Realizando uma Avaliação de Risco Cibernético com o NIST SP 800-30

Quando Usar

• Quando a organização precisa de uma avaliação de risco real — uma análise de ameaças, probabilidades e impactos específicos — em vez de uma pontuação de maturidade contra um framework. (A maturidade informa o quão maduras são suas práticas; uma avaliação de risco informa o que pode te prejudicar e quão gravemente.)
• Quando outro framework exige uma análise de risco documentada como entrada obrigatória: NIST CSF (ID.RA), ISO 27001 (Cláusula 6.1.2), NIST RMF / 800-37 (etapas Prepare e Select), SOC 2 (CC3), PCI DSS ou HIPAA (§164.308(a)(1)(ii)(A)).
• Ao implantar ou alterar significativamente um sistema e você precisa entender seu risco antes da autorização ou entrada em produção.
• Quando a liderança solicita os principais riscos da organização, classificados, com uma justificativa que eles possam defender para um conselho ou regulador.
• Ao construir ou atualizar um registro de riscos corporativos.

Pré-requisitos

• Um inventário de ativos, sistemas e os tipos de informação que eles manipulam (limite do sistema definido).
• Acesso a inteligência de ameaças (histórico de incidentes internos, feeds ISAC do setor, MITRE ATT&CK) para fundamentar a probabilidade de eventos de ameaça em comportamentos observados.
• Dados de vulnerabilidade (resultados de varreduras, descobertas de testes de penetração, revisão de configuração/arquitetura) para os sistemas incluídos no escopo.
• Contexto de negócios: quais missões/processos os sistemas suportam e qual impacto na confidencialidade, integridade ou disponibilidade significaria em termos de negócios.
• Acordo sobre o modelo e as escalas de risco antes da pontuação, para que os resultados sejam comparáveis e repetíveis (veja references/standards.md).
• Familiaridade com o contexto de gerenciamento de risco de três níveis do NIST SP 800-39 (organização, processo de missão/negócios, sistema de informação).

Fluxo de Trabalho

O NIST SP 800-30 Rev 1 define quatro etapas. As etapas 1 e 4 delimitam a avaliação; a Etapa 2 é o núcleo analítico.

1. Preparar para a avaliação

Definir e documentar:

• Propósito (por exemplo, apoiar uma decisão de autorização, informar a seleção de controles, satisfazer a ISO 6.1.2).
• Escopo — nível organizacional (Nível 1/2/3), sistemas e horizonte de tempo.
• Suposições e restrições (por exemplo, assumir uma ameaça adversarial externa com capacidade moderada).
• Fontes de informação — entradas de ameaças, vulnerabilidades e impactos.
• Modelo de risco e abordagem analítica — os fatores (fonte de ameaça, evento de ameaça, vulnerabilidade, probabilidade, impacto) e as escalas (qualitativas Muito Baixo–Muito Alto, ou semiquantitativas 0–10). Bloqueie-os agora.

2. Conduzir a avaliação

Trabalhe nas tarefas analíticas em ordem. Os apêndices do 800-30 fornecem as taxonomias de referência (D–I).

2a. Identificar fontes de ameaça (Apêndice D). Classificar por tipo: Adversarial (indivíduos, grupos, estados-nação — caracterizar capacidade, intenção, alvo), Acidental (erro do usuário), Estrutural (falha de equipamento/software), Ambiental (desastres naturais, interrupções de infraestrutura).

2b. Identificar eventos de ameaça (Apêndice E). As ações específicas que uma fonte poderia tomar (por exemplo, "adversário exfiltra credenciais via phishing e depois se move lateralmente"). Mapear eventos adversariais para técnicas do MITRE ATT&CK para rastreabilidade.

2c. Identificar vulnerabilidades e condições predisponentes (Apêndice F). Fraquezas (falta de MFA, serviço sem patch) e condições que tornam a exploração mais ou menos provável (exposição à internet, rede plana, falta de segmentação).

2d. Determinar a probabilidade (Apêndice G). Avaliar a probabilidade de um evento de ameaça ser iniciado (adversarial) ou ocorrer (não adversarial), e a probabilidade de resultar em impacto adverso dadas as vulnerabilidades. Combinar em uma probabilidade geral na escala acordada.

2e. Determinar o impacto (Apêndice H). Magnitude do dano se o evento for bem-sucedido — para operações, ativos, indivíduos, outras organizações ou a nação. Expressar contra a escala acordada e em termos de negócios.

2f. Determinar o risco (Apêndice I). Risco é uma função de probabilidade e impacto. Plotar cada evento de ameaça na matriz de risco (por exemplo, probabilidade × impacto → Muito Baixo … Muito Alto). Registrar o nível de risco, os fatores contribuintes e a incerteza/suposições.

3. Comunicar e compartilhar resultados

Produzir o registro de riscos e um briefing executivo. Para cada risco: o evento de ameaça, ativos afetados, probabilidade, impacto, nível de risco, principais vulnerabilidades contribuintes e um tratamento recomendado. Classificar por nível de risco para que os tomadores de decisão vejam os principais riscos primeiro.

4. Manter a avaliação

…