POLÍTICAS DE SEGURANÇA DA INFORMAÇÃO - PDF Free Download
Download "POLÍTICAS DE SEGURANÇA DA INFORMAÇÃO"
Guilherme Madeira Farias
1 POLÍTICAS DE SEGURANÇA DA INFORMAÇÃO Versão 1.0 neutronica.com.br 2016
3 Sumário PARTE I... 5 I. Introdução... 5 II. Melhores Práticas de Governança... 6 III. Melhores Práticas de Entrega de Serviços... 7 IV. Guia para Certificação de Sistemas de Gestão de Segurança da Informação... 8 V. Melhores Práticas de Segurança da Informação... 9 PARTE II VI. Política de Segurança da Informação VII. Organizando a Segurança da Informação VIII. Gestão de Ativos IX. Segurança em Recursos Humanos X. Segurança Física e do Ambiente XI. Gerenciamento das Operações e Comunicações XII. Controle de Acessos XIII. Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação XIV. Gestão de Incidentes de Segurança da Informação XV. Gestão da Continuidade do Negócio XVI. Conformidade... 20
4 Políticas de Segurança da Informação OBJETIVO GERAL: Compreender a necessidade da definição de Políticas de Segurança da Informação nas organizações e quais as possíveis consequências da falta de seu planejamento e implementação; Conhecer e ser capaz de interpretar as principais normas brasileiras e internacionais utilizadas na definição de Políticas de Segurança da Informação; Definir Políticas de Segurança da Informação para ambientes diversos, baseando-se em melhores práticas e normas adotadas pelo mercado e na realidade da organização. EMENTA: Apresentar a importância e a relevância da formulação de políticas como instrumento norteador da Segurança da Informação dentro das organizações; Introduzir métodos baseados em práticas adequadas para a elaboração e implementação dessas políticas, além de serem discutidas medidas que podem ser tomadas para sua divulgação na organização e conscientização de seus integrantes. REFERÊNCIAS: Básicas BARMAN, Scott. Writing Information Security Policies. New Riders Publishing, FERREIRA, Fernando Nicolau; ARAUJO, Marcio. Política de Segurança da Informação. 2.ed. Rio de Janeiro: Ciência Moderna, PELTIER, Thomas R. Information Security Policies and Procedures: A Practitioner s Reference, Second Edition. 2.ed. Auerbach Publications, Complementar WOOD, Charles Cresson. Information Security Policies Made Easy, 11th Edition. Information Shield, Adicionais ABREU, Vladimir Ferraz de; FERNANDES, Aguinaldo Aragon. Implantando a Governança de TI: da estratégia à gestão dos processos e serviços. Rio de Janeiro: Brasport, SANTOS Jr, Arthur Roberto dos; FONSECA, Fernando Sérgio Santos; COELHO, Paulo Estáquio Soares. Academia Latino Americana de Segurança da Informação Introdução à ABNT NBR ISO/IEC 17700:2005. Microsoft Technet, Versão Página 4 de 20
5 PARTE I I. Introdução 1. Defina, com suas próprias palavras, o que é Política de Segurança da Informação. 2. Quais são as premissas para implantar um Sistema de Gestão de Segurança da Informação na organização? 3. Por que os ativos são tão importantes para a organização? 4. Explique, com suas próprias palavras, o que é Confidencialidade, Integridade e Disponibilidade. 5. Dentro do Ciclo de Segurança da Informação, qual o elemento que se deseja mitigar e por quê? 6. O que é o Ciclo de Deming? 7. O que a Governança Corporativa tem de diferente da Governança de TI? 8. Como as tarefas Avaliar, Dirigir e Monitorar se relacionam entre si? 9. Por que o COBIT separa a Gestão da Governança? Versão Página 5 de 20
6 II. Melhores Práticas de Governança 1. O que é o COBIT e a que se propõe? 2. Quais são os dois princípios do COBIT que procuram abranger toda a organização? 3. Faça uma correlação entre os domínios de Gestão do COBIT e o ciclo de Deming. 4. Qual a diferença entre os processos Gerenciar a Segurança e Gerenciar Serviços de Segurança? Versão Página 6 de 20
7 III. Melhores Práticas de Entrega de Serviços 1. O que é o ITIL e a que se propõe? 2. O que é um Serviço de TI e por que ele é importante para a organização? 3. Como se dá a Criação de Valor? 4. Qual a diferença entre Utilidade e Valor? 5. Faça uma correlação entre o ciclo de vida do ITIL e o ciclo de Deming. 6. Por que se considera que os objetivos estratégicos são realizados por meio da operação de serviço? 7. Qual a finalidade do processo de Gestão de Segurança da Informação presente no ITIL? Versão Página 7 de 20
