CRML — Linguagem de Modelagem de Risco Cibernético

Status: Rascunho. Este projeto está em desenvolvimento intenso e pode mudar sem aviso. Recebemos sugestões, issues e contribuições. ⚠️ AVISO Este código-fonte está atualmente sendo desenvolvido no branch crml-dev-1.3. Para o trabalho em andamento mais recente e a fonte da verdade, consulte: https://github.com/Faux16/crml/tree/crml-dev-1.3

Versão: 1.2

Mantido por: Zeron Research Labs e CyberSec Consulting LLC

Apoiado por:

• Contribuidores da comunidade e adotantes iniciais

A CRML é uma Linguagem de Modelagem de Risco Cibernético aberta, declarativa, independente de motor e independente de frameworks de Controle/Ataque. Ela fornece um formato YAML/JSON para descrever modelos de risco cibernético, mapeamentos de telemetria, pipelines de simulação, dependências e requisitos de saída — sem forçar você a adotar um método de quantificação, um motor de simulação ou um catálogo de controles de segurança/ameaças específico.

A CRML viabiliza RaC (Risk as Code): premissas de risco e conformidade tornam-se artefatos versionados e revisáveis, que podem ser validados e executados de forma consistente entre equipes e ferramentas.

Declaração do problema (o que a CRML resolve)

Profissionais de segurança cibernética, conformidade e gestão de riscos frequentemente enfrentam os mesmos problemas práticos:

• Os modelos de risco ficam presos em planilhas, slides ou ferramentas proprietárias, dificultando sua revisão, auditoria, reprodução e automação.
• As premissas de efetividade de controles e de “defesa em profundidade” são documentadas de forma inconsistente, então os resultados variam conforme o analista e o trimestre.
• Os frameworks de ameaças e controles (por exemplo, ATT&CK, CIS, NIST, ISO, SCF, catálogos internos) mudam com o tempo; não fornecem um formato consistente legível por máquina; os mapeamentos são frágeis e raramente versionados.
• Os motores de quantificação diferem (Monte Carlo estilo FAIR, modelos bayesianos/QBER, modelos atuariais, plataformas internas), causando reescritas e reinterpretações custosas.
• A evidência pronta para auditoria é fragmentada: é difícil provar “o que foi modelado, com quais parâmetros, usando quais dados e produzindo quais saídas”.

A CRML resolve isso padronizando a descrição dos modelos de risco cibernético e suas entradas/saídas, de modo que diferentes motores e organizações possam trocar e executar o mesmo modelo com validação e rastreabilidade claras.

Por que avaliações qualitativas não são suficientes

Métodos qualitativos (vermelho/âmbar/verde, “alto/médio/baixo”, pontuações de maturidade) são úteis para comunicação e priorização, mas tendem a falhar quando você precisa:

• Justificar gastos com segurança (ou um novo produto de segurança) comparando o risco esperado com vs. sem o investimento
• Comparar o risco de forma consistente entre unidades de negócio, fornecedores ou períodos de tempo
• Mostrar a redução de risco medida a partir de controles (não apenas “postura melhorada”)
• Conectar o risco cibernético ao risco empresarial, a seguros e ao planejamento financeiro
• Produzir evidências repetíveis e prontas para auditoria de “como calculamos esse número”

A próxima evolução é a gestão de risco quantificada: tratar o risco cibernético como uma distribuição estimável de resultados, fundamentada em premissas e dados explícitos, e calculada por métodos repetíveis. Mas abordagens quantificadas só escalam quando os modelos são padronizados — para que possam ser validados, revisados, reutilizados e executados entre ferramentas e equipes.

O objetivo da CRML é ser esse padrão: tornar o modelo portátil, as premissas explícitas e os resultados reproduzíveis.

Principais recursos

• Modelagem de efetividade de controles — quantifica como os controles reduzem o risco (incluindo defesa em profundidade)
• Parametrização baseada em mediana — especifique medianas diretamente para distribuições lognormais
• Suporte a múltiplas moedas — modele em várias moedas com conversão automática
• Autocalibração — calibre distribuições a partir de dados de perdas
• Validação rigorosa — a validação por JSON Schema detecta erros antes da simulação
• Independente de implementação — funciona com qualquer motor de simulação compatível
• YAML legível por humanos — fácil de ler, revisar e auditar

Visão (um mundo onde a CRML é o padrão)

Imagine um futuro próximo em que a CRML seja tão normal para o trabalho de risco quanto IaC é para infraestrutura:

• Um arquiteto de segurança propõe um novo programa de controles atualizando documentos CRML; a alteração é revisada por pares no Git com diffs claros.
• As equipes de GRC e auditoria podem rastrear cada métrica até um modelo validado e versionado (entradas, premissas, mapeamentos, saídas).
• Diferentes motores de quantificação (plataformas de fornecedores, Monte Carlo FAIR interno, QBER bayesiano, modelos atuariais de seguros) consumem os mesmos documentos CRML.
• Mudanças de frameworks são tratadas atualizando catálogos/mapeamentos (também versionados), em vez de reescrever a lógica do modelo.
• Organizações podem trocar modelos com parceiros, seguradoras e reguladores sem enviar planilhas ou capturas de tela.
• Uma autoridade de segurança cibernética pode publicar seu relatório anual de panorama de ameaças em CRML — codificando mais nuances do que PDFs narrativos (premissas, distribuições, dependências, linhas de base de controles e mapeamentos) — e, por sua vez, beneficiar-se de submissões de dados mais padronizadas e legíveis por máquina vindas do setor.

Nesse mundo, o risco cibernético torna-se reproduzível, comparável e automatizável entre equipes — ao mesmo tempo em que permite diversidade metodológica.

Consulte a Arquitetura Geral: wiki/Concepts/Architecture.md

Exemplo curto (como é uma “CRML padronizada”)

Uma organização típica pode manter a CRML junto ao código de detecção e infraestrutura:

• risk/models/ — cenários e portfólios em CRML
• risk/catalogs/ — catálogos versionados de controles + ataques (internos ou externos)
• risk/mappings/ — mapeamentos de telemetria/controles/ameaças com responsáveis e histórico de alterações
• A CI executa crml-lang validate em cada PR; um job noturno executa crml simulate e publica dashboards

Exemplo de trecho (ilustrativo):

crml_scenario: "1.0"
meta:
  name: "ransomware-baseline"
  description: "A simple ransomware risk model"

scenario:
  frequency:
    basis: per_organization_per_year
    model: poisson
    parameters:
      lambda: 0.15

  severity:
    model: lognormal
    parameters:
      median: "250 000"
      currency: USD
      sigma: 1.2

  # Optional, threat-centric controls (org posture typically belongs in portfolios/assessments)
  controls:
    - id: "org:iam.mfa"
      effectiveness_against_threat: 0.35

Este repositório disponibiliza dois pacotes Python e uma interface web: