NIST – Framework de cibersegurança
Pesquisas apontam que o Brasil é um dos países líderes em ataques cibernéticos
Contexto de ataques cibernéticos
Ataques recentes como do STJ e o Ministério da Saúde, aumentam a cada dia a preocupação com relação a privacidade de dados sensíveis.
Fraude Digital, Phishing, Roubo de Propriedade Intelectual, entre outras ações, são comuns contra as empresas, causando prejuízos de imagem e financeiros.
Um framework de cibersegurança foi desenvolvido originalmente para atender o governo dos EUA, pelo NIST – Instituto Nacional de Padrões e Tecnologia dos Estados Unidos – e hoje é muito utilizado como um guia de melhores práticas para empresas de todos os segmentos.
Sua última revisão é de 2018 e tem relação com a ISO 31000:2009, que trata do assunto Gerenciamento de Risco.
Framework NIST para as organizações
O NIST traz uma visão de quem está se defendendo de ataques.
As empresas precisam se preocupar com a cibersegurança e como isso pode afetar seu negócio. Portanto, olhar para o framework como um padrão, um guia a ser seguido, que vai ajudar nessa jornada, é uma ótima forma de começar.
Como funciona o Framework
Ele é dividido em 5 funções: Identificar, Proteger, Detectar, Responder e Recuperar.
1º passo – a empresa deve IDENTIFICAR no seu ambiente:
– Quais são seus ativos;
– Quais são os dados críticos em seus processos;
– Permissões de acesso – o controle de acesso está bem gerenciado fornecendo somente o necessário?
Agora com a visão geral do que a empresa possui, vamos ao segundo passo.
2º passo – PROTEGER ativos e informações: Proteger tudo que envolve valor agregado.
3º passo – DETECTAR:
– Intrusão;
– Perda de dados;
– Deficiência na infraestrutura.
Qualquer incidente que venha ocorrer e gere um risco, na maioria das vezes é utilizado ferramentas tecnológicas para auxiliar nessa tarefa.
4º passo – Não somente responder, mas planejar como RESPONDER a:
– Ataques;
– Invasões;
– Catástrofes no mundo da cibersegurança.
5º passo – RECUPERAR: implementar atividades apropriadas para agir contra um incidente, que vai em alguns casos reduzir o impacto, mitigar o problema e tornar a empresa mais resiliente.
Nessa função, ter um backup bem estruturado, com Política documentada e testes periódicos, é fundamental.
Não necessariamente tem uma ordem de execução, muitos processos ocorrem em paralelo e podem necessitar de diferentes funções dependendo do seu estado. Além disso o NIST não é uma norma que define, ele é um direcionamento de melhores práticas. Um fator importante é que a Política de Ciber esteja alinhada com o NIST.
Categorias e Subcategorias
Em qual nível sua empresa está?
Ao iniciar um projeto com o NIST é necessária uma análise do momento atual da empresa, descobrir onde se encontra e a perspectiva de onde a empresa quer chegar, qual o desejo em relação ao ideal.
Essa análise envolve diversos fatores, por exemplo:
– Qual o contexto da empresa;
– Missão;
– Cultura;
– Patrocínio da alta gestão e o budget disponível;
– Alinhamento com as áreas;
– Stakeholders;
– Processo de gestão de risco.
E após levar em conta todos esses fatores pode-se dar o pontapé inicial no trabalho de adequação de nível.
O NIST é dividido em 4 Níveis: Parcial (1), Risco Informado (2), Reprodutível (3) e Adaptável (4).
Estando no nível 1, Parcial, não quer dizer que está o caos completo, ou em uma situação de desespero. Vamos questionar, quais os motivos e limitações que impedem? Falta de Investimento? A cultura da organização? Neste caso o indicado é chegar no nível 2 de maturidade.
Para entender melhor, vamos pensar em um exemplo. Lembrando que cada função vai estar atrelada há um nível.
Exemplo: Na função de Recuperar, dentro da categoria Planejamento de Recuperação, temos o Backup.
O que envolve o backup: Política de backup, testes periódicos de restauração, ambiente de teste, repetição automática, etc.
Eu atendo o que envolve o backup? Existem alguns riscos que eu estou ciente, vai envolver algumas perdas, mas eu me recupero. Neste caso você estaria no nível 2, o de Risco Informado.
Fazendo um planejamento de ano após ano, estou mais estruturado, já posso replicar e levar o processo para outras filiais, então eu cheguei no meu objetivo definido que é o nível 3, Reprodutível.
Já no Nível 4, Adaptável, tudo já está muito bem estruturado, a Politica está baseada nas 5 funções do NIST, há relacionamento com o cliente e fornecedores, todos estão avançando juntos, o famoso padrão ouro.
Como começar?
Antes de começar, existem alguns fatores determinantes para o sucesso. Os stakeholders devem ser comunicados e estarem envolvidos nos processos decisórios, é fundamental a participação da alta direção, financeiro, em algumas situações o jurídico, entre outros. Pois é pra eles que serão apresentados os riscos de cibersegurança e orientar para a decisão, que pode ser desde tomar ações para mitigar o risco ou aceitar o risco.
Ao saber dos riscos, é preciso pensar em como melhorar e fazer um mapa de mudanças e indicadores.
Para começar, crie etapas, checklists ou faça um guia para que a empresa saiba por onde começar, o NIST te proporciona isso.
- Você pode primeiramente priorizar, qual função dói mais no momento? Priorize e ataque, uma das 5 funções do framework. Caso não tenha “braços” suficientes, dentro da prioridade definida, delimite o escopo, determine um escopo menor e o aumente com o tempo;
- Orientação e comunicação: fale para todos os envolvidos do que se trata, esclareça que não será uma auditoria com o objetivo de procurar culpados e sim que para o sucesso do novo projeto é necessário o envolvimento de todos;
- Avalie a situação atual, tire uma “fotografia”, verifique em qual dos 4 níveis sua empresa está;
- Faça a avaliação de riscos e leve em consideração: riscos internos e externos, investimentos, capacitação, leis como a LGPD;
- Implemente planos de ações, crie um plano que vai ajudar uma função, subir do nível 1 para o 2. Neste caso, recomendasse a criação de um cenário desejado, aonde quer chegar.
A implementação será no cotidiano, com acompanhamento periódico, gerando indicadores e fazendo melhorias, visando a objetivo final.
Referências Informativas
O NIST possui mais de 100 subcategorias e uma tabela com referências informativas, entre elas: CIS, COBIT, ISO 27001:2013, entre outros.
É possível filtrar e fazer o mapeamento dos Domínios e Controles da ISO/IEC 27001 que aparecem no NIST.
Exemplo:
O que se pode concluir?
Documentar e formalizar é fundamental, pois no processo de avaliar a estrutura, enxergará a fotografia atual. Ao saber onde está, defina aonde quer chegar, o nível de crescimento de maturidade e planeje.
Com a realidade do mundo cibernético, e o Brasil que sofre muitos ataques, as empresas devem adotar as melhores práticas de cibersegurança, segurança da informação e privacidade de dados. Indicamos utilizar o NIST como um guia para ter seu negócio mais seguro e saudável.
A IBLISS pode colaborar para o planejamento e implantação de um framework estruturado, aumentando assim a maturidade das empresas. Fale com nossos especialistas e conheça nosso Programa Risco e Compliance.
Escrito por: Felipe Costa – Compliance IBLISS