Metodologia de Avaliação de Riscos de Segurança de TI: Qualitativa x Quantitativa

A formulação de uma metodologia de avaliação de riscos de segurança de TI é uma parte fundamental da criação de um programa robusto de gerenciamento de riscos de segurança da informação.

Os dois tipos mais populares de metodologias de avaliação de risco usadas pelos avaliadores são:

Análise qualitativa de risco: uma metodologia baseada em cenário que usa diferentes cenários de vulnerabilidade a ameaças para tentar responder a perguntas do tipo "e se". Essas avaliações são de natureza subjetiva.
Análise quantitativa de risco: atribui um valor numérico a diferentes componentes de avaliação de risco. Os acessadores visam quantificar todos os elementos (valor do ativo, frequência da ameaça, eficácia da proteção, incerteza e probabilidade) para responder a perguntas como "Quanto nos custaria uma violação de dados?" e "Quanto tempo é um período aceitável de tempo offline antes de precisarmos iniciar nosso plano de resposta a incidentes?"

O que é uma Avaliação de Risco?

Uma avaliação de risco é um processo que visa identificar riscos de segurança cibernética, suas fontes e como mitigá-los a um nível aceitável de risco.

O processo geralmente começa com uma série de perguntas para estabelecer um inventário de ativos de informação, procedimentos, processos e pessoal.

Isso permite que sua organização e seus acessadores entendam quais são seus principais ativos de informação e quais representam o maior risco. O risco é geralmente calculado como o impacto de um evento multiplicado pela frequência ou probabilidade do evento.

Independentemente de sua organização usar um processo de avaliação de risco qualitativo ou quantitativo, é necessário algum nível de tomada de decisão. Isso geralmente vem na forma de uma análise de custo/benefício para determinar quais riscos são aceitáveis e quais devem ser mitigados.

Um processo robusto de avaliação de risco se concentrará em todos os aspectos da segurança da informação, incluindo controles físicos e ambientais, administrativos e de gerenciamento, bem como técnicos.

Este é um processo trabalhoso para os avaliadores que requer fortes habilidades de garantia de qualidade e gerenciamento de projetos e se torna mais difícil à medida que sua organização cresce. Impulsionado pelo ritmo crescente dos sistemas de informação, processos e mudanças de pessoal, bem como pela introdução de novas ameaças cibernéticas, vulnerabilidades e fornecedores terceirizados.

Faça um tour pelos recursos de avaliação de risco do UpGuard >

Quando as avaliações de risco devem ser realizadas?

As avaliações de risco devem ser realizadas em todo o ciclo de vida de um ativo de informação, à medida que as necessidades de negócios mudam e novos vetores de ataque surgem.

Ao empregar uma abordagem de avaliação de risco contínua, as organizações podem identificar riscos e controles emergentes de segurança cibernética que precisam ser implementados para resolvê-los.

Como em qualquer outro processo, a segurança precisa ser continuamente monitorada, aprimorada e tratada como parte da qualidade geral do produto/serviço.

Considere realizar uma avaliação de risco sempre que forem encontradas lacunas de segurança ou exposições a riscos, bem como quando você estiver decidindo implementar ou descartar um determinado controle ou fornecedor terceirizado.

Como acontece com qualquer processo de gerenciamento de risco de informações, ele é amplamente baseado na tríade CIA (confidencialidade, integridade e disponibilidade) e nas necessidades de seus negócios.

Para simplificar o processo de avaliação de risco, as organizações devem ter políticas e padrões internos de segurança que exijam requisitos, processos e procedimentos de segurança em toda a organização e seus fornecedores, por exemplo, usando apenas fornecedores terceirizados com garantia SOC 2 e uma classificação de segurança acima de 850.

Baixe seu modelo de avaliação de risco de fornecedor >

Por que um processo de avaliação de risco é importante?

A segurança cibernética é em grande parte sobre mitigação de riscos. No momento em que você se conecta à Internet, confia em novas tecnologias da informação ou integra um novo fornecedor terceirizado, você introduz algum nível de risco.

As avaliações de risco identificam os principais ativos de informação, qual é o seu valor (qualitativo ou quantitativo) para a organização, bem como para seus clientes e parceiros.

Com essas informações, a gerência consegue entender melhor seu perfil de risco e se os controles de segurança existentes são adequados.

Isso está se tornando cada vez mais importante devido ao aumento da terceirização e à crescente dependência de fornecedores para processar, armazenar e transmitir dados confidenciais, bem como para entregar bens e serviços aos clientes.

Combine isso com a crescente regulamentação focada na proteção e divulgação de informações de identificação pessoal (PII) e informações de saúde protegidas (PHI) e a necessidade de uma metodologia clara de avaliação de risco nunca foi tão alta.

Entenda que cada peça de tecnologia, fornecedor e funcionário é um vetor de ataque em potencial, seja de ataques de engenharia social, como phishing e spear phishing, ou ataques baseados em tecnologia, como explorações de vulnerabilidades listadas em CVE, ataques man-in-the-middle, ransomware e outros tipos de malware.

