Aula6

S

A

S

Gestão Corporativa de Segurança

R

...

Modelo de Gestão Corporativa de Segurança da Informação é formado pelas seguintes etapas:

Comitê Corporativo de Segurança da Informação
Mapeamento de Segurança
Estratégia da Segurança
Planejamento da Segurança
Implementação de Segurança
Implementação de Segurança
Administração de Segurança
Segurança na Cadeia Produtiva

Cada uma das etapas cumpre papel importante no ciclo e gera resultados finais que deverão estar devidamente formatados e prontos para alimentar a atividade

A

V

N

Benefícios da gestão integrada da informação sob a ótica do executivo

Valoriza as ações da empresa
Viabiliza novos negócios

Consolida a imagem de modernidade
Consolida a imagem de modernidade

Consolida a imagem de saúde administrativa
Aumenta a satisfação dos clientes

Aumenta a lucratividade

A

V

N

Benefícios da gestão integrada da informação sob a ótica do executivo

Reduz os custos provocados por ameaças que exploram as

falhas de segurança

Reduz os riscos operacionais

Prepara a empresa para os desafios atuais
Preserva a imagem da empresa

Aumenta a receita

S

I

Já dissecamos os desafios associados à segurança com superficialidade executiva.

Vamos definir com mais detalhes aspectos da segurança da informação

S

I

- D

Área do conhecimento dedicada à proteção de ativos de informação contra acessos não

autorizados, alterações indevidas ou sua indisponibilidade

Prática de gestão de riscos de incidentes que
Prática de gestão de riscos de incidentes que

impliquem no comprometimento dos três principais conceitos da segurança

Confidencialidade
Integridade

E

Confidencialidade – Toda informação deve ser protegida de acordo com o grau de sigilo do seu conteúdo, visando a limitação do seu acesso e uso apenas às pessoas que são destinadas

Integridade – Toda informação deve ser mantida na mesma condição que foi disponibilizada pelo seu proprietário, visando protegê-la contra alterações indevidas, intencionais ou acidentais

E

Disponibilidade: Toda informação gerada ou

adquirida por um indivíduo ou instituição deve estar disponível aos seus usuários no momento em que os mesmos necessitem delas para qualquer

finalidade. finalidade.

E

Informação – conjunto de dados utilizados para a transferência de uma mensagem entre indivíduos e/ou máquinas em processos comunicativos (isto é, baseados em troca de mensagens) ou

transacionais (processos em que sejam realizadas transacionais (processos em que sejam realizadas operações que envolvam transferência de valores monetários)

A informação pode estar presente ou ser manipulada por inúmeros elementos deste

processo, chamados ativos, os quais são alvos de proteção da segurança da informação

E

Ativo

Todo elemento que compõe os processos que

manipulam e processam a informação, a contar a

própria informação, o meio em que ela é armazenada, os equipamentos em que ela é manuseada,

transportada e descartada. transportada e descartada.

Nome oriundo da área financeira

E

Relevância de um processo de negócio
Criticidade

E

Físicas, hardware, software, mídias, comunicação,

M

S

O que são?

Práticas, procedimentos e mecanismos utilizados para

proteção da informação e seus ativos

Buscam:
Buscam:

Reduzir vulnerabilidades
Minimização do risco

M

S

Características

Preventivas: Tem como objetivo evitar que incidentes

venham a ocorrer. Visam manter a segurança já

implementada por meio de mecanismos que estabeleçam a conduta e a ética da segurança a instituição.

Exemplos

Exemplos

Políticas de segurança

Instruções e procedimentos de trabalho

Ferramentas para implementação da política de

segurança

M

S

Características

Detectáveis: Identificar condições ou indivíduos causadores

de ameaças, a fim, de evitar que as mesmas explorem vulnerabilidades.

Exemplos

Análise de riscos
Análise de riscos

Sistemas de detecção de intrusão
Câmeras de segurança

M

S

Características

Corretivas: ações voltadas à correção de uma estrutura

tecnológica e humana para que as mesmas se adaptem às condições de segurança estabelecidas pela instituição.

Exemplos

Exemplos

Equipes para emergências
Restauração de backup

Plano de continuidade operacional
Plano de recuperação de desastres

M

S

Muitas medidas de segurança podem se encaixar em mais de uma característica:

Plano de continuidade de negócios

Ação preventiva (criação)
Ação preventiva (criação)
Ação corretiva (utilização)

E

Riscos

Probabilidade de ameaças explorarem vulnerabilidades,

provocando perdas de confidencialidade, integridade e disponibilidade, causando impactos nos negócios

E

Impacto

Abrangência dos danos causados por um incidente de

E

Incidente

Fato ou evento decorrente de ação de uma ameaça,

que explora uma ou mais vulnerabilidades, levando à perda de princípios da segurança da informação.

Gera impactos aos processos de negócio da

empresa

A gravidade de um incidente pode ser

analisada em termos qualitativos e

R

SÊMOLA, Marcos. Gestão da Segurança da

Informação: Uma visão executiva. Rio de

Janeiro: Elsevier Editora, 2003. ISBN: 85-352-1191-8.