O que e OWASP Risk Rating Methodology?

A OWASP Risk Rating Methodology e uma metodologia aberta, publicada pela OWASP Foundation, para classificar riscos de segurança de forma pragmatica e consistente. Diferente do CVSS — que avalia severidade técnica isolada — o OWASP Risk combina Probabilidade (Likelihood) com Impacto técnico e de negócio, chegando a um resultado mais próximo do risco real para a organização.

A metodologia usa uma abordagem semi-quantitativa: cada fator recebe uma nota de 0 a 9, e as médias de cada dimensão determinam a classificação qualitativa (Baixo, Médio, Alto). A matriz Probabilidade x Impacto produz a severidade final (Informativo, Baixo, Médio, Alto ou Crítico).

Como Usar Esta Calculadora

  1. Preencha os 16 fatores divididos em 4 grupos (Agente de Ameaça, Vulnerabilidade, Impacto Técnico, Impacto de Negócio).
  2. Acompanhe os scores em tempo real — os cards superiores mostram Probabilidade, Impacto e Severidade Final.
  3. Veja a celula destacada na matriz de risco para entender o cruzamento das duas dimensões.
  4. Copie o link compartilhavel para documentar no relatório de pentest, ticket ou comunicação. A URL preserva todas as selecoes.

Como e Calculado

Probabilidade (Likelihood)

= media(SL, M, O, S, ED, EE, A, ID)

  • Agente de Ameaça: SL, M, O, S
  • Vulnerabilidade: ED, EE, A, ID

Impacto (Impact)

= media(LC, LI, LAV, LAC, FD, RD, NC, PV)

  • Técnico: LC, LI, LAV, LAC
  • Negócio: FD, RD, NC, PV

Cada dimensão e classificada por faixa:

  • 0 — 3: Baixo (LOW)
  • 3 — 6: Médio (MEDIUM)
  • 6 — 9: Alto (HIGH)

OWASP Risk vs CVSS: Quando Usar Cada Um?

Os dois são complementares

Use CVSS para padronizar severidade técnica de uma vulnerabilidade (útil em CVEs, bases de scan, comunicação com fornecedores). Use OWASP Risk quando precisa priorizar remediação no seu contexto, considerando atacantes reais, detectabilidade e impacto no negócio. Em relatórios de pentest profissional, incluir ambos e uma boa pratica.

Para uma abordagem ainda mais madura — expressando risco em valores financeiros (R$ vs probabilidade anual) — veja nosso guia de CRQ: Quantificação de Risco Cibernético.

Boas Práticas

  • Calibre com stakeholders: envolva o time de negócio na pontuacao do Impacto de Negócio — engenharia frequentemente subestima dano reputacional e de compliance.
  • Documente a justificativa: o score sozinho e opaco. Anote por que escolheu cada nível. Isso permite revisão posterior e consistência entre avaliações.
  • Reavalie no retest: controles compensatórios (WAF, MFA, logs) podem reduzir a Probabilidade sem corrigir a vulnerabilidade em si.
  • Integre com gestão de risco: OWASP Risk e insumo, não substituto. Combine com frameworks maiores como NIST RMF ou ISO 27005.
  • Consulte nosso guia completo: processo de gestão de vulnerabilidades.

Perguntas Frequentes

O que e OWASP Risk Rating Methodology?

Metodologia publicada pela OWASP para avaliar o risco de vulnerabilidades combinando Probabilidade (Likelihood) e Impacto (Impact). Cada dimensão e calculada a partir de 8 fatores pontuados de 0 a 9, e o risco final resulta de uma matriz 3x3.

Qual a diferença entre OWASP Risk e CVSS?

CVSS avalia severidade técnica isolada. OWASP Risk adiciona dimensões de negócio e contexto do atacante, gerando uma classificação próxima do risco real. Os dois são complementares em relatórios profissionais.

Como a Probabilidade (Likelihood) e calculada?

Media de 8 fatores: 4 do Agente de Ameaça (Skill, Motive, Opportunity, Size) e 4 da Vulnerabilidade (Ease of Discovery, Ease of Exploit, Awareness, Intrusion Detection). Classificado em Baixo (0-3), Médio (3-6) ou Alto (6-9).

Como o Impacto (Impact) e calculado?

Media de 8 fatores: 4 de Impacto Técnico (CIA + accountability) e 4 de Impacto de Negócio (financeiro, reputação, compliance, privacidade). Mesmas faixas de severidade.

Como interpretar o resultado final?

A matriz Probabilidade x Impacto define a severidade final: Informativo, Baixo, Médio, Alto ou Crítico. Alto e Crítico exigem ação prioritaria. Use como insumo para priorização, considerando controles compensatórios e exposição real.

Outras Ferramentas Gratuitas

Calculadora CVSS 3.1/4.0

Avalie severidade técnica de vulnerabilidades pelo padrão FIRST.org. Complementar ao OWASP Risk.

Validador de Política de Senhas

Teste senhas contra NIST, ISO e PCI-DSS. Avalia força, entropia e tempo de quebra.

Precisa de Avaliação de Risco Profissional?

Oferecemos pentest com relatórios priorizados por risco, gestão continua de vulnerabilidades e consultoria em frameworks de segurança.

Solicitar Proposta