Maio de 2007 M. Pedrosa de Barros Estratégia Segurança da Informação Contributos A Estratégia da Informação Nacional Simpósio - Academia Militar.

Apresentação em tema: "Maio de 2007 M. Pedrosa de Barros Estratégia Segurança da Informação Contributos A Estratégia da Informação Nacional Simpósio - Academia Militar."— Transcrição da apresentação:

1 Maio de 2007 M. Pedrosa de Barros Estratégia Segurança da Informação Contributos A Estratégia da Informação Nacional Simpósio - Academia Militar

2 ÍNDICE Estratégia Segurança da Informação OCDE – WPISP Linhas Orientadoras para a Segurança das Redes e dos Sistemas de Informação Protecção das Infra-Estruturas de Informação Críticas Identidade Digital Malware Caso da Lituânia Cultura de Segurança

3 1.WPISP - OCDE

4 WPISP - OCDE Linhas Orientadoras para a Segurança das Redes e dos Sistemas de Informação Princípios 1.Consciencialização 2.Responsabilidade 3.Reacção 4.Ética 5.Democracia 6.Avaliação do Risco 7.Concepção e Implementação da Segurança 8.Gestão da Segurança 9.Reavaliação Fonte: OCDE

5 OCDE - WPISP Protecção de Infra-estruturas de Informação Críticas (IIC) Estudo - Principais Conclusões 1.Conceito Componentes de informação de suporte à infra-estrutura nacional crítica Infra-estruturas de informação de suporte a componentes essenciais da actividade governamental Infra-estruturas de informação à economia nacional 2.Claro suporte e compromisso da liderança nacional consistente com as diferentes culturas e estilos de governo Fonte: OCDE

6 OCDE - WPISP Protecção de Infra-estruturas de Informação Críticas (IIC) Estudo - Principais Conclusões 3.A identificação das IIC – cada país realiza uma análise de riscos baseada numa avaliação: Consequências (impacto) Vulnerabilidades (pontos de fraco) Ameaças 4.As análises de risco utilizadas variam quanto à aproximação, metodologia e critério não foi identificada uma metodologia comum Fonte: OCDE

7 OCDE - WPISP Protecção de Infra-estruturas de Informação Críticas (IIC) Estudo - Principais Conclusões 5.A política governamental, as organizações, as normas e a estrutura de conformidade têm um papel chave na gestão de segurança das redes e dos sistemas de informação do governo 6.A estratégia de gestão, a estrutura e a prioritização do risco são essenciais para a gestão do risco das IIC Fonte: OCDE

8 OCDE - WPISP Protecção de Infra-estruturas de Informação Críticas (IIC) Estudo - Principais Conclusões 7.A partilha de informação é um factor crítico de sucesso na protecção das IIC 8.Os mecanismos internacionais de partilha de informação são cruciais na gestão de crises e na mitigação de eventuais danos no caso de um incidente 9.Parcerias entre governo e proprietários ou operadores de sistemas e de redes de IIC que não estejam sob autoridade governamental são essenciais e realçam os desafios Fonte: OCDE

9 2.CASO DA LITUÂNIA

10 CASO LITUÂNIA 1.Razões por detrás da necessidade de uma Estratégia Nacional 2.O sistema integral de linhas estratégicas 3.As mudanças em evolução Fonte: RRT - WSIS

11 CASO LITUÂNIA Necessidade de uma Estratégia Nacional 1.Reconhecimento de alterações irreversíveis 2.Um desafio em termos do domínio do utilizador 3.Um sistema institucional fragmentado 4.Um sistema legal fragmentado Fonte: RRT - WSIS

12 CASO LITUÂNIA O sistema integral de linhas estratégicas Experiência internacional Enquadramento europeu O que tem de ser resolvido e qual é o ponto de partida? A necessidade de uma iniciativa política O sistema legal não deve desencorajar o desenvolvimento e a introdução de novas tecnologias e de novas práticas de negócios O sistema deve melhorar a confiança nas TIC dos utilizadores e promover a utilização de novas tecnologias, equipamentos, serviços… Preparação de nova legislação Fonte: RRT - WSIS

13 CASO LITUÂNIA O sistema integral de linhas estratégicas Objectivos da nova legislação Reforço da confiança dos utilizadores na sociedade de informação Encorajar o desenvolvimento de uma sociedade de informação segura Regular as actividades dos: Operadores de redes públicas de comunicações electrónicas Prestadores de serviços de comunicações electrónicas disponíveis ao público Prestadores de serviços da sociedade de informação Prestadores intermediários de serviços da sociedade de informação Fonte: RRT - WSIS

14 CASO LITUÂNIA O sistema integral de linhas estratégicas Objectivos da nova legislação Estabelecer as bases da segurança das redes e dos sistemas de informação do Estado e das Entidades Municipais Fonte: RRT - WSIS

15 CASO LITUÂNIA O sistema integral de linhas estratégicas A Lei Define o âmbito da segurança das redes e dos sistemas de informação e estabelece definições para: Incidente Código malicioso Acções ilegais Estabelece a estrutura institucional Estabelece os requisitos para os operadores e prestadores de serviços Estabelece o sistema de acompanhamento de incidentes Fonte: RRT - WSIS

16 CASO LITUÂNIA O sistema integral de linhas estratégicas A Lei Regula a segurança dos sistemas de informação do Estado e dos sistemas de informação críticos Promove a aplicação voluntária de melhores normas de segurança de redes e de informação Define o sistema reconhecido de auditoria à segurança de redes e de informação Promove a utilização de software e de hardware de confiança, incluindo sistema de certificação Fonte: RRT - WSIS

17 CASO LITUÂNIA As mudanças em evolução Áreas Prioritárias Melhoria dos níveis de informação e de consciencialização Educação dos utilizadores Gestão de incidentes de segurança a nível nacional com recurso ao modelo CERT Cooperação: Interinstitucional Entre sectores público e privado Internacional Desenvolvimento e aplicação de novas normas Fonte: RRT - WSIS

18 3.CULTURA DE SEGURANÇA

19 CULTURA DE SEGURANÇA ALGUNS TÓPICOS Utilizador no centro Clima de confiança. Ambiente propício desenvolvimento sustentável Produção de informação e de conhecimento Divulgação e consciencialização Parceria sector público / sector privado Partilha de informação. Pontos de contacto (24/7) Cooperação intersectorial, publico/privada, internacional Articulação entre os diversos interesses públicos Avaliação e reavaliação, avaliação e reavaliação, …. Treino Responsabilização

20 Obrigado manuel.barros@anacom.pt