KRIs: indicadores-chave de risco para o CISO

Indicadores-chave de risco, ou KRIs, são métricas de tendência que avisam o CISO quando a exposição a uma ameaça está aumentando, antes que ela vire um incidente. Enquanto o relatório de segurança da semana passada conta o que já aconteceu, um bom conjunto de KRIs aponta onde o próximo problema tende a surgir, e isso dá tempo de agir.

O desafio raramente é falta de dados. É excesso. Planilhas fragmentadas, um painel de vulnerabilidades, outro de compliance, um terceiro de fornecedores, e nenhum deles conversando entre si. O resultado é um líder de segurança que descobre o risco pela notícia do incidente, não pelo indicador. Este artigo mostra como escolher, calibrar e conectar indicadores-chave de risco para que eles levem da exposição até a decisão.

O que são KRIs e como diferem de KPIs

Um KRI acompanha a probabilidade de um risco se materializar ou o tamanho da exposição a ele. Um KPI mede o desempenho de uma atividade já realizada. A diferença parece sutil, mas muda a forma de reagir.

Pense em uma analogia simples. O KPI é o velocímetro: mostra a que velocidade você está indo agora. O KRI é a luz de temperatura do motor: acende antes da pane e dá a chance de parar e evitar o dano. Os dois são úteis, mas só o segundo é um alerta antecipado.

Alguns contrastes práticos no contexto de segurança:

KPI: percentual de vulnerabilidades críticas corrigidas no mês. KRI: número de ativos críticos expostos sem correção há mais de 30 dias e com exploração ativa conhecida.
KPI: quantidade de treinamentos de conscientização concluídos. KRI: taxa de cliques em testes de phishing acima da linha de base histórica.
KPI: número de auditorias fechadas no trimestre. KRI: quantidade de controles com evidência vencida ou ausente.

A lógica é consistente. O KPI olha para trás e mede entrega. O KRI olha para a frente e mede a tendência de exposição. O CISO maduro usa os dois, mas é o KRI que permite agir antes do prejuízo.

A antecipação importa porque as violações demoram a ser resolvidas. Na edição 2025 do relatório Cost of a Data Breach, da IBM, o ciclo médio de vida de uma violação, do momento em que ela é identificada até a contenção, foi de 241 dias, 17 a menos que no ano anterior (IBM, 2025). Quanto mais cedo um indicador acende, menor tende a ser a janela em que o atacante opera sem ser visto.

Como definir limites e gatilhos de alerta

Um indicador-chave de risco sem limite definido é só um número no painel. O que transforma a métrica em decisão são três elementos: um limite claro, um gatilho de alerta e um dono responsável por agir quando o gatilho dispara.

Defina os limites combinando três referências:

Base histórica. Qual é o comportamento normal da métrica nos últimos seis a doze meses? O desvio dessa linha de base é o primeiro sinal.
Apetite e tolerância a risco. Quanto de exposição a liderança e o conselho aceitam conscientemente? O limite do KRI precisa refletir essa decisão de negócio, não só a sensibilidade técnica. O NIST CSF 2.0 pede que declarações de apetite e tolerância a risco sejam estabelecidas, comunicadas e mantidas (subcategoria GV.RM-02), e a tolerância é justamente a faixa a partir da qual alguém precisa decidir. Para levar o apetite a números, veja Apetite ao risco: da frase ao número.
Exigência regulatória. Prazos normativos definem tetos que não podem ser ultrapassados. Pela Resolução CD/ANPD nº 15/2024 (art. 6º), o controlador deve comunicar à ANPD um incidente de segurança que possa acarretar risco ou dano relevante aos titulares em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais. Um KRI ligado a esse prazo precisa disparar bem antes do vencimento.

Com as referências em mãos, estruture faixas de semáforo e associe cada uma a uma ação:

Verde: dentro do esperado. Nenhuma ação além do monitoramento de rotina.
Amarelo: tendência de piora. Notificar o dono do risco e abrir investigação.
Vermelho: limite crítico atingido. Acionar o plano de resposta e escalar para a liderança.