8 IV. Guia para Certificação de Sistemas de Gestão de Segurança da Informação 1. Qual o objetivo da norma ISO/IEC 27001? 2. O que é abordagem de processo? 3. Como as partes interessadas interagem com o modelo PDCA? 4. Quais requisitos a organização deve cumprir ao reivindicar conformidade com a norma ISO/IEC 27001? 5. Quais são os requisitos gerais para se adotar um Sistema de Gestão de Segurança da Informação? 6. O que a organização deve fazer para estabelecer e gerenciar o SGSI? 7. O que a organização deve fazer para implementar e operar o SGSI? 8. O que a organização deve fazer para monitorar e analisar criticamente o SGSI? 9. O que a organização deve fazer para manter e melhorar o SGSI? 10. O que a documentação deve incluir? 11. O que é Declaração de Aplicabilidade? 12. Como dever ser organizada e atribuída as responsabilidades? 13. Qual a importância das auditorias? 14. O que é análise crítica? 15. Como se dá a melhoria contínua? 16. O que são objetivos de controle e controles. Qual a diferença? Versão Página 8 de 20
9 V. Melhores Práticas de Segurança da Informação 1. De acordo com a ISO/IEC 27002, por quê segurança da informação é necessária? 2. Quais são as fontes para se estabelecer os requisitos de uma política de segurança da informação? 3. O que significa dizer que os gastos com os controles precisam ser balanceados? 4. Quais etapas a análise/avaliação de risco deve incluir? 5. Em qual momento os controles devem ser selecionados? 6. Quais as possíveis opções podem ser tomadas pela organização para o tratamento de riscos? 7. Quais controles podem ser considerados essenciais para uma organização do ponto de vista legal? 8. Quais fatores críticos de sucesso estão diretamente ligados ao nível estratégico da organização? Versão Página 9 de 20
10 PARTE II VI. Política de Segurança da Informação 1. Qual o objetivo da Política de Segurança da Informação? 2. Quais são as diretrizes para se implementar o documento da política de segurança da informação? 3. Por que deve haver comprometimento da direção? 4. Por que a política de segurança da informação deve ser comunicada para toda a organização? 5. Por que deve se tomar cuidado ao divulgar a Política de Segurança da Informação para o público externo? 6. Por que a análise crítica deve ser realizada a intervalos regulares? 7. Por que é necessário haver um gestor responsável pela Política de Segurança da Informação da organização? 8. Quais são as entradas para análise crítica? E as saídas? Versão Página 10 de 20
11 VII. Organizando a Segurança da Informação 1. Por que é conveniente que seja estabelecida uma estrutura de gerenciamento do SGSI? 2. Por que é fundamental que haja comprometimento da direção da organização com a política de segurança da informação? 3. Por que as atividades de segurança da informação devem envolver representantes de outras áreas da organização ao invés de envolver somente a TI? 4. Qual o objetivo de se atribuir responsabilidades de forma claramente definida? 5. Por que é necessário que seja implantado um processo de autorização para novos recursos? 6. O que os acordos de confidencialidade procuram proteger? 7. Escreva uma definição para autoridades, dentro do contexto do SGSI. 8. Qual a diferença entre autoridades e grupos especiais? 9. O que significa dizer que a análise crítica deve ser independente da segurança da informação? 10. Por que é necessário identificar e implementar controles apropriados a processos de negócio antes de se conceder acesso a partes externas? 11. No contexto da seção Organizando a Segurança da Informação, qual a diferença entre partes externas, clientes e terceiros? Versão Página 11 de 20
12 VIII. Gestão de Ativos 1. Qual o objetivo da gestão de ativos? 2. Quais ativos devem ser inventariados? 3. Quais são as responsabilidades do proprietário dos ativos? 4. Qual o objetivo do controle uso aceitável dos ativos? 5. A informação deve ser classificada em quais termos? 6. Qual a importância de se rotular a informação? Versão Página 12 de 20
