1. Competências profissionais:

2. Coordenação e cooperação:

3. Processamento de provas:

•Evidências digitais: como registros, gravações, arquivos de computador e componentes de sistema de computador. Como memória ou disco rígido.

·Materiais impressos: como documentos impressos, notas manuscritas, relatórios em papel, etc.

•Se estiver envolvido um delito criminal, será necessário contar com profissionais com experiência em aplicação da lei, e o papel do CISSP é apoiar e atender a quaisquer solicitações desses profissionais.

Ao conduzir a resposta a incidentes, a coleta de evidências digitais é extremamente importante. As provas digitais são muitas vezes de curta duração, pelo que devem ser recolhidas o mais rapidamente possível para garantir a integridade das provas.

Para garantir a integridade das evidências, aqui estão algumas práticas recomendadas:

•A Perícia Digital e Resposta a Incidentes (DFIR) é um processo que envolve a coleta e análise de evidências digitais para investigar e responder a incidentes de segurança.

•O tratamento de evidências digitais exige o cumprimento de determinados processos e padrões, como ISO/EC 27037:2012 e NISTSP 800-86.

•É muito importante manter uma boa cadeia ou custódia, incluindo o registo de todos os processos de provas, desde a recolha até à análise, para garantir a integridade e fiabilidade das provas.

A natureza distribuída e o escopo global da computação em nuvem apresentam desafios únicos para a análise forense digital. Ao coletar evidências de ambientes de nuvem, questões legais e técnicas devem ser consideradas, incluindo questões relacionadas à soberania e jurisdição dos dados

•Precisão:

•Autenticidade:

•Compreensibilidade:

•Convincente:

•Objetivo:

•Admissível:

1. Captura de dados

2.Entrevista

3.Interrogatório

4. Solicitações externas

•Ferramentas Forenses: Essas ferramentas incluem software e equipamentos para rastreamento e gerenciamento de casos, estações de trabalho e áreas de trabalho que são segregadas e dedicadas ao trabalho forense para evitar a contaminação das evidências sob investigação. Algumas ferramentas específicas podem incluir bloqueadores de gravação e geradores de imagens de unidade, contêineres Faraday e ferramentas de gravação de vídeo e áudio.

Etapas processuais gerais para análise forense:

A natureza da computação em nuvem torna a recolha de provas mais difícil e podem surgir questões jurisdicionais.

Principalmente detectando e gerando alertas.

Uma vez detectada uma intrusão, são tomadas diversas acções proactivas, tais como: implementação de regras de firewall para bloquear tráfego malicioso, restauração de ficheiros ao seu estado anterior à corrupção e até encerramento de aplicações, serviços ou servidores para evitar novas intrusões.

IDS e IPS podem ser implantados como variantes baseadas em rede (NIDS e NIPS) ou baseadas em host (HIDS e HIPS).

• Detecção baseada em padrões comportamentais, observando se o tráfego se desvia das linhas de base esperadas

•Detecção baseada em assinatura, que verifica o tráfego de rede ou a atividade do host em busca de padrões de ataque conhecidos.

Muitos falsos positivos não são uma coisa boa. Portanto, ao usar IDS e IPS, é necessário calibrá-los de acordo com a atividade básica de uma organização específica e evitar ao máximo ataques DoS acidentais.

1. Centralização: Agregue arquivos de log espalhados em diferentes sistemas em uma biblioteca central para análise e monitoramento.

2. Padronização: Converta dados de log gerados por diferentes sistemas em um formato consistente para pesquisa e correlação.

3 Correlação e detecção: Correlação através de dados especiais para detectar os limites do sistema para as empresas de segurança que operam no sistema.

4. Alertas: assim que os dados forem analisados ​​e processados, o SIEM gerará automaticamente alertas para solicitar que os analistas investiguem, melhorando a eficiência da detecção e resposta a incidentes de segurança.

Definição do ponto de referência: O monitoramento eficaz requer um conjunto de medidas de base para comparação contínua, que pode ser baseado em uma estrutura de conformidade reconhecida (como PCI-DSS, NIST SP 800, etc.) ou em uma linha de base do sistema (como CIS).

Automação: para monitoramento contínuo, conte com ferramentas automatizadas, como ferramentas de detecção e resposta de endpoint (EDR) e ferramentas de análise de comportamento de usuário e entidade (UEBA).

Frequência: A frequência do monitoramento deve ser determinada com base na prioridade do controle e nos custos avaliados. Isso requer pesar os riscos e o uso de recursos.

Métricas Apropriadas: As métricas definidas para um programa de monitoramento contínuo devem fornecer informações práticas sobre a eficácia dos controles. Isto requer garantir que as métricas sejam mensuráveis ​​para que possam ser monitoradas e melhoradas.

Plano de ação claro: Se forem descobertos problemas durante o monitoramento, deverá haver um plano de ação claro para resolvê-los. Isso inclui solução de problemas, resolução e acompanhamento.

