Ciência da Computação

Dentro do ramo de segurança da informação existe uma área de atuação chamada Gestão de Riscos, esta área preocupa-se com a identificação, avaliação, classificação e tratamento de riscos de segurança da informação e de negócio para organizações. Por esta ser uma tarefa de alta complexidade e variedade, dependendo do segmento de negócio da organização, muitos órgãos públicos e instituições privadas propuseram frameworks para coordenar as ações de Gestão de Risco. Contudo, esses frameworks precisam ser genéricos para atingir o maior número de organizações e serem generalizáveis em diferentes segmentos de negócio, o que dificulta a sua implementação em organizações específicas. Este trabalho, então, objetiva desenvolver e testar um guia de implementação dos dois primeiros passos do framework de gestão de risco da NIST (National Institute of Standards and Technologies). O guia centralizará técnicas e ferramentas que podem ser aplicadas para implementar os passos Prepare e Categorize do framework mencionado acima. Após seu desenvolvimento, sua aplicação será testada em uma empresa do ramo de Tecnologia da Informação, então será avaliada sua efetividade através da coleta de opiniões e sugestões da equipe de segurança da empresa sobre a aplicação do guia por meio de entrevistas semiestruturadas. Após esta fase, as sugestões e opiniões coletadas serão utilizadas para desenvolver melhorias ao guia. Com esta prática busca-se contribuir com a área de Gestão de Risco e segurança da informação em geral.