[ ISO 17799 ]

Checklist

Auditores:
Antnio M. D. S. Fortes
Diego Protta Casati
Leandro Spnola Rodrigues

Checklist Padro Seo

Questo de auditoria

1
1.1

3
3.1

Poltica de segurana
Poltica de segurana da informao

1.1.1

3.1.1

1.1.2

3.1.2

Documento da poltica Se existe alguma poltica de segurana da informao, que

de segurana da
seja aprovado pela direo, publicado e comunicado, de
informao
forma adequada, para todos os funcionrios.
Se esta expressa as preocupaes da direo e estabelece as
linhas-mestras para a gesto da segurana da informao.
Anlise crtica e
Se a poltica de segurana tem um gestor que seja
avaliao
responsvel por sua manuteno e anlise crtica, de acordo
com um processo de anlise crtica definido.
Se o processo garante que a anlise crtica ocorra como
decorrncia de qualquer mudana que venha afetar a
avaliao de risco original. Exemplo: Incidentes de segurana
significativos, novas vulnerabilidades ou mudanas
organizacionais ou na infra-estrutura tcnica.

2
2.1

4
4.1

Segurana organizacional
Infra-estrutura da segurana da informao

2.1.1

4.1.1

Gesto do frum de
segurana da
informao

2.1.2

4.1.2

2.1.3

4.1.3

2.1.4

4.1.4

2.1.5

4.1.5

Coordenao de
segurana da
informao
Atribuio das
responsabilidades de
segurana da
informao
Processo de
autorizao para as
instalaes de
processamento da
informao
Consultoria
especializada em
segurana da
informao

2.1.6

4.1.6

Cooperao entre
organizaes

2.1.7

4.1.7

Anlise crtica
independente de
segurana da
informao

2.2

4.2

Segurana no acesso de prestadores de servio

2.2.1

4.2.1

Identificao no
acesso de prestadores
de servio

Se existe um frum de gesto para garantir um

direcionamento claro e um suporte de gesto visvel dos
envolvidos para as iniciativas de segurana dentro da
organizao.
Se existe um frum multifuncional com representantes da
direo de reas relevantes da organizao para coordenar a
implementao de controles de segurana da informao.
Se as responsabilidades pela proteo de cada ativo e pelo
cumprimento de processos de segurana especficos sejam
claramente definidos.
Se foi implantado um processo de gesto de autorizao para
novos recursos de processamento da informao. Isto deve
incluir todos os novos recursos, como hardware e software.

Se uma consultoria especializada em segurana da

informao obtida quando apropriado.
Um indivduo especfico deve ser identificado para coordenar
conhecimentos e experincias dentro da organizao para
assegurar consistncia, e prover ajuda na deciso de
segurana.
Se so mantidos contatos apropriados com autoridades legais,
organismos regulamentadores, provedores de servio de
informao e operadores de telecomunicaes, para garantir
que aes adequadas e apoio especializado possam ser
rapidamente acionados na ocorrncia de incidentes de
segurana.
Se a implementao da poltica de segurana analisada
criticamente, de forma independente. Isto para fornecer
garantia de que as prticas da organizao refletem
apropriadamente a poltica, e que esta adequada e eficiente.
Se os riscos do acesso de prestadores de servio so
identificados e controles de segurana apropriados foram
implementados.
Se os tipos de acesso so identificados, classificados e as
razes para o acesso so justificadas.

ISO 17799 Checklist

Se os riscos de segurana com prestadores de servio

trabalhando no ambiente da empresa foram identificados e
controles apropriados so identificados.
Se existe um contrato formal contendo ou referenciando
todos os requisitos de segurana para assegurar a
conformidade com as normas e polticas de segurana da
informao.

2.2.2

4.2.2

Requisitos de
segurana nos
contratos com
prestadores de servio

2.3

4.3

Terceirizao

2.3.1

4.3.1

Requisitos de
segurana dos
contratos da
terceirizao

3
3.1

5
5.1

Classificao e controle dos ativos de informao

Contabilizao dos ativos

3.1.1

5.1.1

Inventrio dos ativos

de informao

3.2

5.2

Classificao da informao

3.2.1

5.2.1

Recomendaes para
classificao

3.2.2

5.2.1

Rtulos e tratamento
da informao

4
4.1

6
6.1

Segurana em pessoas
Segurana na definio e nos recursos de trabalho

4.1.1

6.1.1

Incluindo segurana
nas responsabilidades
do trabalho

4.1.2

6.1.2

Seleo e poltica de
pessoal

4.1.3

6.1.3

Acordos de
confidencialidade

Se os requisitos de segurana so definidos no contrato com

prestadores de servios, quando a organizao tiver
terceirizado o gerenciamento e controle de todos ou alguns
dos sistemas de informao, redes e/ ou estaes de trabalho.
O contrato deve definir como os requisitos legais so
referenciados, como a segurana dos ativos mantida e
testada, e o direito de auditoria, caractersticas de segurana
fsica e como a disponibilidade dos servios mantida em um
evento de desastre.