13 IX. Segurança em Recursos Humanos 1. Qual o significado da palavra contratação dentro do contexto da Segurança da Informação? 2. Os papéis e responsabilidades pela segurança da informação devem incluir quais requisitos? 3. Como se deve proceder a seleção de pessoal dentro do contexto da Segurança da Informação? 4. O processo de seleção deve se limitar apenas a contratação de funcionários? Justifique. 5. Por que é importante levar em consideração a legislação pertinente? 6. Qual a importância dos termos e condições de contratação? 7. Com qual outra seção da norma ISO/IEC o controle Responsabilidades da direção se alinha? 8. O treinamento e conscientização devem ser iguais para todos os funcionários e colaboradores? Justifique. 9. Para que serve o processo disciplinar? 10. Os cuidados ao se desligar um funcionário ou fornecedor devem ser os mesmos? Justifique. Versão Página 13 de 20
14 X. Segurança Física e do Ambiente 1. Qual o objetivo da segurança física e do ambiente? 2. O que é um perímetro de segurança? 3. De quais ameaças o perímetro de segurança procura se proteger? 4. Qual a importância do controle de entrada física? 5. A segurança em escritórios, salas e instalações devem levar em consideração diversos regulamentos e normas. Cite alguns exemplos. 6. Existe alguma forma de se prever ameaças externas e de meio ambiente? Cite exemplos. 7. Quais cuidados devem ser tomados ao se trabalhar em áreas seguras? 8. Qual a finalidade de se restringir o acesso ao público em determinadas áreas da organização? 9. Qual a finalidade de se proteger os equipamentos destinados ao processamento de informações? 10. O que vem a ser utilidades dentro do contexto da Segurança da Informação? 11. Por que o cabeamento deve ser protegido? 12. Qual a importância de se realizar uma manutenção periódica nos equipamentos destinados ao processamento de informações? 13. Quais cuidados devem ser tomados com equipamentos que estão em instalações de terceiros? 14. Quais cuidados devem ser tomados quando do descarte de equipamentos? Versão Página 14 de 20
15 XI. Gerenciamento das Operações e Comunicações 1. Qual a importância de se manter documentados todos os procedimentos de operação? Dê exemplos de tarefas e/ou atividades que devem ser documentadas. 2. Por que é importante ter um processo de Gestão de Mudanças no gerenciamento das operações e comunicações? 3. O que significa Segregação de Funções no contexto da Segurança da Informação? 4. Do ponto de vista da Segurança da Informação, porque é importante segregar os ambientes de desenvolvimento, teste (homologação) e produção? 5. Quais os objetivos que se deseja alcançar quando se implementam os controles de gerenciamento de serviços terceirizados? 6. Do ponto de vista da Segurança da Informação, qual a importância da Gestão de Capacidade? 7. Como se dá o processo de Aceitação de Sistemas? 8. Quais são as formas para se proteger contra códigos maliciosos e códigos móveis? 9. Quais cuidados devem ser tomados na geração, guarda e restauro de Cópias de Segurança? 10. Quais as formas de se proteger as redes de comunicação? 11. Quais cuidados devem ser tomados no manuseio e descarte de mídias? 12. A quais riscos a organização pode se expor ao trocar informações com terceiros? Quais são as formas de se proteger contra eles? 13. Quais itens devem ser levados em consideração ao tratar a segurança da informação em sistemas de comércio eletrônico? 14. Qual o objetivo do monitoramento? 15. Para que servem os registros (logs) e porque devem ser protegidos? 16. Por que é importante que os relógios dos computadores estejam sincronizados? Versão Página 15 de 20
16 XII. Controle de Acessos 1. Por que o controle de acesso à informação deve ser controlado com base nos requisitos de negócio e segurança da informação? 2. Por que é importante que exista um procedimento formal de registro e cancelamento de usuários? 3. Como se pode garantir que a concessão e o uso de privilégios sejam restritos e controlados? 4. Quais são as principais diretrizes para o gerenciamento de senha dos usuários? 5. Quais considerações devem ser levadas em conta quando da análise crítica dos direitos de acesso de usuário? 6. Quais são as responsabilidades dos usuários quanto ao uso de senhas, uso de equipamentos sem monitoração e à política de mesa limpa? 7. Quais cuidados devem ser tomados ao se fazer o controle de acesso à rede? 8. Quais tecnologias podem ser usadas para implementar controles para autenticação segura de usuários, proteção de portas e segregação de redes? 9. Por que é importante controlar o acesso de usuários ao sistema operacional? 10. Quais diretrizes devem ser levadas em consideração quanto aos procedimentos seguros de entrada no sistema (logon)? 11. Como se pode controlar a identificação e a autenticação de usuários? Quais tecnologias podem ser usadas? Quando se deve optar por uma ou outra? 12. Quais são os objetivos ao se implantar um sistema de gerenciamento de senhas e implementar um limite de tempo de sessão e de horário de conexão? 13. Quais diretrizes devem ser seguidas ao se implementar controles de restrição de acesso à informação? 14. Por que se devem isolar sistemas sensíveis? 15. Quais cuidados devem ser tomados ao lidar com computação móvel e trabalho remoto? Versão Página 16 de 20
