Gestão da Segurança da Informação e Série ISO/IEC 27000

Apresentação em tema: "Gestão da Segurança da Informação e Série ISO/IEC 27000"— Transcrição da apresentação:

1 Gestão da Segurança da Informação e Série ISO/IEC 27000
Prof. Me. Maurício Pitangueira

2 Gestão da Segurança da Informação e Série ISO/IEC:27000- conceitos
O que é Informação? Qual o valor dela? No documento da série ISO 27001, um ativo é algo que a organização atribui valor, por exemplo: Informação eletrônica Documentos em papel Hardware e software Instalações pessoas serviços

3 Gestão da Segurança da Informação e Série ISO/IEC:27000- conceitos

4 Impactos na falha da segurança da informação

5 Segurança da Informação
Conforme a ISO/IEC 27002:

6 Risco de segurança Um risco de segurança é o potencial que uma dada ameaça irá explorar vulnerabilidades para causar perda ou dano a um ativo ou grupo de ativos

7 Exercício Considere uma empresa de consultoria na área de informática que deseja implantar um sistema de gestão de segurança da informação na sua área de vendas, dentro do seguinte escopo: Gerenciamento do sistema de segurança da informação para vendas de treinamento, consultoria e auditoria em segurança de informação na Rua Pau Brasil 111, Salvador, Ba, Brasil. Identifique, do seu ponto de vista, os possíveis ativos da informação dentro deste processo. Considere: informações de entrada, informações de saída, equipamentos, registros, recursos humanos, comunicação, ferramentas de software, software e outros Valorize ao menos 3 destes ativos com base na perda da confidencialidade, disponibilidade e integridade.

8 Uma possível resposta

9 Uma possível resposta

10 Ciclo de Vida da Segurança da informação
O que precisa ser protegido? Simulação de um ataque Como proteger? Qual prejuízo, se ataque bem sucedido? Qual é nível da proteção? Qual é probabilidade de um ataque?

11 Gestão da Segurança da Informação
Para as ISO e 27002, um sistema de gestão é um sistema para estabelecer políticas e objetivos , e para atingir estes objetivos utiliza-se: a estrutura organizacional; Processos sistemáticos e recursos associados Metodologia de medição e avaliação Processo de análise crítica para assegurar que os problemas são corrigidos e as oportunidades de melhoria são identificadas e implementadas quando necessário

12 Gestão da Segurança da Informação
Um Sistema de Gestão da Segurança da Informação (SGSI) é parte do sistema de gestão, baseado no enfoque de risco nos negócios, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação. A Gestão da Segurança da Informação é a implementação de um conjunto adequado de controles, incluindo políticas, procedimentos, estrutura organizacional e funções de hardware e software. Como poderemos então, desenvolver um plano de gestão da segurança da informação confiável?

13 Séries ISO/IEC 27000 Elas são uma metodologia estruturada reconhecida internacionalmente, dedicada à segurança da informação Na verdade, estabelecem um processo definido para avaliar, implementar, manter e gerenciar a segurança da informação É um grupo completo de controles contendo as melhores práticas para segurança da informação Desenvolvidas por empresas para empresas

14 Série ISO/IEC 27000: ISO/IEC 27001 ISO/IEC 27002 ISO/IEC 27003

15 Normas adotadas e traduzidas pela ABNT:
Série ISO/IEC 27001– refere-se a quais requisitos de sistemas de gestão da informação devem ser implementados pela organização Série ISO/IEC – é um guia que orienta a utilização de controles de segurança da informação

16 Normas que, por enquanto, não foram traduzidas ou não foram implantadas ainda no Brasil
Série ISO – deverá prover ajuda e orientação para implantação de um SGSI Série ISO – Indicadores para medir a eficiência do sistema de gestão da segurança da informação Série ISO – será um padrão para gerenciamento de risco em segurança da informação Série ISO – será um guideline para implementação de um plano de recuperação de desastres

17 A ISO e a ISO 27002

18 Metas das NBR ISO/IEC e 27002

19 Visão geral das ISO e 27002

20 Cláusulas de controle das ISO 27001 e 27002

21 Estrutura da Série ISO/IEC 27000

22 Documentação de um SGSI

23 Razões para se adotar as ISO 27001 e 27002

24 Utilizando a série na prática (Por onde começar)
Analise o parque tecnológico disponibilizado: Os programas instalados são realmente necessários? Os recursos de hardware estão de acordo com as necessidades de cada usuário? O sistema operacional está configurado de forma a garantir uma utilização segura? Avalie os recursos!!!

25 Utilizando a série na prática(por onde começar)
Desenvolva uma política de segurança da informação: Seus usuários conhecem as normas de segurança da informação? A direção da empresa apóia as políticas adotadas? A política de segurança da informação é dinâmica? Conscientize o usuário!!!

26 Utilizando a série na prática (por onde começar)
Utilize as ferramentas necessárias para cumprir a política de segurança Criptografia das informações Controle da Internet Inventário de hardware e software Auditoria Analise os resultados!!!

27 Dificuldades para implantação de um SGSI

28 Benefícios da implementação das IS0 27001 e 27002

29 Referências SÊMOLA, M. Gestão da segurança da Informação: uma visão executiva. São Paulo:Campus, 2003. LYRA, M. Segurança e Auditoria em Sistemas de Informação. Rio de Janeiro: Ciência Moderna, 2009. BEAL, A. Segurança da Informação. Rio de Janeiro: Atlas, 2005. FERREIRA, F. Segurança da Informação. Rio de Janeiro: Ciência Moderna, 2003.