Introdução

A Importância da segurança cibernética no mundo atual

Em um mundo cada vez mais conectado, a segurança cibernética passou a ser uma necessidade básica para empresas e órgãos públicos. As ameaças digitais, que vão desde ataques de ransomware a roubos de dados, se tornaram mais sofisticadas e frequentes, colocando em risco tanto empresas quanto indivíduos. A crescente dependência da tecnologia em todos os setores da sociedade torna a proteção de sistemas e informações uma prioridade absoluta. 

O Conceito de estrutura de segurança cibernética

Uma estrutura de segurança cibernética é um conjunto estruturado de políticas, procedimentos e controles que servem como guia para implementar e gerenciar um programa de segurança eficaz. Essas metodologias fornecem uma base sólida para identificar, avaliar e mitigar riscos cibernéticos. 

Benefícios de uma estrutura de segurança cibernética

Os principais benefícios de uma metodologia incluem:

• Estrutura: Define uma estrutura clara e consistente para o programa de segurança.
• Padronização: Estabelece padrões e melhores práticas para a indústria.
• Gerenciamento de riscos: Auxilia na identificação, avaliação e tratamento de riscos.
• Conformidade: Facilita o cumprimento de requisitos regulatórios e legais.
• Comunicação: Melhora a comunicação entre diferentes áreas da organização sobre questões de segurança

Objetivo deste artigo

O objetivo principal deste artigo é fornecer uma visão abrangente sobre estruturas de segurança cibernética. Serão abordados as principais metodologias disponíveis no mercado, suas características e benefícios, além de discutir as melhores práticas para sua implementação. Ao final, o leitor terá uma compreensão sólida dos conceitos fundamentais e estará apto a tomar decisões mais informadas sobre qual metodologia escolher.

Nas próximas seções, exploraremos em detalhes as principais estruturas de segurança cibernética, como o NIST Cybersecurity Framework, ISO 27001 e CIS Controls.

Conceitos fundamentais para este artigo

Risco cibernético

O risco cibernético representa a probabilidade de que um evento de segurança cause um impacto negativo em um sistema, rede ou organização. É a combinação da vulnerabilidade de um sistema (fraqueza que pode ser explorada) com a ameaça (ação que pode explorar essa fraqueza) e o valor do ativo que está sendo protegido.

Exemplo: Um computador com um software desatualizado (vulnerabilidade) conectado à internet (exposição) pode ser alvo de um ataque de ransomware (ameaça), resultando na perda de dados e interrupção dos negócios.

Relação com a segurança cibernética: A segurança cibernética busca identificar, avaliar e mitigar os riscos cibernéticos. Ao entender os riscos, as organizações podem tomar medidas para protegê-los, como implementar controles de segurança, realizar testes de penetração e treinar os funcionários.

Exemplos de riscos cibernéticos

• Ataques de ransomware: Captam os dados da vítima e exigem um pagamento para restaurá-los.
• Phishing: Engana os usuários para que revelem informações confidenciais.
• Ataques de negação de serviço (DDoS): Inundam um sistema com tráfego para torná-lo indisponível.
• Malware: Software malicioso projetado para causar danos aos sistemas.
• Engenharia social: Manipula as pessoas para que divulguem informações confidenciais ou executem ações que comprometam a segurança.

Governança de segurança e gerenciamento de riscos

A governança de segurança é o conjunto de processos, políticas e estruturas que garantem que a segurança da informação seja gerenciada de forma eficaz e alinhada com os objetivos estratégicos da organização. Ela envolve a definição de responsabilidades, a alocação de recursos e o monitoramento do desempenho dos controles de segurança.

Gerenciamento de riscos: Envolve a identificação, avaliação, tratamento e monitoramento dos riscos. Ao gerenciar os riscos de forma proativa, as organizações podem reduzir a probabilidade e o impacto de incidentes de segurança.

Leia também:

Ciclo de vida da segurança cibernética

O ciclo de vida da segurança é um modelo que descreve as fases envolvidas na gestão contínua da segurança da informação. Ele proporciona uma estrutura para identificar, proteger, detectar, responder e recuperar de incidentes de segurança.

