Como conduzir uma avaliação de risco NIS2 usando IA

Visão geral

Você aprenderá como usar IA para conduzir uma avaliação de risco NIS2 abrangente alinhada ao Artigo 21. Este guia aborda a abordagem de todos os perigos exigida pela Diretiva, identificando tanto riscos cibernéticos quanto não cibernéticos, aplicando o princípio da proporcionalidade, construindo uma metodologia de risco adaptada ao tipo de sua entidade, criando registros de risco detalhados, analisando seu cenário de ameaças e mapeando o tratamento de riscos para as dez áreas de medidas do Artigo 21.

A quem se destina este guia

Este guia é para:

• Gestores de risco e CISOs responsáveis pelos processos de avaliação de risco NIS2
• Oficiais de conformidade que estão construindo ou atualizando estruturas de gestão de risco para NIS2
• Consultores de segurança que realizam avaliações de risco NIS2 para clientes em setores críticos
• Gestores de TI que precisam traduzir os requisitos do Artigo 21 em planos de tratamento de risco acionáveis
• Membros do órgão de gestão que devem aprovar medidas de gestão de risco e entender sua responsabilidade pessoal sob o Artigo 20

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Sua determinação de escopo NIS2 (classificação de entidade essencial ou importante) -- veja How to Get Started with NIS2 Implementation Using AI se ainda não concluiu esta etapa
• Um inventário de seus sistemas, redes e serviços de informação críticos
• Sua documentação atual de avaliação de risco (se houver)
• Aprovação do órgão de gestão para o processo de avaliação de risco (Artigo 20)

Compreendendo os requisitos de avaliação de risco da NIS2

O que o Artigo 21 exige

O Artigo 21(1) da Diretiva NIS2 exige que entidades essenciais e importantes adotem medidas técnicas, operacionais e organizacionais adequadas e proporcionais para gerenciar os riscos à segurança das redes e sistemas de informação que essas entidades utilizam para suas operações ou para a prestação de seus serviços. Essas medidas devem ser baseadas em uma abordagem de todos os perigos e devem visar proteger as redes e sistemas de informação e seu ambiente físico contra incidentes.

A abordagem de todos os perigos significa que sua avaliação de risco deve abordar:

• Ameaças cibernéticas: Ransomware, phishing, ameaças persistentes avançadas, DDoS, comprometimento da cadeia de suprimentos, ameaças internas
• Ameaças físicas: Acesso físico não autorizado, roubo de equipamentos, sabotagem, vandalismo
• Ameaças ambientais: Desastres naturais, inundações, incêndios, quedas de energia, eventos climáticos extremos
• Fatores humanos: Erro humano, engenharia social, treinamento insuficiente, dependência de pessoas-chave
• Riscos da cadeia de suprimentos: Comprometimento de fornecedores, dependência de fornecedores únicos, vulnerabilidades de terceiros
• Falhas técnicas: Falha de hardware, defeitos de software, esgotamento de capacidade, erros de configuração

O princípio da proporcionalidade

O Artigo 21(1) afirma explicitamente que as medidas devem ser proporcionais a:

• O grau de exposição da entidade aos riscos
• O tamanho da entidade
• A probabilidade e gravidade dos incidentes
• O impacto social e econômico dos incidentes

Isso significa que um pequeno provedor de serviços gerenciados classificado como entidade essencial terá expectativas de controle diferentes de um grande provedor de energia, embora ambos devam abordar todas as dez áreas de medidas. Sua avaliação de risco deve documentar como a proporcionalidade foi aplicada.

Como a IA transforma a avaliação de risco NIS2

A avaliação de risco tradicional para NIS2 exige expertise profunda em múltiplos domínios de ameaças, conhecimento específico do setor e a capacidade de mapear centenas de riscos para medidas de controle. O ISMS Copilot acelera esse processo ao:

• Inteligência de ameaças específica do setor: Gerando cenários de ameaças adaptados ao seu setor específico com base em relatórios da ENISA e padrões de ataque do mundo real
• Identificação abrangente de riscos: Garantindo cobertura de todos os perigos ao gerar sistematicamente cenários de risco em todas as categorias de ameaças
• Pontuação consistente: Aplicando critérios de probabilidade e impacto de forma consistente em centenas de cenários de risco
• Mapeamento de controles: Mapeando automaticamente os riscos identificados para as áreas de medidas apropriadas do Artigo 21 e controles específicos
• Geração de registro de riscos: Produzindo registros de riscos estruturados e prontos para auditoria em minutos, em vez de semanas

