Princípios Fundamentais da Segurança

Agora, o que estamos tentando fazer de novo?

Em todos os projetos de segurança, seja pequeno ou grande, existem

três princípios básicos a seguir que são: disponibilidade, integridade e

confidencialidade. Estes princípios são chamados de tríade AIC (ou CIA). O

nível de segurança necessário para garantir esses princípios difere de uma

empresa para outra, porque cada uma tem seus propósitos de negócio, suas

próprias metas e seus requisitos de segurança. Todos os controles,

mecanismos de segurança e proteções são implementados para garantir um ou

mais desses princípios, e todos os riscos, ameaças e vulnerabilidades são

medidos para levantar as suas capacidades ou potencial de comprometer um

ou mais princípios da tríade AIC. A Figura 3-2 ilustra a tríade AIC.

Disponibilidade

Emergência! Eu não posso obter os meus dados!

Resposta: Ligue o computador!

Os sistemas e redes devem ser capazes de funcionar de modo previsível

(estável) e com um nível de desempenho aceitável. Eles deverão ser capazes

de se recuperarem de interrupções de maneira rápida e segura para que a

produtividade não seja afetada negativamente. Simples pontos de falha devem

ser evitados, medidas de backup devem ser tomadas, mecanismos de

redundância devem estar no local quando necessário, e os efeitos negativos a

partir de componentes ambientais devem ser evitados. É necessário que se

faça uso de mecanismos de proteção, para se prevenir contra ameaças

internas e externas ao local que poderiam afetar a disponibilidade e

produtividade da rede, sistemas e informações. A Disponibilidade assegura a

confiabilidade e acesso oportuno aos dados e recursos para pessoas

autorizadas.

A disponibilidade do sistema pode ser afetada por uma falha de dispositivo ou

de software. Dispositivos de backup deve ser usados e estarem disponível para

substituir rapidamente os sistemas críticos, funcionários deve ter habilidade

para fazer os ajustes necessários a fim de fazer o sistema voltar a

funcionar. As questões ambientais, como calor, umidade, frio, eletricidade

estática, e contaminantes também podem afetar a disponibilidade do

sistema. Os sistemas devem ser protegidos contra esses elementos, estar

devidamente aterrado eletricamente, e serem monitorados de perto.

Integridade

A integridade é mantida quando a garantia de fidelidade e segurança das

informações e sistemas é providenciado, e qualquer modificação não

autorizada é impedida. Hardware, software e mecanismos de comunicação

devem trabalhar em conjunto para manter o processamento dos dados

corretamente e mover dados para destinos os pretendidos sem qualquer

alteração inesperada. Os sistemas e redes devem ser protegidos de

interferências externas e contaminação.

Ambientes que aplicam este atributo de segurança asseguram que atacantes,

ou erros cometidos por usuários não comprometem a integridade dos sistemas

ou dados. Quando um atacante insere um vírus, bomba lógica, ou back door

em um sistema, a integridade do sistema é comprometida. Isto pode, por sua

vez, afetam negativamente a integridade da informação mantida no sistema por

meio de corrupção, modificação maliciosa, ou a substituição dos dados por

dados incorretos. Rigorosos controles de acesso, detectores de intrusão e

hashing podem combater estas ameaças.

Usuários geralmente afetam um sistema ou a integridade dos dados por

engano (embora usuários internos também podem cometer atos

maliciosos). Por exemplo, um usuário com um disco rígido cheio pode

inadvertidamente excluir arquivos de configuração sob a suposição errônea de

que a exclusão de um arquivo boot.ini não trará problemas porque não se

lembra de tê-lo usado. Ou, por exemplo, um usuário pode inserir valores

incorretos em um aplicativo de processamento de dados que acabaria

cobrando de um cliente R$ 3.000.000 em vez de R$ 300. Modificar dados

indevidamente no banco de dados é outra maneira de como os usuários podem

acidentalmente corromper dados – este é um erro que pode ter efeitos

duradouros.

A segurança deve simplificar os recursos de usuários e dar-lhes apenas

escolhas certas e funcionais, assim os erros tornam-se menos comuns e

menos devastadores. Os arquivos críticos de sistemas devem ser impedidos de

serem acessados pelos usuários. As aplicações deverão fornecer mecanismos

que verifiquem valores de entrada válidos. Bancos de dados devem ser

acessados somente por pessoas autorizadas e o trafego de dados deve ser

protegido por criptografia ou outros mecanismos.

Confidencialidade

A Confidencialidade garante que o nível de sigilo necessário é aplicado em

cada junção do processamento de dados e impede a divulgação não

autorizada. Este nível de confidencialidade deve prevalecer enquanto os dados

residirem em sistemas e dispositivos dentro da rede, uma vez que são

transmitidos e devem chegar ao seu destino.

Atacantes podem burlar os mecanismos de confidencialidade através do

monitoramento da rede, shoulder surfing (olhar pelo ombro, é quando uma

pessoa olha pelo ombro de outra pessoa e observam as teclas digitadas ou

dados que aparecem em uma tela do computador), roubo de arquivos de

senhas, e engenharia social. Engenharia social é quando uma pessoa usa

truques com outra pessoa fazendo a compartilhar informações confidenciais

como se estivesse se infiltrando por meio de alguém autorizado a ter acesso a

essas informações. A engenharia social pode assumir muitas outras formas. Na

verdade, qualquer simples meio de comunicação pode ser usado para executar

ataques de engenharia social.

Os usuários podem intencionalmente ou acidentalmente divulgar informação

vulnerável por não criptografá-la antes de enviá-la a outra pessoa, ao cair em

um ataque de engenharia social, através do compartilhamento de segredos

empresariais, ou por não tomar os devidos cuidados para proteger a

confidencialidade das informações quando processá-lo.

A Confidencialidade pode ser fornecida por meio de criptografia de dados, uma

vez que estes são armazenados e transmitidos, usando controle de tráfego de

rede, um controle de acesso rigoroso, fazendo classificação dos dados, e

treinamento de pessoal sobre os procedimentos adequados a serem seguidos.

