Gesto de Riscos de Segurana da Informao

Baseada na Norma ISO/IEC 27005 Usando

Padres de Segurana
Marcos Paulo Konzen
marcoskonzen@gmail.com
UFSM
Lisandra Manzoni Fontoura
lisandramf@gmail.com
UFSM
Raul Ceretta Nunes
ceretta@inf.ufsm.br
UFSM

Resumo:O despreparo das organizaes para lidar com a segurana da informao as tornam mais
vulnerveis s ameaas e os impactos causados pelos eventos negativos tendem a serem maiores. Com
isso, a implantao da gesto da segurana das informaes fundamental para minimizar os riscos e
garantir a continuidade do negcio, maximizando as oportunidades de competitividade. Este artigo
prope o uso de padres de segurana para atender as diretrizes da norma ISO/IEC 27005:2008. Para
isso, so associados padres s atividades da norma. Essa associao pode facilitar a elaborao do
processo da norma e dar maiores garantias do uso de prticas recomendadas. No final, o artigo ilustra a
utilizao de padres de segurana.
Palavras Chave: Gesto de Riscos - Padres de Segurana - ISO/IEC 27005 - Segurana da
Informa - Normas de Segurana

1. INTRODUO
Na economia atual, a informao um dos principais ativos das organizaes.
atravs dela que as empresas gerenciam seus produtos ou servios e traam suas estratgias,
tornando os sistemas de informaes ativos crticos que necessitam serem protegidos contra
ameaas que podem explorar as vulnerabilidades do sistema. Estas violaes na segurana
podem causar a perda da confidencialidade, integridade e disponibilidade das informaes,
gerando perdas financeiras e competitivas por parte das empresas afetadas (KROLL et al,
2010; AMARAL; AMARAL; NUNES, 2010).
Muitas organizaes, sejam elas pblicas ou privadas, ainda se mostram despreparadas
para lidar com a segurana da informao. Isso decorre do fato dessas empresas possurem
poucos instrumentos de proteo, agravados pelo despreparo gerencial, tornando-as mais
vulnerveis s ameaas, com isso os impactos causados pelos eventos negativos tendem a ser
mais fortes (LUNARDI; DOLCI, 2006).
Gerenciar os riscos um dos principais processos da gesto da segurana da
informao, pois visa identificar, analisar, avaliar e controlar os riscos inerentes segurana
da informao. Gerenciar os riscos pode ser um processo complexo e oneroso, contribuindo
para que as empresas no priorizem esse processo em projetos de segurana da informao
(OLIVEIRA et al, 2009).
Existem normas e metodologias que guiam o desenvolvimento de uma gesto de
riscos, onde cada uma fornece um conjunto de diretrizes distintas para o gerenciamento dos
riscos. Dentre os modelos de referncia para gesto dos riscos que visam nortear as
implementaes necessrias est a ISO/IEC 27005 (2008). O processo descrito na norma
forma um embasamento para a construo de metodologias para gesto de riscos dizendo o
que a organizao deve fazer, mas no detalha suficientemente como executar as atividades,
dificultando a sua implementao por partes das organizaes.
Considerando que, Padres de Segurana (Security Patterns) descrevem boas solues
para problemas recorrentes de segurana da informao (WAGNER; FONTOURA;
FONTOURA, 2011), a proposta desse trabalho facilitar a elaborao de metodologias de
gesto de riscos por meio da associao de padres s atividades indicadas na norma.
Organizaes que desejam elaborar processos consistentes com a ISO/IEC 27005 podem usar
os padres sugeridos para implantao de metodologias de gesto de riscos, dessa forma
facilitando a tarefa de elaborao de metodologias e usando prticas j consagradas descritas
pelos padres.
Este artigo faz uma leitura da estrutura do processo da norma ISO/IEC 27005 ,
identificando as diretrizes de cada atividade e apresenta padres de segurana que descrevem
solues de gesto de riscos que satisfazem as diretrizes da norma. Padres de segurana
descrevem pequenos processos, ou partes de processo, que podem ser reusados para compor
diferentes processos. Deste modo, o artigo tem como principal contribuio a proposio de
utilizar padres de segurana para garantir o uso de prticas recomendadas na implementao
de solues de gesto de risco segundo as diretrizes da norma ISO/IEC 27005 .
O artigo est organizado da seguinte maneira: na Seo 2 descrito como o processo
de gesto de riscos deve ser conduzido, se considerada a norma ISO/IEC 27705 ; na Seo 3
so apresentados os padres de segurana que podem ser utilizados para a gesto de riscos; na
Seo 4 proposta a associao dos padres de segurana s atividades do processo de gesto
de riscos segundo a norma ISO/IEC 27005 ; na seo 5 ilustrada uma atividade elaborada a
partir de um padro; na Seo 6 so apresentados alguns trabalhos relacionados; na Seo 7
so apresentadas as consideraes finais; e, para concluir, na Seo 8 as referncias.

