Por que preciso de uma avaliação de risco?

De forma sucinta, uma avaliação de risco é o exame dos ativos de uma empresa, a ameaça   a esses ativos e a adequação dos controles usados para protegê-los de uso indevido ou   comprometimento. As avaliações de risco são a base de toda melhor prática de segurança e a   primeira etapa na formulação de um programa de gerenciamento de risco efetivo.

Por exemplo, sua organização pode precisar de conformidade com uma variedade de regimes  de conformidade, tais como HIPAA, Sarbanes-Oxley e FFIEC. Uma avaliação de risco é a base   para as ações de negócio que você tomará para alcançar a conformidade com essas normas e   regulamentos.

Como começamos?

A Avaliação de Risco de Segurança da Informação   examina a efetividade estabelecida e contínua do seu   programa de segurança de informações e a   infraestrutura de segurança por um processo interativo   de coleta de informações e identificação de   vulnerabilidades. Identificaremos as ameaças e   vulnerabilidades associadas com cada um dos seus   ativos críticos mapeados e determinaremos a   severidade e o impacto sobre o sigilo, integridade e   disponibilidade dos ativos. Com essas informações em   mãos, podemos determinar o seu nível de risco atual e   recomendar os meios de proteção apropriados e   necessários.

A avaliação de risco inclui:

– Identificação de ativos e sistemas de TI   principais  ;
– Avaliação de políticas e estrutura de segurança;
– Avaliação de controle de acesso lógico e físico ;
– Avaliação de controles de monitoramento ;
– Revisão de gerenciamento de fornecedores de serviços terceirizados;
– Revisão de resposta a incidentes e gerenciamento de recuperação de desastres.