Gestão de Segurança da Informação. Interpretação da norma NBR ISO/IEC 27001:2006. Curso e Learning Sistema de
|
|
- Maria das Neves Sousa Alcaide
- 7 Há anos
- Visualizações:
Transcrição
1 Curso e Learning Sistema de Gestão de Segurança da Informação Interpretação da norma NBR ISO/IEC 27001:2006 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste material sem a permissão expressa do autor.
2 Módulo 5 Interpretação das cláusulas 4 a da NBR ISO/IEC 27001:2005
3 Estrutura da Norma NBR ISO/IEC 27001:2006 Sistema de Gestão da SI 4 Responsabilidade da direção REQUISITOS Entradas 5 Auditorias internas 6 Melhoria do SGSI 8 Saídas SEGURANÇA DA INFORMAÇÃO Análise crítica do SGSI Melhoria pela direção Contínua 7
4 4 Sistema de Gestão de Segurança da Informação 4.1 Requisitos gerais A organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um SGSI documentado dentro do contexto das atividades de negócios globais da organização e dos riscos que ela enfrenta. O sistema deve ser documentado e: Operado Implementado Estabelecido Mantido Melhorado Cada sistema é composto por processos que se relacionam
5 4 Sistema de Gestão de Segurança da Informação 4.1 Requisitos gerais Para os efeitos desta norma, o processo usado está baseado no modelo PDCA.
6 4.2.1 Estabelecer o SGSI A organização deve: a) Definir o escopo e os limites do SGSI nos termos das características do negócio, da organização, sua localização, ativos e tecnologia, incluindo detalhes e justificativas para quaisquer exclusões do escopo (ver 1.2). Exemplo de escopo: Processo de desenvolvimento de software de sistemas de autenticação digital, realizado na Alameda Manaus nº 100 São Paulo SP, Brasil, conforme declaração de aplicabilidade revisão 1. Escopo
7 4.2.1 Estabelecer o SGSI A organização deve: b) Definir uma política de SGSI nos termos das características do negócio, da organização, sua localização, ativos e tecnologia que: 1) inclua uma estrutura para definir objetivos e estabelecer um direcionamento global e princípios para ações relacionadas com a segurança da informação 2) considere requisitos de negócio, legais e/ou regulamentares, e obrigações de segurança contratuais 3) esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento e a manutenção do SGSI irão ocorrer 4) estabeleça critérios em relação aos quais os riscos serão avaliados 5) tenha sido aprovada pela direção Política de SGSI
8 4.2.1 Estabelecer o SGSI Exemplo de política Nossos serviços e projetos são bens de importância fundamental para a empresa. A continuidade do nosso negócio depende da qualidade, confidencialidade, integridade e disponibilidade destes bens. Os gestores do projeto são responsáveis em proteger estes ativos contra uso não autorizado, recebimento, processamento, armazenamento e transmissão das informações Todos os funcionários, prestadores de serviço e consultores devem entender suas obrigações para proteger estas informações e implementar os procedimentos de segurança. Todos os incidentes de segurança devem ser comunicados para a área de segurança, para serem tomadas as devidas ações corretivas. Esta política é válida a partir de Política de SGSI
9 4.2.1 Estabelecer o SGSI A organização deve: c) Definir a abordagem de análise/avaliação de riscos da organização. 1) Identificar uma metodologia de análise/avaliação de riscos que seja adequada ao SGSI e aos requisitos legais, regulamentares e de segurança da informação identificados para o negócio. 2) Desenvolver critérios para a aceitação de riscos e identificar os níveis aceitáveis de risco. A metodologia de análise/avaliação de riscos selecionada deve assegurar que as análises/avaliações de risco produzam resultados comparáveis e reproduzíveis. Várias metodologias podem ser aplicadas. Análise/avaliação de riscos não é um processo matemático sempre haverá o uso do bom senso e dos sentimentos dos analistas. Portanto é necessário que o processo de análise seja harmonizado entre os profissionais que forem realizar esta atividade.
10 4.2.1 Estabelecer o SGSI A organização deve: d) Identificar os riscos. 1) Identificar os ativos dentro do escopo do SGSI, e os proprietários destes ativos. 2) Identificar as ameaças a estes ativos. 3) Identificar as vulnerabilidades que podem ser exploradas pelas ameaças. 4) Identificar os impactos que as perdas de confidencialidade, integridade e disponibilidade podem causar aos ativos. Exemplo: ATIVO: servidor utilizado para armazenar sites de clientes AMEAÇA: vírus VULNERABILIDADE: antivírus desatualizado IMPACTO: sites de clientes fora do ar
11 4.2.1 Estabelecer o SGSI A organização deve: e) Analisar e avaliar os riscos. 1) Avaliar os impactos para o negócio que podem resultar de falhas de segurança, levando em consideração as conseqüências de perda de confidencialidade, integridade ou disponibilidade dos ativos. 2) Avaliar a probabilidade real da ocorrência de falhas de segurança à luz de ameaças e vulnerabilidades prevalecentes, impactos associados a estes ativos e controles atualmente implementados. 3) Estimar os níveis de riscos. 4) Determinar se os riscos são aceitáveis ou se requerem tratamento utilizando os critérios para aceitação estabelecidos.