Se um inventrio ou registro mantido com os ativos

importantes relacionados com cada sistema de informao.
Se cada ativo identificado possui um gestor, se foi definido e
acordado na classificao de segurana, e se sua localizao
foi definida.
Se foi implantado um esquema ou diretriz de classificao da
informao, que define como a informao tratada e
protegida.
Se um conjunto apropriado de procedimentos foi definido
para rotular e tratar a informao de acordo com o esquema
de classificao adotado pela organizao.

Se regras e responsabilidades de segurana so documentadas

onde for apropriado, de acordo com a poltica de segurana
da informao da organizao.
Isto deve incluir responsabilidades gerais pela implementao
ou manuteno da poltica de segurana, assim como
quaisquer responsabilidades especficas para a proteo de
determinados ativos ou pela execuo de determinados
processos ou atividades de segurana.
Se verificaes sobre a equipe de trabalho permanente so
conduzidas no momento da seleo de candidatos.
Isto deve incluir referncias de carter, confirmao das
qualificaes acadmicas e profissionais, e verificao da
identidade.
Se os funcionrios so questionados a assinarem acordos de
confidencialidade ou no divulgao como parte dos termos e
condies iniciais de contratao.
Se estes acordos cobrem a segurana dos recursos de
processamento de informao e os ativos da organizao.

4.1.4

6.1.4

Termos e condies
de trabalho

4.2

6.2

Treinamento dos usurios

ISO 17799 Checklist

Se os termos e condies de trabalho determinam as

responsabilidades dos funcionrios pela segurana da
informao. Quando apropriado, estas responsabilidades
devem continuar por um perodo de tempo definido, aps o
trmino do contrato de trabalho.

4.2.1

6.2.1

Educao e
treinamento em
segurana da
informao

4.3

6.3

Respondendo aos incidentes de segurana e ao mau funcionamento

4.3.1

6.3.1

4.3.2

6.3.2

Notificao dos
incidentes de
segurana
Notificando falhas na
segurana

4.3.3

6.3.3

4.3.4

6.3.4

4.3.5

6.3.5

Processo disciplinar

5
5.1

7
7.1

Segurana fsica e do ambiente

reas de segurana

5.1.1

7.1.1

Permetro da
segurana fsica

5.1.2

7.1.2

Controles de entrada
fsica

5.1.3

7.1.3

Segurana em
escritrios, salas e
instalaes de
processamento

5.1.4

7.1.4

Trabalhando em ares
de segurana

5.1.5

7.1.5

Isolamento das reas

de expedio e carga

5.2

7.2

Segurana dos equipamentos

Notificando mau
funcionamento de
software
Aprendendo com os
incidentes

ISO 17799 Checklist

Se todos os funcionrios da organizao e, onde for relevante,

prestadores de servios recebem treinamento apropriado e
atualizaes regulares sobre as polticas e procedimentos
organizacionais.
Se existe um procedimento ou diretriz formal para reportar
incidentes de segurana atravs dos canais apropriados da
direo, o mais rapidamente possvel.
Se existe um procedimento ou diretriz formal para que os
usurios sejam instrudos a registrar e notificar quaisquer
fragilidades ou ameaas, ocorridas ou suspeitas, na segurana
de sistemas ou servios.
Se foram estabelecidos procedimentos para notificar qualquer
mau funcionamento de software.
Se existem mecanismos para permitir que tipos, quantidades
e custos dos incidentes e dos maus funcionamentos sejam
quantificados e monitorados.
Se existe um processo disciplinar formal para os funcionrios
que tenham violado as polticas e procedimentos de
segurana organizacional. Tal processo pode dissuadir
funcionrios que, de outra forma, seriam inclinados a
desrespeitar os procedimentos de segurana.

Se barreiras fsicas, como recursos de segurana, foram

implementadas para proteger o servio de processamento da
informao.
Alguns exemplos de tais recursos de segurana so o controle
por carto do porto de entrada, muros, presena de um
funcionrio na recepo, etc.
Se existem controles de entrada para permitir somente a
entrada do pessoal autorizado dentro de vrias reas da
organizao.
Se as salas, que possuem o servio de processamento de
informao ou contm armrios fechados ou cofres, so
trancadas.
Se o servio de processamento de informao protegido
contra desastres naturais ou causados pelo homem.
Se existe alguma ameaa potencial de propriedades vizinhas.
Se existe algum controle de segurana para prestadores de
servio ou funcionrios trabalhando em rea de segurana.
A informao s deve ser fornecida quando necessrio.
Se as reas de expedio e carga e de processamento de
informao so isoladas uma da outra, para evitar acesso no
autorizado.
Se uma avaliao de risco foi realizada para determinar a
segurana de tais reas.

