Pontuação de Criticidade de Ativos para Vulnerabilidades

Visão Geral

A pontuação de criticidade de ativos atribui uma classificação de impacto nos negócios a cada ativo de TI, para que os esforços de remediação de vulnerabilidades se concentrem em sistemas com o maior risco organizacional. Sem o contexto de criticidade, uma vulnerabilidade CVSS 9.0 em um servidor de teste recebe a mesma urgência que a mesma vulnerabilidade em um banco de dados de processamento de pagamentos. Esta habilidade abrange a construção de um modelo de pontuação multifatorial que incorpora sensibilidade de dados, dependência de função de negócios, escopo regulatório, exposição de rede e recuperabilidade para criar um nível de criticidade de 1 a 5 que modifica diretamente os SLAs de remediação de vulnerabilidades.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a pontuação de criticidade de ativos para vulnerabilidades
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Banco de Dados de Gerenciamento de Configuração (CMDB) ou inventário de ativos
• Dados da Análise de Impacto nos Negócios (BIA)
• Política de classificação de dados
• Documentação da arquitetura de rede
• Entrada de partes interessadas dos proprietários das unidades de negócios

Conceitos Principais

Modelo de Pontuação de Criticidade de Ativos

Definições de Nível de Criticidade

Pontuação de Sensibilidade de Dados

Fluxo de Trabalho

Etapa 1: Definir Critérios de Pontuação

class AssetCriticalityScorer:
    """Multi-factor asset criticality scoring engine."""

    WEIGHTS = {
        "business_function": 0.25,
        "data_sensitivity": 0.25,
        "regulatory_scope": 0.15,
        "network_exposure": 0.15,
        "recoverability": 0.10,
        "user_population": 0.10,
    }

    TIER_THRESHOLDS = [
        (4.5, 1, "Crown Jewels", -0.50),
        (3.5, 2, "High Value", -0.25),
        (2.5, 3, "Standard", 0.00),
        (1.5, 4, "Low Impact", 0.25),
        (1.0, 5, "Minimal", 0.50),
    ]

    def score_asset(self, asset):
        """Calculate criticality score for an asset."""
        weighted_score = sum(
            asset.get(factor, 3) * weight
            for factor, weight in self.WEIGHTS.items()
        )
        score = round(weighted_score, 2)

        for threshold, tier, label, sla_mod in self.TIER_THRESHOLDS:
            if score >= threshold:
                return {
                    "score": score,
                    "tier": tier,
                    "label": label,
                    "sla_modifier": sla_mod,
                }
        return {"score": score, "tier": 5, "label": "Minimal", "sla_modifier": 0.50}

    def adjust_vuln_sla(self, base_sla_days, asset_tier_data):
        """Adjust vulnerability SLA based on asset criticality."""
        modifier = asset_tier_data["sla_modifier"]
        adjusted = int(base_sla_days * (1 + modifier))
        return max(1, adjusted)  # Minimum 1 day SLA

Etapa 2: Integrar com Priorização de Vulnerabilidades

def apply_criticality_to_vulns(vulns_df, asset_scores):
    """Enriquecer dados de vulnerabilidade com contexto de criticidade de ativos."""

…