O gatilho não precisa ser apenas um valor absoluto. Muitas vezes a velocidade da mudança importa mais que o número. Em um exemplo hipotético, um salto de 40% em ativos expostos em uma semana merece alerta mesmo que o total ainda esteja na faixa amarela. Para apoiar essa calibragem, vale ligar os KRIs à priorização inicial das ameaças e acompanhar ao longo do tempo aquelas que a matriz de risco classificou como mais críticas.

Exemplos de indicadores-chave de risco: cibernético, compliance e fornecedores

Um bom conjunto inicial cobre três frentes que concentram boa parte do risco material: exposição técnica, conformidade e terceiros. Abaixo, exemplos práticos com a métrica e o motivo de acompanhá-la. Os limites devem ser calibrados com as referências da seção anterior.

Risco cibernético e exposição

Ativos críticos sem correção crítica há mais de 30 dias. Mede a janela de exposição. O volume de novas falhas pressiona esse indicador: segundo o NIST, as submissões de CVEs cresceram 263% entre 2020 e 2025, e o primeiro trimestre de 2026 ficou quase um terço acima do mesmo período de 2025 (NIST, abril de 2026). Priorizar a correção por risco, considerando por exemplo se a falha está no catálogo KEV da CISA, e não por ordem de chegada, é o que mantém esse KRI sob controle. O método está em 48 mil CVEs por ano: por onde começar.
Taxa de cliques em simulações de phishing. Sinaliza o fator humano. Um limite amarelo possível é a taxa ultrapassar a média móvel dos últimos trimestres.
Contas privilegiadas sem revisão de acesso no período. Indica acúmulo de privilégio e risco de movimentação lateral.

Compliance contínuo

Controles com evidência vencida ou ausente. Mede a saúde real do programa de conformidade entre auditorias, o que pesa em programas baseados em frameworks voluntários como ISO/IEC 27001, SOC 2 e NIST CSF.
Requisições de titulares atendidas fora do prazo. É risco regulatório direto. A LGPD fixa, por exemplo, até 15 dias para a declaração completa de confirmação de existência ou de acesso aos dados (art. 19, II), e remete outros prazos a regulamento (art. 18, § 5º). O limite vermelho deve disparar antes do vencimento.
Desvios de política em aberto além do prazo definido internamente. Mostra atrito entre o controle definido e a operação real.

Risco de terceiros

Fornecedores críticos sem reavaliação de risco no ciclo. A dependência de terceiros pesa cada vez mais nas violações. No Data Breach Investigations Report 2026, a 19ª edição do relatório da Verizon, as violações com envolvimento de um terceiro chegaram a 48% do total, alta de 60% sobre a edição anterior, que registrava 30% (Verizon, DBIR 2026).
Fornecedores com incidente de segurança reportado no período. Alerta imediato para reavaliação de contrato e acesso.
Concentração de serviço crítico em fornecedor único. Mede risco de continuidade e resiliência.

Para que os KRIs de terceiros tenham origem em dados consistentes, vale estruturar o processo com boas práticas de gestão de risco de fornecedores.

Executivo de risco analisando métricas de exposição e compliance em tela de dados

Como vincular KRIs a planos de resposta

Um indicador que acende sem acionar nenhuma resposta é ruído. O valor dos KRIs aparece quando cada limite crítico está amarrado a um plano documentado, com dono, passos e prazo. Essa é a diferença entre monitorar risco e gerenciar risco.

Para cada KRI vermelho, defina um fluxo mínimo:

Dono do risco. Quem recebe o alerta e responde pela decisão. Sem nome, o indicador não tem tração.
Playbook associado. O que fazer quando o gatilho dispara, em passos concretos: isolar o ativo, revogar acesso, acionar o fornecedor, notificar o jurídico.
Prazo de resposta. Quanto tempo o dono tem para agir antes de a situação escalar para a liderança.
Registro da decisão. O que foi decidido, por quem e com base em qual evidência. Essa rastreabilidade é o que sustenta a auditoria depois.

