fator. Apolitica de seguranca e a conscientizacao dos usuarios sao algumas das formasde se controlar a seguranca desta camada.2.2Normas de SegurancaNormas e padroes tem por objetivodefinir regras, principios e criterios, registrar as melhores praticas e proveruniformidade e qualidade a processos, produtos ou servicos, tendo em vista suaeficiencia e eficacia. (BEAL, 2005, p. 36). Concomitantemente, Semola (2003)diz que uma norma tem o proposito de definir regras, padroes e instrumentos decontrole que deem uniformidade a um processo, produto ou servico.AABNT NBR ISO/IEC 17799 foi elaborada no Comite Brasileiro de Computadores eProcessamento de Dados (ABNT/CB-21), pela Comissao de Estudo de SegurancaFisica em Instalacoes de Informatica (CE-21:204.01).O Projeto circulou emConsulta Nacional conforme Edital no 03, de 31.03.2005, com o numero de ProjetoNBR ISO/IEC 17799.A norma define 127 controles quecompoem o escopo do Sistema de Gestao de Seguranca da Informacao (InformationSecurity Management System ISMS), agrupados em 11 secoes de controles:Politica de Seguranca da Informacao; Organizacao da Seguranca da Informacao;Gestao de Ativos; Seguranca em Recursos Humanos; Seguranca Fisica e doAmbiente; Gestao das Operacoes e Comunicacoes; Controle de Acesso; Aquisicao,Desenvolvimento e Manutencao dos Sistemas de Informacao; Gestao de Incidentesda Seguranca da Informacao; Gestao da Continuidade do Negocio e Conformidade. A adequacao de qualquer empresa a normaISO IEC 27002:2005 garante conformidade com as melhores praticas em gestao daseguranca da informacao. As normas sao criadas para estabelecerem diretrizes eprincipios para melhorar a gestao de seguranca nas empresas e organizacoes.(HOLANDA, 2006).3POLITICA DE SEGURANCA DA INFORMACAOA Politica de seguranca e aformalizacao de todos os aspectos considerados relevantes por uma organizacaopara protecao, controle e monitoramento de seus recursos computacionais. Tambemdeve ser vista como um canal de comunicacao entre usuarios e o comiteCorporativo de Seguranca da Informacao. A documentacao gerada precisa explicara importancia da seguranca para motivar as pessoas envolvidas a pratica-la.A divulgacao da politica de seguranca euma das ferramentas responsaveis pelo sucesso da sua implantacao. Seu objetivoe disseminar a Politica de seguranca da Informacao na empresa, conscientizandoos colaboradores e prestadores de servico para a politica de seguranca que estasendo implantada.Deverao ser desenvolvidas palestras deconscientizacao, cartas, e-mails, cartilhas e eventos objetivando o sucesso daimplantacao.A Politica de Seguranca nao defineprocedimentos especificos de manipulacao e protecao da informacao, mas atribuidireitos e responsabilidades as pessoas (usuarios, administradores de redes esistemas, funcionarios, gerentes, etc.) que lidam com essa informacao. Destaforma, elas sabem quais as expectativas que podem ter e quais sao as suasatribuicoes em relacao a seguranca dos recursos computacionais com os quaistrabalham.Alem disso, a Politica de Segurancatambem estipula as penalidades as quais estao sujeitos aqueles que adescumprem.Antes que a Politica de Seguranca seja escrita,e necessario definir a informacao a ser protegida. Usualmente, isso e feitoatraves de uma analise de riscos, que identifica: Recursos protegidos pela politica; Ameacas as quais estes recursos estaosujeitos; Vulnerabilidades que podem viabilizar aconcretizacao destas ameacas, analisando-as individualmente.Uma politica de Seguranca deve cobriros seguintes aspectos: Politica de senhas; Direitos e responsabilidades dosusuarios; Direitos e responsabilidades doprovedor dos recursos; Acoes previstas em caso de violacao dapolitica.4AMEACAS A SEGURANCA DA INFORMACAOAs ameacas ao sistema de informacaoestao relacionadas a quebra dos tres principios basicos da seguranca dainformacao: Perdada Confidencialidade: acontece quando ocorre a quebra dosigilo de alguma forma.