Princpios Fundamentais da Segurana

Agora, o que estamos tentando fazer de novo?

Em todos os projetos de segurana, seja pequeno ou grande, existem trs princpios bsicos a seguir que so: disponibilidade, integridade e confidencialidade. Estes princpios so chamados de trade AIC (ou CIA). O nvel de segurana necessrio para garantir esses princpios difere de uma empresa para outra, porque cada uma tem seus propsitos de negcio, suas prprias metas e seus requisitos de segurana. Todos os controles, mecanismos de segurana e protees so implementados para garantir um ou mais desses princpios, e todos os riscos, ameaas e vulnerabilidades so medidos para levantar as suas capacidades ou potencial de comprometer um ou mais princpios da trade AIC. A Figura 3-2 ilustra a trade AIC.

Disponibilidade
Emergncia! Eu no posso obter os meus dados! Resposta: Ligue o computador!

Os sistemas e redes devem ser capazes de funcionar de modo previsvel (estvel) e com um nvel de desempenho aceitvel. Eles devero ser capazes

de se recuperarem de interrupes de maneira rpida e segura para que a produtividade no seja afetada negativamente. Simples pontos de falha devem ser evitados, medidas de backup devem ser tomadas, mecanismos de redundncia devem estar no local quando necessrio, e os efeitos negativos a partir de componentes ambientais devem ser evitados. necessrio que se faa uso de mecanismos de proteo, para se prevenir contra ameaas internas e externas ao local que poderiam afetar a disponibilidade e produtividade da rede, sistemas e informaes. A Disponibilidade assegura a confiabilidade e acesso oportuno aos dados e recursos para pessoas autorizadas. A disponibilidade do sistema pode ser afetada por uma falha de dispositivo ou de software. Dispositivos de backup deve ser usados e estarem disponvel para substituir rapidamente os sistemas crticos, funcionrios deve ter habilidade para fazer os ajustes necessrios a fim de fazer o sistema voltar a funcionar. As questes ambientais, como calor, umidade, frio, eletricidade esttica, e contaminantes tambm podem afetar a disponibilidade do sistema. Os sistemas devem ser protegidos contra esses elementos, estar devidamente aterrado eletricamente, e serem monitorados de perto.

Integridade A integridade mantida quando a garantia de fidelidade e segurana das informaes e sistemas providenciado, e qualquer modificao no autorizada impedida. Hardware, software e mecanismos de comunicao devem trabalhar em conjunto para manter o processamento dos dados corretamente e mover dados para destinos os pretendidos sem qualquer alterao inesperada. Os sistemas e redes devem ser protegidos de interferncias externas e contaminao. Ambientes que aplicam este atributo de segurana asseguram que atacantes, ou erros cometidos por usurios no comprometem a integridade dos sistemas ou dados. Quando um atacante insere um vrus, bomba lgica, ou back door em um sistema, a integridade do sistema comprometida. Isto pode, por sua vez, afetam negativamente a integridade da informao mantida no sistema por

meio de corrupo, modificao maliciosa, ou a substituio dos dados por dados incorretos. Rigorosos controles de acesso, detectores de intruso e hashing podem combater estas ameaas. Usurios geralmente afetam um sistema ou a integridade dos dados por engano (embora usurios internos tambm podem cometer atos maliciosos). Por exemplo, um usurio com um disco rgido cheio pode inadvertidamente excluir arquivos de configurao sob a suposio errnea de que a excluso de um arquivo boot.ini no trar problemas porque no se lembra de t-lo usado. Ou, por exemplo, um usurio pode inserir valores incorretos em um aplicativo de processamento de dados que acabaria cobrando de um cliente R$ 3.000.000 em vez de R$ 300. Modificar dados indevidamente no banco de dados outra maneira de como os usurios podem acidentalmente corromper dados este um erro que pode ter efeitos duradouros. A segurana deve simplificar os recursos de usurios e dar-lhes apenas escolhas certas e funcionais, assim os erros tornam-se menos comuns e menos devastadores. Os arquivos crticos de sistemas devem ser impedidos de serem acessados pelos usurios. As aplicaes devero fornecer mecanismos que verifiquem valores de entrada vlidos. Bancos de dados devem ser acessados somente por pessoas autorizadas e o trafego de dados deve ser protegido por criptografia ou outros mecanismos.

Confidencialidade A Confidencialidade garante que o nvel de sigilo necessrio aplicado em cada juno do processamento de dados e impede a divulgao no autorizada. Este nvel de confidencialidade deve prevalecer enquanto os dados residirem em sistemas e dispositivos dentro da rede, uma vez que so transmitidos e devem chegar ao seu destino. Atacantes podem burlar os mecanismos de confidencialidade atravs do monitoramento da rede, shoulder surfing (olhar pelo ombro, quando uma pessoa olha pelo ombro de outra pessoa e observam as teclas digitadas ou dados que aparecem em uma tela do computador), roubo de arquivos de

senhas, e engenharia social. Engenharia social quando uma pessoa usa truques com outra pessoa fazendo a compartilhar informaes confidenciais como se estivesse se infiltrando por meio de algum autorizado a ter acesso a essas informaes. A engenharia social pode assumir muitas outras formas. Na verdade, qualquer simples meio de comunicao pode ser usado para executar ataques de engenharia social. Os usurios podem intencionalmente ou acidentalmente divulgar informao vulnervel por no criptograf-la antes de envi-la a outra pessoa, ao cair em um ataque de engenharia social, atravs do compartilhamento de segredos empresariais, ou por no tomar os devidos cuidados para proteger a confidencialidade das informaes quando process-lo. A Confidencialidade pode ser fornecida por meio de criptografia de dados, uma vez que estes so armazenados e transmitidos, usando controle de trfego de rede, um controle de acesso rigoroso, fazendo classificao dos dados, e treinamento de pessoal sobre os procedimentos adequados a serem seguidos. Disponibilidade, integridade e confidencialidade so princpios fundamentais de segurana. Voc deve compreender os seus significados, como eles so fornecidos por diferentes mecanismos, e como sua ausncia pode afetar negativamente o ambiente, e quais ajudam a melhor identificar os problemas e apresentar solues adequadas. Cada soluo, seja ela de um firewall, consultor, ou programa de segurana, deve ser avaliada por seus requisitos funcionais e garantia destes. Avaliao de requisitos funcionais significa Esta soluo no realiza as tarefas necessrias?, e Avaliao de requisitos de garantia significa Qual garantia de nvel de proteo esta soluo oferece?. Os requisitos de garantia devem abranger a integridade, disponibilidade e confidencialidade em todos os aspectos da soluo.

