O que é uma avaliação de segurança cibernética?
Uma avaliação de segurança cibernética é uma revisão de seus controles de segurança atuais para ver até que ponto eles se comportam em relação às possíveis ameaças à segurança conhecidas ou às ameaças que você encontrou diretamente.
A avaliação também avaliará se você está satisfazendo adequadamente os requisitos de conformidade regulatória relevantes.
Embora não exista um método fixo para realizar uma avaliação formal de riscos, a abordagem mais intuitiva é começar com uma lista de perguntas relativas ao tipo e valor dos ativos que você armazena, às ameaças potenciais que você pode encontrar, à probabilidade e às consequências de ser vítima de uma violação e as leis de privacidade de dados relevantes para sua organização.
Abaixo está uma lista abrangente de perguntas que precisam ser respondidas para avaliar adequadamente a postura de segurança da sua organização.
Que tipos de ativos você armazena e quão valiosos eles são?
Crie um inventário de todos os ativos que você armazena. Tenha em mente que as empresas armazenam uma grande quantidade de dados não estruturados, alguns dos quais conterão dados sensíveis que podem ser difíceis de identificar.
Embora seja teoricamente possível pesquisar dados confidenciais manualmente, uma abordagem melhor seria usar uma ferramenta de descoberta e classificação de dados, que pode ser configurada para identificar os tipos de dados mais relevantes para o seu setor.
Quais ameaças à segurança você provavelmente encontrará e qual é a probabilidade de ser vítima delas?
Faça uma lista dos vetores de ataque mais comuns e decida quais deles são os mais relevantes para o seu setor e para os ativos que você está tentando proteger. Por exemplo, ataques de phishing, negação de serviço distribuída (DDoS) e ransomware são as ameaças de segurança mais comuns enfrentadas pelas empresas.
No entanto, as empresas que armazenam dados confidenciais em um banco de dados SQL e possuem formulários web expostos ao público também precisarão prestar atenção aos ataques de SQL Injection e Cross-Site Scripting (XSS).
Ameaças internas, sejam negligentes ou maliciosas, também são comuns. Uma boa ideia seria documentar todas as ameaças à segurança conhecidas em uma planilha, que inclui títulos de colunas como nome do vetor de ataque, origem, relevância, probabilidade de ataque, impacto potencial, estratégia de mitigação e assim por diante.
Claro, você pode personalizar esses cabeçalhos como desejar. Você deve organizar a planilha para que as ameaças sejam listadas em ordem de prioridade.
Que métodos essas ameaças à segurança usam para violar suas defesas?
Na planilha você precisará fornecer informações sobre a origem de cada ameaça à segurança. Por exemplo, tanto os ataques de phishing quanto os ataques de ransomware geralmente chegam na forma de um anexo de e-mail e dependem do download dos anexos por vítimas inocentes.
Com ataques DDoS, projetados para inundar sua rede com tráfego, você precisará anotar o ponto de entrada mais provável. Compreender a origem das ameaças à segurança tornará mais fácil identificar quaisquer falhas na sua estratégia de segurança.
Qual seria o impacto de ser vítima de cada uma dessas ameaças?
Na planilha mencionada acima, anote o quão prejudicial cada um desses vetores de ataque pode ser.
Existem numerosos custos potenciais associados a ser vítima de um ataque cibernético, que podem incluir custos legais, multas regulamentares, custos de reputação, perturbação geral das operações comerciais e, claro, existem custos associados à perda de activos valiosos.
Haverá também custos de remediação, que incluem a realização de uma investigação sobre a causa do incidente. No caso de um ataque de ransomware, as empresas poderão ter de pagar o resgate, embora isto deva ser evitado a todo custo.
Os ataques Business Email Compromise (BEC) também devem ser vistos como uma prioridade, pois são uma das formas de ataque cibernético mais prejudiciais do ponto de vista financeiro.
Quais vulnerabilidades você conhece e como planeja resolvê-las?
Esta questão está relacionada especificamente à sua postura atual de segurança. Novamente, você deve criar uma planilha que acompanhe todas as vulnerabilidades conhecidas.
É uma boa ideia pedir aos funcionários que relatem quaisquer problemas de segurança que encontrarem. Por exemplo, um funcionário pode perceber que a validação em um formulário web público não está funcionando corretamente.
Além disso, você pode usar um scanner de vulnerabilidade de rede, que verificará serviços de rede desatualizados, patches de segurança ausentes, configuração incorreta do servidor e muito mais.
Seus controles de acesso são relevantes e revisados periodicamente?
Dado que um grande número de violações de dados é causado por acesso não autorizado a contas privilegiadas, é crucial que realize regularmente uma revisão completa dos controlos de acesso que tem em vigor.
Você está usando autenticação multifator? Você está aplicando adequadamente o acesso com “privilégios mínimos”? Você tem políticas e procedimentos em vigor para garantir que os privilégios sejam revogados quando não forem mais necessários?
Quais tecnologias você está usando para ajudar a proteger seus ativos contra riscos?
Crie um inventário de todas as tecnologias que você usa para manter sua rede e seus dados seguros. Essas tecnologias podem incluir plataformas de segurança de dados, software antivírus, firewalls, VPNs, IPS, SIEM, UBA e assim por diante.
Organize a lista em ordem de relevância e eficácia, pois isso o ajudará a priorizar seu fluxo de trabalho. Por exemplo, hoje em dia, à medida que mais funcionários trabalham remotamente, o foco tende a estar no comportamento do usuário.
Se você gastar muito tempo monitorando o tráfego de rede, poderá acabar não conseguindo identificar as ameaças reais. Certifique-se de estar atualizado com as últimas tendências e tecnologias.
Quão confiante você está de que pode identificar, conter e erradicar um ataque cibernético em tempo hábil?
>Talvez a maneira mais eficaz de determinar a rapidez com que você é capaz de detectar e responder a ataques cibernéticos seja realizar testes de penetração.
O teste de penetração é onde uma equipe de profissionais treinados em segurança cibernética tenta violar suas defesas de segurança.
Eles tentarão comprometer seus servidores, endpoints, aplicações web e quaisquer outros pontos de exposição. Cada tentativa deve ser documentada, independentemente de ter sido bem-sucedida ou não.
Um teste de penetração pode ser realizado por sua própria equipe de segurança ou terceirizado para um provedor de serviços especializado.
Quais leis de privacidade de dados são relevantes para sua organização e você está em conformidade?
As empresas que processam dados pessoais pertencentes a cidadãos da UE estarão sujeitas ao GDPR. Os prestadores de serviços de saúde nos EUA precisarão cumprir a HIPPA.
As empresas que processam dados de cartão de crédito precisarão cumprir o PCI-DSS e talvez até mesmo o FISMA e o SOX.
Depois de determinar quais leis de privacidade de dados são relevantes para sua organização, você precisará certificar-se de ter tomado as medidas necessárias para garantir que será capaz de satisfazer os requisitos de conformidade.
Para obter uma análise gratuita e completa de sua postura atual de segurança e cenário de ameaças, agende hoje mesmo uma análise de risco com nossa equipe de especialistas.