Cyber Risk Quantification para Investimentos do Board

Para muitos conselhos, uma matriz de risco cibernético do tipo semáforo, verde, amarelo, vermelho, ainda é a única lente usada para decidir onde investir em segurança. Segundo o FAIR Institute, citando pesquisa da Gartner com 155 líderes de segurança e risco, 80% das organizações usam esse tipo de escala ordinal de 1 a 5 para avaliar risco cibernético, uma abordagem que o próprio FAIR Institute classifica como agrupamento de percepções, não como estimativa financeira.

Cyber risk quantification (CRQ) resolve esse problema ao traduzir risco cibernético para a mesma linguagem que o conselho já usa para decidir qualquer outro investimento: dinheiro. Em vez de perguntar se um risco é alto, médio ou baixo, o CRQ pergunta quanto a organização pode perder, com que frequência, e o que um determinado investimento em segurança muda nesse número. O padrão mais adotado internacionalmente para esse tipo de análise é o FAIR (Factor Analysis of Information Risk), mantido pelo The Open Group como padrão Open FAIR e usado por mais de 10.000 profissionais de risco que já passaram pelo FAIR Institute.

Este artigo explica, em termos de decisão de negócio e não de implementação técnica, por que o conselho deveria pedir esse tipo de quantificação, o que ela muda na conversa sobre orçamento de segurança e seguro cibernético, e como ela se conecta às obrigações regulatórias que já pesam sobre boa parte das empresas brasileiras. Para o time de segurança que vai efetivamente construir o modelo, com a metodologia, as variáveis e o processo de estimativa, o aprofundamento técnico está no nosso guia de quantificação de risco cibernético.

O Que é Cyber Risk Quantification, Sem a Matemática

No nível mais básico, o FAIR calcula risco cibernético multiplicando a frequência com que um tipo de evento de perda tende a ocorrer pela magnitude financeira esperada desse evento, chegando a uma faixa de exposição em valor monetário em vez de um rótulo qualitativo. O ponto para o conselho não é entender essa mecânica em detalhe, é entender o que ela entrega: em vez de um relatório dizendo "risco de ransomware: alto", o board recebe algo como "há X% de probabilidade de uma perda entre R$ A e R$ B milhões neste cenário nos próximos 12 meses".

Essa mudança de formato é o que permite comparar risco cibernético com qualquer outra linha do orçamento que o conselho já aprova rotineiramente, expansão de mercado, nova planta, aquisição, porque todas essas decisões já são tomadas com base em faixas de retorno e exposição financeira, não em escalas de 1 a 5. FAIR é hoje o único modelo de quantificação padrão internacional para risco de informação e operacional, mantido pelo The Open Group como padrão Open FAIR e adotado por mais de 500 organizações membro. Ele foi criado em 2005 por Jack Jones, ex-CISO e hoje presidente do conselho do FAIR Institute.

Por Que a Maioria das Empresas Ainda Usa Escalas de 1 a 5, e Por Que Isso Não Basta Para o Board

Escalas ordinais são populares porque são rápidas de preencher e não exigem dados históricos de perda. O problema é que elas não respondem à pergunta que todo conselho eventualmente faz: "isso vale o investimento que estamos considerando?" Um risco classificado como "4" não diz se a exposição real é de centenas de milhares ou de dezenas de milhões de reais, e dois riscos diferentes marcados como "4" podem ter magnitudes financeiras completamente distintas.

A mesma pesquisa, com 155 líderes de segurança e risco, mostra que a adoção de métodos mais rigorosos ainda é minoritária: 55% das organizações usam estimativas com probabilidade explícita, 20% usam modelagem estatística e apenas 4% usam machine learning com big data para quantificar risco. Isso significa que qualquer conselho que já opere com algum nível de estimativa probabilística está, na prática, à frente da maioria do mercado, e que ainda há bastante espaço de amadurecimento entre a matriz de calor tradicional e um modelo estatístico completo.

O Que Muda Para o Conselho Quando o Risco Vira um Número Financeiro

O benefício de quantificar risco cibernético não é apenas estético. Segundo a mesma pesquisa da Gartner citada pelo FAIR Institute, 78% das organizações que adotam CRQ usam a metodologia para priorizar riscos de forma mais objetiva, e 51% relatam que a quantificação facilitou conseguir que os donos de cada risco efetivamente agissem em remediação, em vez de deixar o item parado numa planilha de acompanhamento.

Para o conselho, esse ganho de confiança tem uma causa concreta: quando o CISO apresenta exposição financeira em vez de contagem de vulnerabilidades, a conversa deixa de ser sobre quão ocupado o time de segurança está e passa a ser sobre se a organização está exposta a mais risco do que seu apetite tolera, e o que fazer a respeito. É a mesma pergunta que o conselho já faz sobre qualquer outro risco material do negócio, e é isso que aproxima cibersegurança da governança financeira em vez de mantê-la como um domínio técnico à parte. Para saber exatamente que outras perguntas levar para essa reunião trimestral, veja nosso checklist de perguntas do conselho ao CISO.

Cyber Risk Quantification na Decisão de Alocação de Capital

Todo orçamento de segurança compete por capital com outras prioridades da empresa, e essa competição só é justa quando o risco cibernético é apresentado na mesma unidade que as demais. Sem quantificação, a pergunta que o board consegue fazer é "devemos gastar mais em segurança?", uma pergunta vaga e difícil de responder com convicção. Com quantificação, a pergunta vira "essa exposição específica justifica esse investimento específico, comparada às outras alternativas de uso desse capital?", que é exatamente o tipo de decisão que um conselho já sabe tomar.