2. GESTO DE RISCOS DE SEGURANA DA INFORMAO E A NORMA

ISO/IEC 27005:2008
Riscos de segurana da informao so as possibilidades de uma ameaa explorar
vulnerabilidades dos ativos, comprometendo a confidencialidade, integridade e
disponibilidade das informaes de uma organizao (ABNT NBR ISO/IEC 27005, 2008). J
Oliveira (2006) classifica os riscos como sendo uma oportunidade, uma incerteza ou uma
ameaa. Esta ltima como sendo de maior preocupao, pois est atrelada ocorrncias de
efeitos negativos como, por exemplo, perda financeira, fraude, roubo, comprometimento da
imagem, infrao legal, indisponibilidade de servios, dentre outros (VASILE; STUPARU;
DANIASA, 2010).
Gerenciar os riscos um dos principais processos da gesto da segurana da
informao, pois visam identificao, avaliao e priorizao de riscos, seguido pela
aplicao coordenada e econmica dos recursos para minimizar, monitorar e controlar a
probabilidade e o impacto de eventos negativos, reduzindo o risco a um nvel aceitvel.
Devido importncia do processo de gesto de riscos para as organizaes, algumas
normas internacionais foram criadas com o intuito de nortear os conceitos e prticas de gesto
de riscos. Dentre estas normas, pode-se citar a ISO/IEC 27005 , que discute - Tecnologia da
informao - Tcnicas de segurana - Gesto de riscos de segurana da informao. A
utilizao de normas de segurana da informao garante que a organizao est seguindo as
diretrizes dos processos de gesto da segurana da informao e possibilita com que a
organizao seja reconhecida pela utilizao de boas prticas em gesto da segurana da
informao.
A norma internacional ISO/IEC 27005 parte da srie de normas da ISO/IEC 27000,
a qual uma srie bem estabelecida de normas de gesto de segurana da informao e
aceita em todo o mundo. O mbito de aplicao destas normas pode ser na organizao como
um todo, ou em partes, como os processos de um departamento, uma aplicao de TI ou uma
infraestrutura de TI (BECKERS et al, 2011). Esta norma internacional fornece diretrizes para
o processo de Gesto de Riscos de Segurana da Informao de uma organizao, atendendo
particularmente aos requisitos de um Sistema de Gesto de Segurana da Informao (SGSI).
A ISO/IEC 27005 define o processo de gesto de risco como atividades coordenadas
para dirigir e controlar o risco de uma organizao (LUND; SOLHAUG; STLEN, 2010).
Neste contexto, o processo de gesto de riscos definido por oito atividades, como pode ser
observado na Figura 1.
Para cada atividade da norma so propostas diretrizes para implementao que sero
brevemente descritas a seguir (ABNT NBR ISO/IEC 27005, 2008).
A. Definio do contexto
Definir o escopo e limites que sero levados em considerao na gesto de riscos.
Devero ser descritos os processos que fazem parte do escopo, garantindo a identificao dos
ativos relevantes para a gesto dos riscos. Alm disso, a definio do contexto inclui
determinar os critrios gerais de aceitao dos riscos para a organizao e as
responsabilidades para a gesto de riscos.
A atividade de Anlise/Avaliao de Riscos subdividida em outras trs atividades:
Identificao de riscos; Estimativa de riscos; e Avaliao de riscos.

Figura 1: Processo de gesto de riscos de segurana da informao (ABNT NBR ISO/IEC 27005, 2008).

B1. Identificao de riscos

Identificar os eventos que possam ter impacto negativo nos negcios da organizao.
Devem ser identificados os ativos, suas vulnerabilidades e as ameaas que podem causar
danos aos ativos. Identificar as consequncias que as perdas de confidencialidade, de
integridade e de disponibilidade podem ter sobre os ativos.
B2. Estimativa de riscos
Atribuir valor ao impacto que um risco pode ter e a probabilidade de sua ocorrncia,
de forma qualitativa ou quantitativa. Estimar o risco atravs da combinao entre a
probabilidade de um cenrio de incidente e suas consequncias.
B3. Avaliao de riscos
Determinar a prioridade de cada risco atravs de uma comparao entre o nvel
estimado do risco e o nvel aceitvel estabelecido pela organizao.
O ponto de deciso 1, visto na Figura 1, verifica se a avaliao dos riscos foi
satisfatria, conforme os critrios estabelecidos pela organizao. Caso no seja satisfatria, a
atividade pode ser reiniciada de forma que se possa revisar, aprofundar e detalhar ainda mais
a avaliao, assegurando que os riscos possam ser adequadamente avaliados.
C. Tratamento do risco
Implementar controles para reduzir, reter, evitar ou transferir os riscos. Se o
tratamento do risco no for satisfatrio, ou seja, no resultar em um nvel de risco residual que
seja aceitvel, deve-se iniciar novamente a atividade ou o processo at que os riscos residuais
sejam explicitamente aceitos pelos gestores da organizao. Esta iterao se d no ponto de
deciso 2, como visto na fig. 1.
D. Aceitao do risco
Registrar formalmente a aprovao dos planos de tratamento do risco e os riscos
residuais resultantes, juntamente com a responsabilidade pela deciso.

