Capítulo 24 — Governança, riscos e compliance de segurança: métodos I

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Inerente e residual"]
  N1["24.2 Calcular o residual"]
  N2["Laboratório — Risco inerente e residual com a eficác"]
  N3["24.3 Interpretar os residuais"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Inerente e residual"]
  N1["24.2 Calcular o residual"]
  N2["Laboratório — Risco inerente e residual com a eficác"]
  N3["24.3 Interpretar os residuais"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX070"]

[24.1 Inerente e residual]
    |
    v
[24.2 Calcular o residual]
    |
    v
[Laboratório — Risco inerente e residual com a eficác]
    |
    v
[24.3 Interpretar os residuais]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) distinguir risco inerente de risco residual; (2) estimar o risco residual a partir da eficácia dos controles; (3) reconhecer riscos sem tratamento.

24.1 Inerente e residual

O risco inerente é o risco antes de considerar os controles; o risco residual é o que resta depois deles. Nadia aprende que essa distinção ajuda os conselhos a ver o que os controles alcançam e onde o risco continua acima do apetite. A ISO/IEC 27005:2022 descreve a análise e a avaliação de riscos dentro do sistema de gestão e espera que as organizações decidam o tratamento e aceitem formalmente os riscos residuais. Para a Ardwell, ela estima a perda esperada inerente de quatro riscos, em milhares, e a eficácia de cada controle como a fração da perda que ele remove. Expressar a eficácia como fração da perda removida é o que torna possível o cálculo residual da seção seguinte.

24.2 Calcular o residual

O laboratório multiplica a perda inerente por um menos a eficácia de cada controle, supondo que os controles atuem de forma independente. O ransomware cai de noventa mil para cerca de vinte e dois mil, uma redução de setenta e seis por cento, graças aos backups e à detecção nos endpoints. A interrupção do faturamento cai à metade, de sessenta para trinta mil, graças ao failover. O vazamento de cartões cai de setenta e cinco para cerca de onze mil, uma redução de oitenta e seis por cento, graças à tokenização e à segmentação. O mau uso por fornecedores fica em oitenta mil, porque nenhum controle o trata, e passa a ser o maior risco residual, embora sua perda inerente fosse menor que a do ransomware.

Laboratório — Risco inerente e residual com a eficácia dos controles

"""Inherent vs residual risk with control effectiveness (synthetic, ALE in thousands)."""
risks = {"ransomware": (90, [("offline backups", 0.6), ("EDR", 0.4)]),
         "billing outage": (60, [("failover", 0.5)]),
         "card breach": (75, [("tokenisation", 0.8), ("segmentation", 0.3)]),
         "vendor misuse": (80, [])}
for r, (inh, ctl) in risks.items():
    res = inh
    for _, e in ctl: res *= (1 - e)
    print(f"{r}: inherent {inh}k residual {res:.1f}k reduction {1-res/inh:.0%}")

Execute com python3 lab_residual.py. Saída verificada:

ransomware: inherent 90k residual 21.6k reduction 76%
billing outage: inherent 60k residual 30.0k reduction 50%
card breach: inherent 75k residual 10.5k reduction 86%
vendor misuse: inherent 80k residual 80.0k reduction 0%

24.3 Interpretar os residuais

O laboratório muda a ordem dos riscos. O ransomware era o primeiro em termos inerentes, mas o mau uso do acesso de fornecedores é o primeiro em termos residuais, porque não tem tratamento. Nadia recomenda que o tratamento do acesso de fornecedores vire prioridade. Também observa que a premissa de independência pode exagerar a eficácia combinada, já que backups e detecção podem falhar juntos num ataque bem planejado. Os números de eficácia são estimativas de oficinas e devem ser conferidos com evidências de testes ao longo do tempo, como mostrarão os capítulos sobre medição. A redução de setenta e seis por cento do ransomware deve ser revista quando os testes de restauração e de detecção produzirem dados.

Exemplo resolvido

Nadia calcula as perdas residuais, encontra o mau uso por fornecedores sem tratamento em oitenta mil e recomenda tratá-lo primeiro.

Caso sintético. As perdas e os valores de eficácia são sintéticos; a ISO/IEC 27005:2022 é real.

Erros e limites

A independência exagera o efeito combinado. As estimativas de eficácia são subjetivas.

Exercícios

• EX070 — Definição de residual. Como o risco residual difere do inerente?
  Mostrar critérios de avaliação

  Rubrica: 3 = é o que resta depois dos controles;; 2 = depois dos controles;; 1 = antes;; 0 = nenhuma.
• EX071 — Residual do ransomware. Quanto os controles reduziram a perda do ransomware no laboratório?
  Mostrar critérios de avaliação

  Rubrica: 3 = 76%, para 21,6 mil;; 2 = 76%;; 1 = vago;; 0 = nenhuma.
• EX072 — Maior residual. Que risco teve a maior perda residual, e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = mau uso por fornecedores, 80 mil, sem tratamento;; 2 = fornecedores;; 1 = ransomware;; 0 = nenhuma.

Síntese

O risco residual mostra o que os controles alcançam e expõe os riscos não tratados para ação prioritária.