Apresentao

para:

A.G.I.R
Automatizao de
Gesto Integrada de Riscos

Segurana Ciberntica

Gesto Integrada de Riscos

em Segurana Ciberntica

So Paulo, 26 de setembro de 2017

Fernanda Wiggers | fernanda.wiggers@modulo.com

Vanessa Moreno | vanessa.moreno@modulo.com
Rafael Alves | rafael.alves@modulo.com
Fernando Nery | fnery@modulo.com
Gesto Integrada de Riscos
em Segurana Ciberntica
Sua sala de gesto integrada de riscos em segurana ciberntica pode ser de
qualquer tamanho
Ela pode utilizar a mesma tecnologia adotada em grandes salas de gesto de
emergncia
 Centro Integrado de Comando e Controle
CICCR PMRJ - Operao 190

Fonte: Governo do Estado do Rio de Janeiro

2017 Mdulo Solutions for GRC. Todos os direitos reservados 3
 Centro Integrado de Comando e Controle
CICCR PMRJ - Operao 190

Fonte:
2017 Mdulo Solutions for GRC. Todos os direitos reservados 4
Centro Integrado de Comando e Controle
CICCR PMRJ - Operao 190
 [Gesto]
[Integrada]
[de Riscos]
[em Segurana Ciberntica]
Viso Geral
Melhores Prticas, Benchmarks e Consensos

ISO 27014 Governana de Segurana

ISO 27005 Gesto de Riscos

ISO 27032 Segurana Ciberntica

Gesto Integrada de Riscos
em Segurana Ciberntica
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework Exemplo
Gesto Integrada de Riscos em Segurana Ciberntica
Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Inteligncia Ciberntica
Anlise de Governana e
Inventariar ativos de TIC em Fontes Abertas - Definio de Baselines
Vulnerabilidade Monitoramento
OSINT
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos, Retaguarda Tcnica
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM

Teste de Invaso
Resumo
Gesto Integrada de Riscos em Segurana Ciberntica
Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos

Comunicao e Consulta

Anlise de Riscos
Gesto de
Processos
Gesto do Anlise de Avaliao de Tratamento de
Conhecimento Vulnerabilidades Riscos Riscos
Gesto de Ativos
Gesto de
Ocorrncias

Monitoramento e Anlise Crtica

Gesto Integrada de Riscos em Segurana Ciberntica
One Page Cybersecurity Management
 Gesto Integrada de Riscos em Segurana Ciberntica
Viso Geral da Integrao
Registro de
Ocorrncias

Gesto de
Incidentes
Processos Remediao

Pessoas

Viso
Executiva
Ambiente
Alertas

Planejamento
Viso Geral da Integrao
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Inventariar ativos de Anlise de Governana e
Definio de Baselines
TIC Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Contexto
Inventariar Ativos
 Contexto
Inventariar Ativos
 Contexto
Vincular ativos a processos e sistemas
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Contexto
2.1 Organizar bases de conhecimento e benchmarkings
 Identificao de Riscos
2.1 Organizar bases de conhecimento e benchmarkings
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Anlise de Riscos
3.1 Questionrios de pessoas, processos, ambientes e CIS Top 5 / 20
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Anlise de Riscos
3.2 Anlise de Vulnerabilidade
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Anlise de Riscos
3.3 Controles: Bases de conhecimento, benchmarking, baselines
 Anlise de Riscos
3.3 Controles: Bases de conhecimento, benchmarking, baselines - script Oval CIS
 Anlise de Riscos
3.3 Controles: Bases de conhecimento, benchmarking, baselines
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Avaliao de Riscos
4.3 Registro de ocorrncias e monitoramento de alarmes

...
Alertas,
Alarmes e
Ocorrncias
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Avaliao de Riscos
Avaliao de riscos: Aceitar ou Tratar
 Avaliao de Riscos
Avaliao de riscos: Aceitar ou Tratar
 Avaliao de Riscos
4.1 Avaliao de riscos: Aceitar ou Tratar
 Avaliao de Riscos
4.1 Avaliao de riscos: Aceitar ou Tratar
 Avaliao de Riscos
4.1 Avaliao de riscos: Aceitar ou Tratar
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Avaliao de Riscos
4.2 Definio de baselines para anlise

