Ativos, ameaças e a escolha de controlos na proporção certa

O esforço de segurança é finito: tempo, dinheiro, e a quantidade de atrito que você e os seus colegas estão dispostos a tolerar antes de desistirem de uma salvaguarda. A Publicação Especial 800-30 do NIST, o guia de avaliação de risco do governo dos EUA, existe para que esse esforço recaia onde realmente importa. Define a avaliação de risco como "o processo de identificar, estimar e priorizar riscos", e a sua ideia central reduz-se facilmente de escala: uma ONG de duas pessoas consegue percorrer as mesmas quatro perguntas que uma grande agência percorre, só que mais depressa e com muito menos burocracia.

Os quatro termos que fazem a avaliação de risco funcionar

Um exemplo prático: a lista de doadores

Tome como exemplo a folha de cálculo de doadores de uma pequena ONG, guardada numa pasta partilhada na nuvem. O ativo são os nomes, e-mails e valores das doações. Uma ameaça plausível é um e-mail de phishing dirigido a quem tem acesso de edição, com o objetivo de roubar o seu início de sessão. A vulnerabilidade é o facto de a ligação da pasta exigir apenas uma palavra-passe, sem segundo fator, e essa palavra-passe ser reutilizada noutros sítios. A probabilidade é significativa (o phishing é comum, como visto na lição anterior), e o impacto é real mas não catastrófico: constrangimento, talvez alguma preocupação por parte dos doadores, mas não perigo físico. Esta combinação aponta para controlos proporcionais: autenticação multifator na conta, uma palavra-passe única, e limitar o acesso de edição a quem realmente precisa dele — e não, por exemplo, retirar a lista de circulação por completo ou comprar software de segurança empresarial que a organização não conseguiria manter.

Um exemplo prático: a identidade da fonte

Considere agora o conhecimento que um jornalista tem sobre uma fonte confidencial dentro de uma agência governamental. O ativo é a identidade da fonte. A ameaça é um agente estatal com poder legal para exigir registos, e motivação suficiente para o exercer de facto (recorde o modelo de adversário da primeira lição: este agente tem recursos reais e baixa aversão ao risco). A vulnerabilidade poderá ser o facto de a operadora do telemóvel do repórter registar quem ligou a quem, ou de existirem notas guardadas numa aplicação de notas comum, sem encriptação. A probabilidade pode ser menor do que no caso do phishing, mas o impacto é grave — a fonte poderia perder o emprego, a liberdade ou a segurança. Esta combinação justifica controlos desproporcionais face ao exemplo da lista de doadores: dispositivos separados para reportagens sensíveis, comunicação através do Signal em vez de chamadas ou mensagens comuns, e, como a próxima lição explica, tratar isto como um caso para ajuda especializada e não para defesas autodidatas.

Ajustar o esforço ao risco, não ao medo

O NIST 800-30 enquadra isto como avaliar o risco "em relação à tecnologia, aos processos, às pessoas [e] à organização" e escolher uma resposta: aceitar um risco pequeno, reduzi-lo com um controlo, ou, em casos raros, transferi-lo ou evitá-lo por completo (por exemplo, simplesmente não guardando determinada informação). A disciplina está em resistir a dois erros opostos: tratar todo o risco como catastrófico, o que esgota pessoas e orçamentos em controlos que ninguém consegue manter, e tratar todo o risco como aceitável, o que deixa a única ameaça real por resolver. Uma versão de cinco minutos desta análise, escrita e revista sempre que as circunstâncias mudam, vale mais do que uma sensação nunca registada de que "provavelmente devíamos ter mais cuidado".

Uma lista de verificação curta para reutilizar

• Enumere as duas ou três coisas que menos gostaria de ver expostas, perdidas ou destruídas.
• Para cada uma, identifique o adversário realista da primeira lição — não o mais assustador que consiga imaginar.
• Identifique uma fraqueza concreta que esse adversário poderia realmente explorar.
• Avalie a probabilidade e o impacto com honestidade, e escolha um controlo à medida dessa avaliação.
• Registe a decisão por escrito; reveja-a se o seu trabalho, os seus dados, ou o adversário mudarem.