CRQ: Quantificação de Risco Cibernético em Valores Financeiros

O que é CRQ

CRQ (Cyber Risk Quantification) é a prática de expressar riscos cibernéticos em termos financeiros - reais, dólares, euros - em vez de escalas qualitativas como "alto/médio/baixo". O objetivo é responder perguntas como "Quanto podemos perder com um ataque de ransomware?" em valores monetários com níveis de confiança.

Equipes que ainda trabalham com avaliação qualitativa costumam partir de metodologias como a OWASP Risk Rating (Probabilidade × Impacto em matriz 3×3). O CRQ é o passo seguinte: ao invés de rotular um risco como "Alto", você estima em reais a perda esperada anualizada e compara diretamente com o custo de mitigá-lo.

Por que Quantificar Risco

Comunicação executiva

CFOs e boards entendem dinheiro. "Risco alto" não significa nada para quem gerencia portfolios de investimento - "R$ 5M de exposição" sim. Se você precisa apresentar isso ao conselho, veja como estruturar a conversa em termos de decisão de investimento do board.

Decisões de investimento

Quantificação permite calcular ROI de controles de segurança. Se um firewall de R$ 200k reduz perda esperada de R$ 1M para R$ 300k, o ROI é claro.

Priorização baseada em dados

Em vez de priorizar por "gut feeling" ou CVSS score, priorize pelo impacto financeiro esperado.

Seguro cibernético

Seguradoras usam modelos quantitativos. Entender sua própria exposição ajuda a negociar prêmios e coberturas adequadas.

Metodologia FAIR

FAIR (Factor Analysis of Information Risk) é o padrão mais usado para CRQ. É um modelo de decomposição que quebra risco em fatores mensuráveis.

Fórmula fundamental

Decomposição FAIR

• LEF (Loss Event Frequency): Quantas vezes o evento de perda ocorre por ano
  • TEF (Threat Event Frequency): Frequência de tentativas de ataque
  • Vulnerability: Probabilidade de ataque ser bem-sucedido
• LM (Loss Magnitude): Quanto custa cada evento
  • Primary Loss: Custo direto (resposta, recuperação, resgate)
  • Secondary Loss: Custo indireto (reputação, multas, processos)

Exemplo prático: Ransomware

Estimando risco de ransomware para empresa média:

• TEF: 10 tentativas de phishing por dia que poderiam levar a ransomware
• Vulnerability: 2% de chance de sucesso (controles existentes)
• LEF resultante: ~0.2 eventos por ano (10 x 365 x 0.02 / 365)
• Primary Loss: R$ 500k - R$ 2M (downtime, recovery, ransom)
• Secondary Loss: R$ 200k - R$ 1M (reputação, notificação LGPD)
• Risco anual: 0.2 x (R$ 700k a R$ 3M) = R$ 140k a R$ 600k/ano

Simulação Monte Carlo

Em vez de usar valores pontuais, usamos distribuições de probabilidade e simulamos milhares de cenários para obter uma distribuição de resultados possíveis.

Por que Monte Carlo?

• Captura a incerteza nos inputs (não sabemos exatamente a frequência)
• Gera distribuição de resultados (percentis, VaR)
• Permite afirmações como "90% de confiança que perda será < R$ X"

Processo básico

1. Definir distribuições para cada variável (min, mais provável, max)
2. Gerar milhares de amostras aleatórias de cada distribuição
3. Calcular resultado para cada combinação
4. Analisar distribuição de resultados

Outputs típicos

• Perda esperada (ALE): Média das simulações
• VaR 95%: Perda máxima com 95% de confiança
• Worst case: Percentil 99 ou máximo observado
• Distribuição visual: Histograma mostrando probabilidades

Implementação Prática

Fase 1: Identificar cenários

• Selecionar 5-10 cenários de risco mais relevantes
• Exemplos: ransomware, breach de dados, fraude, indisponibilidade
• Definir escopo: qual ativo/processo é afetado?

