Desafios e benefícios na implementação de modelos de segurança da informação - PDF
Download "Desafios e benefícios na implementação de modelos de segurança da informação"
Clara Coimbra Caetano
1 Desafios e benefícios na implementação de modelos de segurança da informação Tecnologias de Informação - A Segurança da Certificação ISEGI UNIVERSIDADE NOVA LISBOA Lisboa, 24 de Outubro de 2008
2 Agenda Porquê adoptar um modelo de Segurança da Informação Objectivos de um SGSI (*) Benefícios de um SGSI Desafios na implementação de um SGSI (*) SGSI Sistema de Gestão de Segurança da Informação A Sinfic 2
3 Porquêadoptarum modelode segurançada informação? Por requisitos de Clientes/ Estado / Accionistas Requisitos contratuais, legais, de gestão Para demonstração a parceiros Do compromisso na Segurança da Informação Como ferramenta de Marketing Como vantagem competitiva face à concorrência Como ferramenta interna de gestão Para controlo e confiança
4 Objectivos de um Sistema de Gestão de Segurança da Informação Proteger o Negócio!!! 4
5 Informação a base do negócio! Estados (defesa nacional) Bancos (valor patrimonial de clientes) Software houses(código fonte) Saúde (registos clínicos) Modelos financeiros (estratégias de negócio) Autoridades policiais (registo de infracções)... Além das pessoas
6 Normas internacionais em Segurança da Informação ISO 27002:2005 Código de Boas Práticas para Gestão da Segurança da Informação (ISO 17799:2005) ISO 27001:2005 Requisitos para um Sistema de Gestão de Segurança da Informação
7 ISO Informação é um activo que, como outros importantes activos de negócio, tem valor para a organização e consequentemente necessita de ser adequadamente protegida IT03/Issue6-S/Jan2007(Português) 7
8 ISO/IEC 27002:2005 Código de boas práticas para a gestão da segurança da informação Para utilização como documento de referência Possui um conjunto compreensivo de controlos de segurança As melhores práticas de segurança actuais, em utilização Possui 11 secções de controlo Não é utilizado para análise (auditoria) e/ou certificação ex ISO/IEC 17799:2005 IT03/Issue6-S/Jan2007(Português) 8
9 ISO/IEC 27001:2005 Especificação para Sistemas de Gestão de Segurança da Informação Especifica os requisitos para o estabelecimento, implementação e documentação de um Sistema de Gestão de Segurança da Informação (ISMS * ) Especifica os requisitos para os controlos de segurança a serem implementados de acordo com as necessidades individuais das organizações (*) ISMS -Information Security Management System IT03/Issue6-S/Jan2007(Português) 9
10 Os três componentes básicos da Segurança da Informação Confidencialidade Integridade Disponibilidade CIA Confidentiality Integrity Availability
11 Confidencialidade Garantir de que a informação apenas se encontra disponível para quem está autorizado a acedê-la 11
12 Integridade Salvaguardar a exactidão da informação e dos seus métodos de processamento 12
13 Disponibilidade / Acessibilidade Garantir que as pessoas autorizadas a aceder à informação podem fazê-lo sempre que necessário e em tempo útil. 13
14 FUNDAMENTAL: Segurança com flexibilidade operacional Para algumas organizações, a disponibilidade pode ser mais importante que a confidencialidade
15 Desastres Naturais (Inundação, relâmpago, tremor de terra,...) Informação Acústica (conversações telefónicas, em público, em reuniões,...) Falhas Técnicas (falha de comunicações, falta de energia, falha de equipamento,...) Falhas Humanas (erros de manutenção, erros de utilizadores, falta de pessoal,...) Questões Sociais (greves, atentados, política, legislação...) ISO/IEC 27001:2005 Informação Lógica (registos electrónicos) Informação Visual (Vídeo, fotografia, video-conferência,...) Negócio Informação Física (Faxes, contratos, relatórios, manuais,...) Informação Intelectual (conhecimento)
16 Benefícios de implantação de um modelo de segurança da informação Auxilia o aumento, contínuo, da qualidade da organização; Proporciona capacidade de demonstração de elevada e apropriada base de segurança; Estabelece e cimenta confiança mútua entre locais da organização e com entidades externas; Incrementa a habilidade para gerir e sobreviver a um desastre; A adopção da possibilita endereçar a estrutura de um SGSI de uma forma prática, com custos eficazes, de forma realista e compreensiva;
17 Benefícios de implantação de um modelo de segurança da informação Conhecimento sobre a própria organização, seus processos, activos e dependências Conhecimento e valorização dos seus activos, no contexto do negócio Identificação de forças e fraquezas da organização, face ao ambiente global que a rodeia Conhecimento do RISCO a que a organização está exposta (ou não)!!! Cria a maturidade para gerir, no tempo, de forma eficaz a capacidade de sobrevivência da organização
18 Abordagem por processos Responsabilidade Alteração? Métricas Inputs Actividades chave Recursos Critérios Registos Outputs (Entregáveis)