Windows Server 2012

309 controles

Exemplo de baseline
Windows Server 2012
30 controles
 Gesto Integrada de Riscos em Segurana Ciberntica

Estabelecimento do Contexto
1 Inventrio de Ativos Cibernticos
Identificao de Riscos
2 Organizao das Bases de Conhecimento
Anlise de Riscos
3 Registro de Ocorrncias e Coletas
Avaliao de Riscos
4 Viso Situacional
Tratamento de Riscos
5 Workflow e Canais de Comunicao
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Tratamento de Riscos
5.1 Workflow e canais de comunicao
 Tratamento de Riscos
5.1 Workflow e canais de comunicao
 Tratamento de Riscos
5.1 Workflow e canais de comunicao
 Tratamento de Riscos
Gesto de Incidentes no Workflow

Exemplo 1 - Comprometimento de senhas

ATAQUE FB SENHA(S) INCIDENTE IP ATACANTE BLOQUEADO:
COMPROMETIDA(S) ENVIADO VIA API FW OU ROUTER
RM
1 2 3 4 5 6
INCIDENTE DETECTADO USURIO PI INCIDENTE
MONITORAMENTO LOGS BLOQUEADO COMUNICADAS ENCERRADO

Exemplo 2 - Monitoramento de baseline

ALTERAO DE BASELINE INCIDENTE CONFIGURAO
SERVIDOR CRTICO ENVIADO VIA API RESTABELECIDA
RM
1 2 3 4 5
INCIDENTE DETECTADO PI COMUNICADAS INCIDENTE
POR AGENTE ENCERRADO

5.1 Workflow
 Tratamento de Riscos
Mapeamento e implementao de processos no Sistema CSIRT, SOC etc
Framework - Gesto Integrada de Riscos em Segurana Ciberntica

Identificar Analisar
Contexto Avaliar Riscos Tratar Riscos
Riscos Riscos
Aplicar questionrios
Inventariar Pessoas, de pessoas, processos,
Organizar bases de Avaliao de Riscos: Tratamento, Resposta,
Processos, Sistemas e ambientes e Top 5/20
conhecimento Aceitar ou Tratar Implementao
Ambientes

Viso Situacional,
Anlise de Governana e
Inventariar ativos de TIC Definio de Baselines
Vulnerabilidade Monitoramento
Executivo

Vincular ativos de TIC a

Anlise de Controles e
pessoas, processos,
Benchmarking CIS Oval
sistemas e ambiente

Monitoramento,
Registro de ocorrncias
e Alertas SIEM
 Avaliao de Riscos
4.1 Avaliao de riscos: Aceitar ou Tratar
Benefcios
Atender s normas Manter parmetros
Adotar padres Implementar Viso
brasileiras de segurana objetivos para a gesto
internacionais de Situacional Tcnica e
da informao e de segurana
segurana ciberntica Executiva
ciberntica ciberntica

Aproveitar
Aumentar o Aumentar a capacidade
Antecipar aos fatos investimentos j
conhecimento de tomar deciso
realizados

Viso Integrada de
Workflow para Verificao automtica
Anlise de
Aumentar a capacidade tratamento de de controles por meio
Vulnerabilidades,
de resposta incidentes e no- de OvalCIS e Anlise de
Anlise de Riscos e
conformidades vulnerabilidade
SIEM

Ligao de ativos de TI Pontuao de

Workflow com equipes
com processos de relevncia para ativos Canais de comunicao
especializadas
negcios de TI

Anlise de ativos no-TI

(pessoas, processos, Pesquisas com usurios Atestao de polticas ...
ambientes)
Apresentao para:

Obrigado!
A.G.I.R
Automatizao de
Gesto Integrada de Riscos
Segurana Ciberntica

Gesto Integrada de Riscos

em Segurana Ciberntica

So Paulo, 26 de setembro de 2017

Fernanda Wiggers | fernanda.wiggers@modulo.com

Vanessa Moreno | vanessa.moreno@modulo.com
Rafael Alves | rafael.alves@modulo.com
Fernando Nery | fnery@modulo.com