O que é cyber risk (risco cibernético)?

Por que cyber risk é importante?

Quase todo processo crítico de uma empresa depende hoje de sistemas, dados e fornecedores de tecnologia. Isso faz do risco cibernético um risco de negócio: um ataque ao ERP é uma parada de faturamento; um vazamento é um problema jurídico, regulatório e comercial. Tratar o tema apenas como questão técnica produz duas distorções conhecidas — tudo parece urgente, ou a severidade técnica passa a ser usada como se fosse risco.

Definir cyber risk com precisão tem efeito prático: determina o que entra no registro de riscos, quem é o dono de cada item e com que régua a diretoria compara esse risco a riscos de crédito, operacionais ou de mercado.

Como funciona

Um risco cibernético só pode ser avaliado quando seus elementos estão identificados:

Nenhum desses elementos, sozinho, é o risco. Uma vulnerabilidade sem caminho de exploração existe, mas não está exposta; uma ameaça sem alvo alcançável é contexto; um incidente é um evento que já ocorreu. O risco é a combinação de probabilidade e consequência de um evento possível — e por isso a unidade de análise recomendada é o cenário de risco: quem age, contra o quê, por qual caminho e com que consequência.

Exemplo prático

Achado técnico: “vulnerabilidade crítica no servidor do portal de clientes”. Isso ainda não é um risco descrito. Reescrito como cenário: “grupo criminoso explora falha no portal de clientes exposto à internet, obtém acesso à base de cadastro e extrai dados pessoais de clientes”.

Agora é possível fazer perguntas que têm resposta. Ao jurídico: o evento exige a comunicação de incidente prevista no art. 48 da LGPD? Ao comercial: quais contratos têm cláusula de segurança que seria descumprida? À segurança: com os controles atuais, qual a chance de a exploração dar certo? O mesmo achado, em um servidor de testes isolado e sem dados reais, geraria um cenário de impacto muito menor — ou nenhum cenário relevante. A diferença não está na falha, está no contexto.

Como calcular ou avaliar

Há três famílias de método, com usos diferentes:

1. Qualitativo (alto, médio, baixo): rápido e barato, adequado para triagem de muitos riscos com pouca informação.
2. Semiquantitativo (matriz de probabilidade e impacto, como a 5×5): o mais comum, mas comprime grandezas contínuas em degraus e empata riscos muito diferentes — veja por que a matriz 5×5 não diz quanto o risco custa.
3. Quantitativo: frequência de eventos e magnitude da perda em faixas, combinadas por simulação. É o terreno do Cyber Risk Quantification, indicado quando há decisão de investimento, seguro ou apetite em jogo.

Qualquer que seja o método, a ISO/IEC 27001 exige critérios definidos antes da avaliação e resultados consistentes e comparáveis. Para acompanhar a postura no dia a dia, um índice interno ajuda — desde que se saiba o que há dentro dele, como discutido em cyber risk scoring.

Cyber risk na gestão de riscos corporativos

O risco cibernético raramente é uma categoria isolada: aparece como causa de riscos operacionais (parada de processo), de conformidade (LGPD, regulação setorial), de terceiros (fornecedor comprometido) e de reputação. A série NIST IR 8286 trata justamente dessa integração: registros de risco de cibersegurança mantidos por sistemas e unidades são consolidados e normalizados para que a alta administração os compare aos demais riscos da empresa.

Na operação, isso exige manter o vínculo entre o sinal técnico — vulnerabilidade, alerta, controle degradado — e o cenário de negócio que ele altera. O risco residual de cada cenário é o que se compara ao apetite de risco; a gestão de exposição é o que mantém esse número atualizado entre uma avaliação formal e a seguinte.

Relação com frameworks

• NIST CSF 2.0: a categoria Risk Assessment (ID.RA) pede que impactos e probabilidades de ameaças explorarem vulnerabilidades sejam identificados e registrados (ID.RA-04) e usados para entender o risco inerente e priorizar a resposta (ID.RA-05).
• NIST SP 800-30 Rev. 1: guia de condução de avaliações de risco, estruturado em ameaça, vulnerabilidade, probabilidade e impacto.
• ISO/IEC 27005:2022: orientação para gestão de riscos de segurança da informação, com identificação baseada em eventos ou em ativos e o conceito de cenário de risco. Veja ISO 27005: a análise de risco que a 27001 pede.
• Resolução CMN 4.893/2021, atualizada pela 5.274/2025: política de segurança cibernética e controles mínimos para instituições autorizadas pelo Banco Central. Veja o que mudou com a 5.274.
• LGPD: dever de adotar medidas de segurança (art. 46) e de comunicar incidentes que possam acarretar risco ou dano relevante aos titulares (art. 48).