Implementação de um Sistema de Gestão de Segurança da Informação: Requisitos (...)

Implementação de um Sistema de Gestão de Segurança da Informação: Requisitos e Controlos para assegurar a confidencialidade, disponibilidade e integridade de uma organização.

A informação é essencial para qualquer atividade e essencialmente para a garantia da sustentabilidade de uma organização. Pode estar em papel ou armazenada digitalmente, pode ser apresentada em filmes, fotografias, manuais, desenhos, ou comunicada verbalmente. Em qualquer dos casos, existe sempre a necessidade de ser adequadamente protegida.

A implementação de um Sistema de Gestão de Segurança da Informação (SGSI) de acordo com os requisitos da Norma NP ISO IEC/27001, promove a adoção de boas práticas e controlos para a segurança da Informação existente na Organização.

Os requisitos e controlos têm com o objetivo gerir a incerteza da Organização em relação à segurança da informação, assegurando a sua confidencialidade, disponibilidade e integridade.

A implementação de um SGSI tem passos pré definidos que seguem dois caminhos paralelos.

Ambos necessários para a certificação do SGSI, ambos fundamentais para a segurança da informação, ambos a começar ao mesmo tempo e provavelmente a envolver pessoas diferentes. No entanto, envolvem necessariamente recursos distintos e poderão assim, ter diferentes tempos de desenvolvimento e implementação. Assim, deve haver um planeamento e gestão cuidada da execução das diversas etapas.

O primeiro, ou o “um”, envolve os requisitos de gestão do sistema, como por exemplo:

. O campo de aplicação do SGSI.

. A política de segurança da informação.

·  Os objetivos de segurança da informação.

- Sem os quais, não temos parâmetros e critérios para analisar e avaliar o risco.

·  O organigrama da Organização, bem como as funções, responsabilidades e autoridades.

· As metodologias necessárias para assegurar o PDCAi, sejam estas metodologias para assegurar a adequação e pertinência do SGSI, ou para gerir recursos, ou para avaliar o desempenho ou para melhorar a sua eficácia.

  • Planear
  • Executar
  • Controlar
  • Agir, para melhorar

O segundo, ou o “outro” caminho, está relacionado com o planeamento e controlo operacional, visa a identificação dos controlos necessários para assegurar a segurança da informação:

  1. Identificar os ativos da informação. Sabemos que a informação é o resultado do processamento, manipulação e organização de dados e é um ativo, algo que tem valor para qualquer organização. Aqui começamos a identificar por onde anda a informação, seja software ou hardware, tangível ou intangível.
  2. Determinar os responsáveis por esses ativos.
  3. Determinar a informação existente e seu suporte. Aqui começamos a ver qual é a informação a proteger.
  4. Classificar a informação. Aqui começamos a ter níveis de segurança, sejam 3, 4 ou 7 ou 8.
  5. Analisar e Avaliar o risco em termos a sua confidencialidade, disponibilidade e integridade da informação. Aqui já sabemos qualquer é a informação e como está classificada.
  6. Tratar o risco e planear a sua implementação. Aqui começamos a ter os controlo de segurança necessários.
  7. Comparar os controlos determinados no tratamento do risco com o descrito no Anexo A da Norma e verificar se não faltam alguns relevantes.

  1. Elaborar uma Declaração de Aplicabilidade com a descrição de todos os controlos e seus objetivos. Sabemos assim, que a segurança da informação é a proteção da informação das possíveis ameaças para garantir que não existe quebra da confidencialidade, integridade e disponibilidade.

A segurança é garantida através da implementação de um conjunto de controlos documentados e suportados por uma gestão de riscos.

Tal só é possível, se a organização conseguir mobilizar todos os recursos, internos e externos, por forma a satisfazer as necessidades e expectativas DE TODOS, melhorando continuamente a sua eficácia e eficiência.

A Norma NP ISO/IEC 27001 possui um conjunto de requisitos para a conceção, implementação, manutenção e melhoria de um SGSI, sendo um dos principais documentos a nosso dispor para a segurança da informação de uma Organização, considerando o contexto desta, seus objetivos, processos, requisitos aplicáveis e infraestruturas.

Por último, não queremos esquecer a Norma ISO/IEC 27002, Information technology, Security techniques, Code of practice for information security controls, que é a base para a efetiva implementação do já mencionado Anexo A e que suporta os controlos de segurança da informação.

Bruno Pinheiro

José João Cordeiro

Nicolau Roque

XZ Consultores, SA

<< Voltar