Justificando retorno financeiro sobre investimentos em segurança

Transcrição

1 Justificando retorno financeiro sobre investimentos em segurança Anderson Ramos CISSP, MCSO, CISA, SSCP CCSI/E+, CNE, MCSE, NSA Lead Instructor (ISC)²

2 Agenda Entendendo o problema ROSI - Return Of Security Investments Principais argumentos contrários Principais alternativas Referências

3 Entendendo o problema Falta de investimentos = falta de resultados

4 Entendendo o problema Dificuldades crescente para justificar investimentos Necessidade constate de maximizar lucros Competição com outras áreas

5 Entendendo o problema Temos excelentes ferramentas que dizem onde investir o dinheiro, mas não dizem quanto!

6 Entendendo o problema Quando é fácil conseguir investimentos em segurança? Logo depois de um problema Quando existe uma exigência externa

7 Entendendo o problema Quando é difícil? Quando o problema de segurança não é freqüente Quando é difícil enxergar os custos associados ao problema

8 Return Of Security Investments O que é ROSI? Uma ferramenta que busca calcular o retorno financeiro trazido pelos investimentos em segurança, medindo seus benefícios Redução de perdas Ganhos de produtividade Aumento de receita

9 Return Of Security Investments O que é ROSI? Avalia os investimentos em segurança usando a principal métrica administrativa: dinheiro

10 Return Of Security Investments O que está por trás do ROSI? Posicionar os gastos em segurança como investimentos que trazem retorno

11 Return Of Security Investments O que está por trás do ROSI? Buscar alinhamento com os objetivos das organizações

12 Return Of Security Investments O que está por trás do ROSI? Aproximar a área de segurança dos centros de tomada de decisão

13 Return Of Security Investments O que o ROSI NÃO É Uma solução para todos os problemas de segurança da informação criados desde que a escrita surgiu

14 Return Of Security Investments O que o ROSI NÃO É Um chute de um jogador de Gana

15 Return Of Security Investments O que o ROSI NÃO É A única opção para avaliar gastos em segurança

16 Return Of Security Investments Como é calculado? Estimando-se a diminuição de custos que ocorrerá após o investimento em segurança e comparandoa com o valor do investimento

17 Return Of Security Investments Como é calculado? A idéia é calcular em quanto tempo o controle de segurança se paga, considerando os prejuízos que ele deve reduzir

18 Return Of Security Investments Como é calculado? A estimativa pode, posteriormente, ser comparada com o resultado real para aprimorar a ferramenta e acompanhar sua eficácia

19 Return Of Security Investments Peraí, isso é muito difícil!!! Difícil não significa impossível

20 Return Of Security Investments Peraí, isso é muito difícil!!! Os números não precisam ter precisão decimal

21 Return Of Security Investments Peraí, isso é muito difícil!!! Em muitos casos, estimar é melhor que não calcular nada

22 Return Of Security Investments Peraí, isso é muito difícil!!! Em outros, é realmente difícil e você pode simplesmente abrir mão da ferramenta

23 Principais argumentos contrários Não existem dados confiáveis A Análise de Riscos quantitativa usa os mesmos componentes

24 Principais argumentos contrários Não existem dados confiáveis University of Idaho Hummer project

25 Principais argumentos contrários Não existem dados confiáveis Carnegie Mellon University/CERT Análise de dados entre 1988 e 1995

26 Principais argumentos contrários Não existem dados confiáveis MIT, Stanford University

27 Principais argumentos contrários Argumentos que devem ser evitados a todo custo Segurança é custo de se fazer negócios Cuidado com o próximo corte de custos

28 Principais argumentos contrários Argumentos que devem ser evitados a todo custo Segurança não traz retornos mensuráveis Cuidado com seu emprego

29 Principais argumentos contrários Argumentos que devem ser evitados a todo custo Segurança é um mal necessário Os políticos também

30 Não usar nada (popular) Principais alternativas

31 FUD Factor Principais alternativas

32 Principais alternativas Comparações de custo/benefício qualitativas Quantitativo é pecado?

33 Copiar o mercado Principais alternativas

34 Referências Estudos de caso Sistema de CFTV, feito pelo gerente de segurança da Intel Projetos de pesquisa em diversas universidades Análise de uma ferramenta de anti-spam Análise de um Teste de Invasão

35 Referências Mais informações Tese de MBA sobre ROSI Return On Security Investment (ROSI): A Practical Quantitative Model Practical_Model.pdf CSO Magazine de Dezembro de Justifying Investment in Security &TEMPLATE=/ContentManagement/ContentDisplay.cfm

36 Perguntas? Anderson Ramos CISSP, MCSO, CISA, SSCP, CCSI/E+, CNE, MCSE, NSA Lead Instructor (ISC)²