SEGURANÇA DA INFORMAÇÃO COMO GESTÃO DE RISCOS DE NEGÓCIO

por Ticiano em 19/11/2017 no blog Ticiano Benetti.

O sonho, e por que não dizer, a utopia de todos os líderes de segurança da informação é viver um cenário em que a totalidade de vulnerabilidades encontradas em um ambiente seja corrigida. Neste cenário, teríamos uma empresa ou entidade que não corre nenhum risco de segurança da informação e que garante que a informação será preservada em confidencialidade, disponibilidade e integridade durante todo o seu ciclo de vida. Em um lugar como esse, o gestor de segurança da informação poderia dormir tranquilo, a não ser pelo fato de que lá, ele não seria mais necessário.

Felizmente ou infelizmente, esse cenário não existe e as empresas precisam lidar o tempo todo com um trade-off entre o impacto de corrigir uma vulnerabilidade e o impacto de não corrigi-la. Isso nos coloca no ponto de praticamente definir uma das missões do gestor de segurança da informação, talvez a mais importante: Encontrar todos os riscos de segurança da informação e apoiar as áreas de negócio e o corpo executivo a tomarem decisões conscientessobre a correção, mitigação ou a decisão de conviver com cada risco.

Mas como viabilizar um decisão consciente sobre segurança da informação em gestores ou executivos que possuem pouco ou nenhum treinamento sobre esse assunto? A primeira resposta, é tão intuitiva quanto equivocada: educar o gestor para que ele entenda o risco de segurança da informação. Esqueça! O risco de segurança da informação demanda um discurso que normalmente não está contido no repertório do executivo e portanto não tem apelo para provocar reflexão.

Mas existe uma saída, que reside no fato de que a maioria dos riscos de segurança da informação possui uma relação causal direta com os riscos de negócio, isto é, com os riscos de que a operação da empresa não gere os lucros esperados por conta de perdas financeiras, perda de vantagem competitiva ou perda de capacidade de vender em função de um prejuízo de imagem. O fundamento para essa relação entre riscos vem da constatação que, na sociedade moderna, os processos de negócio estão amplamente apoiados na circulação de informação e que portanto problemas para informação serão problemas para os negócios.

Riscos de negócio, estes sim, participam do repertório de qualquer executivo e estão presentes no rol de preocupações de qualquer pessoa encarregada da sustentabilidade e do crescimento de um negócio.

Com isso, viabilizar a decisão consciente a respeito dos riscos de segurança da informação acaba se resumindo a conecta-los com os riscos de negócio, explicitando a relação causal entre eles, ou seja, mostrando como a realização de um risco de segurança causa a realização de um risco de negócio.

Tomemos como exemplo o vazamento de informação em uma empresa que cria capital intelectual, como na indústria química, farmacêutica ou de cosméticos; e que gera através de pesquisa e desenvolvimento, fórmulas e listas técnicas de materiais para novos produtos.

A abordagem tradicional, é levar ao corpo diretivo um pedido de decisão para investir ou não em uma solução de prevenção ao vazamento de informações, que é bastante cara de maneira geral, baseado no argumento de que a empresa lida com informações confidenciais o tempo todo e que o vazamento destas informações causaria uma perda de capital intelectual.

A abordagem que proponho aqui é outra: explorar com os executivos que a estrutura do plano de negócios de qualquer novo produto tem duas premissas importantes:

1. A exclusividade desse novo produto em um primeiro momento de mercado, que dura do lançamento até o momento em que os competidores conseguirão copiar o produto;
2. A imagem de tradição com esse produto atribuída à empresa diante dos competidores, decorrente do fato de ter sido a primeira a lançá-lo.

A ligação causal se estabelece porque a maneira mais provável de não ter a exclusividade esperada em um período inicial, sobre um produto de desenvolvimento próprio, residiria no vazamento da informação chave para a produção deste novo produto.

Com esse contexto fica fácil conectar o risco de vazamento de informação de uma fórmula de um novo produto, com o risco de um competidor lançar um produto similar ou até idêntico ao que se está desenvolvendo, antes ou ao mesmo tempo.

A realização destes riscos, um em decorrência do outro, comprometeria as premissas acima descritas, prejudicando a liderança de mercado inicial e impactando os indicadores VPL (valor presente líquido) e TIR (taxa interna de retorno), que medem o desempenho do projeto de investimento quanto à capacidade de gerar de caixa para a empresa que investe.

