White PaperRisco em Reais. "Alto, médio e baixo" não é resposta para um CFO
FAIR + Monte Carlo para quantificar exposição cibernética em moeda
Sem quantificação financeira, todo argumento de orçamento de segurança é baseado em medo, não em dados. O CRQ aplica o framework FAIR com simulação Monte Carlo de 10.000 iterações para entregar ALE em Reais por cenário, VaR 95% para o board e loop fechado com Patch Management que atualiza o ALE no mesmo dia da remediação.
O problema: toda organização precisa justificar investimentos em segurança para stakeholders que não entendem CVEs nem CVSS. Quando o CISO apresenta "temos 487 vulnerabilidades críticas", o CFO não tem como avaliar se o orçamento de segurança é proporcional ao risco real. Sem número em moeda, segurança nunca ganha o debate de budget de forma objetiva.
A abordagem: o EcoTrust CRQ aplica o framework FAIR (Factor Analysis of Information Risk) com simulação Monte Carlo de 10.000 iterações para calcular o ALE (Annual Loss Expectancy) em Reais por cenário de risco, baseado nos dados reais do ambiente coletados pelos outros módulos da plataforma, não em estimativas genéricas.
O resultado: ALE por cenário em Reais com intervalo de confiança, VaR 95% para relatório de comitê de auditoria, argumento de ROI para cada investimento de segurança proposto, e loop fechado com o Patch Management que atualiza o ALE automaticamente quando vulnerabilidades são remediadas.
A pergunta que o board faz e que o CISO raramente consegue responder.
"Quanto custa esse risco para o negócio?" É a pergunta mais simples e mais importante de qualquer reunião de risco. E é a que mais frequentemente fica sem resposta precisa.
O gap entre a linguagem técnica de segurança e a linguagem financeira do board não é um problema de comunicação, é um problema estrutural. O CISO trabalha com CVEs, CVSS, probabilidade de exploração e severidade técnica. O CFO trabalha com VaR, ALE, custo de capital e impacto no EBITDA. São métricas diferentes que descrevem realidades diferentes.
Enquanto essa tradução não acontece de forma rigorosa, o orçamento de segurança compete com outros investimentos sem os dados comparáveis que qualquer decisão de alocação de capital exige. O CISO argumenta com medo. O CFO decide com incerteza. O board aprova sem entender o risco que está aceitando.
O argumento que falta na maioria das reuniões de board: "Remediamos essas 12 vulnerabilidades no servidor de autenticação. A exposição ao cenário de comprometimento de credenciais caiu de R$ 8,4M para R$ 2,1M de perda esperada anual." Esse é o argumento que conecta trabalho técnico a resultado de negócio. O CRQ entrega os dados para fazê-lo.
Por que "alto, médio e baixo" não é risco, é conforto.
Classificações qualitativas de risco, alto, médio, baixo, vermelho, amarelo, verde, foram criadas para situações onde quantificação precisa é impossível ou impraticável. No risco cibernético, onde temos dados históricos de violações, custos documentados de incidentes e modelos estatísticos consolidados, a classificação qualitativa é uma escolha de conveniência, não uma necessidade.
O problema central da classificação qualitativa é que ela colapsa incertezas distintas em uma única categoria que não permite comparação nem cálculo. Dois riscos "altos" podem representar R$ 500K e R$ 50M de exposição potencial, a mesma categoria não informa qual priorizar, quanto investir para mitigar ou qual aceitar.
O teste da decisão real: se o CISO apresenta ao CFO "temos 3 riscos altos e 12 médios", o CFO não tem como decidir quanto orçamento aprovar. Se apresenta "a exposição ao cenário de ransomware é R$ 12,4M de ALE com VaR 95% de R$ 31M", o CFO tem dados para comparar com o custo de R$ 800K do controle proposto e calcular o ROI. A diferença não é cosmética, é a diferença entre uma conversa de negócio e uma declaração de estado de alerta.
Quantificação financeira não elimina incerteza, ela a torna explícita, mensurável e gerenciável. O ALE não é uma previsão de que o incidente vai custar exatamente aquele valor. É uma expectativa estatística de perda anual baseada em frequência estimada e impacto potencial, com intervalo de confiança que reflete a incerteza real nos dados.
O framework FAIR: a metodologia que o NIST reconhece.
FAIR (Factor Analysis of Information Risk) é o único framework de quantificação financeira de risco cibernético reconhecido pelo NIST CSF 2.0 e pelo ISACA. Decompõe o risco em fatores mensuráveis e produz um ALE em moeda com rigor estatístico.
A lógica do FAIR é direta: risco é a função de dois fatores, a frequência com que um evento de perda ocorre (LEF, Loss Event Frequency) e a magnitude da perda quando ocorre (LM, Loss Magnitude). O produto desses dois fatores, integrado sobre um período de um ano, é o ALE.
Modelo FAIR aplicado pelo CRQ: LEF (frequência de evento, baseada em EPSS, CISA KEV e Tempo Médio de Correção histórico) × LM (magnitude da perda em Reais, considerando resposta, notificação, multas, receita perdida e reputação) = ALE (perda esperada anual em Reais, com intervalo de confiança e VaR 95%). Exemplo de saída: ALE R$ 4,2M, VaR 95% R$ 11,8M, intervalo de R$ 820K a R$ 18,4M.
Os 5 componentes de perda modelados
Custo de IR, forensics, horas de time técnico e consultoria externa.
Custo de notificação a titulares, comunicação com ANPD e gestão de crise.
