Fórum de discussão

Quer dizer que a possibilidade da invasão de um hacker não é um risco? O risco é ele roubar dados? Não ficou claro.

att. Renan Melo

conforme gravado por mim no slide 24, quando se identifica um risco se considera um ativo, um ameaça para este ativo e uma vulnerabilidade para que esta ameaça se materialize/ocorra. Estes três elementos juntos formam um risco.

Exemplo:

Ativo = servidor. É sempre alguma coisa importante.

Ameaça = acesso de hacker no servidor (isto é só uma ameaça, não é o risco em si). É um agente que explora uma vulnerabilidade (brecha).

Vulnerabilidade = portas do firewall abertas que permitem a ameaça se materializar. É uma brecha.

De acordo com a ITIL e passado no slide 23, um risco é “um evento possível que pode causar perdas ou danos, ou afetar a habilidade de atingir os objetivos.”

Que evento que pode ocorrer por conta deste ativo, ameaça e vulnerabilidade? Resposta: o hacker pode acessar o servidor e apagar, roubar, alterar informações ou simplesmente derrubar. O risco é a possibilidade do hacker acessar o servidor por meio da vulnerabilidade que existe e fazer algum dano. Então, não se considera no risco só a ameaça (o acesso indevido do hacker), se considera o evento completo por conta deste acesso.

Uma pessoa é um ativo. Um bandido entrar dentro de casa é uma ameaça. A vulnerabilidade é dormir de janela aberta. O risco é o bandido entrar na casa da pessoa e assalta-la. Poderiamos dizer também que existe nesta situação um risco de assalto. O assalto é um evento possível que pode causar perdas ou danos.