Capítulo 14 — Avaliação de riscos

Capítulo 14 — Avaliação de riscos

Mapa da aula

Aula 14 publicada. Mapa, exemplo, EX040.

flowchart TD
  N0["14.1 Componentes do risco"]
  N1["14.2 Estimando"]
  N2["14.3 O registro"]
  N3["14.4 Tratando os riscos"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX040"]

Desenho lógico

flowchart LR
  N0["14.1 Componentes do risco"]
  N1["14.2 Estimando"]
  N2["14.3 O registro"]
  N3["14.4 Tratando os riscos"]
  N0 --> N1 --> N2 --> N3 --> Q["EX040"]

[14.1 Componentes do risco]
    |
    v
[14.2 Estimando]
    |
    v
[14.3 O registro]
    |
    v
[14.4 Tratando os riscos]
    |
    v
[Exemplo resolvido] --> [Exercício EX040]

Objetivos de aprendizagem

Você vai (1) identificar ameaças e vulnerabilidades; (2) estimar a probabilidade e o impacto; (3) produzir um registro de riscos priorizado.

14.1 Componentes do risco

Aisha aprende que o risco combina a probabilidade de um evento danoso com o seu impacto. A NIST SP 800-30 Revisão 1 descreve a avaliação de riscos como a identificação das fontes e dos eventos de ameaça, das vulnerabilidades, da probabilidade e do impacto. Ela identifica ameaças à Ashfield, como criminosos que enviam pedidos de pagamento falsos, e vulnerabilidades, como funcionários que não conseguem verificar os pedidos com facilidade. O Dr. Carrow explica que o risco só existe quando uma ameaça consegue explorar uma vulnerabilidade para causar dano a algo de valor. Ela escreve um exemplo de ameaça e de vulnerabilidade para cada um dos principais sistemas da Ashfield.

14.2 Estimando

Aisha usa uma escala simples de baixo, médio e alto para a probabilidade e o impacto. Os pedidos de pagamento falsos são prováveis, porque os fraudadores miram as pequenas organizações financeiras, e o impacto é alto, porque se poderia perder dinheiro. Um incêndio na sede é improvável, mas de alto impacto. Ela registra o raciocínio de cada classificação para que outras pessoas possam contestá-lo. Ela aprende que as classificações são julgamentos, e que escrever o raciocínio as torna revisáveis. Seu grupo de seminário contesta duas classificações, e ela muda uma delas depois de ouvir o raciocínio dos colegas.

14.3 O registro

Aisha monta para a Ashfield um registro de riscos com dez entradas, cada uma com descrição, dono, probabilidade, impacto, controles atuais e ações planejadas. Ela o ordena pela classificação combinada. Os pedidos de pagamento falsos, o ransomware e o uso indevido dos dados dos associados pela equipe ficam no topo. O gerente de TI e o diretor executivo revisam o registro e definem os donos. O Dr. Carrow observa que um registro só é útil se os donos agirem e se ele for atualizado quando as circunstâncias mudarem. O registro é guardado numa pasta compartilhada, e o gerente de TI acrescenta uma revisão dele a cada relatório trimestral ao conselho.

14.4 Tratando os riscos

Para cada risco, a Ashfield escolhe um tratamento: reduzi-lo com controles, transferi-lo por meio de seguros ou contratos, evitá-lo interrompendo uma atividade ou aceitá-lo dentro do apetite. Aisha recomenda reduzir o risco de pagamentos falsos exigindo a verificação por retorno de ligação para números conhecidos. Ela observa que o seguro cibernético transfere parte da perda financeira, mas não o dano à reputação. Ela aprende que as escolhas de tratamento devem ser registradas com seus motivos e aprovadas pelo dono do risco. O diretor executivo aprova a regra do retorno de ligação, e a equipe de finanças recebe uma lista impressa dos números de telefone verificados dos fornecedores.

Exemplo resolvido

Aisha identifica ameaças e vulnerabilidades, classifica a probabilidade e o impacto com seus motivos, monta um registro de dez entradas e escolhe tratamentos, entre eles a verificação por retorno de ligação.

Caso sintético. O registro é sintético.

Erros e limites

O seguro transfere parte da perda financeira, mas não o dano à reputação.

Exercícios

• EX040 — Fonte da avaliação. Que publicação orienta a avaliação de riscos? Rubrica: 3 = NIST SP 800-30 Revisão 1;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX041 — Principais riscos. Cite um dos três principais riscos. Rubrica: 3 = pedidos de pagamento falsos;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX042 — Tratamento dos pagamentos. Como o risco de pagamentos falsos é reduzido? Rubrica: 3 = verificação por retorno de ligação para números conhecidos;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 14 (capítulo 14 de 40)

← Capítulo 13 · Índice das aulas · Capítulo 15 →

Continue para a próxima aula já escrita.