Avaliação de riscos cibernéticos aplicado ao processo de consciência situacional do Centro de Defesa Cibernética do Comando da Aeronáutica

Abstract

Este trabalho resulta do estudo sobre segurança cibernética (SC) e de suas implicações práticas, a partir do entendimento das necessidades apresentadas pelo governo brasileiro, por meio do Ministério da Defesa (MD), de dotar o país com processos de segurança (SC) e defesa cibernéticas (DC). As dificuldades de implementação de processos de SC e de DC apresentadas pelos órgãos governamentais são multidisciplinares, aumentando a complexidade da empreitada solicitada aos setores de DC das Forças Armadas Singulares (FA). Em função destes fatores, o foco da pesquisa limitou-se ao desenvolvimento de um processo de avaliação de riscos cibernéticos, componente de um macroprocesso de aquisição de consciência situacional cibernética (CSC). O resultado deste processo é a criação de um índice de riscos cibernéticos (IRC), indicador representativo do maior nível de risco cibernético a que os ativos sob responsabilidade dos centros de defesa cibernética das FA e do MD podem estar sujeitos, apresentado de forma quantitativa. O MD encarregou o Comando da Aeronáutica (COMAER do estabelecimento de um indicador multifatorial do nível de alerta de comprometimento (NAC) do seu espaço cibernético de interesse, às ameaças identificadas e medidas, cujo IRC compõe o elo central do processo de obtenção do NAC. Esta pesquisa aplicada, baseia-se em estudo de caso, com componentes qualitativos para seu embasamento e compõe-se por procedimentos técnicos, como análise documental, entrevistas (não-estruturadas, semiestruturadas e estruturadas) e brainstormings como ferramentas básicas para obtenção dos conhecimentos e validações dos resultados. O processo de pesquisa permitiu compreender as implicações envolvidas, como a identificação e compreensão do significado da segurança cibernética, sua especialização em defesa cibernética e os impactos na organização em estudo, em sua finalidade institucional. O principal resultado esperado e obtido foi o de definir as linhas gerais do processo de avaliação de riscos cibernéticos (ARCiber) com seu consequente IRC. O reconhecimento foi evidenciado pela implementação do ARCiber na organização como efeito direto do estudo e da validação por esta pesquisa.