Disponibilidade, integridade e confidencialidade são princípios fundamentais de

segurança. Você deve compreender os seus significados, como eles são

fornecidos por diferentes mecanismos, e como sua ausência pode afetar

negativamente o ambiente, e quais ajudam a melhor identificar os problemas e

apresentar soluções adequadas.

Cada solução, seja ela de um firewall, consultor, ou programa de segurança,

deve ser avaliada por seus requisitos funcionais e garantia destes. Avaliação

de requisitos funcionais significa “Esta solução não realiza as tarefas

necessárias?”, e Avaliação de requisitos de garantia significa “Qual garantia de

nível de proteção esta solução oferece?”. Os requisitos de garantia devem

abranger a integridade, disponibilidade e confidencialidade em todos os

aspectos da solução.

Definições de segurança

Eu sou vulnerável e vê-lo como uma ameaça.

Resposta: Bom.

As palavras "vulnerabilidade", "ameaça", "risco" e de "exposição", muitas vezes

são usados para repre enviou a mesma coisa, apesar de terem diferentes

significados e relações comuns aos outros. É importante compreender a

definição de cada palavra, mas mais importante compreender a sua relação

com os outros conceitos.

A vulnerabilidade é um software, hardware ou fraqueza processual que pode

fornecer uma atacante a porta aberta que ele está procurando para entrar um

computador ou rede e ter um autorizado o acesso a recursos dentro do

ambiente. A vulnerabilidade caracteriza a ausência ou fraqueza de uma

salvaguarda que pode ser explorada. Esta vulnerabilidade pode ser um serviço

executado em um servidor, aplicativos desatualizados ou software de sistema

operacional, irrestrito modem dial-in de acesso, uma porta aberta no firewall,

segurança fraca física que permite a qualquer pessoa entrar em uma sala do

servidor, ou gerenciamento de senhas nao forcadas em servidores e estações

de trabalho.

Uma ameaça é qualquer perigo potencial para a informação ou sistemas. A

ameaça é que alguns, um, ou algo, irá identificar uma vulnerabilidade

específica e usá-lo contra a empresa ou individual. A entidade que tira

vantagem de uma vulnerabilidade é referida como uma ameaça

agente. Um agente de ameaça pode ser um intruso acessar a rede através de

uma porta no firewall, um processo de acesso aos dados de uma forma que

viola a política de segurança, um tornado acabando com uma instalação, ou

um empregado de cometer um erro não intencional que pode ex- representam

informações confidenciais ou destruir a integridade de um arquivo.

Um risco é a probabilidade de um agente de ameaça tirar proveito de uma

vulnerabilidade e o impacto nos negócios correspondente. Se um firewall tem

várias portas abertas, há uma maior probabilidade de que um intruso vai usar

uma para acessar a rede em uma não autorizada metanfetamina od. Se os

usuários não são educados em processos e procedimentos, há uma maior

probabilidade que um funcionário vai fazer uma falta intencional ou não

intencional que pode destruir dados. Se um sistema de detecção de intrusão

(IDS) não foi implementado em uma rede, há uma maior probabilidade de um

ataque vai passar despercebida até que seja tarde demais. Amarra o risco

vulneráveis ameaça, capacidade e probabilidade de exploração para o impacto

comercial resultante.

Uma exposição é um exemplo de ser exposto a perdas de um agente de

ameaça. A vulneráveis capacidade expõe uma organização para possíveis

danos. Se o gerenciamento de senhas é frouxa e regras de senha não são

aplicadas, a empresa está exposta à possibilidade de hav-senhas de usuários

ING capturado e usado de forma não autorizada. Se a empresa não não ter

sua fiação inspecionados e não coloca os passos de prevenção pró-ativa de

incêndio em lugar, ele se expõe a incêndios potencialmente devastadores.

A medida preventiva, ou de salvaguarda, é posto em prática para mitigar o

risco potencial. A contramedida pode ser uma configuração de software, um

dispositivo de hardware ou um procedimento que elimina uma vulnerabilidade

ou reduz a probabilidade de um agente de ameaça será capaz de explorar uma

vulnerabilidade. Exemplos de contramedidas incluem gerenciamento de senha

forte, um guarda de segurança, mecanismos de controle de acesso dentro de

um sistema operacional, a implementação de insumo básico / sistema de saída

(BIOS) senhas, e conscientização de segurança de treinamento.

Se uma empresa tem um software antivírus, mas não manter as assinaturas de

vírus up-to-data, esta é uma vulnerabilidade. A empresa é vulnerável a ataques

de vírus. A ameaça é que um vírus vai aparecer no meio ambiente e prejudicar

a produtividade. A probabilidade de um vírus aparecendo no meio ambiente e

causar dano é o risco. Se um vírus infiltrar ambiente da empresa e, em seguida

uma vulnerabilidade tem sido explorada e a empresa é exposto à perda. As

contramedidas nesta situação são para atualizar o assinaturas e instalar o

software antivírus em todos os computadores. As relações entre riscos,

vulnerabilidades, ameaças e contramedidas são mostrados na Figura 3-3.

Aplicando o direito contramedida pode eliminar a vulnerabilidade ea exposição,

e, assim, reduzir o risco. A empresa não pode eliminar o agente de ameaça,

mas pode proteger-se e evitar esse agente de ameaça de vulnerabilidades que

exploram dentro da ambiente.

Referências

• NIST Computer Security Resource Center csrc.ncsl.nist.gov

• CISSP e SSCP Estudo Aberto Guias www.cccure.org

• CISSP.com www.cissps.com

Ordem dos conceitos

A ordem correta em que esses conceitos para avaliar como eles se aplicam à

sua própria rede é a exposição, ameaça, vulnerabilidade, medidas de

segurança, e, por último, o risco. Este é porque não pode ser uma ameaça

(novo ataque SQL), mas, a menos que a sua empresa a vulnerabilidade

correspondente (SQL servidor com a configuração necessária), a empresa não

está exposto e que não é uma vulnerabilidade. Se a vulnerabilidade faz residir

no ambiente, em seguida é aplicado um contra-medida para reduzir o risco.

