Escrito por Leonardo Pinheiro
Em assuntos de segurança moderna, quanto mais avança a tecnologia, avançam também os riscos à exposição e incidentes envolvendo dados. Mais do que prevenir, hoje é necessário gerenciar o risco que pode comprometer a continuidade e os objetivos do negócio.
O KPIs (Key Performance Indicators) de segurança baseados em risco operacional são métricas essenciais para transformar a segurança em um valor estratégico, comunicando sua eficácia em termos de negócio, além dos termos técnicos.
Por que medir segurança com base em risco e não apenas em acidentes?
Quando uma instituição opta por medir sua segurança apenas por métricas reativas (incidentes e acidentes), corre riscos para além do que consegue prever. Em uma analogia cotidiana, é como dirigir olhando apenas pelo retrovisor.
Essa é uma abordagem que falha em indicar o potencial futuro de falha ou indicar a fragilidade dos controles, que não traduz o trabalho da segurança para a linguagem da gestão e que não orienta propriamente qual investimento em segurança deve ser priorizado para obter o maior retorno na redução de risco.
O The State of Human Risk 2025 revelou que 95% das violações de dados envolveram erro humano, o que demonstra que, mesmo com controles técnicos eficazes, o risco operacional sempre estará presente enquanto os comportamentos não forem monitorados e melhorados.
Medir com base em risco é manter o foco nos KRIs (Key Risk Indicators) e na eficácia dos controles, fornecendo sinais de alerta precoce e direcionando recursos para as áreas onde o risco é mais alto.
O ciclo de gestão de riscos e o papel dos KPIs
Como ferramentas vitais em todas as fases do ciclo de gestão, os KPIs prestam serviços em:
- Identificar/Analisar: Os KRIs ajudam a quantificar a probabilidade de um risco se materializar.
- Tratar: Os KPIs de Eficácia de Controles medem o sucesso das ações de tratamento (por exemplo, a implementação de um novo patching).
- Monitorar: O Dashboard de Segurança usa os KPIs para monitorar continuamente o apetite de risco e a postura de segurança da organização.
Os 4 pilares dos KPIs de segurança baseados em risco
Pilar 1: Exposição ao risco (Antes do evento)
O primeiro pilar é responsável por verificar a vulnerabilidade ou a probabilidade de um evento prejudicial ocorrer.
Pilar 2: Eficácia dos controles (Durante a prevenção)
O segundo pilar analisa o desempenho e a confiabilidade das barreiras de segurança implementadas para mitigar o risco.
Pilar 3: Resiliência operacional (Capacidade de resposta)
O terceiro pilar mede a velocidade e a capacidade da organização em detectar, responder e se recuperar de um incidente.
Pilar 4: Impacto nos negócios (Após o evento)
Por fim, o quarto pilar determina a consequência real dos incidentes de segurança nos objetivos estratégicos, financeiros e reputacionais da instituição.
KPIs de exposição ao risco: medindo o que pode dar errado
Abrangendo principalmente os KRIs (Key Risk Indicators), os KPIs de exposição ao risco sinalizam o aumento da probabilidade de um incidente.
Esse foco em exposição ao risco é especialmente relevante quando observamos o impacto do fator humano nos incidentes de segurança. De acordo com o relatório State of the Phish 2024, 68% das organizações brasileiras relataram ter sofrido comprometimento de e-mail corporativo, um dos vetores mais recorrentes de ataques baseados em engenharia social.
Esse cenário reforça a necessidade de medir riscos antes que eles se materializem em incidentes, utilizando indicadores preventivos e comportamentais. Os indicadores mais comuns são:
- Percentual de Ativos Críticos Sem Proteção: Proporção de servidores, aplicações ou dados de alto valor que não estão cobertos por firewalls, antivírus ou sistemas de monitoramento.
- Tempo Médio de Vida da Vulnerabilidade Crítica: Tempo que uma vulnerabilidade classificada como alta/crítica permanece sem correção – o indicador direto do risco de exploração.
- Taxa de Falha de Testes de Phishing: Percentual de colaboradores que clicam em links maliciosos em simulações – o indicador de risco humano.
KPIs de eficácia de controles: validando as barreiras de segurança
Verificando a eficiência e cobertura das defesas em vigor, as populares “barreiras”, é responsável pela:
- Taxa de Sucesso do Patching: Percentual de patches críticos instalados dentro do SLA (Service Level Agreement).
