Cyber Risk Quantification para Investimentos do Board

Para muitos conselhos, uma matriz de risco cibernético do tipo semáforo, verde, amarelo, vermelho, ainda é a única lente usada para decidir onde investir em segurança. Segundo o FAIR Institute, citando pesquisa da Gartner com 155 líderes de segurança e risco, 80% das organizações usam esse tipo de escala ordinal de 1 a 5 para avaliar risco cibernético, uma abordagem que o próprio FAIR Institute classifica como agrupamento de percepções, não como estimativa financeira.

Cyber risk quantification (CRQ) resolve esse problema ao traduzir risco cibernético para a mesma linguagem que o conselho já usa para decidir qualquer outro investimento: dinheiro. Em vez de perguntar se um risco é alto, médio ou baixo, o CRQ pergunta quanto a organização pode perder, com que frequência, e o que um determinado investimento em segurança muda nesse número. O padrão mais adotado internacionalmente para esse tipo de análise é o FAIR (Factor Analysis of Information Risk), mantido pelo The Open Group como padrão Open FAIR e usado por mais de 10.000 profissionais de risco que já passaram pelo FAIR Institute.

Este artigo explica, em termos de decisão de negócio e não de implementação técnica, por que o conselho deveria pedir esse tipo de quantificação, o que ela muda na conversa sobre orçamento de segurança e seguro cibernético, e como ela se conecta às obrigações regulatórias que já pesam sobre boa parte das empresas brasileiras. Para o time de segurança que vai efetivamente construir o modelo, com a metodologia, as variáveis e o processo de estimativa, o aprofundamento técnico está no nosso guia de quantificação de risco cibernético.

O Que é Cyber Risk Quantification, Sem a Matemática

No nível mais básico, o FAIR calcula risco cibernético multiplicando a frequência com que um tipo de evento de perda tende a ocorrer pela magnitude financeira esperada desse evento, chegando a uma faixa de exposição em valor monetário em vez de um rótulo qualitativo. O ponto para o conselho não é entender essa mecânica em detalhe, é entender o que ela entrega: em vez de um relatório dizendo "risco de ransomware: alto", o board recebe algo como "há X% de probabilidade de uma perda entre R$ A e R$ B milhões neste cenário nos próximos 12 meses".

Essa mudança de formato é o que permite comparar risco cibernético com qualquer outra linha do orçamento que o conselho já aprova rotineiramente, expansão de mercado, nova planta, aquisição, porque todas essas decisões já são tomadas com base em faixas de retorno e exposição financeira, não em escalas de 1 a 5. FAIR é hoje o único modelo de quantificação padrão internacional para risco de informação e operacional, mantido pelo The Open Group como padrão Open FAIR e adotado por mais de 500 organizações membro. Ele foi criado em 2005 por Jack Jones, ex-CISO e hoje presidente do conselho do FAIR Institute.

Por Que a Maioria das Empresas Ainda Usa Escalas de 1 a 5, e Por Que Isso Não Basta Para o Board

Escalas ordinais são populares porque são rápidas de preencher e não exigem dados históricos de perda. O problema é que elas não respondem à pergunta que todo conselho eventualmente faz: "isso vale o investimento que estamos considerando?" Um risco classificado como "4" não diz se a exposição real é de centenas de milhares ou de dezenas de milhões de reais, e dois riscos diferentes marcados como "4" podem ter magnitudes financeiras completamente distintas.

A mesma pesquisa, com 155 líderes de segurança e risco, mostra que a adoção de métodos mais rigorosos ainda é minoritária: 55% das organizações usam estimativas com probabilidade explícita, 20% usam modelagem estatística e apenas 4% usam machine learning com big data para quantificar risco. Isso significa que qualquer conselho que já opere com algum nível de estimativa probabilística está, na prática, à frente da maioria do mercado, e que ainda há bastante espaço de amadurecimento entre a matriz de calor tradicional e um modelo estatístico completo.

O Que Muda Para o Conselho Quando o Risco Vira um Número Financeiro

O benefício de quantificar risco cibernético não é apenas estético. Segundo a mesma pesquisa da Gartner citada pelo FAIR Institute, 78% das organizações que adotam CRQ usam a metodologia para priorizar riscos de forma mais objetiva, e 51% relatam que a quantificação facilitou conseguir que os donos de cada risco efetivamente agissem em remediação, em vez de deixar o item parado numa planilha de acompanhamento.

Para o conselho, esse ganho de confiança tem uma causa concreta: quando o CISO apresenta exposição financeira em vez de contagem de vulnerabilidades, a conversa deixa de ser sobre quão ocupado o time de segurança está e passa a ser sobre se a organização está exposta a mais risco do que seu apetite tolera, e o que fazer a respeito. É a mesma pergunta que o conselho já faz sobre qualquer outro risco material do negócio, e é isso que aproxima cibersegurança da governança financeira em vez de mantê-la como um domínio técnico à parte.

Cyber Risk Quantification na Decisão de Alocação de Capital

Todo orçamento de segurança compete por capital com outras prioridades da empresa, e essa competição só é justa quando o risco cibernético é apresentado na mesma unidade que as demais. Sem quantificação, a pergunta que o board consegue fazer é "devemos gastar mais em segurança?", uma pergunta vaga e difícil de responder com convicção. Com quantificação, a pergunta vira "essa exposição específica justifica esse investimento específico, comparada às outras alternativas de uso desse capital?", que é exatamente o tipo de decisão que um conselho já sabe tomar.