Gestão de Risco da Informação

A vida é cheia de riscos.

Risco no contexto da segurança é a possibilidade de acontecer danos, e as

ramificações de tal dano se ocorrer. Gestão da informação de risco (IRM) é o

processo de identificação e avaliação do risco, reduzindo-a a um nível

aceitável, e implementação de os mecanismos adequados para manter esse

nível. Não há tal coisa como uma 100 por cento ambiente seguro. Cada

ambiente tem vulnerabilidades e ameaças a um certo grau. A habilidade está

em identificar essas ameaças, avaliar a probabilidade de eles realmente

ocorrendo e os danos que pode causar, e então tomar as medidas certas para

reduzir o nível global de risco no ambiente em que a organização identifica

como aceitáveis. Os riscos para a empresa vêm em diferentes formas, e eles

não são todos os computadores ligados.

Quando uma empresa compra outra empresa, leva-se em um monte de risco

na esperança de que este movimento vai aumentar a sua base de mercado,

produtividade e rentabilidade. Se uma empresa aumenta a sua linha de

produtos, o que pode adicionar uma sobrecarga, aumentam a necessidade de

pessoal e instalações de armazenamento, necessita de mais fundos para os

diferentes materiais e, talvez, aumentar o seguro prémios e as despesas de

campanhas de marketing. O risco é que isto adicionado sobrecarga não pode

ser compensada de vendas, assim, a rentabilidade será reduzida ou não

realizado. Quando olhamos para a nota de segurança da informação, de que

uma empresa precisa estar ciente de vários tipos de risco e tratá-los

adequadamente. O toque itens a seguir no grande categorias:

• Fogo dano físico, a água, o vandalismo, a perda de energia e

desastres naturais;

• Ação interação humana, acidental ou intencional ou omissão que pode

atrapalhar a produtividade;

• Falha mau funcionamento do equipamento de sistemas e dispositivos

periféricos;

• Ataques dentro e fora de hacking, cracking, e atacando;

• O uso incorreto de dados Compartilhando segredos comerciais,

fraudes, espionagem e roubo;

• Perda de perda de dados intencional ou não intencional de

informações através de meios destrutivos;

• Aplicação de erro erros de cálculo, erros de entrada, e buffer overflows.

Ameaças devem ser identificadas, classificadas por categoria, e avaliados para

calcular a sua dano potencial à empresa. Risco real é difícil de medir, mas

priorizando a riscos em potencial a fim de que uns devem ser abordadas

primeiro é possível.

Quem realmente entende de Gestão de Risco?

Infelizmente, a resposta a esta questão é que as pessoas não o suficiente,

dentro ou fora da profissão de segurança realmente entender de gestão de

risco. Embora a informação segurança é um grande negócio, hoje, o foco é

mais em aplicações, dispositivos, protocolos, vírus, e hackers. Embora estes

artigos todos devem ser considerados e pesados em risco processos de

gestão, eles devem ser considerados pequenos pedaços da segurança global

quebra-cabeça, não o foco principal da gestão de risco.

A segurança é agora uma questão de negócios, mas as empresas operam para

ganhar dinheiro, não apenas ser seguro. A empresa se preocupa com a

segurança apenas se os potenciais riscos ameaçam sua parte inferior linha,

que eles podem, em muitas maneiras, como através da perda de reputação e

sua base de clientes depois de um banco de dados de números de cartão de

crédito está comprometida; através da perda de milhares de dólares em

despesas operacionais a partir de um worm de computador novo, através de a

perda de informações confidenciais como resultado de tentativas de

espionagem de sucesso da empresa; através da perda de informações

confidenciais de uma engenharia social de sucesso ataque, e assim por diante.

É fundamental que os profissionais de segurança compreender estes ameaças

individuais, mas é mais importante que eles compreendam a forma de calcular

o risco dessas ameaças e mapeá-los para drivers de negócio.

Saber a diferença entre as definições de "vulnerabilidade", "ameaça", e "Risco"

pode parecer trivial para você, mas é mais crítica do que a maioria das pessoas

realmente entender.

Um scanner de vulnerabilidade pode identificar serviços perigosos que estão

em execução, desnecessária contas e sistemas não atualizados. Essa é a

parte fácil. Mas se você tem um orçamento de segurança de apenas R $

120.000 e tem uma longa lista de vulnerabilidades que precisam de atenção,

você tem a habilidade adequada para saber quais devem ser tratados em

primeiro lugar? Desde que você tem um quantidade finita de dinheiro e um

número quase infinito de vulnerabilidades, como você adequadamente

classificar as vulnerabilidades mais críticas para assegurar que a sua empresa

está a tratar o? mais crítica questões e proporcionando o maior retorno sobre o

investimento de fundos Isso é o que a gestão de risco é tudo, e para

organizações, empresas e empresas de todo o mundo, é mais importante do

que a IDS, hacking ético, malware, e firewalls. Mas a gestão de risco não é tão

"sexy" e, portanto, não recebe o seu necessário atenção ou implementação.

Informação sobre a Política de Gestão de Riscos

Como faço para colocar todas estas peças de gestão de risco juntos?

Resposta: Vamos verificar a política.

Gestão de risco adequada requer um forte compromisso da gerência sênior,

um processo documentado que apoia a missão da organização, uma política

de IRM, e um delegado equipe IRM.