5.2.1

7.2.1

Instalao e proteo
de equipamentos

Se o equipamento foi instalado em local apropriado para

minimizar acesso no autorizado rea de trabalho.
Se os itens que requerem proteo especial foram isolados
para reduzir o nvel geral de proteo exigida.
Se controles foram adotados para minimizar o risco de
ameaas potenciais, como roubo, fogo, exploso, fumaa,
gua, poeira, vibrao, efeitos qumicos, interferncia no
fornecimento eltrico, radiao eletromagntica, inundao.
Se existe uma poltica especial para alimentao, bebida e
fumo nas proximidades das instalaes de processamento da
informao.
Se os aspectos ambientais so monitorados para evitar
condies que possam afetar de maneira adversa a operao
das instalaes de processamento da informao.

5.2.2

7.2.2

Fornecimento de
energia

5.2.3

7.2.3

Segurana do
cabeamento

5.2.4

7.2.4

Manuteno de
equipamentos

Se o equipamento protegido contra falhas de energia e

outras anomalias na alimentao eltrica., utilizando
fornecimento de energia permanente como alimentao
mltipla, no-break, gerador de reserva, etc.
Se o cabeamento eltrico e de telecomunicaes que
transmite dados ou suporta os servios de informao
protegido contra interceptao ou dano.
Se existe algum controle de segurana adicional para
informaes sensveis ou crticas.
Se os equipamentos tm manuteno de acordo com
intervalos e especificaes do fabricante.
Se a manuteno realizada apenas pelo pessoal autorizado.

Se so mantidos registros com todas as falhas suspeitas ou

ocorridas e de toda a manuteno corretiva e preventiva.
Se os controles apropriados so utilizados quando do envio
de equipamentos para manuteno fora da instalao fsica.
Se todos os requisitos impostos pelas aplices de seguro so
atendidos.
Segurana de
Se um equipamento autorizado pela direo quando
equipamentos fora das necessitar ser utilizado fora das instalaes da organizao.
instalaes
Reutilizao e
Se dispositivos de armazenamento contendo informaes
alienao segura de
sensveis so fisicamente destrudos ou sobrescritos de
equipamentos
maneira segura.

5.2.5

7.2.5

5.2.6

7.2.6

5.3

7.3

Controles gerais

5.3.1

7.3.1

Poltica de mesa limpa Se um servio de bloqueio automtico de tela de computador

e tela limpa
est ativo. Isso ir travar o computador sempre que for
deixado ocioso por um determinado tempo.
Se os empregados so avisados para deixar qualquer material
confidencial de forma segura e trancada.

5.3.2

7.3.2

Remoo de
propriedade

6
6.1

8
8.1

Gerenciamento das operaes e comunicaes

Procedimentos e responsabilidades operacionais

ISO 17799 Checklist

Se equipamentos, informaes ou software podem ser

retirados em adequada autorizao.
Se inspees regulares so realizadas para detectar remoo
de propriedade no autorizada.
Se as pessoas esto cientes que estas inspees regulares
esto realizadas.

6.1.1

8.1.1

Documentao dos
procedimentos de
operao

Se uma poltica de segurana identifica qualquer

procedimento operacional como backup, manuteno de
equipamentos, etc.
Se estes procedimentos esto documentados e so utilizados.

6.1.2

8.1.2

Mudanas
operacionais

Se todos os programas executados no sistema de produo

so submetidos ao controle estrito de mudanas. Qualquer
mudana nesses programas de produo deve ser autorizada
pelo controle de mudanas.
Se registros so mantidos para qualquer modificao nos
programas de produo.

6.1.3

8.1.3

Procedimentos para o
gerenciamento de
incidentes

Se existe um procedimento de gerenciamento de incidente

definido para uma resposta a incidentes de segurana.
Se o procedimento define as responsabilidades de
gerenciamento de incidente, de maneira organizada e rpida
em resposta a incidentes de segurana.
Se o procedimento define diferentes tipos de incidentes,
desde Negao de Servio (DoS) at quebra de
confidencialidade, assim como modos de gerencia-los.
Se registros e evidncias relacionadas aos incidentes so
mantidos, e aes pro-ativas so realizadas de maneira que os
incidentes no mais ocorram.

6.1.4

8.1.4

Segregao de
funes

Se tarefas e reas de responsabilidades so separadas para

reduzir a possibilidade de modificao no autorizada ou mal
uso de informao ou servios.
Se os ambientes de desenvolvimento e de teste so isolados
do ambiente de produo. Por exemplo, software em
desenvolvimento deve ser executado em um computador
diferente do computador com software de produo. Quando
necessrio, as redes de desenvolvimento e produo devem
ser separadas uma da outra.
Se algum recurso de processamento de Informao
gerenciado por terceiros.
Se os riscos associados a tal gerenciamento so
detalhadamente identificados, discutidos com a terceira parte,
e controles apropriados foram incorporados no contrato.
Se aprovao necessria foi obtida dos empresrios e donos
de aplicaes.

