Observando esta imagem podemos entender o seguinte:

1. Em cenários de baixa probabilidade e baixo impacto é cabível o aceite do risco;
2. Em cenários de baixa probabilidade e alto impacto é recomendado transferir o risco (normalmente através da contratação de seguros e/ou terceirização), visando compartilhar o risco com diferentes partes;
3. Quando a probabilidade é alta, mas o impacto é baixo, é possível buscar estratégias de redução a exposição do risco (trazê-lo para um nível aceitável), mas entendendo que reduzir a exposição não evitará eventuais impactos, que deverão ter seus potenciais efeitos contidos;
4. Por último, quando tanto probabilidade quanto impacto forem altos, não caberá outra escolha a não ser evitar ao máximo aquele risco, uma vez que eventuais ganhos potenciais não compensarão o impacto gerado pelo risco em questão.

Vamos analisar de forma mais detida as 4 abordagens de gestão de riscos sugeridas no TARA:

a) TRANSFERIR – transferir riscos é basicamente mover o potencial impacto, que aquele determinado risco pode causar, para outra pessoa.

Via de regra, esta decisão será tomada quando for mais econômico para empresa realizar essa transferência do que lidar com o risco ou quando a outra parte detiver mais condições/expertise para gerenciar aquele risco.

b) EVITAR – quando a decisão é de evitar o risco, significa que este será devidamente identificado e eliminado. É importante entender que neste cenário não se está falando de eliminar um risco existente, mas sim de evitar completamente a geração do risco, ou seja, sequer serão praticadas determinadas atividades e nem serão adotadas determinadas práticas visando que o risco não tenha chance de ser formado.

c) REDUZIR – redução pode envolver tanto a probabilidade, quanto o impacto, ou até mesmo ambos, pois nesta abordagem são implementadas medidas preventivas ou ações de melhoria em processos já existentes para minimizar o risco o máximo possível.

d) ACEITAR – essa decisão, que deve estar muito bem clara, fundamentada e devidamente autorizada pela Alta Gestão da empresa, envolve riscos que têm uma chance de ocorrência muito baixa e impactos que geram consequências mínimas, fazendo com que ações não sejam tomadas para lidar diretamente com este risco.

É importante entender que, mesmo sendo riscos de baixo impacto e probabilidade baixa de ocorrência, a autorização da Alta Direção se faz necessária, de forma específica ou geral, uma vez que aceitação de riscos é uma ação que cabe ao negócio propriamente dito.

Para que as empresas implementem com êxito a estrutura TARA sugere-se a adoção de 4 etapas fundamentais:

1 – Identificação dos riscos:

Um levantamento inicial dos potenciais riscos que podem afetar o negócio. É recomendado que seja feito, em um primeiro levantamento, uma identificação de escopo abrangente, ou seja, visando incluir todas (ou o máximo possível) de áreas da empresa.

2 – Analisar os riscos:

Realizado o levantamento deverá ser feita a análise completa de cada um dos riscos identificados, buscando entender a probabilidade de ocorrência e o impacto/consequências que estes podem trazer para a empresa.

3 – Categorizar os riscos:

Depois de identificados e analisados, os riscos deverão ser categorizados de acordo com as 4 hipóteses que tratamos acima (transferir, aceitar, reduzir ou evitar). Aqui vale duas observações: 1) há frameworks e modelos de gerenciamento de riscos que chamam esta fase de “tratamento do risco”; 2) esta categorização pode ser feita, para melhor ser gerenciada, em um registro de riscos, tal como uma Matriz de Riscos.

4 – Gestão dos riscos:

Uma vez categorizados, estratégias precisarão ser desenvolvidas para lidar com cada categoria e seus respectivos riscos. Nesta fase será desenvolvida a gestão dos riscos como um processo permanente da empresa, ou seja, daqui para frente estes riscos passarão a serem acompanhados e tratados periodicamente.

Como basicamente todo processo de governança este processo para lidar com riscos, seguindo a estruturar TARA, é cíclico e deve ser apoiado/inspirado por um processo de PDCA (Plan, Do, Check, Act).

TARA na ISO 21434:2021

Por fim, cabe complementar que a análise TARA é justamente o método especificado pela ISO 21434:2021 para analisar ameaças e riscos presentes nos componentes de segurança digital automotiva, visando garantir a segurança cibernética dos automóveis que forem homologados.

A execução da TARA na engenharia de segurança cibernética envolve um processo detalhado e sistemático para identificar potenciais ameaças à segurança cibernética do veículo e avaliar os riscos associados.

Esta análise das ameaças e riscos cibernéticos é um processo abrangente que envolve várias etapas, feita após a definição dos itens, recursos e funcionalidades que serão disponibilizados. É um processo que parte da pré-análise até a definição dos requisitos de segurança cibernética, sendo guiado por abordagens e metodologias estruturadas.

Embora a ISO 21434 não forneça um método rigoroso para executar o TARA, com base no resultado das análises realizadas (conforme explicado nos pontos acima) são estabelecidas as bases para definir as metas de segurança cibernética que deverão ser aplicadas aos produtos definidos.

Conclusão

Ao aplicar o processo TARA de forma bem executada, a empresa adota uma postura proativa para lidar com diferentes fatores de risco, o que certamente aumenta a segurança, permite o melhor gerenciamento de custos, melhora a preparação contra-ataques cibernéticos, protege ativos críticos, garante a continuidade das operações e habilita os gestores a tomarem decisões mais conscientes e embasadas para lidar com eventuais incertezas e ameaças.