As fases típicas são:

1. Identificar:
   
   • Inventário de ativos: mapear todos os sistemas, redes, dados e outros ativos de valor.
   • Avaliação de riscos: Avaliar os riscos associados a cada ativo.
   • Requisitos legais e regulatórios: Listar os requisitos legais e regulatórios aplicáveis.
2. Proteger:
   
   • Implementação de controles: Implementar controles internos para mitigar os riscos identificados.
   • Aculturamento e treinamento: Treinar todas as partes relacionadas sobre as melhores práticas de segurança.
   • Gerenciamento de acesso: Controlar o acesso aos sistemas e dados.
3. Detectar:
   
   • Monitoramento contínuo: Monitorar os sistemas e redes em busca de atividades suspeitas.
   • Sistemas de detecção de intrusão: Implementar sistemas para detectar intrusões e ataques.
4. Responder:
   
   • Plano de resposta a incidentes: Ter um plano detalhado para responder a incidentes de segurança.
   • Comunicação: Comunicar o incidente às partes interessadas.
   • Contenção: Conter o incidente e evitar sua propagação.
5. Recuperar:
   
   • Restauração: Restaurar os sistemas e dados afetados.
   • Análise: Analisar o incidente para identificar as causas e as lições aprendidas.
   • Melhoria: Implementar melhorias para prevenir futuros incidentes.

Quer saber como implementar um programa de controles internos robusto e que irá auxiliar no mapeamento de riscos, implementação de controles e monitoramento? Conheça o curso:

Curso de Controles Internos na prática

Visão geral das estruturas de segurança cibernética

Principais metodologias

O mercado oferece uma variedade de estruturas de segurança cibernética, cada uma com suas características e focos específicos. Algumas das mais utilizadas são:

• NIST Cybersecurity Framework (CSF): Desenvolvido pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST CSF oferece uma abordagem flexível para gerenciar o risco cibernético. Ele se concentra em cinco funções principais: identificar, proteger, detectar, responder e recuperar.
• ISO/IEC 27001: Uma norma internacionalmente reconhecida que estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI). A ISO 27001 fornece um conjunto abrangente de controles de segurança que podem ser adaptados a qualquer organização.
• CIS Controls: Desenvolvido pelo Center for Internet Security, os CIS Controls são um conjunto de práticas recomendadas de segurança cibernética que ajudam a evitar os ataques mais comuns. Eles oferecem um caminho claro para que as organizações implementem medidas de segurança eficazes.
• COBIT (Control Objectives for Information and Related Technologies): Uma metodologia abrangente que auxilia as organizações a garantir que a informação seja um ativo de controle e que os sistemas de informação sejam usados de forma eficiente e eficaz para alcançar os objetivos de negócios.

Comparativo entre estruturas

Todas estas estruturas visam a melhoria da segurança cibernética através de uma abordagem baseada em riscos e seguindo o método de ciclo de vida parecidos com o que propomos.

Em relação às diferenças, alguns são mais detalhados e eles têm focos diferentes.

Como efetuar a escolha da metodologia ideal

A escolha da estrutura ideal depende de diversos fatores, incluindo:

• Tamanho e mercado de atuação: Empresas de diferentes tamanhos e setores terão necessidades de segurança distintas.
• Requisitos regulatórios: Algumas indústrias têm requisitos regulatórios específicos que podem influenciar a escolha.
• Recursos disponíveis: A disponibilidade de recursos, como orçamento e pessoal qualificado, também é um fator importante.
• Objetivos de segurança: Os objetivos de segurança da organização devem ser considerados ao escolher uma metodologia.
• Cultura da organização: A cultura da organização e a maturidade em segurança da informação podem influenciar a escolha.

Conclusão

Como vimos, ficou clara a importância das estruturas de segurança cibernética como ferramentas de gestão de risco das instituições. Vimos que a adoção de uma metodologia consistente fornece uma estrutura sólida para identificar, avaliar e mitigar riscos, além de promover a conformidade com regulamentações e melhores práticas.

Destacamos as principais disponíveis no mercado, como o NIST Cybersecurity Framework, ISO 27001 e CIS Controls, e comparamos suas características e áreas de foco. A escolha ideal depende de diversos fatores, incluindo o tamanho da organização, setor de atuação e objetivos de segurança.

Fontes e sugestões de leitura

• ANBIMA, Guia de Cibersegurança, 2021. Disponível em: https://www.anbima.com.br/data/files/34/B3/04/8F/D96F971013C70F976B2BA2A8/Guia%20de%20Ciberseguranca%20ANBIMA.pdf
• Banco Central do Brasil, Resolução nº4893 de 26 de fevereiro de 2021. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893
• DIO, Os 5 Principais Frameworks de Cibersegurança para Proteger Ambientes Digitais, 12/2023. Disponível em: https://www.dio.me/articles/os-5-principais-frameworks-de-ciberseguranca-para-proteger-ambientes-digitais
• NIST, Introdução ao Framework de Segurança Cibernética do NIST, 08/2021, Disponível em: https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=934489