Cyber risk indicators

Indicadores de Monitoramento de
Segurança Cibernética
Monitoramento dos CIS Controls
Eduardo Poggi, MBA
CISSP, CRISC, CISA, CGEIT, MCSO, MCRM
epoggi@modulo.com

Primeiramente....
Quais informações são necessárias para apoiar a
tomada de decisão?
Medidas ou Indicadores
devem fornecer informações.
Caso contrário, são INÚTEIS!

ISO 31000 – Mentalidade de Risco
Qual a possibilidade de um
evento ocorrer e afetar os
objetivos de segurança
cibernética?

Metaframework de Gestão de Riscos (base na ISO 31000)

DEFINIR
CONTEXTO, ESCOPO,
OBJETIVOS, CRITÉRIOS E
PROCESSO DE GR
IDENTIFICAR
RISCOS E OCORRÊNCIAS
ANALISAR
IDENTIFICADAS
AVALIAR
ANALISADAS
VISUALIZAR
CONTEXTO, ESCOPO,
OBJETIVOS E CRITÉRIOS
CAPACITAR PROCESSO DE GR
CONSCIENTIZAR PARTES
INTERESSADAS
MONITORAR
CONTEXTO, ESCOPO,
OBJETIVOS E PROCESSO DE GR
REGISTRAR
ESCOPO, CONTEXTO,
OBJETIVOS E PROCESSO DE
GR
RELATAR PROCESSO DE GR
VISUALIZAR
IDENTIFICADAS
MONITORAR
IDENTIFICADAS
REGISTRAR
IDENTIFICADAS
VISUALIZAR
ANALISADAS
MONITORAR
ANALISADAS
REGISTRAR RISCOS E
OCORRÊNCIAS ANALISADAS
VISUALIZAR
AVALIADAS
MONITORAR
AVALIADAS
REGISTRAR
AVALIADAS
PLANEJAR
PLANO DE TRATAMENTO
(RISCOS E OCORRÊNCIAS)
TRATAR
(CONTROLES)
VISUALIZAR
PLANO DE TRATAMENTO
VISUALIZAR CONTROLES
MONITORAR
PLANO DE TRATAMENTO
MONITORAR CONTROLES
REGISTRAR
PLANO DE TRATAMENTO (RISCOS
E OCORRÊNCIAS)
REGISTRAR CONTROLES
COMUNICAÇÃO E
CONSULTA
MONITORAMENTO
E ANÁLISE
CRÍTICA
REGISTRO E
RELATO
IMPLEMENTAÇÃO
Escopo, Contexto
e Critérios
Identificação de
Riscos
Análise de Riscos Avaliação de Riscos
Tratamento de
Riscos
Indicadores apoiam o processo de Gestão de Riscos Cibernéticos...

ISO 27004

ISO 27004
A cláusula 9.1 da ISO/IEC 27001
requer que a organização avalie o
desempenho da segurança da
informação e a eficácia de seu SGSI.

Exemplo de um modelo
Campo Significado
Identificador do indicador ID único da medida/indicador na empresa
Necessidade da Informação Necessidade fundamental para entendimento da contribuição da medida.
Medida Declaração da medida, geralmente descrita usando palavras como “porcentagem”, ”número”,
“frequência”, “media”.
Fórmula / Pontuação Forma como convém que a medida seja avaliada, calculada ou pontuada.
Meta Resultado desejado da medida, por exemplo, um marco, uma medida estatística ou um conjunto de
gatilhos. Note que o monitoramento contínuo pode ser requerido para garantir o atendimento de uma
meta.
Evidência de implementação Evidência que valida que a medida é realizada, ajuda a identificar possíveis causas de resultados fracos, e
fornece entrada para o processo. Dado que fornece entrada para uma fórmula.
Frequência Quão frequente convém que o dado seja coletado e reportado. Pode-se haver uma razão para que se
tenha múltiplas frequências.
Partes responsáveis A pessoa responsável pela coleta e processamento da medida. Convém que ao menos, um Dono da
Informação, Coletor da Informação e Cliente da Medida sejam identificados.
Fonte de dados Fontes de dados potenciais podem ser base de dados, ferramentas de rastreamento, outras partes da
organização, organizações externas, ou funções individuais específicas.
Formato da comunicação Forma como convém que a medida seja coletada e reportada – Por exemplo, como texto,
numericamente, graficamente (gráfico de pizza, gráfico de linha, gráfico de barras ...), como parte de um
painel ou outra forma de apresentação.

Basic CIS Controls

CIS Control # 1 | Gestão do inventário de hardware
Gerenciar ativamente os
dispositivos de hardware na
rede.
Apenas dispositivos
autorizados devem receber
permissão de acesso a rede.
Dispositivos não autorizados
e não gerenciados devem ser
encontrados e impedidos de
acessar a rede.
O CIS Control #1 recomenda implantar uma
descoberta ativa para identificar dispositivos
conectados à rede de uma organização e fazer a
gestão de inventário.
O que é desconhecido não
poderá ser defendido e
gerenciado.

01. Uma Ferramenta de Descoberta de Dispositivos Ativa deve ser implementada na rede da organização.
02. Uma Ferramenta de Descoberta de Dispositivos Passiva deve ser implementada na rede da organização.
03. A auditoria dos servidores DHCP deve ser utilizada para atualizar o Inventário de Ativos.
04. Um Inventário de Ativos de Hardware detalhado deve ser mantido pela organização.
05. As informações do Inventário de Ativos de Hardware devem ser mantidas pela organização.
06. Os Ativos de Hardware não autorizados identificados devem ser tratados pela organização.
07. O controle de acesso em nível de porta deve ser implementado nos equipamentos de rede.
08. Certificados digitais devem ser usados para autenticar Ativos de Hardware.

