CiberSegurança: saiba como fazer gestão de ativos

Uma organização deve inventariar os seus dispositivos físicos, redes e sistemas de informação existentes, por forma a garantir que existe um mapeamento estruturado dos mesmos. Todos os dispositivos e sistemas inventariados devem ser classificados de acordo com a sua relevância/criticidade para a organização. Saiba como fazer gestão de ativos da sua organização.

A gestão de ativos em cibersegurança é uma prática fundamental para garantir a segurança e integridade dos sistemas de informação e dos dados. Esta abordagem visa identificar e gerir todos os ativos digitais de uma organização, como dispositivos, servidores, software, redes e dados sensíveis.

De acordo com o Quadro Nacional de Referência para a CiberSegurança (QNRCS), os ativos são tudo o que tem valor e que requer proteção na ótica da organização. Um ativo crítico suporta pelo menos um serviço essencial.

Os ativos poderão ser (mas não só) das seguintes categorias:

• Tecnológicos (hardware, software);
• Dispositivos de rede;
• Pessoas;
• Localizações, (etc.)

A organização deve ter um inventário dos seus ativos com, pelo menos:

• O número de inventário do ativo;
• Uma descrição das funções dos mesmos;
• A identificação do responsável;
• A sua localização;
• Categoria ou tipo.

Esta informação deverá ser acrescida de:

• Classificação do ativo de acordo com a sua criticidade para a organização;
• Identificação dos processos referentes à atividade da organização que os ativos suportam;
• Identificação de dependências com outros ativos.

Procedimento para levantamento e gestão de ativos

Passo 1) Identificação de Ativos

Passo 2) Identificação do Responsável pelo ativo

Passo 3) Definição da Classificação/Valorização do Ativo 

• Na área da cibersegurança é comum classificar o ativo de acordo com a Integridade, Confidencialidade e Disponibilidade. Para isso, podemos criar uma tabela com um critério e o valor tendo as 3 dimensões referidas anteriormente.

Passo 4) Classificação/Valorização Total do Ativo 

Para cada ativo, devemos considerar pelo menos o seguinte:

Passo 5) Utilizar a escala de critérios para preencher o campo valor.

Por fim, utilizar a escala de critérios de valorização para preencher o campo Valor.

Este artigo teve como base o Quadro Nacional de Referência para a CiberSegurança (QNRCS), do CNCS, que disponibiliza também um template para a Gestão de Ativos (download aqui).

Podem também usar a ferramenta Monarc para a Gestão de Ativos.

Originalmente publicado em Pplware.com.