Os métodos de avaliação de riscos
Desde a crise financeira iniciada em 2008, a análise de riscos ganhou peso na gestão interna das organizações. Antes, o tema era tratado de forma pouco sistemática e isolada. A partir daquele momento, as empresas passaram a reforçar o controle interno levando a gestão de riscos para todas as áreas.
Hoje existem várias metodologias de análise de riscos para tornar essa gestão sistemática. No escopo da análise de riscos corporativos, é muito importante considerar os riscos que podem comprometer a segurança da informação. Há diversas metodologias de avaliação para isso, e neste artigo vamos ver três das mais conhecidas: MEHARI, EBIOS e OCTAVE.
As três seguem a mesma lógica de fundo: identificar o que precisa ser protegido, as ameaças e as vulnerabilidades, avaliar o risco e terminar com um plano de tratamento que o reduza a um nível aceitável. A comparação entre o risco antes e depois das medidas é explicada em risco inerente e risco residual, e se você também precisa expressar o risco em valores monetários, em quantificação de riscos.
Metodologia MEHARI
MEHARI é uma metodologia desenvolvida pelo CLUSIF (Club de la Sécurité de l’Information Français) em 1998, que passou a ser de código aberto em 2007.
O objetivo da metodologia é permitir uma análise direta e individual de situações de risco descritas em diferentes cenários e oferecer um conjunto completo de ferramentas para a gestão da segurança no curto, médio e longo prazo, adaptável a diferentes níveis de maturidade.
As fases da metodologia MEHARI são:
- Análise ou avaliação de riscos
Uma situação de risco pode ser caracterizada por diferentes fatores:
- Fatores estruturais (ou organizacionais), que não dependem das medidas de segurança, mas da atividade principal da organização, do seu ambiente e do seu contexto.
- Fatores de redução do risco, que dependem diretamente das medidas de segurança implantadas.
A MEHARI permite avaliar esses fatores de forma qualitativa e quantitativa e, a partir deles, obter os níveis de risco.
Para isso, reúne ferramentas (critérios de avaliação, fórmulas etc.) e bases de conhecimento (em especial para o diagnóstico das medidas de segurança), que complementam o modelo de análise de riscos.
É preciso adotar uma abordagem estruturada que identifique todas as situações potenciais de risco, para analisar as mais críticas e definir as ações que reduzem o risco a níveis aceitáveis.
- Avaliações de segurança
A MEHARI inclui questionários de controles de segurança, que permitem avaliar a qualidade dos mecanismos e soluções voltados à redução do risco. Os controles ou medidas de segurança são agrupados em serviços e em domínios de segurança. A avaliação segue estes passos:
- Revisão de vulnerabilidades ou avaliação dos serviços de segurança: a MEHARI oferece um modelo de riscos estruturado que considera os fatores de redução do risco na forma de serviços de segurança.
O resultado da avaliação de vulnerabilidades serve para garantir que os serviços de segurança cumprem de fato o seu papel.
A avaliação se apoia em uma base de conhecimento especializada fornecida pela MEHARI para medir a qualidade das medidas de segurança.
- Planos de segurança baseados na revisão de vulnerabilidades: os planos de segurança são elaborados como resultado direto da avaliação do estado dos serviços de segurança.
O processo de gestão da segurança consiste em fazer a avaliação e decidir melhorar todos os serviços que não têm um nível de qualidade suficiente.
A MEHARI oferece questionários de diagnóstico que podem ser usados nessa abordagem.
- Uso das bases de conhecimento para criar um referencial de segurança: as bases de conhecimento da MEHARI podem ser usadas diretamente para criar um referencial de segurança, que reúne e descreve as regras e instruções de segurança que a organização deve seguir.
Os questionários de avaliação da MEHARI são uma boa base de trabalho para que os responsáveis pela segurança decidam o que aplicar na organização.
Criar um conjunto de regras por meio de um referencial de segurança costuma esbarrar em dificuldades de implantação local, por isso é preciso gerenciar isenções e exceções.
- Domínios cobertos pelo módulo de avaliação de vulnerabilidades: do ponto de vista da análise de riscos, partindo da identificação de todas as situações de risco e com o objetivo de cobrir todos os riscos inaceitáveis, a MEHARI não se limita ao domínio de TI.
Além dos sistemas de informação, o módulo de avaliação cobre toda a organização, como a proteção das instalações em geral, o ambiente de trabalho e os aspectos legais e regulatórios.
- Análise de ameaças
Qualquer que seja a orientação da política de segurança, há um princípio em que todos os responsáveis concordam: deve haver equilíbrio entre os investimentos em segurança e a importância dos principais desafios do negócio.
Isso significa que entender as ameaças ao negócio é indispensável e que a análise do contexto de segurança merece prioridade e um método de avaliação rigoroso.
A análise das ameaças de segurança busca responder a uma pergunta dupla: o que pode acontecer e, se acontecer, pode ser grave?
A MEHARI oferece um módulo de análise de ameaças com dois tipos de resultado:
- Uma escala de valores dos possíveis disfuncionamentos nos processos operacionais.