Definies de segurana
Eu sou vulnervel e v-lo como uma ameaa. Resposta: Bom.

As palavras "vulnerabilidade", "ameaa", "risco" e de "exposio", muitas vezes so usados para repre enviou a mesma coisa, apesar de terem diferentes significados e relaes comuns aos outros. importante compreender a definio de cada palavra, mas mais importante compreender a sua relao com os outros conceitos. A vulnerabilidade um software, hardware ou fraqueza processual que pode fornecer uma atacante a porta aberta que ele est procurando para entrar um computador ou rede e ter um autorizado o acesso a recursos dentro do ambiente. A vulnerabilidade caracteriza a ausncia ou fraqueza de uma salvaguarda que pode ser explorada. Esta vulnerabilidade pode ser um servio executado em um servidor, aplicativos desatualizados ou software de sistema operacional, irrestrito modem dial-in de acesso, uma porta aberta no firewall, segurana fraca fsica que permite a qualquer pessoa entrar em uma sala do servidor, ou gerenciamento de senhas nao forcadas em servidores e estaes de trabalho. Uma ameaa qualquer perigo potencial para a informao ou sistemas. A ameaa que alguns, um, ou algo, ir identificar uma vulnerabilidade especfica e us-lo contra a empresa ou individual. A entidade que tira vantagem de uma vulnerabilidade referida como uma ameaa agente. Um agente de ameaa pode ser um intruso acessar a rede atravs de uma porta no firewall, um processo de acesso aos dados de uma forma que viola a poltica de segurana, um tornado acabando com uma instalao, ou um empregado de cometer um erro no intencional que pode ex- representam informaes confidenciais ou destruir a integridade de um arquivo. Um risco a probabilidade de um agente de ameaa tirar proveito de uma vulnerabilidade e o impacto nos negcios correspondente. Se um firewall tem vrias portas abertas, h uma maior probabilidade de que um intruso vai usar uma para acessar a rede em uma no autorizada metanfetamina od. Se os usurios no so educados em processos e procedimentos, h uma maior probabilidade que um funcionrio vai fazer uma falta intencional ou no intencional que pode destruir dados. Se um sistema de deteco de intruso (IDS) no foi implementado em uma rede, h uma maior probabilidade de um ataque vai passar despercebida at que seja tarde demais. Amarra o risco

vulnerveis ameaa, capacidade e probabilidade de explorao para o impacto comercial resultante. Uma exposio um exemplo de ser exposto a perdas de um agente de ameaa. A vulnerveis capacidade expe uma organizao para possveis danos. Se o gerenciamento de senhas frouxa e regras de senha no so aplicadas, a empresa est exposta possibilidade de hav-senhas de usurios ING capturado e usado de forma no autorizada. Se a empresa no no ter sua fiao inspecionados e no coloca os passos de preveno pr-ativa de incndio em lugar, ele se expe a incndios potencialmente devastadores. A medida preventiva, ou de salvaguarda, posto em prtica para mitigar o risco potencial. A contramedida pode ser uma configurao de software, um dispositivo de hardware ou um procedimento que elimina uma vulnerabilidade ou reduz a probabilidade de um agente de ameaa ser capaz de explorar uma vulnerabilidade. Exemplos de contramedidas incluem gerenciamento de senha forte, um guarda de segurana, mecanismos de controle de acesso dentro de um sistema operacional, a implementao de insumo bsico / sistema de sada (BIOS) senhas, e conscientizao de segurana de treinamento. Se uma empresa tem um software antivrus, mas no manter as assinaturas de vrus up-to-data, esta uma vulnerabilidade. A empresa vulnervel a ataques de vrus. A ameaa que um vrus vai aparecer no meio ambiente e prejudicar a produtividade. A probabilidade de um vrus aparecendo no meio ambiente e causar dano o risco. Se um vrus infiltrar ambiente da empresa e, em seguida uma vulnerabilidade tem sido explorada e a empresa exposto perda. As contramedidas nesta situao so para atualizar o assinaturas e instalar o software antivrus em todos os computadores. As relaes entre riscos, vulnerabilidades, ameaas e contramedidas so mostrados na Figura 3-3. Aplicando o direito contramedida pode eliminar a vulnerabilidade ea exposio, e, assim, reduzir o risco. A empresa no pode eliminar o agente de ameaa, mas pode proteger-se e evitar esse agente de ameaa de vulnerabilidades que exploram dentro da ambiente.

Referncias NIST Computer Security Resource Center csrc.ncsl.nist.gov CISSP e SSCP Estudo Aberto Guias www.cccure.org CISSP.com www.cissps.com

Ordem dos conceitos A ordem correta em que esses conceitos para avaliar como eles se aplicam sua prpria rede a exposio, ameaa, vulnerabilidade, medidas de segurana, e, por ltimo, o risco. Este porque no pode ser uma ameaa (novo ataque SQL), mas, a menos que a sua empresa a vulnerabilidade correspondente (SQL servidor com a configurao necessria), a empresa no est exposto e que no uma vulnerabilidade. Se a vulnerabilidade faz residir no ambiente, em seguida aplicado um contra-medida para reduzir o risco.

