GESTÃO DA SEGURANÇA DA INFORMAÇÃO

Transcrição

1 1 Monitorização da capacidade e disponibilidade PT Necessárias alterações à plataforma elearning? 2 - Revisão do SGQ / Avaliação de Riscos Resp: Conselho da Qualidade IT IT A 10 Atividades Correntes 11 Constituição das turmas na plataforma de elearning IT Gestão de Recursos Humanos Resp: DRH 19 Trata-se de novo colaborador? 4 Necessária migração de dados? 12 Atribuição dos acessos 13 Existem pedidos de suporte? 20 Atribuição da conta no domínio UAb Resp: SI IT Necessária atribuição de outro perfil de utilizador? A 5 Exportação de dados para suporte amovível 6 Implementação e gestão das alterações 7 Testes e simulacros 8 Monitorização de Serviços Contratados PT IT Imp IT Apoio ao Utilizador 15 Existem pedidos de alteração à plataforma de Elearning? 16 Fim do ano letivo? 22 Atribuição do Perfil de utilizador na plataforma elearning 23 Divulgação das Políticas Específicas de Segurança da Informação e do uso de dispositivos móveis Resp: GSI PESI IT Análise de logs PF Arquivo de turmas do biénio anterior IT Gestão de permissões IT IT IT Gestão da continuidade PT Análise dos dados e elaboração de relatório de atividades e revisão do SGQ Resp: Gestores do Sistema Imp PF 1.14 Se optou por imprimir este documento, verifique previamente a sua validade antes da sua próxima utilização Pág 1 de 6

2 Revisão do SGQ, resultado da avaliação de riscos (plano de tratamento de risco), resultados da monitorização da capacidade e disponibilidade da plataforma elearning 1 e 2 Decorrente das decisões tomadas na revisão do SGQ, resultantes do plano de tratamento de riscos ou da monitorização da capacidade e disponibilidade da plataforma de elearning, pode-se verificar a necessidade de efetuar alterações à plataforma. Ainda decorrente da reunião de revisão do SGQ ou do plano de tratamento de riscos, pode ser identificada a necessidade de atribuição de outros perfis de utilizador. Necessidades de alterações à plataforma identificadas, necessidades de atribuição de perfis identificadas Necessidades de alterações à plataforma identificadas Necessidade de exportação de dados para suporte amovível Testes e ulacros 3 e 6 Caso se verifique a necessidade de efetuar alterações à plataforma, os Serviços de Suporte Tecnológico ao Ensino (SSTE) procedem de acordo com o PT que define o modo de gestão, análise, aprovação e implementação de alterações na plataforma. 4 e 5 Caso se verifique a necessidade de exportar dados para suporte amovível, a mesma é assegurada pelos SSTE, envolvendo deslocação ao centro de dados e sendo todas as operações devidamente autorizadas pela Direção de Apoio ao Campus Virtual (DACV); os dados são arquivados no suporte amovível sob encriptação, de acordo com o estabelecido na Política de Controlos Criptográficos da Universidade Aberta (UAb); quando deixam de ser necessários, os dados são destruídos utilizando o método DoD M; 7 Com periodicidade trimestral, os SSTE promovem testes de resistência e resiliência do sistema, tendo por base a matriz de Avaliação do Risco. Os mesmos consistem em testar: Sobrecarga de acessos, Ataque DDoS, Penetração; Com periodicidade semestral, os SSTE promovem simulacros de incidentes de segurança da informação, tendo por base a mesma matriz, bem como o SLA associado à sua resolução. Os riscos a testar são: Indisponibilidade, Perda integral de dados (com reposição de backup), Incumprimento do nível de serviço relativo a reposição de backups; As operações e os resultados obtidos são registados no Planeamento e Registo de ulacros (Imp 18-02), ao qual são anexadas as respetivas evidências. Alterações à plataforma implementadas Dados exportados, de forma segura Sistema testado Pág 2 de 6

3 8 Os SSTE monitorizam, em tempo real e de forma direta, as variáveis disponibilidade e velocidade do sistema, emitindo relatório trimestral alusivo a ambas; monitorizam o cumprimento do Service Level Agreement (SLA) estabelecido, em caso de resposta a eventos ou incidentes de segurança; recebem e analisam os relatórios mensais entregues pelo prestador do serviço contratado, em conformidade com o Caderno de Monitorização de Serviços Encargos de suporte ao vínculo; reúnem com o prestador do serviço contratado, para efetuar pontos-desituação periódicos sobre os objetos do contrato e discutir mecanismos de retificação de eventuais desvios Contratados Serviços monitorizados detetados nos níveis de desempenho. As reuniões ordinárias não resultantes de incidentes de segurança têm uma periodicidade trimestral, as reuniões extraordinárias são convocadas em função de necessidades específicas e/ou no contexto de incidentes registados, para atuação imediata; auditam os sistemas e centro de dados objeto do contrato, com periodicidade mínima anual. Análise de logs 9 De forma preventiva e em antecipação de eventuais incidentes de segurança de informação, é feita a recolha de logs de aplicação e de sistema, de acordo com os critérios: Acesso VPN ao back end: periodicidade mensal, por solicitação dos SSTE ao prestador do serviço de data center; MySQL query / acesso SSH/SFTP: periodicidade trimestral, pela Direção de Apoio ao Campus Virtual (DACV), para análise de acessos e ações dos administradores; Administração via camada aplicacional (interface web): periodicidade trimestral, pela DACV, para análise de acessos e ações dos administradores; Utilização via camada aplicacional (interface web): periodicidade bimestral, pelos SSTE, para análise de acessos e ações dos utilizadores; Autenticação: periodicidade bimestral, pelos SSTE, para análise de tentativas de acesso falhadas; CRON: periodicidade mensal, pelos SSTE, para análise de falhas nas tarefas de manutenção; error_reporting do PHP: periodicidade trimestral, pelos SSTE, para análise de erros e exceções. Logs analisados Pág 3 de 6

