Sistema de Segurança da Informação

André Campos

Sistema de Segurança Segurança da Informação Controlando os Riscos

2 Edição a

 Visual

Books

Sumário Parte I - Sistema de Gestão .................................................................. 13 1 Conceitos Essenciais........................................................................... 15

1.1 Informação ........................................................................................................ 15 1.2 A Informação e sua Importância .................................................................... 16 2 O que é a Segurança da Informação?............................................. 17

2.1 Confidencialidade ............................................................................................ 17 2.2 Integridade ........................................................................................................ 18 2.3 Disponibilidade ................................................................................................ 19 3 Quando Problemas de Segurança Acontecem ............................. 21

3.1 Ativo de Informação ......................................................................................... 21 3.2 Vulnerabilidade................................................................................................ 23 3.3 Ameaça .............................................................................................................. 25 3.4 Incidente de Segurança da Informação ......................................................... 25 3.5 Probabilidade ................................................................................................... 26 3.6 Impacto .............................................................................................................. 27 3.7 Controle ............................................................................................................. 28 3.8 Como Garantir a Segurança da Informação? ................................................ 29 3.9 Onde Investir .................................................................................................... 29 3.10 Sistema de Gestão de Segurança da Informação ........................................ 31 3.11 Por onde Começar .......................................................................................... 32 4 A Segurança da Informação e as Estratégias de Negócio ......... 35

4.1 Excelência Operacional ................................................................................... 36 4.2 Liderança em Produto ..................................................................................... 37 4.3 Intimidade com o Cliente................................................................................. 39 4.4 Conclusão ......................................................................................................... 40

5 Definindo o Escopo do SGSI ............................................................ 43

5.1 O Processo Utilizado para Definir o Escopo ................................................. 44 5.2 Contexto Estratégico da Organização............................................................ 48 5.3 Analisando o Risco .......................................................................................... 50 5.4 Estratégia de Avaliação do Risco ................................................................... 50 5.5 Compreendendo o Impacto ............................................................................. 56 5.6 Compreendendo a Probabilidade .................................................................. 63 5.7 Avaliando o Risco ............................................................................................ 70 5.8 Coletando as Informações ............................................................................... 73 5.8.1 Processos ........................................................................................................ 74 5.8.2 Pessoas ........................................................................................................... 80 5.8.3 Tecnologias .................................................................................................... 82 5.8.4 Ambientes ...................................................................................................... 83 5.9 Tratando os Riscos ........................................................................................... 84 5.9.1 Quem faz a Análise de Risco ....................................................................... 84 5.9.2 Planejando o Tratamento do Risco ............................................................. 84 5.9.3 Opções para o Tratamento do Risco ........................................................... 84 5.10 Declaração de Aplicabilidade ...................................................................... 87 6 Implementando o Sistema de Segurança da Informação .......... 91

6.1 Planejando a Implementação .......................................................................... 92 6.2 Executando e Controlando o Projeto .............................................................. 96 6.3 Encerrando o Projeto ........................................................................................ 96 7 Monitorando e Revisando o Sistema .............................................. 97

7.1 Realizar Registros ............................................................................................ 98 7.2 Monitorar Controles ......................................................................................... 99 7.3 Realizar Auditorias ........................................................................................ 100 7.4 Reavaliar Riscos ............................................................................................. 100 7.5 Reavaliar o Sistema ........................................................................................ 101 8 Auditoria .............................................................................................. 103

8.1 Critérios de Auditoria .................................................................................... 105 8.2 Competência dos Auditores .......................................................................... 107

8.3 Gerenciando um Programa de Auditorias .................................................. 109 8.3.1 Estabelecendo o Programa de Auditoria .................................................. 110 8.3.2 Implementando o Programa ...................................................................... 110 8.3.3 Monitorando o Programa ........................................................................... 112 8.3.4 Melhorando o Programa ............................................................................ 112 8.4 Atividades da Auditoria ............................................................................... 113 9 Melhorando o Sistema de Segurança da Informação .............. 117

9.1 Atuando Corretiva e Preventivamente ......................................................... 118 9.2 Garantindo os Objetivos ................................................................................ 119 9.3 Comunicar os Resultados ............................................................................. 119 Parte II - Controles de Segurança da Informação ........................ 123 1 Normas ISO 17.799 e 27.001 Uma Breve História ................. 125 2 Controles de Segurança da Informação ....................................... 127 3 Política de Segurança da Informação ........................................... 129

