Análise de Risco

Análise de Risco

1. Quais são os possíveis riscos?

   • Roubo de equipamento
   • Roubo de informações
   • Processos mal elaborados
   • Má utilização de recursos
   • Perda de informação
   • Afetar imagem da empresa

2. O que é?

   • É um estudo de identificação, avaliação e recomendações focado em diversas atividades que possam gerar riscos.

3. Objetivo

   • Minimizar o potencial de ocorrência de acidentes, utilizando técnicas de prevenção e/ou de proteção

4. Normas

   • Segue as normas ABNT NBR ISO/IEC 27001, 27005 entre outras

5. Problemas que ocorrem

   • Vulnerabilidade
     • Ponto fraco ou falhas existentes num determinado sistema ou recurso
   • Ameaça
     • Circunstância ou evento que resulta em um conjunto de impactos negativos sobre um sistema ou recurso
     • Como classificar?
       • Interna, externa, intencional ou acidental
         • Externas podem ocorrer por: procedimento inadequado de funcionários, mal treinamento dos funcionários, informação roubada ou fraudada, contaminação por worm, spyware, vírus, instalação indevida (softwares pirata), acesso a sites não autorizados, etc
         • Internas podem ocorrer por informação, furto de documento, escuta, divulgação indevida, alteração do software, falhas técnicas, defeito em equipamentos, bug em software, etc
         • Critério de avaliação das ameaças
           • Histórico do ocorrido
           • Motivação para o ataque
           • Facilidade para o ataque
           • Possibilidade de acidentes naturais
           • Fatores que causam insalubridade
           • Possibilidade de falha de equipamento
           • Nível de satisfação dos funcionários
   • Impacto
     • Evento que traz consequências para os recursos
   • Risco
     • Exploração de uma ou mais vulnerabilidades de um recurso

6. O que é um ativo?

   • Além dos bens materiais, há também qualquer informação onde possa causar prejuízos.
     • Prejuízos que atinjam um ou mais dos 3 pilares (confidencialidade, integridade e disponibilidade)
   • O que é um inventário de um ativo?
     • São os ativos listados de uma forma organizada, contendo: nome dos responsáveis pela informação, local de armazenamento da informação e tipo/classificação da informação
     • É extremamente importante, podendo ser até vital para a organização
     • Serve para melhorar os processos de segurança da informação. É a base para políticas de segurança.
       • Impacto/Avaliação
         • Os responsáveis devem criar uma escala para avaliar os ativos
           • Crítico
           • Alto
           • Médio/Moderado
           • Baixo
           • Não há/Nulo
           • Para cada item, é atribuído uma pontuação, e quanto maior a criticidade, mais ponto recebe. Exemplo: 4,3...
         • Critérios
           • Os responsáveis devem definir de forma clara os critérios para avaliar os ativos
             • Exemplo: Parada de setor, impacto financeiro, impacto na imagem da empresa, tamanho do impacto (afeta quantos setores), impacto em relação a concorrência, gera processo judicial, e visão do cliente
               • Confidencialidade: Qual é o impacto para a empresa/setor/produção/entrega caso ocorra acesso não autorizado ao ativo?
                 • Integridade: Qual é o impacto para a empresa/setor/produção/entrega caso ocorra alteração indevida no ativo?
                   • Disponibilidade: Qual é o impacto para a empresa/setor/produção/entrega caso ocorra perda do ativo ou ele fique indisponível por tempo indeterminado?
     • Como fazer a identificação dos ativos?
       • Indentificando as principais informações (relacionando a parte física, lógica e humana)
         • Colocando o objetivo de negócio de forma clara
           • Qual é o impacto do ativo para a organização?
             • Tempo permitido de parada
             • Custo para repor
             • Custo para manutenção
             • Custo de perda
       • Como definir os responsáveis pelos ativos?
         • Proprietário
           • Faz a classificação do ativo
           • Responsável pelo ativo na empresa
           • Geralmente é o mais alto nível que está envolvido no ativo
         • Protetor/Custodiante
           • Subordinado imediato do proprietário
           • Está diretamente envolvido com o ativo
           • Na ausência do proprietário, é ele quem responde pelo ativo
         • Administrador
           • Responsável por fazer a manutenção dos ativos
           • Responsável pelo ativo estar nos pilares
           • Não tem a "capacidade" de responder e nem decidir nada do ativo
     • Exigem mudança constante. O inventário nunca pode ser fixo
   • Como classificar os ativos?
     • Podem ser classificados de acordo com as necessidades, porém há algumas classificações padrões
       • Hardware
         • Software
           • Informação
             • Ambiente Físico
               • Funcionários/Pessoas
                 • Processos