Análise de Risco

RISCOS
Prof. Antonio Felicio Netto
1
Análise de Risco – O que é
- A análise de risco consiste em um processo de
identificação e avaliação dos fatores de risco presentes e de
forma antecipada no Ambiente Organizacional,
possibilitando uma visão do impacto negativo causado aos
negócios.
2
Análise de Risco – Pra que serve
- Determinar as prioridades de ação;
- Identificar o tamanho e tipo de investimento;
- Identificar os possíveis perigos e suas conseqüências em
virtude das vulnerabilidades presentes no ambiente
computacional;
- É impossível prever com exatidão em termos de variedade
e freqüência os inúmeros acontecimentos que poderão
ocorrer;
3
Análise de Risco – Informações mínimas levantadas
- Pontos vulneráveis do ambiente;
- Ameaças potenciais ao ambiente;
-Incidentes de segurança causado pela ação de cada
ameaça;
- Impacto negativo para o negócio a partir da ocorrência dos
incidentes prováveis de segurança;
- Riscos para o negócio a partir de cada incidente de
segurança;
- Medidas de proteção adequadas para impedir ou diminuir o
4
impacto de cada incidente;
Análise de Risco – Informações mínimas levantadas
- Pontos vulneráveis do ambiente;
- Ameaças potenciais ao ambiente;
-Incidentes de segurança causado pela ação de cada
ameaça;
-Impacto negativo para o negócio a partir da ocorrência dos
incidentes prováveis de segurança;
- Riscos para o negócio a partir de cada incidente de
segurança;
- Medidas de proteção adequadas para impedir ou diminuir o
5
impacto de cada incidente;
Análise de Risco – Incidentes de Segurança
6
Análise de Risco – Conhecimento do Ambiente
Os maiores riscos são aqueles que não vemos ou não
conhecemos; assim o conhecimento do ambiente, e das
suas reais necessidades, tem um papel tão ou mais
importante do que as ferramentas que eventualmente
venhamos a utilizar.
7
Análise de Risco – Alguns questionamentos
- Por que ambientes com ferramentas de segurança
implantadas sofrem violações de segurança?
-Que tipo de hardware e software voltados para segurança
são mais indicados para o tipo de negócio e necessidade de
minha empresa?
-Por que as empresas continuam a ter problemas com
contaminação por vírus na rede/estações mesmo possuindo
antivírus?
-Muitas empresas gastam fortunas investindo em
ferramentas caríssimas com a ilusão de que todos os
problemas estarão resolvidos.
8
Análise de Risco – Programa de Segurança Corporativo
Deve contemplar:
- Documentação
- Licenças de Software;
- Manuais;
- Tutoriais de configuração de equipamentos;
- Controles de acesso;
- Treinamentos;
9
Análise de Risco – Antes Investimentos verificar
- Que ativos devem ser protegidos?
- Quais ativos críticos deverão ter proteção adicional?
- Quais serviços na rede deverão estar disponíveis para os
funcionários?
- Quem terá acesso a esses serviços?
- Quem poderá conceder autorizações e privilégios para o
acesso aos sistemas?
- Que software permitir nas estações de trabalho?
10
Análise de Risco – Sugestões de abrangência
- Controle de acesso aos sistemas críticos da empresa;
- Análise da segurança das estações de trabalho e
notebooks;
- Análise da segurança física e lógica dos servidores de
rede;
-Análise da segurança contra contaminação por vírus;
- Avaliação da configuração do firewall X Política de
Segurança;
- Criptografia de dados (e-mails e informações
confidenciais)
11
Análise de Risco – Sugestões de abrangência
-Análise da Política de Backup;
- Análise da segurança do acesso físico aos locais críticos
da empresa;
-Política de Instalação de Software nas estações e na rede;
- Plano de Contingência;
- Análise da Infra-estrutura básica para processamento em
caso de contingência;
- Análise da Política de Acesso dos funcionários à Internet;
- Processo de conscientização de funcionários;
12
Medidas de Segurança
- Medidas de segurança são esforços como procedimentos,
software, configurações, hardware e técnicas empregadas
para atenuar as vulnerabilidades com o intuito de reduzir a
probabilidade de ocorrência da ação de ameaças e, por
conseguinte, os incidentes de segurança.
- Como tudo envolve custo, antes de decidir pela estratégia
a ser adotada, é importante atentar para o nível de aceitação
dos riscos.
13
Análise de Risco – Busca do Ponto de Equilíbrio
14
Análise de Risco – Medidas Preventivas
- Este tipo de estratégia possui como foco a prevenção
da ocorrência de incidentes de segurança. Todos os
esforços estão baseados na precaução e, por esta
razão, o conjunto de ferramentas e/ou treinamentos
estão voltados para esta necessidade.
15
Análise de Risco – Medida Detectiva
- É a estratégia utilizada quando se tem a necessidade de
obter auditabilidade, monitoramento e detecção em tempo
real de tentativas de invasão;
16
Análise de Risco – Medida Detectiva
17
Análise de Risco – Medidas Corretivas
- Medidas corretivas suplementam uma estratégia de
correção/continuidade, ou seja, ela propõe mecanismos
e procedimentos necessários para a recuperação e a
continuidade de uma empresa. Podemos citar alguns
exemplos que permitem estas atividades.
- Plano de Contingência.
-Plano de continuidade de negócios.
18