A política de IRM deve ser um subconjunto da gestão de risco da organização

geral política (riscos para uma empresa incluem mais do que apenas as

questões de segurança da informação) e deve ser mapeadas para as políticas

de segurança da organização. A política de IRM deve abordar o seguinte itens:

• Os objetivos da equipe de IRM

• O nível de risco da empresa vai aceitar e o que é considerado aceitável

nível de risco

• Os processos formais de identificação de riscos

• A ligação entre a política e a IRM de organização estratégica processos

de planejamento

• Responsabilidades que se enquadram IRM e os papéis de cumpri-las

• O mapeamento de risco de controles internos

• A abordagem pessoal para comportamentos de mudança e alocação

de recursos em resposta à análise de risco

• O mapeamento dos riscos para as metas de desempenho e

orçamentos

• Principais indicadores para monitorar a eficácia dos controles

A política IRM fornece a infra-estrutura para a organização de gestão de riscos

de segurança processos e procedimentos e deve resolver todos os problemas

de segurança da informação, do pessoal da triagem e da ameaça interna à

segurança física e firewalls.

Ele deve fornecer orientação sobre como a equipe IRM relaciona informações

sobre os riscos da empresa para a gerência sênior e como executar

corretamente decisões de gestão sobre o risco tarefas de mitigação.

A Equipa de Gestão de Risco

Cada organização é diferente em seu tamanho, os requisitos de postura de

segurança e de segurança orçamento. Uma organização pode ter uma pessoa

responsável por IRM (pobre alma) ou uma equipe que trabalha de forma

coordenada. O objetivo geral da equipe é garantir a empresa é protegido da

maneira mais custo-efetiva. Este objetivo pode ser realizado somente se os

seguintes componentes estão em vigor:

• Um nível de aceitação de risco estabelecido fornecida pela gerência

sênior

• Os processos de avaliação de risco documentado e procedimentos

• Os procedimentos para identificação e mitigação de riscos

• recurso apropriado e alocação de recursos da administração sênior

• Planos de contingência onde as avaliações indicam que são

necessários

• Formação de Segurança conscientização para todos os funcionários

associados a informações ativos

• A capacidade de estabelecer melhoria (ou mitigação de risco) equipes

em específico áreas quando necessário

• O mapeamento de requisitos compliancy legais e regulamentares para

controlar e implementar os requisitos

• O desenvolvimento de métricas e indicadores de desempenho, de

modo a medir e gerenciar vários tipos de riscos

• A capacidade de identificar e avaliar os riscos de novos, como o meio

ambiente e empresa mudanças

• A integração do IRM e processo da organização de controle de

mudanças para assegurar que as mudanças não introduzir novas

vulnerabilidades

Obviamente, esta lista é muito mais do que apenas comprar um novo firewall

brilhante e chamando o cofre da empresa.

A equipe de IRM, na maioria dos casos, não é feita por funcionários com a

tarefa dedicada de gestão de risco. É composto por pessoas que já têm um

trabalho de tempo integral na empresa e agora estão incumbidos de outra

coisa. Assim, o apoio da gerência sênior é alocação de recursos necessários

para adequada pode ter lugar.

Claro, todas as equipes precisam de um líder, e IRM não é diferente. Um

indivíduo deve ser apontada para executar este rodeio e, em grandes

organizações, essa pessoa deve ser gastar 50 a 70 por cento do seu tempo

neste papel. A gerência deve dedicar fundos para ter certeza que essa pessoa

receba a formação necessária e as ferramentas de análise de risco

necessários para garantir que é um empreendimento de sucesso.

Análise de Risco

Eu determinei que o nosso maior risco é esse clipe.

Resposta: Bom trabalho.

Análise de risco, que é realmente uma ferramenta de gestão de risco, é um

método de identificação vulnerabilidades e ameaças e avaliar os possíveis

impactos para determinar onde implementar medidas de segurança. A análise

de risco é usada para garantir que a segurança é custo-efetivo, relevantes,

oportunas e responder a ameaças. A segurança pode ser bastante complexo,

mesmo para wellversed profissionais de segurança, e é fácil de aplicar

segurança muito, não o suficiente segurança, ou os componentes de

segurança erradas, e gastar muito dinheiro no processo sem atingir os

objetivos necessários. Análise de risco ajuda as empresas a priorizar seus

riscos e de gestão mostra a quantidade de dinheiro que deveria ser aplicado a

proteção contra os riscos de uma forma sensata.

A análise de risco tem quatro objetivos principais:

• Identificar os ativos e seu valor para a organização.

• Identificar vulnerabilidades e ameaças.

• Quantificar o impacto probabilidade e de negócios dessas ameaças

potenciais.

• Fornecer um equilíbrio econômico entre o impacto da ameaça e do

custo de a contramedida.

Análise de riscos fornece uma comparação de custo / benefício, que compara a

anualizado custo de salvaguardas para o custo potencial de perda. Uma

salvaguarda, na maioria dos casos, não deve ser implementado a menos que o

custo anual da perda supera o custo anual do salvaguarda si. Isto significa que

se uma unidade é de US $ 100.000, que não faz sentido gastar 150.000

dólares tentando protegê-lo.

É importante descobrir o que você deveria estar fazendo antes de cavar direito

e começar a trabalhar. Quem já trabalhou em um projeto sem adequadamente

definidos escopo pode atestar a verdade dessa afirmação. Antes de uma

avaliação e análise é começou, a equipe deve realizar um projecto de

dimensionamento para entender o que os activos e ameaças deve ser

avaliada. A maioria das avaliações são focados em tecnologia de segurança

física, segurança, ou a segurança pessoal. Tentando avaliar todos eles ao

mesmo tempo pode ser bastante uma empresa.

Uma das tarefas da equipe é criar um relatório que detalha as avaliações de

ativos. Senior gestão deve analisar e aceitar as listas, e torná-los o alcance da

IRM projeto. Se a gerência determinar nesta fase inicial que alguns ativos não

são importantes, a equipe de avaliação de risco não deve gastar mais tempo

ou recursos de avaliação esses ativos. Durante as discussões com a

administração, todos os envolvidos devem ter uma empresa compreensão do

valor do título AIC tríade disponibilidade, integridade, confidencialidade e- e

como ela se relaciona diretamente com as necessidades do negócio.

Gestão deve delinear o escopo, que provavelmente será ditada por

organizacional governança, gestão de riscos e conformidade, bem como as

restrições orçamentais.