Etapa 1: Definir sua metodologia de avaliação de risco

Por que a metodologia deve vir primeiro

Antes de identificar quaisquer riscos, você deve estabelecer e documentar sua metodologia de avaliação de risco. As autoridades supervisoras verificarão se existe uma metodologia, se foi aprovada pelo órgão de gestão e se foi aplicada de forma consistente em todos os riscos avaliados.

Construindo a metodologia com IA

1. Gerar a estrutura da metodologia:

   "Crie uma metodologia abrangente de avaliação de risco NIS2 para uma organização do setor [sector] classificada como entidade [essential/important] com [employee count] funcionários. A metodologia deve: adotar uma abordagem de todos os perigos conforme exigido pelo Artigo 21(1), incluir etapas de identificação, análise, avaliação e tratamento de riscos, definir escalas de probabilidade e impacto (5 pontos), incluir cálculo de risco e critérios de aceitação de risco, abordar o princípio da proporcionalidade e ser adequada para aprovação pelo nosso órgão de gestão."

2. Definir critérios de impacto adaptados à NIS2:

   "Crie critérios de avaliação de impacto específicos para NIS2 abrangendo cinco dimensões: (1) interrupção operacional de serviços essenciais/importantes, (2) perda financeira incluindo possíveis penalidades regulatórias de até EUR [10M/7M] ou [2%/1.4%] do faturamento, (3) impacto em outras entidades e setores (efeitos em cascata), (4) número de usuários/beneficiários afetados e (5) impacto reputacional e social. Forneça uma escala de 5 pontos com exemplos concretos para cada dimensão relevante para uma organização do setor [sector]."

3. Definir critérios de probabilidade:

   "Crie critérios de avaliação de probabilidade de risco para nossa avaliação de risco NIS2. Inclua uma escala de 5 pontos (Raro/Improvável/Possível/Provável/Quase Certo) com: definições baseadas em frequência, definições baseadas na capacidade da ameaça e exemplos específicos do setor. Referencie dados atuais do cenário de ameaças da ENISA para o nosso setor [sector]."

4. Estabelecer limites de aceitação de risco:

   "Defina critérios de aceitação de risco para conformidade com a NIS2. O apetite ao risco da nossa organização é [conservative/moderate/aggressive]. Crie: uma matriz de risco (5x5) com níveis de risco codificados por cores, limites de aceitação por nível de risco (aceitar/mitigar/transferir/evitar), regras de escalonamento para riscos acima da tolerância e níveis de autoridade de aprovação (proprietário do risco/CISO/órgão de gestão) para cada decisão de tratamento."

Etapa 2: Identificar e catalogar seus ativos

O que incluir no inventário de ativos

A avaliação de risco NIS2 requer um entendimento completo das redes e sistemas de informação que sua organização utiliza para operações e prestação de serviços. Seu inventário de ativos deve abranger:

Categoria de ativo

Exemplos

Relevância para NIS2

Ativos de informação

Dados de clientes, dados operacionais, dados de configuração, credenciais

Confidencialidade, integridade, disponibilidade dos serviços

Hardware

Servidores, equipamentos de rede, sistemas OT/ICS, endpoints, dispositivos IoT

Proteção do ambiente físico, controle de acesso

Software

Sistemas operacionais, aplicações, firmware, sistemas SCADA/DCS

Tratamento de vulnerabilidades, segurança na aquisição

Infraestrutura de rede

Roteadores, switches, firewalls, VPNs, redes sem fio

Segurança de rede, segmentação, monitoramento

Serviços em nuvem

Provedores IaaS, PaaS, SaaS, CDN, DNS

Segurança da cadeia de suprimentos, risco de terceiros

Pessoas

Pessoal-chave, administradores, contratados terceirizados

Segurança de RH, controle de acesso, treinamento

Instalações

Data centers, escritórios, locais industriais, salas de controle

Ambiente físico, continuidade de negócios

Serviços

Serviços essenciais/importantes prestados, serviços de suporte

Disponibilidade do serviço, avaliação de impacto de incidentes

Gerando seu inventário de ativos com IA

1. Criar o modelo de inventário:

   "Gere um modelo abrangente de inventário de ativos para avaliação de risco NIS2 em uma organização do setor [sector]. Inclua colunas para: ID do Ativo, Nome do Ativo, Categoria do Ativo, Descrição, Proprietário do Ativo, Criticidade para o Negócio (1-5), Dependências (a montante/a jusante), Localização, Relevância para a Área de Medida NIS2 e Medidas de Proteção Atuais. Preencha previamente com ativos típicos para uma entidade do setor [sector]."

2. Identificar dependências críticas de serviços:

   "Para nossa organização do setor [sector] que fornece [descrever serviços essenciais/importantes], mapeie as dependências críticas entre nossos serviços e ativos subjacentes. Crie uma árvore de dependência mostrando: quais ativos suportam quais serviços, pontos únicos de falha e caminhos de impacto em cascata se ativos específicos forem comprometidos. Isso é crítico para a avaliação de impacto de incidentes NIS2."

3. Classificar ativos por criticidade:

   "Aplique classificações de criticidade para o negócio ao nosso inventário de ativos para avaliação de risco NIS2. Os critérios de classificação devem considerar: impacto na prestação de serviços essenciais/importantes se o ativo for comprometido, requisitos de tempo de recuperação, sensibilidade regulatória e interconexão com outros ativos críticos. Atribua níveis de criticidade (Crítico/Alto/Médio/Baixo) com justificativa para cada um."

Etapa 3: Analisar seu cenário de ameaças

Construindo um perfil de ameaças específico do setor

A NIS2 exige uma abordagem de todos os perigos, mas as ameaças específicas que sua organização enfrenta dependem fortemente do seu setor, localização geográfica e ambiente tecnológico. A ENISA publica relatórios anuais sobre o cenário de ameaças que fornecem inteligência específica para cada setor.

1. Gerar seu cenário de ameaças:

   "Crie uma análise abrangente do cenário de ameaças para nossa organização do setor [sector] para a avaliação de risco NIS2. Inclua: (1) Ameaças cibernéticas: principais vetores de ataque direcionados ao nosso setor (com exemplos recentes), atores de ameaça mais relevantes para o nosso setor (patrocinados por Estados, cibercriminosos, hacktivistas, insiders) e ameaças emergentes. (2) Ameaças físicas: acesso físico não autorizado, roubo de equipamentos, sabotagem. (3) Ameaças ambientais: desastres naturais relevantes para nossa [location], riscos à rede elétrica, riscos relacionados ao clima. (4) Ameaças humanas: padrões de engenharia social no nosso setor, indicadores de ameaça interna, dependência de pessoas-chave. (5) Ameaças à cadeia de suprimentos: padrões comuns de ataques à cadeia de suprimentos no nosso setor, riscos de dependência. Referencie dados do cenário de ameaças da ENISA quando aplicável."

2. Avaliar capacidades dos atores de ameaça:

   "Para cada categoria de ator de ameaça relevante para nossa entidade do setor [sector], avalie: motivação (financeira, espionagem, interrupção, ideológica), nível de capacidade (oportunista a avançado), métodos típicos de ataque, padrões de direcionamento para o nosso setor e incidentes históricos que afetaram organizações semelhantes. Apresente isso como uma matriz de perfil de atores de ameaça."

3. Identificar cenários de ataque específicos do setor:

   "Gere 20 cenários de ataque realistas específicos para uma organização do setor [sector] para a avaliação de risco NIS2. Cada cenário deve incluir: ator da ameaça, vetor de ataque, ativos visados, impacto potencial nos serviços essenciais/importantes, avaliação de probabilidade e efeitos em cascata em outras entidades ou setores. Inclua cenários cibernéticos e não cibernéticos para satisfazer o requisito de todos os perigos."

Etapa 4: Realizar a avaliação de risco

Identificação de riscos

Com seu inventário de ativos e cenário de ameaças estabelecidos, identifique sistematicamente os riscos considerando como cada ameaça poderia explorar vulnerabilidades em cada ativo crítico e qual seria o impacto em seus serviços essenciais ou importantes.