Gesto de Risco da Informao

A vida cheia de riscos.

Risco no contexto da segurana a possibilidade de acontecer danos, e as ramificaes de tal dano se ocorrer. Gesto da informao de risco (IRM) o processo de identificao e avaliao do risco, reduzindo-a a um nvel aceitvel, e implementao de os mecanismos adequados para manter esse nvel. No h tal coisa como uma 100 por cento ambiente seguro. Cada

ambiente tem vulnerabilidades e ameaas a um certo grau. A habilidade est em identificar essas ameaas, avaliar a probabilidade de eles realmente ocorrendo e os danos que pode causar, e ento tomar as medidas certas para reduzir o nvel global de risco no ambiente em que a organizao identifica como aceitveis. Os riscos para a empresa vm em diferentes formas, e eles no so todos os computadores ligados. Quando uma empresa compra outra empresa, leva-se em um monte de risco na esperana de que este movimento vai aumentar a sua base de mercado, produtividade e rentabilidade. Se uma empresa aumenta a sua linha de produtos, o que pode adicionar uma sobrecarga, aumentam a necessidade de pessoal e instalaes de armazenamento, necessita de mais fundos para os diferentes materiais e, talvez, aumentar o seguro prmios e as despesas de campanhas de marketing. O risco que isto adicionado sobrecarga no pode ser compensada de vendas, assim, a rentabilidade ser reduzida ou no realizado. Quando olhamos para a nota de segurana da informao, de que uma empresa precisa estar ciente de vrios tipos de risco e trat-los adequadamente. O toque itens a seguir no grande categorias: Fogo dano fsico, a gua, o vandalismo, a perda de energia e desastres naturais; Ao interao humana, acidental ou intencional ou omisso que pode atrapalhar a produtividade; Falha mau funcionamento do equipamento de sistemas e dispositivos perifricos; Ataques dentro e fora de hacking, cracking, e atacando; O uso incorreto de dados Compartilhando segredos comerciais, fraudes, espionagem e roubo; Perda de perda de dados intencional ou no intencional de informaes atravs de meios destrutivos; Aplicao de erro erros de clculo, erros de entrada, e buffer overflows. Ameaas devem ser identificadas, classificadas por categoria, e avaliados para calcular a sua dano potencial empresa. Risco real difcil de medir, mas

priorizando a riscos em potencial a fim de que uns devem ser abordadas primeiro possvel.

Quem realmente entende de Gesto de Risco? Infelizmente, a resposta a esta questo que as pessoas no o suficiente, dentro ou fora da profisso de segurana realmente entender de gesto de risco. Embora a informao segurana um grande negcio, hoje, o foco mais em aplicaes, dispositivos, protocolos, vrus, e hackers. Embora estes artigos todos devem ser considerados e pesados em risco processos de gesto, eles devem ser considerados pequenos pedaos da segurana global quebra-cabea, no o foco principal da gesto de risco. A segurana agora uma questo de negcios, mas as empresas operam para ganhar dinheiro, no apenas ser seguro. A empresa se preocupa com a segurana apenas se os potenciais riscos ameaam sua parte inferior linha, que eles podem, em muitas maneiras, como atravs da perda de reputao e sua base de clientes depois de um banco de dados de nmeros de carto de crdito est comprometida; atravs da perda de milhares de dlares em despesas operacionais a partir de um worm de computador novo, atravs de a perda de informaes confidenciais como resultado de tentativas de espionagem de sucesso da empresa; atravs da perda de informaes confidenciais de uma engenharia social de sucesso ataque, e assim por diante. fundamental que os profissionais de segurana compreender estes ameaas individuais, mas mais importante que eles compreendam a forma de calcular o risco dessas ameaas e mape-los para drivers de negcio. Saber a diferena entre as definies de "vulnerabilidade", "ameaa", e "Risco" pode parecer trivial para voc, mas mais crtica do que a maioria das pessoas realmente entender. Um scanner de vulnerabilidade pode identificar servios perigosos que esto em execuo, desnecessria contas e sistemas no atualizados. Essa a parte fcil. Mas se voc tem um oramento de segurana de apenas R $ 120.000 e tem uma longa lista de vulnerabilidades que precisam de ateno, voc tem a habilidade adequada para saber quais devem ser tratados em

primeiro lugar? Desde que voc tem um quantidade finita de dinheiro e um nmero quase infinito de vulnerabilidades, como voc adequadamente classificar as vulnerabilidades mais crticas para assegurar que a sua empresa est a tratar o? mais crtica questes e proporcionando o maior retorno sobre o investimento de fundos Isso o que a gesto de risco tudo, e para organizaes, empresas e empresas de todo o mundo, mais importante do que a IDS, hacking tico, malware, e firewalls. Mas a gesto de risco no to "sexy" e, portanto, no recebe o seu necessrio ateno ou implementao.

Informao sobre a Poltica de Gesto de Riscos

Como fao para colocar todas estas peas de gesto de risco juntos? Resposta: Vamos verificar a poltica.

