• Os conceitos abaixo foram extraídos das Normas ABNT 27001 e 27002, Curso Segurança da Informação pela Acadêmia Latino Americana de Segurança - Microsoft.
Riscos
• O processo de gerenciamento de risco utiliza pessoas, processos e produtos para reduzir a probabilidade de um evento indesejável ocorra, e se ocorrer, que as perdas sejam minimizadas.
• Probabilidade
• A palavra probabilidade deriva do Latim probare (provar ou testar). Provável é uma das muitas palavras utilizadas para eventos incertos ou conhecidos, sendo também substituida por algumas palavras como “sorte”, “risco”, “azar”, “incerteza”, “duvidoso”, dependendo do contexto.
• Ameaça
• Ameaça : causa potencial de um incidente indesejado, que caso se concretize pode resultar em dano.
• Incidente
• Incidente de segurança: é qualquer evento em curso ou ocorrido que contrarie a política de segurança, comprometa a operação do negócio ou cause e cause dano aos ativos da organização.
• Vulnerabilidade
• Vulnerabilidade: fragilidade ou limitação de um ativo que pode ser explorada por uma ou mais ameaças.
• Impacto
• Impacto : conseqüências de um incidente de segurança.
• Ameaças
• RISCO É A EQUAÇÃO QUE LEVA EM CONTA OS PREJUÍZOS PARA A GESTÃO DO NEGÓCIO E QUAL A FREQUÊNCIA DA OCORRÊNCIA DAS AMEAÇAS.
Medidas de Segurança
• As ameaças sempre existiram.
• À medida que a Tecnologia progrida devem surjir novas formas através das quais elas possam se concretizar.
• Fonte: Academia Latino-Americana de Segurança da Informação
• Como evitar ?
• Precisamos conhecer a estrutura geral de como se classificam as vulnerabilidades que podem fazer com que essas ameaças causem impactos em nossos sistemas comprometendo os princípios da segurança da informação.
• Conceito Chave
• As medidas de segurança são ações orientadas para a eliminação ou diminuição de vulnerabilidades, com o objetivo de evitar que uma ameaça se torne realidade.
• Estas ações podem reduzir o impacto de algumas ameaças caso elas venham a se concretizar.
• Estas ações são os primeiros passos para o aumento da segurança da informação em um ambiente de tecnologia da informação e devem considerar a totalidade do processo.
• Vulnerabilidade – Como proceder ?
• Como existe uma variedade de tipos de vulnerabilidades que afetam a disponibilidade, a confidencialidade e a integridade das informações, é importante haver medidas de segurança específicas para lidar com cada caso.
• Vulnerabilidade - Ações
• Preventiva: buscando evitar o surgimento de novos pontos fracos e ameaças;
• Corretiva: orientado para a eliminação de problemas de segurança uma vez que os mesmos sãoidentificados;
• Reativo: visam responder de forma eficiente caso um problema de segurança ocorra.
Medidas Globais de Segurança
• Medidas Globais de Segurança
• A segurança da informação deve ser garantida de forma integral e completa, por isso é importante conhecer com detalhes as quatro medidas de segurança que permitem nos mover desde a análise de risco até a administração da segurança.
• Análise de Riscos
• Busca avaliar qual a real probabilidade de que ameaças se concretizem utilizando as vulnerabilidades existentes, além de identificar os possíveis impactos que possam ser causados.
• A análise de riscos tem como resultado uma lista de problemas que devem ser priorizados.
• Política de Segurança
• Busca estabelecer os padrões de segurança que devem ser seguidos por todos os envolvidos no uso e na manutenção dos ativos.
• É o primeiro passo para aumentar a consciência da segurança das pessoas.
• Tem como objetivo a formação de hábitos, por meio de manuais de instrução e procedimentos operacionais.
• Especificações de Segurança
• São medidas que objetivam instruir a correta implementação de um novo ambiente tecnológico definindo a forma como os mesmos devem estar dispostos para atender aos princípios da segurança da informação.
• Administração da Segurança
• São medidas integradas para produzir a gestão dos riscos de um ambiente.
• A administração da segurança envolve a implementação e a manutenção de todas as medidas mencionadas anteriormente, preventivas, corretivas e reativas, com base em um ciclo da segurança.
Ciclo de Segurança
• O ciclo de segurança se inicia com a identificação das ameaças que as empresas enfrentam. A identificação das ameaças permitirá a visualização das vulnerabilidades que podem ser exploradas, expondo os ativos a riscos de segurança.
• Essa exposição leva a uma perda de um ou mais princípios básicos da segurança da informação (confidencialidade, disponibilidade, integridade), causando impactos no negócio da empresa, aumentando ainda mais os riscos a que estão expostas as informações.
• Para que o impacto dessas ameaças ao negócio seja reduzido é necessário tomar medidas de segurança para eliminar vulnerabilidades e reduzir impactos.
• Esses danos podem fazer com que a confidencialidade, a integridade ou a disponibilidade da informação sejam comprometidas, causando impactos no negócio da empresa.
• Portanto...
• As medidas de segurança permitem diminuir os riscos e, desta forma, fazer com que o ciclo seja de muito menor impacto para os ativos e, portanto, para a empresa.
• Como começar a proteção ?
• Conheça seus ativos;
• Identifique as ameaças;
• Através das ameaças, reconheça as vulnerabilidades;
• Estabeleça um plano de ação para minimizar as vulnerabilidades eliminando as ameaças;
• Estabeleça controles para identificar possíveis ameaças e trabalhe para eliminar a vulnerabilidade.
• E por fim...
• Não pense que o trabalhou acabou pois sempre haverá alguém estudando aquilo que você considera sob controle a fim de buscar oportunidades para comprometer seu trabalho !!!
