Gestão de vulnerabilidades e cibersegurança no mercado financeiro

Acompanhe a Kryptus no Google Notícias

Fonte: RTM

O mercado financeiro está mais exposto a ciberameaças do que nunca, e as instituições sabem disso. Equipes chegam a seu extremo, assim como as defesas contra os ataques. O segmento como um todo questiona como pode fazer uma gestão de vulnerabilidades mais estratégica e eficiente.

Por trás do questionamento estão duas necessidades: a primeira é a de atender regulatórios, e a segunda é mitigar riscos cada vez maiores e mais graves.

Sobre o primeiro ponto, os reguladores, por meio de normas — como a resolução do CMN nº 4.893 e a circular do BCB nº 3.909, determinam que a política de segurança cibernética deve contemplar a gestão, com “a realização periódica de testes e varreduras para detecção de vulnerabilidades”.

Mas a pressão não é, nem de longe, só do regulador. É notório o aumento do volume e do grau dos ataques. De acordo com levantamento da Accenture, as principais ameaças do segmento são:

ataques a sistemas e serviços essenciais da supply chain;
fraude cibernética;
ameaças internas;
ataques de extorsão; e
ameaças ligadas a tecnologias emergentes.

Neste artigo, vamos voltar aos conceitos básicos de gestão de vulnerabilidades. Você verá o que é, como um programa é faseado e como a RTM também atende às instituições que buscam aumentar a consistência de sua gestão.

O QUE É GESTÃO DE VULNERABILIDADES?

Gestão de vulnerabilidades é identificar, avaliar, mitigar e monitorar de maneira contínua fraquezas em ativos que podem ser exploradas por ameaças.

Dessa definição se destaca a ideia de processo, que leva à ideia de continuidade. Gestão de vulnerabilidades não é uma atividade pontual. Quando você atualiza os sistemas operacionais que rodam nos dispositivos da equipe, não está fazendo gestão, e sim uma ação isolada.

Como processo, a gestão de vulnerabilidades envolve pessoas, ferramentas e um fluxo. Vamos falar mais desse fluxo.

COMO FUNCIONA A GESTÃO DE VULNERABILIDADES NA PRÁTICA

Em geral, os programas de gestão de vulnerabilidades são divididos em uma fase pré-processo e uma fase do processo em si.

De acordo com o framework do Gartner para gestão de vulnerabilidades, a primeira fase é dividida em:

Definição do escopo do programa
Definição de papéis e responsabilidades
Seleção das ferramentas de análise de vulnerabilidade
Criação e refinamento de políticas e de SLAs e
Identificação de contexto em que se inserem os ativos.

Definidos esses pontos, a instituição estará pronta para seguir os passos de ciclo de gestão de vulnerabilidade. São eles:

Análise

Identificação dos ativos envolvidos, scan de vulnerabilidades e geração de um relatório que determina o nível, assim como necessidades de investigações adicionais sobre vulnerabilidades e ações de mitigação.

Priorização

É nesta etapa que a fase pré-processo se torna valiosa. Você vai avaliar a exposição de cada ativo, determinar o contexto de ameaça e atribuir um valor a ela, criando uma lista por nível de criticidade.

Ação

Envolve as iniciativas que você vai tomar para remediar ou mitigar as vulnerabilidades ou, então, que não vai tomar, se aceitar o risco.

Reavaliação

Validação das ações tomadas e novo scan, a fim de entender se elas foram bem-sucedidas.

Melhoria

Resolução de problemas subjacentes às vulnerabilidades, evolução dos processos e dos SLAs, avaliação de métricas.