Segurança Da Informação

1) A Política de Segurança é instrumento de planejamento ou de gestão?

Resposta: A Política de Segurança é, essencialmente de gestão conglomerando um conjunto de regras e práticas a regular o modo pelo qual é gerenciável, protetora e distribuidora das informações.

---------------------------------------------------------------------------------------

2) É preciso estar alinhada à norma NBR ISO/IEC 17799?

Resposta: A ISO 17799 credencia a Empresa às melhores práticas que objetivam controles e requerimentos da segurança da informação, sempre respeitando os padrões internacionais exigidos.

---------------------------------------------------------------------------------------

3) O que priorizar na Política de Segurança da Informação de uma empresa?

Resposta:

A Política de Segurança da Informação (PSI) deve responder e priorizar a todas as questões relacionadas à proteção da informação, portanto, dado seu papel de destaque em organizações alinhadas com as práticas mais recomendadas internacionalmente, deve-se ter especial zelo em sua elaboração.

Neste sentido, é necessário criar um documento que, antes de tudo, formalize os anseios da empresa quanto à proteção de suas informações. Assim como um Estado deve ter uma legislação que determine um padrão de conduta considerado adequado às suas necessidades e à garantia de seu progresso e harmonia, do mesmo modo, uma Organização deve ter um sistema normativo que lhe garanta o sucesso do negócio.

A PSI DEVE OBJETIVAR:

1. Descrever o que pretende proteger e o porquê;

2. Definir prioridades sobre o que precisa ser protegido e qual custo;

3. Permitir estabelecer um acordo explícito com várias partes da empresa em relação ao valor da segurança;

4. Fornecer ao departamento de segurança um motivo válido para dizer “não” quando necessário;

5. Proporcionar ao departamento de segurança a autoridade necessária para sustentar o “não”;

6. Impedir que o departamento de segurança tenha um desempenho fútil.

A criação e definição de uma PSI, de suas Normas e Procedimentos, envolvem conhecimentos abrangentes de segurança, ambiente de rede, organização, cultura, pessoas e tecnologias, sendo uma tarefa complexa e trabalhosa. O início desse planejamento exige uma visão abrangente, de modo que os riscos sejam entendidos para que possam ser enfrentados.

Para que a abordagem de incidentes de segurança seja pró-ativa, é essencial uma PSI bem definida, pois as definições das responsabilidades individuais devem estar bem claras, para assim, facilitar o gerenciamento de segurança em toda a empresa.

Um ponto bastante importante para que a PSI seja seguida pela empresa, é que seja aprovada pelos executivos, publicada e comunicada para todos os funcionários, de forma relevante e acessível.

Os documentos da PSI podem ser divididos em vários níveis. Os mais genéricos objetivam o entendimento dos executivos sobre o que está sendo definido, como por exemplo, o nível dos usuários. Para que desse modo os mesmos tenham consciência do papel que cada um tem na manutenção da segurança na organização, ainda que seja apenas de nível técnico, no que tange aos procedimentos específicos como, por exemplo, a implementação das regras de filtragem do firewall.

No nível estratégico, a PSI é o elemento que orienta, de uma maneira global, as ações e as implementações futuras.

Enquanto no nível tático, as normas abordam os detalhes, como os passos da implementação, os conceitos e os projetos de sistemas e controles.

E por fim, os procedimentos, no nível operacional, são utilizados para que os usuários possam cumprir aquilo que foi definido na política e para que os administradores de sistemas possam configurá-los de acordo com as necessidades da organização.

Desta forma, esses elementos devem contemplar:

• Vigilância: todos os colaboradores da organização devem entender a importância da Segurança da Informação. Tecnicamente, deve ser um processo regular e consistente que inclua o monitoramento dos sistemas e da rede;

• Atitude: a efetividade de uma política e documentos relacionados depende diretamente da clareza, da forma de apresentação e do comprometimento dos superiores. A empresa deve assimilar uma cultura de Segurança da Informação;

• Estratégia: a