Metodologia
De onde vem o número.
Nada aqui é caixa-preta. O método é público porque um número que o conselho não consegue auditar não vale nada em reunião.
01O cenário
Sete cenários, não uma lista de ameaças.
A unidade de análise é o cenário de perda: um evento com começo, meio e conta. Ransomware com parada de operação é um cenário; "malware" não é. Todos saem em reais; conta corporativa comprometida entra como agravante da frequência dos outros, e IA não autorizada só ganha valor quando há tráfego observado.
- Cada cenário tem frequência e impacto estimados separadamente.
- A frequência vem do histórico da própria empresa quando existe; sem ele, da referência do setor e do porte, ajustada pelos sinais observados.
- O impacto separa perda primária (sempre que ocorre) de secundária (só se alguém de fora reagir).
02A faixa
Simulação, não conta de cabeça.
Cada cenário roda milhares de simulações e sai como distribuição, não como número. O que aparece na tela é a faixa de P10 a P90, a chance de um incidente grave no ano e o custo de um ano ruim.
- Sem dado, o cenário aparece sem medida e com o motivo, nunca como zero.
- Ponto único é proibido em toda superfície do produto e deste site.
- A escala é sempre a mesma entre antes e depois, para que a comparação seja honesta.
03A confiança
O número carrega a qualidade da própria prova.
A confiança não é opinião: é função de quantas disciplinas têm fonte conectada para aquele cenário, de que degrau de prova cada controle alcançou e de quão velha está a evidência.
- Declarado, evidenciado e validado pesam diferente, e só teste valida.
- Evidência vencida deixa de contar como prova, sem ninguém mexer.
- A Indene diz qual próxima conexão aumenta mais a confiança.
04Os limites
O que o método não faz.
Um método honesto declara onde para. A Indene não prevê incidente, não substitui o time de segurança e não emite certificado.
- Não é previsão: é distribuição de perda anual sob as condições observadas.
- Não substitui GRC, red team nem auditoria independente; organiza e prova o trabalho deles.
- Sem fonte conectada, o número existe mas a confiança é baixa, e isso está escrito na tela.