3.1 O que é ............................................................................................................. 129 3.2 A Importância de uma Política ..................................................................... 130 3.3 Abrangência da Política ................................................................................ 132 3.4 Criando a Política ........................................................................................... 134 3.5 Definições Gerais ........................................................................................... 136 3.6 Objetivos e Metas ............................................................................................ 136 3.7 Diretrizes ......................................................................................................... 137 3.8 Responsabilidade pela Política .................................................................... 138 3.9 Revisão da Política ......................................................................................... 139 3.10 Questões Legais e de Regulamentação ...................................................... 140 3.11 Pensando na Auditoria ............................................................................... 141 3.12 Composição da Política ............................................................................... 141 3.13 Características Inerentes da Política .......................................................... 142 3.14 Características de Uso da Política .............................................................. 143 3.15 Pontos de Verificação .................................................................................. 143

4 Estruturando a Segurança da Informação ................................... 145

4.1 Quem Implementa o Sistema de Segurança da Informação ...................... 14 5 4.2 Security Officer ............................................................................................... 146 4.3 Comitê Gestor de Segurança da Informação ............................................... 147 4.4 Fórum de Segurança da Informação ............................................................ 149 4.5 Infra-estrutura da Segurança de Informações ............................................. 150 4.5.1 Elementos Internos ...................................................................................... 150 4.5.2 Elementos de Responsabilização .............................................................. 152 4.5.3 Elementos Externos ..................................................................................... 153 4.6 Segurança no Acesso de Prestadores de Serviço ........................................ 15 4 4.6.1 Acessos por Prestadores Riscos Envolvidos ......................................... 154 4.6.2 Requisitos de Segurança em Contratos de Terceirização ....................... 155 4.7 Terceirização ................................................................................................... 155 5 Gestão de Ativos de Informação ................................................... 157

5.1 Inventário dos Ativos ..................................................................................... 157 5.2 Classificação da Informação ......................................................................... 158 6 Pessoas ................................................................................................. 161

6.1 Contratação ..................................................................................................... 161 6.2 Trabalho .......................................................................................................... 164 6.3 Desligamento .................................................................................................. 165 7 Segurança Física e do Ambiente ................................................... 167

7.1 Área de Segurança ......................................................................................... 167 7.2 Segurança dos Equipamentos ...................................................................... 170 7.3 Controles Gerais ............................................................................................. 172 8 Gestão das Operações de TI .......................................................... 175

8.1 Planejamento e Aceitação de Sistemas ........................................................ 177 8.2 Gerenciamento de Rede ................................................................................. 178 8.3 Troca de Informações e Software .................................................................. 179

9 Controle de Acesso ........................................................................... 183

9.1 Controle de Acesso à Informação ................................................................. 183 9.2 Acesso à Rede ................................................................................................. 186 9.3 Controle de Acesso às Aplicações ................................................................ 187 9.4 Monitoração do Uso e Acesso ao Sistema ................................................... 188 9.5 Computação Móvel e Trabalho Remoto....................................................... 188 10 Aquisição, Desenvolvimento e Manutenção de Sistemas.... 191

10.1 Requisitos de Segurança de Sistemas ........................................................ 191 10.2 A Entrada de Dados..................................................................................... 192 10.3 Processamento de Dados ............................................................................ 193 10.4 Validação das Saídas .................................................................................. 196 10.5 Controles de Criptografia ............................................................................ 197 10.6 Segurança de Arquivos do Sistema ............................................................ 199 10.7 Segurança no Desenvolvimento de Software ............................................ 200 11 Gestão de Incidentes de Segurança da Informação ............... 203

11.1 Notificando Incidentes ................................................................................ 203 11.2 Tratando os Incidentes ................................................................................ 205 11.3 Aprendendo com os Erros ........................................................................... 205 11.4 Incidentes que Podem Acabar na Justiça .................................................. 206 12 Plano de Continuidade do Negócio ............................................ 209

12.1 Planejando e Gerindo a Continuidade ...................................................... 210 12.2 Documentando os Planos de Continuidade ............................................. 210 12.3 Garantia Funcional dos Planos.................................................................. 211 13 Conformidade Legal ....................................................................... 213

13.1 Identificando a Legislação Vigente ............................................................ 213 13.2 Registros Organizacionais .......................................................................... 214 13.3 Mantendo a Conformidade dos Sistemas de Informação ........................ 215 Referências ............................................................................................ 217