Sabidamente, a melhor maneira de resolver um problema é atacar sua causa raiz. Do mesmo modo, a melhor maneira de mitigar um risco, é criar controles para suas causas, ou seja para os seus fatores de risco.

Considerando então o risco de vazamento de informação como um fator para o risco do competidor lançar produto similar ao que se desenvolve, em tempo muito curto, podemos concluir que:

Uma solução de prevenção ao vazamento de informações é um controle eficaz contra o risco de não obter o retorno financeiro esperado em um projeto de novos produtos em função da perda da exclusividade inicial.

O risco bem conectado ao outro fica mais fácil de conscientizar e também mais fácil de quantificar, uma vez que o impacto financeiro da realização do risco é facilmente calculável a partir das premissas contidas no plano de negócio do projeto de desenvolvimento de novo produto. Uma vez quantificado, fica simples a comparação entre o custo de mitigar e o custo de conviver com o risco. Se a conta fechar, é projeto aprovado!

Este foi um exemplo simples, escolhido para ilustrar um racional que conecte os riscos e viabilize as decisões conscientes. A verdade é que conectar ideias é um trabalho complexo e relevante. É portanto um trabalho nobre, gratificante e que deve ocupar uma boa parcela do tempo dos gestores de segurança da informação.

Alguns riscos de segurança serão facilmente conectáveis a riscos de negócio. Outros terão uma conexão sutil e exigirão grande esforço do gestor na montagem do racional. Outros ainda serão praticamente impossíveis de se conectar com riscos de negócio relevantes. O que fazer com estes últimos? Nada, ou praticamente nada. Se não for possível mitigá-los através de processos e procedimentos operacionais que cuidem da saúde básica da circulação da informação na empresa, esqueça-os.

A Segurança da Informação é muito importante mas não tem importância em si só. Tem importância enquanto, através da proteção da informação, proteger o negócio. Qualquer coisa fora isso, não se financia.

Segurança da Informação: Vulnerabilidades do Negócio

28 de fevereiro de 2017Ticiano Benetti

em Profissionais de TI

Link para o original

Um dos aspectos da inteligência humana que me fascina é o aprendizado. O ser humano é capaz de criar conceitos e concepções a partir de suas experiências e reflexões; e com isso passa a saber coisas que, momentos antes, não sabia. O ser humano cria conhecimento! Entretanto, a mente opera em diversos níveis, com maior ou menor grau de consciência sobre seus pensamentos e o saber também ocorre em diversos níveis de consciência.

Há um saber racional, intelectual e consciente, que conseguimos repetir e explicar, mas que curiosamente não é muito efetivo. Neste campo estão aquelas posturas que sabemos que são corretas mas que na prática temos muita dificuldade de realizar, pois, no fundo, não acreditamos nelas de verdade.

Por outro lado, existe um saber emocional, um tanto ilógico e inconsciente, mas muito efetivo porque reside em um nível muito mais profundo da mente. Este é o saber internalizado, onde estão gravados os conceitos em que acreditamos de verdade. O aprendizado real começa com a aquisição de um saber no nível consciente mas só se completa quando este saber é internalizado.

Pois um destes saberes, que está em pleno processo de internalização em minha mente, é algo que venho ouvindo e repetindo por toda minha carreira:

A Segurança da Informação tem que ficar próxima ao negócio, pois o que importa é proteger o negócio e não a tecnologia que o suporta.

Sinto que só recentemente estou começando a acreditar nisso de verdade e quero mostrar aqui uma aplicação prática desse conceito em um dos assuntos mais áridos em Segurança da Informação para quem não é da área: Análise de Vulnerabilidades.

A típica Análise de Vulnerabilidades começa com a escolha do escopo: uma coleção de ativos tecnológicos importantes, que normalmente compõem o ambiente produtivo da empresa, separando o que está exposto à internet do que não está.

Em seguida, com auxílio de alguma ferramenta, é feita uma varredura nesses ativos para identificar elementos desatualizados dos sistemas e configurações permissivas que de alguma maneira abram brechas para um acesso não-autorizado ou para uma paralisação de serviço não-autorizada.