6.1.5

8.1.5

Separao de
ambientes de
desenvolvimento e de
produo

6.1.6

8.1.6

Gesto de recursos
terceirizados

6.2

8.2

Planejamento e aceitao dos sistemas

6.2.1

8.2.1

Planejamento de
capacidade

6.2.2

8.2.2

Aceitao de sistemas

6.3

8.3

Proteo contra software malicioso

Se as demandas de capacidade so monitoradas e projees

de capacidade futuras so realizadas. Isto para assegurar
que a adequada potncia de processamento e armazenamento
esto disponveis.
Exemplo: Monitoramento do espao em disco rgido, RAM,
CPU em servidores crticos.
Se critrios de aceitao de sistemas foram estabelecidos para
novos sistemas de Informao, atualizaes e novas verses.
Se testes foram realizados antes da aceitao.

ISO 17799 Checklist

6.3.1

8.3.1

Proteo contra
software malicioso

Se existe algum controle contra o uso de software malicioso.

Se a poltica de segurana define caractersticas de
licenciamento de software como proibio do uso de software
no autorizado.
Se existe algum procedimento de verificar todos os boletins
de aviso referentes ao uso de software malicioso.
Se um software antivrus est instalado nos computadores
para verificar e isolar ou remover qualquer vrus do
computador ou mdia.
Se a assinatura deste software est atualizada em uma base
regular para verificar por ltimas verses de vrus.
Se todo o trfego originado de uma rede insegura para a
organizao verificado por vrus.
Exemplo: Verificar vrus no e-mail, anexos de e-mail , web,
trfego FTP.
Se cpias de segurana de informaes essenciais aos
negcios como servidor de produo, componentes crticos
de rede, configurao, etc, so realizadas regularmente.
Exemplo:
Segunda-Quinta: Cpia incremental.
Sexta: Cpia completa.
Se a mdia que contm a cpia de segurana e o
procedimento para restaurar tal cpia so armazenados
seguramente e bem longe do local onde foram realizadas.
Se a mdia regularmente testada para assegurar que os
dados poderiam ser restaurados no perodo de tempo definido
no procedimento operacional para restaurao.

6.4.1

8.4.1

Cpias de segurana

6.4.2

8.4.2

Registros de operao

Se o pessoal de operao mantm um registro de suas

atividades como nome da pessoa, erros, ao corretiva, etc.
Se os registros de operao so verificados regularmente de
acordo com os procedimentos operacionais.

6.4.3

8.4.3

Registros de falhas

6.5.1

8.5.1

Controles da rede

Se falhas so reportadas e bem gerenciadas. Isto inclui aes

corretivas bem tomadas, revises de registros de falhas e
verificaes de aes tomadas.
Se controles operacionais eficientes como separar redes e
recursos de administrao de sistema foram estabelecidos
onde necessrio.
Se responsabilidades e procedimentos de gerenciamento de
equipamentos remotos, incluindo equipamentos em rea de
usurios foram estabelecidos.
Se existe algum controle especial para assegurar
confidencialidade e integridade do processamento de dados
em uma rede pblica e para proteger sistemas conectados.
Exemplo: Redes privadas virtuais (VPN), outros mecanismos
de encriptao e hashing, etc.

6.6

8.6

Segurana e tratamento de mdias

6.6.1

8.6.1

Gerenciamento de
mdias removveis

6.6.2

8.6.2

Descarte de mdias

Se existe um procedimento para o gerenciamento de mdia

removvel de computador como fitas, discos, cassetes, cartes
de memria e relatrios.
Se as mdias que no so mais necessrias so descartadas de
forma segura e protegida.
Se o descarte de itens sensveis so registrados quando
necessrio com o objetivo de manter uma trilha de auditoria.

6.6.3

8.6.3

Procedimentos para
tratamento de
informao

Se existe um procedimento para tratar o armazenamento de

informao. Este procedimento define caractersticas como
proteo de informao contra acesso no autorizado ou mal

ISO 17799 Checklist

uso da informao.
Se a documentao do sistema protegida contra acesso no
autorizado.
Se a lista de acesso para a documentao do sistema
mantida mnima e autorizada pelo dono da aplicao.
Exemplo: Documentao do sistema necessita ser mantida
em um drive compartilhado para fins especficos. A
documentao necessita ter listas de controle de acessos ativa
(para ser acessada somente por usurios limitados).

6.6.4

8.6.4

Segurana da
documentao dos
sistemas

6.7

8.7

Troca de informaes e software

6.7.1

8.7.1

Acordos para a troca

de informaes e
software

Se existe algum acordo formal ou informal entre as

organizaes para a troca de informaes ou software.
Se o acordo define as caractersticas de segurana baseadas
na sensibilidade das informaes de negcio envolvidas.

6.7.2

8.7.2

Segurana de mdias
em trnsito

6.7.3

8.7.3

Segurana de
comrcio eletrnico

Se existe segurana da mdia enquanto est sendo

transportada.
Se a mdia bem protegida contra acesso no autorizado, mal
uso ou corrupo.
Se o comrcio eletrnico bem protegido e se controle foram
implementados para proteo contra atividades fraudulentas,
disputa de contrato, exposio ou modificao da informao.
Se controles de segurana como autenticao e autorizao
so considerados no ambiente de comrcio eletrnico.
Se acordos de comrcio eletrnico entre parceiros esto
documentados, com concordncia de todas as partes,
incluindo detalhes de segurana.

