Segurança e Auditoria de Sistemas ABNT NBR ISO/IEC 27002 5. Política de Segurança da Informação 1
Roteiro (1/1) Objetivo Documento Orientações Mínimas para o Documento Análise Crítica e Avaliações 2
Objetivo (1 / 2) O objetivo da política de segurança da informação é: fornecer à direção uma orientação e apoio para a segurança da informação conforme os requisitos do negócio e as Leis e regulamentos relevantes. 3
Objetivo (2 / 2) A direção deve: estabelecer uma política clara e alinhada com os objetivos do negócio; apoiar e comprometer-se com a segurança da informação através da publicação e manutenção da política de segurança da informação para toda a organização. 4
Documento - Controle A política de segurança da informação deve ser: um documento; aprovado pela direção; publicado e comunicado a todos os funcionários e partes externas relavantes. 5
Documento - Diretrizes para Implementação O documento da política de segurança da informação deve: declarar o comprometimento da direção; estabelecer o enfoque da organização para gerenciar a segurança da informação. 6
Documento - Diretrizes para Implementação Este documento deve ter declarações relacionadas com: uma definição de segurança da informação, com metas globais, escopo e importância da segurança como um mecanismo que habilita o compartilhamento de informações; uma declaração do comprometimento da direção, apoiando as metas e princípios da segurança da informação, alinhada com os objetivos e estratégias do negócio; 7
Orientações Mínimas para o Documento (1/4) definição de segurança da informação; resumo das metas e escopo; importância da segurança da informação como um mecanismo que habilita o compartilhamento de informações; declaração de comprometimento da alta direção; 8
Orientações Mínimas para o Documento (2/4) definição das responsabilidades na gestão da segurança da informação; referências à documentação que possa apoiar a política; 9
Orientações Mínimas para o Documento (3/4) explicação breve das políticas, princípios, padrões e requisitos de conformidade de importância específica para a organização, por exemplo: conformidade com a legislação e claúsulas contratuais; requisitos na educação de segurança; 10
Orientações Mínimas para o Documento (4/4) explicação breve das políticas, princípios, padrões e requisitos de conformidade de importância específica para a organização, por exemplo: gestão da continuidade do negócio; conseqüências das violações na política de segurança da informação. 11
Análise Crítica e Avaliações (1/7) A política de segurança deve ter um gestor que é responsável pela manutenção e análise crítica. O processo de análise crítica deve ser prédefinido 12
Análise Crítica e Avaliações (2/7) A análise crítica deve ocorrer como decorrência de qualquer mudança que afete a avaliação de risco, por exemplo: feedback das partes interessadas; resultados de revisões independentes; status de ações preventivas e corretivas; resultados das revisões anteriores; 13
Análise Crítica e Avaliações (3/7) A análise crítica deve ocorrer como decorrência de qualquer mudança que afete a avaliação de risco, por exemplo: adequação a política de segurança da informação e desempenho de processo; tendências relacionadas a ameaças e vulnerabilidades; 14
Análise Crítica e Avaliações (4/7) A análise crítica deve ocorrer como decorrência de qualquer mudança que afete a avaliação de risco, por exemplo: mudanças ao ambiente organizacional, circunstâncias de negócios, disponibilidade de recursos, condições contratuais, regulatórias ou legais, ou no ambiente técnico; 15
Análise Crítica e Avaliações (5/7) A análise crítica deve ocorrer como decorrência de qualquer mudança que afete a avaliação de risco, por exemplo: recomendações fornecidas por autoridades relevantes. 16
Análise Crítica e Avaliações (6/7) Análises críticas periódicas: efetividade da política; custo e impacto na eficiência dos negócios; efeitos das mudanças na tecnologia. 17
Análise Crítica e Avaliações (7/7) A saída da revisão periódica deve incluir qualquer decisão e ação relacionada com: melhoria da visão da organização em gerenciar segurança da informação e seus processos; melhoria dos objetivos de controle e controles; melhoria na alocação de recursos e/ou responsabilidades. 18