Equilíbrio custo versus valor: O custo de um programa de monitoramento contínuo deve ser equilibrado em relação ao valor obtido com ele. Isto requer uma avaliação abrangente dos benefícios esperados versus custos de implementação para garantir que o investimento seja justificado.

Uma violação de dados ocorre quando informações confidenciais são transmitidas ilegalmente e saem de uma rede. Os invasores podem aproveitar portas, protocolos e serviços padrão, como e-mail, FTP ou HITTP, para enviar dados. Às vezes, eles até disfarçam suas atividades, disfarçando os dados como fontes comuns de dados de alto tráfego, como o tráfego HTTP.

As ferramentas DLP podem identificar e gerenciar tipos específicos de dados, como verificar a rede em busca de dados confidenciais desconhecidos armazenados na rede, identificar dados confidenciais sendo transferidos pela rede e gerar alertas quando são feitas tentativas de copiar arquivos de arquivos compartilhados. Essas ferramentas podem bloquear temporariamente tal operação e solicitar que o usuário confirme se realmente deseja enviar o arquivo, ou podem até impedir totalmente tal operação.

O objetivo da vigilância demográfica é identificar os dados que entram na rede e evitar que mensagens contendo dados confidenciais, como e-mails, entrem na rede.

As estratégias para monitoramento de entradas e saídas físicas incluem a inspeção da mídia física que entra e sai das instalações para garantir que a transmissão de dados não viole as políticas da organização.

Brix é uma fonte crítica de informações para atividades de fiscalização de segurança, incluindo monitoramento contínuo e resposta a incidentes (IR). Estruturas como IS027001 e NIST SP 800-53 podem ser usadas para desenvolver uma estratégia de registro. O NIST SP 800-92 fornece requisitos básicos para gerenciamento de dados de log de segurança e processos para padronizar e desagregar as informações coletadas.

Uma empresa ou organização precisa determinar quais eventos devem ser registrados e quais eventos podem ser ignorados. Isto precisa ser ponderado em relação às estratégias de risco e segurança para garantir que os dados de log não sejam redundantes nem faltem informações críticas.

Os registos necessitam de registar detalhes suficientes para reconstruir as operações no sistema de informação, incluindo quem executou as operações, o que fizeram e quando ocorreram. Os pontos de dados comuns incluem IDs de usuários ou processos, carimbos de data/hora, identificadores de dispositivos, nomes de objetos, identificadores de políticas, etc.

Os dados de registo podem conter informações sensíveis, pelo que a sua confidencialidade e integridade devem ser garantidas. Você pode proteger a integridade da mídia de armazenamento de dados gravando arquivos de log em mídias de armazenamento de alta integridade, como discos WORM. Para logs de aplicativos que possam conter informações confidenciais, o acesso precisa ser restrito para proteger a confidencialidade dos dados.

O volume de dados de log aumenta com o tempo, exigindo planejamento de capacidade. Para logs locais armazenados no servidor, você pode implementar um período de retenção mais curto para economizar espaço. Os logs armazenados em uma ferramenta SIEM podem ser retidos por meses, anos ou até para sempre. Os dados de log também podem ser arquivados usando métodos de armazenamento off-line de baixo custo para fornecer custos mais baixos e acesso mais lento.

A inteligência de ameaças é uma estratégia preventiva que ajuda os profissionais de segurança a identificar e prever ameaças e invasores que possam atingir suas organizações. Essa inteligência pode ser integrada com SIEM e SOAR, e as fontes incluem, mas não estão limitadas a, fornecedores de inteligência de ameaças comerciais, agências governamentais (como CISA nos Estados Unidos), centros de compartilhamento e análise de informações do setor (ISACs) e deep web, dark web, mídias sociais ou blogs, etc.

A caça a ameaças é uma estratégia de defesa proativa que usa análise manual e ferramentas automatizadas para encontrar e analisar dados de ameaças para detectar e defender-se proativamente contra ameaças dentro e fora da organização. Isso pode ser feito nos três níveis a seguir:

A UEBA é uma solução de segurança que utiliza modelos de aprendizagem automática e de análise estatística para definir uma linha de base do comportamento normal ou esperado dos utilizadores e entidades com sistemas de informação. Qualquer desvio desta linha de base esperada será sinalizado como suspeito e usado como entrada para outras ferramentas de segurança para análise posterior.

Neste contexto, entidades referem-se a atores não humanos na rede, incluindo hardware (como roteadores e servidores), bem como processos de software, threads ou daemons. Um usuário é um usuário humano que efetua login e interage com um sistema de informação.

A UEBA fornece monitoramento de segurança e adaptabilidade mais granulares, permitindo que as políticas de segurança sejam personalizadas com base nas necessidades exclusivas de cada organização. Esta abordagem pode evitar restrições e impactos desnecessários em atividades comerciais legítimas, ao mesmo tempo que melhora a relação custo-eficácia das ferramentas de segurança.