6.7.4

8.7.4

Segurana do correio
eletrnico

Se existe uma poltica ativa para o uso de correio eletrnico

ou poltica de segurana que define caractersticas em relao
ao uso do correio eletrnico.
Se controles como verificao de antivrus, isolao de
anexos potencialmente inseguros, controle de spam, anti
relaying, etc, esto ativos para reduzir os riscos criados pelo
correio eletrnico.

6.7.5

6.7.6

8.7.5

8.7.6

Segurana dos
sistemas eletrnicos
de escritrio

Se existe uma poltica aceitvel para definir o uso de sistemas

eletrnicos de escritrio.

Sistemas disponveis
publicamente

Se existe algum processo de autorizao formal ativo para a

disponibilizao pblica da informao, como aprovao do
controle de mudanas, que inclui empresrios, donos de
aplicaes, etc.
Se existe algum controle ativo para proteger a integridade
desta informao publicamente disponvel contra acesso no
autorizado.
Isso deve incluir controles como firewalls, obstculos do
sistema operacional, qualquer ferramenta de deteco de
intruso utilizada para monitorar o sistema, etc.

ISO 17799 Checklist

Se existe alguma diretriz ativa para controlar efetivamente os

negcios e os riscos de segurana associados com os sistemas
eletrnicos de escritrio.

6.7.7

8.7.7

Outras formas de
troca de informao

Se existe alguma poltica, procedimento ou controle ativo

para proteger a troca de informaes atravs do uso de voz,
facsimile e dispositivos de comunicao de vdeo.
Se os empregados so lembrados de manter a
confidencialidade de informaes sensveis enquanto usarem
tais formas de troca de informao.

7
7.1

9
9.1

Controle de acesso
Requisitos do negcio para controle de acesso

7.1.1

9.1.1

Poltica de controle de Se os requisitos do negcio para controle de acesso foram

acesso
definidos e documentados.
Se a poltica de controle de acesso define as regras e direitos
para cada usurio ou um grupo de usurios.
Se os usurios ou provedores de servio receberam um
documento contendo claramente os controles de acesso que
satisfaam os requisitos do negcio.

7.2

9.2

Gerenciamento de acessos do usurio

7.2.1

9.2.1

Registro de usurio

7.2.2

9.2.2

Gerenciamento de
privilgios

7.2.3

9.2.3

Gerenciamento de
senha dos usurios

7.2.4

9.2.4

Anlise crtica dos

direitos de acesso do
usurio

7.3

9.3

Responsabilidades do usurio

7.3.1

9.3.1

Uso de senhas

7.3.2

9.3.2

Equipamentos de
usurio sem
monitorao

7.3

9.4

Controle de acesso rede

7.4.1

9.4.1

Poltica de utilizao
dos servios de rede

7.4.2

9.4.2

Rota de rede
obrigatria

7.4.3

9.4.3

Autenticao para
conexo externa do
usurio

ISO 17799 Checklist

Se existe algum procedimento formal de registro e

cancelamento de registro para garantir o acesso a todos os
sistemas de informao e servios multiusurios.
Se a concesso e o uso de quaisquer privilgios de um
sistema de informao multiusurio restrito e controlado,
por exemplo, se privilgios so concedidos pela necessidade
do usurio, e somente depois de um processo de autorizao
formal.
Se os usurios so solicitados a assinar uma declarao a fim
de manter a confidencialidade de sua senha pessoal.
A concesso e alterao de senhas devem ser controladas por
um processo de gerenciamento formal.
Se existe um processo de reviso dos direitos de acesso do
usurio em intervalos regulares. Exemplo: Reviso de
privilgio especial a cada 3 meses, e de privilgios normais a
cada 6 meses.
Se existe alguma diretriz para guiar usurios na escolha e
manuteno segura de senhas.
Se usurios e prestadores de servio so avisados dos
requisitos de segurana e procedimentos para proteger
equipamentos sem monitorao, assim como suas
responsabilidades para implementar tal proteo.
Exemplo: Efetuar logoff quando a seo for finalizada, ou
configurar logoff automtico.
Se existe uma poltica que define preocupaes relacionadas
a redes e a servios de rede, como:
Partes de rede serem acessadas;
Servios de autorizao para a determinao de quem tem
acesso a que redes e a quais servios de rede;
Procedimentos e controles de gerenciamento para proteger o
acesso s conexes e servios de rede.
Se existe algum controle que restringe a rota entre o terminal
do usurio e o servio do computador que o usurio
autorizado a acessar.
Exemplo: Criao de uma rota forada para reduzir riscos.
Se existe algum mecanismo de autenticao para conexes
externas.
Exemplos: Tcnicas baseadas em criptografia, dispositivos de
tokens, protocolos de defafio/resposta, etc.

