Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Blog da Tenable

Inscrever-se

Como calcular a eficácia do seu programa de segurança cibernética: 5 perguntas a serem feitas

Na hora de calcular a eficácia da sua segurança, compreender como seu programa se sai quando comparado com outros similares pode revelar onde melhorias ou investimentos importantes se fazem necessários. 

Sempre foi desafiador provar o sucesso na segurança cibernética: se você está na defensiva e nada de ruim acontece, é esperto ou sortudo? Expandir a sua perspectiva sobre a eficiência da sua organização é um passo crucial para melhorar sua higiene cibernética. 

Ao mesmo tempo em que novas explorações ou ataques de dia zero ganham as manchetes, a causas mais comuns de violações são familiares e previsíveis. De acordo com a Retrospectiva do cenário de ameaças 2020 da Tenable Research, essas incluem:

  • Vulnerabilidades antigas e sem patches;

  • Administração e processos de configuração deficientes;

  • Monitoramento de ativos insuficiente.


Compreender seu processo de gerenciamento de vulnerabilidades é fundamental para avaliar o risco cibernético

Verificar seu ambiente e lidar com riscos inaceitáveis de modo priorizado são os dois pilares de qualquer programa de segurança eficaz.  Porém, às vezes, as organizações não têm uma compreensão ampla desses processos. Duas medições críticas que você precisa ter na palma da mão são:

  • Maturidade da avaliação: Esta métrica oferece as informações dos seus processos de verificação para garantir que sua equipe está operando com uma imagem completa e precisa da sua superfície de ataque em evolução

  • Maturidade de correção: Esta métrica lhe permite avaliar o quão oportuno e proativo você está sendo ao mitigar riscos críticos


Os parâmetros de comparação entre pares revelam onde os principais investimentos são necessários

Por si próprias, as métricas do processo de gerenciamento de vulnerabilidades não dizem tudo o que você precisa saber. Você precisa de perspectiva para entender em qual nível elas estão no contexto do seu grupo de pares. Seja qual for o seu setor, você não quer estar no fim da fila. Mas, sem os parâmetros de comparação com pares, é difícil saber se você está indo bem.

Quando você pensa nos fundamentos da sua higiene cibernética (avaliação e correção), você precisa saber: 

  1. Como estou me saindo?

  2. Qual é minha situação em comparação aos meus pares?
  3. Que ações específicas eu preciso executar para melhorar? 


As respostas para estas perguntas lhe ajudarão a compreender e expressar como suas unidades de negócios estão indo internamente e em comparação com pares externos. Elas também lhe ajudarão a solicitar o orçamento e alocar recursos. Imagine um professor mostrando a sua nota em um gráfico e lhe dizendo exatamente o que você precisa fazer para tirar uma nota 10.

Cinco perguntas para descobrir o nível de maturidade do seu programa de segurança

1. Com que frequência você verifica a maioria dos seus ativos?


É aqui que a sua jornada para a maturidade se inicia.  Ao responder a essa pergunta com clareza, você começará a entender quais recursos internos você tem, como traçar uma meta que faça sentido e quais métricas cruciais você poderá obter.


  • 
Com a verificação indo bem, você pode fazer perguntas adicionais, como: 
  • O quanto do seu ambiente você está verificando com regularidade?

  • Aproximadamente, quanto tempo está se passando entre as verificações?

  • Estes comportamentos variam entre unidades de negócio ou localizações geográficas? 

  • Estas áreas estão separadas pela criticidade do ativo para o seu negócio, o tipo do ativo, a geolocalização do ativo ou outros fatores? 

  • Quais são os requisitos de SLA para cada uma destas categorias? 



Se o ciclo de verificação (o tempo entre verificações) for longo, as vulnerabilidades ficarão escondidas e sem correção por mais tempo.  Você não precisa somente quantificar o risco: você precisa identificá-lo rapidamente. Para que você entenda melhor, uma organização verifica seus ativos a cada quatro dias em média, de acordo com a Tenable Research.

