- Uma avaliação de risco mapeia o que você tem, o que o ameaça e quanto custariam essas ameaças.Um teste de penetração investiga se controles específicos são válidos.Ambos são úteis;a avaliação vem primeiro.
- Cinco etapas: inventário de ativos, identificação de ameaças, análise de vulnerabilidade, pontuação de risco, tratamento de risco.Cada um produz um documento no qual você pode agir e auditar.
- O Artigo 21 da NIS2, a Cláusula 6.1 da ISO 27001 e o Artigo 32 do GDPR do Reino Unido exigem, cada um, uma avaliação de risco documentada.Não ter um é uma exposição regulatória, e não apenas uma lacuna de segurança.
- A pontuação de risco usa probabilidade e impacto.A maioria das organizações usa uma matriz 3x3 ou 5x5.A consistência na aplicação da escala é mais importante do que a própria escala.
- O resultado é um registro de riscos e um plano de tratamento: dois artefatos que seus auditores, seguradoras e conselho irão solicitar.
Avaliação de risco versus teste de penetração
A avaliação de risco de segurança cibernética é um processo estruturado que pergunta: o que temos, o que pode dar errado, qual a probabilidade e quanto nos custaria?Abrange todo o seu ambiente: sistemas, pessoas, processos, fornecedores.Produz uma lista priorizada de riscos com decisões de tratamento anexadas.A análise é um exercício de gestão que extrai conclusões técnicas.
A teste de penetração é um exercício técnico focado.Um testador tenta explorar sistemas ou caminhos específicos para confirmar se seus controles funcionam conforme esperado.Ele responde a uma pergunta mais restrita: um invasor pode entrar aqui?O escopo é acordado antecipadamente e o resultado é um relatório de conclusões técnicas.
Você precisa primeiro da avaliação de risco.Sem ele, você está pedindo a um testador para testar sistemas que você ainda não decidiu que valem a pena proteger.A avaliação de risco informa quais sistemas apresentam maior risco e, portanto, quais justificam um pen test.
Anualmente como base.Também depois de: uma migração para a nuvem, uma fusão ou aquisição, um novo produto que lida com dados pessoais, um crescimento significativo do número de funcionários ou um incidente de segurança.A NIS2 e a ISO 27001 tratam a gestão de riscos como uma obrigação contínua e não como um evento programado.
Etapa 1: inventário de ativos
Você não pode avaliar o risco de ativos que não sabe que possui.O inventário de ativos é o primeiro passo e aquele em que a maioria das organizações investe pouco.
Um ativo neste contexto é qualquer coisa que retenha, processe ou transmita informações de valor para o seu negócio.Isso inclui hardware (servidores, laptops, dispositivos móveis), software (aplicativos, assinaturas SaaS, serviços em nuvem), dados (registros de clientes, dados financeiros, propriedade intelectual) e pessoas (funcionários com acesso privilegiado, fornecedores-chave).
Para cada ativo, registre: o que é e onde está (no local, na nuvem, híbrido), quem o possui, quais dados ele mantém ou processa, sua criticidade para as operações de negócios e quaisquer controles existentes que o protejam.
A saída é um registro de ativos.Comece com seus sistemas mais críticos.Um registro funcional no qual você possa atuar supera um registro abrangente que ainda será construído daqui a seis meses.
Etapa 2: identificação da ameaça
Uma ameaça é qualquer evento ou ator que possa explorar uma fraqueza e causar danos aos seus ativos.Categorias de ameaças comuns para empresas do Reino Unido:
- Atacantes externos: grupos de ransomware, campanhas de phishing, preenchimento de credenciais, comprometimento da cadeia de suprimentos
- Insiders: funcionários que utilizam indevidamente o acesso, seja deliberadamente ou por descuido
- Terceiros: fornecedores, contratados ou provedores de nuvem com acesso aos seus sistemas
- Ameaças físicas: roubo de dispositivos, acesso físico não autorizado a salas de servidores
- Ambiental: falha de energia, inundação, falha de hardware em um data center
Mapeie cada ameaça em relação aos ativos que ela pode afetar.Use inteligência sobre ameaças específicas do setor, quando disponível;o NCSC publica avaliações regulares de ameaças para organizações do Reino Unido.
Passo 3: Análise de vulnerabilidade
Uma vulnerabilidade é uma fraqueza que uma ameaça pode explorar.Com os ativos e ameaças mapeados, o próximo passo é avaliar quais pontos fracos existem nas suas defesas.
| Fonte | O que encontra |
|---|---|
| Ferramentas de verificação de vulnerabilidades | Software sem patch, sistemas mal configurados, portas abertas, conjuntos de criptografia fracos |
| Revisões de configuração | Contas com permissão excessiva, credenciais padrão, registro desativado |
| Revisão de políticas e processos | Procedimentos ausentes, pessoal não treinado, gestão de mudanças não documentada |
| Avaliações de fornecedores | Terceiros sem certificações de segurança, sem cláusulas de direito de auditoria |
| Resultados de auditorias anteriores | Descobertas não resolvidas de testes, auditorias ou incidentes anteriores |
Etapa 4: pontuação de risco
A pontuação de risco permite classificar as ameaças para que as decisões sobre tempo e orçamento sigam as evidências.A fórmula padrão:
Risco = Probabilidade × Impacto
A probabilidade é a probabilidade da combinação ameaça-vulnerabilidade durante um determinado período, geralmente 12 meses.O impacto é a gravidade do resultado: custo financeiro, perturbação operacional, danos à reputação, consequências regulatórias.
