OCTAVE

Operationally Critical Threat, Asset

and Vulnerability Evaluation
Avaliao Operacional Crtica de Ameaas,
Ativos e Vulnerabilidades
Andr Aparecido de Melo
Leonel Dasso
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

1/22

Viso Geral
1. O que OCTAVE?
2. Objetivos do OCTAVE
3. Segurana Dentro das Organizaes
4. Filosofia da Segurana OCTAVE
5. Principais Caractersticas
6. Funes da Equipe de Anlise
7. Onde comear?
8. Como Funciona?
9. Vida Aps o OCTAVE
10.Referencias
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

2/22

O que OCTAVE?

OCTAVE uma tcnica de avaliao de riscos e

de melhoria estratgica da segurana.
Foi criada pela Carnegie Mellon University, EUA.
Foca
nos
aspectos
tecnolgicos
e
organizacionais da empresa.
Avalia o dia-a-dia do uso da infraestrutura
computacional da organizao.
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

3/22

O que OCTAVE?
Captura, analisa o e aprimora conhecimento da
prticas de segurana de uma organizao.
Os riscos dos recursos mais importantes da
organizao so usados como parmetro de
aprimoramento destas prticas;

Informtica Para Negcios - Fatec SBC - 2 Semestre Noturno

4/22

Framework Gerencianento dos Riscos da

Informao

Informtica Para Negcios - Fatec SBC - 2 Semestre Noturno

5/22

Mtodo OCTAVE como Avaliao

Uma avaliao sobre os riscos da informao parte
integral do programa de gerenciamento de segurana da
organizao.

Informtica Para Negcios - Fatec SBC - 2 Semestre Noturno

6/22

Objetivo do OCTAVE
Planejar como aplicar boas prticas de segurana para
resolver
vulnerabilidades
tecnolgicas/tcnicas
e
organizacionais que poderiam impactar criticamente seus
ativos.
Vulnerabilidades organizacionais:
Pontos fracos da poltica ou prtica de segurana que podem
resultar em aes no-autorizadas.
Vulnerabilidades tcnicas:
Deficincias na infra-estrutura de tecnologia que podem levar
diretamente para aes no-autorizadas.
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

7/22

Segurana Dentro das Organizaes

Prticas de segurana:
- Organizacionais
- Tcnicas
Pessoal Envolvido:
- Equipe de TI
- Equipe operacional
- Gerentes
- Provedores de servio
- Parceiros
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

8/22

Segurana Dentro das Organizaes

Fontes das ameaas:

- Pessoas dentro
organizao;
- Pessoas fora da
organizao;
- Problemas no sistema;
- Outros problemas;

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

9/22

Filosofia de Segurana do OCTAVE

- impossvel prever e mitigar todos os riscos a
segurana da informao;
- Oramento, tempo e pessoa so limitados;
- Buscar melhor uso-benefcio dos recursos
disponves.

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

10/22

Diferenas

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

11/22

Principais Caractersticas
- Uma equipe da prpria empresa (equipe de anlise)
lidera avaliao;
- Tanto a perspectivas do negcio quanto quanto a
estrutura de TI so so avaliadas como fator global nas
polticas de segurana;
-

Auto-dirigida: As prprias pessoas da organizao

realizam avaliao;
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

12/22

Onde comear?
O que voc precisa para proteger? (Ativos ou Informaes)
O que uma falha pode causar? (Impacto na organizao)
Quais vulnerabilidades existem em seu ambiente?
(Organizacionais e/ou tecnolgicas)
Quanto proteo que voc pode pagar? (Recursos e
oramento)
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

13/22

Funes da Equipe de Anlise

- Identificar e relacionar informaes de ativos que so
importantes para organizao;
- Focar a anlise nos ativos mais importantes;
- Relacionar as vulnerabilidades e ameaas que afetam
estes ativos;
- Buscar na avalio sempre o contexto operacional;
- Criar planos estratgicos prticos de mitigao e
proteo aos riscos de segurana.

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

14/22

Como Funciona?
O Mtodo OCTAVE se devolve em trs fases:
Fase 1- Criao de Perfis de Ameaas Baseados nos Ativos
Identificados:
- Importantes ativos identificados;
- O que feito para proteger estes ativos;
- Os requerimentos de segurana que estes ativos
precisam so identificados.

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

15/22

Como Funciona?
Fase 2- Identificao das Vulnerabilides de
Infraestrutura:
- Importantes ativos identificados;
- O que feito para proteger estes ativos;
- Os requerimentos de segurana que estes
ativos precisam so identificados.

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

16/22

Como Funciona?
Fase 3- Desenvolvimento de Planos e Estratgias:
- Identifica os riscos a ativos crticos;
- Desenvolvimento dos planos estratgicos
de mitigao das ameaas baseando-se no que foi
avaliado nas etapas anteriores.

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

17/22

Como Funciona?

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

18/22

Resultados
Estratgia de
Proteo
Plano de Mitigao

Lista de Aes

Define a direo da
organizao
Planos desenhados
para reduo de
riscos
Aes de curto-prazo

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

19/22

Vida Aps o OCTAVE

Melhorias so feitas;
Progresso monitorado;
Riscos so re-avaliados e planos so
reajustados;
Novos ativos crticos so analizados;
Periodicamente repetir o OCTAVE.
Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

20/22

DVIDAS ?

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

21/22

Referncias:
1. International Standards Organization (ISO), Information Technology Security Techniques
Information Security Management Systems - Requirements, (1stedition) ISO/IEC Publications,
Switzerland, 2005.
2. OCTAVE Method Implementation Guide V ersion 2.0.
3. OCTAVES Implementation Guide, V ersion 1 .0

Informtica Para Negcios - Fatec SBC - 2 Semestre - Noturno

22/22