Gesto de risco adequada requer um forte compromisso da gerncia snior, um processo documentado que apoia a misso da organizao, uma poltica de IRM, e um delegado equipe IRM. A poltica de IRM deve ser um subconjunto da gesto de risco da organizao geral poltica (riscos para uma empresa incluem mais do que apenas as questes de segurana da informao) e deve ser mapeadas para as polticas de segurana da organizao. A poltica de IRM deve abordar o seguinte itens: Os objetivos da equipe de IRM O nvel de risco da empresa vai aceitar e o que considerado aceitvel nvel de risco Os processos formais de identificao de riscos A ligao entre a poltica e a IRM de organizao estratgica processos de planejamento Responsabilidades que se enquadram IRM e os papis de cumpri-las O mapeamento de risco de controles internos A abordagem pessoal para comportamentos de mudana e alocao de recursos em resposta anlise de risco

 O mapeamento dos riscos para as metas de desempenho e oramentos Principais indicadores para monitorar a eficcia dos controles A poltica IRM fornece a infra-estrutura para a organizao de gesto de riscos de segurana processos e procedimentos e deve resolver todos os problemas de segurana da informao, do pessoal da triagem e da ameaa interna segurana fsica e firewalls. Ele deve fornecer orientao sobre como a equipe IRM relaciona informaes sobre os riscos da empresa para a gerncia snior e como executar corretamente decises de gesto sobre o risco tarefas de mitigao.

A Equipa de Gesto de Risco Cada organizao diferente em seu tamanho, os requisitos de postura de segurana e de segurana oramento. Uma organizao pode ter uma pessoa responsvel por IRM (pobre alma) ou uma equipe que trabalha de forma coordenada. O objetivo geral da equipe garantir a empresa protegido da maneira mais custo-efetiva. Este objetivo pode ser realizado somente se os seguintes componentes esto em vigor: Um nvel de aceitao de risco estabelecido fornecida pela gerncia snior Os processos de avaliao de risco documentado e procedimentos Os procedimentos para identificao e mitigao de riscos recurso apropriado e alocao de recursos da administrao snior Planos de contingncia onde as avaliaes indicam que so necessrios Formao de Segurana conscientizao para todos os funcionrios associados a informaes ativos A capacidade de estabelecer melhoria (ou mitigao de risco) equipes em especfico reas quando necessrio

 O mapeamento de requisitos compliancy legais e regulamentares para controlar e implementar os requisitos O desenvolvimento de mtricas e indicadores de desempenho, de modo a medir e gerenciar vrios tipos de riscos A capacidade de identificar e avaliar os riscos de novos, como o meio ambiente e empresa mudanas A integrao do IRM e processo da organizao de controle de mudanas para assegurar que as mudanas no introduzir novas vulnerabilidades Obviamente, esta lista muito mais do que apenas comprar um novo firewall brilhante e chamando o cofre da empresa. A equipe de IRM, na maioria dos casos, no feita por funcionrios com a tarefa dedicada de gesto de risco. composto por pessoas que j tm um trabalho de tempo integral na empresa e agora esto incumbidos de outra coisa. Assim, o apoio da gerncia snior alocao de recursos necessrios para adequada pode ter lugar. Claro, todas as equipes precisam de um lder, e IRM no diferente. Um indivduo deve ser apontada para executar este rodeio e, em grandes organizaes, essa pessoa deve ser gastar 50 a 70 por cento do seu tempo neste papel. A gerncia deve dedicar fundos para ter certeza que essa pessoa receba a formao necessria e as ferramentas de anlise de risco necessrios para garantir que um empreendimento de sucesso.

Anlise de Risco
Eu determinei que o nosso maior risco esse clipe. Resposta: Bom trabalho.

Anlise de risco, que realmente uma ferramenta de gesto de risco, um mtodo de identificao vulnerabilidades e ameaas e avaliar os possveis impactos para determinar onde implementar medidas de segurana. A anlise de risco usada para garantir que a segurana custo-efetivo, relevantes,

oportunas e responder a ameaas. A segurana pode ser bastante complexo, mesmo para wellversed profissionais de segurana, e fcil de aplicar segurana muito, no o suficiente segurana, ou os componentes de segurana erradas, e gastar muito dinheiro no processo sem atingir os objetivos necessrios. Anlise de risco ajuda as empresas a priorizar seus riscos e de gesto mostra a quantidade de dinheiro que deveria ser aplicado a proteo contra os riscos de uma forma sensata. A anlise de risco tem quatro objetivos principais: Identificar os ativos e seu valor para a organizao. Identificar vulnerabilidades e ameaas. Quantificar o impacto probabilidade e de negcios dessas ameaas potenciais. Fornecer um equilbrio econmico entre o impacto da ameaa e do custo de a contramedida. Anlise de riscos fornece uma comparao de custo / benefcio, que compara a anualizado custo de salvaguardas para o custo potencial de perda. Uma salvaguarda, na maioria dos casos, no deve ser implementado a menos que o custo anual da perda supera o custo anual do salvaguarda si. Isto significa que se uma unidade de US $ 100.000, que no faz sentido gastar 150.000 dlares tentando proteg-lo. importante descobrir o que voc deveria estar fazendo antes de cavar direito e comear a trabalhar. Quem j trabalhou em um projeto sem adequadamente definidos escopo pode atestar a verdade dessa afirmao. Antes de uma avaliao e anlise comeou, a equipe deve realizar um projecto de dimensionamento para entender o que os activos e ameaas deve ser avaliada. A maioria das avaliaes so focados em tecnologia de segurana fsica, segurana, ou a segurana pessoal. Tentando avaliar todos eles ao mesmo tempo pode ser bastante uma empresa. Uma das tarefas da equipe criar um relatrio que detalha as avaliaes de ativos. Senior gesto deve analisar e aceitar as listas, e torn-los o alcance da IRM projeto. Se a gerncia determinar nesta fase inicial que alguns ativos no so importantes, a equipe de avaliao de risco no deve gastar mais tempo