O próximo passo, usualmente automatizado, é classificar todas as falhas de segurança encontradas em uma escala que varia entre três e cinco níveis de criticidade. No caso de uma análise mais elaborada, identifica-se ainda quais são vulnerabilidades comprovadamente exploráveis por ferramentas disponíveis na internet e quais são vulnerabilidades sem evidência de explorabilidade – Vale lembrar que ausência de evidência não significa evidência de ausência!

O último passo é priorizar a correção das vulnerabilidades, começando pelas exploráveis a partir da internet, gerar números para tudo isso, juntamente com uma série de gráficos com apontamentos de prioridade e metas de correção, para finalmente levar para o nível executivo e caprichar na retórica para ganhar patrocínio para o processo de remediação.

Esse método até funciona, mas funciona muito mal por que o que descrevi acima não protege o negócio e sim a tecnologia. Já na partida, escolhemos o escopo pensando em ativos tecnológicos importantes, sem sequer pensar em que processos de negócio rodam lá.

O nível executivo está preocupado com o negócio e não com a tecnologia; e não tem condições de conectar o risco tecnológico ao risco de negócio. Sem essa conexão, toda a retórica fica sem importância e o patrocínio para o projeto sucumbe diante da primeira disputa por recursos com um incidente em produção ou com um projeto de negócio que dê retorno financeiro à empresa.

O que apresento a seguir uma uma abordagem de fato centrada no negócio desde a definição de escopo. Os passos sugeridos são:

1. Aproximar-se de alguns stakeholders do negócio. Esta é a pedra fundamental por que, assim como falta ao executivo conhecimento sobre a tecnologia, falta a você conhecimento sobre o negócio. Humildade é fundamental para construir pontes!
2. Identificar, junto a estes stakeholders, os macroprocessos de negócio que são críticos e que rodam em sistemas ou em infraestrutura de tecnologia.
3. Elencar, ainda com eles, riscos de negócio provenientes de desvios nestes processos críticos que poderiam ocorrer dentro dos sistemas. Exemplos seriam: “Fraudar pagamento para desviar dinheiro da empresa” ou “Paralisar uma planta produtiva por quarenta e oito horas” ou ainda “Disponibilizar para um concorrente o blueprint dos novos produtos que ainda estão sendo desenvolvidos”.
4. Mapear em quais sistemas, bancos de dados, servidores e equipamentos de rede rodam os macroprocessos críticos identificados no passo [2] e com isso definir o escopo de sua análise de vulnerabilidades.
5. Realizar a análise técnica e gerar a lista de vulnerabilidades tecnológicas classificadas e priorizadas.
6. Construir a ligação entre os conceitos, isto é, conectar cada vulnerabilidade grave e/ou explorável com um dos riscos de negócio mapeados no passo [3], cruzando o ativo da vulnerabilidade com o ativo em que o macroprocesso de negócio roda e conciliando o tipo de exploração da vulnerabilidade com o risco de negócio do respectivo macroprocesso.
7. Apresentar ao nível executivo os mesmos gráficos, metas e apontamentos de prioridade, trocando a descrição das vulnerabilidades pela descrição do risco de negócio que a exploração das vulnerabilidades poderia gerar.

Com isso, você estará substituindo um discurso do tipo:

“Encontramos 3 vulnerabilidades graves que permitem adulterar o banco de dados do sistema de reembolso de despesas”

por algo como:

“Encontramos 3 maneiras diferentes de desviar dinheiro da empresa através de reembolsos de despesas fraudulentos que podem ser gerados e efetivados sem aprovação do gerente, explorando fragilidades no sistema”.

Parece ser uma mera mudança de discurso, mas não é. Trata-se de uma mudança de paradigma, que provoca uma mudança de linguagem. Nela, se abandona a linguagem técnica e se adota a linguagem de negócio, que afinal de contas, é a única que o nível executivo fala e entende.

Quando vivemos a experiência de pensar Segurança da Informação como Negócio e de falar de Segurança da Informação como Negócio, presenciamos um resultado tão fantasticamente diferente, que o sentimento de realização impulsiona a internalização desse conceito que é tão importante: Vulnerabilidades só importam quando são Vulnerabilidades de Negócio, porque Segurança da Informação só é relevante quando estabelece Segurança para o Negócio.

Publicado originalmente em Blog Ticiano Benetti