O que é ROSI (Return on Security Investment)?

Por que ROSI é importante?

Segurança não gera receita: evita perda. Isso dificulta defender orçamento com a lógica de ROI tradicional e convida a dois atalhos ruins — justificar investimento pelo medo ou apenas pela conformidade, sem comparar alternativas. O ROSI força uma pergunta mais útil: quanto risco este investimento reduz para cada real gasto, e como ele se compara às outras opções que disputam o mesmo orçamento?

Seu maior valor não está no número final, mas na disciplina que exige: descrever o cenário, estimar a perda esperada antes e depois do controle e contabilizar o custo total da solução.

Como funciona

A formulação difundida pela ENISA parte da perda anual esperada (ALE, de Annual Loss Expectancy):

• ALE = ARO × SLE — frequência anual esperada de ocorrências (ARO) multiplicada pela perda por ocorrência (SLE).
• Redução de perda = ALE − mALE — a diferença entre a perda esperada sem a solução e com ela (mALE, ALE modificada), o mesmo que ALE × taxa de mitigação.
• ROSI = (redução de perda − custo da solução) ÷ custo da solução.

O custo da solução deve ser anual e completo: licença, implantação amortizada, operação, horas da equipe e eventual impacto em produtividade. Um ROSI calculado só com o preço da licença é sistematicamente otimista.

Exemplo prático

Cenário (exemplo ilustrativo): uso de credenciais privilegiadas comprometidas para criptografar servidores. Perda anual esperada sem tratamento adicional: R$ 2,4 milhões. Duas alternativas disputam o orçamento:

Agora, o teste que importa. Se a taxa de mitigação da alternativa A for 30% em vez de 60%, a redução cai para R$ 720 mil e o ROSI para 60%. Ainda positivo, ainda melhor que B: a decisão é robusta à incerteza. Quando uma variação plausível em uma premissa inverte a ordem entre as alternativas, o ROSI não decidiu nada — e o esforço deve ir para melhorar a estimativa.

Como calcular ou avaliar

Antes de levar um ROSI ao comitê, vale checar suas limitações conhecidas:

• Estimativa. ARO e taxa de mitigação são estimativas, muitas vezes com pouca base. O próprio relatório da ENISA aponta a dificuldade de estimar como o principal limite do método. Apresente faixas e sensibilidade, não um percentual único.
• A média esconde a cauda. A ALE é uma média. Um controle que muda pouco a média, mas corta perdas extremas — backup imutável, por exemplo —, pode parecer ruim no ROSI e ser decisivo para o apetite.
• Controles não se somam. Dois controles que bloqueiam o mesmo caminho não reduzem a perda duas vezes. Calcule o ROSI da combinação, não de cada um isoladamente.
• Horizonte de tempo. Investimentos plurianuais pedem custos e reduções no mesmo horizonte, idealmente trazidos a valor presente.
• Obrigações regulatórias. Controles exigidos por norma não dependem de ROSI positivo. Para eles, a pergunta útil é qual forma de cumprir a exigência reduz mais risco pelo mesmo custo.

O relatório da ENISA também discute o modelo de Gordon e Loeb (2002), referência frequente sobre o nível ótimo de investimento em proteção da informação — com premissas que precisam ser lidas antes de aplicar qualquer conclusão a um caso concreto.

ROSI na gestão de cyber risk

O ROSI depende de uma boa quantificação de risco cibernético: sem perda esperada estimada por cenário, não há o que comparar. Com CRQ, ele pode ser calculado sobre as distribuições simuladas, o que permite ir além da média — por exemplo, comparar quanto cada alternativa reduz a perda no percentil 95.

Ele também serve para revisar o que já foi comprado. Ferramentas e controles existentes têm custo recorrente; quando sua contribuição para reduzir o risco residual é pequena, um ROSI negativo é argumento para realocar orçamento. A posição do ROSI no caminho entre exposição, quantificação e decisão de investimento está descrita em Return on Security Investment.

Relação com frameworks

• ENISA — Introduction to Return on Security Investment (2012): descreve ALE, mALE, taxa de mitigação, o cálculo do ROSI e seus limites.
• Open FAIR: oferece uma forma estruturada de estimar a frequência e a magnitude que alimentam a perda esperada antes e depois do controle.
• NIST CSF 2.0: GV.RR-03 pede recursos alocados de forma compatível com a estratégia de risco de cibersegurança; o ROSI é uma das formas de fundamentar essa alocação.

Nenhum framework obrigatório exige o cálculo de ROSI. Ele é uma ferramenta de decisão, não um requisito de conformidade.