7.4.4

9.4.4

Autenticao de n

7.4.5

9.4.5

Proteo de portas de
diagnstico remotas

7.4.6

9.4.6

Segregao de redes

7.4.7

9.4.7

Controle de conexes
de rede

7.4.8

9.4.8

Controle de
roteamento de rede

7.4.9

9.4.9

Segurana dos
servios de rede

7.5

9.5

Controle de acesso ao sistema operacional

7.5.1

9.5.1

7.5.2

9.5.2

Identificao
automtica de
terminal
Procedimentos de
entrada no sistema
(logon)

7.5.3

9.5.3

Identificao e
autenticao de
usurio

7.5.4

9.5.4

Sistema de
gerenciamento de
senhas

7.5.5

9.5.2

Uso de programas
utilitrios

ISO 17799 Checklist

Se conexes a sistemas de computador remoto para fora do

gerenciamento de segurana da organizao so autenticados.
Autenticao de ns podem servir como meio alternativo de
autenticao de grupos de usurios quando eles esto
conectados a um recurso de computador seguro e
compartilhado.
Se acessos a portas de diagnstico so seguramente
controladas, por exemplo, protegidas por um mecanismo de
segurana.
Se a rede (onde parceiros de negcio e/ou terceiros
necessitam de acesso ao sistema de informao) segregada
usando mecanismos de segurana de permetros como
firewalls.
Se existe algum controle de conexo de rede para redes
compartilhadas que se estendem aos limites da organizao.
Exemplo: Correio eletrnico, acesso a web, transferncias de
arquivos, etc.
Se existe algum controle de rede para assegurar que conexes
de computador e fluxo de informaes no violam a poltica
de controle de acesso das aplicaes de negcio. Isto
sempre essencial para redes compartilhadas com usurios que
no pertencem ao quadro da organizao (prestadores de
servio).
Se os controles de roteamento so baseados em fontes
confiveis e mecanismos de checagem de endereos de
destino.
Exemplo: NAT (Network Address Translation).
Se a organizao, utilizando servio de rede pblico ou
privado, assegura uma descrio clara dos atributos de
segurana de todos os servios disponibilizados.
Se um mecanismo de identificao automtica de terminal
utilizado para autenticar conexes.
Se o acesso ao sistema de informao realizado atravs de
um processo seguro de entrada no sistema.
Convm que o procedimento de entrada no sistema de
computador seja projetado para minimizar a oportunidade de
acessos no autorizados.
Se todos os usurios (incluindo o pessoal de suporte tcnico,
como operadores, administradores de redes, programadores
de sistema e administradores de rede) tenham um
identificador nico.
As contas genricas de usurio devem somente ser fornecidas
sobre circunstncias excepcionais no qual h um benefcio de
negcio claro. Controles adicionais devem ser necessrios
para gerenciar as contas.
Se o mtodo de autenticao utilizado confirma a identidade
alegada pelo usurio. Mtodo comumente utilizado: Senhas
somente conhecidas pelos usurios.
Se existe um sistema de gerenciamento de senhas que refora
vrios controles de senhas, como: Senha individual, refora
alteraes de senha, gravar senha de forma criptografada, no
mostrar senhas na tela, etc.
Se programas utilitrios do sistema que vm junto com as
instalaes do computador, que podem sobrepor os controles
do sistema e aplicaes, so estritamente controlados.

10

7.5.6

9.5.6

Alarme de
intimidao para a
salvaguarda de
usurios
Desconexo de
terminal por
inatividade
Limitao do tempo
de conexo

Se a proviso de um alarme de intimidao considerado

para usurios que podem ser alvo de coao.