Muitos projetos sem fundos e, consequentemente, parou, porque adequado

dimensionamento projecto não foi realizado no início do projecto. Não deixe

que isso aconteça para você.

Uma análise de risco ajuda a integrar os objetivos do programa de segurança

com a companhia objetivos de negócio e requisitos. Quanto mais os objetivos

do negócio e segurança são em alinhamento, o mais bem sucedido dos dois

será. A análise também ajuda a empresa elaborar um orçamento adequado

para um programa de segurança e seus componentes de segurança

constituintes.

Uma vez que uma empresa sabe o quanto seus ativos valem a pena e as

eventuais ameaças são exposto, ele pode tomar decisões inteligentes sobre

quanto dinheiro para gastar proteger esses ativos.

A análise de risco deve ser apoiado e dirigido pela alta administração, se for

para ser bem sucedido. A gestão deve definir o propósito eo escopo da análise,

nomear um equipe para realizar a avaliação, e alocar o tempo necessário e os

fundos para conduzir a análise. É essencial para a gerência sênior para

analisar o resultado da avaliação de risco e análise e de agir sobre as suas

conclusões. Afinal, o que é bom para passar todos os problemas de uma

avaliação de risco e não reagir a suas conclusões? Infelizmente, isso faz

acontecer muitas vezes.

A Equipa de Análise de Risco

Cada organização tem diferentes departamentos, e cada departamento tem

sua própria funcionalidade, recursos, tarefas e peculiaridades. Para a análise

de risco mais eficaz, uma organização deve construir uma equipe de análise de

risco que inclui indivíduos de muitos ou todos os departamentos para assegurar

que todas as ameaças são identificados e tratados. Os membros da equipe

podem ser parte dos programadores de gerenciamento, aplicação, equipe de

TI, integradores de sistemas e operacionais gerentes de fato, todo o pessoal-

chave de áreas-chave da organização. Este mistura é necessário porque se a

equipe de análise de risco compreende apenas os indivíduos do Departamento

de TI, pode não entender, por exemplo, os tipos de ameaças da contabilidade

departamento enfrenta com problemas de integridade de dados, ou como a

empresa como um todo seria afetada se os arquivos do departamento de

contabilidade de dados foram aniquilados por uma acidental ou ato intencional.

Ou, como outro exemplo, a equipe de TI pode não entender todos os riscos a

empregados no armazém teria de enfrentar se um desastre natural atingisse,

ou o que significaria para a sua produtividade e como isso afetaria a

organização geral. Se o equipe de análise de risco não é capaz de incluir

membros de vários departamentos, que deve, no mínimo, certifique-se de

entrevistar pessoas em cada departamento para que ele compreenda e pode

quantificar todas as ameaças.

A equipe de análise de risco deve incluir também pessoas que entendem os

processos que são parte de seus departamentos individuais, ou seja,

indivíduos que estão nos níveis certos de cada departamento. Esta é uma

tarefa difícil, já que os gestores tendem a delegar qualquer tipo de tarefa de

análise de risco a níveis mais baixos dentro do departamento. No entanto, as

pessoas que trabalham a estes níveis mais baixos podem não ter

conhecimento e compreensão adequados dos processos que a equipe de

análise de risco pode ter de lidar com eles.

Ao olhar para o risco, é bom para manter várias perguntas em mente.

Aumentando essas perguntas ajuda a garantir que a equipe de análise de risco

e gestão sênior saber o que é importante. Os membros da equipe devem

perguntar o seguinte: O que poderia ocorrer caso (ameaça evento)? O que

poderia ser o impacto potencial (risco)? Quantas vezes pode acontecer

(frequência)? Qual o nível de confiança que temos nas respostas às três

primeiras perguntas(Certeza)?

Muitas dessas informações são coletadas por meio de pesquisas internas,

entrevistas ou oficinas.

Visualizando ameaças com essas questões em mente ajuda a equipe a se

concentrar nas tarefas de mão e auxilia na tomada de decisões mais precisas e

relevantes.

Posse de risco

Uma das questões mais importantes que enfrentamos pessoas que trabalham

dentro de uma organização é quem possui o risco? A resposta realmente não é

simples porque depende o tipo e situação de risco que está sendo discutido.

Alta administração possui a risco presente durante a operação da organização,

mas pode haver momentos em que alta administração também depende de

dados guardiões ou unidades de negócios para realizar o trabalho, e é nessas

horas que esses outros elementos da organização também ombro parte da

responsabilidade de propriedade risco. Concedido, sempre, em última análise

recai sobre sênior gestão, mas também devem ser capazes de confiar que o

trabalho que delegou está sendo tratado de uma maneira que entende, aceita a

existência de, e trabalha para minimizar os riscos que a organização enfrenta

no curso de suas operações regulares.

O valor da informação e Ativos

Se a informação não tem qualquer valor, então quem se preocupa em proteger ele?

O valor colocado em informações é relativo às partes envolvidas, o que o

trabalho foi necessário para desenvolvê-lo, quanto custa para manter, o que

resultaria danos se foram perdidos ou destruídos, o que os inimigos que pagar

por ele, e que sanções responsabilidade poderia ser suportado. Se uma

empresa não sabe o valor da informação e do outros ativos que ele está

tentando proteger, ele não sabe quanto dinheiro e tempo deve gastar em

protegê-los. Se você fosse encarregado de fazer a Rússia se não conhecer os

algoritmos de criptografia usados na transmissão de informações de e para

EUA satélites espiões, você usaria mais extremas medidas (e caro) de

segurança do que você iria usar para proteger a sua manteiga de amendoim e

sanduíche de banana receita de seu nextdoor vizinho. O valor da informação

apoia decisões de medidas de segurança.

Os exemplos anteriores referem-se a avaliar o valor da informação e protecção,

mas essa lógica se aplica para instalações de uma organização, sistemas e

recursos. O valor das instalações da empresa deve ser avaliada, juntamente

com todas as impressoras, estações de trabalho servidores, dispositivos

periféricos, suprimentos e funcionários. Você não sabe o quanto é perigo de se

perder se você não sabe o que você tem e que vale a pena no primeiro lugar.