ou recursos de avaliao esses ativos. Durante as discusses com a administrao, todos os envolvidos devem ter uma empresa compreenso do valor do ttulo AIC trade disponibilidade, integridade, confidencialidade e- e como ela se relaciona diretamente com as necessidades do negcio. Gesto deve delinear o escopo, que provavelmente ser ditada por organizacional governana, gesto de riscos e conformidade, bem como as restries oramentais. Muitos projetos sem fundos e, consequentemente, parou, porque adequado dimensionamento projecto no foi realizado no incio do projecto. No deixe que isso acontea para voc. Uma anlise de risco ajuda a integrar os objetivos do programa de segurana com a companhia objetivos de negcio e requisitos. Quanto mais os objetivos do negcio e segurana so em alinhamento, o mais bem sucedido dos dois ser. A anlise tambm ajuda a empresa elaborar um oramento adequado para um programa de segurana e seus componentes de segurana constituintes. Uma vez que uma empresa sabe o quanto seus ativos valem a pena e as eventuais ameaas so exposto, ele pode tomar decises inteligentes sobre quanto dinheiro para gastar proteger esses ativos. A anlise de risco deve ser apoiado e dirigido pela alta administrao, se for para ser bem sucedido. A gesto deve definir o propsito eo escopo da anlise, nomear um equipe para realizar a avaliao, e alocar o tempo necessrio e os fundos para conduzir a anlise. essencial para a gerncia snior para analisar o resultado da avaliao de risco e anlise e de agir sobre as suas concluses. Afinal, o que bom para passar todos os problemas de uma avaliao de risco e no reagir a suas concluses? Infelizmente, isso faz acontecer muitas vezes. A Equipa de Anlise de Risco Cada organizao tem diferentes departamentos, e cada departamento tem sua prpria funcionalidade, recursos, tarefas e peculiaridades. Para a anlise de risco mais eficaz, uma organizao deve construir uma equipe de anlise de risco que inclui indivduos de muitos ou todos os departamentos para assegurar

que todas as ameaas so identificados e tratados. Os membros da equipe podem ser parte dos programadores de gerenciamento, aplicao, equipe de TI, integradores de sistemas e operacionais gerentes de fato, todo o pessoalchave de reas-chave da organizao. Este mistura necessrio porque se a equipe de anlise de risco compreende apenas os indivduos do Departamento de TI, pode no entender, por exemplo, os tipos de ameaas da contabilidade departamento enfrenta com problemas de integridade de dados, ou como a empresa como um todo seria afetada se os arquivos do departamento de contabilidade de dados foram aniquilados por uma acidental ou ato intencional. Ou, como outro exemplo, a equipe de TI pode no entender todos os riscos a empregados no armazm teria de enfrentar se um desastre natural atingisse, ou o que significaria para a sua produtividade e como isso afetaria a organizao geral. Se o equipe de anlise de risco no capaz de incluir membros de vrios departamentos, que deve, no mnimo, certifique-se de entrevistar pessoas em cada departamento para que ele compreenda e pode quantificar todas as ameaas. A equipe de anlise de risco deve incluir tambm pessoas que entendem os processos que so parte de seus departamentos individuais, ou seja, indivduos que esto nos nveis certos de cada departamento. Esta uma tarefa difcil, j que os gestores tendem a delegar qualquer tipo de tarefa de anlise de risco a nveis mais baixos dentro do departamento. No entanto, as pessoas que trabalham a estes nveis mais baixos podem no ter conhecimento e compreenso adequados dos processos que a equipe de anlise de risco pode ter de lidar com eles. Ao olhar para o risco, bom para manter vrias perguntas em mente. Aumentando essas perguntas ajuda a garantir que a equipe de anlise de risco e gesto snior saber o que importante. Os membros da equipe devem perguntar o seguinte: O que poderia ocorrer caso (ameaa evento)? O que poderia ser o impacto potencial (risco)? Quantas vezes pode acontecer (frequncia)? Qual o nvel de confiana que temos nas respostas s trs primeiras perguntas(Certeza)? Muitas dessas informaes so coletadas por meio de pesquisas internas, entrevistas ou oficinas.

Visualizando ameaas com essas questes em mente ajuda a equipe a se concentrar nas tarefas de mo e auxilia na tomada de decises mais precisas e relevantes.

Posse de risco Uma das questes mais importantes que enfrentamos pessoas que trabalham dentro de uma organizao quem possui o risco? A resposta realmente no simples porque depende o tipo e situao de risco que est sendo discutido. Alta administrao possui a risco presente durante a operao da organizao, mas pode haver momentos em que alta administrao tambm depende de dados guardies ou unidades de negcios para realizar o trabalho, e nessas horas que esses outros elementos da organizao tambm ombro parte da responsabilidade de propriedade risco. Concedido, sempre, em ltima anlise recai sobre snior gesto, mas tambm devem ser capazes de confiar que o trabalho que delegou est sendo tratado de uma maneira que entende, aceita a existncia de, e trabalha para minimizar os riscos que a organizao enfrenta no curso de suas operaes regulares.

O valor da informao e Ativos

Se a informao no tem qualquer valor, ento quem se preocupa em proteger ele?

O valor colocado em informaes relativo s partes envolvidas, o que o trabalho foi necessrio para desenvolv-lo, quanto custa para manter, o que resultaria danos se foram perdidos ou destrudos, o que os inimigos que pagar por ele, e que sanes responsabilidade poderia ser suportado. Se uma empresa no sabe o valor da informao e do outros ativos que ele est tentando proteger, ele no sabe quanto dinheiro e tempo deve gastar em proteg-los. Se voc fosse encarregado de fazer a Rssia se no conhecer os algoritmos de criptografia usados na transmisso de informaes de e para EUA satlites espies, voc usaria mais extremas medidas (e caro) de

segurana do que voc iria usar para proteger a sua manteiga de amendoim e sanduche de banana receita de seu nextdoor vizinho. O valor da informao apoia decises de medidas de segurana. Os exemplos anteriores referem-se a avaliar o valor da informao e proteco, mas essa lgica se aplica para instalaes de uma organizao, sistemas e recursos. O valor das instalaes da empresa deve ser avaliada, juntamente com todas as impressoras, estaes de trabalho servidores, dispositivos perifricos, suprimentos e funcionrios. Voc no sabe o quanto perigo de se perder se voc no sabe o que voc tem e que vale a pena no primeiro lugar.