ANPD (até 2% do faturamento), BACEN, PCI DSS, com probabilidade calibrada por setor.
Indisponibilidade de sistemas críticos multiplicada por receita por hora em horário de pico.
Perda de clientes estimada por tipo de incidente, baseada em benchmarks de mercado setorizados (financeiro, saúde, varejo).
Como o CRQ opera: Monte Carlo sobre dados reais do ambiente.
O diferencial central do CRQ é que ele não usa benchmarks genéricos de mercado como base dos cálculos. Usa os dados reais coletados pelos outros módulos da plataforma, vulnerabilidades abertas do VulScan, criticidade de ativos do Inventory, cobertura de controles do CRS-CAASM e postura de fornecedores do CRS-TPRM.
Simulação Monte Carlo com 10.000 iterações por cenário. Cada iteração simula um ano de operação com variação aleatória nos parâmetros de frequência e magnitude dentro dos intervalos calibrados. O resultado não é um número único, é uma distribuição de probabilidade de perdas que fundamenta o VaR 95% e o intervalo de confiança reportado.
O loop que fecha com o Patch Management
CVE com EPSS alto em ativo crítico, sinalizada para enriquecimento de risco.
R$ de exposição anual para o cenário, com intervalo de confiança e VaR 95%.
Score combina risco técnico com ALE financeiro para ordenar tratativa.
Patch implantado e re-scan confirmam o fechamento real da CVE.
Redução de exposição documentada em Reais no mesmo dia da remediação.
Esse loop fecha o ciclo entre detecção e impacto financeiro de forma automática. Quando o Patch Management confirma por re-scan que uma CVE foi efetivamente remediada, o CRQ recalcula o ALE do cenário correspondente no mesmo dia. O CISO tem a redução de exposição em Reais disponível para o próximo relatório de board, sem coleta manual de dados.
Impacto no negócio: três conversas que o CRQ transforma.
Conversa 1: aprovação de orçamento
O CISO pede R$ 1,2M para implementar MFA em contas privilegiadas. Sem CRQ, o CFO avalia o pedido comparando com outros investimentos de negócio, sem dados para calibrar se faz sentido. Com CRQ, o CISO apresenta: "a exposição ao cenário de comprometimento de credenciais é R$ 8,4M de ALE. Implementar MFA reduz a frequência estimada de 0,4 para 0,05 eventos por ano, reduzindo o ALE para R$ 1,1M. O investimento de R$ 1,2M tem payback em menos de 2 meses de exposição reduzida." É uma decisão de capital, não uma decisão de segurança.
Conversa 2: relatório para o comitê de auditoria
Comitês de auditoria de empresas listadas precisam reportar riscos cibernéticos materiais com dados comparáveis a outros riscos financeiros. O VaR 95% do CRQ é a métrica que os comitês de auditoria entendem, a mesma estrutura usada para risco de mercado, risco de liquidez e risco operacional tradicional. O CISO passa a falar a língua do comitê, não pedir que o comitê aprenda a língua do CISO.
Conversa 3: tomada de decisão sobre aceitação de risco
Nem todo risco justifica o custo de remediação. Um cenário com ALE de R$ 80K e custo de mitigação de R$ 600K é um risco que pode ser aceito formalmente, com documentação de que a decisão foi tomada com dados, não por negligência. O CRQ transforma "aceitar risco" de uma decisão implícita em uma decisão explícita, documentada e defensável em auditoria.
Seguro cibernético com prêmio calibrado: operadoras de seguro cibernético usam modelos quantitativos para precificar apólices. Uma organização que apresenta seu perfil de risco com ALE por cenário, VaR 95% e histórico de remediação documentado está em posição radicalmente melhor para negociar condições de cobertura e prêmio do que uma que apresenta uma matriz qualitativa vermelho-amarelo-verde.
Compliance: a quantificação que os frameworks mais avançados pedem.
O CRQ implementa diretamente o GV.RM ao produzir ALE e VaR 95% em moeda, a forma de quantificação que o NIST reconhece explicitamente como prática avançada.
A metodologia FAIR implementada pelo CRQ atende ao modelo de avaliação quantitativa da ISO 27005, com documentação de parâmetros e metodologia auditável.
O ALE por cenário em Reais com VaR 95% é a métrica que atende ao modelo de reporte de risco operacional do BACEN, comparável a outras métricas financeiras de risco da instituição.
O VaR 95% e o ALE por cenário fornecem a base quantitativa para disclosure material de riscos cibernéticos, defensável pela metodologia FAIR reconhecida pelo NIST.
Conclusão: o número que transforma segurança em decisão de negócio.
Segurança sem quantificação financeira é sempre uma despesa defensável por medo, nunca um investimento justificável por retorno. O ALE em Reais é o que transforma "precisamos de mais segurança" em "esse investimento tem ROI de X em Y meses".
O EcoTrust CRQ não cria certeza onde não existe. Cria precisão quantificada sobre incerteza real, com intervalo de confiança, VaR 95% e base metodológica reconhecida pelo NIST. A diferença entre "esse risco é alto" e "a exposição a esse cenário é R$ 4,2M de ALE com VaR 95% de R$ 11,8M" não é linguagem, é a diferença entre uma declaração e uma análise.
E quando o loop fecha, quando o Patch Management confirma a remediação e o CRQ atualiza o ALE no mesmo dia, o CISO tem o dado mais importante de qualquer reunião de board: quanto risco o trabalho do time de segurança removeu, em Reais, esta semana.
Calcule a exposição financeira do seu ambiente agora.
Demonstração ao vivo