4 É exportada réplica dos logs em formato CSV (Comma Separated Values: valores separados por vírgulas), sendo depois importados em aplicação (ex: Excel) que possibilite a sua leitura, pesquisa por campo, aplicação de filtros, ordenação de registos, etc; Os registos são arquivados no espaço reservado à Gestão da Segurança da Informação, subordinado ao sistema certificado. Abertura do ciclo letivo Turmas constituídas na plataforma Pedidos de suporte no âmbito da plataforma de elearning 10 e 11 Decorrente das atividades da Universidade Aberta, no início de cada ciclo formativos, são constituídas pelos SSTE as turmas na plataforma, seguindo para tal o definido na IT Após a criação das turmas, os SSTE atribuem os acessos aos diversos utilizadores. Quando do primeiro acesso à plataforma é solicitado ao utilizador que declare concordância com as políticas específicas de segurança da informação em vigor na UAb, tomando assim, o utilizador, conhecimento dessas mesmas políticas. 13, 14 e 15 No decorrer do ano letivo e caso surjam pedidos de suporte efetuados pelos utilizadores da plataforma, os SSTE, prestam esse apoio seguindo para tal a IT Sempre que existam pedidos de introdução de alterações na plataforma de elearning, os SSTE, procedem de acordo com a atividade 4 do presente procedimento. Turmas constituídas na plataforma Acessos atribuídos aos utilizadores. Políticas específicas de segurança de informação divulgadas e aceites pelos utilizadores Pedidos de suporte tratados Fim de ano letivo 16 e 17 Quando terminado o ano letivo, os SSTE procedem ao arquivo das turmas do biénio anterior, ou seja, todos os anos os SSTE procedem ao arquivo de turmas da plataforma elearning de cordo com o seguinte: no ano n os SSTE procedem ao arquivo das turmas do ano n-2. Turmas do biénio anterior arquivadas Pág 4 de 6

5 Entrada de novos colaboradores 18, 19 e 20 Decorrente da gestão de recursos humanos nomeadamente quando da entrada de novos colaboradores, a DRH informa os SI que atribui as contas de utilizador no domínio da UAb de acordo com o definido na IT Utilizadores com acessos aos SI s da UAb atribuídos Necessidade de atribuição de outros perfis de utilizadores Entrada de novos colaboradores Colaboradores com perfis alterados 21 e 22 A necessidade de atribuir outros perfis de utilizador da plataforma elearning a colaboradores pode surgir no âmbito gestão de recursos humanos, como por exemplo decorrente da mobilidade interna, ou de decisões tomadas no âmbito da reunião de revisão do SGQ. A atribuição de perfis de utilizador da plataforma elearning é efetuada pelos SSTE que gerem os perfis e os acessos da plataforma. 23 Sempre que haja um novo colaborador ou seja atribuído um novo perfil, é efetuada divulgação das Políticas Específicas de Segurança da Informação (PESI), bem como as que regulam a utilização de dispositivos móveis (IT 18-06_A00 - Dispositivos móveis). As PESI são divulgadas na própria plataforma de elearning, onde é solicitado ao novo utilizador que aceite essas mesmas políticas. Utilizadores com perfis necessários atribuídos Políticas Específicas de Segurança da Informação divulgadas e aceites Gestão de permissões 24 Em função das responsabilidades sobre o sistema, os SSTE fazem a gestão das permissões, de acordo com os níveis de atuação sobre o mesmo, conforme definido nas IT e IT 18-08, e em observância do estabelecido na IT Permissões revistas e atualizadas Atividade corrente da UAb 25 A gestão da continuidade do negócio da UAb é assegurada pelos SSTE através do descrito no PT do qual faz parte a elaboração de um plano de continuidade do negócio. Plano de gestão da continuidade atualizado Pág 5 de 6

6 Atividade corrente da UAb. Resultados da implementação da segurança de informação aplicada à plataforma de elearning 26 Os Gestores do sistema, com os contributos dos Dirigentes da DRH, SI e SSTE, dinamizam a elaboração do Relatório de revisão do Sistema de Gestão da Qualidade (Imp 01-13) e fornecem os dados para o relatório de Atividades (Imp 01-01) no que respeita à segurança da informação. Relatório de Atividades Pág 6 de 6