A quantificação do risco da cadeia de suprimentos é a tradução dos riscos identificados na cadeia de suprimentos em estimativas de exposição financeira, ou seja, o custo esperado para a empresa caso um risco específico da cadeia de suprimentos se concretize, considerando tanto a probabilidade do evento de risco quanto a magnitude de suas consequências. Sem quantificação, o risco da cadeia de suprimentos é expresso em termos qualitativos (alto, médio, baixo), que servem à documentação de riscos, mas não às decisões financeiras que uma gestão de riscos eficaz exige: quanto investir em controles de segurança da cadeia de suprimentos, se o investimento é proporcional ao risco e como o risco da cadeia de suprimentos se compara aos demais riscos corporativos do portfólio.
O framework FAIR é a metodologia mais utilizada para a quantificação do risco cibernético, incluindo a quantificação do risco da cadeia de suprimentos. O FAIR (Factor Analysis of Information Risk) modela o risco como função da frequência de eventos de ameaça e da magnitude da perda. Para o risco da cadeia de suprimentos, a frequência de eventos de ameaça considera: com que frequência ocorrem ataques à cadeia de suprimentos contra organizações do setor da empresa, qual a probabilidade de o fornecedor específico ser visado e qual a probabilidade de o ataque ter sucesso, dada a postura de segurança atual do fornecedor. A magnitude da perda considera as consequências de um ataque bem-sucedido à cadeia de suprimentos por meio desse fornecedor: custos da violação de dados, custos de interrupção operacional, multas regulatórias e danos à reputação.
O desafio dos dados de probabilidade é a dificuldade específica da quantificação da cadeia de suprimentos. Os dados de frequência de ataques à cadeia de suprimentos estão disponíveis em fontes de inteligência de ameaças (a ENISA, a CISA e os ISACs setoriais publicam dados sobre incidentes na cadeia de suprimentos), mas a probabilidade específica de um fornecedor exige julgamento sobre a probabilidade relativa de ele ser visado, com base em seu setor, porte e histórico de incidentes. O nível SLSA, a maturidade do programa de SCA e a postura de segurança do pipeline de build são insumos para a avaliação da probabilidade: um fornecedor com SLSA nível 3 e SCA abrangente tem menos probabilidade de ser comprometido com sucesso por meio de sua cadeia de suprimentos de software do que um fornecedor sem controles de cadeia de suprimentos. A probabilidade não é precisa, mas é melhor do que não medir.
Por que isso importa
A quantificação do risco da cadeia de suprimentos é importante porque converte a documentação de riscos em gestão de riscos. O CISO e o conselho precisam de estimativas de exposição financeira para tomar decisões de investimento, priorizar iniciativas de segurança concorrentes e comunicar a postura de risco às partes interessadas que decidem a alocação de recursos. Classificações de risco que não podem ser traduzidas em termos financeiros não embasam essas decisões: descrevem o risco sem fornecer a base para a ação.
- Risco classificado sem quantificação financeira
- Justificativa de investimento não embasada por estimativas de risco
- A comunicação ao conselho exige termos financeiros que as classificações qualitativas não oferecem
- Priorização de riscos baseada em classificações, e não na comparação das perdas esperadas
- Proporcionalidade do investimento em controles impossível de avaliar sem quantificação
Como é uma boa prática
Programas maduros de quantificação do risco da cadeia de suprimentos aplicam a metodologia FAIR ou equivalente às relações críticas com fornecedores, estimando a frequência de eventos de perda e a magnitude da perda para os cenários de risco mais significativos da cadeia de suprimentos, e expressam os resultados como perda anual esperada (EAL) e exposição à perda no 90º percentil, para apoiar as decisões do conselho e de investimento.
- Quantificação baseada no FAIR para os cenários críticos de risco da cadeia de suprimentos
- Estimativa da frequência de eventos de perda a partir da inteligência de ameaças e da postura do fornecedor
- Estimativa da magnitude da perda, incluindo custos de violação, de interrupção, regulatórios e reputacionais
- Perda anual esperada e 90º percentil como métricas de apoio à decisão
- Cálculo do ROI dos controles a partir da redução do risco versus o investimento
Ferramentas
Quantificação de riscos: RiskLens (plataforma FAIR), Bitsight Risk Quantification, Axio para a quantificação do risco cibernético da cadeia de suprimentos
Plataformas de quantificação de riscos baseadas no FAIR, como RiskLens e Bitsight Risk Quantification, oferecem estruturas organizadas para estimar a exposição financeira a riscos cibernéticos, incluindo os riscos da cadeia de suprimentos. Para os profissionais de TPRM, usar uma plataforma de quantificação para estimar a perda esperada dos três principais riscos da cadeia de suprimentos oferece a base financeira para justificar investimentos e comunicar ao conselho que as classificações qualitativas não conseguem oferecer.
