISO 31000 ao contexto específico da segurança da informação e cobre o ciclo completo — avaliação, tratamento, comunicação, monitoramento e revisão. Usar as duas referências em conjunto evita o erro clássico de manter um processo de risco para a certificação e outro, paralelo e incompatível, para a diretoria.