E. Comunicao do risco
Desenvolver planos de comunicao dos riscos para assegurar que todos tenham
conscincia sobre os riscos e controles a serem adotados.
F. Monitoramento e anlise crtica de riscos
Monitorar continuamente os riscos e seus fatores a fim de identificar eventuais
mudanas no contexto. Certificar que o processo de gesto de riscos de segurana da
informao e as atividades relacionadas permaneam apropriados nas circunstncias
presentes.
A norma ISO/IEC 27005 no inclui uma metodologia especfica para a gesto de
riscos de segurana da informao, cabendo a cada organizao definir a melhor abordagem
conforme o contexto na qual est inserida.
3. PADRES DE SEGURANA (SECURITY PATTERNS)
Os padres de segurana fornecem solues j consolidadas para problemas
recorrentes de segurana e podem servir de referncia para atingir os requisitos de segurana
(WAGNER; FONTOURA; FONTOURA, 2011). Os padres capturam a experincia de
especialistas em segurana da informao que podem ser aplicados por qualquer organizao,
definindo uma soluo para um problema de segurana dentro de diversos contextos
(YOSHIOKA; WASHIZAKI; MARUYAMA, 2008; SUPAPORN; PROMPOON;
ROJKANGSADAN, 2007). Os padres de segurana ajudam na identificao e formulao
das prticas e procedimentos de segurana descritos pelas normas de segurana da informao
(ROMANOSKY, 2002).
Neste sentido, observa-se que os padres de segurana podem ser teis para satisfazer
os requisitos de segurana de um SGSI atravs da reutilizao de prticas bem sucedidas para
a segurana da informao, podendo ser associados a modelos de referncia e utilizados para
implementar um processo de gesto de riscos de segurana da informao.
Padres descrevem detalhadamente solues para problemas de segurana da
informao, por isso podem ser usados para implementar normas. A soluo dada pelo padro
deve satisfazer aos objetivos indicados e aos resultados esperados pela implantao dos
processos de uma norma (KROLL et al, 2010). Neste artigo, prope-se o uso de padres de
segurana para a definio de atividades para gerenciar os riscos de acordo com a norma
ISO/IEC 27005 . Esta proposta pode ajudar as empresas a criar uma base de prticas de
segurana que poder ser reusada para a elaborao de abordagens de segurana e definio
de controles.
De acordo com Shumacher et al (2006) e Rosado et al (2006), os catlogos de padres
incluem uma breve descrio do padro, que identifica o problema a qual ele prope resolver
e a soluo para o problema. A soluo descreve as tarefas, a sequncia de execuo, papis,
relacionamento entre padres, detalhados suficientemente para facilitar sua implementao.
Para facilitar o entendimento de como os padres so estruturados apresentado na Seo 5
uma ilustrao do uso de padres com sua descrio e os passos para implementar a soluo.
Na Tabela 1, so mostrados alguns padres que descrevem prticas relacionadas com a
gesto de riscos e uma descrio de seus objetivos.
A organizao dever aplicar as solues que atendam as diretrizes da norma e que
sejam suficientes para garantir os requisitos mnimos de segurana para o negcio.

Tabela 1: Padres de Segurana Relacionados com a Gesto de Riscos.

Padro de Segurana

Descrio

Security needs Identification

for Enterprise Assets
(SHUMACHER et al, 2006)
Asset Valuation
(SHUMACHER et al, 2006)
Threat Assessment
(SHUMACHER et al, 2006)
Vulnerability Assessment
(SHUMACHER et al, 2006)
Risk Determination
(SHUMACHER et al, 2006)
Enterprise
Security
Approaches
(SHUMACHER et al, 2006)
Enterprise Security Services
(SHUMACHER et al, 2006)
Enterprise
Partner
Communication
(SHUMACHER et al, 2006)

Identificar as necessidades de segurana e quais propriedades

de segurana que devem ser aplicadas para cada ativo.
Determinar a importncia de cada ativo para os negcios da
empresa.
Identificar as ameaas aos ativos; determinar a probabilidade
e o potencial de prejuzo de cada ameaa.
Identificar as vulnerabilidades dos ativos da empresa e a
gravidade caso sejam exploradas.
Avaliar e priorizar os riscos para os ativos.

