O que é a Gestão de incidentes de Segurança da Informação e por que as organizações necessitam dela?
Conteúdo produzido por Eber Souza
A evolução da tecnologia e dos recursos tecnológicos nas nossas vidas e no cotidiano das empresas, independentemente do seu tamanho ou área de negócio, trouxe também um aumento significativo da manipulação destas informações, tornando a proteção dos dados uma prioridade. Em especial, para as organizações que tratam e armazenam dados.
Com isso, a Segurança da Informação e a Privacidade de Dados passou a ter um enfoque maior para o mundo dos negócios, tanto pela implementação dos processos digitais, quanto pelo surgimento de leis como a Lei 12.965/14 (Marco Civil da Internet), que estabelece os direitos, deveres e garantias no mundo digital e a regulamentação do uso da internet no brasil; e da Lei 13.709/18 (LGPD), que dispõe sobre o tratamento de dados pessoais, bem como das sanções aplicadas em decorrência de um vazamento de dados.
A Lei Geral de Proteção de Dados (LGPD), em seu artigo 46, estabelece que:
“Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”
O que é um incidente de segurança?
De acordo com a ANPD, qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou, ainda, qualquer forma de tratamento de dados inadequada ou ilícita, as quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais, é considerado um incidente de segurança com dados pessoais.
De uma maneira mais ampla, um incidente de segurança é qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores.
O que é a gestão de incidentes de Segurança da Informação?
Podemos definir a gestão de incidentes de Segurança da Informação como procedimentos estabelecidos para identificar, gerenciar, registrar, analisar e comunicar eventos relativos à segurança da informação, a fim de reduzir o impacto negativo causado, reestabelecendo as operações em tempo hábil.
A gestão de incidentes de Segurança da Informação é um processo essencial para organizações que estão buscando um nível mais elevado de maturidade em segurança, como também para aquelas que já possuem um nível de maturidade considerável neste sentido. Na prática, trata-se do gerenciamento da cibersegurança e dos problemas relativos à segurança numa infraestrutura de TI, algo comum a todas as empresas.
Por que a gestão de incidentes de Segurança da Informação é importante?
Os incidentes podem representar grandes impactos para uma organização em relação a custo, produtividade e reputação. Por isso, estabelecer um bom processo de gerenciamento de incidentes irá contribuir para a redução dos impactos, quando ocorrerem; aumento da capacidade de detecção e resposta ao incidente, evitando maiores danos; bem como a redução de prejuízos financeiros e operacionais, e redução de impactos à reputação.
Aprenda com os incidentes
Aprender com os incidentes também é parte do processo de gestão, pois significará estar mais capacitado para tratar quaisquer incidentes futuros. Por isso, é fundamental planejar as respostas a incidentes com antecedência.
Plano de respostas
A grande maioria das organizações já possui um processo de resposta a incidentes. Algumas com nível de maturidade mais elevado, outras, buscando alcançá-lo.
A seguir, separamos algumas perguntas que podem ser feitas para entendimento da maturidade atual em gestão de incidentes na organização:
- Existem medidas para acionar todos os responsáveis envolvidos no processo de respostas a incidentes?
- O plano de resposta a incidentes atual abrange toda organização?
- Existem profissionais suficientes e capacitados para responder a um incidente adequadamente?
- Foram definidos SLA’s para o retorno normais das operações, em caso de incidentes?
Um plano de respostas a incidentes de TI é um documento estruturado e elaborado para auxiliar na identificação, gestão e resolução de incidentes cibernéticos. Sua criação é crucial para negócios, independentemente do seu tamanho.
Fases do incidente de Segurança da Informação
Para criarmos um plano de resposta a incidentes eficaz, devemos considerar três momentos: antes, durante e depois do incidente. Vamos entender cada um desses momentos?
- Antes do incidente
É o momento de planejar e identificar os eventos, os possíveis cenários de ameaça capazes de causar algum dano à confidencialidade, à integridade e à disponibilidade dos dados e dos recursos de processamento de informação de uma organização, mapeando quais as ações serão tomadas, de forma preventiva, caso o incidente aconteça.
É fundamental definir também quais as formas de monitoramento dos ativos serão utilizadas para detectar o comportamento dos recursos de processamento de informação na rede local e/ou em nuvem para identificação de possíveis vulnerabilidades passíveis de exploração.
Além disso, convém ter um profissional capacitado para tomadas de decisões relativos a incidentes de segurança, seja através de ferramentas de forma automatizada, bem como analisando o comportamento dos recursos de processamento de informação. - Durante o incidente
É o momento em que a equipe de segurança necessita ser eficaz nas ações de mitigação do incidente, a fim de conter sua propagação com o mínimo de danos causados, coletar todas as evidências, para que a causa origem daquele incidente seja devidamente analisada, sem descartar ou destruir qualquer evidência. A preservação de provas relacionadas a um incidente, contribuem para um plano de prevenção, a fim de evitar que aquele incidente aconteça novamente.
Uma vez contido o incidente, é hora de varrer o ambiente em busca da causa origem do incidente para eliminação da ameaça ou vulnerabilidade no ambiente. Note que as ações planejadas para contenção de um incidente devem ser pensadas a longo e curto prazo.
Durante um incidente, é possível que haja perda de dados ou até mesmo que um sistema seja corrompido.
As ações de curto prazo, tem por objetivo o reestabelecimento das operações em tempo hábil com o mínimo de dano causado. E para que tenhamos sucesso, é preciso estar preparado para não ser pego desprevenido. Por isso, no planejamento de contenção, a longo prazo, não pode ficar de fora:
➜ Plano de backup de dados, sistemas e aplicações considerando o grau de criticidade para o negócio;
➜ Políticas de RPO e RTO que atendam as expectativas de negócio;
➜ Gestão de armazenamento (preferencialmente em nuvem);
➜ Rotinas de Backup e validação da integridade (restore);
➜ Softwares de proteção com recursos antimalware, antiSpam, etc. bem como, sistema para análise do tráfego da rede (IDS) e Firewall;
➜ Gestão de atualização dos sistemas para auxiliar no tratamento das vulnerabilidades e correção relacionadas a controle do hardware;
➜ Gerenciamento de acesso do usuário (política de senha considerando a complexidade e troca periódica) e duplo fator de autenticação (MFA).
Note que, o planejamento de contenção a longo prazo pode reduzir os danos causados ou até mesmo evitar que o incidente ocorra. - Após o incidente
É o momento de colocar em prática o que foi planejado a longo prazo. O plano de backup entra em cena para auxiliar na restauração dos sistemas, aplicações, banco de dados e restabelecimento dos acessos.
Passada a “turbulência”, é hora de documentar tudo (logs, histórico, alertas, etc.), de forma consolidada, para assegurar que todas as ações previstas no plano de resposta a incidentes foram executadas conforme planejado. Assim, caso aconteça novos eventos, atuaremos mais rápido nas ações para mitigação do incidente.
É importante, reavaliar os processos e medidas adotadas com base nas lições aprendidas para garantir a otimização e a melhoria contínua do processo, contribuindo para o fortalecimento do ambiente contra possíveis incidentes futuros, a fim de compreender quais mudanças no aspecto de segurança precisam ser feitas, quais as vulnerabilidades foram exploradas e como garantir que isso não ocorra novamente.
Nenhuma organização deseja passar por um incidente, principalmente aqueles que resultam em danos, sejam de ordem financeira, à reputação da marca ou produtividade. O gerenciamento de incidente deve ser considerado como um processo crítico para qualquer negócio.