5.3 - Conceitos de Gerenciamento e Risco

5.3 - Conceitos de Gerenciamento e Risco

1. Threat Assessment

   • Ambiental
     • Ameaças associadas a eventos naturais; Diversas fontes: Tempestades, enchentes, raios, tempestades solares, entre outros podem causar problemas no funcionamento normal dos sistemas; Devem ser consideradas, quando da criação de planos de continuidade de negócio, mesmo não podendo ser contidas através de controles tecnológicos.
   • Criada pelo homem
     • Ameaças que estão relacionadas a atitudes tomadas por seres humanos; Não estão limitadas a ações hostis de atacantes mal intencionados; Atitudes do usuário, como apagar arquivos incorretamente, utilizar senhas repetidas, dentre outros, são causas efetivas de ameaças de segurança no ambiente corporativo; Controles de segurança e treinamento são as ferramentas para tratar as ameaças oriundas de usuários internos.
   • Interna vs Externa
     • Usuários mal intencionados ou inabilitados para operação do negócio figuram entre os mais "ativos" nas ameaças internas; Ameaças externas iniciam sem acesso aos sistemas corporativos; Externos precisam obter acesso a contas internas para conseguir acessos aos sistemas, ou os comprometer de tal maneira que as credenciais não são necessárias.
   • Analise estrutura das ameaças existentes em uma corporação; É importante conhecer as ameaças para, quando possível, eliminar ou mitigar; Quando não for possível alterar a maneira como ela atinge o negócio; Levantamento das ameaças, probabilidade das mesmas serem exploradas e apontamento dos impactos