Selecionar a abordagem de segurana para fornecer uma base

de deciso sobre quais controles aplicar. As abordagens so
prevenir, detectar ou responder.
Selecionar servios (controles) de segurana para mitigar os
riscos.
Assegurar que as partes envolvidas com atividades de
segurana tenham uma coordenao aberta da comunicao
entre grupos de segurana, com outros grupos de parceiros e
grupos externos.
Share Responsibility for Definir os papis e as responsabilidades de cada participante
Security
do processo de segurana.
(KIENZLE; ELDER, 2002)
Document the Security Documentar as metas de segurana baseadas nos objetivos
Goals
gerais da organizao e seus negcios.
(KIENZLE; ELDER, 2002)
Security
Accounting Definir um conjunto de requisitos de responsabilidades sobre
Requirements
as atividades de segurana. Resolver os conflitos entre os
(SHUMACHER et al, 2006) requisitos de segurana e processos de negcio.
Security Accounting Design Desenvolver um plano de reviso das responsabilidades sobre
(SHUMACHER et al, 2006) a segurana.
Audit Requirements
Definir um conjunto de requisitos para auditoria nos processos
(SHUMACHER et al, 2006) de gesto de riscos.
Audit Design
Criar mecanismos de auditoria que satisfaam os seus
(SHUMACHER et al, 2006) requisitos.
Audit Trails & Logging Definir um conjunto de requisitos de trilhas de auditoria e
Requirements
registros de logs para permitir a reconstruo e anlise de
(SHUMACHER et al, 2006) eventos.
Audit Trails & Logging Fornecer orientaes para criar trilhas de auditoria e
Design
mecanismos de registros de logs.
(SHUMACHER et al, 2006)
Non-Repudiation
Definir um conjunto de requisitos para manter as evidncias
Requirements
em que os usurios no podem negar que participaram de
(SHUMACHER et al, 2006) determinadas atividades.
Non- Repudiation Design
Fornecer orientaes para criar mecanismos de no-repdio.
(SHUMACHER et al, 2006)

Padro de Segurana

Descrio (continuao)

Documentation Review
(SCARFONE et al, 2008)

Revisar todos os documentos (polticas de segurana,

requisitos, procedimentos, memorandos etc.), provenientes
das atividades de segurana a fim de localizar lacunas e
deficincia nos processos.
Analisar os logs para verificar a eficcia dos controles
implementados e possveis falhas nos processos.

Log Review
(SCARFONE et al, 2008)

4. ASSOCIANDO PADRES DE SEGURANA COM A NORMA ISO 27005

A seleo dos padres tomou como base a descrio do padro e sua soluo. Alguns
padres possuem uma ligao direta com as atividades da norma ISO/IEC 27005 e estes
podem satisfazer completamente as diretrizes destas atividades. Para algumas atividades foi
selecionado mais de um padro, j que estes complementam o atendimento dos requisitos
propostos nos processos da norma.
Para fazer a associao dos padres com as atividades da norma ISO/IEC 27005
foram estudados as aes que cada atividade da norma preconiza, onde so descritos as
diretrizes que guiam a execuo de uma srie de tarefas. Para realizar a associao dos
padres com os processos da norma o estudo compara as solues que os padres
implementam para verificar o nvel de atendimento com as diretrizes de cada atividade da
norma.
Para exemplificar a associao, considere a atividade Definio do Contexto da
ISO/IEC 27005 e o padro de segurana Security needs Identification for Enterprise Assets
(SHUMACHER et al, 2006). A dinmica da soluo descrita pelo padro implementada em
cinco etapas, que so:
1) Identificar os ativos de negcio da organizao (atende a diretriz identificao dos ativos
relevantes para a gesto dos riscos);
2) Identificar os fatores comerciais que influenciam as necessidades de segurana de proteo
de ativos (atende a diretriz definir o escopo e limites que sero levados em considerao na
gesto de riscos);
3) Determinar quais ativos se relaciona com os fatores de negcio (atende a diretriz
identificao dos ativos relevantes para a gesto dos riscos);
4) Identificar quais os tipos de segurana pode ser necessrio (atende a diretriz determinar os
critrios gerais de aceitao dos riscos para a organizao);
5) Determinar para cada tipo de ativo o tipo de segurana que necessrio (no foi
identificada uma ligao direta com as diretrizes da norma).
Alm disso, a soluo indica o recurso humano necessrio para realizar as atividades
(atende a diretriz determinar as responsabilidades para a gesto de riscos).
A atividade da norma considerada suportada quando a soluo apresentada pelo
padro atende pelo menos 75% das diretrizes apontadas por ela. As atividades da ISO 27005
so desenvolvidas implementando as solues propostas pelos padres associados.
A Tabela 2 mostra os padres associados com as atividades de gesto de risco da
norma ISO 27005.
Conforme a Tabela 2, a atividade de Definio do Contexto associado com o padro
Security Needs Identification for Enterprise Assets que ajuda a identificar os tipos de ativos de

negcio, fatores que influenciam a segurana do negcio, a relao entre os ativos e fatores de
negcio e as propriedades de segurana necessrias para cada ativo.
Tabela 2: Associao de Padres de Segurana com as Atividades da Norma ISO/IEC 27005.

