Como montar uma estratégia em segurança da informação?

 
"É de suprema importância atacar a estratégia do inimigo."
-Sun Tzu-

Diante das situações atuais a área de segurança vem aumentando cada vez mais, tanto na procura de profissionais quanto exigência de conhecimentos estratégicos para apresentar uma boa defesa organizacional.

Os ataques cibernéticos estão cada vez mais sofisticados, em evolução contínua como podemos observar em diversos sites de noticias e blogs institucionais espalhados pela internet.

Algumas empresas ainda relutam quando o assunto é segurança, porém diversas passaram do estado reativo para um modelo pró-ativo em questão de segurança da informação, na tentativa de formular uma barreira contra o inimigo virtual. A ideia de adoção das boas práticas na área de Tecnologia da Informação já não é novidade, isso vem se estendendo ao longo do tempo sempre com profissionais bem antenados nas metodologias e suas alterações contemporâneas. Mesmo que alguns profissionais estejam atentos as novidades em ataques e defesa, outros muitos profissionais da área de segurança não sabem que existem as famosas "receitas de bolo" que mitigam muitas ameaças no ambiente, essas receitas mencionadas são os framework's.

Algumas metodologias como o NIST seguem parâmetros de resposta à incidentes com os seguintes passos;

  • Preparação:A base inicial para lidar com o incidente;

  • Identificação:detectar onde e como ocorreu o incidente;

  • Contenção:limitar o mais rápido possível o impacto gerado pelo incidente;

  • Remediação:remover a ameaça;

  • Recuperação:recuperar-se a um estágio normal e produtivo;

  • Resultado:elaborar e melhorar o processo descrito com lições aprendidas e colocações em base de conhecimento.

O modelo apresentado, garante uma ótima base de resposta a incidente, ainda assim existem diversos framework's no mercado de segurança da informação como;

Esses framework'ssão os mais utilizados atualmente e constantemente atualizados quando necessário.

Mas o que seria um frameworkna área de segurança da informação?

Nada mais que um conjunto predefinido de políticas e procedimentos aplicáveis, definidos pelas principais organizações de segurança cibernética para aprimorar as estratégias de segurança da informação em um ambiente corporativo, que também poderá ser utilizado para fins pessoais.

O que eu ganho ao utilizar um framework?

A utilização poderá trazer segurança cibernética mais sofisticada ou segurança em profundidade para organização, melhorias na visão administrativa e uma grande economia de capital que seria perdido com a recuperação pós dano.

Com uma análise detalhada da área e como a estrutura está organizada, a instituição poderá aplicar melhorias atingindo um nível de risco aceitável, onde a estrutura organizacional passará por diversos testes sob diferentes situações, transmitindo maior confiabilidade de mercado à seus clientes.

Como faremos para implementar um frameworkem nossa estrutura?

Ao planejar o cenário de segurança da informação ideal ou mesmo aceitável, será necessário um profissional capacitado para que haja uma melhor orientação neste trabalho, em casos de médias e grandes corporações onde os parques tecnológicos são mais extensos, seria necessário uma quantidade maior de profissionais de segurança, uma alternativa seria contatar empresas como a Inteligência Brasil para iniciar um assessment do ambiente em geral e assim levantar a real necessidade da organização.

Após identificar a situação atual de segurança cibernética da empresa, colocaremos os requisitos em um documento para análise e estratégia de acordo com as melhores práticas de segurança da informação, para fazer isso, algumas etapas precisam ser implementadas para que as coisas sejam iniciadas e executadas como;

  • Identificar a atual postura de segurança dentro de seu ambiente;
  • Analisar os projetos já existentes;
  • Analisar os processos envolvidos nesses projetos e os recursos envolvidos;
  • Compreender a estrutura de segurança cibernética, após leitura dos documentos;
  • Distinguir quais controles de segurança existem e não existem na rede corporativa;
  • Realçar controles que superam ou anulam outros controles de segurança;

Os tópicos acima devem ser discutidos com as partes interessadas, e assim devemos prosseguir com a implementação dos demais tópicos a seguir;

  • Auditoria do progresso da implementação continuamente;
  • Gerar relatórios, conduzir reuniões para medir os desafios;
"Medir é importante: o que não é medido não é gerenciado"
(Kaplan; Norton, 1997)
  • Documente todo o processo para auditorias e outros benefícios;
"Se a informação não está documentada, ela não existe!"
- ISO 9001:2015/7.5.x

As estruturas bem planejadas de segurança cibernética desempenharão um papel fundamental no estabelecimento e manutenção das mais diversas situações imprevistas, dando às organizações uma possível vantagem sobre os cibercriminosos.

As desvantagens de utilização

Como nem tudo no mundo são flores, algumas desvantagens se destacam para implementação de processos e estratégias de segurança como;

  • A implementação poderá levar dias, afetando a produtividade;
  • Uma implementação inadequada pode levar a brechas de segurança;
  • Limitações financeiras podem ser aplicadas;
  • Uma possível mudança na cultura poderá ocorrer gerando um maior impacto.

Com os ataques cibernéticos se tornando mais sofisticados ultimamente, as organizações devem seguir as estruturas certas de segurança cibernética e construir melhores defesas para manter os hackers à distância.

Principais vantagens

As estruturas de segurança cibernética e suas políticas podem se sobrepor umas às outras, formando um ambiente flexível e seguro,e também permitindo que as organizações tornem-se compatíveis com vários framework'scom esforços mínimos para serem administrados. Alguns pontos se destacam com essas vantagens;

  • Segurança da informação sofisticada;
  • Melhor proteção de dados;
"Dados são o novo petróleo"
-Clive Humby-
  • Fácil conformidade e gerenciamento de auditoria;
  • Redução de riscos desnecessários;
  • Prevenção de possíveis ameaças;
  • Vantagem sobre o inimigo cibernético.

Essa explicação utilizada como base poderá levá-lo a meio caminho da conformidade, mas sustentar o mesmo sempre produzirá ótimos resultados em relação à segurança da informação de sua empresa, mantendo-a assim como seus clientes seguros e protegidos evitando danos críticos que poderiam levar sua empresa à falência.

"Se o inimigo deixa uma porta aberta, precipitemo-nos por ela."
-Sun Tzu-

Espero que esse breve artigo tenha direcionado ou de alguma forma orientado sua possível estratégia de segurança da informação!

 

Referências

42 Likes