A maioria das organizações pontua cada dimensão em uma escala de 3 pontos (Baixo/Médio/Alto) ou 5 pontos.Uma matriz 3x3 é mais fácil de explicar em um quadro;um 5x5 oferece mais granularidade para priorização.Use o que sua organização puder aplicar de forma consistente.
Superestimar a probabilidade de ameaças exóticas e subestimar as mundanas (phishing, sistemas sem correção).Tratar o impacto apenas como financeiro.Danos à reputação e multas regulatórias devem ser levados em consideração. Pontuação de riscos sem levar em conta os controles existentes: uma vulnerabilidade com um controle compensatório apresenta menor probabilidade do que uma sem nenhum.
A saída é um registro de risco: cada risco listado com sua pontuação, proprietário e status atual.Seu registro de riscos é um documento ativo, não um instantâneo.
Passo 5: Tratamento de risco
Para cada risco no seu cadastro, você escolhe uma das quatro opções:
- Mitigar: implementar um controle que reduza a probabilidade ou o impacto.Patching de software, adição de MFA, reforço de permissões de acesso.
- Transferir: transferir a consequência financeira para um terceiro.O seguro cibernético é o principal mecanismo.
- Aceitar: reconhecem o risco e decidem não agir, normalmente porque o custo da mitigação supera a perda esperada.A aceitação deve ser documentada e assinada por alguém com autoridade.
- Evitar: interromper a atividade que cria o risco.Desative um sistema legado.Saia de uma linha de produtos.Encerrar um relacionamento com fornecedor.
As decisões de tratamento alimentam um plano de tratamento de riscos: quem faz o quê, quando e com que orçamento.Riscos sem decisão de tratamento são um sinal de alerta em qualquer auditoria.
Requisitos regulatórios
| Estrutura | Exigência | O que os auditores verificam |
|---|---|---|
| NIS2 Artigo 21.º | A análise de risco e as políticas de segurança do sistema de informação devem estar em vigor para entidades essenciais e importantes | Documentação do processo de análise de risco;evidência de supervisão da gestão;decisões de tratamento para riscos identificados |
| ISO 27001:2022 Cláusula 6.1 | Definir e aplicar um processo de avaliação de riscos de segurança da informação;documentar e reter resultados | Metodologia consistente;propriedade do risco;registro de riscos atualizado em intervalos planejados;Declaração de aplicabilidade vinculada a decisões de risco |
| Artigo 32 do GDPR do Reino Unido | Implementar medidas técnicas e organizacionais adequadas, tendo em conta os riscos para os dados pessoais | Evidência de que os riscos de proteção de dados foram avaliados;controles proporcionais aos riscos identificados;DPIA para processamento de alto risco |
Uma avaliação de risco bem estruturada abrange todos os três se abranger dados pessoais, ativos de informação e sistemas críticos.Você não precisa de três exercícios separados.
O que uma avaliação de risco completa produz
Registro de risco: cada risco identificado, com ativo, ameaça, vulnerabilidade, probabilidade, impacto, pontuação, proprietário e status atual.Atualizado em um ciclo definido.
Plano de tratamento de risco: as ações com as quais sua organização se comprometeu, com proprietários, prazos e links para os riscos que abordam.Um resumo em nível de conselho mostrando o perfil de risco antes e depois, após a conclusão do tratamento.
A maioria das seguradoras cibernéticas pede agora provas de uma avaliação de risco documentada durante a subscrição.Um registo de riscos completo com ações de tratamento em curso normalmente resulta em melhores termos de cobertura do que uma garantia verbal de que os riscos são geridos.
Com que frequência repetir o processo
A reavaliação anual é a linha de base.Eventos significativos desencadeiam uma avaliação fora do ciclo: transferência de cargas de trabalho para um novo fornecedor de cloud, aquisição de uma empresa e herança dos seus sistemas, lançamento de um produto que processa dados pessoais em grande escala, ocorrência de uma violação ou uma mudança material no cenário de ameaças.
Construa seu processo de forma que atualizações parciais (reavaliação de uma classe de ativos ou unidade de negócios específica) sejam mais fáceis do que reavaliações completas, de modo que o gatilho para iniciar seja menor.
Ryland fornece programas de segurança cibernética, conformidade e gerenciamento de TI para organizações regulamentadas no Reino Unido e na Holanda há mais de 20 anos. Ver perfil completo