Ligar necessidades de proteção e risco

As necessidades de proteção descrevem o impacto; o risco descreve cenários

As necessidades de proteção respondem à pergunta sobre quão grave seria um dano a um objeto-alvo ou a um processo. A análise de riscos acrescenta a essa perspetiva as ameaças, as vulnerabilidades, as probabilidades e as salvaguardas.

Quando as duas linhas de trabalho permanecem separadas, surgem lacunas. Um objeto-alvo pode ter necessidades de proteção elevadas sem que os riscos relevantes sejam priorizados. Inversamente, uma decisão de risco pode ser difícil de explicar quando as necessidades de proteção que lhe estão subjacentes não estão documentadas com clareza.

Um modelo partilhado reduz as contradições

As equipas devem ligar as decisões sobre necessidades de proteção diretamente aos objetos-alvo, dados, processos e dependências. A análise de riscos pode então partir dessa estrutura e explicar as decisões sobre salvaguardas.

O modelo partilhado é especialmente útil nas discussões com as equipas de negócio: o impacto na confidencialidade, na integridade e na disponibilidade fica visível antes de se debaterem salvaguardas individuais.

• Explicar as necessidades de proteção para cada objeto-alvo e cada objetivo de segurança
• Rastrear os riscos até aos objetos-alvo afetados
• Ligar as decisões sobre salvaguardas às necessidades de proteção e ao risco residual

O que mais importa numa auditoria

Os auditores procuram decisões coerentes: porque é que um objeto-alvo foi classificado como elevado? Que salvaguardas daí decorrem? Que riscos continuam em aberto? Quem aprovou a decisão?

Um bom SGSI consegue responder a estas perguntas sem uma investigação separada. Isso exige que as necessidades de proteção, a análise de riscos, o estado das salvaguardas e as evidências partilhem um único contexto de trabalho.