Preparação de uma Política de Segurança

Apresentação em tema: "Preparação de uma Política de Segurança"— Transcrição da apresentação:

1 Preparação de uma Política de Segurança

2 Etapas Identificar a necessidade de ter “uma política de segurança”
Elaborar um guião Definir a política de segurança da empresa Definir as estratégias de realização da segurança Definir o modo de concretizar as estratégias Definir os procedimentos de segurança

3 Definir Política de Segurança
Fazer análise de risco Política de segurança Actividades Responsabilidades Divulgação e formação do pessoal Boas práticas Análise de riscos específica Contramedidas específicas

4 Impacto Expectativas Plano (o que fazer se) Evitar (o quê) Controlar
Aceitar o risco (Então o que fazer se ...)

5 Formato das Políticas de Segurança
Documento escrito Aprovado ao mais alto nível da hierarquia Clareza Concisão Elaborado pelo responsável directo Deve ser dirigido para atingir o nível de segurança adequado aos bens a proteger

6 Formato das Políticas de Segurança
Obrigar ao mínimo número de alterações ao funcionamento da organização Plano não deve ser demasiado específico Deve ser fazível Recursos devem ser quantificados Deve prever a formação dos intervenientes Documentação / manuais Formação directa

7 Formato das Políticas de Segurança
Deve prever as acções concretas e quem as realiza Deve prever o que fazer em casos de falha

8 Procedimentos de Segurança
Fáceis de entender, ou não serão postos em prática Explicada a sua finalidade, ou serão ignorados Impostos com energia, ou tentarão contorná-los Definir sanções para os violadores

9 Procedimentos de Segurança
Cada empregado só precisa de saber os procedimentos de segurança que lhe dizem respeito Ao contrário das políticas de segurança, os procedimentos devem ser largamente divulgados Os procedimentos devem estar escritos e incluir directivas claras

10 Segurança e Recursos Humanos
Muitas vezes a segurança é quebrada por elementos internos à organização O infiltrado Questões económicas - a crise familiar Detenção de informação sobre a organização interna Cada técnico de segurança só deve conhecer o estritamente necessário ao desempenho da sua função (níveis de acesso aos recursos) Smart-cards Circuito de vídeo

11 Níveis de Segurança do “Livro Laranja”
Segurança dedicada (D, C1) Segurança elevada (C2, B1) Segurança controlada (B2, B3) Segurança multi-nível (A1)

12 Níveis de Segurança do “Livro Laranja”
Divisão D Protecção mínima Divisão C Classe C1 - Separação limitada de utilizadores e dados Classe C2 - Controlo de acesso de utilizadores e dados de maior granularidade

13 Níveis de Segurança do “Livro Laranja”
Divisão B Classe B1 - Informação etiquetada e controlo de acesso mandatório sobre alguns utilizadores e os dados que manipulam Classe B2 - idem a todos os utilizadores Classe B3 - idem mas com possibilidades de registo de toda a actividade sobre os dados

14 Níveis de Segurança do “Livro Laranja”
Divisão A Classe A1 - idem a B3 mas as facilidades de segurança tem de ser provadas por meios formais

15 Perfil Psicológico do Técnico de Segurança
O Rigoroso O descuidado O “calado” O “gabarolas” O ex-hacker

16 Situações Especiais Entrada de novo funcionário
Funcionário insatisfeito Funcionário com problemas pessoais Financeiros Familiares Recomendação: rodar o pessoal entre funções compatíveis

17 Pessoal Importância do treino inicial Importância do treino periódico
Divulgação de casos exemplares

18 Auditoria Revisitada Auditoria aos procedimentos
Auditoria aos incidentes Auditoria ao pessoal Entrevistas individuais (a ameaça pendente) Revisão das políticas