12 4.2.1 Estabelecer o SGSI Continuação do exemplo: ATIVO: servidor utilizado para armazenar sites de clientes AMEAÇA: vírus VULNERABILIDADE: antivírus desatualizado IMPACTO: sites de clientes fora do ar AVALIAÇÃO DO IMPACTO: desgaste com clientes, perda de clientes e multas contratuais PROBABILIDADE DE OCORRÊNCIA: 2% de chance RISCO: um critério deve ser definido. Como exemplo podemos considerar o risco de 1 a 5, sendo 1 o menor e 5 o maior. Neste caso poderíamos considerar o risco = 1 devido à atualização automática de antivírus (controle já implantado) NÍVEL DE RISCO ACEITÁVEL: na escala de 1 a 5 podemos definir, por exemplo: aceitar riscos de níveis 1 a 3
13 4.2.1 Estabelecer o SGSI A organização deve: f) Identificar e avaliar as opções de tratamento de riscos. Possíveis opções incluem: 1) Aplicar controles apropriados 2) Aceitar os riscos consciente e objetivamente, que satisfaçam claramente as políticas da organização e os critérios de aceitação de riscos 3) Evitar riscos 4) Transferir os riscos associados ao negócio a outras partes. Por exemplo: seguradoras e fornecedores No exemplo do slide anterior consideramos que já havia um controle implantado (atualização automática de antivírus). Porém se o ativo fosse de grande valor, poderíamos considerar que somente este controle não seria suficiente, e poderíamos decidir implantar um firewall ou utilizar servidores de uma empresa com mais infraestrutura (terceirizar a atividade e assim transferir o risco).
14 4.2.1 Estabelecer o SGSI A organização deve: g) Selecionar objetivos de controle e controles e para o tratamento de risco. Objetivos de controle e controles devem ser selecionados e implementados para atender aos requisitos identificados pela análise/avaliação de riscos e pelo processo de tratamento de riscos. Esta seleção deve considerar tanto os critérios para aceitação de riscos como também os requisitos legais, regulamentares e contratuais. Os objetivos de controle e controles do anexo A devem ser selecionados como parte deste processo, como adequados para cobrir os requisitos identificados. Os objetivos de controle e controles listados no anexo A não são exaustivos, e objetivos de controle e controles adicionais podem também ser selecionados. Exemplo: item A.11.3 do Anexo A: Responsabilidades dos usuários Uso de senhas Política de mesa limpa e tela limpa
15 4.2.1 Estabelecer o SGSI A organização deve: h) Obter aprovação da direção sobre os riscos residuais propostos. i) Obter autorização da direção para implementar e operar o SGSI. Por mais controles que sejam implantados, sempre haverá um risco residual. Não há sistema à prova de falhas. Estas sempre poderão ocorrer por ações deliberadas (de hackers, por exemplo) ou acidentais (incêndio ou inundação, por exemplo). Se o risco era de nível 4, implantamos um controle e conseguimos que o risco baixasse para nível 3, nós ainda não conseguimos eliminar o risco, e o dono do ativo precisa aprovar que nenhum outro controle necessite ser implantado.
16 Exercício Considere um notebook de uma organização utilizado por um consultor dentro e fora das dependências da empresa. Estando fora da empresa o consultor pode se conectar à rede da organização através da internet. Defina, para este ativo: Uma AMEAÇA possível Uma VULNERABILIDADE do ativo que possa ser atacada por esta ameaça Um IMPACTO possível caso a ameaça ocorresse E também: AVALIE este IMPACTO identificando possíveis conseqüências Estime, do seu ponto de vista, a PROBABILIDADE DE OCORRÊNCIA deste evento Valorize o RISCO considerando uma escala de 1 a 5, sendo 1 o menor risco e 5 o maior Estime, do seu ponto de vista, o NÍVEL DE RISCO ACEITÁVEL utilizando uma escala de 1 a 5, sendo 1 o menor e 5 o maior Considere que o risco não é aceitável e identifique um CONTROLE que possa minimizar este risco
17 Resposta Uma AMEAÇA possível: roubo. Uma VULNERABILIDADE do ativo que possa ser atacada por esta ameaça: uso do equipamento nas instalações dos clientes. Um IMPACTO possível caso a ameaça se tornasse um fato: perda de informação armazenada no disco rígido do computador; dados de clientes e da organização poderiam ser acessíveis a pessoas não autorizadas. AVALIE este IMPACTO identificando possíveis conseqüências: o roubo teria que ser relatado ao cliente, o que provocaria desgaste no relacionamento. E se as informações fossem parar nas mãos de terceiros mal intencionados ou da concorrência, poderia haver perda de imagem e de negócios. Estime a PROBABILIDADE DE OCORRÊNCIA deste evento: 20% de chance. Valorize o RISCO considerando uma escala de 1 a 5: risco = 3. Estime o NÍVEL DE RISCO ACEITÁVEL utilizando uma escala de 1 a 5: risco aceitável = 1. Considere que o risco não é aceitável e identifique um CONTROLE que possa minimizar este risco: não utilizar o disco rígido do notebook, trabalhar via web utilizando o sistema da empresa.
18 4.2.1 Estabelecer o SGSI A organização deve: j) Preparar a declaração de aplicabilidade, que deve incluir o seguinte: 1) Os objetivos de controle, os controles selecionados e as razões para sua seleção 2) Os objetivos de controle e os controles atualmente implementados 3) A exclusão de quaisquer objetivos de controle e de controles do anexo A, e justificativas para sua exclusão A declaração de aplicabilidade provê um resumo das decisões relativas ao tratamento de riscos. A justificativa das exclusões provê uma checagem cruzada de que nenhum controle foi omitido inadvertidamente. A ISO/IEC 27001:2005 contém 39 objetivos de controle e 133 controles, que serão detalhados nos módulos 9 e 10 deste treinamento.
19 Exercício Prepare um modelo de formulário que poderia ser usado para a documentação de uma declaração de aplicabilidade.
