Como trabalhamos
Cada caso é um caso. O método não muda.
Não há relatórios-tipo. Cada organização tem uma atividade, um local, um perfil e um nível de ameaça próprios, e a segurança tem de responder a essa realidade concreta. O que se mantém é o método: rigoroso, documentado e verificável.
O que fazemos
- Avaliação. Medimos a ameaça, a vulnerabilidade e a capacidade de resposta da organização no seu contexto real.
- Auditoria. Verificamos o que já existe: instalações, procedimentos, pessoas e prestadores, e se funcionam.
- Plano. Definimos as medidas, os procedimentos e a cadeia de decisão, por ordem de prioridade.
- Implementação. Acompanhamos a aplicação das medidas no terreno até estarem a funcionar.
- Acompanhamento. Medimos, revemos e ajustamos de forma contínua, porque a ameaça muda e a segurança tem de mudar com ela.
O modelo de risco: Ameaça × Vulnerabilidade × Capacidade de Resposta
Dividimos cada avaliação em vertentes rígidas, avaliadas separadamente e depois combinadas. Nenhuma medida é proposta antes de as três estarem medidas.
Ameaça geopolítica e de segurança (General Threat Environment)
Classificação do risco do país e da região específica onde a organização opera, numa escala de 1 a 5:
| Nível | Classificação |
|---|---|
| 1 | Insignificante |
| 2 | Baixo |
| 3 | Moderado |
| 4 | Alto |
| 5 | Extremo |
Vulnerabilidade do ativo (Asset Vulnerability)
O perfil da organização aumenta ou diminui a probabilidade de ser alvo? Avaliamos a visibilidade, a atividade, as pessoas, os bens, a localização e a exposição de cada ativo.
Mitigação por níveis de prontidão
Determinação matemática de se o risco residual é aceitável depois de aplicados os controlos. Se não for, os controlos sobem de nível até que seja.
Ambientes de alto risco
Em ambientes de alto risco, a avaliação centra-se nos cenários de ataque concretos e na eficácia real das contramedidas, medida segundo padrões formais de engenharia de segurança física.
Normas que aplicamos
A base do trabalho são as normas internacionais que qualquer organização reconhece:
- ISO 31000, gestão de risco. O processo de identificar, analisar, avaliar, tratar e monitorizar o risco, comum a qualquer organização e a qualquer setor.
- ISO 22301, continuidade de negócio. A análise de impacto no negócio: que atividades não podem parar, durante quanto tempo, e o que é preciso para as manter.
- ISO 18788 e ANSI/ASIS PSC.1, operações de segurança. O quadro para gerir e controlar dispositivos de segurança, próprios ou contratados.
- ISO 27001, segurança da informação. A proteção da informação da organização e dos dados de cada trabalho.
Ambientes altamente complexos
Quando o ambiente é altamente complexo, como uma operação num país instável ou uma deslocação por território de risco, recorremos também a métodos de planeamento de origem militar, adaptados à realidade de uma organização civil.
IPB (Intelligence Preparation of the Battlefield)
O IPB serve para conhecer o terreno e o ambiente antes de qualquer movimento ou decisão. Tem quatro passos obrigatórios:
- Definir o ambiente operacional. Delimitar a área de operações e os seus limites geográficos, políticos e sociais.
- Descrever os efeitos do ambiente. Analisar o terreno segundo o método OAKOC: observação e campos de tiro, avenidas de aproximação, terreno-chave, obstáculos, e cobertura e abrigo. É esta análise que mostra, por exemplo, em que troço de uma rota uma deslocação fica mais exposta.
- Avaliar a ameaça. Caracterizar quem pode causar dano, de grupos criminosos a grupos armados ou ativistas hostis: meios, modo de atuação, capacidades e limitações.
- Determinar as linhas de ação da ameaça. Prever o que vai acontecer: a linha de ação mais provável (Most Likely Course of Action) e a mais perigosa (Most Dangerous Course of Action), por exemplo um ataque coordenado durante uma deslocação.
Gestão de risco (ATP 5-19, Risk Management)
A doutrina ATP 5-19 trata todos os perigos da mesma forma, venham de uma ação hostil, do terreno, do clima, de uma falha técnica ou do cansaço das equipas. A gestão do risco segue um ciclo contínuo de cinco passos:
- Identificar os perigos. Listar tudo o que pode causar vítimas, danos ou fazer falhar a operação: crime, ataques, acidentes de viação, doenças, catástrofes naturais.
- Avaliar os perigos. Cruzar a probabilidade com a severidade numa matriz para obter o nível de risco inicial.
- Desenvolver controlos e decidir. Definir medidas técnicas e de procedimento que reduzam o risco ao mínimo aceitável, o risco residual, e decidir ao nível certo se esse risco é aceite.
- Implementar os controlos. Aplicar as medidas e garantir que todos os envolvidos as conhecem.
- Supervisionar e avaliar. Verificar se os controlos funcionam e reiniciar o ciclo sempre que a situação muda.
Nível de decisão e responsabilidade
Na gestão de risco formal, quanto maior é o risco, mais alto tem de estar quem o aceita. Aplicamos este princípio à estrutura da organização do cliente:
| Risco residual | Quem autoriza |
|---|---|
| Baixo ou Moderado | Responsável do projeto ou da instalação |
| Alto | Direção |
| Extremo | Administração |
Ninguém avança sem que a decisão esteja formalmente assumida ao nível certo.
Segurança das operações (OPSEC) e procedimentos
Para proteger pessoas e informação em movimento, os planos incluem controlos de informação e de procedimento:
- Discrição nas comunicações. Regras para o uso de rádios, telemóveis e redes sociais nos momentos críticos, para que ninguém consiga acompanhar ou localizar as equipas.
- Procedimentos operacionais normalizados (SOP). A reação a um incidente não se discute no momento: está definida, treinada e automatizada em procedimentos.
- Red teaming. Pessoas dedicadas a pensar como quem quer causar dano, para encontrar as falhas do plano e pô-lo à prova antes da execução.
Sigilo e tecnologia própria
Não divulgamos clientes, projetos, locais nem resultados. Os relatórios, os planos e os dados de cada trabalho são tratados em ferramentas desenvolvidas pela nossa equipa.