19 Abordagem por processos Auditoria Revisão Verificação Responsabilidade Alteração? Métricas Validação Medidas de produto Medidas do processo Dept. A Inputs Actividades chave Outputs de Informação Dept. B Inputs de Informação Recursos Critérios Registos Pessoas Legislação Recibos Ambiente Regulamentação Ordens de Clientes Equipamento Ferramentas Comunicações Serviços Outros Clientes Organização Políticas Normas Procedimentos Ordens de Vendas Outputs (Entregáveis)
20 Detalhe de Processos Críticos da Organização Inputs Deptº A Deptº B Deptº C Outputs Deptº X Inputs (S.o.R.) Ownership Key activities Change? Measure Inputs (S.o.R.) Ownership Key activities Change? Measure Inputs (S.o.R.) Ownership Key activities Change? Measure Outputs Outputs Outputs Resources Criteria Records (Deliverables) Resources Criteria Records (Deliverables) Resources Criteria Records (Deliverables) Information inputs Information outputs Information Records Resources -People -Environment -Equipment -Tools -Communications -Services -Other Legislation Regulation Customer Corporate -Policies -Standards -Procedures Build Docket Receipts Customer Orders Sales invoice Information inputs Information outputs Information Records Resources -People -Environment -Equipment -Tools -Communications -Services -Other Legislation Regulation Customer Corporate -Policies -Standards -Procedures Build Docket Receipts Customer Orders Sales Invoice Information inputs Information outputs Information Records Resources -People -Environment -Equipment -Tools -Communications -Services -Other Legislation Regulation Customer Corporate -Policies -Standards -Procedures Build Docket Receipts Customer Customer Orders Sales Invoice Inputs (S.o.R.) Ownership Key activities Change? Measure Outputs Resources Criteria Records (Deliverables) Information inputs Information outputs Information Records Resources -People -Environment -Equipment -Tools -Communications -Services -Other Legislation Regulation Customer Corporate -Policies -Standards -Procedures Build Docket Receipts Customer Orders Sales Invoice
21 Activos Para a ISO 27001, como activos não se incluem necessariamente todos aqueles que habitualmente se consideram como tendo valor para a organização A organização tem que identificar quaisos activos que podem materialmente afectar a entrega de seus produtos e/ou serviços, em caso de ausência ou degradação. IT03/Issue6-S/Jan2007(Português) 21
22 Utilização de modelo de gestão do risco Fonte do risco Evento Consequência Fonte do risco: item ou actividade que possui um potencial para a consequência. Evento: ocorrência de um conjunto de circunstancias particulares. Consequência: resultado de um evento. Risco é a combinação da probabilidade de um evento e das suas consequências ISO IEC Guide 73:2002: Risk Management Vocabulary
23 Adopção de modelo para Gestão de Riscos Comunicar e Consultar Diagnosticar Estabelecer Contexto Identificar Riscos Analisar Riscos Avaliar Riscos Mitigar Riscos Controlar Riscos Riscos Monitorar e Rever Fonte: ISO Risk management - Guidelines on principles and implementation of risk management
24 Relacionado com negócio Relevância (1-5) Risco Probabilidade (1-5) Impacto (1-5) Relacionado com controlos Risco = P x S x I
25 Identificação das origens do Risco nos activos Objectivos ou Processosde negócio Sistemas Tecnologia Ambientes fisicos Processos Pessoas 25
26 Gestão do risco e Gestão da conformidade Ao gerir conformidades (medindo & optimizando) mitiga-se o risco Paulo Coelho Gestão do Risco
27 Desafios na implementação de um modelo de segurança da informação A experiência vivida demonstra que os seguintes factores são habitualmente críticos para o sucesso na implementação de segurança da informação na organização: IT03/Issue6-S/Jan2007(Português) 27
28 Desafios na implementação de um modelo de segurança da informação Os gestores de topo têm que ser vistos como empenhados (Responsabilidade nos processos) É essencial que a Administração e Directores de 1ª linha demonstrem o seu empenho (através de decisões para gestão do risco, por exemplo) Estou empenhado!
29 Desafios na implementação de um modelo de segurança da informação Política de Segurança, objectivos e actividades que espelhem os objectivos de negócio; Uma aproximação à implementação de segurança que seja consistente com a cultura da organização; Suporte e empenhamento visível da gestão de topo;
30 Desafios na implementação de um modelo de segurança da informação Um perfeito entendimento e conhecimento sobre requisitos de segurança, análise e gestão de riscos; Marketing efectivo para todos os colaboradores da organização; Distribuição do conceito de segurança da informação, políticas de segurança, normas e regulamentos a todos os colaboradores e contratados;
31 Desafios na implementação de um modelo de segurança da informação Providenciar treino e sensibilização de forma adequada e eficaz; Um compreensivo e balanceado sistema de medição, utilizado para avaliar a eficácia da gestão de segurança da informação na resposta a sugestões de melhoria.
32 Desafios na implementação de um modelo de segurança da informação Documentação Evidência de acções Executadas para o estabelecer da metodologia de gestão Sumário da metodologia de gestão Incluindo políticas, objectivos de controlo, controlos implementados e sumário desses controlos.