20 Resposta 1ª coluna: lista dos 133 controles definidos pela NBR ISO/IEC no seu anexo A. 2ª coluna: indicar, para cada um dos 133 controles, quais já estavam implementados antes da ISO É boa prática identificar os documentos da organização que se relacionam com estes controles. 3ª coluna: indicar quais dos 133 controles estão sendo implantados. É boa prática identificar os documentos da organização que se relacionam com estes controles. 4ª coluna: indicar quais dos 133 controles não estão sendo implantados e esclarecer as razões. Justificar adequadamente.
21 4.2.2 Implementar e operar o SGSI A organização deve: a) Formular um plano de tratamento de riscos que identifique ação de gestão apropriada, recursos, responsabilidades e prioridades para a gestão dos riscos de segurança. b) Implementar o plano de tratamento de riscos para alcançar os objetivos e controles identificados, que inclua considerações de financiamento e atribuições de papéis e responsabilidades. c) Implementar os controles selecionados para atender aos objetivos de controle. d) Definir como medir a eficácia dos controles ou grupos de controles selecionados, e especificar como estas medidas devem ser usadas para avaliar a eficácia dos controles de modo a produzir resultados comparáveis e reproduzíveis.
22 4.2.2 Implementar e operar o SGSI O que é um plano? Plano é um documento que diz o que será feito, por que, como, quando, por quem e onde. Também conhecido em inglês como 5W1H What O que Why Por que How Como When Quando Who Quem Where Onde
23 Exercício Elabore um formulário modelo para a documentação de um plano de tratamento de riscos e preencha com um exemplo.
24 Resposta PLANO DE AÇÃO No. FADM 004 Resp. Documento/Aprovado Márcia Guerra Contr. CHECADO Marcia Guerra Data DATE 1/2/2007 Rev. N O que porque como quando quem onde 1 Prevenir acesso indevido de pessoas que não sejam funcionários as instalações da organização Existem áres de desenvolvimento de produto com informações confidenciais Todos os funcionários devem utilizar crachás com código de barras para terem acesso as instalações até 3/8/07 Celso na matriz e nas filiais
25 4.2.2 Implementar e operar o SGSI A organização deve: e) Implementar programas de conscientização e treinamento. A organização deve assegurar que todo o pessoal que tem responsabilidades atribuídas definidas no SGSI seja competente para desempenhar as tarefas requeridas. f) Gerenciar as operações do SGSI. É importante que haja um profissional que seja responsável pelo sistema. g) Gerenciar os recursos para o SGSI. Sempre que houver necessidade de recursos humanos e materiais, a direção deve ser informada e deve analisar as disponibilidades financeiras para decidir onde prover os recursos necessários. h) Implementar procedimentos e outros controles capazes de permitir a pronta detecção de eventos de segurança da informação e resposta a incidentes de segurança da informação. Deve ser implementada uma sistemática de documentação e tratamento dos incidentes identificados, com ações imediatas para sanar o incidente e ações corretivas (quando aplicável) para evitar a recorrência destes incidentes.
26 Fim do módulo 5 Interpretação das cláusulas 4 a da NBR ISO/IEC 27001:2005
Campus Capivari Análise e Desenvolvimento de Sistemas (ADS) Prof. André Luís Belini /
Campus Capivari Análise e Desenvolvimento de Sistemas (ADS) Prof. André Luís Belini E-mail: prof.andre.luis.belini@gmail.com / andre.belini@ifsp.edu.br MATÉRIA: SEGURANÇA DA INFORMAÇÃO Aula N : 11 Tema:
Leia maisGestão de Segurança da Informação. Interpretação da norma NBR ISO/IEC 27001:2006. Curso e- Learning Sistema de
Curso e- Learning Sistema de Gestão de Segurança da Informação Interpretação da norma NBR ISO/IEC 27001:2006 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste
Leia maisCampus Capivari Análise e Desenvolvimento de Sistemas (ADS) Prof. André Luís Belini /
Campus Capivari Análise e Desenvolvimento de Sistemas (ADS) Prof. André Luís Belini E-mail: prof.andre.luis.belini@gmail.com / andre.belini@ifsp.edu.br MATÉRIA: SEGURANÇA DA INFORMAÇÃO Aula N : 11 Tema:
Leia maisInterpretação da norma NBR ISO/IEC 27001:2006
Curso e Learning Sistema de Gestão de Segurança da Informação Interpretação da norma NBR ISO/IEC 27001:2006 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste
Leia maisSegurança da Informação ISO/IEC ISO/IEC 27002
Segurança da Informação ISO/IEC 27001 ISO/IEC 27002 ISO/IEC 27001 Prover um modelo para estabelecer, implantar, operar, monitorar, rever, manter e melhorar um Sistema de Gestão da Segurança da Informação.