Contexto de mercado ajuda a calibrar a conversa, sem substituir a exposição específica da própria organização. Segundo o Cost of a Data Breach Report 2025 da IBM, o custo médio global de uma violação de dados caiu para US$ 4,44 milhões em 2025, uma queda de 9% e a primeira redução em cinco anos, mas nos Estados Unidos o custo médio subiu para US$ 10,22 milhões, e o tempo médio para identificar e conter um incidente ficou em 241 dias, o menor patamar em nove anos. Não existe, nessa mesma pesquisa, um número consolidado equivalente para o Brasil, o que reforça por que depender apenas de médias de mercado é insuficiente: o conselho precisa da exposição financeira estimada da própria organização, não de uma média internacional.

Para estruturar como apresentar esse tipo de número ao board, com a cadência e o formato de reporte adequados, veja nosso guia de board reporting em cibersegurança. E para o caso específico de justificar um investimento pontual em segurança frente a outras alternativas de capital, o raciocínio de retorno sobre investimento em segurança está detalhado em nosso artigo sobre ROI de cibersegurança.

CRQ e o Dimensionamento do Seguro Cibernético

Uma das aplicações mais diretas de cyber risk quantification para o conselho é decidir quanto de seguro cibernético contratar, e com que estrutura. Sem uma estimativa de exposição financeira, a decisão sobre limite de cobertura, sublimites por tipo de evento e valor de retenção (o quanto a empresa assume antes da apólice entrar) tende a ser feita por comparação com o mercado ou por orçamento disponível, não pela exposição real da organização. Ao traduzir cenários de perda em faixas de frequência e magnitude, o CRQ dá ao board uma base defensável para essas decisões de cobertura, em vez de uma escolha essencialmente arbitrária.

Essa mesma disciplina de quantificação também se conecta a outro ponto que interessa ao conselho: o quanto a organização já reduz sua própria exposição antes mesmo de acionar a apólice. O Cyber Risk Intelligence Center da Marsh McLennan, em relatório de 2025, mostra que organizações com um plano robusto de resposta a incidentes têm 13% menos chance de sofrer um evento cibernético material, um dado que reforça a lógica por trás do CRQ: investimento em preparação muda a frequência e a magnitude esperada de perda, e esse efeito pode e deve ser incorporado na decisão de quanto seguro contratar. Para aprofundar a conexão entre quantificação e a estrutura da apólice, veja nosso artigo sobre seguro cibernético.

O Contexto Regulatório Brasileiro Que Muda a Magnitude do Risco

No Brasil, a magnitude financeira de um incidente que envolva dados pessoais tem um piso regulatório explícito. Pela LGPD, a multa por infração pode chegar a 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, um número que qualquer estimativa de perda relacionada a vazamento de dados pessoais deveria incorporar como componente de magnitude, ao lado de custos de resposta, notificação e reputação. Em 2025, a Deliberação CD-10/2025 da ANPD (Autoridade Nacional de Proteção de Dados) foi além da multa administrativa tradicional e passou a prever multas diárias por descumprimento de medidas cautelares determinadas pela autoridade, o que aumenta a exposição em cenários de resposta lenta a um incidente já identificado.

Para instituições do setor financeiro, a régua regulatória é ainda mais específica. A Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025, publicadas em dezembro de 2025, atualizaram a Resolução CMN nº 4.893/2021 e reforçaram as exigências de gestão de risco cibernético e continuidade de negócios para instituições autorizadas a funcionar pelo Banco Central, com prazo de adequação até 1º de março de 2026. Para o conselho dessas instituições, isso significa que parte da exposição regulatória não é hipotética, ela tem data de vencimento, e um modelo de quantificação que já incorpore esses pisos legais como cenários de magnitude ajuda o board a decidir com que prioridade tratar a adequação.

Como Colocar Cyber Risk Quantification na Pauta do Conselho

Adotar CRQ não é uma decisão de tudo ou nada, e não exige que a organização já tenha maturidade estatística avançada. O caminho mais realista começa pequeno: escolher dois ou três cenários de risco que já preocupam o board, como ransomware, vazamento de dados de clientes ou indisponibilidade de um sistema crítico, e pedir ao time de segurança uma primeira estimativa de frequência e magnitude para cada um, usando uma metodologia estruturada como o FAIR em vez de uma escala de 1 a 5. Existem fornecedores especializados que apoiam essa jornada com plataformas dedicadas, mas a decisão de começar a quantificar risco não depende de contratar nenhum fornecedor específico, o próprio time interno de segurança e risco pode conduzir os primeiros ciclos.

Um comitê de risco cibernético formal no conselho é o espaço natural para essa pauta evoluir de forma recorrente, com cadência definida e métricas comparáveis de um ciclo para o outro. Se sua organização ainda não tem essa estrutura, veja nosso guia sobre como montar um comitê de risco cibernético no conselho, que trata da composição, da cadência de reuniões e das métricas que o board deveria exigir do CISO.

Perguntas Frequentes

Conclusao

Cyber risk quantification não elimina a incerteza sobre o risco cibernético de uma organização, mas muda o formato em que essa incerteza chega ao conselho: de um rótulo qualitativo para uma faixa financeira que pode ser comparada a qualquer outra decisão de capital. Para boards que já lidam com risco de mercado, risco de crédito ou risco operacional em termos monetários, essa é a linguagem que falta para tratar cibersegurança com o mesmo rigor. O primeiro passo não exige um programa completo, exige escolher dois ou três cenários prioritários e pedir ao time de segurança uma primeira estimativa estruturada.