Atividades da ISO/IEC
27005
Definio do contexto
Identificao dos Riscos
Anlise de riscos

Avaliao de riscos
Tratamento do risco
Aceitao do Risco

Comunicao do risco

Monitoramento e Anlise
Crtica de Riscos

Padres de Segurana

Security needs Identification for Enterprise Assets

Threat Assessment
Asset Valuation
Threat Assessment
Vulnerability Assessment
Enterprise Security Approaches
Risk Determination
Enterprise Security Services
Security needs Identification for Enterprise Assets
Enterprise Security Approaches
Document the Security Goals
Enterprise Partner Communication
Share Responsibility for Security
Document the Security Goals
Security Accounting Requirements
Security Accounting Design
Audit Requirements
Audit Design
Audit Trails & Logging Requirements
Audit Trails & Logging Design
Non-Repudiation Requirements
Non- Repudiation Design
Documentation Review
Log Review

As atividades de Anlise e Avaliao de Riscos so associadas com os padres Asset

Valuation, Threat Assessment, Vulnerability Assessment, Enterprise Security Approaches e
Risk Determination. A aplicao destes padres possibilita determinar a importncia dos
ativos para os negcios da empresa, avaliar as ameaas para estes ativos e suas probabilidades
de ocorrerem e avaliar a gravidade das vulnerabilidades encontradas. Com isso, a empresa
capaz de determinar e priorizar os riscos dos ativos para, posteriormente, escolher qual a
melhor abordagem de proteo. Alm disso, ao aplicar o padro Threat Assessment as
diretrizes da atividade Identificao dos Riscos so consequentemente atendidas.
Com os riscos identificados e priorizados a organizao dever implementar controles
para que estes riscos sejam minimizados a um nvel aceitvel. A atividade de Tratamento do
Risco poder ser associada com o padro Enterprise Security Services, que ir ajudar na
seleo dos controles de segurana mais adequados. Este padro define os controles como
servios de proteo aos ativos, conforme a melhor abordagem identificada na etapa anterior.
Controle de acesso, criptografia, antivrus, monitoramento de rede de comunicao, alarmes
e cmeras de monitoramento so exemplos de controles que podem ser utilizados nesta
atividade.

A atividade de Aceitao do Risco tem de assegurar que os riscos residuais sejam

explicitamente aceitos pelos gestores da organizao. Esta atividade associada com os
padres Security Needs Identification for Enterprise Assets, Enterprise Security Approaches e
Document the Security Goals, pois com as solues propostas por estes padres possvel
associar as necessidades de segurana com metas gerais e objetivos de negcio.
Durante todo o processo de gesto de riscos importante que os riscos sejam
comunicados s partes interessadas, possibilitando aos gestores lidar com os incidentes e
eventos no previstos da maneira mais efetiva. Os padres Enterprise Partner
Communication, Share Responsibility for Security e Document the Security Goals so
associados com a atividade de Comunicao do Risco, identificando as partes interessadas no
processo de segurana da informao, desenvolvendo mecanismos de comunicao entre as
partes interessadas, assim como documentando as metas de segurana baseadas nos objetivos
gerais da organizao e seus negcios.
Monitorar constantemente as mudanas no contexto, novas ameaas e vulnerabilidades
garante detectar mudanas necessrias na gesto de riscos. Vrios padres podem ser
associados para com a atividade de Monitoramento e Anlise Crtica de Riscos. Os padres
Security Accounting Requirements, Security Accounting Design formam um conjunto de
solues que visam definir as responsabilidades sobre as atividades de segurana. Auditorias
frequentes possibilitam identificar possveis falhas e desvios na gesto de riscos examinando,
por exemplo, os logs dos sistemas. Por isso, foram associados os padres Audit Requirements,
Audit Design, Audit Trails & Logging Requirements, Audit Trails & Logging Design,
Documentation Review e Log Review. Non-Repudiation Requirements, Non- Repudiation
Design os quais so padres que fornecem solues para desenvolver e implementar
requisitos de auditoria, trilhas de auditoria, revisar documentos e mecanismos de norepdio.
5. ILUSTRANDO O USO DE PADRES DE SEGURANA
A fim de ilustrar a utilizao de padres para desenvolver as atividades da norma
ISO/IEC 27005, descrito, como exemplo, um sistema de gesto acadmica de uma
instituio de ensino privada. Este sistema gerencia os dados acadmicos e financeiros dos
alunos da instituio. Os dados acadmicos compreendem as informaes da vida acadmica
do aluno como, notas, frequncia, disciplinas cursadas, histrico entre outros. Os dados
financeiros incluem s mensalidades pagas, mensalidades a vencer, crditos e dbitos do
aluno junto instituio.
As informaes ficam armazenadas em um servidor localizado em um data center fora
da instituio. Os dados so acessados atravs de uma interface web nas estaes de trabalho
do balco de atendimento ao aluno e nas estaes utilizadas para o processamento dos dados.
Somente pessoas autorizadas podem ter acesso aos dados dos alunos.
Vulnerabilidades no sistema e na infraestrutura de comunicao podem causar falhas
de segurana, comprometendo a integridade, a confiabilidade e a disponibilidade das
informaes dos alunos. As ameaas que podem explorar tais vulnerabilidades devem ser
identificadas na atividade de Identificao de Riscos da ISO/IEC 27005 . Essa atividade tem o
propsito de identificar os eventos que possam ter impacto negativo nos negcios, assim
como as ameaas que podem explorar as vulnerabilidades dos ativos.
As diretrizes dadas por esta atividade podem ser atendidas com a implementao do
padro Threat Assessment (SHUMACHER et al, 2006). Conforme o catlogo desse padro, a
soluo identifica e avalia de forma sistemtica as ameaas e determina os nveis de
probabilidade de ocorrncia dos eventos negativos. Ela implementada com uma sequncia

