Framework é essencialmente guias de boas práticas! Os frameworks reconhecidos pelo mercado são o ponto de partida para um plano bem-sucedido, trazendo visibilidade para os riscos, indicadores e controles, e até mesmo vantagem competitiva para a empresa.

FRAMEWORK vs COMPLIANCE

O compliance e a cibersegurança caminham juntos na jornada de segurança digital, contribuindo para a manutenção de um ecossistema protegido no ambiente virtual. A legalidade das soluções e a orientação pelas melhores práticas em conformidade contribuem para resguardar sua empresa e manter as plataformas preparadas para a resposta em caso de ciberataque.

Um framework de Cibersecurity basicamente é um modelo de boas práticas que recomendam como devem ser gerenciados os processos e demandas de cibersegurança do negócio.

Enquanto o compliance, é um conceito que define o conjunto de medidas que têm por objetivo seguir leis e/ou regras, com a ideia de criar uma cultura empresarial que preza pela ética e moral, voltada para garantir relações transparentes. Seu intuito é minimizar os riscos empresariais, como penalidades originadas pelo não cumprimento de legislações e regulamentações específicas.

Apesar dessas definições claras entre framework e compliance, ambos estão diretamente relacionados. Porém, é muito mais fácil manter compliance que fazer gestão de rotina de cibersegurança, por isso, ambiente em compliance não significa que está adequado as melhores práticas de cibersegurança.

"Embora a área de compliance seja importante para mapear os riscos aos quais a empresa está exposta, ela não é suficiente. Conformidade não é sinônimo de segurança na área de TI". Disse Clerio Almeida, CEO da Brasiline Tecnologia.

O FRAMEWORK DE CIBERSEGURANÇA, FOCA EM CINCO PONTOS CHAVES:

1. Identificar: é desenvolvida a compreensão do ambiente para o gerenciamento de riscos de segurança para sistemas, dados, recursos e ativos;
2. Proteger: quando são desenvolvidas e implementadas as salvaguardas apropriadas para limitação ou contenção do impacto de eventual ataque de segurança cibernética;
3. Detectar: momento em que são instaladas as medidas mais adequadas para identificação dos eventos de segurança, com adoção de soluções de monitoramento contínuo de ameaças à integridade dos dados empresariais;
4. Responder: quando as ações de combate são executadas em resposta imediata às ameaças de segurança. São estabelecidas por meio de planos de resposta e playbooks, que definem linhas de comunicação entre as partes apropriadas para coletar, analisar informações e aplicar as medidas necessárias para correção, além do registro do evento para ações futuras;
5. Recuperar: aqui são desenvolvidas e implantadas as ações para a restauração de recursos ou serviços que eventualmente tenham sido prejudicados por falhas de segurança.

Esses frameworks servem para guiar o trabalho da TI, estabelecendo padrões e nortes para que a TI seja uma área cada vez mais estratégica.

ADOTAR FRAMEWORKS PODE TRAZER VÁRIOS BENEFÍCIOS:

• Agilidade, pois não é preciso gastar tempo tentando descobrir qual a melhor maneira de trabalhar, os modelos consagrados já detalham tudo que precisa ser feito.
• A comunicação melhora, haverá uma linguagem comum, com termos e padrões que toda equipe conhecerá, além de ser padrão de mercado.
• Um framework de TI diminui as chances de erros, já que são padrões testados anteriormente e criados por especialistas, e que existem justamente para aumentar o sucesso das entregas.
• Proteção efetiva dos dados e rede, além de plano de recuperação.

PADRÕES DE COMPLIANCE E GOVERNANÇA GLOBAIS

Alguns padrões de framework, compliance e governança são usados globalmente, veja os comparativos e aplicações desses padrões na planilha abaixo:

FRAMEWORK É MAIS EFETIVO QUE UMA ISO 27002?

O framework é muito mais "guiado" ao resultado que a ISO 27002, que requer um esforço maior de implantação. Sem falar que o Framework é uma metodologia validada com o passo a passo na implantação, assim como o que fazer. Framework pode ser implementado a um custo infinitamente menor, se comparado a uma ISO. O tempo de implantação de uma ISO é bastante longo, esse é um ponto que onera o custo do projeto.

Diferente da ISO, o framework diz exatamente o que fazer para alcançar determinado resultado, mapeado a soluções e ferramentas o processo é facilmente implementado.

Os frameworks por ser rotineiro em todas as áreas de TI, já é uma "linguagem" mais técnica para o operacional, enquanto a ISO é muito processual e menos prático.

