EBIOS RM vs ISO 27005: o confronto.

Como cada método funciona realmente num projeto

A divisão entre os dois métodos não é uma questão de qualidade; é uma questão de ponto de partida. A ISO 27005 parte dos ativos e das ameaças e avança para fora até um registo de risco completo. O EBIOS RM parte daquilo que a organização teme perder e recua, percorrendo o atacante que causaria essa perda. Os dois produzem artefactos diferentes porque colocam questões de abertura diferentes, e essa diferença é o que o seu auditor, o seu conselho de administração e o seu plano de projeto irão sentir.

O trabalho de ISO 27005 é iterativo e exaustivo por concepção. Estabelece o contexto, identifica riscos em todo o âmbito, analisa a probabilidade e a consequência, avalia face aos critérios de aceitação e, depois, trata. O resultado é um registo vivo que se reexecuta de forma cíclica. É o motor de risco natural para um ISMS ISO 27001 porque fala a mesma linguagem do sistema de gestão: âmbito, critérios, plano de tratamento, risco residual, aprovação.

O EBIOS RM corre como cinco workshops com uma sequência definida: enquadramento e base de segurança, origens do risco, cenários estratégicos, cenários operacionais e tratamento de risco. O método obriga-o a nomear primeiro os eventos temidos, depois as fontes de risco (quem atacaria e porquê), depois os percursos de ataque de alto nível, antes de sequer tocar num controlo. O curso EBIOS Risk Manager percorre cada workshop com entregáveis reais, para que saia capaz de facilitar a sequência, e não apenas de a descrever.

EBIOS RM vs ISO 27005 em síntese

A tabela abaixo é a comparação de que a maioria das equipas precisa na sala: não a filosofia, mas em que cada método se foca, o que lhe entrega no final e onde é realmente esperado.

Como ambos se mapeiam à ISO 27001

A ISO 27001 exige um processo definido de avaliação e tratamento do risco de segurança da informação, mas não impõe um método específico. Esse único facto é a razão pela qual esta comparação existe. A Cláusula 6.1.2 diz-lhe para avaliar o risco e produzir uma Declaração de Aplicabilidade; não lhe diz para usar a ISO 27005 ou qualquer outra coisa. Os auditores verificam que o seu processo é consistente, repetível e produz decisões de tratamento defensáveis. O método é à sua escolha.

A ISO 27005 é aqui o caminho de menor resistência porque foi escrita para ser a camada metodológica sob a norma. A sua terminologia, a sua lógica de critérios de aceitação e a sua estrutura de plano de tratamento encaixam diretamente no ISMS sem tradução. Se está a construir ou a operar o sistema de gestão, aprenda o motor que lhe serve: o curso ISO/IEC 27005 Risk Manager abrange o ciclo completo de avaliação e tratamento, enquanto o curso ISO/IEC 27005 Foundation é o ponto de entrada certo se precisar dos conceitos antes de facilitar.

O EBIOS RM mapeia-se à mesma cláusula a partir de um ângulo diferente. Não substitui o registo; afina o topo dele. Os cenários estratégicos tornam-se o pequeno conjunto de riscos que justificam o maior escrutínio na SoA e no dossiê do conselho de administração. As equipas que precisam de dominar a metodologia de ponta a ponta, incluindo a governação da avaliação e o papel de liderança em toda a organização, fazem o curso ISO/IEC 27005 Lead Risk Manager.

A decisão: qual deles, e quando ambos

A maioria das equipas enquadra isto como um ou outro e depois arrepende-se. A resposta honesta é que a questão tem duas camadas: o que a sua auditoria ou o seu setor exige, e o que o seu panorama de risco realmente precisa. Resolva-as nessa ordem.

1. Se estiver em jogo um comprador influenciado pela ANSSI, um contrato público francês, ou uma obrigação OIV/OES, o EBIOS RM é a linguagem esperada. Lidere com ele na camada estratégica.
2. Se a sua garantia provém de um certificado internacional ISO 27001 ou de auditorias de clientes multinacionais, a ISO 27005 é o padrão que o auditor lê com fluência.
3. Se tem um problema real de adversário (um alvo de elevado valor, um serviço crítico regulado, risco cibernético ao nível do conselho de administração), corra o EBIOS RM sobre o registo para fazer emergir os cenários que justificam escalada.
4. Se não tem nem um mandato do setor francês nem um perfil agudo de adversário, a ISO 27005 sozinha é suficiente e mais barata de operar.

Correr ambos não é redundante quando se delimita corretamente o âmbito. A ISO 27005 dá-lhe amplitude: cada risco no registo, tratado e acompanhado. O EBIOS RM dá-lhe profundidade nos poucos cenários que realmente causariam dano. O erro é correr ambos à mesma granularidade, o que duplica o trabalho e produz dois registos que ninguém reconcilia. Use o EBIOS RM para selecionar e narrar; use a ISO 27005 para enumerar e acompanhar.

Erros comuns e a realidade da sala de auditoria

As falhas são previsíveis e raramente têm que ver com o método em si.

• Escolher o método por preferência em vez de por audiência. A pergunta certa é quem lê o resultado: um comprador público francês espera o vocabulário do EBIOS RM, um auditor de certificação internacional espera um registo com a forma da ISO 27005. Escolha para o leitor.
• Tratar os cenários do EBIOS RM como substituto de um registo completo. Os cenários estratégicos são deliberadamente poucos. Um auditor que verifique a cobertura da ISO 27001 perguntará onde está documentado o resto do panorama de risco, e um punhado de narrativas não é uma resposta.
• Correr a ISO 27005 como uma folha de cálculo pontual. A norma é iterativa. Um registo datado de há dezoito meses, sem cadência de revisão, é uma não conformidade à espera de acontecer.
• Confundir as credenciais. Não existe Lead Auditor nem Lead Risk Manager para o EBIOS RM, e a única credencial de Lead Risk Manager está sob a ISO 31000, não a ISO 27005. Planeie o percurso de certificação da sua equipa face àquilo que realmente existe.

Na sala de auditoria, a realidade é mais simples do que o debate sugere. O auditor de certificação não classifica o seu método face a um rival; testa se o processo que escolheu está documentado, é aplicado de forma consistente e é rastreável do risco ao tratamento e à aceitação do residual. O EBIOS RM ajuda-o a explicar por que razão riscos específicos de elevado impacto receberam atenção específica. A ISO 27005 ajuda-o a demonstrar que nada escapou pelas falhas. A postura mais sólida, para organizações que genuinamente precisam de ambos, é um registo ISO 27005 como sistema de registo oficial, com os cenários EBIOS RM sobrepostos para justificar as decisões que mais importaram.