Ameaças, vulnerabilidades e risco.

Três palavras costumam ser confundidas. Mantenha-as separadas e o resto da segurança fica mais fácil.

• Uma ameaça é algo que poderia causar dano: um criminoso, um erro por descuido, uma tempestade, uma queda de energia, uma enchente.
• Uma vulnerabilidade é uma fraqueza que uma ameaça poderia explorar: uma porta deixada destrancada, um software que não foi atualizado, uma senha escrita em um bilhete.
• Risco é a chance de uma ameaça explorar uma fraqueza, multiplicada pela gravidade do resultado.

Um exemplo. Um rio é uma ameaça para uma casa (ele pode causar uma enchente). Morar no fundo do vale é a vulnerabilidade. O risco é a probabilidade de ocorrer uma enchente, combinada com o tamanho do dano que ela causaria. Levar os móveis para o andar de cima não elimina o rio. Isso reduz parte do impacto.

Pontuação de risco. As equipes geralmente atribuem duas pontuações a cada risco em uma escala simples, como de 1 (baixo) a 5 (alto):

• Probabilidade: qual é a chance de isso acontecer no próximo ano?
• Impacto: quão grave seria se acontecesse?

Então, risco = probabilidade × impacto. Coloque cada risco em uma matriz de 5 × 5 (a matriz de risco); o canto superior direito reúne os problemas mais urgentes. Um exemplo inventado:

Essas pontuações são julgamentos em uma escala ordinal (ordenada, mas não exata). Uma pontuação de 12 não é "duas vezes mais real" que uma de 6. A matriz é uma forma de organizar e discutir, não uma medição de uma grandeza física. Use-a como um bom ponto de partida para a conversa e seja honesto sobre suas limitações.

O que você pode fazer com um risco? Há quatro respostas padrão:

• Reduzi-lo: adicionar uma proteção que diminua a probabilidade, o impacto ou ambos (atualizações, backups, trancas, treinamento).
• Aceitá-lo: decidir que ele é pequeno o suficiente ou caro demais para ser corrigido e conviver com ele conscientemente.
• Transferi-lo: deixar outra pessoa assumir parte do custo, por exemplo por meio de um seguro ou de um provedor de serviços confiável.
• Evitá-lo: parar de fazer a coisa arriscada (não coletar dados de que você não precisa).

Uma proteção que você adiciona é chamada de controle. Todo controle tem um custo (dinheiro, tempo, conveniência), então o verdadeiro trabalho de um defensor é obter a maior redução de risco possível dentro do orçamento.

Risco zero não existe. Até mesmo um computador desligado em uma sala trancada pode ser roubado ou apresentar falhas. O objetivo é ter um risco compreendido e aceitável, não zero.