ISO/IEC 27002 - Introdução
Autor: Guido Gabriel | Publicado: 2012-04-24T23:21:00-03:00


O que é SI?

Informação = ativo que precisa ser protegido.

SI é a proteção
da informação de vários tipos de ameaças para garantir a continuidade do negócio, minimizar os riscos ao negócio, maximizar o retorno sobre os investimentos e as
oportunidades de negócio.

SI é obtida a partir da implementação de um conjunto de
controles. Controles podem ser políticas, processos, procedimentos, estruturas
organizacionais e funções de SW e HW.

Os controles devem ser EIOMAMM:



Estabelecidos
Implementados
Operados
Monitorados
Analisados criticamente
Melhorados e
Mantidos





Por que a SI é necessária?

Porque é uma atividade essencial para assegurar a competitividade, o fluxo de caixa, a lucratividade, o atendimento aos requisitos legais e a imagem da organização junto ao mercado.

O Compartilhamento de recursos aumenta a dificuldade de
controlar acessos. Computação distribuída reduz a eficácia da implementação de
um controle de acesso centralizado.

Gestão de SI requer a participação pelo menos de todos os funcionários! Talvez seja necessária a
participação de acionistas, fornecedores, clientes e etc.



&nbsp;Fontes dos requisitos
de informação:



Análise e
avaliação de riscos levando-se em conta os objetivos e as estratégias
globais do negócio.

Identificamos ameaças aos ativos e as
vulnerabilidades destes.
É realizada uma estimativa de probabilidade de
ocorrência e impacto ao negócio

Legislação vigente,
estatutos, regulamentação e cláusulas contratuais.
Princípios,
objetivos e os requisitos de negócio.





Analisando e avaliando riscos de SI

Os gastos com controles precisam ser balanceados de acordo
com os danos causados. Os resultados da AAR ajudarão a direcionar e determinar
as ações apropriadas, prioridades e controles. AAR deve ser repetida
periodicamente para contemplar qualquer mudança.

Importante: a
norma 27002 valoriza a dinamicidade do ambiente corporativo, portanto, sempre
aconselha avaliações periódicas, não só de AAR, uma análise crítica periódica
da PSI também é aconselhada pela norma.



Seleção de controles

Uma vez que os requisitos de SI tenham sido identificados
(lembrando que eles vem das fontes de requisitos – AAR, legislações e
princípios), convém que os controles apropriados sejam selecionados e
implementados. A seleção depende da organização e seu critério de aceitação de riscos
é importante também considerar as legislações na seleção de controles.



Ponto de partida para a SI

Alguns controles são considerados um bom ponto de partida
para a implementação de SI, eles são baseados em requisitos legais e em
melhores práticas.

Controles essenciais:



Proteção de dados e privacidades de informações
pessoais
Proteção dos registros organizacionais
Direitos de propriedade intelectual





Controles considerados práticas:



Documento da PSI

Categoria de PSI

Atribuição de responsabilidades para SI

Categoria de Organizando a SI

Conscientização, educação e treinamento em SI

Categoria de segurança em RH

Processamento correto nas aplicações

Categoria de aquisição, desenvolvimento e
manutenção de Sistemas de informação.

Gestão de vulnerabilidades técnicas

Categoria de aquisição, desenvolvimento e
manutenção de Sistemas de informação.

Gestão de continuidade do negócio

Categoria de gestão da continuidade do negócio

Gestão de incidentes de SI

Categoria de gestão de incidentes de SI


Observação: todos
os controles essenciais são da categoria de “conformidade”. Os controles
práticas estão espalhados por toda a norma.


Macete: podemos
associar os controles essenciais ao fato deles já existirem antes da norma, uma
legislação anterior a norma 27002 já exigia esses controles.

Observação:
embora o enfoque do ponto de partida mostrado acima seja interessante, ele não
substitui o resultado da AAR.



FCSs para a implementação da SI



PSI devem refletir os objetivos do negócio
SI deve considerar a cultura organizacional
Comprometimento de todos os níveis gerenciais
Bom entendimento dos requisitos de SI e boa AAR
Divulgação eficiente da SI
Distribuição da PSI para todos
Provisão de recursos financeiros para as
atividades de SI
Conscientização e treinamento
Eficiente processo de gestão de incidentes de SI
Sistema de medição para avaliar o desempenho da
gestão de SI







A 27002 é um guia e, portanto, não existe obrigatoriedade de
implementação de todos os controles apresentados nela, assim como podem existir
controles que devem ser implementados em determinada organização que não estão
dispostos na norma.



Conceitos e definições

Ativo: qualquer coisa que tenha valor para a organização
(pessoas e imagem da organização estão incluídas)

Controle: forma de gerenciar o risco (políticas,
procedimentos, estruturas organizacionais, etc.)

Diretriz: orientação do que deve ser feito para alcançar os
objetivos.

Recursos de processamento de informação: qualquer sistema de
processamento de informação, serviço ou infraestrutura, ou instalações físicas.

SI: preservação da CID, adicionalmente autenticidade,
responsabilidade, não repúdio, confiabilidade.

Evento de SI: ocorrência identificada que indica uma
possível violação da PSI ou falha nos controles, ou uma situação previamente
desconhecida, que possa ser relevante para a SI.

Incidente de SI: é indicado por um simples ou por uma série
de eventos de SI indesejados ou inesperados, que tenham grande probabilidade de
comprometer o negócio.

Obs.: Incidente é mais grave que evento.

Risco: probabilidade X impacto

Análise de riscos: identificação de fontes para estimar
riscos

Avaliação de riscos: comparação do risco estimado com
critérios de riscos pré-definidos para determinar a importância do risco.

Análise/avaliação de risco AAR: processo completo de
identificação, estimativa e comparação dos riscos.

Gestão de riscos: inclui o tratamento dos riscos.

Ameaça: causa potencial de um incidente indesejado, que pode
resultar em dano.

Vulnerabilidade: fragilidade de um ativo ou grupo de ativos
que pode ser explorada por uma ameaça.



QUESTÃO

CESGRANRIO –
PETROBRAS – 2010

As Normas ISO são um conjunto de regras internacionais que
auxiliam as empresas na gestão qualitativa de seus negócios. Para uma empresa
se enquadrar dentro da Norma ISO 27002:2005, é preciso um amplo plano de
segurança das informações. Um dos requisitos desta Norma é que as atividades
essenciais de segurança assegurem, entre outras premissas para a obtenção da
certificação ISO, a

a)
     idoneidade.

b)
     competitividade.

c)
     flexibilidade.

d)
     austeridade.

e)
     maturidade.



Comentário: a resposta dessa questão está na seção introdutória
da 27002. Porque é uma atividade essencial para assegurar a competitividade, o fluxo de caixa, a lucratividade,
o atendimento aos requisitos legais e a imagem da organização junto ao mercado.
A Resposta é a letra B.