de quatro passos e preferencialmente devem ser executados por um gerente executivo ou por
um gerente estratgico. Alm disso, o catlogo do padro sugere uma sequncia de execuo
das tarefas, como pode ser visto na Figura 2.
1) Identificao das ameaas: identificao da fonte, da ao e da consequncia de uma
ameaa.
A fonte da ameaa o que inicia um ataque ou faz com que um evento acontea;
A ao o mtodo especfico atravs da qual um ataque ou evento executado;
A consequncia da ameaa a violao de segurana que resulta de um ataque ou
evento negativo bem sucedido.
A origem das ameaas pode ser oriunda de um agente, seja ele interno ou externo, que
intercepte e roube uma senha de acesso ao sistema, tendo acesso no autorizado a informaes
ou insira cdigo malicioso nas estaes para burlar as barreiras de proteo. Como ao, o
agente causador da ameaa pode utilizar uma combinao de senhas e obter acesso no
autorizado ao sistema, tendo como consequncia a quebra do sigilo das informaes, alterao
das informaes, podendo causar, tambm, a indisponibilidade dos dados.

Figura 2: Sequncia de execuo do padro Threat Assessment (SHUMACHER et al, 2006).

2) Construo de uma tabela de ameaas: relaciona as ameaas identificadas com os

tipos de ativos e as fontes de ameaa.
feito um agrupamento das ameaas identificadas com os tipos de ativos e as fontes.
A ameaa de roubo de informaes pode ser iniciada por um hacker externo ou por um
funcionrio da instituio. No entanto, a frequncia de roubo por parte dos empregados pode
ser maior do que a de um hacker e estar relacionada a vulnerabilidades de mais de um ativo.
3) Criao de escala de probabilidade: criao de nveis de probabilidade dos eventos
negativos ocorrerem
Cria-se uma escala de probabilidade de ocorrncia das ameaas identificadas. A
probabilidade de ocorrncia das ameaas pode ser medida em termos quantitativos ou
qualitativos, como visto da Tabela 3:

Tabela 3: Probabilidade dos Eventos

Nvel Probabilidade
5
4
3
2
1

Muito Alta
Alta
Mdia
Baixa
Muito Baixa

Descrio
A ao da ameaa ocorre muito frequentemente
A ao da ameaa ocorre regularmente
A ao da ameaa ocorre com pouca frequncia
A ao da ameaa ocorre raramente
A ao da ameaa muito improvvel de ocorrer

4) Avaliao das ameaas: estimativa de cada ameaa de acordo com a escala de

probabilidade.
revisado o histrico das ameaas, levando em considerao a frequncia de
ocorrncia de cada ameaa, o sucesso da ao da ameaa e a probabilidade de um novo
ataque. Registros gerenciais de segurana, aplicativos gerenciais de segurana, anlise de
fatores humanos e naturais podem ser importantes instrumentos para caracterizao das
estimativas das ameaas.
Suponha-se que, atravs da implementao da atividade de Definio do Contexto
(ABNT NBR ISO/IEC 27005, 2008), associado ao padro Security Needs Identification for
Enterprise Assets (SHUMACHER et al, 2006), a instituio identificou os seguintes ativos de
informao e fsicos:
Ativos de informao

Dados dos funcionrios

Dados dos alunos
Dados financeiros
Dados de histricos acadmicos

Ativos fsicos

Instalaes prediais
Computadores
Funcionrios
Rede de comunicao

Atravs dos passos 1 ao 4, a instituio identificou uma breve lista de ameaas aos
ativos de informao e fsicos, como mostrado nas Tabelas 4 e 5, respectivamente.
Tabela 4: Ameaas aos ativos de informao

Ameaa

Probabilidade Consequncia

Falta de energia
Roubo de
informao
Acesso no
autorizado
Erro de entrada de
dados
Vazamento de
informaes
confidenciais

Mdia (3)
Mdia (3)

Alta (4)

Incapacidade de acesso, corrupo da informao.

Apropriao indbita, incapacidade de acesso, mau
uso, exposio, corrupo da informao.
Exposio, falsificao, apropriao indbita,
incapacidade de acesso.
Corrupo da informao.

Mdia (3)

Exposio das informaes.