Para minimizar possíveis perdas e permanecer operacional, todos os níveis da sua organização precisam entender os requisitos de segurança e uma metodologia robusta de avaliação de riscos pode fazer muito para mitigar os riscos identificados.

Como resultado das avaliações de risco, a equipe se torna mais consciente das ameaças cibernéticas e aprende a evitar más práticas que podem ser prejudiciais à segurança da informação, segurança de dados e segurança de rede, aumentando a conscientização de segurança e ajudando no planejamento de resposta a incidentes.

Uma metodologia de avaliação de risco quantitativa ou qualitativa é melhor?

Existem prós e contras nas metodologias quantitativas e qualitativas de avaliação de risco. A melhor organização da categoria emprega uma abordagem híbrida que leva em consideração insumos quantitativos e qualitativos.

O gerenciamento de riscos está focado em tomar decisões ajustadas ao risco para permitir que sua organização opere com eficiência, assumindo o máximo ou o mínimo de riscos que você considerar aceitável.

E a única maneira de fazer isso é entender quais riscos você tem, o que está disposto a aceitar e quais deseja transferir, mitigar ou evitar. Por exemplo, você pode optar por ignorar um alto risco com probabilidade extremamente baixa, por exemplo, a Amazon descontinuando a Amazon Web Services, porque você decide que não é econômico mitigá-lo.

Por outro lado, uma organização diferente com menor tolerância ao risco pode decidir montar dois provedores de serviços em nuvem para mitigar o risco.

Independentemente do seu perfil de risco, sempre há risco residual, pois não é rentável mitigar tudo.

PrósContrasQualitativo

A análise qualitativa é uma abordagem de avaliação mais simples, não há cálculos complexos
Determinar o valor monetário dos ativos nem sempre é necessário ou possível avaliar ativos intangíveis, como reputação e boa vontade do cliente
Não é necessário quantificar a frequência da ameaça
Mais fácil envolver pessoal não técnico e não técnico

Natureza subjetiva
Os resultados e a qualidade da avaliação dependem da experiência e da qualidade da equipe de gerenciamento de riscos
Esforço limitado para entender o valor monetário dos ativos
Nenhuma análise de custo/benefício para técnicas de mitigação de riscos, por exemplo, custo de implementação de controles de segurança e políticas de segurança

quantitativo

A análise quantitativa é baseada em processos e métricas objetivas, removendo a subjetividade
O valor dos ativos e as opções de mitigação de risco são bem compreendidos
As avaliações de custo/benefício são fortemente empregadas, ajudando a alta administração a mitigar primeiro as atividades de alto risco
Os resultados podem ser expressos em linguagem específica da administração (por exemplo, valor monetário e probabilidade)

As abordagens quantitativas podem ser complexas e demoradas
Historicamente, só funciona bem com uma ferramenta de gerenciamento de segurança automatizada reconhecida e uma base de conhecimento associada
Requer trabalho preliminar para coletar e quantificar diferentes informações de risco
Geralmente não focado no nível pessoal, o treinamento de conscientização de segurança pode ser negligenciado

Quais são os obstáculos para uma gestão eficaz de riscos?

Uma reclamação comum das equipes de gerenciamento de segurança é que elas não têm tempo para fazer avaliações de risco aprofundadas.

Mesmo para aqueles que o fazem, eles muitas vezes lutam por onde começar. Isso ocorre porque não existe um padrão do setor que todos aceitem como prática recomendada.

Além disso, a maioria das diretrizes, como a ISO 27001 e o Guia de Autoavaliação de Segurança do NIST para Sistemas de Tecnologia da Informação, SP 800-26, são de natureza geral e não fornecem detalhes suficientes sobre como conduzir uma avaliação de risco adequada.

Isso levou muitas organizações a terceirizar o processo de gerenciamento de riscos para fornecedores externos com experiência na realização de avaliações de risco adequadas. Eles também podem ajudar sua organização a criar políticas eficazes, como uma política de gerenciamento de fornecedores e uma estrutura de gerenciamento de riscos de terceiros.

No entanto, à medida que as organizações crescem em tamanho e complexidade e o número de fornecedores terceirizados cresce, torna-se caro terceirizar. Você também não quer que sua organização se torne dependente de um fornecedor externo para tomar decisões importantes de negócios e mitigação de riscos.

É por isso que mais e mais organizações estão internalizando seus programas de gerenciamento de riscos e gerenciamento de riscos de fornecedores.

As ferramentas de classificação de segurança cibernética podem ajudar a dimensionar sua equipe de gerenciamento de riscos, monitorando e avaliando automaticamente a postura de segurança de primeira, terceira e quarta partes. Isso permite que sua equipe de gerenciamento de riscos se concentre primeiro nas correções de alto risco e alto impacto e aumenta exponencialmente o número de fornecedores terceirizados que uma pessoa pode gerenciar.

As avaliações de vulnerabilidade permitem que pequenas equipes aumentem a escala e entendam o risco de terceiros e o risco de terceiros em tempo real.