1. Gerar o registro inicial de riscos:

   "Usando o inventário de ativos e o cenário de ameaças que desenvolvemos, gere um registro abrangente de riscos para nossa avaliação de risco NIS2. Para cada entrada de risco, inclua: ID do Risco, Título do Risco, Descrição do Risco (ameaça + vulnerabilidade + impacto), Ativo(s) Afetado(s), Categoria da Ameaça (cibernética/física/ambiental/humana/cadeia de suprimentos), Área(s) de Medida do Artigo 21 da NIS2 Afetada(s), Controles Existentes, Probabilidade Residual (1-5), Impacto Residual (1-5), Pontuação do Risco, Nível do Risco, Proprietário do Risco e Tratamento Recomendado. Gere pelo menos 40 riscos abrangendo todas as categorias de ameaças para uma organização do setor [sector]."

2. Garantir cobertura de todos os perigos:

   "Revise nosso registro de riscos para completude em relação a todos os perigos. Verifique se temos cobertura adequada em: ameaças cibernéticas (mínimo 15 riscos), ameaças físicas (mínimo 5 riscos), ameaças ambientais (mínimo 5 riscos), riscos de fatores humanos (mínimo 5 riscos), riscos da cadeia de suprimentos (mínimo 5 riscos) e riscos de falhas técnicas (mínimo 5 riscos). Identifique quaisquer lacunas e gere entradas de risco adicionais para preenchê-las."

3. Avaliar impactos em cascata e entre setores:

   "Para os 10 riscos mais bem avaliados em nosso registro, analise os potenciais impactos em cascata: (1) como esse risco poderia afetar outras entidades que dependem de nossos serviços, (2) como a interrupção de nossos serviços poderia se propagar em nosso setor, (3) se o impacto poderia se estender a outros setores da NIS2. Essa análise de impacto em cascata é crítica para a determinação da significância de incidentes na NIS2."

Avaliação e pontuação de riscos

1. Aplicar pontuação consistente:

   "Revise e valide as pontuações de risco em nosso registro de riscos. Para cada risco, verifique se: a avaliação de probabilidade reflete a inteligência de ameaças atual para nosso setor, a avaliação de impacto considera todas as cinco dimensões de impacto relevantes para a NIS2 (interrupção operacional, perda financeira, efeitos em cascata, usuários afetados, impacto social), e o cálculo da pontuação de risco segue nossa metodologia aprovada. Sinalize quaisquer inconsistências e recomende ajustes."

2. Criar um mapa de calor de riscos:

   "Gere uma visualização de mapa de calor de riscos para nosso registro de riscos NIS2 mostrando: a distribuição dos riscos por níveis de probabilidade e impacto, agrupamento de riscos por categoria de ameaça e identificação dos principais agrupamentos de riscos que requerem tratamento prioritário. Formate como uma tabela HTML com células codificadas por cores."

Etapa 5: Desenvolver planos de tratamento de risco alinhados ao Artigo 21

Mapeamento de riscos para as áreas de medidas do Artigo 21

Cada risco em seu registro deve ser vinculado a uma ou mais das dez áreas de medidas do Artigo 21(2), e seus planos de tratamento devem especificar os controles que abordam cada risco. Isso cria o rastro de auditoria desde a identificação do risco até a implementação do controle.

1. Mapear riscos para controles:

   "Para cada risco em nosso registro de riscos, mapeie o tratamento recomendado para áreas específicas de medidas do Artigo 21(2) da NIS2: (a) análise de risco e políticas de segurança da informação, (b) tratamento de incidentes, (c) continuidade de negócios e recuperação de desastres, (d) segurança da cadeia de suprimentos, (e) segurança de redes e sistemas de informação, incluindo tratamento de vulnerabilidades, (f) avaliação de eficácia, (g) ciber-higiene e treinamento, (h) criptografia, (i) segurança de RH, controle de acesso e gestão de ativos, (j) autenticação multifator e comunicações seguras. Para cada mapeamento, especifique o controle concreto a ser implementado e a redução de risco esperada."

