Avaliação de Riscos (Dentro do contexto de Segurança da Informação)

Avaliação de Riscos (Dentro do contexto de Segurança da Informação)

Objetivo: Desenvolver os princípios fundamentais para implantação de um programa de segurança da

informação em ambientes corporativos.

Passo 1: Escolher uma empresa

De preferência escolha a empresa na qual você trabalhe ou já trabalhou. Isso ajudará este

exercício a ficar mais realista. Não é necessário divulgar o nome da empresa escolhida.

Passo 2: Identificar ativos da informação ou ambientes que contenham ativos da informação

desta empresa e levantar as vulnerabilidades, ameaças e riscos mapeados que estes ativos ou

ambientes estão expostos.

Nesta etapa é necessário levantar pelo menos 10 ativos e suas consequentes vulnerabilidades,

ameaças e riscos. A tabela abaixo é um modelo a ser usado para organizar estas informações.

Ativo Vulnerabilidade Ameaça Risco

Switch Firmware

desatualizado

Insider Acesso não autorizado permitido por bug no sistema

operacional (Internetwork Operating System)

Passo 3: Selecionar controles de Segurança da Informação capazes de minimizar o risco destas

vulnerabilidades serem exploradas por ameaças

Nesta etapa você deverá identificar um potencial controle para minimizar ou anular o risco dos

ativos ou ambientes identificados no passo 2.

Ativo Risco Controle de Segurança

Switch Acesso não autorizado permitido por bug

no sistema operacional (Internetwork

Operating System)

Procedimento formal para atualização do

firmware das switches da companhia

pelo menos a cada 3 meses

Passo 4: Informar como estes controles serão gerenciados

Ativo Controle de Segurança Gestão do Controle

Switch Procedimento formal para atualização do

firmware das switches da companhia pelo

menos a cada 3 meses

A equipe de segurança irá gerar a

informação sobre novos firmwares

disponíveis e sua criticidade de

atualização. Abrirá chamado para a

equipe de infraestrutura realizar a

atualização pelo menos a cada 3 meses

ou quando uma atualização crítica for

liberada pelo fabricante.

Passo 5: Propor um programa de conscientização de segurança da informação corporativo

(canais de comunicação, periodicidade, etc)

Você deverá propor uma programação para conscientização sobre segurança da informação dos

colaboradores da empresa escolhida. Neste