Um guia sobre normas de segurança da informação
Tags: security, confidencialidade, integridade, disponibilidade
Published: 2020-04-01 22:35:36

### Introduçāo ###
A segurança da informaçāo (SI), é um conceito que está ligado a um conjunto de regras e normas que tem como objetivo proteger as informações presentes no meio corporativo. Nos dias atuais, a informaçāo deve ser vista como um dos principais tipos de patrimônio existente dentro das organizações, por isso é considerável que ela seja preservada de qualquer tipo de evento que possa vir a danificá-la e consequentemente causar uma exposiçāo negativa ou até mesmo, resultar em perdas financeiras para as empresas.

### Pilares da Segurança da Informaçāo ###
Para alcançar um bom nível de segurança nos ambientes, a **Confidencialidade**, a **Integridade** e a **Disponibilidade** sāo itens que ajudam as empresas a construir suas políticas internas de SI e também a se adequarem as normas que vamos detalhar logo abaixo.

**Confidencialidade:** As informações só podem ser acessadas por pessoas autorizadas.

**Integridade:** As informações não devem ser alteradas, a fonte desses dados precisa ser segura e autêntica.

**Disponibilidade:** As informações devem ser acessíveis  aos usuários que forem autorizados sempre que elas necessitarem acessar.

### Normas de Segurança da Informaçāo ###
As normas de SI existem com o objetivo de facilitar a implementaçāo e manutençāo de controles de segurança da informaçāo nas organizações. 

Atualmente, existem algumas normas nacionais e internacionais que sāo referência na área de segurança e algumas delas estāo detalhadas logo abaixo:

**[ABNT](http://www.abnt.org.br) (Associação Brasileira de Normas Técnicas):**  A ABNT é responável por manter algumas normas Brasileiras voltadas para a segurança física na área de tecnologia, como por exemplo, a NBR 1333, 1334 e a 1335.

**[ISO](https://www.iso.org/home.html) (International Standardization Organization):** As normas ISO foram criadas visando atender diversos requisitos de segurança. 
Para estabelecer padrões para desenvolvimento de aplicações seguras, existe a [ISO 15408](https://pt.wikipedia.org/wiki/Common_Criteria). Para atender frentes específicas de segurança, foi criada a série 27000. Essa linha começa com a [ISO 27000](https://pt.wikipedia.org/wiki/ISO_/_IEC_27000) e tem várias na sequencia, porém as mais conhecidas sāo a ISO27001 e a ISO27002, que focam em controle e armazenamento de dados digitais, entretanto só existe certificaçāo para a ISO27001, as outras normas ISO da família 27000, sāo consideradas apenas guias com boas práticas recomendadas.
Em um dos meus trabalhos acadêmicos, utilizei a ISO27001 como referência para criar processos de Segurança da Informaçāo para uma instituiçāo de ensino superior no Brasil. Atualmente esse estudo está publicado em uma revista científica brasileira e você pode ter acesso a ele nesse [link](http://revistas.icesp.br/index.php/Cosmopolita/article/view/1018).

**[PCI](https://www.pcisecuritystandards.org) (Payment Card Industry):** O PCI-DSS é um padrão de segurança para a proteção de dados de cartão de crédito, criado pelo PCI Council. O conselho foi criado em 2006 pela American Express, Discover, JCB International, MasterCard e Visa. Esse conselho ajuda comerciantes, e instituições financeiras e fornecedores a compreender e implementar políticas de segurança, tecnologia e processos que protejam os dados de cartão de crédito em seus sistemas financeiros. 
Escrevi um [artigo](https://medium.com/sysadminas/atendendo-requerimentos-do-pci-dss-com-o-elastic-stack-a2d30684aba) mostrando como é possível atender alguns requerimentos do PCI-DSS, utilizando o Elastic Stack, como ferramenta de observabilidade e armazenamento de dados de auditoria.

**[SOX](https://pt.wikipedia.org/wiki/Lei_Sarbanes-Oxley) (Sarbannes-Oxley):** A SOX ou Sarbox tem como objetivo manter auditorias para segurança das organizações, com o intuito de diminuir ou evitar fraudes. Ela foi criada após serem evidenciados diversos escândalos financeiros em algumas empresas dos Estados Unidos.

**[NIST 800–53](https://www.varonis.com/blog/nist-800-53/):** O NIST é uma norma do Instituto Nacional de Normas e Tecnologia (NIST) dos Estados Unidos. O NIST 000–53 em específico, define os padrões e diretrizes para agências federais gerenciarem seus sistemas de segurança da informação.

**[GDPR](https://gdpr-info.eu) (General Data Protection Regulation):** A GDPR é uma norma que entrou em vigor em 2018 e foi criada pela Comissão Européia, com o intuito de aumentar, melhorar e padronizar a proteção de dados pessoais na União Européia.

**[LGPD](https://www.serpro.gov.br/lgpd) (Lei Geral de Proteção de Dados):** A LGPD ainda não entrou em vigor no Brasil, mas o objetivo dela é similar ao da GDPR, estabelecer normas para proteger os dados pessoais no Brasil, por isso, todas as empresas, independente do porte, estão tendo que se adequar para quando a lei entrar em vigor, em agosto de 2020.

A criação de políticas e adequaçāo a normas de segurança sāo processos complexos, porém imprescindíveis para qualquer organizaçāo do mundo, por isso é muito importante estar sempre atento a cada uma delas, para evitar ataques cibernéticos e roubos de informações que venham a prejudicar as empresas e seus clientes.