Leia maisGestão de Segurança da Informação. Interpretação da norma NBR ISO/IEC 27001:2006. Curso e- Learning Sistema de
Curso e- Learning Sistema de Gestão de Segurança da Informação Interpretação da norma NBR ISO/IEC 27001:2006 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste
Leia maisISO/IEC família de normas ISO / IEC ISMS
ISO/IEC 27000 família de normas ISO / IEC ISMS A série oferece recomendações de melhores práticas de segurança da informação, riscos e controles dentro do contexto de uma estratégia global Information
Leia maisGerenciamento e Interoperabilidade de Redes. Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt
Gerenciamento e Interoperabilidade de Redes Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt Como a SI pode ser obtida? Implementando CONTROLES, para garantir que os objetivos de segurança
Leia maisPOLÍTICA DE SEGURANÇA DA INFORMAÇÃO PÚBLICA
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO PÚBLICA ÍNDICE 1. OBJETIVO... 3 2. ABRANGÊNCIA... 3 3. DIRETRIZES... 3 3.1. TREINAMENTO E CONSCIENTIZAÇÃO... 3 3.2. COOPERAÇÃO ENTRE ORGANIZAÇÕES... 3 3.3. CONDUTAS
Leia maisKit de Documentação da ISO 27001
Kit de Documentação da ISO 27001 Nota: a documentação deve ser implementada preferencialmente na ordem listada neste documento. A ordem da implementação da documentação relacionada ao Anexo A está definida
Leia maisKit de documentação premium da ISO e ISO 22301
Kit de documentação premium da ISO e ISO http://www.isostandard.com/pt/produtos/kit-de-ferramentas-da-documentacaopremium-da-iso--e-da-bs-25999 Nota: a documentação deve ser implementada preferencialmente
Leia maisPOLÍTICA. TÍTULO: PLT-SGR Política do SGSI - SISTEMA DE GESTÃO DA SEGURANÇA DA INFORMAÇÃO CONTROLE DE APROVAÇÃO ELABORADO REVISADO APROVADO
1/5 CONTROLE DE APROVAÇÃO ELABORADO REVISADO APROVADO 0000536 - André Delgado- SEGURANCA Danielle Souza; Oscar Zuccarelli; HISTÓRICO DE REVISÕES REVISÃO DATA REV. ALTERAÇÕES Atualização do item 2.2 - Solicitar
Leia maisMódulo 7. NBR ISO Interpretação dos requisitos: 4.3.3, 4.4, 4.4.1, 4.4.2, 4.4.3, 4.4.4, Exercícios
Módulo 7 NBR ISO 14001 - Interpretação dos requisitos: 4.3.3, 4.4, 4.4.1, 4.4.2, 4.4.3, 4.4.4, 4.4.5 Exercícios 4.3 Planejamento 4.3.3 Objetivos e metas e programa de gestão ambiental A organização deve
Leia maisSegurança e Auditoria de Sistemas
Segurança e Auditoria de Sistemas ABNT NBR ISO/IEC 27002 0. Introdução 1 Roteiro Definição Justificativa Fontes de Requisitos Análise/Avaliação de Riscos Seleção de Controles Ponto de Partida Fatores Críticos
Leia maisGerenciamento e Interoperabilidade de Redes
EN3610 Gerenciamento e Interoperabilidade de Redes Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt Santo André, abril de 2011 Como a SI pode ser obtida? Implementando CONTROLES, para
Leia maisFormação Técnica em Administração. Modulo de Padronização e Qualidade
Formação Técnica em Administração Modulo de Padronização e Qualidade Competências a serem trabalhadas ENTENDER OS REQUISITOS DA NORMA ISO 9001:2008 E OS SEUS PROCEDIMENTOS OBRIGATÓRIOS SISTEMA DE GESTÃO
Leia maisFUNDAÇÃO CELPE DE SEGURIDADE SOCIAL - CELPOS CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO. Luiza M. Prestrêlo de Lima Diretoria Executiva
1/6 ELABORADO CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO APROVADO Paulo Queiroz Luiza M. Prestrêlo de Lima Diretoria Executiva HISTÓRICO DA ÚLTIMA MODIFICAÇÃO EDIÇÃO DATA ALTERAÇÕES EM RELAÇÃO
Leia maisRabobank Segurança Cibernética
INFORMAÇÕES SOBRE A POLÍTICA DE SEGURANÇA CIBERNÉTICA DO BANCO RABOBANK 1. INTRODUÇÃO Este documento consiste em uma versão simplificada da Política de Segurança Cibernética do Banco Rabobank International
Leia maisGestão de Segurança da Informação. Interpretação da norma NBR ISO/IEC 27001:2006. Curso e Learning Sistema de
Curso e Learning Sistema de Gestão de Segurança da Informação Interpretação da norma NBR ISO/IEC 27001:2006 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste
Leia maisAspectos importantes como a autenticação e autorização. Tipos de ameaças: Atividade não autorizada; Downloads não autorizados; Redes: local de transmi
MODELO DE REFERÊNCIA DE SEGURANÇA Criado para definir uma arquitetura de rede confiável e que implemente uma política de segurança, que consiste em uma série de regras, procedimentos, autorizações e negações
Leia maisSegurança da Informação
INF-108 Segurança da Informação Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt Segurança da Informação Preservação de: Confidencialidade Integridade Disponibilidade Como a SI pode ser
Leia maisCHECK-LIST ISO 14001:
Data da Auditoria: Nome da empresa Auditada: Auditores: Auditados: Como usar este documento: Não é obrigatório o uso de um check-list para o Sistema de Gestão. O Check-list é um guia que pode ser usado
Leia maisPOLÍTICA DE SEGURANÇA DA INFORMAÇÃO
1 - OBJETIVO Prover orientação e apoio para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações pertinentes para a melhor utilização dos recursos disponíveis
Leia maisOs processos de segurança da informação devem assegurar a integridade, a disponibilidade e a confidencialidade dos ativos de informação da Apex.
1 POLÍTICA DE SEGURANÇA DA INFORMAÇÃO Disposições Gerais Os sistemas de informação, a infraestrutura tecnológica, os arquivos de dados e as informações internas ou externas, são considerados importantes
Leia maisSegurança da Informação Aula 10 SGSI ISO e Prof. Dr. Eng. Fred Sauer
Segurança da Informação Aula 10 SGSI ISO 27001 e 27002 Prof. Dr. Eng. Fred Sauer http://www.fredsauer.com.br fsauer@gmail.com Partes Interessadas ABNT NBR ISO/IEC 27001:2013 Plan Ciclo PDCA Estabelecimento
Leia maisEspecificar os requisitos de um Sistema de Gestão Ambiental, permitindo à organização desenvolver e implementar :
Origem da norma 1-Objetivos Especificar os requisitos de um Sistema de Gestão Ambiental, permitindo à organização desenvolver e implementar : Política e objetivos alinhados com os requisitos legais e outros
Leia maisÍNDICE 1. OBJETIVO CONCEITOS PRINCÍPIOS DIRETRIZES CORPORATIVAS ESTRUTURA DE GERENCIAMENTO... 4
ÍNDICE 1. OBJETIVO... 2 2. CONCEITOS... 2 3. PRINCÍPIOS... 3 4. DIRETRIZES CORPORATIVAS... 3 5. ESTRUTURA DE GERENCIAMENTO... 4 5.1 Gestão de acessos às informações... 4 5.2 Proteção do ambiente... 4 5.3
Leia maisPlano de Continuidade. Plano de Continuidade. Plano de Contingência. Prof. Luiz A. Nascimento Auditoria e Segurança de Sistemas.
