Ao iniciar um projeto com o NIST é necessária uma análise do momento atual da empresa, descobrir onde se encontra e a perspectiva de onde a empresa quer chegar, qual o desejo em relação ao ideal.
E após levar em conta todos esses fatores pode-se dar o pontapé inicial no trabalho de adequação de nível.
Estando no nível 1, Parcial, não quer dizer que está o caos completo, ou em uma situação de desespero. Vamos questionar, quais os motivos e limitações que impedem? Falta de Investimento? A cultura da organização? Neste caso o indicado é chegar no nível 2 de maturidade.
Para entender melhor, vamos pensar em um exemplo. Lembrando que cada função vai estar atrelada há um nível.
O que envolve o backup: Política de backup, testes periódicos de restauração, ambiente de teste, repetição automática, etc.
Eu atendo o que envolve o backup? Existem alguns riscos que eu estou ciente, vai envolver algumas perdas, mas eu me recupero. Neste caso você estaria no nível 2, o de Risco Informado.
Fazendo um planejamento de ano após ano, estou mais estruturado, já posso replicar e levar o processo para outras filiais, então eu cheguei no meu objetivo definido que é o nível 3, Reprodutível.
Já no Nível 4, Adaptável, tudo já está muito bem estruturado, a Politica está baseada nas 5 funções do NIST, há relacionamento com o cliente e fornecedores, todos estão avançando juntos, o famoso padrão ouro.
Antes de começar, existem alguns fatores determinantes para o sucesso. Os stakeholders devem ser comunicados e estarem envolvidos nos processos decisórios, é fundamental a participação da alta direção, financeiro, em algumas situações o jurídico, entre outros. Pois é pra eles que serão apresentados os riscos de cibersegurança e orientar para a decisão, que pode ser desde tomar ações para mitigar o risco ou aceitar o risco.
Para começar, crie etapas, checklists ou faça um guia para que a empresa saiba por onde começar, o NIST te proporciona isso.
Você pode primeiramente priorizar, qual função dói mais no momento? Priorize e ataque, uma das 5 funções do framework. Caso não tenha “braços” suficientes, dentro da prioridade definida, delimite o escopo, determine um escopo menor e o aumente com o tempo;
Orientação e comunicação: fale para todos os envolvidos do que se trata, esclareça que não será uma auditoria com o objetivo de procurar culpados e sim que para o sucesso do novo projeto é necessário o envolvimento de todos;
Faça a avaliação de riscos e leve em consideração: riscos internos e externos, investimentos, capacitação, leis como a LGPD;