2. Risk Management

   • SLE – Single loss expectancy
     • É calculado baseado no valor de perda esperada para um evento único; SLE = valor do ativo x fator de exposição; Fator de exposição está relacionado ao percentual de perda da empresa, caso a ameaça ocorra; Ex: Empresa com datacenter estimado em 1 milhão, perderia 50% (fator de exposição) de sua capacidade, caso o perdesse; SLE = 1.000.000 (valor do ativo) x 0.5 (fator de exposição 50%) = 500.000
   • ALE – Annual Loss Expectancy
     • A perda anual esperada é calculada baseada no SLE multiplicado pelo número de ocorrências esperadas de um determinado evento, por ano (ARO); ALE = SLE x ARO; Suponha que a probabilidade de tornados na região do datacenter do exemplo anterior é de 4x ao ano; Logo: ALE = 500.000 (SLE) x 4(ARO) = 2.000.000
   • ARO – Annualized rate of occurence
     • Calculado com base na ocorrência de um determinado evento, utilizando 1 ano como medida; É definido por dados históricos; Exemplo: Se a ocorrência de um evento é esperada 1 vez a cada 4 anos, o ARO é 1/4
   • Valor do ativo (asset value)
     • Valor financeiro associado a substituição de um determinado ativo; Utilizado junto com o fator de exposição (exposure factor) como parâmetro para cálculo da SLE; Díficil de quantificar, quando envolve propriedade intelectual
   • Registro do risco
     • Lista dos riscos identificados e associados ao negócio; Não há um padrão sobre como realizar tais registros; Associados às probabilidades, podem ser de grande ajuda no processo decisório sobre os investimentos necessários para conter ameaças
   • Probabilidade de ocorrência
     • É a possibilidade de um determinado risco ocorrer; É uma medida que pode ser quantitativa ou qualitativa; Se for qualitativa, é definida, em geral, pela probabilidade ocorrência anual; Se for quantitativa, é criado um ranking de ocorrências, baseado na ordem das mesmas
   • Supply chain assessment
     • Avaliação importante, do ponto de vista de negócio, sobre riscos associados a cadeia de suprimentos; Identifica itens que podem ter potenciais problemas de suprimento, por serem entregues por um número restrito de fornecedores, ou em uma mesma localização geográfica; Ex: A grande maioria dos componentes computacionais vem da Ásia. Um evento ambiental na região pode causar disrupção no fornecimento de suprimentos de tecnologia
   • Impacto
     • Mede a perda atual, quando uma ameaça explora uma vulnerabilidade com sucesso; FIPS (federal information processing standards) 199 define os níveis de impacto usando os termos alto, moderado e baixo; O impacto é identificado segundo o contexto de cada organização, de maneira individual
   • Quantitativo
     • Tem por objetivo identificar o impacto de um evento em um projeto, sistema ou negócio; Se baseia em métricas e modelos para realizar a análise; Utiliza informação histórica e tendências para prever situações futuras
   • Qualitativo
     • Determina, de forma subjetiva, baseada em experiência e observação, o impacto de um evento a um negócio; Compara o impacto de uma ameaça com a sua probabilidade de ocorrência; As ameaças, em geral, giram em torno de médias para impacto e probabilidade. Dificilmente vemos muitos extremos, altos ou baixos
   • Testes
     • Autorização para testes de penetração
       • Documento especificando a autorização para realizar tentativas de acesso a uma organização; Descreve limites, direitos e deveres na execução do serviço; Informações sobre possíveis impactos na execução do teste são necessários, para que a organização possa estar preparada
     • Autorização para testes de vulnerabilidade
       • Descreve as atividades executadas durante o processo de análise; Garante entendimentos incorretos da ação, como por exemplo entender se tratar de um ataque e disparar ações do time de resposta a incidentes; Normalmente a permissão para execução é concedida a múltiplas pessoas, visto que pode haver engajamento de um time para a execução do trabalho
     • Teste é um dos modos de identificar ameaças e vulnerabilidades que possam ser exploradas no ambiente; É necessário obter autorização para realizar os mesmos; Os mais comuns são: testes de vulnerabilidade e testes de penetração
   • Método para analisar riscos potenciais, baseado em modelos matemáticos e estatísticos; O método mais comum envolve utilizar a expectativa anual de perda(ALE), para criar visibilidade monetárias da perda; Esse cálculo envolve identificar, inicialmente a perda única esperada(SLE).
   • Técnicas de resposta aos riscos
     • Aceita
       • Ao analisar o risco, considerando as possibilidades do que pode ser feito com o mesmo, pode se chegar a conclusão que não é viável realizar alguma ação, “aceitando” o risco; Pode ser financeiramente inviável; É necessário ter controles de gerenciamento sobre os riscos que foram aceitos, para garantir que os mesmos estão “sob controle”
     • Transferir
       • Um método comum de transferência de risco é através da contratação de um seguro; Reduz o custo individual de tal risco; Um exemplo é a proteção contra fraudes dos cartões de crédito
     • Evitar
       • Pode ser feito de diversas maneiras; Um exemplo é de não instalar um determinado módulo em um sistema, que traria novos riscos; Não é possível remover ameaças do ambiente, porém é possível evitar as mesmas
     • Mitigar
       • Riscos podem ser mitigados através de controles que reduzem o impacto de um ataque; Você pode implantar controles que obriguem uma determinada ação que está em um perfil de risco elevado, de ser revisada antes da mesma ser autorizada
     • Riscos são absolutos. Não podem ser efetivamente eliminados; Porém é possível realizar ações que alterem o efeito do risco para um determinado sistema; As estratégias para gerenciar o risco são restritas

3. Change Management

   • Geralmente referenciado como gerenciamento de configuração do ambiente; A maioria dos softwares atualmente suportam esse modelo; Controle de configuração é o processo de controlar mudanças baseadas em um baseline prévio.

4. Processo de apoio a tomada de decisão, do ponto de vista do negócio; Se basei em análise de ameaças(threat assessment), análise de risco(risk assessment) e gerência de mudanças(Change Management); Através do gerenciamento de risco é possível identificar ameaças ao negócio e decidir se e quando agir para eliminar as mesmas.