Plano de Contingência Prof. Luiz A. Nascimento Auditoria e Segurança de Sistemas Faculdade Taboão da Serra 2 Procedimentos definidos formalmente para permitir que os serviços de processamento de dados
Leia maisSegurança da Informação Aula 9 Políticas de Segurança. Prof. Dr. Eng. Fred Sauer
Segurança da Aula 9 Políticas de Segurança Prof. Dr. Eng. Fred Sauer http://www.fredsauer.com.br fsauer@gmail.com Política de Segurança de Informações É um documento que serve como mecanismo preventivo
Leia maisPOLÍTICA DE SEGURANÇA DA INFORMAÇÃO DAS EMPRESAS ELETROBRAS
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO DAS EMPRESAS ELETROBRAS Versão 1.0 29/01/2018 Sumário 1 Objetivo... 3 2 Conceitos... 3 3 Referências... 4 4 Princípios... 4 5 Diretrizes... 4 6 Responsabilidades...
Leia maisPolítica de segurança
1001 - Política de segurança Controlo Documental Data Versão Modificações Autor 19/12/2014 1.0 Criação Manel Cervera Díaz 04/01/2016 1.1 Revisão e Atualização Manel Cervera Díaz 16/03/2016 1.2 Separação
Leia maisPOLÍTICA DE SEGURANÇA CIBERTNÉTICA, SEGURANÇA DE INFORMAÇÃO E CONTINUIDADE.
SEGURANÇA CIBERTNÉTICA,. Litus Gestão de Recursos Ltda. ( Litus ou Sociedade ) Este material foi elaborado pela LITUS Gestão de Recursos Ltda., não podendo ser copiado, reproduzido ou distribuído sem prévia
Leia maisFUNDAÇÃO CELPE DE SEGURIDADE SOCIAL - CELPOS CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO. Luiza M. Prestrêlo de Lima Diretoria Executiva
1/9 ELABORADO CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO APROVADO Paulo Queiroz Luiza M. Prestrêlo de Lima Diretoria Executiva HISTÓRICO DA ÚLTIMA MODIFICAÇÃO EDIÇÃO DATA ALTERAÇÕES EM RELAÇÃO
Leia maisCONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO. Paulo Queiroz Luiza M. Prestrêlo de Lima Diretoria Executiva HISTÓRICO DA ÚLTIMA MODIFICAÇÃO
1/12 ELABORADO CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO APROVADO Paulo Queiroz Luiza M. Prestrêlo de Lima Diretoria Executiva HISTÓRICO DA ÚLTIMA MODIFICAÇÃO EDIÇÃO DATA ALTERAÇÕES EM RELAÇÃO
Leia maisSSC120 - Sistemas de Informação Segurança em Sistemas de Informação
SSC120 - Sistemas de Informação Segurança em Sistemas de Informação Simone S. Souza ICMC/USP Segurança em Sistemas de Informação Por que os SIs estão tão vulneráveis a destruição, erros e uso indevido?
Leia maisUsuários: Gestores de informações: Administradores dos ativos de TI:... 3 POLÍTICA CORPORATIVA
1/5 Sumário: 01. OBJETIVO:... 2 02. CONCEITUAÇÃO / DEFINIÇÃO:... 2 03. ABRANGÊNCIA / ÁREAS ENVOLVIDAS:... 2 04. RESPONSABILIDADES:... 2 04.01. Responsáveis pela execução das atribuições desta política:...
Leia maisUsuários: Gestores de informações: Administradores dos ativos de TI:... 3 POLÍTICA CORPORATIVA
1/6 Sumário: 01. OBJETIVO:... 2 02. CONCEITUAÇÃO / DEFINIÇÃO:... 2 03. ABRANGÊNCIA / ÁREAS ENVOLVIDAS:... 2 04. RESPONSABILIDADES:... 2 04.01. Responsáveis pela execução das atribuições desta política:...