7.5.7

9.5.7

7.5.8

9.5.8

7.6

9.6

Controle de acesso s aplicaes

7.6.1

9.6.1

Restrio de acesso
informao

7.6.2

9.6.2

Isolamento de
sistemas sensveis

7.7

9.7

Monitorao do uso e acesso ao sistema

7.7.1

9.7.1

Registro (log) de
eventos

7.7.2

9.7.2

Monitorao do uso
do sistema

7.7.3

9.7.3

Sincronizao dos
relgios

7.8

9.8

Computao mvel e trabalho remoto

7.8.1

9.8.1

Computao mvel

Terminais inativos em reas pblicas devem ser configurados

para limpar a tela ou desligar automaticamente aps um
perodo predeterminado de inatividade.
Se existe alguma restrio no tempo de conexo para
aplicaes de alto risco. Este tipo de configurao pode ser
considerada para aplicaes sensveis para as quais terminais
so instalados em localizaes de alto risco.
Se o acesso aplicao por vrios grupos ou pessoal dentro
da organizao definido na poltica de controle de acesso
como requisito de aplicao de negcio individual e
consistente com a poltica de acesso a Informao da
organizao.
Se sistemas sensveis so isolados do ambiente de
computao, como sendo executados em computadores
dedicados, recursos compartilhados somente com sistemas de
informaes confiveis, etc.
Se trilhas de auditoria registrando as excees e outros
eventos de segurana relevantes so produzidas e mantidas
por um perodo de tempo acordado para auxiliar em
investigaes futuras e na monitorao do controle de acesso.
Se foram estabelecidos procedimentos para a monitorao do
uso dos recursos de processamento da informao.
Os procedimentos devem assegurar que os usurios esto
executando apenas as atividades para as quais eles foram
explicitamente autorizados.
Se os resultados do monitoramento das atividades so
revisados regularmente.
Se os computadores ou dispositivos de comunicao tm a
capacidade de operar com um relgio em tempo real, ele deve
ser ajustado conforme o padro adotado, por exemplo, o
tempo coordenado universal (Universal Coordinated time
UCT) ou um padro local de tempo.
O estabelecimento correto dos relgios dos computadores
importante para garantir a exatido dos registros de auditoria.
Se uma poltica formal foi adotada levando em conta os
riscos de trabalhar com recursos de computao mvel, como
notebooks, palmtops, etc., especialmente em ambientes
desprotegidos.
Se treinamentos foram preparados para o grupo de trabalho
que utiliza a computao mvel, para aumentar o nvel de
conscientizao a respeito dos riscos adicionais resultantes
desta forma de trabalho e dos controles que devem ser
implementados para aliviar os riscos.

7.8.2

9.8.2

Trabalho remoto

10

Desenvolvimento e manuteno de sistemas

ISO 17799 Checklist

Se existe alguma poltica, procedimento e/ou padro para

controlar as atividades do trabalho remoto. Isto deve ser
consistente com a poltica de segurana da informao.
Se a proteo apropriada para o local do trabalho remoto foi
implantada, para evitar o roubo de equipamentos e de
informaes ou o uso imprprio destes recursos.

11

8.1

10.1

Requisitos de segurana de sistemas

8.1.1

10.1.1

Anlise e
especificao dos
Requisitos de
segurana

8.2

10.2

Segurana nos sistemas de aplicao

8.2.1

10.2.1

Validao de dados de Se os dados de entrada do sistema de aplicao so validados

entrada
para assegurar que esto corretos e so apropriados.

Se os requisitos de segurana esto incorporados como parte

integrante da declarao dos requisitos do negcio para novos
sistemas ou para melhorias dos sistemas existentes.
Requisitos de segurana e controles identificados devem
refletir o valor, para o negcio, dos ativos de informao
envolvidos e o dano potencial ao negcio, que pode resultar
da falha ou ausncia de segurana.
Se a avaliao dos riscos foi completada antes de iniciar o
desenvolvimento do sistema.

Se os controles como: Diferentes tipos de dados de entrada

para checar por mensagens de erro, procedimentos em
resposta a erros de validao, definio das responsabilidades
para todo o pessoal envolvido no processo de entrada de
dados, etc., so considerados.
Controle do
Se reas de risco so identificadas no ciclo de processamento
processamento interno e que checagens de validao foram includas. Em alguns
casos, os dados que foram corretamente inseridos podem
estar corrompidos, devido a erros de processamento ou a atos
deliberados.
Se controles apropriados so identificados para aplicaes
para minimizar os riscos durante o processamento interno.
Os controles iro depender naturalmente da aplicao e do
impacto ao negcio de algum dado corrompido.
Autenticao de
Se uma avaliao dos riscos de segurana foi realizada para
mensagem
determinar se a autenticao de mensagens necessria; e
para identificar o mtodo mais apropriado de sua
implementao, se necessria.
Autenticao de mensagem uma tcnica utilizada para
detectar alteraes no autorizadas ou corrupo do contedo
de mensagens eletrnicas transmitidas.
Validao de dados de Se os dados de sada do sistema de aplicao so validados
sada
para assegurar que o processo de armazenamento da
informao est correto e apropriado para as circunstncias.

8.2.2

10.2.2

8.2.3

10.2.3

8.2.4

10.2.4

8.3

10.3

Controles de criptografia

8.3.1

10.3.1

Poltica para o uso de

controles de
criptografia

Se foi implantada uma poltica para o uso de controles de

criptografia para a proteo da informao.
Se foi realizada uma avaliao de risco para identificar qual o
nvel de proteo da informao deve ser dado.

8.3.2

10.3.2

Criptografia

8.3.3

10.3.3

Assinatura digital

8.3.4

10.3.4

Servios de no
repdio

Se tcnicas de criptografia foram utilizadas para proteger os

dados.
Se avaliaes foram realizadas para analisar a sensibilidade
dos dados e o nvel de proteo necessria.
Se assinaturas digitais foram utilizadas para proteger a
autenticidade e integridade de documentos eletrnicos.
Se servios de no repdio foram utilizados, onde eles devem
ser necessrios para resolver disputas sobre ocorrncia ou no
ocorrncia de um evento ou ao.
Exemplo: Disputa envolvendo o uso de assinatura digital em
um pagamento ou contrato eletrnico.

