Gerenciamento de riscos de segurança da informação - MOD02

Introdução a Segurança da InformaçãoPós Graduação em Qualidade e Governança de TI MOD 2 – Gerenciamento de Riscos de SI Professor Fernando Palma (fernando.palma@gmail.com) (71) 8837-0007 http://portalgsti.com.br Por Fernando PalmaIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Agenda Conceitos de riscos Análise de Riscos Estratégias para lhe dar com riscosIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Ameaça: É o que provoca um risco, um dano ou uma perda.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Vulnerabilidade: A fragilidade ativo em relação a uma possível ameaça.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Exemplos de ameaças e vulnerabilidades: Ameaças • Ataque de hacker • Incêndio • Inundação Vulnerabilidades • Falta de contigência • Firewall desatualizado • Falta de no brake • Controles de segurança inadequadosIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Incidente de Segurança da Informação: quando uma ameaça de manifesta.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Risco: um risco de segurança é o potencial que uma dada ameaça irá explorar vulnerabilidades para causar perda ou danos a um ativo ou um grupo de ativos. Alta Vulnerabilidade Média Baixa Baixa Média Alta Probabilidade da ameaçaIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Conceitos de riscos Exemplos de riscos de Segurança da Informação:  Perda de disponibilidade da informação  Perda de credibilidade da empresa  Perda de integridade da informação  Parada do processo de negócio por conta de falhas em TIIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Análise de Riscos Análise de riscos • É uma ferramenta usada no Gerenciamento de Riscos, ou pode ser vista como uma etapa. • Visa identificar quais ameaças são relevantes no processo operacional e identificar os riscos associados. • Compreende 04 principais objetivos: • Identificar ativos e seus valores • Determinar vulnerabilidades e ameaças • Determintar quais ameaças e riscos tem maior impacto • Equilibrar o custo de um incidente e o custo das medidas de segurançaIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Análise de Riscos Gerenciamento de Riscos • O Gerenciamento de Riscos é um processo no qual os riscos são identificados, analisados e reduzidos a um nível aceitavel.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Análise de Riscos Análise de Riscos Quantitativa • Envolve calculo de impacto numericamente • Focado na perda financeira • Comparar o custo das medidas com o custo da perda financeira envolvida com o ativo • Exemplos: quantos clientes podemos perder? Qual prejuízo financeiro envolve este risco?Introdução a Segurança da Informação Faculdade Ruy Barbosa

Análise de Riscos Análise de Riscos Qualitativa • A chance de que a ameaça se torne realidade é analisada baseada nos sentimentos das pessoas • A análise então avalia o processo operacional envolvido com qual a ameaça se relaciona e verifica quais medidas precisasm ser aplicadasIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Estratégias para lhe dar com riscos  Para conviver com riscos, existem medidas que podem ser aplicadas para a redução da probabilidade deste evento acontecer, redução do impacto caso ele aconteça, ou uma combinação as duas.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Estratégias para lhe dar com riscos Estratégias para lhe dar com riscos Estratégias Aceitar o risco Evitar o risco Tornar o risco neutroIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Estratégias para lhe dar com riscos Tipos de medidas de Segurança Prevenção Uma prevenção impossibilita a ocorrência de uma ameaça, ou minimiza essa possibilidade. Ex: controle de acesso. Detecção Para incidentes que tem danos com menor imapcto ou para aqueles que exite tempo hábil para tratar caso ocorram, a medida de detecção pode ser utilizada. Ex: monitoramento de eventos. Repressão Minimizar as consequências, após detecçãpo do incidente .Introdução a Segurança da Informação Faculdade Ruy Barbosa

Estratégias para lhe dar com riscos Tipos de medidas de Segurança Correção ou Recuperação Realizar o reparo após ocorrência do incidente e minimização do seu impacto. Ex: restaurar backup. Garantia Para eventos quais não existem métodos de prevenção ou para quais existem altos níveis de impacto, devem ser procurados métodos que reduzem as consequências. Ex: seguro contra fogo. Aceitação Simplesmente aceitar o risco, já que as medidas requerem um custo inaceitável ou custo maior do que os danos.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Estratégias para lhe dar com riscos Tipos de ameaças Tipos de danos Ameaças Danos Humanas Diretos Não Indiretos HumanasIntrodução a Segurança da Informação Faculdade Ruy Barbosa

Verdadeiro ou Falso? 1. ( ) O conceito de ameaça pode ser definido como uma fragilidade de um ativo. 2. ( ) Um incidente de Segurança da Informação ocorre quando uma ameaça de manifesta. 3. ( ) A análise de reiscos pode ser considerada uma etapa do processo de gerenciamento de riscos. 4. ( ) O Gerenciamento de Riscos é um processo no qual os riscos são identificados, analisados e reduzidos a um nível aceitavel. 5. ( ) As estratégias para lhe dar com riscos são duas: aceitar o risco ou evitar o risco 6. ( ) Os tipos de ameaças possíveis são as diretas e indiretas. 7. ( ) A análise de riscos qualitativa é focada na perda financeira.Introdução a Segurança da Informação Faculdade Ruy Barbosa

Faculdade Ruy Barbosa Introdução a Segurança da Informação1. ( F ) O conceito de ameaça pode ser definido como uma fragilidade de um ativo.2. ( V ) Um incidente de Segurança da Informação ocorre quando uma ameaça de manifesta.3. ( V ) A análise de reiscos pode ser considerada uma etapa do processo de gerenciamento de riscos.4. ( V ) O Gerenciamento de Riscos é um processo no qual os riscos são identificados, analisados e reduzidos a um nível aceitavel.5. ( F ) As estratégias para lhe dar com riscos são duas: aceitar o risco ou evitar o risco6. ( F ) Os tipos de ameaças possíveis são as diretas e indiretas.7. ( F ) A análise de riscos qualitativa é focada na perda financeira. Verdadeiro ou Falso?

Fim do módulo 02 Dúvidas? fernando.palma@gmail.com (71) 8837-0007 http://portalgsti.com.br

http://www.portalgsti.com.br	563
http://feeds.feedburner.com	12
https://usaccess2.spt.unisys.com	1

Gerenciamento de riscos de segurança da informação - MOD02

by Fernando Palma (http://gsti.blogspot.com) on Oct 24, 2011

Accessibility

Upload Details

Usage Rights

3 Embeds 576

Statistics

Gerenciamento de riscos de segurança da informação - MOD02 — Presentation Transcript