O que é Gestão de Vulnerabilidades?

Para responder a está pergunta com clareza, se faz necessário compreender primeiramente alguns termos e definições comuns a segurança da informação como por exemplo:

• Ativo: Imagine tudo que tem valor para a sua organização, seja um computador, um software, um banco de dados ou até mesmo a reputação da empresa, tudo isso é considerado um ativo.

• Inventário de Ativos: O inventário de ativos consiste na identificação e catalogação de todos os ativos da empresa.

• Incidente de Segurança da Informação: É qualquer evento que coloca em risco a confidencialidade, integridade ou disponibilidade dos ativos da empresa.

Adicionalmente se faz necessário ter claro as diferenças entre Vulnerabilidade, Risco e Ameaça, conforme detalhes sucintos a seguir:

• Vulnerabilidade: Fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças.

• Ameaça: Qualquer agente que possa explorar as vulnerabilidades e causar danos, por exemplo um cracker, um vírus, um malware ou até mesmo um funcionário descontente.

• Risco: Representa a probabilidade de um incidente de segurança acontecer, causando prejuízos à organização.

Tendo em vista o conhecimento e entendimento dos itens citados acima, é possível afirmar de forma objetiva, que o gerenciamento de vulnerabilidades é um conjunto de processos que visa dar luz as fragilidades existentes nos ativos da empresa, sejam estes ativos sistemas operacionais, aplicativos corporativos, navegadores, aplicativos de usuário final, entre outras tecnologias que compõem as soluções utilizadas no ambiente computacional da companhia para tratamento dos dados.

O processo de gerenciamento de vulnerabilidades, pode ser dividido em quatro fases cruciais:

1. Identificação: O principal objetivo nesta fase, é encontrar e detectar vulnerabilidades em softwares, hardwares e redes.

Os métodos comumentes utilizados nesta fase são:

• Scanners de vulnerabilidades: Ferramentas automatizadas que vasculham sistemas em busca de falhas conhecidas.

• Testes de penetração: Simulações de ataques reais realizadas por especialistas em segurança.

• Análise manual de código: Revisão do código-fonte de softwares para identificar falhas de segurança.

2. Avaliação: Uma vez concluída a primeira etapa, se faz necessário analisar a severidade e o impacto potencial de cada vulnerabilidade encontrada.

Alguns dos fatores a serem considerados nesta avaliação são:

• Explorabilidade: Quão fácil é explorar a vulnerabilidade.

• Impacto: O que pode acontecer se a vulnerabilidade for explorada (perda de dados, indisponibilidade de serviços, etc.).

• Ameaças: Quais tipos de ameaças podem explorar a vulnerabilidade (hackers, malware, etc.).

• Ativos afetados: Quais sistemas, dados e aplicações são afetados pela vulnerabilidade.

3. Classificação: Terminada a etapa de avaliação, deve-se iniciar a classificação e priorização das vulnerabilidades de acordo com o seu risco e urgência de remediação.

Alguns critérios comuns para a classificação são:

• Severidade: Quão grave é a vulnerabilidade (crítica, alta, média, baixa).

• Explorabilidade: Quão fácil é explorar a vulnerabilidade.

• Impacto: O que pode acontecer se a vulnerabilidade for explorada.

• Recursos disponíveis: Quais recursos a organização tem para remediar a vulnerabilidade.

4. Correção: Após aplicação das etapas de Identificação, Avaliação e Classificação das vulnerabilidades, com os insumos obtidos nestas fases é  hora de corrigir os itens identificados, sendo possível nesta etapa definir estratégias para Eliminação ou Redução dos Riscos de exploração das vulnerabilidades.

Alguns dos métodos comuns nesta fase são:

• Aplicação de patches: Atualizações de software que corrigem as vulnerabilidades.

• Configurações de segurança: Alteração das configurações dos sistemas para reduzir o risco de exploração.

• Substituição de componentes: Troca de hardware ou software vulnerável por versões mais seguras.

• Mitigação: Implementação de medidas para reduzir o impacto da exploração da vulnerabilidade, caso ela ocorra (planos de backup, firewalls, etc.).

O gerenciamento de vulnerabilidades é um processo contínuo e cíclico, uma vez concluídas as etapas de Identificação, Avaliação, Classificação e Correção, as mesmas devem ser executadas de forma contínua e ordenada, pois uma vez corrigidas as vulnerabilidades identificadas no primeiro ciclo, novos itens de segurança surgirão, e a contínua avaliação do ambiente auxiliará na descoberta de novas vulnerabilidades desconhecidas, desde o último processo realizado e assim sucessivamente.

Empresas que implementam um processo eficaz de gestão de vulnerabilidades, elevam o grau de maturidade da instituição bem como conseguirão:

• Reduzir o risco de ataques cibernéticos.

• Proteger seus dados confidenciais.

• Manter a disponibilidade de seus sistemas e serviços.

• Atender aos requisitos de conformidade regulatória entre outros.