Ativos, ameaças, e escolhendo controles na proporção certa

O esforço de segurança é finito: tempo, dinheiro, e quanto atrito você e seus colegas vão tolerar antes de desistir de uma salvaguarda. A Publicação Especial 800-30 do NIST, o guia de avaliação de risco do governo dos EUA, existe para fazer esse esforço pousar onde importa. Ela define a avaliação de risco como "o processo de identificar, estimar e priorizar riscos", e sua ideia central se reduz de escala facilmente: uma ONG de duas pessoas consegue percorrer as mesmas quatro perguntas que uma grande agência percorre, só que mais rápido e com menos burocracia.

Os quatro termos que fazem a avaliação de risco funcionar

Um exemplo trabalhado: a lista de doadores

Tome a planilha de doadores de uma pequena ONG, mantida em uma pasta compartilhada na nuvem. O ativo são os nomes, e-mails e valores de doação dos doadores. Uma ameaça plausível é um e-mail de phishing para quem tem acesso de edição, visando roubar seu login. A vulnerabilidade é que o link da pasta só exige uma senha, não um segundo fator, e essa senha é reutilizada em outros lugares. A probabilidade é significativa (o phishing é comum, segundo a aula anterior), e o impacto é real, mas não catastrófico: constrangimento, possivelmente alguma preocupação dos doadores, não perigo físico. Essa combinação aponta para controles proporcionais: autenticação multifator na conta, uma senha única, e limitar o acesso de edição a quem realmente precisa dele — não, por exemplo, tirar a lista da internet por completo ou comprar software de segurança empresarial que a organização não consegue manter.

Um exemplo trabalhado: a identidade da fonte

Agora tome o conhecimento de um jornalista sobre uma fonte confidencial dentro de uma agência governamental. O ativo é a identidade da fonte. A ameaça é um agente estatal com poder legal para exigir registros, e motivação suficiente para realmente usá-lo (lembre do modelo de adversário da primeira aula: esse agente tem recursos reais e baixa aversão a risco). A vulnerabilidade pode ser que a operadora do telefone do repórter registre quem ligou para quem, ou que existam anotações em um aplicativo de notas comum e sem criptografia. A probabilidade pode ser menor do que no caso do phishing, mas o impacto é grave — a fonte poderia perder o emprego, a liberdade ou a segurança. Essa combinação justifica controles desproporcionais em relação ao exemplo da lista de doadores: dispositivos separados para reportagens sensíveis, comunicação pelo Signal em vez de ligações ou mensagens de texto comuns, e, segundo a próxima aula, tratar isso como um caso para ajuda especializada em vez de defesas autodidatas.

Ajustando o esforço ao risco, não ao medo

O NIST 800-30 apresenta isso como avaliar o risco "em relação à tecnologia, aos processos, aos indivíduos [e] à organização" e escolher uma resposta: aceitar um risco pequeno, reduzi-lo com um controle, ou, em casos raros, transferi-lo ou evitá-lo por completo (por exemplo, simplesmente não guardando uma informação de forma alguma). A disciplina está em resistir a dois erros opostos: tratar todo risco como catastrófico, o que esgota pessoas e orçamentos em controles que ninguém mantém, e tratar todo risco como aceitável, o que deixa a única ameaça real sem resposta. Uma versão de cinco minutos dessa análise, anotada e revisitada quando as circunstâncias mudam, vence uma sensação não anotada de que "provavelmente deveríamos ser mais cuidadosos".

Uma lista de verificação curta para reutilizar

• Liste as duas ou três coisas que você menos gostaria de ver expostas, perdidas ou destruídas.
• Para cada uma, nomeie o adversário realista da primeira aula — não o mais assustador que você consegue imaginar.
• Nomeie uma fraqueza concreta que esse adversário realmente poderia usar.
• Avalie probabilidade e impacto honestamente, e escolha um controle do tamanho dessa avaliação.
• Anote a decisão; revisite-a se seu trabalho, seus dados, ou o adversário mudarem.