A avaliação de riscos cibernéticos é um processo cada vez mais importante para qualquer empresa, independente do tamanho ou segmento, até para conseguir principalmente proteger suas informações (vide LGPD) e sistemas contra ameaças digitais.
Assim como fazemos com outros tipos de riscos, este processo também envolve as fases da identificação, avaliação e priorização dos riscos à informação e aos sistemas de informação, ajudando assim as empresas a identificar oportunidades de melhoria em programas de segurança da informação existentes, comunicar riscos aos stakeholders e tomar decisões sobre a alocação de recursos para mitigar esses riscos de segurança.
Infelizmente as novas tecnologias que impulsionam a eficiência, a interconectividade global e até o trabalho remoto, também introduziram vários riscos de informação significativos e de riscos cibernéticos.
Segue um processo passo a passo, baseado na metodologia IRAM2 do Information Security Forum, que os profissionais de cibersegurança e gestão de riscos podem utilizar para avaliar e gerir o risco da informação:
Etapa 1: Exercícios de Escopo:
Os exercícios de escopo são fundamentais para definir o contorno da avaliação de risco, estabelecendo claramente quais áreas do negócio e tecnologia serão abordadas. Este processo deve envolver uma colaboração estreita entre as partes interessadas para garantir que o escopo englobe propriedade intelectual, reputação da marca, desempenho organizacional, arquitetura da informação, e o perfilamento do usuário. A determinação do escopo ajuda a definir responsabilidades específicas, como a gestão de novos serviços ou tecnologias e a abordagem de preocupações gerenciais, assegurando que todos os domínios de risco relevantes sejam considerados.
Etapa 2: Avaliação do Impacto nos Negócios (BIA):
A Avaliação do Impacto nos Negócios (BIA) identifica e prioriza os ativos de informação críticos para o funcionamento da organização. Envolve a análise do impacto potencial de incidentes de segurança que afetem a confidencialidade, integridade ou disponibilidade desses ativos. Esta análise abrangente, considerando todo o ciclo de vida da informação, permite a alocação apropriada de recursos para a proteção dos ativos, baseada na sua importância estratégica e operacional.
Etapa 3: Perfilamento de Ameaças:
O perfilamento de ameaças envolve a identificação de ameaças potenciais e a compreensão de como podem afetar a organização. Este processo utiliza inteligência de ameaças interna e externa para construir um panorama das ameaças, avaliando a probabilidade de ocorrência e a capacidade de cada ameaça causar danos. A classificação das ameaças em categorias como adversárias, acidentais e ambientais ajuda na priorização e na formulação de estratégias de defesa.
Etapa 4: Avaliação de Vulnerabilidades:
Esta etapa examina quão suscetíveis os ativos de informação estão às ameaças identificadas, avaliando a eficácia dos controles existentes e a qualidade de sua implementação. A avaliação de vulnerabilidades permite identificar deficiências nos controles e oferece uma base para fortalecer a segurança, destacando áreas que requerem atenção imediata e onde melhorias podem ser aplicadas para reduzir a exposição ao risco.
Etapa 5: Avaliação de Riscos:
A avaliação de riscos combina os resultados das etapas anteriores para entender a probabilidade de as ameaças se materializarem e o impacto potencial nos negócios. Isso envolve a escolha de cenários de impacto realistas, considerando a força da ameaça e a eficácia dos controles existentes. A experiência e o conhecimento das partes interessadas são cruciais nesta fase para julgar a eficácia dos controles e determinar o nível de risco aceitável para a organização.
Etapa 6: Tratamento de Riscos:
O tratamento de riscos envolve a seleção e implementação de estratégias para gerenciar riscos identificados, de acordo com o apetite de risco da organização. As opções incluem mitigação, através do fortalecimento de defesas e melhoria de controles; evitação, eliminando atividades de alto risco; transferência, como a obtenção de seguros cibernéticos; e aceitação, reconhecendo certos riscos como parte da operação. A escolha da estratégia de tratamento de riscos deve ser informada por uma análise cuidadosa do risco versus benefício, considerando o impacto potencial no negócio e as capacidades da organização para gerenciar o risco.
O tratamento de riscos deve ser orientado pelo apetite de risco da organização. Avalie cada risco individualmente para determinar se ele excede a tolerância ao risco da organização. Quando todas as opções de tratamento de riscos estiverem claras, crie um plano de tratamento de riscos. Prossiga com a execução do plano e monitore os resultados para garantir que os esforços de gestão de riscos sejam bem-sucedidos.
Ao final da sexta etapa, o processo de avaliação de riscos está efetivamente completo, oferecendo ao profissional uma compreensão melhor do ambiente avaliado. Isso inclui uma imagem clara das ameaças relevantes, das vulnerabilidades associadas e dos riscos priorizados. Um plano de tratamento de riscos foi desenvolvido e implementado para reduzir os riscos a um nível aceitável. É importante lembrar que o mundo da segurança da informação é dinâmico; eventos de ameaça, vulnerabilidades e seus impactos nos negócios são fluidos e evolutivos. Praticantes e partes interessadas devem avaliar consistentemente os riscos, especialmente quando a organização ou o ambiente sofre mudanças importantes ou esforços de mitigação.
Mais informações sobre esta metodologia em:
Conteúdo disponibilizado pela Okai.
