Upload
franklin-medeiros
View
245
Download
0
Embed Size (px)
DESCRIPTION
Octave básico.
Citation preview
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 1/22
OCTAVEOperationally Critical Threat, Asset
and Vulnerability Evaluation
Avaliação Operacional Crítica de Ameaças, Ativos e Vulnerabilidades
André Aparecido de Melo Leonel Dasso
Visão Geral1. O que é OCTAVE?2. Objetivos do OCTAVE3. Segurança Dentro das Organizações4. Filosofia da Segurança OCTAVE5. Principais Características6. Funções da Equipe de Análise7. Onde começar?8. Como Funciona?9. Vida Após o OCTAVE10. Referencias
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 2/22
O que é OCTAVE?
• OCTAVE é uma técnica de avaliação de riscos e de melhoria estratégica da segurança.
• Foi criada pela Carnegie Mellon University, EUA.• Foca nos aspectos tecnológicos e
organizacionais da empresa.• Avalia o dia-a-dia do uso da infraestrutura
computacional da organização.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 3/22
O que é OCTAVE?
• Captura, analisa o e aprimora conhecimento da práticas de segurança de uma organização.
• Os riscos dos recursos mais importantes da organização são usados como parâmetro de aprimoramento destas práticas;
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 4/22
Framework Gerencianento dos Riscos da Informação
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 5/22
Método OCTAVE como AvaliaçãoUma avaliação sobre os riscos da informação é parte integral do programa de gerenciamento de segurança da organização.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 6/22
Objetivo do OCTAVEPlanejar como aplicar boas práticas de segurança para resolver vulnerabilidades tecnológicas/técnicas e organizacionais que poderiam impactar criticamente seus ativos.
Vulnerabilidades organizacionais:Pontos fracos da política ou prática de segurança que podem resultar em ações não-autorizadas.
Vulnerabilidades técnicas:Deficiências na infra-estrutura de tecnologia que podem levar diretamente para ações não-autorizadas.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 7/22
Segurança Dentro das OrganizaçõesPráticas de segurança:- Organizacionais- TécnicasPessoal Envolvido:- Equipe de TI- Equipe operacional- Gerentes- Provedores de serviço- Parceiros
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 8/22
Segurança Dentro das Organizações
Fontes das ameaças:- Pessoas dentro organização;- Pessoas fora da organização;- Problemas no sistema;- Outros problemas;
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 9/22
Filosofia de Segurança do OCTAVE
- É impossível prever e mitigar todos os riscos a segurança da informação;- Orçamento, tempo e pessoa são limitados;- Buscar melhor uso-benefício dos recursos
disponíves.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 10/22
Diferenças
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 11/22
OCTAVE Outros MétodosAvaliação da OrganizaçãoFoco nas Práticas de SegurançaAbordagem EstratégicaAuto-Dirigida
Avaliação no SistemaFoco na TecnologiaAbordagem TáticaNecessitade de Expert
Principais Características- Uma equipe da própria empresa (equipe de análise)
lidera avaliação;
- Tanto a perspectivas do negócio quanto quanto a estrutura de TI são são avaliadas como fator global nas políticas de segurança;
- Auto-dirigida: As próprias pessoas da organização realizam avaliação;
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 12/22
Onde começar?
O que você precisa para proteger? (Ativos ou Informações)
O que uma falha pode causar? (Impacto na organização)
Quais vulnerabilidades existem em seu ambiente? (Organizacionais e/ou tecnológicas)
Quanto proteção que você pode pagar? (Recursos e orçamento)
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 13/22
Funções da Equipe de Análise- Identificar e relacionar informações de ativos que são
importantes para organização;- Focar a análise nos ativos mais importantes;- Relacionar as vulnerabilidades e ameaças que afetam
estes ativos;- Buscar na avalição sempre o contexto operacional;- Criar planos estratégicos práticos de mitigação e
proteção aos riscos de segurança.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 14/22
Como Funciona?
O Método OCTAVE se devolve em três fases:
Fase 1- Criação de Perfis de Ameaças Baseados nos Ativos Identificados: - Importantes ativos identificados; - O que é feito para proteger estes ativos; - Os requerimentos de segurança que estes ativos precisam são identificados.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 15/22
Como Funciona?
Fase 2- Identificação das Vulnerabilides de Infraestrutura: - Importantes ativos identificados; - O que é feito para proteger estes ativos; - Os requerimentos de segurança que estes ativos precisam são identificados.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 16/22
Como Funciona?
Fase 3- Desenvolvimento de Planos e Estratégias: - Identifica os riscos a ativos críticos; - Desenvolvimento dos planos estratégicos de mitigação das ameaças baseando-se no que foi avaliado nas etapas anteriores.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 17/22
Como Funciona?
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 18/22
Estratégia de Proteção
Plano de Mitigação
Lista de Ações
Resultados
Define a direção da organização
Planos desenhados para redução de
riscos
Ações de curto-prazo
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 19/22
Vida Após o OCTAVE- Melhorias são feitas;- Progresso é monitorado;- Riscos são re-avaliados e planos são
reajustados;- Novos ativos críticos são analizados;- Periodicamente repetir o OCTAVE.
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 20/22
DÚVIDAS ?
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 21/22
Referências:
1. International Standards Organization (ISO), Information Technology – Security Techniques – Information Security Management Systems - Requirements, (1stedition) ISO/IEC Publications, Switzerland, 2005.
2. OCTAVE Method Implementation Guide V ersion 2.0.
3. OCTAVE S Implementation Guide, V ersion 1 .0
Informática Para Negócios - Fatec SBC - 2 º Semestre - Noturno 22/22