Garantia de Hardware do fabricante (#CIS 1.4)
Campo Propósito ou Significado
Id da medida /
Indicador
#01.04.001
Necessidade de
Informação
Avaliar se os equipamentos (ativos críticos) possuem garantia do
fabricante.
Medida Percentual total dos ativos críticos sem garantia
Fórmula Quantidade de ativos sem garantia / quantidade total * 100
Meta % sem garantia < 10%. Gerar ocorrência quando for maior que a meta
Evidência de
Implementação
Levantamento de inventário automatizado.
Frequência Diariamente
Partes
responsáveis
Proprietário da informação: Gestor de Tecnologia da Informação;
Coletores de informação: coletores automáticos.
Fonte de Dados Ferramenta de Inventário.
Formato do
Relato
Painéis de Indicadores.

16© © 2019 Módulo Security Solutions. Todos os direitos reservados
# EVENTO #
FALHA DE
EQUIPAMENTO
CRÍTICO
Falta de Garantia
Causa 2
Causa 3
Indisponibilidade de
Hardware
Consequência 2
Consequência 3
Indicadores de
tendência
(Lead)
Indicadores de
resultado
(Lag)
% de Equipamentos sem Garantia
% de Equipamentos indisponíveis por
falha de hardware
Linha do tempo da ocorrência de 1 evento
CIS CSC #01.04
P I

17© © 2019 Módulo Security Solutions. Todos os direitos reservados
# EVENTO #
INVASÃO DE
SERVIDORES E
SISTEMAS
Falta de Patch
Causa 2
Causa 3
Vazamento de dados
pessoais e privados
Consequência 2
Consequência 3
% de Software / SO sem correção
de patch
% de ocorrência de vazamento de
informação por falta de patch
Linha do tempo da ocorrência de 1 evento
CIS CSC #03.04
CIS CSC #03.05
Indicadores de
tendência
(Lead)
Indicadores de
resultado
(Lag)
P I

Exemplo de Catálogo de Indicadores para Segurança Cibernética
CIS Control ISO 27004 Necessidade de informação Indicador / Medida Tipo
CIS CSC 01 B.20 Gestão da
manutenção periódica
Avaliar a pontualidade das atividades de
manutenção em relação ao agendado.
Atraso da manutenção por evento de manutenção
completado.
Resultado
CIS CSC 01 B.20 Gestão da
manutenção periódica
Avaliar a garantia do fabricante dos meus
hardwares.
Percentual total dos ativos críticos sem garantia Tendência
CIS CSC 03
CIS CSC 05
B4 - Exposição aos Riscos Avaliar os riscos de segurança cibernética dos
ativos da organização
Quantidade de Riscos Altos e Médios além do nível
aceitável. Quantidade de Revisão periódica dos
riscos Altos e Médios
Tendência
CIS CSC 04 B.17 Análise crítica dos
direitos de acesso do
usuário
Avaliar as revisões sistemáticas de direitos de
acesso de usuários que são realizadas em sistemas
críticos.
Percentual de sistemas críticos onde os direitos de
acesso de usuários são periodicamente revisados.
Tendência
CIS CSC 05 B.21 Gestão de mudanças Avaliar se as melhores práticas de gestão de mudanças,
assim como a política de hardening, são respeitadas.
Porcentagem de novos sistemas instalados que
respeitaram as melhores práticas de gestão de
mudanças e a política de hardening.
Tendência
CIS CSC 08 B.23 Anti-malware Quantidade de sistemas afetados por malware que
não possuem uma solução anti-malware
atualizada.
Porcentagem de sistemas afetados por malware,
conectados à rede da organização, com
assinaturas de malware obsoletas (ex. mais de uma
semana).
Resultado
CIS CSC 19 B7 - Custos de Incidentes
de Segurança
Considerações sobre os custos oriundos da
ausência de segurança da informação.
Soma dos custos de cada incidente de segurança
da informação ocorrido no período de amostra.
Resultado
CIS CSC 19 B.8 Aprendendo com
Incidentes de Segurança
da Informação
Verifica se incidentes de segurança da informação
acionam ações para melhoria da situação atual de
segurança.
Quantidade de incidentes de segurança da
informação que geraram ações de melhoria em
segurança da informação.
Resultado
TODOS B2 - Análise Crítica da
Política
Avaliar se as políticas para segurança da
informação estão sendo analisadas criticamente
em intervalos regulares ou quando mudanças
significativas ocorrem.
Percentual de políticas analisadas criticamente Tendência

Case de Implementação
CATÁLOGO DE
INDICADORES
RESULTADOS DE
MEDIÇÕES
ATIVOS | RISCO
OBJETIVO | CONTROLE
FAIXAS DE ALERTA
REGISTRO DE
OCORRÊNCIAS
SERVIÇO DE
COLETA
SISTEMAS
ESPECÍFICOS

SEM GARANTIA 10,26% (08)
VENCE EM 6 MESES 51,28% (40)
VENCE EM MENOS DE 1 ANO 25,64% (20)
VENCE EM UM ANO OU MAIS 12,82% (10)
RISCO DE INDISPONIBILIDADE

Gestão de ocorrências de alertas de indicadores – Bots e mensagens

Então.... Em outras palavras, Monitoramento!
Informações são necessárias para
apoiar a tomada de decisão!
Medidas ou Indicadores fornecem
informações!
Portanto, são FUNDAMENTAIS!

Cyber risk indicators

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Cyber risk indicators

Semelhante a Cyber risk indicators (20)

Cyber risk indicators