- Uma classificação das informações e dos ativos de TI: é a definição, para cada tipo de informação, cada tipo de ativo de TI e cada critério de classificação (normalmente confidencialidade, integridade e disponibilidade), da escala de valores de disfuncionamento definida antes, traduzida em indicadores de sensibilidade associados aos ativos de TI.
A escala de valores de disfuncionamento e a classificação das informações e dos ativos são duas formas diferentes de expressar as ameaças de segurança. A primeira é mais detalhada e traz mais informação aos CISOs; a segunda é mais geral e mais útil para campanhas de conscientização e comunicação.
Metodologia EBIOS
O EBIOS é um método promovido pela DCSSI (Direction centrale de la sécurité des systèmes d’information), hoje ANSSI, para uso nas administrações públicas francesas. Desde 2018, a versão vigente é o EBIOS Risk Manager, organizado em cinco oficinas e com foco nos cenários de ataque. As etapas descritas a seguir são as da versão anterior, que continua útil para entender a lógica do método. O objetivo da metodologia é dar uma visão global e coerente da segurança dos sistemas de informação, para definir os objetivos e requisitos de segurança da empresa.
A versão anterior do EBIOS se organizava em cinco etapas:
- Estudo do contexto
É preciso estudar o contexto da empresa e sua evolução ao longo do tempo, para identificar todos os elementos essenciais ligados a ela: hardware, software, redes, estruturas organizacionais, pessoas e instalações.
- Expressar as necessidades de segurança
Cada elemento identificado tem necessidades de segurança diferentes, expressas em parâmetros como disponibilidade, integridade e confidencialidade. Essas necessidades são avaliadas com critérios predefinidos, considerando o impacto que a perda ou a falta de qualquer um desses parâmetros pode causar.
- Estudo das ameaças
Cada organização está exposta a diferentes elementos perigosos ou ameaças, conforme seu ambiente natural e cultural, sua imagem, sua área de atuação etc. Por isso, é preciso identificar todos os elementos perigosos e os métodos de ataque que eles podem usar.
Conforme o método de ataque, cada empresa terá vulnerabilidades diferentes, que podem ser exploradas pelos elementos perigosos correspondentes.
- Expressar os objetivos de segurança
Falta determinar o risco, ou seja, como os elementos perigosos e seus métodos de ataque podem afetar os elementos essenciais.
O risco representa um possível sinistro: a possibilidade de um elemento perigoso afetar os elementos essenciais explorando as vulnerabilidades das entidades em que eles se apoiam e usando um método de ataque específico.
Os objetivos de segurança servem para cobrir as vulnerabilidades detectadas na organização.
Por outro lado, não faz sentido proteger o que não está exposto. Quanto maior o risco, mais importantes serão os objetivos de segurança, e não é preciso definir objetivos para o que não está exposto.
- Determinar os requisitos de segurança
A equipe responsável por aplicar o EBIOS deve especificar com precisão as funcionalidades de segurança esperadas e, com esses requisitos funcionais, demonstrar que os objetivos de segurança estão totalmente cobertos.
A equipe também deve especificar os requisitos de segurança que permitem alcançar o nível de confiança necessário e, depois, demonstrá-lo.
Metodologia OCTAVE
O modelo conceitual que serviu de base para a abordagem original do OCTAVE foi publicado pelo SEI (Software Engineering Institute) da Universidade Carnegie Mellon em 1999. O objetivo era enfrentar os desafios de conformidade em segurança do Departamento de Defesa dos EUA.
O OCTAVE é voltado a empresas de médio e grande porte, com mais de 300 funcionários, que têm estas características:
- Organograma com vários níveis
- Infraestrutura de TI própria
- Capacidade para avaliar vulnerabilidades
- Capacidade para interpretar os resultados das avaliações de vulnerabilidades
A metodologia OCTAVE tem 3 fases:
- Identificação de ativos
A organização deve identificar os ativos mais importantes usados no tratamento da informação. É importante identificar todos os ativos da empresa que sustentam os serviços de TI, além de todos os suportes que contêm informação.
Depois de identificados os ativos com informação, é preciso avaliá-los para saber quais são mais críticos para o funcionamento da organização e associar a eles todas as ameaças que podem afetar sua segurança.
- Análise da infraestrutura
Para complementar a análise da fase 1, a equipe de análise de riscos deve avaliar a infraestrutura tecnológica e física que sustenta os ativos com informação da empresa e identificar também as ameaças que podem afetar a segurança dessa infraestrutura.
- Análise de riscos
Por fim, a equipe de análise de riscos deve avaliar todas as ameaças e identificar os riscos mais relevantes para a empresa. Para os riscos mais altos, é preciso desenvolver um plano de mitigação, com novos controles ou melhorias nos existentes, para reduzir o nível de risco dos ativos definidos como críticos.
Com qualquer uma dessas metodologias, ou uma combinação delas, é possível obter uma visão o mais realista possível dos riscos que podem afetar a segurança da informação.
Na GlobalSuite Solutions, temos uma equipe especializada em análises de riscos de segurança da informação, que usa a metodologia mais adequada para cada empresa e pode ajudar a melhorar a gestão da segurança. O software GlobalSuite®, desenvolvido integralmente pela nossa equipe, permite manter qualquer análise de riscos atualizada e gerenciada de forma eficiente e com total rastreabilidade.