Os resultados de monitoramento gerados pela UEBA podem servir como informações úteis para outras ferramentas de segurança, como SOAR ou IPS, desencadeando respostas automatizadas e controles de segurança. Por exemplo, se uma máquina potencialmente infectada for detectada, isso poderá desencadear medidas de quarentena de rede ou suspender as credenciais de acesso de um usuário para limitar os danos potenciais que atividades maliciosas podem causar a uma organização.

A configuração é a primeira etapa no gerenciamento de configuração. Isso normalmente envolve o uso de uma imagem de linha de base pré-aprovada que atenda às necessidades da organização em termos de configuração de hardware e software, permitindo a rápida implantação de sistemas operacionais e software. Isso reduz o tempo de instalação e possíveis erros.

Para provisionar de forma eficaz, as organizações devem ter uma compreensão clara de todos os seus ativos, incluindo hardware, software, serviços em nuvem e muito mais. Isto pode ser alcançado através do controle proativo e reativo do inventário de ativos. O controle de inventário proativo registra informações detalhadas à medida que hardware e software são adquiridos, enquanto o controle de inventário reativo adiciona ativos desconhecidos ao inventário à medida que são descobertos.

Depois que todos os ativos forem compreendidos, uma organização pode definir uma linha de base, que é um conjunto estabelecido de padrões organizacionais usados ​​para garantir que os sistemas sejam configurados para atender a esses padrões. No entanto, as linhas de base não são estáticas. À medida que as funções do sistema, as versões do sistema, os aplicativos de patch e os ambientes operacionais mudam, a linha de base pode precisar ser ajustada. Isto requer um processo de gestão de mudanças cuidadosamente projetado para garantir que as mudanças na linha de base sejam cuidadosamente planejadas, testadas e implementadas.

•Guias de Implementação Técnica de Segurança da Agência de Sistemas de Informação de Defesa (DISA STIGs)

•Benchmark da CEI

•Orientação fornecida por fornecedores (ex.: Microsoft, Alibaba Cloud, etc.)

•automação:

Este é um princípio de segurança da informação que gira em torno da ideia de que apenas aqueles que devem aceder a informações específicas devido a responsabilidades profissionais ou requisitos de missão devem ter acesso a essas informações. Simplificando, se alguém não precisa usar as informações para sua função, então não deveria ter acesso a elas.

Este é outro princípio de segurança da informação que enfatiza a limitação tanto quanto possível do acesso dos utilizadores, concedendo-lhes apenas os direitos mínimos de que necessitam para realizar o seu trabalho. Isso reduz o risco que pode surgir do abuso de privilégios ou se o sistema estiver comprometido.

Refere-se à separação de diferentes etapas de um processo de negócios entre várias pessoas para evitar que uma pessoa tenha muitas permissões ou capacidades, reduzindo assim o risco de ameaças internas e atividades fraudulentas.

O controle multijogador significa que mais de uma pessoa é necessária para realizar uma ação ou tarefa. Isso não significa necessariamente que essas pessoas tenham privilégios iguais ou diferentes, apenas que, por uma questão de equilíbrio, a ação ou tarefa precisa ser executada por várias pessoas.

O controle M-De-N também é semelhante ao controle de várias pessoas, mas requer apenas que M de N pessoas capazes de realizar tarefas relacionadas trabalhem juntas para concluir o processo.

As permissões operacionais (permissões) normalmente concedidas aos usuários no sistema. Essas permissões podem incluir leitura, gravação, modificação de arquivos, execução de programas, acesso a recursos específicos, etc.

Esta é uma conta com privilégios particularmente elevados no sistema, geralmente um administrador do sistema ou uma conta de superusuário. As permissões dessas contas podem incluir alteração das configurações do sistema, instalação de software, gerenciamento de contas de usuário, etc.

•Configuração: Os usuários que necessitam de acesso privilegiado devem passar por uma verificação rigorosa para garantir que tenham necessidades legítimas e sejam confiáveis.

•Uso: contas privilegiadas devem ter etapas de autenticação adicionais, como autenticação multifatorial obrigatória, o uso da conta deve ser limitado no tempo e expirar automaticamente, e todas as operações devem ser registradas.

•Auditoria: verificações automáticas ou manuais de registros de contas privilegiadas devem ser realizadas regularmente para detectar qualquer comportamento incomum ou suspeito.

·Desprovisionamento: Ao desprovisionar uma conta privilegiada, é melhor primeiro suspender ou desativar a conta e depois realizar uma revisão para determinar se a conta precisa ser desprovisionada permanentemente.

1) Oferece oportunidades de treinamento cruzado, dando aos funcionários a chance de aprimorar suas habilidades e proporcionando mais flexibilidade à organização.

2) Mitigar ameaças internas, como fraude.

