O que é risco residual?

Por que risco residual é importante?

É o número sobre o qual a organização decide. O risco inerente diz de onde se parte; o residual diz onde se está — e é ele que a alta administração aceita, de forma explícita ou implícita. A ISO/IEC 27001 torna isso formal: os donos dos riscos aprovam o plano de tratamento e aceitam os riscos residuais de segurança da informação.

Um residual mal calculado é pior do que nenhum, porque dá a impressão de que uma decisão consciente foi tomada. O erro mais comum é considerar controles declarados — que existem na política — como se fossem controles eficazes.

Como funciona

O residual resulta de uma sequência de passos sobre o cenário:

1. Risco inerente
2. Controles existentes
3. Eficácia verificada
4. Risco residual
5. Comparação com o apetite
6. Aceite ou novo tratamento

Os controles atuam de formas diferentes. Preventivos reduzem a probabilidade (MFA, correção de vulnerabilidades, segmentação). Detectivos reduzem o tempo de permanência do atacante e, com ele, o impacto (monitoramento, EDR). Corretivos reduzem a magnitude da perda (backup com restauração testada, plano de resposta). A transferência — um seguro cibernético, por exemplo — reduz a perda financeira líquida, mas não altera a probabilidade nem o impacto operacional.

Exemplo prático

Cenário (exemplo ilustrativo): grupo de ransomware usa credenciais de acesso remoto comprometidas, criptografa o ERP de faturamento e interrompe a emissão de notas.

Controles considerados no residual: MFA no acesso remoto e EDR, que reduzem a frequência; segmentação do ambiente do ERP e backup imutável com restauração testada, que reduzem a duração da parada e, com ela, a perda por evento.

A leitura quantitativa mostra o que a matriz esconde: cerca de R$ 1,8 milhão por ano de perda esperada é “segurado” por esses quatro controles. Se o teste de restauração do backup falhar, a perda por evento volta para perto do inerente e o residual precisa ser recalculado — mesmo que nenhum documento tenha mudado.

Valores ilustrativos. Em uma análise real, frequência e perda entram como faixas com intervalo de confiança, e não como números únicos — veja Cyber Risk Quantification.

Como calcular ou avaliar

• Mesma régua do inerente. Use a mesma escala e os mesmos critérios; senão a diferença entre os dois não significa nada.
• Só controles com evidência. Controle documentado e nunca testado é hipótese, não redução de risco.
• Efeito no fator certo. Atribua cada controle à probabilidade ou ao impacto que ele afeta, em vez de aplicar um desconto genérico ao risco.
• Sem dupla contagem. Dois controles que bloqueiam o mesmo caminho de ataque não reduzem o risco duas vezes.
• Gatilhos de reavaliação. Registre data, premissas e responsável, e defina o que obriga a recalcular: incidente, mudança de arquitetura, controle degradado.
• Aceite formal. Quem aceitou, com base em qual critério e até quando. Aceite sem prazo de revisão vira permanente por omissão.

Risco residual na gestão de cyber risk

Em cyber risk, o residual se desgasta. Controles degradam — um agente de EDR desinstalado, uma exceção de MFA “temporária” que fica —, a exposição muda e ameaças novas aumentam a chance de sucesso. Por isso o residual precisa de monitoramento, não apenas de avaliação: indicadores de eficácia dos controles-chave de cada cenário funcionam como alarmes de que o residual registrado deixou de ser verdadeiro.

O residual também é a ponte com o apetite de risco: o apetite define o limite, o residual é a medida, e a diferença entre os dois decide entre aceite, tratamento adicional ou escalonamento. Quando o limite está expresso em valor, como discutido em apetite ao risco: da frase ao número, a comparação deixa de depender de interpretação.

Relação com frameworks

• ISO Guide 73:2009: vocabulário de gestão de riscos que define risco residual como o risco remanescente após o tratamento.
• ISO/IEC 27001:2022: a cláusula 6.1.3 exige plano de tratamento aprovado pelos donos dos riscos e o aceite dos riscos residuais; a cláusula 8.3 trata da implementação do plano.
• ISO/IEC 27005:2022: trata a aceitação como decisão tomada depois do tratamento. Veja ISO 27005: a análise de risco que a 27001 pede.
• NIST SP 800-39: descreve as respostas ao risco — aceitar, evitar, mitigar, compartilhar ou transferir — e o monitoramento contínuo do risco.
• NIST CSF 2.0: ID.RA-06 pede que as respostas ao risco sejam escolhidas, priorizadas, planejadas, acompanhadas e comunicadas.