Implementação de um Sistema de Gestão de Segurança da Informação: Requisitos e Controlos para assegurar a confidencialidade, disponibilidade e integridade de uma organização.
A informação é essencial para qualquer atividade e essencialmente para a garantia da sustentabilidade de uma organização. Pode estar em papel ou armazenada digitalmente, pode ser apresentada em filmes, fotografias, manuais, desenhos, ou comunicada verbalmente. Em qualquer dos casos, existe sempre a necessidade de ser adequadamente protegida.
A implementação de um Sistema de Gestão de Segurança da Informação (SGSI) de acordo com os requisitos da Norma NP ISO IEC/27001, promove a adoção de boas práticas e controlos para a segurança da Informação existente na Organização.
Os requisitos e controlos têm com o objetivo gerir a incerteza da Organização em relação à segurança da informação, assegurando a sua confidencialidade, disponibilidade e integridade.
A implementação de um SGSI tem passos pré definidos que seguem dois caminhos paralelos.
Ambos necessários para a certificação do SGSI, ambos fundamentais para a segurança da informação, ambos a começar ao mesmo tempo e provavelmente a envolver pessoas diferentes. No entanto, envolvem necessariamente recursos distintos e poderão assim, ter diferentes tempos de desenvolvimento e implementação. Assim, deve haver um planeamento e gestão cuidada da execução das diversas etapas.
O primeiro, ou o “um”, envolve os requisitos de gestão do sistema, como por exemplo:
. O campo de aplicação do SGSI.
. A política de segurança da informação.
· Os objetivos de segurança da informação.
- Sem os quais, não temos parâmetros e critérios para analisar e avaliar o risco.
· O organigrama da Organização, bem como as funções, responsabilidades e autoridades.
· As metodologias necessárias para assegurar o PDCAi, sejam estas metodologias para assegurar a adequação e pertinência do SGSI, ou para gerir recursos, ou para avaliar o desempenho ou para melhorar a sua eficácia.
O segundo, ou o “outro” caminho, está relacionado com o planeamento e controlo operacional, visa a identificação dos controlos necessários para assegurar a segurança da informação:
A segurança é garantida através da implementação de um conjunto de controlos documentados e suportados por uma gestão de riscos.
Tal só é possível, se a organização conseguir mobilizar todos os recursos, internos e externos, por forma a satisfazer as necessidades e expectativas DE TODOS, melhorando continuamente a sua eficácia e eficiência.
A Norma NP ISO/IEC 27001 possui um conjunto de requisitos para a conceção, implementação, manutenção e melhoria de um SGSI, sendo um dos principais documentos a nosso dispor para a segurança da informação de uma Organização, considerando o contexto desta, seus objetivos, processos, requisitos aplicáveis e infraestruturas.
Por último, não queremos esquecer a Norma ISO/IEC 27002, Information technology, Security techniques, Code of practice for information security controls, que é a base para a efetiva implementação do já mencionado Anexo A e que suporta os controlos de segurança da informação.
Bruno Pinheiro
José João Cordeiro
Nicolau Roque
XZ Consultores, SA