Avaliando Risco de TI: Estratégias, Frameworks e Melhores Práticas para Proteção Empresarial

Michael Aminzade da Trustwave

Alcançar proteção impecável de criminosos cibernéticos é quase impossível, mas avaliações sistemáticas de risco de TI dão às organizações a melhor defesa contra ataques.

Com a paisagem de ameaças em fluxo constante, priorizar revisões de gestão de risco que abordem seus desafios únicos é essencial.

"Uma vez que os maiores riscos foram identificados, a implementação do nível ótimo de segurança que atenda às suas necessidades específicas pode começar", diz Michael Aminzade, vice-presidente de Serviços Globais de Conformidade e Risco na Trustwave.

Executar uma avaliação abrangente de risco de segurança da informação descobre as lacunas mais críticas e permite desenvolver um plano de mitigação direcionado. Antes de começar, você deve entender seus objetivos de negócio, identificar ameaças potenciais, avaliar a probabilidade de comprometimento e quantificar o impacto de uma perda. Engajar alta gestão, administradores de TI e partes interessadas através de entrevistas aprofundadas garante que todas as facetas organizacionais sejam avaliadas para lacunas de segurança.

A clássica tríade CIA — confidencialidade, integridade e disponibilidade — serve como guia fundamental para avaliações de cibersegurança. Encontrar um equilíbrio entre os três é desafiador; superestimar disponibilidade pode erodir confidencialidade e integridade, enquanto foco excessivo em confidencialidade ou integridade pode minar disponibilidade.

Após completar a avaliação, você determina quais controles de segurança melhor mitigam risco de negócio. Esses controles tipicamente misturam tecnologia, política, processos e procedimentos.

Frameworks de avaliação de risco

Ao conduzir uma avaliação de risco de segurança, você pode escolher entre vários frameworks bem estabelecidos. Os cinco mais amplamente adotados são a Série ISO 27000x, OCTAVE, COBIT, NIST 800‑53 e o NIST Cybersecurity Framework (CSF). NIST, uma agência do Departamento de Comércio dos EUA, oferece documentos de orientação gratuitos que tornaram o CSF a escolha preferida para empresas, instituições educacionais e agências governamentais mundialmente.

O CSF é estruturado em torno de três componentes: o perfil do framework, o núcleo do framework e os níveis de implementação. Sua flexibilidade permite que ele opere junto a outros processos de gestão de risco, como padrões ISO, e é relevante para organizações fora dos Estados Unidos.

NIST 800‑53 suporta conformidade com Padrões Federais de Processamento de Informação (FIPS) dos EUA e precede o CSF. Ele fornece evidência de eficácia de controle, insights sobre qualidade de gestão de risco e informações sobre pontos fortes e fracos de sistemas de informação.

Melhor prática

À medida que o cibercrime se comercializa, muitas organizações estão indo além da conformidade em direção a estratégias abrangentes de mitigação de risco e proteção de dados. Metodologias modernas de avaliação de risco agora cobrem toda a cadeia de suprimentos, incluindo acesso de fornecedores terceirizados a sistemas internos.

A tendência BYOD aumentou a necessidade de segurança robusta de endpoint e um entendimento mais profundo de como endpoints influenciam o perfil de risco de uma organização. Dada essa complexidade adicionada, fazer parceria com um provedor de serviços de segurança gerenciada (MSSP) pode ser inestimável. Sua expertise profunda ajuda você a proteger uma paisagem de rede em expansão.

Desenvolver um modelo de avaliação de risco requer buy-in da alta gestão. Executivos devem ou aceitar os riscos inerentes ou se comprometer com um plano de remediação que alinhe a postura de risco com os níveis de tolerância da organização. Idealmente, o CISO ou CIO deve supervisionar o cronograma de avaliação, achados e planos de remediação, e fornecer atualizações regulares à equipe executiva. Todos os funcionários, no entanto, compartilham responsabilidade pela segurança da organização.

Treinamento deve cobrir como identificar ameaças como e-mails maliciosos e delinear procedimentos para reportar incidentes suspeitos. Embora segurança perfeita seja inatingível, o objetivo é alcançar o nível ótimo de segurança para seu negócio.

Estabelecer um framework de risco e conduzir avaliações de risco de TI identificam o nível apropriado de segurança para sua organização. Uma vez que fraquezas são identificadas, elas podem ser remediadas, salvaguardando seu negócio.

Combinar avaliações de risco com avaliações de maturidade de segurança permite que organizações construam um roteiro de investimento estratégico e demonstrem ROI para partes interessadas.

O autor deste blog é Michael Aminzade, vice-presidente de Serviços Globais de Conformidade e Risco na Trustwave