Usando LLMs para Modelagem Quantitativa de Risco Cibernético

A quantificação do risco cibernético — a prática de expressar o risco em termos financeiros — tem sido um desafio de longa data para os CISOs, que muitas vezes lutam para comunicar a importância dos investimentos em segurança para a diretoria de uma forma que ela entenda. Frameworks como o FAIR (Factor Analysis of Information Risk) fornecem uma metodologia para isso, mas sua implementação pode ser complexa e demorada. A chegada dos LLMs oferece uma nova e poderosa maneira de automatizar e escalar a modelagem quantitativa de risco.

Um LLM pode ser usado como um 'motor de análise de risco'. Ao ser alimentado com dados contextuais sobre a organização e o cenário de ameaças, ele pode ajudar a estimar as duas principais componentes do risco: a frequência e o impacto de um evento de perda. Por exemplo, um CISO pode usar um LLM com um prompt como: 'Considerando que somos uma empresa de e-commerce de médio porte no Brasil, e com base em relatórios de ameaças da indústria de 2025, qual é a frequência anual provável de um ataque de ransomware bem-sucedido? E qual seria a perda financeira estimada, considerando perda de receita, custo de resposta a incidentes e dano à reputação?'

O LLM pode analisar os relatórios de ameaças para estimar a frequência, e usar dados internos sobre a receita da empresa, o número de clientes e a complexidade da infraestrutura para modelar o impacto financeiro. Isso permite que a equipe de segurança realize análises de risco complexas em uma fração do tempo que levaria manualmente. O LLM pode, então, comparar o custo de diferentes controles de segurança com a redução que eles proporcionam no risco financeiro, calculando o Retorno sobre o Investimento em Segurança (ROSI).

Essa abordagem não substitui o julgamento do analista de risco, mas o aumenta, permitindo-lhe executar mais cenários, testar mais hipóteses e, finalmente, apresentar um caso de negócios muito mais forte e baseado em dados para os investimentos em segurança. Ao traduzir o risco cibernético para a linguagem do negócio — dinheiro — os LLMs estão ajudando a elevar a segurança de uma função de custo para um pilar estratégico da tomada de decisões.