O NIST® (National Institute of Standards and Technology) é uma agência governamental dos Estados Unidos que fornece diretrizes e padrões técnicos para diversas áreas, incluindo a cibersegurança.
O Instituto tem desempenhado um papel crucial no estabelecimento de padrões para a segurança cibernética. Ao adotar essas diretrizes, as organizações podem criar um ambiente mais seguro, identificando e gerenciando riscos de maneira eficaz, promovendo a padronização e a consistência nas práticas de cibersegurança, seja em empresas iniciantes na implementação de cibersegurança ou com práticas já robustas de proteção.
O framework se concentra em seis pilares principais para fortalecer a postura de segurança de uma organização: identificar, proteger, detectar, responder, recuperar e governar.
Neste primeiro artigo de uma série completa sobre os pilares do NIST® Cybersecurity Framework 2.0, exploraremos de perto o pilar “identificar” e forneceremos dicas para os CISOs avaliarem a eficácia de suas ações de cibersegurança.
Identificando riscos cibernéticos
“Identificar” é o primeiro dos seis pilares do framework e serve como base para todos os outros.
Este pilar ajuda a determinar o atual risco de segurança cibernética da organização, identificando e gerenciando de maneira consistente os ativos e sistemas.
O pilar “Identificar” é subdividido em três categorias que, em conjunto, formam uma imagem clara dos ativos e dos riscos de segurança da empresa. Vamos entender cada uma delas:
- Gestão de ativos: primeiramente, o CISO e as partes interessadas devem identificar os sistemas, hardware e software para gerenciá-los de acordo com sua importância crítica.
- Avaliação de riscos: esta categoria exige que os CISOs garantam uma compreensão completa dos riscos de segurança cibernética que podem impactar os negócios, seus usuários e os sistemas e plataformas de TI essenciais que eles usam para concluir as operações diárias.
- Melhorias nos processos de gestão de riscos: aqui, o CISO e o time responsável identificam melhorias a partir de testes e exercícios de segurança, incluindo aqueles feitos em coordenação com fornecedores e terceiros relevantes. Além disso, os planos de resposta a incidentes e outros planos de segurança cibernética que afetam as operações são estabelecidos, comunicados, mantidos e aprimorados nesta etapa.
Como saber se o pilar “Identificar” foi implementado com sucesso?
Gestão de Ativos:
- A organização mantém inventários de hardware, software, serviços e sistemas, bem como das comunicações de rede autorizadas e fluxos de dados internos e externos.
- Possui inventários dos serviços fornecidos por fornecedores, e os ativos são priorizados com base na classificação, criticidade, recursos e impacto na missão.
- Além disso, mantém inventários de dados e metadados correspondentes para tipos de dados designados.
- Gerencia sistemas, hardware, software, serviços e dados ao longo de seus ciclos de vida.
Avaliação de Riscos:
- Recebe inteligência sobre ameaças cibernéticas de fóruns e fontes de compartilhamento de informações.
- As ameaças internas e externas, bem como os impactos e probabilidades de exploração de vulnerabilidades, são identificados e registrados.
- Utiliza essas informações para compreender o risco inerente e orientar a priorização das respostas a riscos, que são cuidadosamente escolhidas, planejadas, rastreadas e comunicadas.
- Estabelece processos para receber, analisar e responder a divulgações de vulnerabilidades, garantindo a avaliação da autenticidade e integridade de hardware e software antes da aquisição e uso.
- Avalia fornecedores críticos antes da aquisição.
Melhorias no processo de gestão de riscos:
- Identifica melhorias a partir de testes e exercícios de segurança, incluindo testes realizados em coordenação com fornecedores e terceiros relevantes.
- Identifica melhorias a partir da execução de processos, procedimentos e atividades operacionais.
- Planos de resposta a incidentes e outros planos de cibersegurança que afetam as operações são estabelecidos, comunicados, mantidos e aprimorados.
Em resumo, a implementação bem-sucedida do pilar “Identificar” do NIST® Cybersecurity Framework pode ser avaliada através de um inventário detalhado e atualizado de ativos, uma robusta gestão e avaliação de riscos e uma melhoria contínua através de testes realizados em coordenação com terceiros e fornecedores.
Lembre-se que o framework está em constante evolução, acompanhando novas tecnologias e ameaças emergentes.
Quer implementar o NIST® Cybersecurity Framework?
Agora que você já conhece as principais vantagens desse framework de segurança tão indispensável, saiba o passo a passo para uma implementação de sucesso e explore o nosso portfólio de produtos orientado pelo NIST® Cybersecurity Framework.
Baixe o material para começar a elevar sua segurança cibernética.
Converse com um de nossos especialistas para conhecer a solução ideal para proteger o seu negócio.
Acesse também nossas redes sociais:
