A gestão de riscos e ativos é um pilar central da segurança da informação. Em um ambiente corporativo, ativos como dados, sistemas e equipamentos precisam ser protegidos contra ameaças que podem comprometer sua confidencialidade, integridade e disponibilidade. Esta aula apresenta as etapas fundamentais para identificar ativos, avaliar riscos, tratá-los adequadamente e utilizar a matriz de risco como ferramenta de priorização.

O processo de gestão de riscos, conforme normas como a ISO 27001, segue um ciclo contínuo: identificação, análise, avaliação e tratamento. Compreender cada fase é essencial para implementar controles eficientes e alinhados aos objetivos de negócio.

Identificação de ativos

Ativos são tudo aquilo que possui valor para a organização e precisa ser protegido. Eles podem ser tangíveis (servidores, roteadores) ou intangíveis (dados de clientes, propriedade intelectual). A identificação de ativos é o primeiro passo da gestão de riscos, pois sem saber o que se tem, não é possível protegê-lo adequadamente.

Para realizar a identificação, recomenda-se criar um inventário de ativos, registrando informações como tipo, localização, proprietário, classificação (público, interno, confidencial, restrito) e valor. Exemplos de categorias de ativos: hardware, software, dados, pessoas, processos e instalações. Um inventário bem elaborado facilita a análise de riscos e a definição de prioridades.

Exemplo de inventário simplificado:

| Ativo          | Tipo     | Proprietário | Classificação |
|----------------|----------|--------------|---------------|
| Servidor BD    | Hardware | TI           | Restrito      |
| Dados clientes | Dados    | Marketing    | Confidencial  |
| Aplicação ERP  | Software | TI           | Interno       |

Avaliação de riscos

A avaliação de riscos consiste em identificar ameaças, vulnerabilidades e o impacto potencial sobre os ativos. Uma ameaça é qualquer evento que possa causar dano (ex.: ataque hacker, incêndio), enquanto a vulnerabilidade é uma fragilidade que pode ser explorada (ex.: falta de patch, senha fraca). O risco é a combinação da probabilidade de uma ameaça explorar uma vulnerabilidade e o impacto resultante.

Existem abordagens qualitativas (uso de escalas como baixo, médio, alto) e quantitativas (valores monetários). A análise qualitativa é mais comum por ser mais simples. Para cada ativo identificado, listam-se as ameaças relevantes, as vulnerabilidades associadas e estima-se a probabilidade e o impacto. Exemplo: ativo “servidor web”, ameaça “ataque DDoS”, vulnerabilidade “falta de firewall”, probabilidade alta, impacto alto.

Exemplo de avaliação de risco:

Ativo: Servidor de arquivos
Ameaça: Ransomware
Vulnerabilidade: Backup desatualizado
Probabilidade: Média
Impacto: Alto
Risco: Alto (probabilidade média * impacto alto)

Tratamento de riscos

Após avaliar os riscos, é preciso decidir como tratá-los. As opções, segundo a ISO 27001, são: mitigar (implementar controles para reduzir o risco), transferir (ex.: seguro), aceitar (assumir o risco conscientemente) ou evitar (eliminar a atividade que gera o risco). A escolha depende do nível de risco residual aceitável pela organização.

Para riscos altos, geralmente se aplicam controles como firewalls, criptografia, políticas de acesso e treinamento. Riscos médios podem ser mitigados ou aceitos, enquanto riscos baixos são frequentemente aceitos. É importante documentar as decisões e revisar periodicamente, pois o cenário de ameaças muda constantemente.

Exemplo de plano de tratamento:

Risco: Alto - Servidor sem patch
Tratamento: Mitigar - Aplicar patch crítico em 24h
Responsável: Equipe de infraestrutura
Prazo: 1 semana

Matriz de risco

A matriz de risco é uma ferramenta visual que organiza os riscos em uma grade de probabilidade versus impacto, facilitando a priorização. Normalmente, o eixo X representa a probabilidade (baixa, média, alta) e o eixo Y o impacto (baixo, médio, alto). As células são coloridas: verde (baixo risco), amarelo (médio), vermelho (alto).

Para construir a matriz, liste cada risco avaliado e posicione-o na célula correspondente. Riscos na zona vermelha exigem ação imediata; na amarela, monitoramento e planos de mitigação; na verde, aceitação ou monitoramento passivo. A matriz deve ser atualizada sempre que novos riscos surgirem ou o contexto mudar.

Exemplo de matriz de risco (3x3):

Impacto \ Probabilidade | Baixa | Média | Alta |
----------------------|-------|-------|------|
Alto                  | Médio | Alto  | Alto |
Médio                 | Baixo | Médio | Alto |
Baixo                 | Baixo | Baixo | Médio |

Boas práticas e observações finais

A gestão de riscos e ativos não é um projeto único, mas um processo contínuo. Recomenda-se realizar revisões periódicas, envolver as áreas de negócio na classificação de ativos e utilizar ferramentas de GRC (Governança, Risco e Compliance) para automatizar o processo. Além disso, a comunicação dos riscos à alta direção é fundamental para obter recursos e apoio.

Lembre-se: o objetivo não é eliminar todos os riscos, mas gerenciá-los de forma alinhada à estratégia da organização. A matriz de risco e o inventário de ativos são documentos vivos que devem ser mantidos atualizados.

Referências

Exercícios

  1. Cite três tipos de ativos intangíveis em uma empresa de e-commerce.

    ✓ Resposta: Dados de clientes (CPF, endereços), propriedade intelectual (código-fonte do site), e reputação da marca.

  2. Explique a diferença entre ameaça e vulnerabilidade, com um exemplo.

    ✓ Resposta: Ameaça é um evento potencial que pode causar dano (ex.: um terremoto). Vulnerabilidade é uma fragilidade que permite a ocorrência do dano (ex.: prédio sem reforço sísmico). A combinação de ambos gera risco.

  3. Dado um risco com probabilidade alta e impacto baixo, em que zona da matriz 3x3 ele se encontra? Qual ação sugerida?

    ✓ Resposta: Zona amarela (risco médio). Sugere-se monitorar e considerar mitigação, dependendo do custo-benefício.

  4. Cite dois exemplos de tratamento de risco por transferência.

    ✓ Resposta: Contratar seguro contra incêndio para o datacenter; terceirizar serviços de segurança para uma empresa especializada.

  5. Qual a importância de classificar ativos (público, interno, confidencial, restrito) na gestão de riscos?

    ✓ Resposta: A classificação define o nível de proteção necessário e o impacto esperado em caso de violação. Ativos confidenciais exigem controles mais rigorosos, enquanto públicos podem ter menos restrições. Isso direciona os esforços de mitigação para onde são mais críticos.