What is a Cyber Security Risk Assessment?

Etapas de uma avaliação de risco de cibersegurança

O Instituto Nacional de Padrões e Tecnologia (NIST) publica vários recursos, incluindo as melhores práticas de Cibersegurança. Entre estes está um processo de seis etapas para realizar uma avaliação de risco de Cibersegurança. As seis etapas do processo NIST são as seguintes:

#1. Identifique e documente a vulnerabilidade dos ativos da rede

O primeiro passo num processo de avaliação de riscos de Cibersegurança é identificar e documentar a vulnerabilidade associada aos ativos de TI de uma organização. Isto pode incluir o inventário destes activos e a realização de uma avaliação para determinar os riscos potenciais e a vulnerabilidade associados a cada um.

#2. Identificar e usar fontes de inteligência cibernética de ameaça

Cibersegurança de inteligência ameaça são informações internas ou externas que podem ajudar a identificar riscos de Cibersegurança. Muitas organizações, incluindo CISA, US-CERT e empresas de Cibersegurança, oferecem acesso a feeds de inteligência cibernética de ameaças. Além disso, uma organização pode coletar inteligência de ameaça interna com base em ataques cibernéticos anteriores contra a organização e sua arquitetura de segurança existente.

#3. Identifique e documente ameaças internas e externas

Com uma visão completa dos seus ativos de TI e uma compreensão das principais ameaças potenciais, uma organização pode procurar ameaças internas e externas. Por exemplo, isso pode incluir a verificação de sistemas em busca de indicadores de comprometimento (IoCs), a busca por comportamento incomum em arquivos de log e a auditoria de arquivos de configuração em busca de configurações inseguras ou alterações não autorizadas.

#4. Identifique potenciais impactos da missão

Diferentes riscos de Cibersegurança têm impactos potenciais variados na organização. Por exemplo, uma infecção por ransomware no banco de dados corporativo tem um impacto maior do que um ataque semelhante contra a estação de trabalho de um único usuário. Identificar os impactos de uma ameaça cibernética na organização é essencial para quantificar o risco que ela representa.

#5. Use ameaças, vulnerabilidade, probabilidades e impactos para determinar riscos

Neste ponto da avaliação, uma organização tem uma compreensão clara das diversas ameaças e vulnerabilidades que enfrenta e do impacto potencial de cada uma. Também pode determinar a probabilidade de cada tipo de ataque usando inteligência cibernética de ameaça. Com base nesta informação, é possível quantificar o risco com base na combinação da probabilidade e do impacto de cada ameaça individual,

#6. Identifique e priorize respostas aos riscos

Depois de quantificar o risco de cada ameaça e vulnerabilidade, uma organização pode fazer uma lista priorizada destas questões. Estas informações podem ser utilizadas para informar os esforços de remediação, a fim de garantir que os principais riscos sejam abordados o mais rapidamente possível e para maximizar o ROI dos esforços de remediação.

Como uma avaliação de riscos de cibersegurança beneficia as organizações

Uma avaliação de risco de Cibersegurança fornece uma avaliação das defesas de uma organização contra ameaças cibernéticas. Algumas das maneiras pelas quais esta avaliação pode beneficiar a organização incluem:

• Remediação de vulnerabilidade: O resultado da avaliação de risco cibernético é uma lista de vulnerabilidades priorizadas que a organização pode abordar para melhorar suas defesas cibernéticas.
• Avaliação de segurança: A avaliação de risco cibernético fornece à organização uma visão sobre quais de suas defesas estão funcionando e quais precisam ser melhoradas.
• ROI da Cibersegurança: Uma avaliação de risco da Cibersegurança pode ajudar a demonstrar os retornos do investimento na Cibersegurança em termos da redução do risco de ataques cibernéticos da organização.
• Conformidade Regulatória: Algumas regulamentações exigem avaliações de segurança regulares para garantir que uma organização esteja protegendo adequadamente os dados confidenciais. Mesmo que não seja necessária uma avaliação, pode ser um exercício útil de preparação para uma auditoria de Conformidade.
• Cobertura de Seguro: O aumento do risco de Cibersegurança tornou o seguro de Cibersegurança mais caro e difícil de adquirir. Uma avaliação positiva do risco cibernético pode ajudar uma organização a melhorar as suas hipóteses de obter uma apólice ou reduzir o custo de uma já existente.