Leia maisSEGURANÇA DAINFORMAÇÃO: A GESTÃO DE PESSOAS UTILIZANDO TECNOLOGIA EM INSTITUIÇÕES FINANCEIRAS
SEGURANÇA DAINFORMAÇÃO: A GESTÃO DE PESSOAS UTILIZANDO TECNOLOGIA EM INSTITUIÇÕES FINANCEIRAS Enéias Heleno da Silva 1 1 Instituto Federal de Educação, Ciência e Tecnologia de Pernambuco - DEaD/IFPE, e-
Leia maisMódulo Contexto da organização 5. Liderança 6. Planejamento do sistema de gestão da qualidade 7. Suporte
Módulo 3 4. Contexto da organização 5. Liderança 6. Planejamento do sistema de gestão da qualidade 7. Suporte Sistemas de gestão da qualidade Requisitos 4 Contexto da organização 4.1 Entendendo a organização
Leia maisGestão da Tecnologia da Informação
TLCne-051027-P0 Gestão da Tecnologia da Informação Disciplina: Governança de TI São Paulo, Agosto de 2012 0 Sumário TLCne-051027-P1 Conteúdo desta Aula Continuação do Domínio de Processos PO (PO4, PO5
Leia maisPúblico-Alvo (Áreas envolvidas)
Política: Política de Gestão de Dados Versão: 1.00 Responsável: Diretor Roberto Chateaubriand Tel.: +55 (11) 3556-7208 Gestor Carlos Bacetti Tel.: +55 (11) 3556-7240 Colaborador Michel Roque Tel.: +55
Leia maisLISTA DE VERIFICAÇÃO
LISTA DE VERIFICAÇÃO Tipo de Auditoria: AUDITORIA DO SISTEMA DE GESTÃO DA QUALIDADE Auditados Data Realização: Responsável: Norma de Referência: NBR ISO 9001:2008 Auditores: 4 SISTEMA DE GESTÃO DA QUALIDADE
Leia maisDIRETRIZES DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO
DIRETRIZES DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO ÍNDICE 1. OBJETIVO... 2 2. APLICAÇÃO... 2 3. REFERÊNCIA... 2 4. CONCEITOS... 2 5. RESPONSABILIDADES... 3 6. PRINCÍPIOS E DIRETRIZES... 3 6.1. Disposições
Leia maisTítulo Código Rev. MÉTODOS DE ENSAIO E VALIDAÇÃO DE MÉTODOS MQ-CQMA
5.4.1. Generalidades Os laboratórios do Centro de Química e Meio Ambiente (CQMA) estabelecem e mantêm procedimentos documentados para os métodos de ensaios que realizam. Nesses procedimentos estão incluídos
Leia maisIATF - International Automotive Task Force IATF 16949:2016 Interpretações Sancionadas
:2016 Interpretações Sancionadas A 1 a edição da foi publicada em outubro de 2016 e entrou em vigor em 1º de janeiro de 2017. As seguintes Interpretações Sancionadas foram determinadas e aprovadas pela
Leia maisPolítica Controles Internos
Política Controles 1. Objetivo Esta política estabelece diretrizes e responsabilidades para a implementação e manutenção do Sistema de Controles integrado ao Gerenciamento de Risco Operacional aplicável
Leia maisSegurança de Redes. Gestão de Segurança da Informação. Prof. João Henrique Kleinschmidt
Segurança de Redes Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt Segurança da Informação Preservação de: Confidencialidade Integridade Disponibilidade Como a SI pode ser obtida? Implementando
Leia maisAULA 02 Qualidade em TI
Bacharelado em Sistema de Informação Qualidade em TI Prof. Aderson Castro, Me. AULA 02 Qualidade em TI Prof. Adm. Aderson Castro, Me. Contatos: adersoneto@yahoo.com.br 1 Qualidade de Processo A Série ISO
Leia maisEtapas para implantação de um sistema de gestão integrado
Módulo 2 Etapas para implantação de um sistema de gestão integrado: equipe multidisciplinar, planejamento, processos, legislação, identificação e priorização dos riscos, melhorias, controles, objetivos
Leia maisControles de acordo com o Anexo A da norma ISO/IEC 27001
Controles de acordo com o Anexo A da norma ISO/IEC 27001 A.5.1.1 Políticas para a segurança da informação A.5.1.2 Revisão das políticas para a segurança da informação A.6.1.1 Funções e responsabilidades
Leia maisPolítica de Controles Internos
Política de Controles Internos JURISDIÇÃO GEOGRÁFICA AND BAH BRA ESP USA ISR LUX MEX MON PAN SUI URU X A informação contida neste documento é de uso interno e propriedade do Grupo Andbank sendo proibida
Leia maisPolítica Geral de Segurança da Informação da Assembleia da República
Política Geral de Segurança da Informação da Assembleia da República Resolução da Assembleia da República n.º 123/2018, de 8 de maio (TP) A Assembleia da República resolve, nos termos do n.º 5 do artigo
Leia maisGerencial Industrial ISO 9000
Gerencial Industrial ISO 9000 Objetivo: TER UMA VISÃO GERAL DO UM SISTEMA DE GESTÃO DA QUALIDADE: PADRÃO ISO 9000 Qualidade de Processo Qualidade do produto não se atinge de forma espontânea. A qualidade
Leia maisSegurança e Controle em Sistemas de Informação. Profa. Ellen Francine ICMC-USP
Segurança e Controle em Sistemas de Informação Profa. Ellen Francine ICMC-USP 11/09: nem tudo está sob controle Com o ataque contra o World Trade Center e Pentágono, todo transporte aéreo e terrestre foi
Leia maisIATF - International Automotive Task Force IATF 16949:2016 Interpretações Sancionadas
:2016 Interpretações Sancionadas A 1 a edição da foi publicada em outubro de 2016 e entrou em vigor em 1º de janeiro de 2017. As seguintes Interpretações Sancionadas foram determinadas e aprovadas pela
Leia maisGerência de Processos e Automação 29/08/2018