É um acordo firmado entre uma organização e um fornecedor, que estipula os indicadores de disponibilidade e desempenho que os produtos ou serviços fornecidos pelo fornecedor precisam atender, bem como as responsabilidades e obrigações de ambas as partes. Normalmente, os SLAs conterão cláusulas de penalidade para garantir que o fornecedor possa cumprir os seus compromissos e também para incentivá-lo a fornecer melhores produtos ou serviços.

1) Tipos de mídia: incluindo registros em papel, unidades de disco rígido (HDD), unidades de estado sólido (SSD) e armazenamento em ambientes de nuvem.

2) Classificação de dados: Classifique os dados de acordo com a política de classificação da organização para estabelecer as bases para a seleção de medidas de controle apropriadas.

3) Rotulagem e Marcação: Todos os meios de comunicação devem ser rotulados para mostrar o nível de classificação dos dados que contém. Em diferentes circunstâncias, marcas d’água, cabeçalhos/rodapés de arquivos ou metadados podem ser usados ​​para marcação.

4 Processamento: Os usuários devem receber treinamento sobre níveis de classificação e procedimentos de processamento de mídia. Os procedimentos de processamento podem incluir como lidar com dados sensíveis, cumprir os requisitos de destruição, etc.

·Implementar controles de segurança: Aplicar as medidas de controle de segurança necessárias de acordo com a classificação dos dados, registrar os processos e procedimentos correspondentes e treinar os usuários.

•Princípio do Menor Privilégio: Limitar o acesso à mídia e implementar medidas de segurança física.

•Proteção Física: Foco na proteção física para lidar com riscos potenciais, como equipamentos perdidos ou roubados. Controles compensatórios, como criptografia de disco, garantem a confidencialidade dos dados.

•Transport Butterfly: Garante a segurança da mídia em trânsito por meio de criptografia, verificação de hash e medidas de proteção física.

•Desinfecção e descarte: Escolha o método de desinfecção e descarte adequado de acordo com sua necessidade, como cobertura, desmagnetização, destruição física ou esmagamento criptográfico. Nas soluções de armazenamento em nuvem, o apagamento criptográfico pode ser o único método de segurança viável.

•Gerenciamento de fornecedores: Garantir que os fornecedores de destruição cumpram os contratos e acordos de nível de serviço, incluindo padrões de segurança física e requisitos de seguro.

•Eventos: Itens observáveis, como operações regulares. Geralmente nenhuma ação adicional é necessária.

• Incidentes: eventos não planejados que têm um impacto adverso na organização e exigem que o pessoal de TI, operações e segurança investiguem e remediem em conjunto.

•Documentar as ferramentas, recursos e processos necessários para identificar, classificar e remediar o impacto de um incidente.

•Contém definições de tipo de incidente, pessoal da equipe de resposta a incidentes, funções e salários, recursos necessários e processos de gerenciamento de incidentes

•A estrutura de resposta a incidentes enfatiza o planejamento antecipado de incidentes e o desenvolvimento de estratégias de resposta apropriadas. Tais como: TL, NIST, ISACA

•Categorizar e priorizar com base na criticidade, impacto e urgência.

Muitas organizações utilizam (P0-P5) para classificar incidentes. P0 é o mais crítico e P5 é o menos crítico de testes e exercícios de resposta a incidentes:

•Teste o plano em situações não emergenciais para identificar lacunas, omissões ou problemas.

•Reduza a confusão ou o desperdício durante um incidente real, treinando os membros da equipe de resposta a incidentes sobre suas responsabilidades por meio de exercícios.

•Garantir a coordenação adequada com prestadores de serviços externos para permitir que a organização continue operando.

•O plano de resposta a incidentes deve identificar os principais prestadores de serviços externos ou terceiros e documentar as informações de contato.

•Esclareça as funções e responsabilidades de terceiros para que as equipes internas e terceiros possam colaborar no tratamento de incidentes.

1) Identificar processos de RI que precisam de melhorias;

2) Aborde a causa subjacente ou raiz para evitar que o incidente aconteça novamente.

1•Inspeção estática de pacotes (sem estado): Esta é a primeira geração de firewalls que se concentra na filtragem baseada em regras de informações de cabeçalho de pacotes.

2. Firewall com estado: Baseado na primeira geração, o firewall de segunda geração adiciona uma compreensão do contexto de comunicação (estado) e fornece proteção mais flexível e inteligente.

3. Firewall de aplicativo Web (WAF) e gateway de API: Esses tipos específicos de firewall não correspondem diretamente a uma determinada geração de firewall, mas são soluções dedicadas para cenários de aplicativos específicos (como aplicativos Web e APIs).

4. Firewall baseado em host: Também não corresponde diretamente a uma determinada geração de firewalls, mas é uma proteção implantada em um único host para fornecer uma camada adicional de segurança além do firewall da rede.

5. Firewall de próxima geração (NGFW): Muitas vezes considerado a terceira geração de firewalls, integra vários recursos de segurança. Como firewall com estado, gateway API, detecção de intrusão e serviços VPN, etc., fornecendo um firewall de segurança de rede mais abrangente

Este conceito surge em redes definidas por software (SDN) e ambientes de nuvem e não está diretamente relacionado a uma geração específica de firewall. Eles são funcionalmente semelhantes aos firewalls, mas são mais flexíveis e escaláveis ​​em ambientes virtualizados.