Custos que compõem o valor

Um ativo pode ter ambas as medições quantitativas e qualitativas que lhe são

atribuídas, mas estas medições devem ser derivadas. O valor real de um ativo

é determinado pelo o custo é necessário para adquirir, desenvolver e manter. O

valor é determinado pela importância que tem para os proprietários, usuários

autorizados, e usuários não autorizados. Algumas informações é

suficientemente importante para uma empresa para seguir os passos de torná-

lo um comércio segredo.

O valor de um ativo deve refletir todos os custos identificáveis que surgiriam se

o activo foram, na verdade, comprometida. Se um servidor custar US $ 4.000

para compra, este valor não deve ser entrada como o valor do ativo em uma

avaliação de risco. Em vez disso, o custo de substituição ou reparação isso, a

perda de produtividade, e o valor de quaisquer dados que possam ser

corrompidos ou perdidos deve ser contabilizado para capturar corretamente a

quantidade a empresa perderia se o servidor falhasse por uma razão ou outra.

As questões a seguir devem ser considerados ao atribuir valores aos bens:

• Custo de aquisição ou desenvolvimento do activo

• Custo para manter e proteger o ativo

• Valor do ativo para proprietários e usuários

• Valor do ativo para os adversários

• Valor da propriedade intelectual, que entrou em desenvolver a

informação

• Preço outros estão dispostos a pagar para o ativo

• Custo para substituir o activo se perdeu

• As atividades operacionais e de produção afetada se o ativo está

indisponível

• questões de responsabilidade se o ativo está comprometido

• Utilidade eo papel do ativo na organização

Entender o valor de um ativo é o primeiro passo para entender o que a

segurança mecanismos devem ser postas em prática e que os fundos devem ir

para protegê-la. A questão muito importante é o quanto poderia custar à

empresa para não proteger o ativo.

A determinação do valor dos bens pode ser útil para uma empresa para uma

variedade de razões, incluindo os seguintes:

• Para executar eficazes análises custo / benefício

• Para selecionar contramedidas específicas e salvaguardas

• Para determinar o nível de cobertura de seguro para comprar

• Para entender o que exatamente está em risco

• Para estar de acordo com o devido cuidado e para cumprir com os

requisitos legais e regulamentares

Ativos podem ser tangíveis (computadores, instalações, materiais) ou

intangíveis (reputação, dados, propriedade intelectual). Geralmente é mais

difícil de quantificar os valores de ativos intangíveis, o que pode mudar com o

tempo. Como você colocar um valor monetário na reputação de uma empresa?

Às vezes, é mais difícil de descobrir do que um cubo de Rubik.

Ameaças de identificação

Ok, o que devemos ter medo?

Anterior, afirmou-se que a definição de um risco é a probabilidade de um

agente de ameaça explorar uma vulnerabilidade para causar danos a um

computador, rede ou empresa, e o resultando impacto nos negócios. Muitos

tipos de agentes de ameaça pode tirar vantagem de vários tipos de

vulnerabilidades, resultando em uma variedade de ameaças específicas,

conforme descrito na Tabela 3-2, o que representa apenas uma amostra dos

riscos muitas organizações deverão abordar, em seus programas de gestão de

risco.

Outros tipos de ameaças podem surgir em um ambiente informatizado que são

muito mais difíceis de identificar do que aquelas listadas na Tabela 3-2. Essas

outras ameaças têm a ver com a aplicação e erros do utilizador. Se um

aplicativo usa várias equações complexas para produzir resultados, a ameaça

pode ser difícil de se descobrir e isolar estas equações estão incorretas ou se o

aplicativo está usando os dados inseridos incorretamente. Isto pode resultar em

processamento e ilógico erros em cascata como resultados inválidos são

repassados para outro processo. Estes tipos de problemas pode mentir no

código das aplicações e são muito difíceis de identificar.

Erros de usuário, intencionais ou acidentais, são mais fáceis de identificar por

monitoramento e auditoria as atividades do usuário. Auditorias e revisões

devem ser realizados para descobrir se os funcionários são introduzir valores

incorretamente em programas, mau uso da tecnologia, ou modificar dados em

de forma inadequada. Uma vez que as vulnerabilidades e ameaças associadas

são identificadas, as ramificações de essas vulnerabilidades sendo exploradas

devem ser investigadas. Os riscos têm potencial de perda,

Tabela 3.2

que significa que a empresa perderia se um agente de ameaça eram realmente

para explorar uma vulnerabilidade.

A perda de dados pode ser corrompido, destruição de sistemas e / ou da

instalação, divulgação não autorizada de informações confidenciais, uma

redução na produtividade dos funcionários, e assim por diante. Ao realizar uma

análise de risco, a equipe também deve olhar para atraso perda ao avaliar os

danos que podem ocorrer. Perda tardia tem efeitos negativos sobre a empresa

após uma vulnerabilidade é explorada inicialmente. O período pode ser em

qualquer lugar 15 minutos a anos após a exploração. Perda retardada pode

incluir uma reduzida produtividade ao longo de um período de prejuízos, para a

reputação da empresa, reduziu o lucro para a empresa, acumulados

penalidades final, despesa extra para obter o ambiente de volta ao bom

funcionamento condições, a coleção de atraso de fundos de clientes, e assim

por diante.

Por exemplo, se os servidores de uma empresa de web são atacados e off-line,

o imediato dano pode ser a corrupção de dados, as horas-homem necessárias

para colocar os servidores de volta on-line, bem como a substituição de

qualquer código ou componentes necessários. A empresa poderia perder

receita se geralmente aceita encomendas e pagamentos através do seu site.

Se é necessário um completo dias para obter os servidores web fixa e

novamente online, a empresa poderia perder muito mais vendas e lucros. Se

ele tem uma semana inteira para obter os servidores web fixa e novamente

online, o empresa pode perder bastante vendas e lucros para não ser capaz de

pagar outras contas e despesas.