Esse encadeamento também sustenta a comunicação com a alta gestão. Quando o CISO precisa reportar risco cibernético ao board, um KRI em vermelho com histórico e plano de resposta associado comunica muito mais que um gráfico técnico isolado. A ponte entre indicador e decisão executiva é o que transforma um dado de segurança em pauta de negócio.

O ponto central é manter a decisão humana. O indicador prioriza e sinaliza, mas quem decide isolar um sistema ou acionar um contrato é o responsável, com o contexto de negócio na mão.

Monitoramento contínuo de KRIs com uma plataforma de GRC

Acompanhar KRIs em planilhas costuma funcionar até o primeiro incidente real. Dados desatualizados, cálculo manual e falta de ligação entre controles, ativos e fornecedores fazem o indicador chegar tarde. Uma plataforma de GRC que una essas fontes em uma visão conectada ataca três limitações da abordagem manual:

Dado único e atualizado. Em vez de reconciliar planilhas, os KRIs se alimentam de um inventário compartilhado de controles, ativos e fornecedores, com histórico de cada mudança.
Contexto de negócio. O risco técnico é ligado a processos, cenários e impacto, o que torna o KRI compreensível para o conselho.
Automação com decisão humana. Parte da coleta de dados e da priorização pode ser automatizada, mas a decisão permanece com o responsável, no modelo human-in-the-loop.

O Eagle, plataforma de Enterprise Risk Intelligence da Futture, foi desenhado para esse cenário. O módulo de riscos corporativos reúne taxonomia, apetite, tolerância e indicadores, com dashboards para o conselho, e se conecta aos módulos de GRC, exposição cibernética e terceiros. No módulo de GRC, um controle mapeado uma vez pode ser reaproveitado entre frameworks, com rastreabilidade até cada requisito, o que ajuda a manter coerentes os KRIs de compliance. A IA sugere prioridades, mas o usuário revisa, aprova, rejeita ou ajusta cada resultado relevante. Para uma visão mais ampla desse tipo de ferramenta, veja o guia sobre plataforma de GRC no Brasil e como escolher a ideal.

Próximo passo para o seu programa de KRIs

Escolha três indicadores, um de exposição cibernética, um de compliance e um de terceiros, e defina para cada um o limite, o gatilho de alerta e o dono responsável nas próximas duas semanas. Esse conjunto pequeno e bem calibrado ensina mais sobre o seu risco real do que um painel com dezenas de métricas sem decisão associada. A partir dele, amplie aos poucos até cobrir os riscos materiais do negócio e conecte tudo a uma visão única, em que cada número em vermelho já chega acompanhado do plano de resposta.

Para aprofundar: Matriz de Risco: Como Construir e Priorizar Ameaças; Apetite ao risco: da frase ao número; Como o CISO deve reportar risco cibernético ao board.

Perguntas frequentes

Qual a diferença entre KRI e KPI?

O KPI mede o desempenho de algo que já aconteceu, como o tempo médio de correção de vulnerabilidades no mês passado. O KRI antecipa o aumento da probabilidade de um risco se concretizar, como o crescimento no número de ativos sem correção crítica.

Quantos KRIs um CISO deve monitorar?

Não há número definido em norma. Comece com poucos, por exemplo três, um de exposição cibernética, um de compliance e um de terceiros, e amplie à medida que cada novo indicador ganhe limite, gatilho e dono. Muitos KRIs geram ruído e perdem capacidade de decisão. O objetivo é focar nos riscos materiais para o negócio, não montar um painel com dezenas de números sem dono.

Como definir o limite de alerta de um KRI?

Combine a referência histórica, o apetite e a tolerância a risco definidos pela liderança e os prazos regulatórios, como os três dias úteis da Resolução CD/ANPD nº 15/2024 para comunicar incidentes relevantes à ANPD. Defina faixas verde, amarela e vermelha e associe cada uma a uma ação específica, como notificar o dono do risco ou acionar o plano de resposta.

KRIs substituem a matriz de risco?

Não. A matriz de risco prioriza e classifica ameaças em um momento. Os KRIs acompanham essas ameaças ao longo do tempo e avisam quando a exposição muda. Os dois instrumentos trabalham juntos na gestão de risco.

KRIs: indicadores-chave de risco para o CISO monitorar