Custos que compem o valor Um ativo pode ter ambas as medies quantitativas e qualitativas que lhe so atribudas, mas estas medies devem ser derivadas. O valor real de um ativo determinado pelo o custo necessrio para adquirir, desenvolver e manter. O valor determinado pela importncia que tem para os proprietrios, usurios autorizados, e usurios no autorizados. Algumas informaes suficientemente importante para uma empresa para seguir os passos de tornlo um comrcio segredo. O valor de um ativo deve refletir todos os custos identificveis que surgiriam se o activo foram, na verdade, comprometida. Se um servidor custar US $ 4.000 para compra, este valor no deve ser entrada como o valor do ativo em uma avaliao de risco. Em vez disso, o custo de substituio ou reparao isso, a perda de produtividade, e o valor de quaisquer dados que possam ser corrompidos ou perdidos deve ser contabilizado para capturar corretamente a quantidade a empresa perderia se o servidor falhasse por uma razo ou outra. As questes a seguir devem ser considerados ao atribuir valores aos bens: Custo de aquisio ou desenvolvimento do activo Custo para manter e proteger o ativo Valor do ativo para proprietrios e usurios Valor do ativo para os adversrios

 Valor da propriedade intelectual, que entrou em desenvolver a informao Preo outros esto dispostos a pagar para o ativo Custo para substituir o activo se perdeu As atividades operacionais e de produo afetada se o ativo est indisponvel questes de responsabilidade se o ativo est comprometido Utilidade eo papel do ativo na organizao Entender o valor de um ativo o primeiro passo para entender o que a segurana mecanismos devem ser postas em prtica e que os fundos devem ir para proteg-la. A questo muito importante o quanto poderia custar empresa para no proteger o ativo. A determinao do valor dos bens pode ser til para uma empresa para uma variedade de razes, incluindo os seguintes: Para executar eficazes anlises custo / benefcio Para selecionar contramedidas especficas e salvaguardas Para determinar o nvel de cobertura de seguro para comprar Para entender o que exatamente est em risco Para estar de acordo com o devido cuidado e para cumprir com os requisitos legais e regulamentares Ativos podem ser tangveis (computadores, instalaes, materiais) ou intangveis (reputao, dados, propriedade intelectual). Geralmente mais difcil de quantificar os valores de ativos intangveis, o que pode mudar com o tempo. Como voc colocar um valor monetrio na reputao de uma empresa? s vezes, mais difcil de descobrir do que um cubo de Rubik.

Ameaas de identificao
Ok, o que devemos ter medo?

Anterior, afirmou-se que a definio de um risco a probabilidade de um agente de ameaa explorar uma vulnerabilidade para causar danos a um computador, rede ou empresa, e o resultando impacto nos negcios. Muitos tipos de agentes de ameaa pode tirar vantagem de vrios tipos de vulnerabilidades, resultando em uma variedade de ameaas especficas, conforme descrito na Tabela 3-2, o que representa apenas uma amostra dos riscos muitas organizaes devero abordar, em seus programas de gesto de risco. Outros tipos de ameaas podem surgir em um ambiente informatizado que so muito mais difceis de identificar do que aquelas listadas na Tabela 3-2. Essas outras ameaas tm a ver com a aplicao e erros do utilizador. Se um aplicativo usa vrias equaes complexas para produzir resultados, a ameaa pode ser difcil de se descobrir e isolar estas equaes esto incorretas ou se o aplicativo est usando os dados inseridos incorretamente. Isto pode resultar em processamento e ilgico erros em cascata como resultados invlidos so repassados para outro processo. Estes tipos de problemas pode mentir no cdigo das aplicaes e so muito difceis de identificar. Erros de usurio, intencionais ou acidentais, so mais fceis de identificar por monitoramento e auditoria as atividades do usurio. Auditorias e revises devem ser realizados para descobrir se os funcionrios so introduzir valores incorretamente em programas, mau uso da tecnologia, ou modificar dados em de forma inadequada. Uma vez que as vulnerabilidades e ameaas associadas so identificadas, as ramificaes de essas vulnerabilidades sendo exploradas devem ser investigadas. Os riscos tm potencial de perda, Tabela 3.2

que significa que a empresa perderia se um agente de ameaa eram realmente para explorar uma vulnerabilidade. A perda de dados pode ser corrompido, destruio de sistemas e / ou da instalao, divulgao no autorizada de informaes confidenciais, uma reduo na produtividade dos funcionrios, e assim por diante. Ao realizar uma anlise de risco, a equipe tambm deve olhar para atraso perda ao avaliar os danos que podem ocorrer. Perda tardia tem efeitos negativos sobre a empresa aps uma vulnerabilidade explorada inicialmente. O perodo pode ser em qualquer lugar 15 minutos a anos aps a explorao. Perda retardada pode incluir uma reduzida produtividade ao longo de um perodo de prejuzos, para a reputao da empresa, reduziu o lucro para a empresa, acumulados penalidades final, despesa extra para obter o ambiente de volta ao bom funcionamento condies, a coleo de atraso de fundos de clientes, e assim por diante. Por exemplo, se os servidores de uma empresa de web so atacados e off-line, o imediato dano pode ser a corrupo de dados, as horas-homem necessrias para colocar os servidores de volta on-line, bem como a substituio de qualquer cdigo ou componentes necessrios. A empresa poderia perder receita se geralmente aceita encomendas e pagamentos atravs do seu site. Se necessrio um completo dias para obter os servidores web fixa e novamente online, a empresa poderia perder muito mais vendas e lucros. Se ele tem uma semana inteira para obter os servidores web fixa e novamente online, o empresa pode perder bastante vendas e lucros para no ser capaz de pagar outras contas e despesas. Esta seria uma perda retardada. Se os clientes da empresa perder a confiana nele por causa dessa atividade, ele poderia perder o negcio por meses ou anos. Trata-se de uma forma mais extrema caso de perda retardada.

