Implementando politica de segurança da informação
Autor: Anderson vicente de Oliveira | Publicado: 2014-09-30T00:01:00-03:00





Visto tantos questionamentos e&nbsp; duvidas de como gerenciar a informação como
um ativo que detém dados preciosos.

A TI como um departamento de suporte operacional, onde
sustenta toda a operação hoje em dia provendo soluções ex: “ ERP,
Videoconferência, BI e repositório de arquivos e fontes envio de informações
governamentais impostos e declarações".

Então temos que garantir a segurança destes dados de forma
ao qual ninguém possa alterar ou utilizar para benefícios, de investidores e
funcionários mal intencionados tenham acesso, para uso ao qual queira levar
vantagem ou difamar a corporação.

Ressalva a segurança da informação não é apenas de
responsabilidade de TI, como é falado pelo corredores. Lembre que o vazamento
de informação nem sempre se faz pelas pessoas ou sistemas, as vezes a falta de
gerenciamento de dispositivos como “ pendrives, smartphone, mídias removíveis
em geral”.

Para gerenciar as informações temos diversas metodologias
COSO, SOX&nbsp; entre outras e a norma ISO
27001.

Vamos focar na ISO 27001 a qual pode causar impacto direto
no departamento de TI, onde os sistemas são providos. Um ouro, ninguém se
certifica na Norma ISO 27001. Para atender os requisitos da norma anterior foi
criada a certificação ISO 27002 Foundation onde ensina como aplicar as praticas
para obter a certificação para de compliance a norma.

Mas entrando na questão de como melhora a qualidade da
segurança da informação dentro da empresa, primeiro deve-se desenvolver uma boa
“política de código de conduta”, onde o colaborador entenda que ele faz parte
do processo&nbsp; e é tão responsável quanto o
presidente da empresa. A perda da informação tem impacto para todos, pois pode
leva a empresa a falência ou a perda de credibilidade perante ao seu público
alvo e mercado e geral.

Para ter uma política de código de conduta eficiente, deve
conter:

1.Direitos do colaborador;

2.Deveres&nbsp; do
colaborador;

3.Regras da empresa baseada em sua cultura e visão;

4.Responsabilidade perante suas ações;

5.E punições caso as regras não sejam cumprida.

Deve declarar que sobre a informação que ele tem acesso ou o
mesmo gera é de propriedade intelectual da companhia e não dele.

Após tal, tem que se&nbsp;
implementar o “Plano de administração de Crise”, caso haja a fuga de
informação quais serão os passos a serem tomados para mitigar e garantir que
aquele dado não tenha impacto sobre o negocio.

Deve conter:

1.Mapear as informações da empresa;

2.Diretoria Classificar a importância;

3.Eleger quem terá acesso as informações categorizadas;

4.Divulgar o plano para a empresa.

Após este passos deve se declarar a politica de segurança
onde vai concatenar todas as demais regras declaradas acima e documentadas.

Lembre, nada mudara apenas com a criação da politica se a
mesma não for coesa com a Missão e Valores da empresa, pois terá que ser
incorporada na cultura da mesma isso irá ocorrer com muito dialogo, palestras e
dinâmicas para tal, o RH tem papel fundamental. Devemos lembrar que os
primeiros a comprar a ideia tem que ser os diretores e o presidente da companhia.



Passo a passo&nbsp; de como
criar um politica de segurança coesa com a sua empresa, primeiro lembre-se que
nenhuma empresa é igual a outra.

Tópicos que devem ter em sua politica:

1.Missão do Setor de Informática;

2.Objetivo da Política de Segurança da Informação;

3.É Dever de todos dentro da A EMPRESA;

4.Classificação da Informação

4.1 Pública

4.2 Interna

4.3 Confidencial

4.4 Restrita

Descrição

Conceitos: 

Informação Pública: É toda informação que pode ser acessada
por usuários da organização, clientes , fornecedores, prestadores de serviços e
público em geral. 

Informação Interna: É toda informação que só pode ser
acessada por funcionários da organização. São informações que possuem um grau
de confidencialidade e que pode comprometer a imagem da organização. 

Informação Confidencial: É toda informação que pode ser
acessada por usuários da organização e por parceiros da organização. A
divulgação não autorizada dessa informação pode causar impacto (financeiro, de imagem
ou operacional) ao negócio da organização ou ao negócio do parceiro. 

Informação Restrita: É toda informação que pode ser acessada
somente por usuários da organização explicitamente indicado pelo nome ou por
área a que pertence. A divulgação não autorizada dessa informação pode causar
sérios danos ao negócio e/ou comprometer a estratégia de negócio da
organização.

5. Programas Ilegais

6.Permissões e senhas

7.Cópia de segurança (Backup) do sistema integrado e
servidores de rede.

8.Segurança e integridade do banco de dados 

9.Transferência de funcionários

10.Cópias de segurança de arquivos individuais

11.Propriedade intelectual

12.Uso de aplicativos\aparelhos fornecidos pela empresa.EX:
E-mail e Smartphones.

13.Penalidades

Após tudo isso, com o apadrinhamento da diretoria basta que
estas politicas sejam divulgadas para toda empresa e assinada por todos
colaboradores, assim tendo que ser revisada com um prazo máximo de 1 ano, pois
no decorrer do tempo os procedimentos e sistemas mudam.