Como identificar e gerenciar riscos de segurança cibernética em sua cadeia de ...
A segurança cibernética é um fato cotidiano para as empresas.…
As classificações de risco cibernético indicam o nível de risco cibernético associado a uma organização. Quanto maior a pontuação, maior o risco de a empresa ser vítima de um ataque bem-sucedido.
Muitos ataques começam com uma empresa da cadeia de fornecimento, em vez de visar diretamente a vítima final. As grandes organizações têm, com frequência, fortes medidas de segurança cibernéticas já implementadas, mas concedem acesso aos seus sistemas a fornecedores legítimos. Assim que os fornecedores conseguem acesso, passam a fazer parte de sua rede e, como consequência, o ataque vem à tona. Além disso, é muito provável que sua empresa seja comprometida, se algum dos seus importantes fornecedores sofrer um ataque, tendo ou não acesso aos seus sistemas. Também é provável que muitos dos seus fornecedores tenham os seus dados e os dados do seu cliente. É provável que você seja responsabilizado se os dados do seu cliente forem violados pelo seu fornecedor, sobretudo se você não tiver seguido a prática recomendada de gestão de risco cibernético da sua cadeia de fornecimento. Se não avaliar as medidas de segurança cibernéticas dos seus fornecedores, você não terá ideia se eles representam um risco grande ou pequeno. Quem ataca sabe disso e procura se aproveitar dos fornecedores com medidas de segurança mais frágeis.
Além disso, os órgãos reguladores internacionais estão começando a impor diretrizes sobre a segurança das cadeias de fornecimento. Órgãos reguladores e administrativos não diminuirão as multas pelo fato de os criminosos virtuais terem tido acesso por meio de terceiros, pois eles consideram que a responsabilidade de reduzir esse risco é sua.
A pontuação de risco cibernético usa um grande número de pontos de dados, combinado com aprendizado de máquina para calcular a pontuação. As informações incluem:
A classificação de risco é uma combinação da pontuação de ameaça e da pontuação de vulnerabilidade. O relatório mostrará a pontuação de cada um desses dois elementos, junto com as informações usadas para formular a pontuação. A pontuação fornece orientação sobre como atenuar qualquer problema identificado.
As ferramentas e a abordagem que usamos seguem os processos usados pelas . Com base na nossa grande experiência em ameaça cibernética, sabemos o que os criminosos virtuais estão procurando e o que eles vão tentar explorar. Nosso recurso de aprendizado de máquina já foi analisado por pares, sendo pelo menos 94% preciso em prever ameaças.
Por meio da nossa parceria com a Orpheus, usamos um processo minucioso de análise manual para identificar falsos positivos que possam gerar uma pontuação artificialmente alta para uma organização. Temos também um processo para organizações removerem qualquer resultado que possamos validar como incorreto, mas isso é extremamente raro. Algumas empresas de pontuação de riscos permitem que as organizações atualizem suas pontuações se atenuarem os seus problemas. Nós só fazemos isso com validação que garanta a precisão dos nossos resultados.
Baixo risco não significa nenhum risco. Ameaças internas e campanhas de e-mails falsos são exemplos de dois riscos fundamentais que existem em quase todas as organizações. A classificação de risco cibernético da Orpheus é um forte indicador e oferece medidas que as organizações podem tomar para reduzir o seu risco. Oferecemos uma perspectiva do hacker e aconselhamos que você obtenha mais esclarecimentos, informações disponíveis apenas aos que já estão na organização.
Qualquer organização que discordar da sua pontuação cibernética pode entrar em contato conosco diretamente para discutir a remediação. Trabalhamos arduamente para remover falsos positivos de nossas pontuações e raramente ocorre um erro. A classificação de risco cibernético geral é feita a partir de muitos pontos de dados; portanto, é improvável que um falso positivo em uma área venha a ter um grande impacto na pontuação geral. Caso isso aconteça, temos um processo de remediação para corrigir a situação. Esse processo permite-nos validar o erro que uma empresa identificou.
Como comprador, você pode ver as pontuações cibernéticas dos fornecedores por meio do Achilles Insights. Além disso, você terá a opção de receber um relatório personalizado de avaliação de risco cibernético em cadeias de fornecimento sobre a sua cadeia de fornecimento escolhida com informações mais detalhadas sobre riscos e ameaças específicas aos quais você pode estar exposto.
Como fornecedor, você pode ver sua própria pontuação cibernética no painel MyAchilles. Assinando os relatórios mensais de pontuação de risco cibernético da Orpheus, você também receberá uma análise detalhada do seu risco e um plano de ação fácil de ser seguido para remediar as áreas preocupantes e, consequentemente, melhorar a sua pontuação. Com a sua assinatura da Achilles, você receberá preços especiais.
O nível aceitável é você quem decide com base na sua tolerância ao risco. Sugerimos trabalhar com os fornecedores para reduzir a pontuação deles, em vez de simplesmente desconsiderá-los. O relatório que produzimos mostra a eles o que fazer. Sugerimos considerar excluir os fornecedores que não estão dispostos ou que não conseguirem reduzir riscos de segurança graves.
As nossas pontuações são constantemente atualizadas e, com a descoberta de novas vulnerabilidades diariamente, essas pontuações podem mudar. Você pode definir a frequência para reavaliá-las, mas sugerimos que pelo menos uma vez por mês você reavalie as mudanças que possam introduzir riscos na sua empresa.
Sim, você também pode reavaliar a sua própria pontuação. Recomendamos que reavalie a sua própria pontuação para reduzir qualquer problema de segurança na sua organização e para diminuir as maneiras pelas quais um invasor pode ter você como alvo.