2. Qual é a porcentagem de vulnerabilidades abertas que você está detectando?



A autenticação é o primeiro passo em uma triagem. Você não consegue quantificar o que não consegue ver. Quando a redução de riscos é o objetivo, autenticar a toda hora e em todo lugar é crítico. No fim das contas, fazer a avaliação mais profunda e ampla possível de um ativo é um passo fundamental para saber onde os riscos estão, quais ativos/funções de negócios estão sendo afetados e o que você precisa fazer para corrigir e reduzir riscos. Sem saber a extensão, a criticidade, o impacto e os requerimentos do trabalho, simplesmente não existe um modo eficaz de gerenciar o risco e criar um programa mais maduro, que consiga lidar apropriadamente com os riscos e reduzi-los no futuro. A Tenable Research mostra que verificações baseadas em credencial detectam, em média, 45 vezes mais vulnerabilidades por ativo do que verificações não são baseadas em credencial. Mesmo assim, 60% dos ativos corporativos são verificados sem credenciais locais, gerando falso-negativos. 


3. Com que velocidade você está lidando com vulnerabilidades de alto risco?


De acordo com o Relatório de Informações sobre Vulnerabilidade da Tenable, 18.358 novas vulnerabilidades foram identificadas em 2020, mas somente 5,2% tinham uma exploração disponível publicamente. Você precisa corrigir o que importa primeiro. Reduzir o risco da maneira mais eficiente e eficaz requer uma compreensão da velocidade com que você está lidando com as vulnerabilidades que identificou como de alto risco em ativos com importância alta ou crítica para suas funções de negócio. Entender a natureza da ameaça que uma vulnerabilidade traz envolve a descoberta das características que tornam essa vulnerabilidade atraente para os invasores, em conjunto com a threat intel para descobrir as informações que rodeiam essa vulnerabilidade específica no mundo real. Não dá para gastar recursos valiosos em vulnerabilidades que representam pouca ou nenhuma ameaça.

4. Qual é a porcentagem de ativos que tem proteção de endpoints?


A segurança de endpoints é uma camada necessária de defesa, entre outras.  Você precisa saber se seus sistemas têm os programas de segurança necessários instalados e se você está ciente de quaisquer softwares não autorizados ou potencialmente perigosos instalados nestes ativos. Mas isso não é somente uma questão de malware. Por exemplo, isso pode envolver violações de políticas, tais como ter um telnet aberto quando não é permitido que o telnet esteja disponível em nenhum sistema corporativo. O risco de não fazer esta pergunta é simplesmente de que você pode não saber se os controles estão nos lugares que você acha que estão. Este é um problema muito comum. Somente 44% dos líderes de InfoSec disseram que suas organizações têm uma boa visibilidade da segurança de seus ativos mais críticos, de acordo com um estudo encomendado e conduzido pela Forrester Consulting para a Tenable.


5. Você está reduzindo o risco cibernético nas funções principais do seu negócio?


O estudo da Forrester também revelou que somente 4 entre 10 líderes em segurança conseguem responder à seguinte pergunta com muita convicção: “Qual é nosso nível de segurança?” É uma pergunta simples, mas que pode ser enlouquecedoramente difícil de responder sem a inteligência e as métricas certas. 
Em um nível executivo, entender se um risco está sendo reduzido em várias funções de negócios (equipes, geolocalizações, tipos de ativos etc.) se alinha com os objetivos da empresa, demonstra valor e retorno de investimentos no orçamento dado para o programa de segurança. Em um nível estratégico, a resposta para esta pergunta ajuda os dirigentes a tomar decisões melhores no dia a dia sobre onde o programa está funcionando melhor (e, assim, como replicar isso para outras áreas) e onde não está tão bem. Em um nível tático, aqueles responsáveis por corrigir e aplicar patches precisam entender como suas ações estão direcionando suas funções de negócios em particular para a direção certa, e também como suas ações são comunicadas para as camadas superiores, até chegar no nível executivo. 

Sem respostas precisas para essas perguntas, você pode não saber se realmente está reduzindo o risco. Além disso, você pode acabar não notando algumas áreas da organização que estão tendo dificuldades para reduzir riscos ou colocando o restante da organização em perigo devido à sua inabilidade de mitigar os riscos. 

