![File:ISO Logo (Red square).svg](https://upload.wikimedia.org/wikipedia/commons/thumb/e/e3/ISO_Logo_%28Red_square%29.svg/196px-ISO_Logo_%28Red_square%29.svg.png)
Antes de vermos um exemplo de Risco de Segurança da Informação falaremos sobre:
O risco de segurança da informação é a possibilidade de uma ameaça explorar uma vulnerabilidade de um sistema, infraestrutura ou dispositivo, resultando em perda, dano ou comprometimento de informações confidenciais ou sensíveis. Esses riscos podem afetar a integridade, confidencialidade e disponibilidade dos dados.
Riscos são ameaças futuras! Quando for preencher uma planilha de ANÁLISE DE RISCO não registre algo que aconteceu, pois isso não é risco e sim ocorrência.
Os riscos de segurança da informação podem ser internos ou externos. Os riscos internos são causados por funcionários, ex-funcionários, contratados e colaboradores, que podem acessar informações confidenciais ou sistemas, exceder suas permissões ou praticar ações maliciosas. Já os riscos externos são causados por ameaças externas, como hackers, cibercriminosos, concorrentes e agentes de estado, que tentam explorar vulnerabilidades ou roubar informações.
Os riscos de segurança da informação podem ser mitigados por meio de medidas de segurança, como políticas, processos e tecnologias de segurança da informação, que visam reduzir a exposição aos riscos e minimizar os impactos das ameaças. Algumas dessas medidas incluem criptografia, autenticação, controle de acesso, monitoramento, backup e recuperação de desastres.
Não confunda Riscos com Ocorrências! Para ocorrências sugiro usar/implantar o GLPI. Veja: O que é GLPI(Gerenciamento gratuito de ativos de TI)?
O GLPI é uma ótima ferramenta para coleta dos ativos, pois ele é bem complexo e contém campos diversos e detalhados.
Exemplo de Risco de Segurança da Informação
Documento de Avaliação de Riscos de Segurança da Informação
1. Introdução
Este documento de avaliação de riscos de segurança da informação tem como objetivo identificar, avaliar e tratar os riscos de segurança da informação em nossa organização. Ele é baseado nos requisitos da norma ISO 27001 e visa garantir que todos os riscos de segurança da informação sejam tratados de forma adequada e eficaz.
2. Escopo
Esta avaliação de riscos de segurança da informação abrange todas as áreas da organização que processam, armazenam ou transmitem informações confidenciais ou críticas. O escopo inclui todos os sistemas, processos e pessoas envolvidas nessas atividades.
3. Metodologia de Avaliação de Riscos
A metodologia de avaliação de riscos utilizada nesta avaliação é baseada na ISO 27005 e consiste nos seguintes passos:
- Identificação dos ativos de informação
- Identificação das ameaças
- Identificação das vulnerabilidades
- Avaliação da probabilidade de ocorrência das ameaças
- Avaliação do impacto das ameaças
- Avaliação dos controles existentes
- Avaliação dos riscos residuais
- Identificação das medidas de tratamento dos riscos
4. Resultados da Avaliação de Riscos
Os resultados da avaliação de riscos de segurança da informação estão apresentados no quadro abaixo:
Ativo de Informação | Ameaça | Vulnerabilidade | Probabilidade | Impacto | Controles Existente | Risco Residual | Medidas de Tratamento |
---|---|---|---|---|---|---|---|
Banco de Dados | Ataque de Hacker | Senha Fraca | Alta | Alto | Firewall, Senhas Fortes | Alto | Implementação de Autenticação em Dois Fatores |
Servidor de Arquivos | Vírus | Falha de Segurança | Média | Médio | Antivírus | Médio | Atualização do Sistema Operacional |
Computador de Usuário | Phishing | Falha de Atualização | Baixa | Baixo | Treinamento de Conscientização, Atualizações Automáticas | Baixo | Monitoramento de Atualizações |
Obs.: A tabela acima pode ser feita num Editor de Texto ou de Planilha. Sugiro usar uma planilha dedicada somente para isso.
5. Medidas de Tratamento
Com base nos riscos residuais identificados na avaliação, foram propostas as seguintes medidas de tratamento:
- Implementação de autenticação em dois fatores no banco de dados
- Atualização do sistema operacional do servidor de arquivos
- Monitoramento de atualizações nos computadores de usuários
6. Conclusão
Esta avaliação de riscos de segurança da informação identificou os riscos associados aos ativos de informação em nossa organização e propôs medidas de tratamento adequadas para mitigar esses riscos. A implementação dessas medidas garantirá que nossos ativos de informação estejam protegidos contra ameaças internas e externas.
Comments on “ISO 27001: Exemplo de Risco de Segurança da Informação”