Modelo de Avaliação de Risco de Cibersegurança

Introdução

As ameaças à cibersegurança estão se tornando mais comuns e sofisticadas — e as violações estão cada vez mais custosas. De fato, o custo médio global de uma violação de dados alcançou US$ 4,45 milhões, em 2023, um aumento de 15% em apenas três anos.

Avaliações regulares de risco de cibersegurança podem ajudar sua organização a proteger seus dados — e seu negócio. Leia este guia para aprender sobre os benefícios das avaliações de risco de cibersegurança, os tipos de avaliações e seus componentes principais. Em seguida, baixe os modelos gratuitos de avaliação de risco de segurança da informação que fornecemos para começar com as avaliações para conformidade com HIPAA e GDPR.

Compreendendo Avaliações de Risco de Cibersegurança

Uma cybersecurity risk assessment avalia a capacidade de uma organização de identificar, defender-se e priorizar ameaças aos seus dados e sistemas. A avaliação envolve identificar information security risks — ameaças que podem potencialmente explorar as vulnerabilidades dos seus ativos.

Toda organização, independentemente do tamanho ou setor, deve realizar avaliações regulares de cybersecurity and IT risk assessments. As informações obtidas podem ajudar a implementar uma política de segurança eficaz e alocar recursos apropriadamente para melhorar sua segurança. Isso pode incluir a remediação de vulnerabilidades como contas de usuário com excesso de privilégios e configurações incorretas, bem como aprimorar as capacidades de detecção de ameaças e resposta para garantir uma defesa mais eficaz contra ataques de adivinhação de senhas, phishing, ransomware e outros ataques. Ao fortalecer a cibersegurança, você reduz o risco de perda de dados, prejuízos financeiros, processos judiciais e danos duradouros à reputação.

Além disso, as avaliações de risco de cibersegurança são inestimáveis para alcançar e manter a conformidade com regulamentos como HIPAA e GDPR, para que você possa evitar multas elevadas e outras penalidades. Os modelos fornecidos no link abaixo oferecem estruturas para realizar avaliações de risco que ajudam na conformidade com HIPAA e GDPR.

Visão geral do processo de avaliação de risco de cibersegurança

Em um nível elevado, o processo de avaliação de risco de cibersegurança inclui as seguintes etapas:

1. Localize todos os ativos valiosos na sua organização que podem ser prejudicados por ameaças. Exemplos incluem sites, servidores, segredos comerciais e documentos de parceiros.
2. Identifique as potenciais consequências se cada ativo for danificado, incluindo perdas financeiras, custos legais, perda de dados e tempo de inatividade do sistema.
3. Identifique ameaças e o seu nível. Ameaças são qualquer evento que possa causar danos aos seus ativos e à postura de segurança da sua empresa. Exemplos incluem falhas de sistema, desastres naturais, ações humanas mal-intencionadas e erros humanos.
4. Identifique vulnerabilidades e avalie a probabilidade de terceiros as explorarem. Vulnerabilidades são fraquezas que podem permitir a um terceiro violar sua segurança e prejudicar seus ativos.
5. Avalie os riscos. Riscos são as chances de uma determinada ameaça explorar as vulnerabilidades do ambiente e causar danos a um ou mais ativos, levando a prejuízos monetários. Os níveis de risco podem ser atribuídos a categorias qualitativas (como alto, moderado e baixo) ou valores numéricos. Organizações menores podem optar por uma abordagem qualitativa, pelo menos inicialmente, porque é mais simples de executar, mas avaliações quantitativas são mais úteis para análises de custo-benefício detalhadas.
6. Crie um plano de gestão de riscos com os dados coletados. Aqui está um exemplo em forma de tabela:

1. Crie uma estratégia de aprimoramento da infraestrutura de TI para mitigar as vulnerabilidades mais importantes e obter uma aprovação final da gestão.
2. Defina processos de mitigação. Isso ajudará a prevenir incidentes de cibersegurança no futuro ou, caso ocorram, torná-los menos prejudiciais.

Métodos de Avaliação de Risco de Cibersegurança

As organizações podem escolher entre vários métodos de avaliação de risco de cibersegurança, incluindo os seguintes:

• Avaliações de risco genéricas seguem um modelo e são usadas para uma ampla gama de casos. Elas geralmente fazem perguntas genéricas para oferecer visibilidade sobre os riscos, como "Você usa firewalls?" e "Você usa criptografia de ponta a ponta?" Este é um tipo básico de avaliação de risco que deve ser complementado por ferramentas mais complexas.
• Avaliações de risco específicas do local geralmente se concentram em casos de uso, pessoas, ambientes ou locais específicos. Elas costumam estar associadas a uma localização geográfica, como um escritório específico. Portanto, não são particularmente úteis se a sua empresa possui um ecossistema hiperconectado no qual os riscos podem se espalhar rapidamente de uma filial ou área para outra.
• Avaliações dinâmicas de risco fornecem acompanhamento contínuo e respostas. Este método capacita as equipes a monitorar constantemente os riscos emergentes em tempo real e mitigá-los o mais rápido possível.