1. Função: Detectar tentativas de invasão do sistema.

2. Digite:

3. Como funciona: Um dispositivo passivo que analisa tráfego ou atividade e detecta atividades que correspondam a padrões maliciosos ou que se desviem da operação normal ou esperada do sistema.

4. Resposta: Gera um alerta que requer ação humana.

1. Função: Detectar e reagir a tentativas de invasão do sistema.

2. Digite:

3. Como funciona: um dispositivo ativo que analisa tráfego ou atividade e detecta atividades que correspondam a padrões maliciosos conhecidos ou que se desviem da operação normal ou esperada do sistema.

•Resposta: Tomar ações preventivas automaticamente, como implementar novas regras de firewall.

1. NIDS/NIPS

2. ESCONDIDOS/QUADRIS

•Custos mais baixos

•Perícia

•Controle inferior

•Risco de terceiros serem alvos

•Despesas adicionais de gerenciamento de terceiros

•Centro de Operações de Segurança (SOC): operações SOC parcial ou totalmente terceirizadas

• Análise Forense Digital e Resposta a Incidentes (DFIR): Como uma extensão da vigilância contínua, fornecida pelo MSSP

Inteligência de ameaças: Fornece informações sobre ameaças potenciais à organização, que podem ser combinadas com monitoramento contínuo, avaliação de riscos e tecnologia SOAR

é um ambiente isolado com capacidade limitada de conexão com recursos fora da sandbox.

•Análise de vírus: execute malware em máquinas virtuais isoladas. Prevenir a infecção de outros sistemas

•Prova de conceito: experimente em um ambiente isolado sem afetar a integridade dos dados do sistema de produção

Controle o comportamento do tempo de execução do aplicativo por meio de um conjunto restritivo de regras

Exemplo: o sistema iOS da Apple restringe o acesso de aplicativos a dados e funcionalidades

Adicione uma camada extra de segurança ao seu smartphone

Um aplicativo específico é instalado no telefone do usuário que permite acesso aos dados organizacionais, mas restringe o acesso a dados externos

•Informações usadas para detectar ou coletar tentativas não autorizadas de acesso a dados e sistemas de informação

Os honeypots parecem ser recursos valiosos, mas na verdade não contêm dados importantes.

•Distraia os invasores e proteja alvos de alto valor

•Coletar informações do invasor, como endereço IP

•Existem questões legais relativas ao uso de honeypots/honeynets em diferentes jurisdições, particularmente no que diz respeito à armadilha

• Fornece uma maneira simples de implantar e monitorar dispositivos honeypot

• Lidar com desafios legais relacionados ao honeypot e evitar problemas de armadilha

•Alertas gerados podem ser integrados a ferramentas SIEM ou SOAR

O primeiro software antivírus (A/V), à medida que as ameaças evoluíram, foi gradualmente substituído por software antimalware (A/M).

Adote um modelo de defesa em camadas para garantir que o tráfego e a atividade sejam minuciosamente verificados para detectar comportamentos indesejados

Pode ser implantado em recursos críticos, como servidores de e-mail, servidores de compartilhamento de arquivos e ferramentas de monitoramento de rede

•Solução Endpoint Detection and Response (EDR): combina recursos A/M, firewall de host, monitoramento de integridade de arquivos e UEBA

•Serviço gerenciado de detecção e resposta (MDR): combina recursos de detecção com serviços de segurança de terceiros para lidar com riscos de segurança de endpoint

• Ferramentas baseadas em assinatura: encontre arquivos específicos ou padrões de atividade associados a malware conhecido

•Detecção heurística: depende de análise estatística de padrões de atividade para detectar comportamento potencialmente malicioso

• Ações pós-detecção: colocar arquivos ou sistemas afetados em quarentena, gerar alertas

•Integração de alertas: integre-se com ferramentas SIEM para monitoramento e resposta centralizados ou com SOAR para resposta automatizada a incidentes

• Detecte e responda a incidentes com mais rapidez

•Se configurado corretamente, o erro humano pode ser eliminado da tomada de decisões

A natureza de caixa negra da tomada de decisões: é difícil detetar erros ou compreender os resultados, pelo que pode ser difícil agir com base em alertas.

•Caça a ameaças: procura por ameaças que possam explorar vulnerabilidades desconhecidas.

•Verificação de vulnerabilidades: detecta automaticamente vulnerabilidades conhecidas, como configurações inseguras ou software sem patch.

•Confronto Vermelho-Azul: A equipe vermelha realiza testes de alvo em ativos específicos e a equipe azul conduz a defesa.

•Testes de penetração e recompensas de bugs: testes manuais para encontrar vulnerabilidades.