Alta (4)

Tabela 5: Ameaas aos ativos fsicos

Ameaa

Probabilidade Consequncia

Incndio
Alagamento
Desgaste dos
equipamentos
Falha em sistemas
de alarme e
monitoramento
Agresso fsica
contras os
funcionrios
Danos acidentais a
estrutura e
equipamentos
Configurao
incorreta de
equipamentos

Mdia (3)
Mdia (3)
Mdia (3)

Incapacitao dos ativos fsicos

Incapacitao dos ativos fsicos
Incapacitao dos ativos fsicos

Alta (4)

Roubo de equipamentos e de informao, intruso

Baixa (2)

Incapacitao dos funcionrios

Mdia (3)

Incapacitao da estrutura e equipamentos

Alta (4)

Incapacitao de equipamentos, indisponibilidade

de acesso

Este processo descrito acima importante, pois fornece empresa uma compreenso
melhor dos fatores de ameaas e suas probabilidades, assim como identificar as consequncias
decorrentes de eventos negativos. O resultado deste processo servir como entrada para a
prxima tarefa e servir para a tomada de decises e elaborao de estratgias de segurana
mais eficazes.
Restries como a insuficincia de dados histricos sobre a frequncia das aes das
ameaas e o esforo demasiado para conceber todas as ameaas possveis podem trazer
dificuldades para realizar este processo.
6. TRABALHOS RELACIONADOS
A utilizao de padres de segurana para o desenvolvimento de normas de segurana
pode ser visto tambm em Kroll et al (2010), que prope a utilizao de padres de segurana
para implementar a norma ISO/IEC 21827:2008, onde os padres so associados s Process
Areas (PA) relacionadas com as prticas de desenvolvimento seguro de softwares.
Uma metodologia para a adaptao de processos de software com base em requisitos
de segurana do Systems Security Engineering Capability Maturity Model (SSE-CMM) e o
Rational Unified Process (RUP) proposto em Wagner, Fontoura e Fontoura (2011). Aqui,
padres de segurana so associados com as reas de processos do SSE-CMM, incorporando
prticas de segurana em processos de desenvolvimento de software.
O trabalho desenvolvido por Beckers et al (2011) utiliza padres de segurana para
apoiar o desenvolvimento das atividades Estabelecimento do Contexto e a Identificao dos
Ativos, com base na norma ISO/IEC 27005. Neste trabalho padres so utilizados para
garantir a qualidade dos resultados na execuo das atividades em um ambiente de
computao em nuvem.
Em Kienzle e Elder (2002) padres de segurana so utilizados para o
desenvolvimento de aplicativos web. Neste trabalho elaborado um repositrio, composto por
26 padres, que podem ser utilizados e compreendidos por desenvolvedores que no so
profissionais de segurana.

Uma metodologia que incorpora padres para atender requisitos de segurana em

projetos de software proposta tambm por Fernandez et al (2007). Essa metodologia visa
suprir as necessidades de segurana que no trazem informaes suficientes de como aplicar a
segurana em projetos de software. A metodologia incorpora outras trs metodologias
existentes que permitam aos usurios aplicar os padres para situaes prticas. Este trabalho
mostra a necessidade do uso de padres para uma metodologia unificada para construir
sistemas seguros.
No entanto, este trabalho difere dos demais pois prope a utilizao de padres de
segurana para implementar as atividades do processo de gesto de riscos baseado na norma
ISO/IEC 27005. A utilizao de prticas j consolidadas para implementar normas de
segurana pode aumentar a garantia de resultados satisfatrios e facilitar o desenvolvimento
das atividades necessrias.
7. CONSIDERAES FINAIS
O embasamento das diretrizes de modelos de referncia pode ser fundamental para as
organizaes implementarem processos bem definidos e com resultados satisfatrios. Porm,
a maioria das normas para gesto da segurana da informao diz o que tem que ser feito, mas
no detalha suficientemente como deve ser feito. A norma ISO/IEC 27005 define uma
estrutura de atividades para gesto de riscos. Cada atividade possui diretrizes que servem de
guia, dizendo o que deve ser alcanado ao final de cada iterao.
O presente trabalho associou padres de segurana com os processos da norma
ISO/IEC 27005, relacionando as diretrizes de cada atividade da norma com as solues
propostas por cada padro. Alguns padres esto ligados diretamente com as atividades da
norma, atendendo as diretrizes mnimas descritas por cada uma delas. Observou-se que alguns
padres podem atender as diretrizes de mais de uma atividade da norma, o que possibilita
reduzir o tempo para o desenvolvimento das atividades.
A ilustrao mostrou como um padro pode ser implementado para desenvolver uma
atividade da norma. Neste caso, desenvolveu-se a atividade de Identificao de Riscos, que
contribui para a identificao de riscos de segurana que podem ocorrer em um sistema de
informao e servir para a tomada de decises e elaborao de estratgias de segurana mais
eficazes.
O uso de padres para o desenvolvimento de uma gesto de riscos baseada na norma
ISO/IEC 27005 pode contribuir para uma melhoria na definio de processos para gesto de
segurana da informao, a fim de dar maiores garantias para o cumprimento dos requisitos
definidos pelas normas. Propor a utilizao de padres de segurana pelas organizaes pode
ser uma garantia para o atingimento dos objetivos a qual a norma se prope. Cabe a cada
organizao escolher os padres que mais se adequam aos seus objetivos de negcios.
Este trabalho no pretende esgotar as possibilidades de uso de padres de segurana e
limitou-se a associar padres de segurana que esto relacionados com o processo de gesto
de riscos. Em trabalhos futuros pretende-se verificar os aspectos de dependncia entre os
padres, j que alguns podem necessitar de informaes provenientes de outro padro.
8. REFERNCIAS
ABNT NBR ISO/IEC 27005. Tecnologia da informao - Tcnicas de segurana - Gesto de riscos de
segurana da informao, Associao Brasileira de Normas Tcnicas. Rio de Janeiro: ABNT, 2008.
AMARAL, E. H.; AMARAL, M. M. & NUNES, R. C. Metodologia para Clculo do Risco por Composio de
Mtodos. X Simpsio Brasileiro em Segurana da Informao e de Sistemas Computacionais (SBSeg), 2010, p.
461-473.