2. Criar planos de tratamento de risco:

   "Para os 20 principais riscos em nosso registro que excedem nosso limite de aceitação de risco, gere planos detalhados de tratamento de risco. Cada plano deve incluir: ID do Risco, Decisão de Tratamento (mitigar/transferir/evitar), Controles Específicos a Implementar, Pessoa Responsável, Cronograma de Implementação, Risco Residual Esperado Após o Tratamento, Requisitos de Recursos e Critérios de Sucesso. Garanta que os tratamentos sejam proporcionais ao tamanho e exposição ao risco de nossa organização, conforme exigido pelo Artigo 21(1) da NIS2."

3. Documentar decisões de aceitação de risco:

   "Para riscos que estão dentro do nosso limite de aceitação, gere declarações formais de aceitação de risco. Cada declaração deve incluir: ID do Risco, Descrição do Risco, Pontuação Atual do Risco, Justificativa para Aceitação (incluindo raciocínio de proporcionalidade), Condições para Reavaliação, Autoridade de Aceitação (proprietário do risco ou órgão de gestão) e Data de Revisão. Essas declarações devem ser aprovadas pela autoridade apropriada conforme nossa metodologia de risco."

Aplicando o princípio da proporcionalidade aos tratamentos

A NIS2 não exige controles idênticos em todas as organizações. Seus tratamentos devem ser proporcionais à sua exposição específica ao risco.

"Revise nossos planos de tratamento de risco quanto à conformidade com a proporcionalidade. Nossa organização tem [employee count] funcionários, EUR [turnover] de faturamento anual e opera no setor [sector] como uma entidade [essential/important]. Para cada tratamento proposto, avalie se ele é: (1) proporcional ao nosso tamanho e recursos, (2) proporcional à probabilidade e gravidade do risco, (3) alinhado com as práticas de ponta para nosso setor e (4) custo-efetivo em relação à redução de risco alcançada. Sinalize quaisquer tratamentos que possam ser desproporcionalmente caros ou insuficientes e recomende alternativas."

Etapa 6: Documentar e apresentar a avaliação de risco

Criando o relatório formal de avaliação de risco

1. Gerar o relatório:

   "Crie um Relatório Formal de Avaliação de Risco NIS2 para nossa organização. Estruture o relatório da seguinte forma: (1) Resumo Executivo com principais conclusões e riscos prioritários, (2) Escopo e Metodologia (referência à nossa metodologia aprovada), (3) Resumo do Inventário de Ativos, (4) Análise do Cenário de Ameaças, (5) Registro de Riscos com detalhes completos de pontuação, (6) Mapa de Calor de Riscos, (7) Planos de Tratamento de Riscos para riscos que excedem o limite de aceitação, (8) Declarações de Aceitação de Riscos para riscos aceitos, (9) Mapeamento de Riscos para as Áreas de Medidas do Artigo 21(2), (10) Avaliação de Proporcionalidade, (11) Recomendações e Próximos Passos, (12) Apêndices (registro completo de riscos, perfis de ameaças, inventário de ativos). Este relatório será apresentado ao órgão de gestão para aprovação."

2. Criar o resumo para o órgão de gestão:

   "Crie um resumo executivo de 3 páginas dos resultados de nossa avaliação de risco NIS2 para o órgão de gestão. Foque em: 10 principais riscos e seu impacto nos negócios, áreas onde estamos mais expostos, investimentos necessários para o tratamento de riscos, cronograma para implementação de tratamentos prioritários e as obrigações específicas de aprovação e supervisão do órgão de gestão. Inclua uma recomendação clara para uma resolução do órgão de gestão aprovando o plano de tratamento de riscos."

Etapa 7: Estabelecer monitoramento contínuo de riscos

Gestão contínua de riscos

A conformidade com a NIS2 não é um exercício único. Sua avaliação de risco deve ser revisada e atualizada regularmente e sempre que ocorrerem mudanças significativas.

