O que é Cyber Risk Quantification (CRQ)?

Por que Cyber Risk Quantification é importante?

Escalas qualitativas ordenam riscos, mas não respondem às perguntas que chegam do CFO e do conselho: quanto podemos perder num ano ruim, este controle se paga, estamos dentro do apetite? Sem uma unidade comum, o risco cibernético não entra na mesma conversa que crédito, mercado ou risco operacional, e a alocação de orçamento acaba decidida por percepção.

O CRQ não elimina a incerteza — ele a torna explícita. Uma faixa larga (“entre R$ 1 milhão e R$ 15 milhões por evento”) é mais honesta do que um “impacto 5” e, muitas vezes, já basta para decidir entre duas alternativas.

Como funciona

A maioria das abordagens segue a mesma estrutura:

1. Cenário: quem age, contra qual ativo ou processo, com que efeito. CRQ quantifica cenários, não categorias genéricas como “ransomware”.
2. Frequência: quantos eventos de perda por ano. No modelo FAIR, ela resulta da frequência com que a ameaça age e da chance de essa ação vencer os controles.
3. Magnitude: perda por evento, separando perdas primárias (resposta, parada, substituição) e secundárias (multas, ações judiciais, clientes perdidos).
4. Simulação: com entradas em faixas — mínimo, mais provável e máximo —, uma simulação de Monte Carlo gera milhares de anos possíveis.
5. Resultados: perda anual esperada, curva de excedência de perda e percentis da cauda, como o valor superado em apenas 1 de cada 20 anos.

O passo a passo do FAIR, as seis formas de perda e a leitura da curva estão em Cyber Risk Quantification (CRQ): risco cibernético em reais.

Exemplo prático

Cenário (exemplo ilustrativo): atacante explora falha em uma API do portal de clientes e extrai a base de cadastro.

Com essas faixas, a simulação produz uma perda anual esperada em torno de R$ 0,65 milhão e cerca de 10% de probabilidade de perda superior a R$ 3 milhões no ano. Também mostra que em quase 90% dos anos simulados não ocorre evento algum — por isso a média, sozinha, engana: ela descreve um valor que quase nunca acontece.

Os dois números servem a decisões diferentes. A perda esperada alimenta a comparação de custo e benefício entre controles, como no ROSI. A cauda conversa com o apetite de risco e com o limite da apólice de seguro cibernético.

Exemplo ilustrativo, com distribuições simplificadas (frequência e perda modeladas por faixas de três pontos). Os resultados de uma análise real dependem do formato das distribuições, das correlações entre cenários e da qualidade das premissas, que precisam ser registradas com fonte e responsável.

Como calcular ou avaliar

Uma análise de CRQ é defensável quando atende a estes critérios:

• Cenário específico o bastante para que pessoas do negócio imaginem o mesmo evento.
• Entradas em faixas, cada uma com fonte — histórico de incidentes, custo de hora parada, contratos, apólice, dados setoriais — e um dono.
• Estimativas calibradas: especialistas treinados para dar intervalos com confiança declarada.
• Perda esperada e cauda reportadas juntas; nunca apenas a média.
• Análise de sensibilidade: quais entradas mais mudam o resultado. É onde vale buscar dado melhor.
• Cadência de revisão: incidente, controle novo ou mudança no negócio alteram as entradas.

Erro a evitar: converter diretamente CVSS, contagem de vulnerabilidades ou notas de score em reais. Essas medidas não têm relação financeira determinística; elas informam a chance de sucesso de um cenário, não a perda que ele gera.

Cyber Risk Quantification na gestão de cyber risk

CRQ não substitui a matriz nem os indicadores operacionais; ocupa outro lugar. A triagem de centenas de riscos continua qualitativa ou semiquantitativa, e a priorização semanal de correções continua apoiada em exposição e exploração. O CRQ entra nos poucos cenários em que há decisão de capital: o que financiar, quanto risco aceitar, quanto transferir.

Ele também qualifica o risco residual: quando o efeito de cada controle é atribuído à frequência ou à magnitude, fica claro quanto risco cada um sustenta e o que acontece com a perda esperada se ele falhar. Para entender onde termina o score e começa a quantificação, veja cyber risk scoring: quando uma nota ajuda e quando engana. A abordagem da Futture ao tema está descrita em Cyber Risk Quantification.

Relação com frameworks

• Open FAIR (The Open Group): padrões Risk Taxonomy (O-RT) e Risk Analysis (O-RA), que definem os fatores de frequência e magnitude e o método de análise.
• NIST IR 8286 e complementos: integração do risco de cibersegurança à gestão de riscos corporativos, incluindo registros de risco, priorização e o uso de análise de impacto no negócio.
• NIST CSF 2.0: GV.RM-06 pede um método padronizado para calcular, documentar, categorizar e priorizar riscos de cibersegurança — o CRQ é uma das formas de cumpri-lo.
• ISO/IEC 27005:2022: não impõe escala nem método; abordagens qualitativas e quantitativas são compatíveis com o processo descrito, desde que os critérios estejam definidos.