Esta seria uma perda retardada. Se os clientes da empresa perder a confiança

nele por causa dessa atividade, ele poderia perder o negócio por meses ou

anos. Trata-se de uma forma mais extrema caso de perda retardada.

Estes tipos de problemas fazem mais complexo o processo de quantificação de

perdas corretamente ameaças específicas que podem causar, mas devem ser

tomados em consideração para assegurar a realidade é representada neste

tipo de análise.

Metodologias de Avaliação de Riscos

Avaliação de risco tem várias metodologias diferentes. Vamos dar uma olhada

em alguns deles. NIST SP 800-30 e 800-66 são metodologias que podem ser

utilizadas pelo general público, mas a criação inicial de 800-66 foi concebido

para ser implementado no campo da saúde e de outros setores regulados.

Enquanto 800-66 foi projetado para ser usada pelos clientes HIPAA, também

pode ser facilmente adoptadas e utilizadas por regulado, indústrias. 800-66,

especificamente, é um exemplo do tipo de metodologia que foi destinado a um

setor regulado, mas que pode ser adotado e usado por outro.

A abordagem do NIST é específico para TI ameaças e como se relacionam

com informações riscos de segurança. Ela estabelece os seguintes passos:

• Caracterização do Sistema

• A identificação de ameaças

• Vulnerabilidade identificação

• A análise de controle

• Determinação Probabilidade

• Análise de impacto

• Determinação de Risco

• Recomendações de controle

• Documentação Resultados

O NIST SP 800 = metodologia de Gestão de Riscos 30 é comumente usado

por consultores de segurança, agentes de segurança e departamentos de TI

internos, e se concentra principalmente em sistemas de computador. Um

indivíduo ou pequena equipe coleta dados de rede e segurança de avaliações

práticas, e de pessoas dentro da organização.

Estes dados são usados como valores de entrada para as etapas de análise de

risco descritos no 800-30 documento.

Um segundo tipo de metodologia de avaliação de risco é chamado FRAP, que

significa para processo facilitado Análise de Risco. Ele é projetado para

explorar uma avaliação qualitativa dos riscos processo de uma maneira que

permite que os testes fossem realizados em diferentes aspectos e variações da

metodologia. A intenção desta metodologia é proporcionar a uma organização

com os meios de decidir que curso e ações devem ser tomadas em

circunstâncias específicas para lidar com várias questões. Isto irá permitir que,

através da utilização de um processo de triagem inicial, os utilizadores para

determinar as áreas que realmente demanda e a necessidade de análise de

risco dentro de uma organização. FRAP é projetado em de modo a que ela

afirma que qualquer pessoa com boas habilidades de facilitação será capaz de

operar com sucesso.

Outra metodologia chamada OCTAVE (Ameaça Operacionalmente Crítica,

Asset, Avaliação e Vulnerabilidade) foi criado pelo Software da Universidade

Carnegie Mellon Instituto de Engenharia. É uma metodologia que se destina a

ser utilizado em situações onde as pessoas gerenciar e dirigir a avaliação de

risco para obter informações segurança dentro de sua empresa. Isto coloca o

trabalho que as pessoas dentro da organização nas posições de poder como

sendo capaz de tomar as decisões sobre qual é a melhor abordagem para

avaliar a segurança de sua organização. Este baseia-se na idéia de que as

pessoas que trabalham nesses ambientes compreender melhor o que é

necessário e que tipo de riscos que enfrentam.

CRAMM é ainda um outro tipo de metodologia. A sigla significa CCTA análise

de risco e método de gestão. Embora implementado de forma semelhante a

outras metodologias que discutimos, é dividido em três segmentos:

contramedida ameaça, seleção e análise de vulnerabilidade, e avaliação e

identificação de ativos. Este se destina a lidar com os aspectos técnicos de

uma organização, bem como as porções não técnicos.

Abrangendo a análise de árvore é uma metodologia que desenvolve uma

árvore de todas as ameaças potenciais e falhas que podem prejudicar o

sistema. Cada um dos ramos é um tema geral ou categoria, e como a análise

de risco é realizada, os ramos que não se aplicam podem ser removidos (ou

"podados" se você se importa de ficar com o tema árvore).

Embora tanto a NIST e metodologias OCTAVE concentrar em ameaças de TI e

riscos de segurança da informação, AS / NZS 4360 tem uma abordagem muito

mais ampla de arriscar gestão. Esta metodologia pode ser usada para

compreender financeira de uma empresa, segurança, capital humano, e os

riscos de decisões de negócios. Embora possa ser usado para analisar os

riscos de segurança, ele não foi criado especificamente para esta finalidade.

NOTA: Você pode encontrar informações sobre a relação entre estes

abordagens de gestão de risco diferentes e como eles devem ser utilizados em

um artigo de Shon Harris em

http://searchsecurity.techtarget.com/genérico/0,295582, sid14_gci1191926,

00.html

Falha e Análise de Falhas

Temos um monte de vulnerabilidades de falha potencial, mas prefere não olhar

para eles.

Modos de Falha e Análise de Efeito (FMEA) é um método para determinação

de funções, identificar falhas funcionais e avaliar as causas da falha e seus

efeitos de falha através de um processo estruturado. A aplicação deste

processo a uma falha crónica permite a determinação de onde exactamente a

falha é mais provável de ocorrer. Isto é muito útil na identificação de uma

vulnerabilidade onde existe, bem como para determinar exatamente que tipo de

escopo a vulnerabilidade implica significado, o que seria o secundário

ramificações de sua exploração? Este por sua vez, não só torna mais fácil de

aplicar uma correção corretiva para a vulnerabilidade, mas também permite

uma aplicação muito mais eficaz de recursos para a questão. Pense nisso

como sendo capaz de olhar para o futuro e localizar áreas que têm o potencial

de falha, ou para encontrar as vulnerabilidades e, em seguida, aplicar corretivo

mede a eles antes de se tornarem responsabilidades reais.

Ao seguir uma ordem específica de etapas, os melhores resultados podem ser

maximizado para uma falha Análise do Modo:

1. Comece com um diagrama de blocos de um sistema ou de controlo.

2. Considere o que acontece se cada bloco do diagrama de falhar.

3. Elaborar um quadro em que as falhas estão emparelhados com os

seus efeitos e um Avaliação dos efeitos.

4. Corrigir o desenho do sistema, e ajustar a mesa até que o sistema

não está conhecido por ter problemas inaceitáveis.

5. Ter vários engenheiros rever os modos de falha e análise de efeitos.

Tabela 3-3 é um exemplo de como um FMEA pode ser realizada e

documentada. Embora a maioria das empresas não tem os recursos para fazer

esse nível de trabalho detalhado para cada sistema e de controlo, deve ser

realizada em funções críticas e sistemas que pode afetar drasticamente a

empresa.

NOTA: Auditores Compliance analisar a documentação de processos,

controles, atividades de testes e resultados. Este tipo de documentação

(contanto é preciso) irá ilustrar aos auditores como sua organização sabe seus

sistemas e como você pretende tratar de falhas que podem ocorrer.

É importante olhar para um controle ou sistema a partir do micro ao nível macro

para compreender a vulnerabilidade de um qhere ou falha potencial reside e as

ramificações de sua exploração. Cada computador sustem é potencialmente

feito por SO muitas bombas de tempo diferentes em diferentes camadas OS

sua composição. No nível do componente, um buffer overflow ou controle

ActiveX perigosa pode levar o sistema a ser controlado por um atacante após a

exploração. Ao nível do programa, um aplicativo pode não ser realização das

etapas a devida autorização ou pode não proteger suas chaves criptográficas

corretamente. A nível de todo o sistema, o kernel de um sistema operacional

pode ser falho, permitindo o acesso de raiz para ser facilmente realizado.

Assustador podem surgir em cada nível, é por isso que uma abordagem

detalhada tal é necessário.

FMEA foi desenvolvido para sistemas de engenharia. O seu objectivo consiste

em analisar a falhas potenciais em produtos e processos envolvidos com eles.

Esta abordagem provou ser bem sucedida e, mais recentemente, foi adaptado

para ser utilizado na avaliação do risco prioridades de gestão e mitigação

vulnerabilidades ameaça conhecida.

Tabela 3.3

FMEA é utilizada na gestão de risco de garantia por causa do nível de detalhe,

variáveis, e complexidade que continua a aumentar à medida que as empresas

entender o risco em mais granular níveis. Desta forma metódica de identificar

potenciais armadilhas está chegando em jogo mais como a necessidade de

sensibilização para os riscos para baixo para os níveis tático e operacional

continua a expandir.

Enquanto FMEA é mais útil como um método de pesquisa para identificar

modos de falha significativas num dado sistema, o método não é tão útil na

descoberta de que os modos de falha complexos pode estar envolvida em

vários sistemas ou subsistemas. Uma análise da árvore de falhas geralmente

prova ser uma abordagem mais útil para identificar as falhas que podem

ocorrer dentro de mais ambientes complexos e sistemas.

Análise da árvore de falhas segue este processo geral. Em primeiro lugar, um

efeito indesejado é tomado como a raiz ou evento topo de uma árvore de

lógica. Em seguida, cada situação que tem o potencial de provocar esse efeito

é adicionado à árvore como uma série de expressões lógicas. Árvores de

falhas são, então, rotulados com números reais relacionados com

probabilidades de falhas. Isso geralmente é feito por usando programas de

computador que podem calcular as probabilidades de falha de uma árvore de

falhas.

Figura 3-7 mostra uma árvore de falhas simplista e os símbolos lógicos usados

para representar diferentes o que deve ter lugar para um evento de falha

específica.

Ao configurar a árvore, você deve precisamente listar todas as ameaças ou

falhas que podem ocorrer com um sistema. Os galhos da árvore podem ser

divididos em categorias gerais como ameaças físicas, ameaças, ameaças de

redes de software, ameaças da Internet e de componentes ameaças falha.

Então, uma vez que todas as categorias possíveis gerais estão no lugar, você

pode cortar eles e efetivamente podar os galhos da árvore que não se aplicam

ao sistema em pergunta. Em geral, se um sistema não está ligado à Internet

através de qualquer meio, remover que se ramificam em geral a partir da

árvore.

Alguns dos eventos de software mais comuns de falhas que podem ser

exploradas através de um análise da árvore de falhas são os seguintes:

• Os alarmes falsos

• Tratamento de erro insuficiente

• Seqüenciamento ou ordem

• Incorretas saídas temporárias

• Saídas válidos, mas não se espera

É claro que, devido à complexidade de ambientes de software e heterogéneos,

esta é uma lista muito pequena.

NOTA: Seis Sigma é uma metodologia de melhoria de processos. É o

novo "e melhorado "Total Quality Management (TQM) que atingiu o setor de

negócios em década de 1980. Seu objetivo é melhorar a qualidade do

processo, utilizando métodos estatísticos de medir a eficiência de operação e

redução da variação, defeitos e desperdício. SeisSigma está a ser usado na

indústria de seguros, em alguns casos, para medir os fatores de sucesso dos

controles e procedimentos diferentes.

Até agora, nós temos assegurado o apoio da administração da análise de risco,

construído nossa equipe assim que representa os diferentes departamentos da

empresa, colocou um valor em cada dos ativos da empresa, e identificados

todos os possíveis ameaças que possam afetar os ativos.

Também foram levadas em consideração todas as perdas potenciais e

atrasada a empresa pode durar por ativo por ameaça. Temos realizado uma

análise do modo de falha e / ou uma análise de árvore de falhas para entender

as causas subjacentes das ameaças identificadas.

O próximo passo é a utilização de métodos qualitativos ou quantitativos para

calcular o risco real a empresa enfrenta.