Imagem alusiva ao artigo Do planeamento à ação: Franework para a implementação da Cibersegurança nas PME's

Do planeamento à ação: Framework para a implementação da Cibersegurança nas PME's

A Cibersegurança é uma preocupação crescente para as Pequenas e Médias Empresas (PMEs), que necessitam de implementar medidas eficazes para proteger os seus ativos digitais. Este artigo apresenta um roteiro para as Capacidades Mínimas de Cibersegurança (RCMCS) e a metodologia para a sua implementação.

Roteiro para as Capacidades Mínimas de Cibersegurança (RCMCS)

O RCMCS fornece um conjunto de diretrizes e práticas recomendadas que as PMEs podem seguir para estabelecer um nível básico de cibersegurança. Este roteiro abrange várias fases e ações, desde a formalização de protocolos de colaboração até à definição de planos de continuidade de negócio e à aquisição de competências técnicas.

O roteiro do RCMCS inclui:

Identificação

Gestão de ativos
Ambiente da Organização
Governação
Avaliação de risco
Estratégia de Gestão de Risco
Gestão do Risco da Cadeia Logística

Proteção

Gestão de Identidades, Autenticação e Controlo de Acessos
Formação e Sensibilização
Segurança de Dados
Procedimentos e Processos de Proteção da Informação
Manutenção
Tecnologia de Proteção

Deteção

Anomalias e Eventos
Monitorização Contínua de Segurança
Processos de Deteção

Resposta

Planeamento da Resposta
Comunicações
Análise
Mitigação
Melhorias

Recuperação

Plano de Recuperação
Melhorias
Comunicações

Quais as fases do Roadmap RCMCS?

Fase 1

A 1.1 - Formalização de Protocolo de Colaboração e Adenda
A 1.2 - Identificação de Responsável de Segurança
A 1.3 - Identificação de funções ou atividades críticas
A 1.4 - Estabelecimento de canais de comunicação
A 1.5 - Registo de endereços de IP no LIR (Local Internet Registry)
A 1.6 - Estabelecimento de metodologia de Análise de Risco
A 1.7 - Cadeia de responsabilidade: preparação
A 1.8 - Definição de política de segurança de informação
A 1.9 - Procedimentos de notificação de incidentes

Fase 2

A 2.1 - Desenho e implementação da arquitetura e segurança perimétrica
A 2.2 - Implementação de sistema de recolha e armazenamento do fluxo de tráfego
A 2.3 - Comunicação com o CNCS
A 2.4 - Inventariação de ativos / produção de um mapa de rede
A 2.5 - Recolha centralizada de registos (logs)
A 2.6 - Criação de instrumentos de correção ou mitigação de incidentes
A 2.7 - Estabelecimento de conformidade com a legislação aplicável
A 2.8 - Estabelecimento de conformidade com normas aplicáveis à área de atividade
A 2.9 - Criação de política de uso aceitável

Fase 3

A 3.1 - Definição de procedimentos de operação
A 3.2 - Instalação e configuração de sensores em dispositivos
A 3.3 - Auditoria de segurança e Bases de Dados
A 3.4 - Instalação e configuração de controlo de acessos web – (e.g. serviços proxy)- Reunião e tomadas de decisão
A 3.5 - Proteção e gestão de equipamentos
A 3.6 - Instalação e configuração de mecanismos de monitorização
A 3.7 - Hardening das configurações
A 3.8 - Instalação e configuração de um Security Information and Event Management (SIEM)
A 3.9 - Definição de planos de continuidade de negócio
A 3.10 - Aquisição de competências técnicas

Fase 4

A 4.1 - Cadeia de responsabilidades: formalização
A 4.2 - Definição do Sistema Interno de Normas e Políticas (SINP)
A 4.3 - Análise de risco - reavaliação
A 4.4 - Simulacro
A 4.5 - Definição de procedimentos de reação a incidentes
A 4.6 - Treino e sensibilização interna: SINP
A 4.7 - Testes de aceitação se serviços
A 4.8 - Mecanismos de engodo (honeypots)
A 4.9 - Gestão de mudanças e atualizações

Fase 5

A 5.1 - Nomear um CISO
A 5.2 - Estabelecer um serviço de gestão de vulnerabilidades
A 5.3 - Estabelecer e implementar um plano de auditorias
A 5.4 - Definir a missão, a comunidade servida e o portfólio de serviços do CSIRT
A 5.5 - Elaborar e fazer aprovar o plano e o orçamento para o CSIRT
A 5.6 - Montar e anunciar o CSIRT
A 5.7 - Estabelecer um sistema de gestão de Crise
A 5.8 - Afiliação nas comunidades nacionais e internacionais de CSIRT
A 5.9 - Participação num exercício nacional de Cibersegurança