A gestão de riscos e ativos é um pilar fundamental da segurança da informação, pois permite que as organizações identifiquem, avaliem e tratem ameaças que possam comprometer a confidencialidade, integridade e disponibilidade das informações. Nesta aula, vamos explorar os conceitos essenciais para implementar um processo eficaz de gestão de riscos, desde a identificação dos ativos até a priorização de ações corretivas.

Compreender o valor dos ativos de informação e os riscos associados é crucial para alocar recursos de segurança de forma eficiente. Ao final da aula, você será capaz de construir uma matriz de risco e aplicar estratégias de tratamento adequadas.

Identificação de ativos

Ativos de informação são todos os recursos que possuem valor para a organização e que precisam ser protegidos. Eles podem ser tangíveis, como servidores e documentos impressos, ou intangíveis, como reputação e propriedade intelectual. O primeiro passo na gestão de riscos é realizar um inventário completo desses ativos.

Para identificar ativos, é necessário mapear processos de negócio, entrevistar stakeholders e revisar documentações. Cada ativo deve ser classificado quanto à sua criticidade e valor. Exemplos comuns incluem: bases de dados de clientes, sistemas financeiros, contratos, softwares proprietários e equipamentos de rede.

Uma boa prática é criar um catálogo de ativos com atributos como: proprietário, localização, tipo (hardware, software, dados, pessoal), classificação (público, interno, confidencial, restrito) e estado (ativo, em desuso). Ferramentas como planilhas ou softwares de gerenciamento de ativos (ex.: GLPI, Snipe-IT) podem auxiliar.

Exemplo de registro de ativo:
ID: ATV-001
Nome: Servidor de Produção ERP
Tipo: Hardware
Proprietário: TI
Localização: Datacenter A
Classificação: Restrito
Valor estimado: R$ 500.000

Avaliação de riscos

A avaliação de riscos consiste em identificar ameaças e vulnerabilidades associadas a cada ativo, estimar a probabilidade de ocorrência e o impacto potencial. O resultado é um nível de risco que orienta as decisões de segurança.

Existem abordagens qualitativas (baseadas em escalas como baixo, médio, alto) e quantitativas (com valores monetários). A metodologia mais comum é a análise qualitativa, pois é mais simples e rápida. Para cada par ativo-ameaça, calcula-se: Risco = Probabilidade × Impacto.

Ameaças podem ser naturais (incêndio, enchente), humanas (erro, ataque cibernético) ou técnicas (falha de hardware). Vulnerabilidades são fragilidades que podem ser exploradas, como falta de patch de segurança ou senhas fracas.

Exemplo de avaliação:
Ativo: Servidor ERP
Ameaça: Ataque de ransomware
Vulnerabilidade: Backup desatualizado
Probabilidade: Alta (3)
Impacto: Muito alto (4)
Risco = 3 × 4 = 12 (Crítico)

Tratamento de riscos

Após avaliar os riscos, é necessário definir como tratá-los. As opções incluem: evitar (eliminar a atividade que gera o risco), reduzir (implementar controles), transferir (contratar seguro ou terceirizar) e aceitar (assumir o risco conscientemente).

A escolha depende do nível de risco e do apetite a risco da organização. Riscos críticos geralmente exigem redução imediata, enquanto riscos baixos podem ser aceitos. É importante documentar o plano de tratamento com prazos e responsáveis.

Exemplo de plano de tratamento:
Risco: 12 (Crítico)
Tratamento: Reduzir
Ação: Implementar backup diário e treinamento anti-phishing
Prazo: 30 dias
Responsável: Analista de Segurança

Matriz de risco

A matriz de risco é uma ferramenta visual que organiza os riscos em uma grade de probabilidade versus impacto. Ela facilita a priorização, destacando os riscos que exigem ação imediata (zona vermelha) e aqueles que podem ser monitorados (zona verde).

Normalmente, a matriz tem 5x5 ou 3x3, com cores: verde (risco baixo), amarelo (médio) e vermelho (alto). Cada risco é plotado como um ponto, e a organização pode definir limites de aceitação. A matriz deve ser revisada periodicamente.

Exemplo de matriz 5x5:
Probabilidade: 1 (Rara) a 5 (Quase certa)
Impacto: 1 (Insignificante) a 5 (Catastrófico)
Risco = P x I
Zona verde: 1-4 (Aceitar)
Zona amarela: 5-9 (Monitorar)
Zona vermelha: 10-25 (Tratar)

Boas práticas

Mantenha o inventário de ativos sempre atualizado, envolvendo as áreas de negócio. Realize avaliações de risco periodicamente e após mudanças significativas. Utilize frameworks como ISO 27001, NIST SP 800-30 ou OCTAVE para estruturar o processo. Documente todas as decisões e revise a matriz de risco com a alta direção.

Referências

Exercícios

  1. Liste três ativos de informação comuns em uma empresa de e-commerce e classifique cada um como hardware, software ou dado.

    ✓ Resposta: 1. Servidor web (hardware); 2. Banco de dados de clientes (dado); 3. Plataforma de e-commerce (software).

  2. Calcule o risco para um ativo com probabilidade 4 (alta) e impacto 3 (alto). Qual a cor na matriz 5x5?

    ✓ Resposta: Risco = 4 × 3 = 12. Na matriz 5x5, zona vermelha (risco alto).

  3. Cite duas estratégias de tratamento de risco e dê um exemplo para cada.

    ✓ Resposta: Reduzir: implementar firewall e antivírus. Transferir: contratar seguro cibernético.

  4. Explique a diferença entre ameaça e vulnerabilidade, com um exemplo.

    ✓ Resposta: Ameaça é a causa potencial de um incidente (ex.: hacker). Vulnerabilidade é uma fragilidade (ex.: senha fraca). O hacker explora a senha fraca para invadir o sistema.

  5. Construa uma matriz de risco 3x3 com as cores verde, amarelo e vermelho, definindo os intervalos de valores (probabilidade e impacto de 1 a 3).

    ✓ Resposta: Exemplo: Probabilidade 1-3, Impacto 1-3. Risco = P x I. Verde: 1-2; Amarelo: 3-4; Vermelho: 6-9. Matriz: (P1,I1)=1 verde; (P1,I2)=2 verde; (P1,I3)=3 amarelo; (P2,I1)=2 verde; (P2,I2)=4 amarelo; (P2,I3)=6 vermelho; (P3,I1)=3 amarelo; (P3,I2)=6 vermelho; (P3,I3)=9 vermelho.