1. Definir o ciclo de revisão:

   "Crie um cronograma de revisão e atualização da avaliação de risco para conformidade contínua com a NIS2. Defina: (1) Frequência de revisão regular (recomenda-se trimestral para entidades essenciais, semestral para entidades importantes), (2) Eventos desencadeadores que exigem reavaliação imediata (novas ameaças, incidentes, mudanças organizacionais, mudanças na cadeia de suprimentos, atualizações regulatórias), (3) Funções responsáveis pelo monitoramento e escalonamento, (4) Processo para atualização do registro de riscos e planos de tratamento, (5) Frequência de relatórios para o órgão de gestão."

2. Construir procedimentos de monitoramento de ameaças:

   "Crie um procedimento de monitoramento de inteligência de ameaças para nossa organização do setor [sector] para apoiar a avaliação contínua de risco NIS2. Inclua: fontes a monitorar (ENISA, alertas do CSIRT nacional, ISACs do setor, boletins de segurança de fornecedores), frequência de monitoramento, critérios para escalonar novas ameaças para reavaliação de risco e integração com nossas capacidades de detecção de incidentes."

Armadilhas comuns na avaliação de risco e como evitá-las

Armadilha

Por que é importante para a NIS2

Como evitá-la

Foco apenas em cibernético

Viola o requisito de todos os perigos do Artigo 21(1)

Avalie sistematicamente riscos físicos, ambientais e humanos juntamente com ameaças cibernéticas

Metodologia não documentada

Autoridades supervisoras exigem evidência de uma abordagem consistente e repetível

Documente e obtenha aprovação do órgão de gestão antes de iniciar a avaliação

Ignorar impactos em cascata

A significância de incidentes na NIS2 considera impacto em outras entidades e setores

Analise o impacto entre entidades e setores para riscos altamente avaliados

Controles desproporcionais

O Artigo 21(1) exige proporcionalidade -- controle excessivo ou insuficiente é não conforme

Documente o raciocínio de proporcionalidade para cada decisão de tratamento

Registro de riscos estático

O cenário de riscos muda continuamente; um registro desatualizado demonstra má governança

Estabeleça revisões trimestrais e processos de reavaliação baseados em gatilhos

Falta de aprovação da gestão

O Artigo 20 exige aprovação do órgão de gestão das medidas de gestão de risco

Apresente a avaliação de risco e os planos de tratamento ao conselho; registre a aprovação em ata

Falta de cobertura de riscos da cadeia de suprimentos

O Artigo 21(2)(d) exige especificamente avaliação de riscos da cadeia de suprimentos

Inclua riscos de fornecedores e terceiros sistematicamente no registro

Próximos passos

Com sua avaliação de risco concluída, você agora tem a base para implementar controles NIS2 em todas as áreas de medidas do Artigo 21.

Continue com os próximos guias desta série:

• Criação de políticas: Veja How to Create NIS2 Cybersecurity Policies Using AI para traduzir seus planos de tratamento de risco em políticas prontas para auditoria para cada uma das dez áreas de medidas do Artigo 21
• Relato de incidentes: Veja How to Implement NIS2 Incident Reporting Using AI para construir as capacidades de detecção e relato de incidentes identificadas em seus planos de tratamento de risco
• Segurança da cadeia de suprimentos: Veja How to Manage NIS2 Supply Chain Security Using AI para orientações detalhadas sobre como abordar os riscos da cadeia de suprimentos identificados em seu registro

Se ainda não concluiu a configuração inicial, comece com How to Get Started with NIS2 Implementation Using AI para escopo, governança e configuração do espaço de trabalho.

Para prompts prontos para uso em avaliação de risco, explore a NIS2 Directive Prompt Library. Para uma visão geral abrangente de todos os requisitos da NIS2, consulte o NIS2 Compliance Guide for In-Scope Companies.

Obtendo ajuda

Para suporte adicional com a avaliação de risco NIS2:

• Pergunte ao ISMS Copilot: Use seu espaço de trabalho NIS2 para perguntas contínuas sobre avaliação de risco e atualizações
• Carregue dados de risco existentes: Obtenha análise de IA de seus registros de risco, avaliações de ameaças ou inventários de controles atuais
• Orientações específicas do setor: Solicite cenários de ameaças e riscos adaptados ao seu setor e ambiente operacional específicos
• Alinhamento de frameworks: Obtenha orientações sobre como alinhar a avaliação de risco NIS2 com ISO 27005, ISO 31000 ou outros padrões de gestão de risco que você já utiliza