1 Área responsável pelo assunto 1.1 Gerência de Processos e Automação. 2 Abrangência 2.1 Esta Política orienta o comportamento da BB Seguridade e suas sociedades controladas. Espera-se que as empresas
Leia maisPolítica de Segurança da Informação
Braspor Gráfica e Editora Ltda. Política de Segurança da Informação Versão 3.0-01 de setembro de 2017 Este documento é propriedade da Braspor Gráfica e Editora Ltda. e contém informações proprietárias,
Leia maisIATF - International Automotive Task Force IATF 16949:2016 Interpretações Sancionadas
:2016 Interpretações Sancionadas A 1 a edição da foi publicada em outubro de 2016 e entrou em vigor em 1º de janeiro de 2017. As seguintes Interpretações Sancionadas foram determinadas e aprovadas pela
Leia maisSegurança da Informação. Alberto Felipe Friderichs Barros
Segurança da Informação Alberto Felipe Friderichs Barros Em um mundo onde existe uma riqueza de informação, existe frequentemente uma pobreza de atenção. Ken Mehlman Desde o surgimento da internet, a busca
Leia maisAnexo A (normativo) Objetivos de controle e controles
Anexo A (normativo) Objetivos de controle e controles Os objetivos de controle e controles listados na tabela A.1 são derivados diretamente e estão alinhados com aqueles listados na ABNT NBR ISO/IEC 17799:2005
Leia maisCopyright Proibida Reprodução. Prof. Éder Clementino dos Santos
ISO 9001:2008 GESTÃO DE QUALIDADE O que é ISO? ISO = palavra grega que significa Igualdade O Comitê - ISO A Organização Internacional de Normalização (ISO) tem sede em Genebra na Suíça, com o propósito
Leia maisSuperintendência de Riscos e Controles 15/03/2017
1 Área responsável pelo assunto 1.1 Superintendência de Riscos e Controles. 2 Abrangência 2.1 Esta Política orienta o comportamento da BB Seguridade e suas sociedades controladas. Espera-se que as empresas
Leia maisCurso e- Learning. Formação de Auditores Internos do Meio Ambiente NBR ISO 14001, com base na NBR ISO 19011
Curso e- Learning Formação de Auditores Internos do Meio Ambiente NBR ISO 14001, com base na NBR ISO 19011 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste
Leia maisSegurança da Informação
Universidade Federal do Rio de Janeiro Centro de Ciências Jurídicas e Econômicas Faculdade de Administração e Ciências Contábeis Biblioteconomia e Gestão de Unidades de Informação Segurança da Informação
Leia maisNBR ISO de 2001 (ISO de 1999) Índice
Módulo 3 Visão geral da ISO 10015: índice, introdução, objetivos, referências, definições, ciclo do treinamento, aquisição de produtos, envolvimento do pessoal, definição das necessidades de treinamento
Leia maisPLANO DE INFORMÁTICA
PLANO DE INFORMÁTICA ITAPEVI 2019 1 PLANO DE INFORMÁTICA REGULAMENTO E SEGURANÇA NA TECNOLOGIA DE COMUNICAÇÃO E/OU INFORMAÇÃO Independente da área de atuação de um bom profissional nos dias atuais a FAEESP
Leia maisPOLÍTICA DE SEGURANÇA DA INFORMAÇÃO
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO Março/2017 Política de Segurança da Informação 1 ÍNDICE 1. OBJETIVO... 3 2. RESPONSABILIDADES... 3 3. DIRETRIZES... 3 A. TRATAMENTO DA INFORMAÇÃO... 3 B. ACESSO À INFORMAÇÃO...
Leia maisRevisão da ISO 14001:2015. Fernanda Spinassi
Revisão da ISO 14001:2015 Fernanda Spinassi Requisito 4 Contexto da Organização Está mais claramente definida a obrigação de monitorar e analisar criticamente as questões externas e internas da organização
Leia maisMGQ Manual de Gestão da Qualidade. PDQ - Procedimento Documentado ITQ Instrução de Trabalho PQC Plano da Qualidade de Contrato
PDQ - Procedimento Documentado ITQ Instrução de Trabalho PQC Plano da Qualidade de Contrato ABNT NBR ISO 9001:2008 Sistemas de Gestão da Qualidade - Requisitos Matriz de Documentados Obrigatórios PROCEDIMENTOS
Leia maisPlanejamento Estratégico Utilizando o BSC - Balanced Scorecard
Objetivos do curso Funcionamento de uma organização focada em estratégia, integração do BSC da organização com o BSC corporativo, como tornar a estratégia em um processo contínuo, análise das métricas,
Leia mais1. Introdução PUBLIC - 1
1. Introdução Este documento fornece um resumo das atividades e diretrizes de Segurança da Informação e Cibernética estabelecidos na estrutura de Governança de Riscos do HSBC Brasil, instituídos por intermédio
Leia maisUnidade 1 Segurança em Sistemas de Informação
Unidade 1 Segurança em Sistemas de Informação 5 Existe uma rede 100% segura? Riscos não podem ser eliminados!! Riscos podem ser identificados, quantificados e reduzidos, mas não é possível eliminá-los
Leia maisFORMAÇÃO DE AUDITORES INTERNOS DA QUALIDADE ISO 19011:2012 PROF. NELSON CANABARRO
FORMAÇÃO DE AUDITORES INTERNOS DA QUALIDADE ISO 19011:2012 PROF. NELSON CANABARRO PRINCÍPIOS ISO 9001:2015 1. Foco no cliente 2. Liderança 3. Engajamento das pessoas 4. Abordagem de processo 5. Melhoria
Leia maisTreinamento e-learning. Interpretação e implantação da ISO 9001:2015
Treinamento e-learning Interpretação e implantação da ISO 9001:2015 Todos os direitos de cópia reservados. Não é permitida a distribuição física ou eletrônica deste material sem a permissão expressa da