Desafios de governança
O desafio de governança da quantificação do risco da cadeia de suprimentos é a tensão entre precisão e utilidade. As estimativas baseadas no FAIR são intervalos, e não números precisos: expressam os resultados como distribuições, e não como estimativas pontuais. As partes interessadas que buscam números exatos podem se sentir desconfortáveis com estimativas em intervalos. A solução de governança é comunicar o valor dos intervalos: uma perda no 90º percentil de $15 milhões para um cenário de ataque à cadeia de suprimentos oferece mais utilidade para a decisão do que uma classificação de risco alto, ainda que não seja uma previsão exata.
- Aplicar a metodologia FAIR aos três principais cenários de risco da cadeia de suprimentos
- Expressar os resultados como intervalos: perda esperada e 90º percentil
- Usar a quantificação para justificar investimentos: custo do controle versus redução do risco
- Comunicar ao conselho em termos financeiros, e não com classificações qualitativas
- Atualizar a quantificação anualmente e quando a postura de risco do fornecedor mudar de forma relevante
Se você faz parte de uma equipe pequena
Aplique uma análise FAIR simplificada ao seu cenário de cadeia de suprimentos de maior risco. Estime: quantas vezes por ano um ataque à cadeia de suprimentos contra esse fornecedor provavelmente teria sucesso (frequência de eventos de perda)? E, se tivesse, quanto custaria em notificação da violação, interrupção operacional, multa regulatória e impacto reputacional (magnitude da perda)? Multiplique os dois. O resultado é uma perda anual esperada aproximada, imprecisa, mas significativamente melhor do que uma classificação de risco para comunicar a exposição financeira e justificar o investimento em controles. Esse cálculo simplificado leva algumas horas e produz uma estimativa de risco que pode ser comunicada ao conselho.
- Aplicar o FAIR simplificado: frequência de eventos de perda x magnitude da perda para o cenário de maior risco
- Expressar o resultado como intervalo de perda anual esperada
- Usar a estimativa para justificar investimentos e comunicar ao conselho
- Refinar com uma análise FAIR completa para os cenários críticos
O que exigir
Pergunte diretamente:
“Vocês quantificaram a exposição financeira decorrente de um ataque à cadeia de suprimentos contra seus fornecedores mais críticos? E podem compartilhar como usam essa quantificação para priorizar o investimento em segurança da cadeia de suprimentos e comunicar a postura de risco ao conselho?”
O que esperar como evidência
- Metodologia de quantificação de riscos para os riscos da cadeia de suprimentos
- Estimativas de exposição financeira para os cenários críticos da cadeia de suprimentos
- Priorização de investimentos com base no risco quantificado
- Comunicação ao conselho do risco da cadeia de suprimentos em termos financeiros
Um fornecedor que confirma a gestão de riscos da cadeia de suprimentos deve ser questionado se essa gestão inclui quantificação. As classificações de risco documentam o risco. A quantificação embasa as decisões financeiras que uma gestão de riscos eficaz exige.
Como comprovar
- Registros de quantificação do risco da cadeia de suprimentos
- Análise FAIR para os cenários críticos
- Justificativa de investimento baseada no risco quantificado
- Comunicação ao conselho da exposição financeira ao risco da cadeia de suprimentos
Principal conclusão
Classificações de risco: alto, médio, alto. Exposição financeira: não calculada. Comunicação ao conselho: apenas qualitativa. Justificativa de investimento: indisponível. As classificações de risco descrevem a severidade do risco sem fornecer a base financeira para decidir o que fazer a respeito. A quantificação do risco da cadeia de suprimentos (perda anual esperada e exposição no 90º percentil para os cenários de cadeia de suprimentos mais significativos) converte a documentação de riscos em gestão de riscos. Decisões de investimento exigem comparação financeira. A comunicação ao conselho exige um enquadramento financeiro. Uma análise FAIR simplificada leva algumas horas. O resultado embasa as decisões que as classificações qualitativas não conseguem embasar.