•Automatize processos e fluxos de trabalho de gerenciamento de vulnerabilidades usando ferramentas SOAR.

1) Crie uma solicitação de mudança: documente o propósito, a justificativa, a pessoa responsável, os recursos necessários e o impacto esperado da mudança.

2) Revisão de mudanças: O comitê de controle de mudanças ou conselho consultivo de mudanças (CCB ou CAB) conduz uma revisão para avaliar o valor comercial, o impacto e os riscos potenciais da mudança.

3) Aprovação de Mudança: Executada pelo responsável conforme plano registrado.

4) Coordenar questões de segurança: Garantir que os processos relevantes sejam seguidos durante a aquisição e implantação de novo hardware.

•Alterações padrão: baixo risco, improvável de ter impacto negativo, pré-aprovadas. Por exemplo: aplique patches padrão, adicione ativos padrão e instale software aprovado.

•Mudanças normais: exigem um processo completo de gerenciamento de mudanças. A implementação é programada de acordo com reuniões regulares do Comitê de Mudança.

•Mudanças emergenciais: responda a emergências, como incidentes de segurança. Tomada de decisão simplificada ou processos mais leves podem ser empregados para equilibrar segurança e velocidade.

Relevante para os objetivos de segurança de disponibilidade, identifique ativos e funções críticas por meio de análise de impacto nos negócios (B/A) e projete estratégias de recuperação para equilibrar necessidades e custos de disponibilidade.

•Recovery Time Objective (RTO): O tempo necessário para restaurar um sistema ou processo usando procedimentos de emergência.

•Recovery Point Objective (RPO): A quantidade de perda de dados que pode ser tolerada no caso de um desastre.

•Tempo de inatividade máximo tolerado (MTD ou MAD): O tempo que uma organização pode sobreviver sem que um ativo ou processo esteja disponível para uso.

•Backup completo: Fazer backup de todos os dados leva mais tempo e ocupa mais espaço.

• Backup incremental: faz backup dos dados que foram alterados desde o último backup completo ou incremental. É o mais rápido, mas leva mais tempo para restaurar.

•Backup diferencial: Faz backup de todos os dados que foram alterados desde o último backup completo, de forma mais rápida e com menores requisitos de armazenamento.

Mantenha pelo menos três cópias dos dados, duas cópias são armazenadas localmente ou no local, incluindo a cópia dos dados mestres, e uma cópia é armazenada em um backup remoto offline.

Integridade e confidencialidade do backup:

•Serviços em nuvem, como software como serviço (SaaS), configurados para alta disponibilidade, replicação automática de dados e persistência de dados

•Use infraestrutura como serviço (laas) ou plataforma como serviço (paas) como solução de armazenamento de backup.

•Avalie a compensação entre perda de controle físico de dados e economia de custos ao usar serviços em nuvem. Criptografar dados antes de armazená-los em um ambiente de nuvem pode ser uma medida de segurança eficaz.

•Local frio: instalação vazia, requer configuração de equipamentos e utilidades, maior tempo de recuperação e menor custo.

•Local quente: Possui alguns equipamentos e requer um certo grau de construção.

·Hot site: Possui as mesmas instalações e dados do site principal, é caro, mas ajuda a cumprir o RTO ou RPO de curto prazo.

· Vantagens: Metadados integrados para sites de multiprocessamento. Possui alta confiabilidade.

•Desvantagens: Maiores custos com aluguéis, pessoal e equipamentos.

Refere-se à capacidade do sistema de resistir a falhas e depende de um projeto que leva em conta as falhas e incorpora ações corretivas.

Forneça redundância e reencaminhamento dinâmico através de tecnologias como balanceadores de carga ou clustering para garantir a disponibilidade contínua do sistema.

Uma função na tecnologia de rede que prioriza tráfego importante, como dados de missão crítica ou urgentes.

De acordo com os níveis do Uptime Institute, diferentes níveis de data centers podem fornecer graus variados de tempo de atividade garantido diante de interrupções.

Sistemas que podem tolerar falhas de hardware, software ou processamento de dados e continuar a operar, como sistemas RAID e de banco de dados.

1. Os profissionais de segurança são frequentemente responsáveis ​​pela resposta inicial a situações de desastre.

2. As ações necessárias para responder a um desastre variam dependendo do tipo de desastre. As pessoas têm capacidades limitadas de tomada de decisão durante situações estressantes, por isso é melhor ter planos de resposta e ação pré-aprovados nos planos de recuperação de desastres e continuidade de negócios.

3. Algumas tarefas que precisam ser abordadas no plano incluem:

4 Documente todas as operações para apoiar as revisões pós-desastre e forneça as evidências necessárias para seguros ou ações legais.

•Inclui funcionários e gestores que precisam saber informações sobre o incidente e como participar da resposta.

•Os métodos de comunicação podem ser ativos (como uma árvore telefônica) ou passivos (como mensagens postadas em um site).