Leve seu programa de segurança para outro patamar e reduza sua cyber exposure

Ao dar respostas francas para essas cinco perguntas, você pode colocar seu programa no caminho do sucesso com uma base de inteligência de segurança, risco cibernético e métricas de integridade do processo que calculam as melhorias ao longo do tempo. E, ao comparar suas métricas com as equipes internas e outras empresas do setor, você pode identificar onde melhorias mais críticas são necessárias. Por exemplo, seu departamento de contabilidade pode ter uma cobertura de verificação autenticada inadequada ou seu programa pode não estar corrigindo problemas críticos rápido o bastante em comparação com pares do setor.


Onde quer que seu programa esteja na jornada de maturidade, a Tenable pode ajudar ao monitorar automaticamente as métricas de processos críticos e destacar falhas onde investimentos adicionais podem ter o maior impacto na redução de riscos. Assim que você tiver esse panorama completo, poderá começar a priorizar seus esforços e jogar no ataque, lidando ativamente com as vulnerabilidades que os invasores estão mais inclinados a explorar. 

Saiba mais

Artigos relacionados

As notícias de segurança cibernética mais relevantes

Informe seu e-mail e nunca mais perca os alertas oportunos e orientações de segurança dos especialistas da Tenable.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes.

Sua avaliação do Tenable Vulnerability Management também inclui o Tenable Lumin e o Tenable Web App Scanning.

Tenable Vulnerability Management

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

100 ativos

Escolha sua opção de assinatura:

Compre já

Experimente o Tenable Web App Scanning

Aproveite o acesso total à nossa mais recente oferta de verificação de aplicações Web, projetada para aplicações modernas, como parte da Plataforma de gerenciamento de exposição Tenable One. Verifique com segurança em busca de vulnerabilidades em todo o seu portfólio on-line com um alto grau de precisão sem grandes esforços manuais ou interrupção de aplicações Web críticas. Inscreva-se agora mesmo.

Sua avaliação do Tenable Web App Scanning também inclui o Tenable Vulnerability Management e o Tenable Lumin.

Comprar o Tenable Web App Scanning

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

5 FQDNs

US$ 3.578,00

Compre já

Avalie o Tenable Lumin

Visualize e explore o gerenciamento de exposição, acompanhe a redução de riscos ao longo do tempo e faça comparações com seus pares por meio do Tenable Lumin.

Sua avaliação do Tenable Lumin também inclui o Tenable Vulnerability Management e o Tenable Web App Scanning.

Compre o Tenable Lumin

Entre em contato com um representante de vendas para ver como o Tenable Lumin pode ajudar você a obter insights em toda a sua organização e gerenciar o risco cibernético.

Experimente o Tenable Nessus Professional gratuitamente

GRATUITO POR POR 7 DIAS

O Tenable Nessus é o verificador de vulnerabilidade mais abrangente do mercado atualmente.

NOVIDADE: Tenable Nessus Expert
Já disponível

O Nessus Expert adiciona ainda mais recursos, incluindo verificação de superfície de ataque externa e a capacidade de adicionar domínios e verificações de infraestrutura em nuvem. Clique aqui para testar o Nessus Expert.

Preencha o formulário abaixo para continuar com uma avaliação do Nessus Pro.

Comprar o Tenable Nessus Professional

O Tenable Nessus é o verificador de vulnerabilidade mais abrangente do mercado atualmente. O Tenable Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos ciclos de conformidade e permitir que você envolva sua equipe de TI.

Compre uma licença para vários anos e economize. Inclua o Suporte avançado para ter acesso ao suporte por telefone, pela comunidade e por bate-papo 24 horas por dia, 365 dias por ano.

Selecione sua licença

Compre uma licença para vários anos e economize.

Adicionar suporte e treinamento

Experimente o Tenable Nessus Expert gratuitamente

GRÁTIS POR 7 DIAS

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Já adquiriu o Tenable Nessus Professional?
Atualize para o Nessus Expert gratuitamente por 7 dias.

Comprar o Tenable Nessus Expert

Desenvolvido para a superfície de ataque moderna, o Nessus Expert permite ver mais e proteger sua organização de vulnerabilidades, da TI à nuvem.

Selecione sua licença

Compre uma licença para vários anos e economize mais.

Adicionar suporte e treinamento