Please enable JavaScript.

Coggle requires JavaScript to display documents.

Gestão de Segurança da Informação I (Gestão de Riscos da Informação…

- - - - Para que a Governança de Segurança da Informação seja efetiva, a gestão deve estabelecer e manter um marco para guiar o desenvolvimento e a gestão de um programa completo de segurança da informação que apoie os objetivos do negócio, e seguir os seguintes pontos:
        
        Métricas e um processo de monitoramento efetivo
        
        Estrutura organizacional efetiva e livre de conflitos de interesse (SOD é muito importante nesse ponto) e que tenha autoridade suficiente e recursos adequados
        
        Normas de segurança da informação
        
        Política (estratégica, controles e regulamentação)
        
        Estratégia de segurança da informação
      - A Governança de Segurança da Informação é tanto responsabilidade da Conselho de Administração e da Direção executiva.
      - O objetivo da Governança de Segurança da Informação é: Desenvolver, Implementar e Gerir um Programa de Segurança da Informação, para que alcance os seguintes resultados:
        
        Integração
        
        Medicação de Desempenhos. KPI, medir tudo. O que não está sendo medido não está sendo gerido
        
        Otimização de recursos. Eficiência, trabalhar com o que têm.
        
        Entrega de valor. ROI - de que adianta gastar 50 milhoes num firewall, o que irá retornar com isso?
        
        Gestão de riscos
        
        Alinhamento estratégico com a organização
      - O que a Governança de Segurança da Informação tem que entregar:
        
        Gerenciar os recursos de segurança da informação. De que adianta possuir 500 licenças de endpoint se não se usa 10?
        
        Estabelecer responsabilidades para proteger a informação durante as atividades críticas para o negócio. SOD - Segregation of Duties - separar as funções para o manuseio das informações, ainda mais as críticas para o negócio.
        
        Proteger a reputação da organização. Muito dificil, pois é muito intangível. Mais dificil é recuperar ela quando sofrida algum dano.
        
        Oferecer confiança no cumprimento das políticas
        
        Aumentar a previsibilidade e reduzir as incertezas (gestão de riscos)
      - Tudo o que está sendo executado precisa ter indicadores, uma forma de medir o que está sendo feito.
        Não tem indicador = não está gerindo nada
      - Gestão = executivo
        
        Monitor - Etapa que monitora o que esta/estava sendo executada
        
        Run - Execução das tarefas. Nesse ponto pode ter um feedback para a alta direção, sobre o andamento e se precisa de ajustes
        
        Build - Busca de recursos para o que foi planejado
        
        Plan - Planeja as ações para atingir os desafios
      - Governança = Estratégico. É importante conhecer muito bem o negócio. O negócio é o negócio / atividade fim da organização.
        Entender o contexto interno, o que está acontecendo.
        Tomadas de decisão são afetados pelo exterior
        
        Monitor - Monitor o que esta/estava sendo executada
        
        Direct - Direciona para onde a organização vai
        
        Evaluate - avalia as necessidades da organização
      - A governança de segurança da informação precisa ter os seguintes alcances:
        
        Segurança da informação
        
        Garantir a segurança da informação em TODOS os meios, físico, virtual, oral, visual, etc
        
        Segurança da Tecnologia da Informação
        
        Segurança dos ativos que criam, armazenam, transferem, processam e descartam a informação no formato digital
        
        Cibersegurança
        
        Cyber: todo o meio de comunicação (radio, internet, telefone, satélite). O que é cibersegurança? A garantia que a informação esteja segura em todos os meios em que ela é transportada, por rádio, internet, cabo, telefone, etc e a proteção dos usuários do ciberespaço, garantindo a segurança daqueles que utilizam o ciberespaço, como individuos, organizações ou nações.
- - - - Organization Design and Strategy: Uma organização é uma rede de pessoas, ativos e processos que interagem entre si, cada uma com os seus papéis definidos que trabalham para um objetivo em comum: o negócio da organização.
        Uma estratégia da organização especifica os seus objetivos de negócio e os objetivos a serem alcançados, sempre seguindo valores e missões. A estratégia deverá se adaptar dependendo do ambiente externo e fatores internos.
      - People: Representação dos recursos humanos, das pessoas que trabalham executando os processos de negócio, e os problemas de segurança que as permeiam. A partir do design, define quais pessoas quem implementa cada parte da estratégia. Representa um coletivo de pessoas e deve ser levado em conta valores, comportamentos e preconceitos.
        É critico que o gestor de segurança da informação trabalhe com o departamento de recursos humanos e os departamentos legais para abordar questões como:
        .
        
        Estratégias de recrutamento (acessos, checagem de histórico, entrevistas, papéis e responsabilidades).
        
        Questões de empregados (localização dos escritórios, acesso à ferramentas e dados, treinamento e conscientização, movimentação dentro da organização).
        
        Término de contrato (razões pelo desligamento, tempo de saída, papéis e responsabilidades, acesso aos sistemas, acesso à outros empregados)
      - Process: processo incluem mecanismos formais e informais em realizar as coisas e provém um link vital para todas as interconexões dinâmicas. Processo identifica, mede, gere e controla riscos, disponibilidade, integridade e confidencialidade, e também garante a responsabilidade/prestação de contas.
        Esse elemento é derivado da estratégia da organização e implementa a parte operacional do elemento organização.
        Para que o processo seja vantajoso para a organização:
        
        Conhecer os requisitos do negócio e estar alinhado com as suas políticas
        
        Considerar a emergência e ser adaptável à requisitos que mudam
        
        Ser bem documentado e possuir a devida comunicação para as pessoas interessadas
        
        Ser revisto periodicamente, para garantir a sua eficácia e eficiência.
      - Tecnologias: esse elemento é composto por todas as ferramentes, sistemas, ativos tanto software quanto hardware e a infraestrutura que deixa os processos mais eficientes. Por ser uma área que possui muita evolução e mudança em pouco tempo, possui os seus próprios riscos dinâmicos.
        Por causa da dependência das organizações sobre a tecnologia, é constituído como uma parte principal da infraestrutura da organização e um componente crítico.
    - - Governing: Dá a direção para a organização e demanda liderança estratégica.
      - Culture: Padrões de comportamentos, crenças, premissas, atitudes e jeitos de como realizar as coisas.
      - Enabling and support: conexão de Process com Technology, assim garantindo que as pessoas cumpram com medidas de segurança, politicas e procedimentos.
      - Emergence: padrões que surgem na vida da organização que aparecem sem causa aparente, e que o seu output pode ser impossivel de prever e controlar. Conexão de Process e People
      - Human factors: interconexão que representa a interação e o gap entre tecnologia e fatores humanos e, assim como, é critico para um programa de segurança da informação. Se as pessoas não entendem como usar a tecnologia, não adotam a tecnologia ou não seguem políticas para tal, problemas sérios de segurança irão ocorrer. Interconexão de People e Technologya
      - Architecture: uma arquitetura de segurança é uma encapsulação formal e compreensiva de pessoas, processos, políticas e tecnologias que compreendem as práticas de segurança da organização.
- - - - Risk owner: chefe/gerente que é responsável pelo ativo, função de negócio, quais processos vai/irão afetar
      - Asset owner: responsável por manter o funcionamento do ativo, geralmente é uma função ou cargo