Gerenciando o ambiente fisico e a ISO 20000 entre outros tambem abordam o assunto, sempre com base nas normas ISO da familia 27000.Na familia ISO 27000 temos duas normas que sao as mais conhecidas:ISO 27001: E um modelo focado em estabelecer, implantar, operar, monitorar, rever, manter e melhorar um sistema de Gestao da Seguranca da Informacao. Ira implementar os controles da ISO 27002.ISO 27002: Codigo de praticas para Seguranca da Informacao.A ISO 27001 traz a abordagem da implementacao seguranca da Informacao dentro de uma abordagem de processos que procura enfatizar aos usuarios:O entendimento dos requisitos e a necessidade de se ter uma politica da seguranca da informacao.Implementar e operar controles para gerenciamento dos riscosMonitorar o desempenho e a eficacia da politica de seguranca da informacao.Promover a melhoria continua.Esta abordagem de processos e feita com base na tao conhecida estrutura PDCA, conforme temos na figura abaixo:PDCA da SergurancaPlanejar: Definicao do escopo do sistema de gerenciamento de seguranca da informacao. Identificacao de riscos, analisar e avaliar riscos, opcoes de tratamento de riscos entre outros.Implementar e Operar: Plano para tratamento de riscos, implementacao de controles, medicao da eficacia dos controles.Monitorar e revisar: Monitoramento e controle, revisoes periodicas no sistema de seguranca, conduzir auditorias internas, atualizar planos de seguranca.Manter e melhorar: Implementar melhorias identificadas, tomar acoes corretivas e preventivas, aplicar licoes aprendidas, comunicar as acoes de melhoria aos interessados.A ISO 27002 esta estruturada em secoes. Cada secao abaixo tem uma serie de controles que podem ser implementados, que vai depender do tamanho e necessidade de cada empresa. No total, sao cerca de 130 controles que podem ser implementados, divididos entre as secoes abaixo.Politica da seguranca da informacaoOrganizando a seguranca da informacaoGestao de ativosSeguranca em recursos humanosSeguranca fisica do ambienteGestao das operacoes e comunicacoesControle de acessoAquisicao, desenvolvimento e manutencao de sistemas de informacaoGestao de incidentes da seguranca da informacaoGestao da continuidade do negocioConformidadeFalando em Governanca de TI, podemos verificar que a ISO 27000 e totalmente aderente ao modelo de Governanca do COBIT, ou vice-versa. Se quisermos, podemos mapear praticamente todas as secoes acima aos processos que o COBIT 4.1 traz. Para fins de exemplo, podemos pegar a secao Gestao de incidentes da seguranca da informacao acima e tratar os incidentes da seguranca dentro do processo de gestao de incidentes propostos pelo COBIT 4.1 (DS8) e ITIL (Operacao de Servico: Gestao de Incidentes), mas tratando o incidente da seguranca de acordo com o sugerido pela norma ISO 27000. Portanto, caso sua empresa tenha um service desk baseado nas praticas do ITIL, so precisaria incluir mais alguns procedimentos para o tratamento dos incidentes de seguranca.Utilizamos como base para este post o livro Implantando a Governanca de TI da Estrategia a Gestao dos Processos e Servicos da editora Brasport.Um grande abraco!This entry was posted in Cobit, Governanca, ITIL. Bookmark the permalink.