Implementação de um Sistema de Gestão de Segurança da Informação: Requisitos (...)
Implementação de um Sistema de Gestão de Segurança da Informação: Requisitos e Controlos para assegurar a confidencialidade, disponibilidade e integridade de uma organização.
A informação é essencial para qualquer atividade e essencialmente para a garantia da sustentabilidade de uma organização. Pode estar em papel ou armazenada digitalmente, pode ser apresentada em filmes, fotografias, manuais, desenhos, ou comunicada verbalmente. Em qualquer dos casos, existe sempre a necessidade de ser adequadamente protegida.
A implementação de um Sistema de Gestão de Segurança da Informação (SGSI) de acordo com os requisitos da Norma NP ISO IEC/27001, promove a adoção de boas práticas e controlos para a segurança da Informação existente na Organização.
Os requisitos e controlos têm com o objetivo gerir a incerteza da Organização em relação à segurança da informação, assegurando a sua confidencialidade, disponibilidade e integridade.
A implementação de um SGSI tem passos pré definidos que seguem dois caminhos paralelos.
Ambos necessários para a certificação do SGSI, ambos fundamentais para a segurança da informação, ambos a começar ao mesmo tempo e provavelmente a envolver pessoas diferentes. No entanto, envolvem necessariamente recursos distintos e poderão assim, ter diferentes tempos de desenvolvimento e implementação. Assim, deve haver um planeamento e gestão cuidada da execução das diversas etapas.
O primeiro, ou o “um”, envolve os requisitos de gestão do sistema, como por exemplo:
. O campo de aplicação do SGSI.
. A política de segurança da informação.
· Os objetivos de segurança da informação.
- Sem os quais, não temos parâmetros e critérios para analisar e avaliar o risco.
· O organigrama da Organização, bem como as funções, responsabilidades e autoridades.
· As metodologias necessárias para assegurar o PDCAi, sejam estas metodologias para assegurar a adequação e pertinência do SGSI, ou para gerir recursos, ou para avaliar o desempenho ou para melhorar a sua eficácia.
- Planear
- Executar
- Controlar
- Agir, para melhorar
O segundo, ou o “outro” caminho, está relacionado com o planeamento e controlo operacional, visa a identificação dos controlos necessários para assegurar a segurança da informação:
- Identificar os ativos da informação. Sabemos que a informação é o resultado do processamento, manipulação e organização de dados e é um ativo, algo que tem valor para qualquer organização. Aqui começamos a identificar por onde anda a informação, seja software ou hardware, tangível ou intangível.
- Determinar os responsáveis por esses ativos.
- Determinar a informação existente e seu suporte. Aqui começamos a ver qual é a informação a proteger.
- Classificar a informação. Aqui começamos a ter níveis de segurança, sejam 3, 4 ou 7 ou 8.
- Analisar e Avaliar o risco em termos a sua confidencialidade, disponibilidade e integridade da informação. Aqui já sabemos qualquer é a informação e como está classificada.
- Tratar o risco e planear a sua implementação. Aqui começamos a ter os controlo de segurança necessários.
- Comparar os controlos determinados no tratamento do risco com o descrito no Anexo A da Norma e verificar se não faltam alguns relevantes.
- Elaborar uma Declaração de Aplicabilidade com a descrição de todos os controlos e seus objetivos. Sabemos assim, que a segurança da informação é a proteção da informação das possíveis ameaças para garantir que não existe quebra da confidencialidade, integridade e disponibilidade.
A segurança é garantida através da implementação de um conjunto de controlos documentados e suportados por uma gestão de riscos.
Tal só é possível, se a organização conseguir mobilizar todos os recursos, internos e externos, por forma a satisfazer as necessidades e expectativas DE TODOS, melhorando continuamente a sua eficácia e eficiência.
A Norma NP ISO/IEC 27001 possui um conjunto de requisitos para a conceção, implementação, manutenção e melhoria de um SGSI, sendo um dos principais documentos a nosso dispor para a segurança da informação de uma Organização, considerando o contexto desta, seus objetivos, processos, requisitos aplicáveis e infraestruturas.
Por último, não queremos esquecer a Norma ISO/IEC 27002, Information technology, Security techniques, Code of practice for information security controls, que é a base para a efetiva implementação do já mencionado Anexo A e que suporta os controlos de segurança da informação.
Bruno Pinheiro
José João Cordeiro
Nicolau Roque
XZ Consultores, SA