33 Desafios na implementação de um modelo de segurança da informação Procedimentos Para implementar os controlos, descrevendo responsabilidades e acções Para a gestão e operação do ISMS, descrevendo responsabilidades e acções Para auditar e rever internamente o ISMS
34 Controlos Chave A norma identifica 8 controlos como.. princípios guia que possibilitam um bom começo para a implementação da segurança da informação. Estes são baseados ou em requisitos legais considerados essenciais ou em boas práticas comuns para a protecção da informação.
35 Controlos com implicações legais Direitos de Propriedade Intelectual Salvaguarda de Registos da Organização Protecção e Privacidade de Dados
36 Controlos de Boas Práticas Documento Política de Segurança da Informação Atribuição de responsabilidades em matéria de Segurança da Informação Formação, sensibilização e treino em Segurança da Informação Procedimento para registo de incidentes de segurança Modelo de gestão para a continuidade de negócio
37 Principais pontos de esforço
38 Ganhar as pessoas! As organizações são as pessoas: São as pessoas que formam, gerem, mantém vivas e em constante evolução as organizações São também as pessoas que necessitam de informação para suportar as suas decisões quer a nível pessoal, quer a nível organizacional São as pessoas que sabem como criar, processar, armazenar, destruir, comunicar, proteger, etc. a informação de que necessitam Mas são também as pessoas que a podem colocar em risco as próprias organizações a que pertencem!
39 O elemento humano!!! O sucesso de um sistema de gestão de segurança da informação depende do envolvimento e motivação dos colaboradores das diferentes áreas ou departamentos da organização!
40 Pirâmide dos Standards
41 Princípios de excelência?? BS ISO/IEC ISO NP IEC BS ISO/IEC BS BS TR NZ BS ISO BS ISO/IEC BS ISO/IEC TR NP/EN BS ISO 9001 BS ISO/IEC BS
42 Se a informação não está segura, o futuro está Informação em risco! INTEGRIDADE Pessoas
43 Quem somos
44 Contexto empresarial baseado na FORÇA E CAPACIDADE EMPREENDEDORA CNS FORMAÇÃO, CONSULTORIA DE GESTÃO, ORDENAMENTO DO TERRITÓRIO ESTUDOS, SINFIC STRATEGIC IT CONSULTANCY CORPORATE PERFORMANCE MANAGEMENT SYSTEMS DEVELOPMENT & INTEGRATION IT OUTSOURCING & MANAGEMENT SINFIC SA(sociedade direito Português) SINFIC SARL(sociedade direito Angolano) SINFIC LDA(sociedade direito Moçambicano) INOVA Sistemas de Gestão da Qualidade. Diagnósticos Reengenharia Modernização Administrativa 3 países Angola, Moçambique, Portugal 30 cidades Lisboa, Porto, Aveiro, Marinha Grande, Agueda, Castelo Branco, Coimbra, Ponte de Lima, Pombal, Faro, Setúbal, Vila da Feira, Loulé, Leiria, Alcobaça, Casal de Cambra, Porto Alto, Funchal, Luanda, Lobito, Benguela, Huila, Ondigiva, Grandola, Kahama, Xangongo, Maputo
45 Devido à sua estrutura a SINFIC assegura uma gestão de competências orientada à excelência e uma capacidade de resposta completa Business and Process Modeling Enterprise Customer Relationship Management Information Systems Architecture Infrastructure and Networking Enterprise Resource Planning Planos de Desenvolvimento Estratégico Sistemas de Informaçao Geográfica Geografia, Topografia e cadastro Gestão Integrada do Território Planeamento do Território Planos Directores Planos de Urbanismo Planos de Promenor Capacidade Técnica reconhecida: IBM Premium partner MSFT Gold Partner Oracle Certified Partner CA Partner ESRI SAP Business Partner SAP Service Center Fujitsu Maintenance Management Knowledge Management Software System Quality Architecture Integration Document Management Internet Development Software Engineering Content Management Change Management Information Security Business Intelligence Data warehousing Corporate Portals Data Quality Web Design Data Mining E-Business E-Learning Orientação a referênciais: ISO 9001 CMM e CMMi ISO BS COSO COBIT ITIL TOGAF, A SINFIC assenta o seu modelo de gestão numa rede de unidades estratégicas de negócio autónomas, especializadas em competências específicas: quer tecnológicas, quer de serviços. Acreditamos que esta é a melhor forma de responder às exigências dos mercados, dos clientes, dos parceiros e colaboradores.
46 Parcerias O conjunto de alianças com os leaders mundiais trouxeram à SINFIC a capacidade de apresentar e implementar as melhores soluções do Mercado
47 Tecnologias de Informação - A Segurança da Certificação ISEGI UNIVERSIDADE NOVA LISBOA Lisboa, 24 de Outubro de 2008 SINFIC S.A. Estrada da Ponte, nº2 Quinta Grande Alfragide Amadora Portugal SINFIC S.A.R.L. Rua Ndunduma, 189 Miramar Luanda Angola SINFIC Lda. Av. Olof Palme, nº 358-1º Maputo Moçambique Tel: (+351) Fax: (+351) Tel: (+244) Fax: (+244) Tel: (+258) Fax: (+258) Fernando Fevereiro Mendes