Capítulo 3 — Avaliação de riscos para uma rede de clínicas

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 Método"]
  N1["3.2 Classificações coerentes"]
  N2["3.3 Resultados"]
  N3["3.4 Tratamento"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 Método"]
  N1["3.2 Classificações coerentes"]
  N2["3.3 Resultados"]
  N3["3.4 Tratamento"]
  N0 --> N1 --> N2 --> N3 --> Q["EX011"]

[3.1 Método]
    |
    v
[3.2 Classificações coerentes]
    |
    v
[3.3 Resultados]
    |
    v
[3.4 Tratamento]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem

Você vai (1) conduzir uma avaliação de riscos estruturada; (2) classificar a probabilidade e o impacto de forma coerente; (3) escolher tratamentos alinhados ao apetite.

3.1 Método

Elena segue a abordagem da NIST SP 800-30 Revisão 1: identificar as fontes e os eventos de ameaça, as vulnerabilidades e as condições predisponentes e então julgar a probabilidade e o impacto. Ela conduz oficinas com os gerentes das clínicas, o líder clínico e a área financeira. As oficinas identificam como principais ameaças o ransomware, o phishing que leva ao comprometimento de contas, os tablets perdidos ou roubados, a falha de fornecedores e o uso indevido dos prontuários pela equipe. O Dr. Qureshi aconselha envolver as pessoas que executam o trabalho, porque elas sabem onde os processos realmente quebram. Cada oficina dura duas horas e produz uma lista de ameaças com exemplos.

3.2 Classificações coerentes

As classificações variam de pessoa para pessoa. Elena define escalas de cinco pontos com exemplos: impacto cinco significa que uma clínica não consegue atender pacientes por mais de um dia ou que muitos prontuários são expostos; probabilidade cinco significa que se espera que aconteça dentro de um ano. Ela pede que dois colegas classifiquem dez riscos de forma independente e compara os resultados. Onde eles diferem em mais de um ponto, discutem e chegam a um acordo. O Dr. Qureshi observa que os exercícios de calibração tornam as classificações mais coerentes e defensáveis. Três dos dez riscos precisaram de discussão, e as classificações acordadas são registradas com seus motivos.

3.3 Resultados

O ransomware e o comprometimento por phishing ficam no topo, seguidos pelos atrasos nas correções nas clínicas sem equipe de TI e pelos testes de recuperação fracos. O uso indevido dos prontuários pela equipe recebe probabilidade moderada e impacto alto. Elena registra cada risco com um dono, os controles atuais e o tratamento planejado. Ela observa que os atrasos nas correções e a recuperação fraca tornam o ransomware mais danoso, então tratá-los reduz vários riscos de uma vez. Ela apresenta o registro ao comitê de segurança como um mapa de calor de uma página, com os cinco principais riscos listados abaixo, cada um com seu dono e a próxima ação planejada.

3.4 Tratamento

Elena escolhe tratamentos alinhados ao apetite. Para o ransomware, ela planeja correções mais rápidas, backups imutáveis e recuperação testada. Para o phishing, ela planeja a autenticação multifator e melhorias na filtragem de e-mail. Para o uso indevido, ela planeja revisões de acessos e alertas sobre visualizações incomuns de prontuários. O seguro cibernético transfere parte da perda financeira. O conselho aprova o plano, aceitando um risco residual moderado para os sistemas administrativos. O Dr. Qureshi observa que registrar os riscos aceitos protege todos mais tarde. Elena registra na ata a decisão do conselho e os riscos residuais aceitos, com uma data de revisão marcada para o ano seguinte.

Exemplo resolvido

Elena conduz oficinas segundo a SP 800-30 Revisão 1, calibra escalas de cinco pontos, coloca o ransomware e o phishing no topo e escolhe tratamentos aprovados pelo conselho.

Caso sintético. As avaliações são sintéticas.

Erros e limites

As classificações não calibradas variam muito entre os avaliadores.

Exercícios

• EX011 — Exemplo de ameaça. Cite uma das principais ameaças identificadas.

  Mostrar critérios de avaliação

  Rubrica: 3 = ransomware;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX012 — Regra de calibração. Quando os avaliadores discutem as diferenças?

  Mostrar critérios de avaliação

  Rubrica: 3 = quando diferem em mais de um ponto;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX013 — Riscos ligados. Que dois riscos agravam o dano do ransomware?

  Mostrar critérios de avaliação

  Rubrica: 3 = atrasos nas correções e recuperação fraca;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX014 — Tratamento do uso indevido. Como o uso indevido pela equipe é tratado?

  Mostrar critérios de avaliação

  Rubrica: 3 = revisões de acessos e alertas sobre visualizações incomuns;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX015 — Método de transferência. O que transfere parte da perda financeira?

  Mostrar critérios de avaliação

  Rubrica: 3 = o seguro cibernético;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.