3 etapas para realizar uma avaliação de risco de segurança de dados com sucesso

Numerosos mandatos de conformidade, incluindo o GDPR, estabelecem que as avaliações de riscos de segurança de dados devem ser uma parte regular da sua estratégia de segurança de TI. No entanto, estes mandatos são muitas vezes muito vagos sobre o que significam uma avaliação de riscos. Por exemplo, o GDPR afirma que as organizações devem adotar uma “abordagem baseada no risco” para proteger os dados dos cidadãos da UE, mas não entra em detalhes sobre o que isso pode significar.

Como resultado, as equipes de TI muitas vezes estão cientes de que as avaliações regulares de riscos de TI são uma parte necessária da segurança de TI, mas não sabem como abordá-las de uma forma que garanta a conformidade. É melhor não pensar nas avaliações de risco como uma etapa necessária para a conformidade e mais como uma parte fundamental para garantir a segurança dos seus dados. As avaliações de risco ajudam você a entender onde estão seus dados confidenciais, quem tem acesso a eles e quais mudanças estão acontecendo ao seu redor.

Uma avaliação de risco de segurança de dados bem-sucedida geralmente pode ser dividida em três etapas:

1. Identifique quais são os riscos para seus sistemas críticos e dados confidenciais
2. Identifique e organize seus dados pelo peso do risco associado a eles
3. Tomar medidas para mitigar os riscos

De muitas maneiras, essas três etapas estão interligadas, mas eu as separei para que possamos enfrentá-las com mais facilidade.

Etapa 1. Identifique os riscos para sistemas e dados críticos

O conceito de “risco” é difícil de definir, pois será diferente dependendo da criticidade do sistema ou da natureza dos dados envolvidos. Existem vários fatores que influenciam o cálculo do risco, incluindo quais ameaças você enfrenta, quão vulneráveis são seus sistemas a essa ameaça e qual a importância dos dados em questão.

1.1 Identificar ameaças

A primeira coisa a fazer é identificar as ameaças que você está enfrentando. Uma ameaça pode ser definida como qualquer coisa que possa prejudicar a sua organização, desde um terremoto até o desligamento completo do sistema. As ameaças podem assumir várias formas, por isso é importante não ter pressa e analisar todas as possibilidades. Não se esqueça de levar em conta também a ameaça interna, pois erro humano, uso indevido acidental e pessoas mal-intencionadas são responsáveis por uma proporção drasticamente alta de todas as violações de segurança.

1.2 Avaliar vulnerabilidades

A seguir, quão vulnerável você está às ameaças que acabou de descrever? Vulnerabilidades são pontos fracos que uma ameaça pode usar para violar seus sistemas e dados. Vulnerabilidades podem ser descobertas por meio de auditorias, testes de sistemas e outras análises. Com que frequência você corrige e atualiza software em toda a empresa? Suas salas de servidores são facilmente acessíveis? Com que frequência as senhas são alteradas? Com que frequência os funcionários recebem treinamento de conscientização sobre segurança? Esse é o tipo de pergunta que você deveria fazer.

Etapa 2. Identificar e organizar dados com base no risco

Uma das partes mais importantes de uma avaliação de riscos de TI é ser capaz de entender onde residem os dados mais confidenciais no seu ambiente de TI e quais arquivos e pastas contêm as informações mais críticas. Se um arquivo contém um nome, ele conta como informação de identificação pessoal, mas por si só é inútil para um possível invasor. No entanto, se esse mesmo arquivo contiver um endereço completo e informações de cartão de crédito, repentinamente o risco potencial de violação desse arquivo aumentará drasticamente.

Usando uma solução de descoberta e classificação de terceiros (como Lepide Data Security Platform) ou a funcionalidade Discovery & Classification do File Server Resource Manager (FSRM), você pode descobrir, marcar e classificar seus dados não estruturados para descobrir onde eles residem, e quais arquivos e pastas são mais críticos.

Para cada ativo identificado como valioso, você precisará coletar informações sobre como o está armazenando/manuseando/protegindo para fornecer uma imagem melhor dos riscos envolvidos (por exemplo, onde está armazenado? Quem tem acesso a ele? O que existem políticas para protegê-lo? etc.). Ordene esses ativos do mais crítico para o menos crítico, dependendo do custo associado à sua perda.

Etapa 3. Tomar medidas para mitigar riscos

Depois de identificar quais dados estão em risco e quais são esses riscos, você precisa analisar quais controles você possui atualmente para corrigir vulnerabilidades. Os controles podem ser físicos e virtuais, desde guardas de segurança até firewalls e soluções de auditoria.

Depois de ter todas essas informações, você estará em uma boa posição para avaliar qual a probabilidade e o impacto que uma ameaça à segurança pode ter em sua organização. Será principalmente uma estimativa, mas será informada por todo o trabalho anterior que você realizou.

Usando sua avaliação da probabilidade de ameaças, você pode sugerir quais controles você precisa implementar como resultado. Ao documentar todas as etapas e resultados da sua avaliação de riscos de segurança de dados, você pode criar uma imagem de quais ações cada departamento precisa tomar para mitigar as ameaças. Priorize essas ações de acordo com sua criticidade e você poderá ver um roteiro à sua frente para melhorar a segurança e a conformidade de TI.