asicamente, um mapa de risco é uma lista onde são relacionados todos os perigos (sejam eles remotos ou iminentes) que rondam o perímetro de uma empresa. Uma representação gráfica de possíveis acidentes que podem ocorrer nos diversos locais da companhia.
Quando o assunto é segurança da informação, esse mapeamento consiste no processo preventivo de identificar ameaças cibernéticas, categorizá-las, avaliar as probabilidades de sua ocorrência e estimar os danos que podem causar, caso não sejam atenuadas.
Muitas vezes negligenciado pelas corporações de pequeno e médio porte, um mapa de risco é, atualmente, indispensável para qualquer negócio.
Mas por que um mapeamento é tão importante?
Historicamente, a avaliação de fatores de risco no mundo corporativo sempre foi baseada mais na subjetividade – o famoso “achismo” – do que em uma tabela rígida de cálculos e estatísticas, por exemplo.
Afinal de contas, “como alguém poderia calcular, com precisão, as chances de um ataque cibernético ocorrer, quando e onde ocorreria, e quais danos causaria?” — Questionam muitos diretores.
No entanto, ainda que no cibermundo não exista uma bola de cristal que consiga prever tudo o que vai acontecer a empresas desprevenidas, mediante um mapa de risco os prestadores de serviços TI conseguem, hoje, antever tudo o que pode acontecer a elas amanhã.
Como é elaborado um mapa de risco?
O processo de elaboração de um mapa de risco é realizado por profissionais de tecnologia da informação, que tenham conhecimento teórico na área (mais precisamente na Norma ABNT NBR ISO/IEC 27005:2008).
No mapeamento, esses provedores localizam não só os riscos cibernéticos que rondam a empresa, como também problemas operacionais, de dados, de infraestrutura e de capital humano que ameacem a organização — para que posteriormente possam traçar um plano de gerenciamento dessas ameaças.
Ainda que não exista um gabarito universal de mapeamento que englobe todo tipo de corporação (já que cada uma possui suas particularidades), no geral, qualquer mapeador busca:
- Inventariar todos os equipamentos da empresa: seus bens físicos e tecnológicos (hardwares e softwares), avaliando a localização, nível de utilização, a quantidade de usuários que os utilizam, as potenciais falhas de segurança, o prazo de vida útil, e os sistemas que suportam;
- Diagnosticar os riscos inerentes ao material inventariado: seu contexto, se estão associados a problemas de governança, falta de recursos, ou falhas no sistema operacional ou estrutural;
- Estimar as chances de materialização desses riscos: as probabilidades de ocorrência e o nível de impacto que causariam (seja nas finanças, no serviço, ou na reputação da corporação).
Conclusão
A vida é imprevisível. Porém, quanto mais nos adiantamos às probabilidades, mais prevenidos estamos caso aquilo que até então era apenas uma possibilidade negativa, se torne, de fato, uma realidade destrutiva.
E é para prevenir empresas de um possível desastre que os mapas de risco existem. Elaborá-los é a primeira etapa de prevenção para que PMEs se tornem mais seguras.
Mediante esse processo preventivo, os gestores da corporação mapeada conseguem localizar suas falhas de segurança, mitigar ameaças latentes, proteger seus preciosos dados, e assegurar a própria existência da empresa.
Pois, ainda que não exista uma bola de cristal no cibermundo, para dirigir uma empresa pelas diversas direções existentes, seus diretores podem seguir as diretrizes de um mapa de risco cibernético, para se prevenirem de fatais acidentes.
