Você provavelmente está familiarizado com o termo “ativos críticos”.

Esses são os ativos de tecnologia dentro da infraestrutura de TI da sua empresa que são essenciais para o funcionamento da sua organização. Se algo acontecer com esses ativos, como servidores de aplicativos, bancos de dados ou identidades privilegiadas, as ramificações para a sua postura de segurança podem ser graves.

Mas todo ativo de tecnologia é considerado um ativo crítico?

Além disso, todo ativo de tecnologia é considerado um ativo crítico para o negócio?

Quanto realmente sabemos sobre os riscos dos nossos ativos críticos de negócios?

Os ativos críticos de negócios são os ativos de tecnologia subjacentes do seu negócio em geral – e todos sabemos que a tecnologia é apenas um dos 3 pilares essenciais necessários para o funcionamento bem-sucedido de um negócio. Para ter uma governança de cibersegurança completa, as organizações devem considerar: 1) Tecnologia, 2) Processos de negócios e 3) Pessoas-chave. Quando esses 3 pilares se unem, as organizações podem começar a entender seus ativos críticos de negócios – ou aqueles que são essenciais para o funcionamento bem-sucedido do seu negócio.

A importância de focar nos ativos críticos de negócios

Hoje, todos sabem que não é possível consertar tudo.

Existem simplesmente muitos problemas que precisam de remediação – desde CVEs até configurações inadequadas, identidades excessivamente permissivas e muito mais. Nessa situação, as organizações ficam incapazes de responder à pergunta “onde devemos focar nossos esforços primeiro?” E sem um caminho claro para corrigir o que mais importa primeiro, muitas organizações adotam o que chamo de “abordagem de cibersegurança spray e reze” – sem saber o que realmente importa, ou qual é o impacto real nos negócios. Eles tentam consertar tudo, levando a um tempo, esforço e recursos desperdiçados.

Felizmente, a Gartner publicou recentemente um novo framework, o gerenciamento contínuo de exposições a ameaças, ou CTEM, que pode nos ajudar a ver onde e como priorizar nossos esforços com a seguinte declaração: “Os CISOs devem considerar o seguinte: Quais são os sistemas IT mais críticos e expostos … em relação aos processos de negócios.” Para saber mais sobre como comunicar efetivamente sobre riscos com seu conselho diretor e CEO, confira nosso ebook, Comunicando risco ao conselho.

Como proteger ativos críticos de negócios

Existem 4 etapas-chave quando se trata de proteger seus ativos críticos de negócios:

Etapa 1: Identificação dos processos de negócio

Embora seja muito bom falar sobre o foco nos ativos críticos de negócios, como você realmente saber o que é crítico para o negócio e o que não é? Identificar os processos de negócio mais importantes pode ser desafiador se sua empresa não tiver realizado uma avaliação de risco empresarial adequada. Ter tais relatórios da sua equipe de gerenciamento de riscos deve ser muito útil para você entender seus drivers de negócios mais importantes e, portanto, suas maiores áreas de risco para começar.

Segue-se a etapa 2: Mapeamento dos processos de negócio para os ativos de tecnologia

Agora que você tem uma visão melhor dos processos de negócio mais importantes, você pode começar a mapear cada processo para os ativos de tecnologia subjacentes, incluindo servidores de aplicativos, bancos de dados, armazenamentos de arquivos seguros, identidades privilegiadas, etc. Estes serão seus ativos críticos de negócios!

É uma boa ideia considerar seus armazenamentos de arquivos que contêm os dados mais sensíveis como ativos críticos de negócios. Uma vez que você tenha contabilizado todos esses ativos específicos, você pode começar a entender verdadeiramente o que afeta o resultado final do seu negócio.

A próxima etapa é a priorização

Como mencionado, não é possível consertar tudo, o que significa que sempre temos que priorizar o que planejamos fazer para segurar nosso negócio. Mesmo que tivéssemos uma lista completa de todas as nossas jóias da coroa em mãos, ainda deveríamos sempre perguntar “quais são as 3-5 áreas ou processos de negócios mais importantes?”. Isso é outro caso em que você deve trabalhar em estreita colaboração com a equipe de gerenciamento de riscos e coletar essas informações.

Adicionalmente, outra importante contribuição viria dos principais interessados da empresa. Nas palavras da Gartner “Construir escopos que estejam alinhados com as prioridades da liderança sênior é fundamental para o sucesso.” Portanto, é muito importante saber o que a C-Level e o Conselho consideram como P1-“Fim de jogo”, o que é um P2-Impacto alto, e o que consideram P3-Impacto baixo.

E, por fim: Implementando medidas de segurança

Ótimo! Neste ponto, você tem um conhecimento decente dos ativos críticos de negócios da sua empresa – bem feito! E agora é hora de mobilizar suas equipes de segurança para protegê-los. Isso envolve a coleta das descobertas de segurança relevantes e a geração de atividades de remediação. Mas como é impossível consertar tudo, por onde você deve começar e investir a maior parte dos seus esforços? Normalmente, você pode começar coletando os resultados relevantes de sua solução de Gerenciamento de Vulnerabilidades ou mesmo dos resultados de testes de penetração recentes. Isso pode servir como informações valiosas sobre os riscos dentro de sua infraestrutura de TI e gerará outra lista de atividades de remediação que você agora precisa priorizar, o que ainda pode ser um grande esforço.

Se você estiver usando uma solução como a XM Cyber, você se beneficiará do framework de Cenários. Cada Cenário executa simulações contínuas de ataques em um escopo dedicado de ativos críticos de negócios. Se, por exemplo, um processo de negócios importante for “Processamento de Pagamentos”, usando o Cenário você será capaz de responder à seguinte pergunta de negócios: “Um atacante pode potencialmente comprometer o processo de negócios de Processamento de Pagamentos?”. A execução de cada Cenário produz um score de risco com descobertas de caminhos de ataque em direção a todos os ativos críticos de negócios. Além disso, você receberá uma lista priorizada de atividades de remediação recomendadas com o maior ROI para seus esforços.

Conclusão

As equipes de segurança passam uma enorme quantidade de tempo fazendo perguntas como “Um atacante pode potencialmente comprometer o processo de negócios de Processamento de Pagamentos?” ou “Estamos protegendo adequadamente nossos bancos de dados de CRM mais sensíveis, armazenamentos de arquivos e usuários Admin?”. Sem entender o que mais afeta seu negócio, esse esforço muitas vezes é uma empreitada fútil.

Com a metodologia delineada acima em mãos, você pode se afastar dos esforços de spray e reze que diminuem a eficácia do seu programa de segurança e começar a lidar verdadeiramente com o que é mais importante para o seu negócio – não apenas em termos de tecnologia, mas em termos do efeito sobre o relacionamento com o negócio principal.

Ao focar nos ativos críticos de negócios, sua equipe se tornará significativamente mais eficiente e eficaz – e, melhor ainda, sinalizará para sua C-suite e Conselho que o que mais importa para eles também é sua principal prioridade. Essa sinergia permitirá uma comunicação melhor e uma melhor alinhamento de prioridades, o que é uma receita para o funcionamento bem-sucedido de seu negócio.