Gbitten

1. Encontre as 3 maiores ameaças de segurança ao negócio;
2. Defina controles para tratá-las;
3. Verifique a eficácia deles;
4. Retorne ao passo 1.

Marcadores: Ameaça, Risco

Artigo interessante sobre modelos probabilísticos na avaliação de risco de TI:

• Bayes and risk

Marcadores: Nota, Risco

Matt Bailey fez um estudo bastante detalhado sobre o risco de vestir uma camisa vermelha em um episódio da Star Trek.

• Analytics According to Captain Kirk

Marcadores: Fun, Risco

Aceitar o risco faz parte da vida. Ao sair de casa, ao fazer uma compra, ao pegar um avião, ao comer uma picanha gordurosa estamos aceitando o risco. Portanto, não é de se estranhar que aceitar o risco é intrínseco a qualquer gestão de segurança, fazemos isso com muito mais frequência do que o mitigamos o risco. Mesmo assim, muitos profissionais de segurança de TI que têm dificuldade em aceitar o risco e passam a vida a reclamar:

• Do usuário que não deveria ser administrador,
• Do firewall que não deveria ter determinada regra,
• Do servidor que não deveria estar com determinado serviço,
• O funcionário que não deveria usar Instant Messenger,
• Da senha que não deveria ser compartilhada
• Et cetera.

É preciso aprender a conviver com as limitações do negócio. Não deve-se fazer um cavalo de batalha para cada risco que a empresa resolve aceitar, guarde a energia para brigar por algo que realmente afete o negócio.

Marcadores: Risco

Realizei ontem uma palestra para o grupo de estudo da lista CISSP-DF.

• Palestra sobre Análise de Risco

Marcadores: Risco

Já venho pensado neste assunto a algum tempo, e o post do Augusto Paes de Barros em seu blog me motivou a externar minha opinião.

Sinceramente, acho que a abordagem de análise de risco orientada a vulnerabilidade é um caminho equivocado para SI.

Uma seguradora, ao avaliar o risco de uma apólice de seguro de carro, não enumera as vulnerabilidade do carro, do motorista ou das estradas. Da mesma maneira, um banco, ao avaliar o risco de um empréstimo, não enumera as vulnerabilidades de cliente nem da economia.

Para calcular o risco é muito mais lógico trabalhar com ameaça e fator de exposição do que com vulnerabilidade.

Para mim, deveriam haver dois processos distintos e paralelos:

• Gestão de Vulnerabilidade - onde se realizaria a varredura e a correção/redução das vulnerabilidades.
• Gestão de Risco - onde se indentificaria as ameaças, os fatores de exposição correpondentes, calcularia o risco e definiria ações para mitigar o risco.

A interação de entre esse processos deveria ser mínima, cabendo a redução das vulnerabilidades um fator de redução em alguns fatores de exposição.

O problema é que ao juntar esses dois processos, muitas vezes existe um esfoço muito grande na gestão de vulnerabilidade, e a gestão de risco acaba tento uma qualidade muito baixa.

Marcadores: Risco