Leia maisÍNDICE DO MÓDULO Atendimento ao cliente Reclamações dos clientes Controle de ensaios e calibrações não conformes
MÓDULO 4 REQUISITOS 4.7 - Atendimento ao cliente 4.8 - Reclamações dos clientes 4.9 - Controle de ensaios e calibrações não conformes 4.10 - Melhoria continua 4.11 - Ação corretiva 4.12 - Ação preventiva
Leia maisMódulo 7 Funcionamento de uma organização focada em estratégia, integração do BSC da organização com o BSC corporativo, como tornar a estratégia em
Módulo 7 Funcionamento de uma organização focada em estratégia, integração do BSC da organização com o BSC corporativo, como tornar a estratégia em um processo contínuo, análise das métricas, elaboração
Leia maisControle de Documentos e Registros Revisão: 00 Página 1 de 7
Controle de Documentos e Registros Revisão: 00 Página 1 de 7 1. HISTÓRICO DE REVISÕES DATA REVISÃO RESUMO DE ALTERAÇÕES 20/08/2013 00 Emissão inicial 2. OBJETIVO Descrever o procedimento interno para o
Leia maisSegurança da Informação
Segurança da Informação Eng. SERGIO VILLARREAL Conteúdo Introdução Conceitos Normas e SGSI Profissionais da SI Atividades Duração: 2 h 1 Introdução Informação Ativo mais importante das organizações Empresas
Leia maisSISTEMA DE GESTÃO DE SEGURANÇA, MEIO AMBIENTE E SAÚDE OCUPACIONAL
PROCEDIMENTO AUDITORIA INTERNA Nº PE-SMS-008 Fl. 1/8 Rev. Data Descrição Executado Verificado Aprovado 0 A B 20/03/07 02/02/08 30/04/15 Emissão Inicial Revisado logotipo, endereço e razão social da GENPRO
Leia maisPolítica de Segurança da Informação - Informática Corporativa
Política de Segurança da Informação - Informática Corporativa SUMÁRIO 1. OBJETIVO... 4 2. DEFINIÇÕES... 4 3. ABRANGÊNCIA... 4 4. DIVULGAÇÃO E DECLARAÇÃO DE RESPONSABILIDADE... 4 5. PRINCIPIOS DA POLITICA
Leia maisCB.POL a. 1 / 7
CB.POL-.01 4 a. 1 / 7 1. CONTEÚDO DESTE DOCUMENTO Esta política estabelece diretrizes e responsabilidades para a implementação e manutenção do Sistema de Controles Internos integrado ao Gerenciamento de
Leia maisAplicação dos Princípios BPL aos Sistemas Informatizados. Florbela Dias DMET
Aplicação dos Princípios BPL aos Sistemas Informatizados Number 17 Application of GLP Principles to Computerised Systems 2 Resumo Introdução Fase de projeto Fase operacional Fase de descontinuação 3 Introdução
Leia maisBem-vindo ao Circuito de Palestras EXIN 2014 Conheça o novo Portfólio EXIN:
Bem-vindo ao Circuito de Palestras EXIN 2014 Conheça o novo Portfólio EXIN: Iluminando mentes, capacitando profissionais e protegendo negócios. Segurança da Informação: Práticas de Gestão de Risco da ISO
Leia maisSISTEMA DE GESTÃO DA QUALIDADE
PROCEDIMENTO AUDITORIA INTERNA Nº PE-GDQ-004 Fl. 1/10 Rev. Data Descrição Executado Verificado Aprovado 0 A B C D E F G H 10/08/04 15/09/04 09/11/05 27/06/07 23/11/07 22/02/08 30/10/09 31/10/14 10/10/17
Leia maisFUNDAÇÃO CELPE DE SEGURIDADE SOCIAL - CELPOS CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO. Luiza M. Prestrêlo de Lima Diretoria Executiva
1/5 ELABORADO CONTROLE DE APROVAÇÃO REVISADO PELO ÓRGÃO NORMATIVO APROVADO Paulo Queiroz Luiza M. Prestrêlo de Lima Diretoria Executiva HISTÓRICO DA ÚLTIMA MODIFICAÇÃO EDIÇÃO DATA ALTERAÇÕES EM RELAÇÃO
Leia maisNBR ISO/IEC 2700. I. Políticas de segurança da informação. Organizando a Segurança da Informação; Gestão de Ativos; Segurança em Recursos Humanos;
NBR ISO/IEC 2700 ISO/IEC 27000: Esta norma apresenta a descrição, vocabulário e correspondência entre a família de normas que tratam de um Sistema de Gestão de Segurança da Informação (SGSI), proporcionando
Leia maisAPOSTILAS: NORMAS; ABNT NBR ISO; MPS BR
APOSTILAS: NORMAS; ABNT NBR ISO; MPS BR Fonte: http://www.softex.br/mpsbr/_home/default.asp Apostilas disponíveis no site 1 NORMAS: NBR ISO NBR ISO/IEC CMM SPICE Continuação... 2 NORMAS VISÃO GERAL NBR
Leia maisMódulo 7 Estrutura da norma ISO 9001:2008 Sistemas de Gestão da Qualidade - Requisitos Requisitos 8.1, 8.2 e 8.3
Módulo 7 Estrutura da norma ISO 9001:2008 Sistemas de Gestão da Qualidade - Requisitos Requisitos 8.1, 8.2 e 8.3 Estrutura da norma Sistema de Gestão da Qualidade 4 C L I E N R E Q U I S 5 Responsabilidade
Leia maisSegurança das informações. Prof ª Gislaine Stachissini
Segurança das informações Prof ª Gislaine Stachissini Softwares mal-intencionados Vírus Worms Cavalos de Tróia Spywares Softwares mal-intencionados: Vírus Um vírus é um código de computador que se anexa
Leia maisObjetivos do módulo. Durante este módulo iremos:
Objetivos do módulo Neste módulo, iremos apresentar o Processo de Gerenciamento de Mudança que tem como objetivo verificar os métodos para controlar as mudanças na infra-estrutura de TI. Durante este módulo
Leia maisÍndice /1 Confidencialidade Página 1 de 10 Classificação da Informação: Interna (Normativo Confidencialidade)
Índice 1. Definição... 2 2. Público alvo... 2 3. Descrição... 2 3.1. Objetivo... 2 3.2. Gestão e Utilização das Informações... 2 3.3. Propriedade Intelectual... 3 3.4. Classificação da Informação... 3
Leia mais