A seguranca dos sistemas e ambientes de TI e assunto critico. Podemos verificar que boa parte da propriedade empresarial encontra-se nos meios de transferencia e armazenamentos de tecnologia.O Cobit e uma guia de boas praticas aceito mundialmente para gestao de tecnologia da informacao. Dividido em quatro dominios que possuem 34 processos e dentro destes processos temos 318 objetivos de controle, abrangendo amplamente a operacao de TI.Dentro destes dominios temos "Entregar e Suportar" ou DS de "Delivery & Support".Usaremos o processo DS5 que e "Assegurar a Seguranca dos Servicos" para gerir a seguranca da informacao em nossa empresa. Temos outros processos dentro do Cobit que complementam esta questao mas vamos focar neste especificamente.O processo de gestao em seguranca tem como alvo manter a integridade da informacao e proteger os ativos de TI, minimizando o impacto sobre os negocios de vulnerabilidades e incidentes de seguranca.Para implementar este processo precisamos definir os papeis, responsabilidades, politicas, padroes e procedimentos.O monitoramento, teste periodico e implementacao de acoes corretivas fazem parte da manutencao desta gestao.Para alcancar estes objetivos e necessario;1. Entender as vulnerabilidades e ameacas de seguranca.2. Controlar acessos e permissoes de usuarios.3. Testar periodicamente a seguranca. Como medir o progresso alcancado?1. Quantidade de incidentes que prejudicam a reputacao publica da empresa.2. Quantidade de sistemas onde os requisitos de seguranca nao sao atendidos.3. Quantidade de violacoes nas permissoes de acesso para usuarios.Neste processo temos os objetivos definidos abaixo.Alinhar a estrategia e acoes de gestao em seguranca da informacao com os requisitos do negocio no mais alto nivel organizacional da empresa.Tracar um plano abrangente com base nos requisitos do negocio que leve em consideracao a infraestrutura e cultura da empresa. O plano deve ser executado atraves de politicas, procedimentos de seguranca e investimentos em servicos, pessoal, treinamento, software e hardware. Todo plano deve ser amplamente divulgado a todos envolvidos direta ou indiretamente.Usuarios, colaboradores internos, externos e temporarios devem ter suas atividades identificadas e registradas. Os acessos e permissoes precisam ser documentados de acordo com as funcoes e atribuicoes dos cargos. Os direitos de acesso devem ser solicitados pela gestao de usuarios, aprovados pelo proprietario do sistema e implementados pelo responsavel pela seguranca da informacao. Os logins, senhas e acessos devem ser guardados em um repositorio central, de preferencia protegidos com senha e criptografia.Criar um procedimento para gestao de contas de usuario, que regera a forma para solicitacao, emissao, suspensao, modificacao e bloqueio de contas e seus direitos de acesso. Incluir procedimento de aprovacao e concessao de direitos de acesso pelos proprietarios dos dados ou sistemas. Este procedimento deve ser aplicado a todos usuarios internos ou externos, inclusive administradores e usuarios com privilegios.Monitorar e testar periodicamente a seguranca de TI para garantir os niveis aprovados e documentados. Os registros de eventos (Logs) e monitoramento devem possibilitar a prevencao e/ou deteccao de ameacas ou atividades incomuns que precisem ser tratadas.Especificar e comunicar de forma objetiva o que constitui um incidente de seguranca para que estes possam ser identificados rapidamente e tratados pelos processos de gestao de incidentes ou gestao de problemas.Certificar que as tecnologias de seguranca sejam inviolaveis e que suas