Fase 2: Coletar dados

• Frequência: Dados de incidentes internos, benchmarks de indústria, threat intel
• Magnitude: Custos de incidentes passados, estimativas de downtime, valores de dados
• Expert judgment: Quando dados não existem, use estimativas calibradas de especialistas

Fase 3: Modelar

• Definir distribuições para cada variável
• Rodar simulação Monte Carlo (10.000+ iterações)
• Validar resultados com sanity checks

Fase 4: Comunicar

• Apresentar em linguagem de negócio
• Usar visualizações (curvas de perda, comparativos)
• Mostrar impacto de controles propostos

Ferramentas para CRQ

Planilhas e código

• Excel com @RISK ou Crystal Ball: Add-ins para Monte Carlo
• Python com numpy/scipy: Simulações customizadas
• R: Pacotes estatísticos para análise de risco

Plataformas especializadas

• RiskLens: Plataforma FAIR mais conhecida
• SAFE One: CRQ integrado com gestão de risco
• Bitsight: Rating com componente quantitativo
• CyberSaint: GRC com CRQ

Open source

• FAIR-U (FAIR Institute): Ferramenta gratuita para aprender FAIR
• OpenFAIR: Implementações em Python/R

Como levar CRQ ao board

Quantificar risco não é um exercício estético para o conselho: é o que muda a natureza da conversa. Segundo pesquisa da Gartner citada pelo FAIR Institute, 78% das organizações que adotam CRQ o usam para priorizar riscos de forma mais objetiva e 51% relatam que a quantificação facilitou fazer os donos de cada risco efetivamente agir, em vez de deixar o item parado numa planilha.

Quando o CISO apresenta exposição financeira em vez de contagem de vulnerabilidades, a pergunta deixa de ser "quão ocupado está o time?" e passa a ser "estamos expostos a mais risco do que nosso apetite tolera, e o que fazer?" — a mesma pergunta que o conselho já faz sobre qualquer risco material. Para saber que perguntas levar à reunião trimestral, veja nosso checklist de perguntas do conselho ao CISO.

Alocação de capital

Todo orçamento de segurança compete por capital com outras prioridades, e essa disputa só é justa quando o risco cibernético é apresentado na mesma unidade. Sem quantificação, o board só consegue perguntar "devemos gastar mais em segurança?". Com quantificação, a pergunta vira "essa exposição específica justifica esse investimento específico, frente às outras alternativas de uso do capital?" — o tipo de decisão que um conselho já sabe tomar. Para estruturar o reporte com a cadência certa, veja o guia de board reporting em cibersegurança; para justificar um investimento pontual, o ROI de cibersegurança.

Dimensionamento do seguro cibernético

Uma das aplicações mais diretas de CRQ para o conselho é decidir quanto de seguro cibernético contratar e com que estrutura. Sem estimativa de exposição financeira, limite de cobertura, sublimites e retenção acabam definidos por comparação com o mercado ou por orçamento, não pela exposição real. Ao traduzir cenários de perda em faixas de frequência e magnitude, o CRQ dá ao board uma base defensável para essas decisões.

O contexto regulatório brasileiro

No Brasil, a magnitude de um incidente com dados pessoais tem piso regulatório explícito. Pela LGPD, a multa por infração pode chegar a 2% do faturamento, limitada a R$ 50 milhões por infração — número que qualquer estimativa de perda por vazamento deveria incorporar como componente de magnitude, ao lado de custos de resposta, notificação e reputação. A Deliberação CD-10/2025 da ANPD passou a prever multas diárias por descumprimento de medidas cautelares, elevando a exposição em cenários de resposta lenta.

Para o setor financeiro a régua é mais específica: a Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025 reforçaram as exigências de gestão de risco cibernético e continuidade para instituições autorizadas pelo Banco Central, com prazo de adequação até 1º de março de 2026. Para esses conselhos, parte da exposição regulatória tem data de vencimento — e um modelo que já incorpore esses pisos legais como cenários de magnitude ajuda a decidir a prioridade da adequação.

Como colocar na pauta

Adotar CRQ não é tudo ou nada nem exige maturidade estatística avançada. O caminho realista começa pequeno: escolher dois ou três cenários que já preocupam o board — ransomware, vazamento de dados de clientes, indisponibilidade de sistema crítico — e pedir ao time uma primeira estimativa de frequência e magnitude usando uma metodologia estruturada como o FAIR, não uma escala de 1 a 5. Um comitê de risco cibernético no conselho é o espaço natural para a pauta evoluir com cadência definida e métricas comparáveis de um ciclo ao outro.

Conclusão

CRQ transforma cibersegurança de "centro de custo" para "gestão de risco de negócio". Ao expressar riscos em valores financeiros, habilitamos decisões baseadas em dados, comunicação eficaz com executivos, e justificativa clara de investimentos.

A metodologia FAIR fornece um framework estruturado e padronizado. Combinada com simulação Monte Carlo, permite capturar a incerteza inerente e comunicar resultados em termos de probabilidades e níveis de confiança.

Comece com poucos cenários críticos e itere. A precisão vem com o tempo conforme você coleta mais dados e refina o modelo. Mesmo estimativas iniciais imperfeitas são mais úteis que avaliação puramente qualitativa.