17 XIII. Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação 1. Quais diretrizes devem ser levadas em consideração ao contratar novos sistemas de informação ou melhorias em sistemas existentes? 2. Quais controles devem ser implementados para garantir que o objetivo de controle Processamento correto das aplicações seja alcançado? 3. Quais controles devem ser implementados para garantir que o objetivo de controle Controles criptográficos seja alcançado? 4. Como o controle Controle de software operacional se relaciona com o processo de Gestão de Mudanças? 5. Com qual controle da ISO/IEC a Proteção de dados para teste de sistema se relaciona? 6. O que se pode fazer para proteger e controlar o acesso ao código fonte dos sistemas? 7. Quais diretrizes devem ser adotadas quando da mudança de sistemas operacionais? 8. Por quais motivos as modificações em pacotes de software devem ser desencorajadas e limitadas? 9. Quais diretrizes podem ser levadas em consideração para prevenir o vazamento de informações? 10. O que a organização deve fazer ao terceirizar o desenvolvimento de software? 11. Quais diretrizes devem ser adotadas para se controlar as vulnerabilidades técnicas? Versão Página 17 de 20
18 XIV. Gestão de Incidentes de Segurança da Informação 1. Como se dá o processo de notificação de eventos de segurança da informação? 2. O que é alarme de coação? 3. Quais são os exemplos de incidentes de segurança da informação? 4. O que são fragilidades de segurança da informação? Quais cuidados devem ser tomados? 5. Qual a importância de se ter responsabilidades e procedimentos estabelecidos, documentados e definidos? 6. Quais diretrizes para procedimentos de gestão de incidentes devem ser consideradas? 7. O que significa Aprendendo com os incidentes de segurança da informação? 8. Faça uma relação entre Aprendendo com os incidentes de segurança da informação com o processo de melhoria contínua. 9. Em quais situações deve-se proceder com a coleta de evidências e como ela deve ser feita? Versão Página 18 de 20
19 XV. Gestão da Continuidade do Negócio 1. Qual(is) o(s) objetivo(s) da Gestão de Continuidade do Negócio? 2. Como a Gestão da Continuidade do Negócio se relaciona com a Política de Segurança da Informação? 3. Como a Gestão da Continuidade do Negócio se relaciona com a Análise/Avaliação de Riscos? 4. Como se dá o processo de desenvolver e implementar um plano de continuidade do negócio? Quais diretrizes devem ser levadas em consideração? 5. Como deve ser a estrutura de um plano de continuidade do negócio? 6. Quais diretrizes devem ser levadas em consideração quanto aos testes, manutenção e reavaliação dos planos de continuidade do negócio? Versão Página 19 de 20
20 XVI. Conformidade 1. Qual o objetivo da conformidade da politica de segurança da organização em relação aos requisitos legais? 2. Quem de dentro da organização pode ajudar a identificar a legislação aplicável? 3. Como a pirataria de software se relaciona com os direitos de propriedade intelectual? O que a organização pode fazer para implementar controle que protejam o direito a propriedade intelectual? 4. Dê exemplos de registros organizacionais e por que eles devem ser protegidos. 5. Por que dados e informações pessoais devem ser protegidos? 6. Como fazer para prevenir o mau uso de recursos de processamento de informação? 7. Por que deve haver conformidade entre os controles de criptografia usados pela organização e a legislação vigente? 8. Como os gestores podem garantir a conformidade dos procedimentos de segurança de suas áreas com a política de segurança da organização? 9. Como se dá a verificação da conformidade técnica? 10. O que deve ser levado em consideração quanto à auditoria de sistemas de informação? Versão Página 20 de 20