Aula 5 – Classificação da Informação e Gestão de Riscos.pdf
-
Upload
waldemar-junior -
Category
Documents
-
view
225 -
download
0
Transcript of Aula 5 – Classificação da Informação e Gestão de Riscos.pdf
-
Gesto de Segurana da
Informao
Aula 5 Classificao da Informao e Gesto
de Riscos
Prof. Paulo Gontijo
-
Contedo:
1. Breve introduo
2. Classificao da informao
3. Identificao de riscos
4. Tratamento de riscos
Classificao da Informao e Gesto de Riscos
-
Breve introduo
Por que priorizar?
De empresas pequenas as grandes, no possvel fazer tudo de uma s vez Fazer o que importa e no o que mais na moda ou simples o que permitirsua empresa estar realmente segura
Implantar um firewall de ultima gerao, um antivrus robusto e solues de deteco ou preveno de intrusos importante mas pode ser que sua empresa
precise de algo mais simples e barato para o curto prazo
O dinheiro sempre limitado
-
Breve introduo
E o que devo fazer para priorizar?
Classifique a informao
Faa uma anlise de riscos
Te permitir saber o que
informao pblica e o que
confidencial, permitindo assim
definir controles para proteo
da informao
Te permitir saber o que tem
mais urgencia e importancia
criando assim sua priorizao.
-
Se para toda a informao usarmos os melhorescontroles (backup, antivrus, controle de acesso, firewall,
auditoria, etc.), o custo e o prazo iro aumentar muito!!!
Portanto:
Realize investimentos em melhoria de controles de
segurana apenas aps saber que tipo de proteo dada
informao precisa.
Classificao da informao
-
A informao pode ser crtica de acordo com algumas
variveis:
- Divulgao Focar em controle de acesso
- Indisponibilidade Focar em site backup
- Integridade Focar em hash e controle de acesso
- Perda Focar em backup
Classificao da Informao
-
O que devo fazer para classificar a
informao?
1) Crie o Regulamento de Classificao da Informao
2) Escolha um processo de negcio
3) Mapeie as informaes que suportam o processo
4) Defina o proprietrio e o custodiante da informao
5) Implante os controles
Classificao da informao
-
Voc protegeria gastaria R$ 1MM para proteger um servidor de impresso?
1) Escolha o processo de negcio (ex: atendimento via chat)
2) Identifique os riscos
3) Decida a estratgia: eliminar, mitigar ou aceitar
4) Implante a estratgia
Identificao de riscos
-
Identificao de riscos
Risco Indicador Probabilidade Impacto Grau de
Risco
IndisponibilidadeMonitor de
downtime > 1h 2 (Mdia) 3 (Alto) 6
InvasoMonitor de integridade 1 (Baixa) 3 (Alto) 3
Ausncia de Operadores Folha de ponto < 90% 1 (Baixa) 2 (Mdio) 2
Upgrade de softwareAtendimentos/Min
ps atualizao 1 (Baixa) 2 (Mdio) 2
-
Identificao de riscos
3 6 92 4 6
1 2 3
Report Diretoria
Report Gerencia
Dashboard executivo de risco
Report Equipe
Priorizando economizamos
-
Identificao de riscos
Risco Probabilidade Impacto Grau de
Risco
Indisp. Roteador 1 (Baixa) 3 (Alto) 3
Indisp. Servidor 3 (Alta) 3 (Alto) 9
Indisp. Falta Energia 1 (Baixa) 2 (Mdio) 2
Indisp. Link Operadora 1 (Baixa) 3 (Alto) 3
-
Identificao de riscos
3 6 92 4 6
1 2 3
Prioridade 1
Prioridade 2
Dashboard operacional de risco
Prioridade 3
Priorizando economizamos
-
Tratamento de riscos
Iremos mitigar, aceitar ou eliminar o risco?
Aceitar: No executar nada
Mitigar: Trocar a fonte ou o HD do servidor
Eliminar: Configurar servidor redundante em Data Center externo
-
Resumo e concluses da aula
Nesta aula vimos
A importncia da classificao da informao
Como identificar e tratar riscos
Como priorizar aes para otimizar investimentos
Na prxima aula veremos
A importncia de se desenvolver seguro na primeira vez
O papel do ethical hacker nas organizaes
Como implantar criptografia em aplicaes