Recursos para Avaliações de Risco de Cibersegurança

Para realizar avaliações de risco de cibersegurança, organizações, independentemente do tamanho ou setor, podem consultar os seguintes recursos.

Center for Internet Security Risk Assessment Method (CIS RAM)

As organizações podem usar CIS RAM para avaliar sua postura de cibersegurança contra os CIS Critical Security Controls, um conjunto de melhores práticas para melhorar a cibersegurança. CIS RAM pode ser utilizado de várias maneiras:

• Analistas de risco podem usar CIS RAM para simular ameaças previsíveis.
• Especialistas experientes em cibersegurança podem usar instruções do CIS RAM para modelar ameaças contra ativos e determinar a configuração apropriada para proteger os ativos de dados.
• Especialistas em risco cibernético podem usar o CIS RAM para analisar riscos com base em caminhos de ataque.

NIST SP 800-30

NIST SP 800-30 também oferece orientações sobre a realização de avaliações de risco. Embora seja direcionado a sistemas e organizações federais de informação, pode ser utilizado por qualquer organização interessada em melhorar a cibersegurança e a gestão de riscos.

Explora como as avaliações de risco podem ser aplicadas em três níveis de gestão de risco:

• Nível 1 — Organização
• Nível 2 — Processo de missão/negócio
• Tier 3 — Sistema de informação

Esses níveis informam o escopo da avaliação de risco e afetam seus impactos.

ISO/IEC 27000

ISO/IEC 27000 é uma família internacional de normas para gestão de riscos de segurança da informação. Inclui:

• ISO/IEC 27000 aborda a segurança para qualquer tipo de tecnologia da informação.
• ISO/IEC 27001 descreve como as organizações podem melhorar a segurança da informação, cibersegurança e proteção de privacidade utilizando um sistema de gestão de segurança da informação (ISMS).
• ISO/IEC 27002 complementa a ISO/IEC 27001 fornecendo orientações sobre a escolha de controles de segurança apropriados como parte da implementação do ISMS.

NIST Risk Management Framework

O NIST Risk Management Framework ajuda as organizações a determinar se seus controles de gerenciamento de risco foram implementados corretamente, estão funcionando conforme o previsto e estão produzindo o resultado desejado em relação ao cumprimento de seus requisitos de segurança e privacidade.

O NIST Risk Management Framework ajuda organizações com o seguinte:

• Selecionando avaliadores de risco e equipes de avaliação
• Desenvolvendo um plano de ação e marcos para avaliações de risco
• Desenvolvendo relatórios de avaliação de segurança e privacidade
• Garantindo que as avaliações de controle sejam conduzidas de acordo com os planos de avaliação
• Atualizando planos de privacidade e segurança para refletir mudanças na implementação de controles baseadas em ações de remediação e avaliações

Componentes-chave de uma Avaliação de Risco de Cibersegurança

Uma avaliação robusta de risco de cibersegurança deve ter os seguintes componentes-chave:

• Introdução — Explique como e por que a empresa conduziu o processo de avaliação. Inclua uma descrição dos sistemas e softwares revisados e especifique quem foi responsável por coletar, fornecer e avaliar as informações.
• Objetivo — Explicar por que a avaliação de risco está sendo realizada.
• Escopo — Defina o escopo da avaliação do sistema de TI. Descreva os usuários, componentes do sistema e outros detalhes a serem considerados na avaliação de risco de cibersegurança.
• Descrição do sistema — Liste o hardware, sistemas, interfaces, software e dados que foram examinados, bem como o que estava fora do escopo da avaliação.
• Participantes — Liste nomes e funções de todos os participantes, incluindo a equipe de avaliação de riscos, os proprietários dos ativos e as equipes de TI e segurança.
• Abordagem de avaliação — Explique as técnicas e metodologia utilizadas para a avaliação de risco.
• Identificação e avaliação de riscos— Compilar os resultados da avaliação.
• Inventário de dados — Identifique todos os ativos valiosos em escopo, incluindo dados regulamentados, dados críticos, servidores e outros tipos de dados cuja exposição teria um impacto significativo nas operações comerciais.
• Usuários do sistema — Detalhe quem usa os sistemas, incluindo seu nível de acesso e localização.
• Ameaças — Catalogue ameaças, como falhas de sistema, desastres naturais, ações humanas mal-intencionadas e erros humanos.
• Vulnerabilidades — Identifique fraquezas e lacunas de segurança que poderiam permitir que ameaças violassem sua segurança. Por exemplo, a falta de um plano de recuperação de desastres poderia levar à perda de dados importantes em caso de desastre.
• Determinação de risco — Avalie a possibilidade de que vulnerabilidades levem a danos. Certifique-se de realizar a determinação da probabilidade de risco, análise de impacto e avaliação do nível de risco.
• Resultados da avaliação de risco — Liste vulnerabilidades e ameaças, avalie o risco de cada uma e forneça recomendações para a implementação de controles.

Próximos Passos

Faça o download de um PDF com modelos gratuitos de avaliação de risco que podem ajudar na conformidade com HIPAA e GDPR.