Leitores como você ajudam a apoiar o MUO. Quando você faz uma compra usando links em nosso site, podemos ganhar uma comissão de afiliado.
Um framework é um esqueleto útil de uma estrutura ou método. É a política, o procedimento, o conhecimento teórico e as aplicações práticas que orientam as ações a serem tomadas e proporcionam melhores e mais rápidos resultados.
As estruturas de segurança cibernética são estruturas definidas por organizações de segurança cibernética para determinar a estratégia de segurança cibernética de um ambiente corporativo. As estruturas de segurança cibernética aprimoram os protocolos de segurança existentes e criam novas camadas de segurança, caso não estejam disponíveis. Eles detectam vulnerabilidades de segurança desconhecidas que ocorrem em redes corporativas e tentam reduzir erros de configuração. Aqui estão cinco que você pode encontrar em todo o setor.
1. Padrões de segurança de dados do setor de cartões de pagamento
Payment Card Industry (PCI) é um padrão de segurança cibernética projetado para aumentar a segurança das transações de pagamento feitas com cartões de crédito e dinheiro em transações bancárias. O PCI inclui os padrões de segurança de dados lógicos e físicos que devem ser observados durante o processamento, transmissão e armazenamento de transações realizadas com cartões de crédito e débito em dinheiro. A indústria de cartões de pagamento visa padronizar a segurança dos dados, reduzir os riscos relacionados à segurança dos dados, criar um ambiente de confiança e proteger o titular do cartão. Este padrão geralmente precisa fornecer o seguinte:
- Informações de clientes de cartão de crédito e caixa em uma rede segura
- Definindo senhas e complexidade do sistema
- Transmissão de informações de clientes de cartão de crédito e caixa por meio de conexões criptografadas
- Usando e atualizando o software antivírus no sistema
- Monitoramento contínuo e registro de acesso às informações do cartão
- Proteção física de data centers com informações
2. ISO 27001
A ISO 27001 é uma estrutura de gerenciamento da Organização Internacional de Padronização que define análises e aborda os riscos de segurança da informação. Com o implementação de procedimentos ISO 27001, as instituições podem fornecer procedimentos e controles de políticas que incluem pessoas, processos e tecnologia para resiliência a ataques cibernéticos, adaptando-se às ameaças em constante mudança, reduzindo os custos relacionados à segurança da informação e protegendo os custos de segurança da informação e todos os dados.
3. Controles críticos de segurança
Os controles críticos de segurança contêm um conjunto de regras que devem ser seguidas para que as organizações criem estratégias eficazes de segurança cibernética. Esses controles de segurança definiram três grupos de controles de segurança críticos que as organizações devem cumprir. Estes são conjuntos de controle simples, básicos e organizacionais. O ponto comum desses três conjuntos de controle diferentes é tomar precauções para proteger os dados e minimizar a possibilidade de ataque. Muitas medidas, desde a proteção de e-mail e navegadores da web até ferramentas de verificação de vulnerabilidades e até mesmo a segurança de dispositivos de rede, estão sob esses conjuntos de controle.
A pré-determinação de tais limites e precauções e o fato de que tudo tem certas regras é para minimizar a possibilidade de cometer erros em uma organização. Qualquer problema de segurança que passe despercebido pode ter consequências graves. Portanto, tudo para verificar está pronto com antecedência. Você pode pensar neles como uma lei de precaução de segurança cibernética de uma organização.
4. Padrão e Tecnologia da Indústria Nacional
Existe uma estrutura de segurança cibernética chamada NIST que as organizações do setor privado nos Estados Unidos usam. Essa estrutura fornece algumas políticas sobre como agir antes que os ataques cibernéticos aconteçam. É também um guia sobre como detectar o ataque e como responder a um ataque. Não apenas os Estados Unidos, mas também os governos de países como Japão e Israel usam o NIST. Para entender completamente essa política orientadora, é necessário examinar as cinco funções principais que ela fornece.
- Identificar: Para gerenciar o risco de segurança cibernética, os sistemas, ativos, dados e recursos da organização devem ser gerenciáveis com uma abordagem corporativa.
- Proteger: As organizações devem desenvolver e implementar recomendações apropriadas para limitar um possível incidente ou impacto de segurança cibernética.
- detectar: As organizações devem implementar medidas apropriadas para identificar incidentes de segurança cibernética. É preciso detectar atividades anormais e ameaças à continuidade operacional e adotar soluções de monitoramento.
- Responder: Se ocorrer um incidente de segurança cibernética, as organizações precisam conter o impacto. Isso requer que a organização prepare um plano de resposta para cibersegurança incidentes, identificar falhas de comunicação entre as partes apropriadas, coletar informações sobre incidentes e analisar essas informações.
- Recuperar: As organizações devem ter planos de recuperação para serviços danificados por um incidente de segurança cibernética. Ao preparar este plano de resgate, é necessário considerar todas as experiências aprendidas após o ataque e atualizar o plano de acordo.
5. Estrutura MITRE ATT&CK
A estrutura MITRE ATT&CK é uma estrutura de segurança cibernética muito abrangente usada pelas equipes vermelha e azul. Possui uma base de conhecimento e classificação de ações ofensivas. O foco não está nas ferramentas e malwares usados pelos concorrentes. Ele examina como os ataques interagem com os sistemas durante uma operação. A estrutura ATT&CK é uma base de conhecimento bastante ampla para modelar o comportamento ofensivo. É possível associar os seguintes conceitos a este framework:
- Grupos maliciosos realizam os ataques.
- Instituições e setores visados por invasores ou grupos agressivos.
- Vetores de ataque e tipos de ataque usados pelos invasores.
- Os procedimentos que os invasores mal-intencionados seguem para atacar.
- Os métodos de detecção de ataques. Por exemplo, você pode pensar em situações como monitorar anomalias de rede ou ter uma autorização de permissão no sistema que não deveria estar presente.
- Medidas a serem tomadas contra ataques. Por exemplo, você pode considerar medidas como verificação em duas etapas, firewall, uso de antivírus ou assinatura de código.
A estrutura de segurança cibernética ATT&CK está em constante atualização, pois possui um grande conjunto de dados. Além disso, perante toda esta importante informação que disponibiliza, disponibiliza informação muito importante não só sobre a segurança dos servidores ou redes informáticas mas também sobre a segurança móvel. Ao analisar essas informações, ser capaz de prever como um possível ataque ocorrerá seria uma grande vantagem. Se você é novo no mundo da segurança cibernética e está na vanguarda de tudo, a estrutura ATT&CK será uma riqueza de informações para você.
Esses quadros resolvem tudo?
Não. Centenas de novos tipos de ataques e malware aparecem todos os dias, até mesmo a cada hora. Mas se você estiver gerenciando um projeto que consiste em milhões de linhas de código ou tentando proteger o informações bancárias de centenas de milhares de pessoas, você precisa seguir uma sistemática e política processo. Essas estruturas de segurança cibernética são grandes auxiliares nesse sentido.
Mas esses quadros são apenas esqueletos. Para completar o exterior, você precisa de mais. Se você não tem certeza por onde começar, aprender a estrutura do NIST e dominar os detalhes sobre ela seria um bom passo.