BECKERS, K.; SCHMIDT, H.; KSTER, J. C. & FABENDER. S. Pattern-Based Support for Context
Establishment and Asset Identication of the ISO 27000 in the Field of Cloud Computing. Sixth International
Conference on Availability, Reliability and Security, 2011, p.327-333.
FERNANDEZ, E. B.; YOSHIOKA, N.; WASHIZAKI, H. & JURJENS, J. Using security patterns to build
secure systems. Workshop on Software Patterns and Quality (SPAQu07), 2007, Nagoya, Japan, with the 14 th
Asia-Pacific Software Engineering Conference (APSEC).
KIENZLE, D. M.; & ELDER, M. C. Security Patterns for Web Application Development. Final Technical
Report, Univ. of Virginia, 2002, Report DARPA Contract # F30602-01-C-0164.
KROLL, J.; FONTOURA, L. M.; WAGNER, R. & DORNELLAS, M. C. Usando Padres para o
Desenvolvimento da Gesto da Segurana de Sistemas de Informao baseado na Norma ISO/IEC 21827:2008.
Simpsio Brasileiro de Sistemas de Informao (SBSI), 2010, Marab. Anais do Simpsio Brasileiro de
Sistemas de Informao (SBSI), 2010.
LUNARDI, G. L. & DOLCI, P. C. Adoo de Tecnologia da Informao e seu Impacto no Desempenho
Organizacional: um estudo realizado com micro e pequenas empresas. 30 Encontro da ANPAD, Salvador:
ENANPAD, 2006.
LUND, M. S.; SOLHAUG, B. & STLEN, K. Evolution in relation to risk and trust management. IEEE
Computer Society, 2010, p. 49-55.
OLIVEIRA, M. A. F.; ELLWANGER, C.; VOGT, F. C. & R. C. NUNES. Framework para gerenciamento
de riscos em processos de gesto de segurana da informao baseado no modelo DMAIC. XXIX Encontro
Nacional de Engenharia de Produo (ENEGEP), 2009, Salvador, XXIX Encontro Nacional de Engenharia de
Produo. Rio de Janeiro: Abepro, 2009. v. 1. p. 11-20.
OLIVEIRA, V. L. Uma anlise comparativa das metodologias de gerenciamento de risco FIRM, NIST SP 80030 e OCTAVE. Dissertao de Mestrado, UNICAMP, Campinas, Brasil, 2006.
ROMANOSKY, S. Security design
http://www.securityfocus.com/guest/9793

patterns,

in

SecurityFocus,

2002.

Disponvel

em:

ROSADO, D. G.; MEDINA, E. F.; PIATTINI, M. & GUTIERREZ, C. A Study of Security Architectural
Patterns. Proceedings of the First International Conference on Availability, Reliability and Security (ARES06),
2006, p. 358-365.
SCARFONE, K.; SOUPPAYA, M.; CODY, A. & OREBAUGH, A. Technical Guide to Information Security
Testing and Assessment: Recommendations of the National Institute of Standards and Technology. National
Institute of Standards and Technology (NIST) Special Publication 800-115. 2008. Disponvel em:
http://csrc.nist.gov/publications/nistpubs/800-115/SP800-115.pdf
SCHUMACHER, M.; FERNANDEZ, E. B.; HYBERTSON, D.; BUSCHMANN, F. & SOMMERLAD, P.
Security Patterns: integrating security and systems engineering, Series in Software Designs Patterns, USA:
J.Wiley & Sons, 2006.
SUPAPORN, K.; PROMPOON, N. & ROJKANGSADAN, T. An approach: Constructing the grammar from
security pattern. Proc. 4th International Joint Conference on Computer Science and Software Engineering (JCSSE2007), 2007.
VASILE, T; STUPARU, D. & DANIASA, C. The relative risk weighting process. Annals Economic Science
Series, vol. XVI, p. 540-544, 2010.
WAGNER, R.; FONTOURA, L. M. & FONTOURA, A. B. Using Security Patterns to Tailor Software
Process. Proceedings of the 23rd International Conference on Software Engineering Knowledge Engineering
(SEKE'2011), 2011, Eden Roc Renaissance, Miami Beach, USA, July 7-9, p. 672-677.
YOSHIOKA, N.; WASHIZAKI, H. & MARUYAMA, K. A survey on security patterns. Progress in
Informatics, 2008, No. 5, p.3547.

Powered by TCPDF (www.tcpdf.org)