•O método de comunicação escolhido deve levar em consideração a criticidade de quem o recebe e a mensagem transmitida.

•Inclui clientes, público, parceiros de negócios e fornecedores afetados por emergências organizacionais.

•Obrigações legais ou contratuais podem ditar a forma como as comunicações são conduzidas com partes interessadas externas, tais como avisos de privacidade em caso de violação de dados.

•Use métodos de comunicação ativos e passivos conforme apropriado, como notificar clientes de forma proativa ou emitir novas consultas.

•A comunicação segue o princípio de uma só voz: A organização deve ter uma voz unificada ao comunicar com as partes interessadas externas (como os meios de comunicação social ou o público), e este princípio deve ser incluído como parte da formação.

•Semelhante a uma avaliação de riscos, o objetivo principal é identificar impactos e priorizar respostas.

•A natureza e a origem do desastre (tal como provocado pelo homem ou natural) e a prioridade das ações de recuperação (tais como evacuação de pessoal ou encerramento normal e realocação de equipamento para instalações de backup) precisam ser determinadas.

•O processo de avaliação pode ser contínuo e a equipa de resposta deve identificar os impactos actuais e possíveis futuros do evento ou desastre.

•Devem ser comunicados à administração e aos tomadores de decisão para determinar a direção correta de ação.

•Se existir um bom plano de BCDR, a resposta deverá seguir determinados procedimentos ou etapas e ser adaptada ao desastre específico.

• Estas medidas precisam de dar prioridade à vida, à saúde e à segurança, ao mesmo tempo que consideram o impacto nos clientes, as obrigações regulamentares e os custos diretos e indiretos (tais como perda de receitas e danos à reputação).

•Após a recuperação, avalie o impacto global do desastre ou evento.

•A avaliação deve incluir o custo financeiro geral para a organização (incluindo custos de recuperação e qualquer perda de negócios ou produtividade), bem como informações sobre como melhorar as operações de desastre e continuidade no futuro.

•O registro e a aplicação das lições aprendidas serão discutidos com mais detalhes nos capítulos subsequentes.

•Restaurar o local ou instalação original afetada pelo desastre.

•Restaurar funções críticas de negócios.

•Retomada dos níveis normais de serviço nos principais locais.

•Texto das pessoas específicas que consomem cogumelos nos planos C e DR.

•E o papel da equipe de segurança na restauração dos serviços de TI e na garantia dos controles de segurança.

•As equipes de RH, finanças e jurídica podem desempenhar papéis importantes em certos tipos de desastres.

•Garantir que o conhecimento permaneça atualizado.

• Realize exercícios regulares de incêndio ou evacuação.

•Realizar testes e simulações de rotina do plano BC ou DR para treinamento cruzado e atualização do conhecimento do pessoal-chave.

•Revisão regular dos planos BC e DR

•Revisão formal após a conclusão da recuperação

•Aproveitar as lições aprendidas para otimizar planos e processos

•Identificar pontos fortes e fracos no plano

•Analisar o impacto do comportamento dos funcionários no processo de recuperação

•Conduzir análises post-mortem e de causa raiz

•Identificar os pontos fortes em um plano ou resposta

•Identificar potenciais oportunidades de melhoria

•Aplicar as informações coletadas ao programa BCDR e melhorias de processo

•O teste BCDR mais simples

•Discutir planos com várias partes interessadas

• Revise as principais informações e processos

• Pratique exercícios em cenários da vida real

•Operações locais com participantes importantes

•Identificar possíveis problemas e suposições

• Semelhante a uma simulação de incêndio

• Responder a cenários específicos

•Verificar o objetivo do tempo de recuperação (RTO) e o objetivo do ponto de recuperação (RPO)

•Teste sistemas ativos e de backup simultaneamente

•Garantir que os sistemas de backup possam suportar a carga real

•Descubra erros de configuração ou problemas de backup de dados

•Simule um desastre real

• Alto custo, que pode afetar as operações normais

•Identificar todos os problemas nos planos e processos do BCDR

1. Mudanças nos requisitos de segurança durante operações de emergência, fornecer sugestões de mudanças nos requisitos de segurança para implementar ou gerenciar medidas para lidar com novos requisitos

2. Orientações sobre alterações nos planos BC e DR

3. Projetar cenários de teste e simulação

•Áreas públicas: estradas, calçadas, saguões, estacionamentos

• Entradas e saídas do local: recepção, porta de entrada, área de carga e descarga

•Instalações externas: gerador de backup, serviços públicos, estacionamento

•Instalações operacionais: espaço de escritório, salas de reuniões

•Instalações de alta segurança: data centers, cofres, SCIF

•Controles Preventivos: Controles projetados para evitar a ocorrência de incidentes de segurança. Por exemplo, sistemas de controle de acesso, cercas e fechaduras podem impedir a entrada de pessoas não autorizadas nas instalações.

