O que e SI?Informacao = ativo que precisa ser protegido.SI e a protecaoda informacao de varios tipos de ameacas para garantir a continuidade do negocio, minimizar os riscos ao negocio, maximizar o retorno sobre os investimentos e asoportunidades de negocio.SI e obtida a partir da implementacao de um conjunto decontroles. Controles podem ser politicas, processos, procedimentos, estruturasorganizacionais e funcoes de SW e HW.Os controles devem ser EIOMAMM:EstabelecidosImplementadosOperadosMonitoradosAnalisados criticamenteMelhorados eMantidosPor que a SI e necessaria?Porque e uma atividade essencial para assegurar a competitividade, o fluxo de caixa, a lucratividade, o atendimento aos requisitos legais e a imagem da organizacao junto ao mercado.O Compartilhamento de recursos aumenta a dificuldade decontrolar acessos. Computacao distribuida reduz a eficacia da implementacao deum controle de acesso centralizado.Gestao de SI requer a participacao pelo menos de todos os funcionarios! Talvez seja necessaria aparticipacao de acionistas, fornecedores, clientes e etc. Fontes dos requisitosde informacao:Analise eavaliacao de riscos levando-se em conta os objetivos e as estrategiasglobais do negocio.Identificamos ameacas aos ativos e asvulnerabilidades destes.E realizada uma estimativa de probabilidade deocorrencia e impacto ao negocioLegislacao vigente,estatutos, regulamentacao e clausulas contratuais.Principios,objetivos e os requisitos de negocio.Analisando e avaliando riscos de SIOs gastos com controles precisam ser balanceados de acordocom os danos causados. Os resultados da AAR ajudarao a direcionar e determinaras acoes apropriadas, prioridades e controles. AAR deve ser repetidaperiodicamente para contemplar qualquer mudanca.Importante: anorma 27002 valoriza a dinamicidade do ambiente corporativo, portanto, sempreaconselha avaliacoes periodicas, nao so de AAR, uma analise critica periodicada PSI tambem e aconselhada pela norma.Selecao de controlesUma vez que os requisitos de SI tenham sido identificados(lembrando que eles vem das fontes de requisitos AAR, legislacoes eprincipios), convem que os controles apropriados sejam selecionados eimplementados. A selecao depende da organizacao e seu criterio de aceitacao de riscose importante tambem considerar as legislacoes na selecao de controles.Ponto de partida para a SIAlguns controles sao considerados um bom ponto de partidapara a implementacao de SI, eles sao baseados em requisitos legais e emmelhores praticas.Controles essenciais:Protecao de dados e privacidades de informacoespessoaisProtecao dos registros organizacionaisDireitos de propriedade intelectualControles considerados praticas:Documento da PSICategoria de PSIAtribuicao de responsabilidades para SICategoria de Organizando a SIConscientizacao, educacao e treinamento em SICategoria de seguranca em RHProcessamento correto nas aplicacoesCategoria de aquisicao, desenvolvimento emanutencao de Sistemas de informacao.Gestao de vulnerabilidades tecnicasCategoria de aquisicao, desenvolvimento emanutencao de Sistemas de informacao.Gestao de continuidade do negocioCategoria de gestao da continuidade do negocioGestao de incidentes de SICategoria de gestao de incidentes de SIObservacao: todosos controles essenciais sao da categoria de conformidade. Os controlespraticas estao espalhados por toda a norma.Macete: podemosassociar os controles essenciais ao fato deles ja existirem antes da norma, umalegislacao anterior a norma 27002 ja exigia esses controles.Observacao:embora o enfoque do ponto de partida mostrado acima seja interessante, ele naosubstitui o resultado da AAR.FCSs para a implementacao da SIPSI devem refletir os objetivos do negocioSI deve considerar a cultura organizacionalComprometimento de todos os niveis gerenciaisBom entendimento dos requisitos de SI e boa AARDivulgacao eficiente da SIDistribuicao da PSI para todosProvisao de recursos financeiros para asatividades de SIConscientizacao e treinamentoEficiente processo de gestao de incidentes de SISistema de medicao para avaliar