Tratamento de riscos: aceitar, transferir, mitigar e evitar

Depois que os riscos são identificados e analisados, as organizações precisam decidir o que fazer com eles. O tratamento de riscos é o processo de selecionar e implementar uma resposta para cada risco com base em sua probabilidade, impacto e custo de remediação. Existem quatro opções de tratamento universalmente reconhecidas: accept, transfer, mitigate e avoid. Nenhuma opção é sempre correta — a escolha adequada depende do contexto empresarial, do apetite ao risco e dos recursos disponíveis.

A mitigação de riscos reduz a probabilidade ou o impacto de um risco por meio da implementação de Controls de Security. Essa é a opção de tratamento mais comum. Exemplos incluem: implantar um firewall para reduzir a probabilidade de uma intrusão na rede, aplicar correções no software para eliminar vulnerabilidades conhecidas ou implementar MFA para reduzir o impacto do roubo de credenciais. A mitigação não elimina totalmente o risco — ela produz risco residual, que deve ser reavaliado depois que os Controls forem aplicados.

A transferência de riscos transfere as consequências financeiras de um risco para terceiros. O seguro cibernético é o exemplo mais comum — a organização paga um prêmio, e a seguradora cobre as perdas decorrentes de incidentes cobertos. O risco também pode ser transferido por contrato: acordos de nível de serviço (SLAs) com provedores de nuvem podem atribuir ao fornecedor a responsabilidade por violações de dados, e cláusulas de indenização em contratos podem transferir a responsabilidade para parceiros comerciais. É importante destacar que a transferência não elimina o risco em si — apenas o encargo financeiro.

A aceitação de riscos significa tolerar conscientemente um risco sem implementar Controls adicionais, porque o custo da mitigação excede a perda esperada ou porque o risco está abaixo do limite de risco da organização. A aceitação deve ser uma decisão documentada e deliberada, tomada por uma autoridade apropriada (normalmente o responsável pelo risco ou um executivo). A aceitação implícita e não documentada — ignorar um risco porque ninguém chegou a corrigi-lo — não é o mesmo que uma aceitação formal e gera constatações de auditoria.

A evasão de riscos elimina completamente o risco ao não realizar a atividade que o gera. Por exemplo, uma organização pode decidir não armazenar diretamente dados de cartões de pagamento — evitando, assim, todo o escopo do PCI-DSS ao delegar o processamento dos cartões a um serviço de tokenização terceirizado. A evasão é apropriada quando o risco é inaceitavelmente alto e não existe uma opção de mitigação ou transferência economicamente vantajosa, mas também pode significar abrir mão de uma oportunidade de negócio.

A seleção de uma opção de tratamento envolve comparar a exposição ao risco com os custos da resposta. Se o ALE for de US$ 50.000 e a mitigação custar US$ 10.000 por ano, a mitigação será claramente economicamente vantajosa. Se o ALE for de US$ 5.000 e a mitigação custar US$ 30.000 por ano, accept ou transfer podem fazer mais sentido. As organizações também consideram o apetite ao risco — a quantidade de risco que a liderança está disposta a tolerar — e a tolerância ao risco, o desvio aceitável em relação ao apetite ao risco para categorias específicas de risco.

O apetite ao risco é o nível amplo e estratégico de risco que uma organização está disposta a aceitar para alcançar seus objetivos — geralmente definido pelo conselho administrativo. A tolerância ao risco é a variação aceitável em torno de categorias específicas de risco. Uma organização pode ter um apetite geral baixo ao risco, mas uma tolerância maior a riscos de reputação em uma determinada linha de produtos. Esses limites determinam quando a aceitação de riscos é apropriada e quando é necessário escalonar a questão.

Quando o Control de mitigação ideal não pode ser implementado — devido ao custo, a restrições técnicas ou a sistemas Legacy — um Control compensatório oferece uma redução alternativa do risco. Por exemplo, se um sistema antigo não puder oferecer suporte a MFA, um monitoramento reforçado, o isolamento da rede e o logging adicional poderão compensar essa limitação. Controls compensatórios são formalmente reconhecidos no PCI-DSS e em outros frameworks como tratamento de riscos válido quando documentados com a devida justificativa e aprovados pela autoridade apropriada.

Depois que qualquer tratamento de riscos é aplicado, quase sempre resta algum risco. O risco residual é o que permanece após a implementação dos Controls. Ele deve ser formalmente reconhecido e aceito pelo responsável pelo risco. Se o risco residual ainda estiver acima do limite aceitável, serão necessários Controls adicionais. As decisões de tratamento de riscos e os níveis de risco residual devem ser registrados no registro de riscos e revisados em intervalos definidos, especialmente quando o cenário de ameaças mudar.

Os frameworks de conformidade restringem quais opções de tratamento de riscos são aceitáveis. HIPAA não permite evitar o processamento de informações de saúde protegidas — as organizações devem mitigá-lo ou transferi-lo. PCI-DSS exige controls específicos independentemente da análise de custo-benefício. Compreender essas restrições evita situações em que a opção de tratamento preferida por uma organização (como aceitar uma lacuna de controls) viole um requisito regulatório que pode resultar em multas ou na perda dos privilégios de processamento de cartões.

O tratamento de riscos também se aplica a riscos de terceiros e da cadeia de suprimentos. Quando fornecedores ou parceiros têm acesso aos seus sistemas ou dados, a postura de Security deles passa a fazer parte do seu perfil de risco. As opções de tratamento incluem: controls contratuais (transferir), avaliações de Security de fornecedores (mitigar), escolher fornecedores alternativos (evitar) ou aceitar formalmente o risco com revisões periódicas. Comprometimentos da cadeia de suprimentos (SolarWinds, XZ Utils) mostram por que o gerenciamento de riscos de terceiros é uma prioridade no exame Security+.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) desta lição.

Nesta lição, você aprendeu que: a mitigação de riscos reduz a probabilidade ou o impacto por meio de controls; a transferência de riscos transfere as consequências financeiras para terceiros, como seguradoras; a aceitação de riscos é uma decisão documentada de tolerar um risco; e a evitação de riscos elimina o risco ao não realizar a atividade. A seguir, apresentaremos os principais frameworks de Security: NIST RMF, ISO 27001 e CIS Controls.