Contexto de mercado ajuda a calibrar a conversa, sem substituir a exposição específica da própria organização. Segundo o Cost of a Data Breach Report 2025 da IBM, o custo médio global de uma violação de dados caiu para US$ 4,44 milhões em 2025, uma queda de 9% e a primeira redução em cinco anos, mas nos Estados Unidos o custo médio subiu para US$ 10,22 milhões, e o tempo médio para identificar e conter um incidente ficou em 241 dias, o menor patamar em nove anos. Não existe, nessa mesma pesquisa, um número consolidado equivalente para o Brasil, o que reforça por que depender apenas de médias de mercado é insuficiente: o conselho precisa da exposição financeira estimada da própria organização, não de uma média internacional.

Para estruturar como apresentar esse tipo de número ao board, com a cadência e o formato de reporte adequados, veja nosso guia de board reporting em cibersegurança. E para o caso específico de justificar um investimento pontual em segurança frente a outras alternativas de capital, o raciocínio de retorno sobre investimento em segurança está detalhado em nosso artigo sobre ROI de cibersegurança.

CRQ e o Dimensionamento do Seguro Cibernético

Uma das aplicações mais diretas de cyber risk quantification para o conselho é decidir quanto de seguro cibernético contratar, e com que estrutura. Sem uma estimativa de exposição financeira, a decisão sobre limite de cobertura, sublimites por tipo de evento e valor de retenção (o quanto a empresa assume antes da apólice entrar) tende a ser feita por comparação com o mercado ou por orçamento disponível, não pela exposição real da organização. Ao traduzir cenários de perda em faixas de frequência e magnitude, o CRQ dá ao board uma base defensável para essas decisões de cobertura, em vez de uma escolha essencialmente arbitrária.

Essa mesma disciplina de quantificação também se conecta a outro ponto que interessa ao conselho: o quanto a organização já reduz sua própria exposição antes mesmo de acionar a apólice. O Cyber Risk Intelligence Center da Marsh McLennan, em relatório de 2025, mostra que organizações com um plano robusto de resposta a incidentes têm 13% menos chance de sofrer um evento cibernético material, um dado que reforça a lógica por trás do CRQ: investimento em preparação muda a frequência e a magnitude esperada de perda, e esse efeito pode e deve ser incorporado na decisão de quanto seguro contratar. Para aprofundar a conexão entre quantificação e a estrutura da apólice, veja nosso artigo sobre seguro cibernético.

O Contexto Regulatório Brasileiro Que Muda a Magnitude do Risco

No Brasil, a magnitude financeira de um incidente que envolva dados pessoais tem um piso regulatório explícito. Pela LGPD, a multa por infração pode chegar a 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, um número que qualquer estimativa de perda relacionada a vazamento de dados pessoais deveria incorporar como componente de magnitude, ao lado de custos de resposta, notificação e reputação. Em 2025, a Deliberação CD-10/2025 da ANPD (Autoridade Nacional de Proteção de Dados) foi além da multa administrativa tradicional e passou a prever multas diárias por descumprimento de medidas cautelares determinadas pela autoridade, o que aumenta a exposição em cenários de resposta lenta a um incidente já identificado.

Para instituições do setor financeiro, a régua regulatória é ainda mais específica. A Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025, publicadas em dezembro de 2025, atualizaram a Resolução CMN nº 4.893/2021 e reforçaram as exigências de gestão de risco cibernético e continuidade de negócios para instituições autorizadas a funcionar pelo Banco Central, com prazo de adequação até 1º de março de 2026. Para o conselho dessas instituições, isso significa que parte da exposição regulatória não é hipotética, ela tem data de vencimento, e um modelo de quantificação que já incorpore esses pisos legais como cenários de magnitude ajuda o board a decidir com que prioridade tratar a adequação.

Como Colocar Cyber Risk Quantification na Pauta do Conselho

Adotar CRQ não é uma decisão de tudo ou nada, e não exige que a organização já tenha maturidade estatística avançada. O caminho mais realista começa pequeno: escolher dois ou três cenários de risco que já preocupam o board, como ransomware, vazamento de dados de clientes ou indisponibilidade de um sistema crítico, e pedir ao time de segurança uma primeira estimativa de frequência e magnitude para cada um, usando uma metodologia estruturada como o FAIR em vez de uma escala de 1 a 5. Existem fornecedores especializados que apoiam essa jornada com plataformas dedicadas, mas a decisão de começar a quantificar risco não depende de contratar nenhum fornecedor específico, o próprio time interno de segurança e risco pode conduzir os primeiros ciclos.

Um comitê de risco cibernético formal no conselho é o espaço natural para essa pauta evoluir de forma recorrente, com cadência definida e métricas comparáveis de um ciclo para o outro. Se sua organização ainda não tem essa estrutura, veja nosso guia sobre como montar um comitê de risco cibernético no conselho, que trata da composição, da cadência de reuniões e das métricas que o board deveria exigir do CISO.

Perguntas Frequentes

Conclusao

Cyber risk quantification não elimina a incerteza sobre o risco cibernético de uma organização, mas muda o formato em que essa incerteza chega ao conselho: de um rótulo qualitativo para uma faixa financeira que pode ser comparada a qualquer outra decisão de capital. Para boards que já lidam com risco de mercado, risco de crédito ou risco operacional em termos monetários, essa é a linguagem que falta para tratar cibersegurança com o mesmo rigor. O primeiro passo não exige um programa completo, exige escolher dois ou três cenários prioritários e pedir ao time de segurança uma primeira estimativa estruturada.