•Controle de ameaças: Ao criar ameaças potenciais, os invasores em potencial terão medo de atacar, reduzindo assim a possibilidade de incidentes de segurança. Por exemplo, câmaras de segurança e sinais de alerta podem fazer com que potenciais atacantes sintam que estão a ser vigiados, reduzindo a probabilidade de cometerem um crime.

•Controles de Detecção: Medidas de controle utilizadas para detectar incidentes de segurança em tempo hábil. Por exemplo, câmeras de segurança, sistemas de detecção de intrusão (IDS) e sensores de movimento podem detectar intrusões não autorizadas ou comportamento anormal.

• Controles compensatórios: controles que fornecem proteção adicional quando outros controles não conseguem prevenir ou detectar completamente incidentes de segurança. Por exemplo, o pessoal de segurança pode ser utilizado para realizar patrulhas temporárias quando os sistemas de controlo de acesso falham.

Controles de recuperação: controles que ajudam a restaurar as operações normais após um incidente de segurança. Por exemplo, geradores de reserva e planos de recuperação de desastres podem restaurar as operações de instalações críticas após um incidente.

•Controles Diretivos: Controles que direcionam o comportamento dentro de uma organização prescrevendo regras e procedimentos. Por exemplo, o treinamento, as políticas e os procedimentos operacionais de segurança podem orientar os funcionários a seguir práticas seguras.

•Controles Corretivos: Controles que tomam medidas para reparar danos ou corrigir erros após a ocorrência de um incidente de segurança. Por exemplo, investigações pós-evento, auditorias de segurança e ações corretivas podem ajudar as organizações a resolver problemas de segurança e evitar que incidentes semelhantes aconteçam novamente.

•Controles físicos: barreiras, cercas

•Controle técnico: leitor de cartão de identificação

•Controles Administrativos: Políticas e Procedimentos

•Utilizar paisagismo para fornecer segurança física

•A iluminação desempenha um papel importante na dissuasão do comportamento criminoso

•Considere a localização das janelas e os materiais com base nas necessidades de segurança das instalações

Essas instalações normalmente têm funcionários permanentemente estacionados nelas e estão sujeitas ao controle de segurança física da organização. Precisamos prestar atenção às medidas de controle, como proteção contra incêndio e controle ambiental, para garantir a segurança do pessoal e do equipamento.

• Detecção e extinção de incêndio: Estabelecer estradas de detecção de incêndio e fumaça e usar spray de água, extinção de incêndio com gás e outros métodos para reduzir o impacto do incêndio no pessoal e no equipamento.

•Controle de acesso: Divida o acesso a diferentes áreas dentro das instalações com base nas permissões dos funcionários e use cartões de acesso ou fechaduras para controlar o acesso.

•Políticas e procedimentos: Treine os funcionários para seguir procedimentos de segurança, como limpeza de mesas e bloqueio de telas, e desenvolver evacuação de emergência e outros aspectos. Materiais: Use materiais de construção apropriados, como paredes, portas e janelas, de acordo com os requisitos de segurança para melhorar a segurança.

Essas instalações geralmente incluem salas de armazenamento de evidências, instalações seguras de informações compartimentadas (SCIFs) e salas de servidores ou data centers porque armazenam ativos confidenciais ou de alto valor.

•As instalações de alta segurança precisam implementar medidas adicionais de controle de segurança, como inspeção de equipamentos de entrada e saída, controle de acesso físico em vários níveis, etc.

•Data centers são instalações especiais de alta segurança que exigem habilidades especializadas para serem projetadas e mantidas. Estas instalações exigem um nível mais elevado de segurança e muitas vezes envolvem um orçamento de segurança mais elevado.

•Padrões de projeto de referência, como as Diretrizes de Controle Térmico de Data Center da ASHRAE e as Classificações de Disponibilidade de Equipamentos de Data Center do Uptime Institute.

Quando os funcionários viajam a negócios, as empresas devem garantir a sua segurança, incluindo o fornecimento de seguro, cobertura médica, etc. Em áreas de alto risco, poderá ser necessário fornecer medidas de segurança adicionais, tais como pessoal de segurança ou transporte seguro. Ao mesmo tempo, os funcionários precisam receber treinamento sobre segurança de dispositivos para proteger os dados da empresa contra vazamentos.

Durante uma emergência, as empresas precisam se coordenar com as autoridades de resposta a emergências (como médicas, bombeiros, autoridades policiais, etc.). Ao mesmo tempo, é necessário desenvolver métodos de comunicação de backup para fornecer informações críticas quando os canais normais de comunicação estão bloqueados. Situações de emergência também podem exigir a ativação de planos de continuidade de negócios e de recuperação de desastres.

Coerção ocorre quando um funcionário é forçado a agir em violação à política da empresa devido a ameaças.

Códigos de coerção especiais ou palavras-código são usados ​​para detectar situações de coerção. Esses códigos ou palavras-código devem ser ocultados e alterados regularmente. Além disso, forneça treinamento aos funcionários de alto risco sobre como usar esses códigos e palavras-código.