Muitas organizações têm aderido ao NIST CSF como referência de segurança.
Atualmente somente no Brasil, o Brasil registrou mais de 100 bilhões de tentativas de ataques cibernéticos no ano de 2022, de acordo com dados do estudo produzido pelo Centro de Tecnologia e Sociedade (CTS) da Escola de Direito do Rio de Janeiro da Fundação Getúlio Vargas e divulgados pela CNN.
Quer saber do que estamos falando? Então, não deixe de ler esse post.
Cybersecurity Framework: mais do que diretrizes para implementar a cibersegurança
Na tradução livre para o português, Cybersecurity Framework significa Estrutura de Segurança Cibernética. Ou seja, na prática é conjunto de recomendações de métodos, processos e diretrizes para estabelecer, manter e elevar a maturidade da segurança digital de uma organização.
São boas práticas definidas pelo National Institute of Standards and Technology (NIST), com a missão de fornecer recomendações que permitam às organizações prevenir, identificar e reagir a ataques cibernéticos de maneira eficiente. É, também, um caminho seguro e estratégico para mapear constantemente o nível de maturidade do negócio no quesito cibersegurança.
A Cybersecurity Framework (CSF) do National Institute of Standards and Technology (NIST) propõe que as organizações tenham projetos de cibersegurança capazes de:
1. Identificar sistemas, usuários, ativos, dados e recursos
Só é possível proteger o que se conhece.
Por isso, a primeira recomendação da NIST CSF é que um projeto de segurança da informação tenha início com o conhecimento tanto do contexto do negócio, quanto de seu sistema legado, recursos de funções críticas, riscos cibernéticos aos quais a companhia está exposta, vulnerabilidades da operação, tolerância da empresa aos riscos, atuais políticas de segurança e preparo da equipe interna para lidar com possíveis ataques.
2. Proteger dados e ambientes
Aqui, é fundamental entender que a proteção de dados e do ambiente de um negócio não se limita à aquisição de soluções de tecnologia. A NIST CSF destaca que é preciso também ter métodos e processos eficazes, além de constante conscientização dos usuários sobre os riscos aos quais estão expostos e as boas práticas necessárias no desempenho de suas atividades.
Inclui-se, também, a capacitação das equipes internas de tecnologia e segurança da informação, considerando contratar serviços especializados em TI e SI sempre que faltar tempo, conhecimento ou headcount ao time interno.
3. Detectar inconsistências
Um ambiente digital adequadamente protegido conta com monitoramento ininterrupto capaz de identificar inconsistência e, prontamente, reagir a elas.
Além disso, quando bem feito, esse mapeamento constante, inclusive, gera excelentes dados para melhorar tanto a operação dos recursos digitais quanto a experiência dos usuários.
Resposta e recuperação no NIST CSF
1. Responder aos ataques
No entanto, não basta gerar alertas de inconsistências. É preciso que um sistema de segurança cibernética seja capaz de reagir a possíveis ataques e munir os profissionais de TI e SI com informações confiáveis e em tempo real para analisar os eventos e seus impactos, corrigindo vulnerabilidades. Tudo interferindo minimamente na experiência dos usuários.
2. Recuperar dados e operações
A NIST CSF também recomenda a implementação de políticas e procedimentos de Disaster Recovery.
Em outras palavras, são métodos para recuperar sistemas e infraestruturas vitais para o negócio em caso de incidentes, sejam eles causados por iniciativas de cibercriminosos, falha humana, vírus ou desastres naturais.
Conceitos da NIST CSF: perguntas a serem respondidas por métodos, processos e tecnologias
Então, nossa recomendação, como consultores em cibersegurança baseada no NIST CSF, é que as organizações mantenham o olhar atento sobre os cinco quadrantes citados acima e detalhados abaixo.
Sempre que um deles não estiver sendo bem executado, é hora de repensar a segurança da informação. Se for o caso, com ajuda especializada.
Quadrantes do NIST CSF na prática
| Ação | Questionamentos para direcionar a ação |
| identificar | O que demanda proteção dentro do ambiente digital?Quais são os dados, os recursos e os ambientes vitais para o negócio? |
| proteger | Quais tecnologias, processos e profissionais são importantes para essa ação?A equipe interna está capacitada?O time interno tem disponibilidade de tempo para a ação?Há a necessidade de contratar um parceiro externo especializado e dedicado? |
| detectar | O que caracteriza um dia de operação consistente do ambiente em questão?Quais são os principais alertas de inconsistência? |
| responder | Quais são as medidas a serem tomadas diante da detecção de uma inconsistência?De que maneira ações podem ser tomadas para não impactar a experiência do usuário?O que fazer para que o problema não se repita?Como aproveitar a vulnerabilidade detectada para melhorar o uso do ambiente e a sua proteção? |
| recuperar | Como restabelecer dados, recursos e ambientes em caso de um incidente cibernético bem-sucedido?Quais são as medidas para que isso aconteça no menor tempo possível e sem interferir na experiência do usuário? |
Com o intuito de garantir que a cibersegurança do negócio esteja alinhada aos conceitos do NIST CSF é uma iniciativa que exige tempo, conhecimento e dedicação.
E nossa equipe está à disposição para ajudar a sua organização a implementar ou repensar esse projeto. Vamos agendar uma reunião?
