Nível de risco que uma organização está disposta a aceitar
Variação específica aceitável nos níveis de risco medidos
| Nível | Descrição |
|---|---|
| Expansionista | Disposto a assumir riscos elevados para crescimento agressivo |
| Conservador | Prioriza evitar riscos, foca em preservação e conformidade |
| Neutro | Equilibra abordagens expansionista e conservadora |
Período máximo de interrupção sem causar falha irrecuperável. Define limite superior para tempo de recuperação.
Tempo para identificar problema e restaurar sistema. Período que um sistema pode ficar offline após desastre.
Tempo adicional para reintegrar sistemas após recuperação (testes, briefing de usuários). RTO + WRT ≤ MTD
Quantidade de perda de dados tolerável (medida em tempo). Determina frequência de backups necessária.
Tempo médio esperado entre falhas. Cálculo: (tempo operacional total) / (número de falhas)
Tempo médio para corrigir uma falha. Cálculo: (horas de manutenção não planejada) / (número de incidentes)
| Estratégia | Descrição |
|---|---|
| Mitigação/Remediação | Reduzir exposição ou efeitos de fatores de risco. Implementar controles de segurança. |
| Transferência | Atribuir risco a terceiros (ex: seguro cibernético). Riscos à reputação geralmente não podem ser transferidos. |
| Aceitação | Nenhuma contramedida implementada. Usado quando o nível de risco não justifica o custo. |
| Evitação | Parar a atividade que causa o risco. Raramente é uma opção viável. |
Conduzidas conforme necessário (resposta a incidentes ou mudanças)
Agendadas em intervalos regulares (anual, trimestral, mensal)
Abrangentes em momento específico (novos sistemas)
Monitoramento constante de riscos em tempo real
Valor perdido em uma única ocorrência
SLE = AV × EF
Ex: Edifício $200.000 × 40% = $80.000
Valor perdido ao longo de um ano
ALE = SLE × ARO
Ex: $80.000 × 2 = $160.000/ano
| Vantagens | Desvantagens |
|---|---|
| Números tangíveis em dinheiro real | Processo complexo e demorado |
| Ajuda a justificar custos de controles | Difícil determinar valores sem dados históricos |
Failover quase imediato
Equipamento operacional com dados ao vivo
💰💰💰 Opção mais cara
Similar ao hot site
Requer carregamento do conjunto de dados mais recente
💰💰 Custo médio
Demora mais para configurar
Pode ser edifício vazio com acordo de locação
💰 Opção mais barata
| Tipo de Teste | Descrição |
|---|---|
| Exercícios de Mesa (Tabletop) | Discussão de cenários hipotéticos, avalia planos de resposta, identifica lacunas em conhecimento |
| Testes de Failover | Causa falha intencional do sistema primário, avalia transferência automática para secundário |
| Simulações | Experimentos controlados que replicam cenários reais, revelam gargalos e vulnerabilidades |
| Testes de Processamento Paralelo | Executa sistemas primário e backup simultaneamente, valida funcionalidade sem interromper operações |
| Método | Descrição |
|---|---|
| Teste de Penetração | Avalia postura de segurança, identifica vulnerabilidades |
| Cláusula de Direito de Auditoria | Permite auditorias de práticas operacionais |
| Evidência de Auditorias Internas | Demonstra compromisso com governança e conformidade |
| Questionários | Políticas, controles, conformidade, treinamento, resposta a incidentes |
| Método | Descrição |
|---|---|
| Avaliação de Conformidade | Garante alinhamento com leis e regulamentações |
| Comitê de Auditoria | Supervisão independente, membros do conselho |
| Autoavaliação | Indivíduos avaliam próprio desempenho |
| Regulatória | Realizada por autoridades regulatórias |
| Exame | Avaliação formal por auditores externos |
| Avaliação | Exame amplo de desempenho e práticas |
| Auditoria de Terceiros Independente | Avaliações objetivas e imparciais |