OCTAVE (Avaliação de Ameaças, Ativos e Vulnerabilidade Operacionalmente Críticas) é uma estrutura de segurança para determinar o nível de risco e planejar defesas contra ataques cibernéticos. O framework define uma metodologia para ajudar as organizações a minimizar a exposição a ameaças prováveis, determinar as conseqüências prováveis de um ataque e lidar com ataques bem sucedidos.
OCTAVE é projetado para alavancar a experiência e o conhecimento das pessoas dentro da organização. O primeiro passo é construir perfis de ameaças com base no risco relativo que elas representam. O processo continua para conduzir uma avaliação de vulnerabilidade específica para a organização.
OCTAVE define três fases:
- Fase 1: Construir Perfis de Ameaças Baseados em Ativos
- Fase 2: Identificar Vulnerabilidades de Infraestrutura
- Fase 3: Desenvolver Estratégia e Planos de Segurança
OCTAVE foi desenvolvido em 2001 na Carnegie Mellon University (CMU), para o Departamento de Defesa dos Estados Unidos. A estrutura passou por várias fases evolutivas desde essa época, mas os princípios e objetivos básicos permaneceram os mesmos. Existem duas versões: OCTAVE-S, uma metodologia simplificada para organizações menores que têm estruturas hierárquicas planas, e OCTAVE Allegro, uma versão mais abrangente para organizações grandes ou com estruturas multiníveis.
Críticas da OCTAVE têm citado sua complexidade e o fato de não produzir uma análise quantitativa detalhada da exposição à segurança.