- Taxa de Conformidade de Acesso: Percentual de colaboradores com privilégios de acesso que estão em conformidade com o princípio do Mínimo Privilégio.
- Cobertura de Monitoramento (SIEM): Percentual de ativos críticos (em termos de risco) que estão sendo ativamente monitorados pelo sistema de Gerenciamento de Eventos e Informações de Segurança (SIEM).
KPIs de resiliência operacional: preparação para o inevitável
De extrema importância, os KPIs de resiliência operacional focam na capacidade de a organização sobreviver e se recuperar de um evento por meio de:
- MTTD (Mean Time to Detect – Tempo Médio para Detecção): Tempo entre o início do incidente e a sua identificação pela equipe de segurança. Um MTTD baixo é crucial.
- MTTR (Mean Time to Recover/Repair – Tempo Médio para Recuperação): Tempo necessário para restaurar as operações de negócio a um nível aceitável após um incidente (diretamente ligado ao RTO – Recovery Time Objective).
- Sucesso de Testes de Continuidade de Negócios: Percentual de cenários de recuperação testados que atingiram os objetivos de tempo e ponto de recuperação (RTO/RPO).
KPIs de impacto nos negócios: conectando segurança com resultados
Traduzindo os incidentes em dados de perda real para a organização, os KPIs de impacto calculam:
- Perda Financeira Média por Incidente: Custo médio (direto e indireto) por incidente (multas, custos de investigação, perda de receita, etc.).
- Tempo de Inatividade dos Sistemas Críticos (Downtime): Total de horas que os serviços essenciais ficaram indisponíveis devido a incidentes de segurança.
- Custo de Remediação: Custo total (horas de trabalho e recursos) gastos para responder e consertar os danos após um evento de segurança.
Como definir seus KPIs prioritários?
Critério 1: alinhamento com os riscos críticos do negócio
O KPI deve ser uma medida direta dos controles que mitigam os riscos identificados no Top 5 dentro do Mapa de Riscos Operacionais da empresa.
Por exemplo, se “Perda de Dados Confidenciais” é o risco crítico, o KPI deve medir a eficácia dos controles de DLP – Data Loss Prevention.
Critério 2: capacidade de influência pela equipe de segurança
O KPI precisa medir algo que a equipe de segurança pode ativamente modificar.
De nada adianta medir o risco de fraude se a segurança não tem controle sobre o treinamento financeiro ou processos internos.
Critério 3: viabilidade de coleta e medição
O dado para o KPI deve ser confiável, consistente e facilmente coletável (idealmente de forma automatizada) pelos sistemas existentes.
KPIs complexos ou com coleta manual tendem a falhar ou serem inconsistentes.
Dashboard de segurança: como visualizar e reportar os KPIs?
O reporte deve ser adaptado ao público, seguindo a regra do Top-Down:
- Alta Administração (Conselho/CEO): Foco nos Impactos e Exposição ao Risco. Recomendado usar um velocímetro ou mapa de calor simples, destacando apenas 3-5 KRIs principais. A cor (verde, amarelo, vermelho) pode ser a mensagem principal.
- Gerência (Tática): Foco na Eficácia dos Controles e Resiliência. Relatório mais detalhado com tendências, metas e os KPIs de MTTR/MTTD.
- Equipe Técnica (Operacional): Foco nos Dados Brutos e nos KPIs de Tarefa (por exemplo, número de tickets abertos/fechados).
Utilize a visualização para, então, conectar os pilares:
- Exponha o Risco (KRI): Indique onde há alto risco. Ex: Alto número de vulnerabilidades.
- Mostre a Ação (KPI de Controle): Aponte como a equipe está atuando para reduzir o risco. Ex: Porcentagem de taxa de patching realizada.
- Comunique o Resultado (KPI de Impacto): Exponha a consequência nos resultados do negócio. Ex: Redução de 40% no downtime não planejado.
É dessa forma que a instituição mantém altos padrões em segurança da informação e mitiga os riscos de acidentes e incidentes com data.
Para mais informações e adequações de segurança da informação para o seu negócio, utilize a consultoria da Clavis, empresa especializada em gestão de riscos e segurança baseada em dados.
Não fique desprotegido. Entre em contato agora com a Clavis e garanta serviços de alto padrão em segurança para você e sua empresa.