"De forma alguma, estou dizendo que a ISO não tem seus méritos e importância. A velocidade de mudanças, CISOs com budget restrito e urgência em ter uma estratégia de cibersegurança, faz com que as empresas estão pensando em práticas mais rápidas, e o framework proporciona isso." Complementa Clerio.

FAMEWORKS NIST E CIS CONTROL

Os frameworks mais utilizados no mundo é o NIST e CIS CONTROL, que são práticas consolidados e padrão dos USA adotado em todo o mundo.

Além disso, tem framework como CIS CONTROL que disponibiliza software gratuito e versão paga, para iniciar o processo de implantação do framework, além de ser totalmente guiado e orientado a ação. CIS-Configuration Assessment Tool (CIS CAT) é uma ferramenta de avaliação de configuração que compara a configuração de sistemas de destino com as definições de configuração seguras recomendadas em conteúdo legível por máquina.

SOBRE O CIS CONTROL

Neste atrigo vamos explorar mais o CIS CONTROL e como ele pode ser aliado em suas estratégias de cibersegurança.

Organizações em todo o mundo contam com as melhores práticas de segurança do CIS (Center for Internet Security) para melhorar suas defesas cibernéticas.

Os IGs, ou grupos de implementação, são uma maneira simples e acessível de ajudar as organizações a se classificar e focar seus recursos de segurança e experiência, aproveitando o valor dos controles CIS.

CISOs, especialistas em segurança de TI, auditores de conformidade e outros usam os controles CIS para:

• Aproveitar a experiência testada em batalhas da comunidade global de TI para se defender contra ataques cibernéticos;
• Concentrar os recursos de segurança com base nas melhores práticas comprovadas, e não na solução de qualquer fornecedor;
• Organizar um PROGRAMA DE SEGURANÇA CIBERNÉTICA eficaz de acordo com os grupos de implementação.

Um total de 153 SALVAGUARDAS são definidas do IG1 ao IG3 no CIS Controls V8.

Para detalhes de todas as salvaguardas, acesse CIS Critical Security Controls Navigator

As organizações são incentivadas a auto avaliar e classificar-se como pertencentes a um ou aos três IGs para priorizar o Controles CIS para uma melhor postura de segurança cibernética.

Além dos grupos serem bem claros e orientados, as empresas podem adotar com certa facilidade um framework, começando do IG1 e se necessário subir para níveis mais avançados, até alcançar o IG3. Todas as SALVAGUARDAS estão descritas detalhadamente e com o software da CIS, pode ser com facilidade implementado.

Com o software da CIS, na versão free é possível fazer a implantação e registro das etapas processuais e documentar todas as execuções. Com a versão PRO que é paga e usada por parceiros da CIS em consultoria, esse processo é facilitado com o automação.

O QUE O MITRE ATT&CK FALA DO FRAMEWORK DA CIS

Uma análise do MITRE ATT&CK determinou que a implementação das Salvaguardas IG1 protege contra 78% dos Ransomware e a implementação de todas as Salvaguardas CIS protege contra 92% dessas técnicas.

Esta e outras descobertas de padrões de ataque podem ser vistas na figura abaixo:

"Vale a pena notar que 100% de cobertura de todas as técnicas de invasão para qualquer tipo de ataque é difícil, pois algumas técnicas não podem ser previstas." Disse Clerio.

Guia completo do relatório e modelos de defesa no link CIS Community Defense Model 2.0

CONCLUSÃO

Independente do framework adotado ou mesmo uma ISO, toda empresa precisa de adotar técnicas, metodologias e processos validados, para garantira segurança dos negócios. E nunca desprezar a importância da recuperação do negócio, que é a etapa final do framework. O PCN (Plano de Continuidade do Negócio) na TI, pode ser a última linha de defesa do negócio.

Fonte

Sobre a Brasiline

A Brasiline construiu, em mais de 19 anos de mercado, uma equipe que é referência no setor, sempre investindo na qualificação dos profissionais e na implantação de soluções eficazes, baseadas nas melhores práticas de projetos e processos. Chamamos esse nosso time de Experts Brasiline.

Uma equipe de profissionais com ampla experiência no mercado de TI cibersegurança e missão crítica, com objetivo de prestar uma consultoria criteriosa, avaliando as reais necessidades do cliente e sugerir a melhor alternativa.

Nosso objetivo é garantir um alto nível de serviço e qualidade nos projetos, para que a sua TI seja usada de forma estratégica, a favor dos seus negócios e das pessoas envolvidas. Assim, sua empresa pode focar no que realmente interessa: no seu core business. Conte com nossos Experts e garanta para sua operação um suporte técnico ágil e eficiente.

Conheça nossos cases de sucesso
Entre em contato conosco