Estes tipos de problemas fazem mais complexo o processo de quantificao de perdas corretamente ameaas especficas que podem causar, mas devem ser tomados em considerao para assegurar a realidade representada neste tipo de anlise.

Metodologias de Avaliao de Riscos Avaliao de risco tem vrias metodologias diferentes. Vamos dar uma olhada em alguns deles. NIST SP 800-30 e 800-66 so metodologias que podem ser utilizadas pelo general pblico, mas a criao inicial de 800-66 foi concebido para ser implementado no campo da sade e de outros setores regulados. Enquanto 800-66 foi projetado para ser usada pelos clientes HIPAA, tambm pode ser facilmente adoptadas e utilizadas por regulado, indstrias. 800-66, especificamente, um exemplo do tipo de metodologia que foi destinado a um setor regulado, mas que pode ser adotado e usado por outro. A abordagem do NIST especfico para TI ameaas e como se relacionam com informaes riscos de segurana. Ela estabelece os seguintes passos: Caracterizao do Sistema A identificao de ameaas Vulnerabilidade identificao A anlise de controle Determinao Probabilidade Anlise de impacto Determinao de Risco Recomendaes de controle Documentao Resultados O NIST SP 800 = metodologia de Gesto de Riscos 30 comumente usado por consultores de segurana, agentes de segurana e departamentos de TI internos, e se concentra principalmente em sistemas de computador. Um indivduo ou pequena equipe coleta dados de rede e segurana de avaliaes prticas, e de pessoas dentro da organizao.

Estes dados so usados como valores de entrada para as etapas de anlise de risco descritos no 800-30 documento. Um segundo tipo de metodologia de avaliao de risco chamado FRAP, que significa para processo facilitado Anlise de Risco. Ele projetado para explorar uma avaliao qualitativa dos riscos processo de uma maneira que permite que os testes fossem realizados em diferentes aspectos e variaes da metodologia. A inteno desta metodologia proporcionar a uma organizao com os meios de decidir que curso e aes devem ser tomadas em circunstncias especficas para lidar com vrias questes. Isto ir permitir que, atravs da utilizao de um processo de triagem inicial, os utilizadores para determinar as reas que realmente demanda e a necessidade de anlise de risco dentro de uma organizao. FRAP projetado em de modo a que ela afirma que qualquer pessoa com boas habilidades de facilitao ser capaz de operar com sucesso. Outra metodologia chamada OCTAVE (Ameaa Operacionalmente Crtica, Asset, Avaliao e Vulnerabilidade) foi criado pelo Software da Universidade Carnegie Mellon Instituto de Engenharia. uma metodologia que se destina a ser utilizado em situaes onde as pessoas gerenciar e dirigir a avaliao de risco para obter informaes segurana dentro de sua empresa. Isto coloca o trabalho que as pessoas dentro da organizao nas posies de poder como sendo capaz de tomar as decises sobre qual a melhor abordagem para avaliar a segurana de sua organizao. Este baseia-se na idia de que as pessoas que trabalham nesses ambientes compreender melhor o que necessrio e que tipo de riscos que enfrentam. CRAMM ainda um outro tipo de metodologia. A sigla significa CCTA anlise de risco e mtodo de gesto. Embora implementado de forma semelhante a outras metodologias que discutimos, dividido em trs segmentos: contramedida ameaa, seleo e anlise de vulnerabilidade, e avaliao e identificao de ativos. Este se destina a lidar com os aspectos tcnicos de uma organizao, bem como as pores no tcnicos. Abrangendo a anlise de rvore uma metodologia que desenvolve uma rvore de todas as ameaas potenciais e falhas que podem prejudicar o sistema. Cada um dos ramos um tema geral ou categoria, e como a anlise

de risco realizada, os ramos que no se aplicam podem ser removidos (ou "podados" se voc se importa de ficar com o tema rvore). Embora tanto a NIST e metodologias OCTAVE concentrar em ameaas de TI e riscos de segurana da informao, AS / NZS 4360 tem uma abordagem muito mais ampla de arriscar gesto. Esta metodologia pode ser usada para compreender financeira de uma empresa, segurana, capital humano, e os riscos de decises de negcios. Embora possa ser usado para analisar os riscos de segurana, ele no foi criado especificamente para esta finalidade. NOTA: Voc pode encontrar informaes sobre a relao entre estes abordagens de gesto de risco diferentes e como eles devem ser utilizados em um 00.html artigo de Shon Harris em http://searchsecurity.techtarget.com/genrico/0,295582, sid14_gci1191926,

Falha e Anlise de Falhas Temos um monte de vulnerabilidades de falha potencial, mas prefere no olhar para eles. Modos de Falha e Anlise de Efeito (FMEA) um mtodo para determinao de funes, identificar falhas funcionais e avaliar as causas da falha e seus efeitos de falha atravs de um processo estruturado. A aplicao deste processo a uma falha crnica permite a determinao de onde exactamente a falha mais provvel de ocorrer. Isto muito til na identificao de uma vulnerabilidade onde existe, bem como para determinar exatamente que tipo de escopo a vulnerabilidade implica significado, o que seria o secundrio ramificaes de sua explorao? Este por sua vez, no s torna mais fcil de aplicar uma correo corretiva para a vulnerabilidade, mas tambm permite uma aplicao muito mais eficaz de recursos para a questo. Pense nisso como sendo capaz de olhar para o futuro e localizar reas que tm o potencial de falha, ou para encontrar as vulnerabilidades e, em seguida, aplicar corretivo mede a eles antes de se tornarem responsabilidades reais. Ao seguir uma ordem especfica de etapas, os melhores resultados podem ser maximizado para uma falha Anlise do Modo:

1. Comece com um diagrama de blocos de um sistema ou de controlo. 2. Considere o que acontece se cada bloco do diagrama de falhar. 3. Elaborar um quadro em que as falhas esto emparelhados com os seus efeitos e um Avaliao dos efeitos. 4. Corrigir o desenho do sistema, e ajustar a mesa at que o sistema no est conhecido por ter problemas inaceitveis. 5. Ter vrios engenheiros rever os modos de falha e anlise de efeitos. Tabela 3-3 um exemplo de como um FMEA pode ser realizada e documentada. Embora a maioria das empresas no tem os recursos para fazer esse nvel de trabalho detalhado para cada sistema e de controlo, deve ser realizada em funes crticas e sistemas que pode afetar drasticamente a empresa. NOTA: Auditores Compliance analisar a documentao de processos, controles, atividades de testes e resultados. Este tipo de documentao (contanto preciso) ir ilustrar aos auditores como sua organizao sabe seus sistemas e como voc pretende tratar de falhas que podem ocorrer. importante olhar para um controle ou sistema a partir do micro ao nvel macro para compreender a vulnerabilidade de um qhere ou falha potencial reside e as ramificaes de sua explorao. Cada computador sustem potencialmente feito por SO muitas bombas de tempo diferentes em diferentes camadas OS sua composio. No nvel do componente, um buffer overflow ou controle ActiveX perigosa pode levar o sistema a ser controlado por um atacante aps a explorao. Ao nvel do programa, um aplicativo pode no ser realizao das etapas a devida autorizao ou pode no proteger suas chaves criptogrficas corretamente. A nvel de todo o sistema, o kernel de um sistema operacional pode ser falho, permitindo o acesso de raiz para ser facilmente realizado. Assustador podem surgir em cada nvel, por isso que uma abordagem detalhada tal necessrio. FMEA foi desenvolvido para sistemas de engenharia. O seu objectivo consiste em analisar a falhas potenciais em produtos e processos envolvidos com eles. Esta abordagem provou ser bem sucedida e, mais recentemente, foi adaptado

para ser utilizado na avaliao do risco prioridades de gesto e mitigao vulnerabilidades ameaa conhecida.

Tabela 3.3

FMEA utilizada na gesto de risco de garantia por causa do nvel de detalhe, variveis, e complexidade que continua a aumentar medida que as empresas entender o risco em mais granular nveis. Desta forma metdica de identificar potenciais armadilhas est chegando em jogo mais como a necessidade de sensibilizao para os riscos para baixo para os nveis ttico e operacional continua a expandir. Enquanto FMEA mais til como um mtodo de pesquisa para identificar modos de falha significativas num dado sistema, o mtodo no to til na descoberta de que os modos de falha complexos pode estar envolvida em vrios sistemas ou subsistemas. Uma anlise da rvore de falhas geralmente prova ser uma abordagem mais til para identificar as falhas que podem ocorrer dentro de mais ambientes complexos e sistemas. Anlise da rvore de falhas segue este processo geral. Em primeiro lugar, um efeito indesejado tomado como a raiz ou evento topo de uma rvore de lgica. Em seguida, cada situao que tem o potencial de provocar esse efeito adicionado rvore como uma srie de expresses lgicas. rvores de falhas so, ento, rotulados com nmeros reais relacionados com

probabilidades de falhas. Isso geralmente feito por usando programas de computador que podem calcular as probabilidades de falha de uma rvore de falhas. Figura 3-7 mostra uma rvore de falhas simplista e os smbolos lgicos usados para representar diferentes o que deve ter lugar para um evento de falha especfica.

Ao configurar a rvore, voc deve precisamente listar todas as ameaas ou falhas que podem ocorrer com um sistema. Os galhos da rvore podem ser divididos em categorias gerais como ameaas fsicas, ameaas, ameaas de redes de software, ameaas da Internet e de componentes ameaas falha. Ento, uma vez que todas as categorias possveis gerais esto no lugar, voc pode cortar eles e efetivamente podar os galhos da rvore que no se aplicam ao sistema em pergunta. Em geral, se um sistema no est ligado Internet atravs de qualquer meio, remover que se ramificam em geral a partir da rvore. Alguns dos eventos de software mais comuns de falhas que podem ser exploradas atravs de um anlise da rvore de falhas so os seguintes: Os alarmes falsos Tratamento de erro insuficiente

 Seqenciamento ou ordem Incorretas sadas temporrias Sadas vlidos, mas no se espera claro que, devido complexidade de ambientes de software e heterogneos, esta uma lista muito pequena. NOTA: Seis Sigma uma metodologia de melhoria de processos. o novo "e melhorado "Total Quality Management (TQM) que atingiu o setor de negcios em dcada de 1980. Seu objetivo melhorar a qualidade do processo, utilizando mtodos estatsticos de medir a eficincia de operao e reduo da variao, defeitos e desperdcio. SeisSigma est a ser usado na indstria de seguros, em alguns casos, para medir os fatores de sucesso dos controles e procedimentos diferentes. At agora, ns temos assegurado o apoio da administrao da anlise de risco, construdo nossa equipe assim que representa os diferentes departamentos da empresa, colocou um valor em cada dos ativos da empresa, e identificados todos os possveis ameaas que possam afetar os ativos. Tambm foram levadas em considerao todas as perdas potenciais e atrasada a empresa pode durar por ativo por ameaa. Temos realizado uma anlise do modo de falha e / ou uma anlise de rvore de falhas para entender as causas subjacentes das ameaas identificadas. O prximo passo a utilizao de mtodos qualitativos ou quantitativos para calcular o risco real a empresa enfrenta.