ISO 17799 Checklist

12

8.3.5

10.3.5

Gerenciamento de
chaves

Se existe um sistema de gerenciamento para suportar pela

organizao o uso de tcnicas de criptografia, como tcnicas
de chave secreta e tcnicas de chave pblica.
Se o sistema de gerenciamento de chaves foi baseado em um
conjunto acordado de normas, procedimentos e mtodos
seguros.

8.4

10.4

Segurana de arquivos do sistema

8.4.1

10.4.1

Controle de software
em produo

8.4.2

10.4.2

Proteo de dados de
teste do sistema

8.4.3

10.4.3

Controle de acesso a
bibliotecas de
programa-fonte

8.5

10.5

Segurana nos processos de desenvolvimento e suporte

8.5.1

10.5.1

Procedimentos de
controle de mudanas

8.5.2

10.5.2

8.5.3

10.5.3

8.5.4

10.5.4

8.5.5

10.5.5

9
9.1

11
11.1

Gesto da continuidade do negcio

Aspectos da gesto da continuidade do negcio

9.1.1

11.1.1

Processo de gesto da
continuidade do
negcio

Se foi implantado algum controle para implementao de

software em sistemas operacionais. Isto para minimizar os
riscos de corrupo dos sistemas operacionais.
Se os dados de teste do sistema so protegidos e controlados.
O uso de base de dados de produo contendo informaes
pessoais deve ser evitado para fins de teste. Se tais
informaes forem utilizadas, os dados devem ser
despersonalizados antes do uso.
Se foram implantados controles estritos sobre o acesso s
bibliotecas de programa-fonte. Isto para reduzir o potencial
de corrupo de programas de computador.

Se foram implantados controles estritos sobre a

implementao de mudanas no sistema de informao. Isto
para minimizar a corrupo do sistema de informao.
Anlise crtica das
Se foram implantados processos ou procedimentos para
mudanas tcnicas do assegurar que o sistema de aplicao revisto e testado aps
sistema operacional da mudanas no sistema operacional.
produo
Isto necessrio periodicamente para atualizar o sistema
operacional, por exemplo, para instalar Service packs,
patches, atualizaes rpidas, etc.
Restries nas
Se foram implantadas restries para limitar modificaes
mudanas dos pacotes dos pacotes de softwares.
de software
To longe quanto possvel e praticvel, convm que os
pacotes de software adquiridos de fornecedores sejam usados
sem modificaes. Onde as modificaes forem consideradas
essenciais, o software original deve ser retido e as
modificaes efetuadas em uma cpia claramente
identificada. Todas as modificaes devem ser claramente
testadas e documentadas, assim elas podem ser reaplicadas se
necessrio em futuras atualizaes do software.
Covert channels e
Se foram implantados controles para assegurar que covert
cavalo de Tria
channels e cavalos de Tria no foram introduzidos em novos
sistemas ou atualizaes.
Um covert channel pode expor informaes por meios
indiretos e obscuros. Cavalo de Tria desenvolvido para
afetar um sistema de forma no autorizada.
Desenvolvimento
Se foram implantados controles sobre desenvolvimento
terceirizado de
terceirizado de software.
software
Os pontos a serem vistos incluem: Acordos sobre licenas,
acordos de poder haver falha por parte de prestadores de
servios, certificao de qualidade e da exatido do trabalho
implementado, testes antes da instalao para deteco de
cavalos de Tria, etc.

ISO 17799 Checklist

Se foi implantado um processo de gerenciamento que

permeie toda a organizao para desenvolvimento e
manuteno da continuidade do negcio.
Isto deve incluir um plano amplo de continuidade de negcio
da organizao, testes regulares e atualizaes de planos,
formulao e documentao de estratgia de continuidade de

13

9.1.2

11.1.2

Continuidade do
negcio e anlise do
impacto

negcio, etc.
Se eventos que podem causar interrupes ao processo de
negcio foram identificados.
Exemplo: Falha de equipamento, inundao e fogo.
Se foi realizada uma avaliao de risco para determinar o
impacto de tais interrupes.
Se um plano estratgico foi desenvolvido baseado nos
resultados da avaliao de risco para determinar uma
aproximao global da continuidade do negcio.

9.1.3

11.1.3

Documentado e
Se foram desenvolvidos planos para restaurar operaes do
implementando planos negcio dentro de um perodo de tempo requerido aps uma
de continuidade
interrupo ou falha do processo de negcio.
Se o plano regularmente testado e atualizado.

9.1.4

11.1.4

Estrutura do plano de
continuidade do
negcio

9.1.5

11.1.5

Se existe uma estrutura nica de plano de continuidade do

negcio.

Se esta estrutura mantida para assegurar que todos os

planos sejam consistentes e para identificar prioridades para
testes e manuteno.
Se esta estrutura identifica condies de ativao e
responsabilidades individuais para execuo de cada
componente do plano.
Testes, manuteno e Se planos de continuidade do negcio so testados
reavaliao dos planos regularmente para assegurar que esto atualizados e so
de continuidade do
eficientes.
negcio
Se planos de continuidade do negcio foram mantidos por
revises regulares e atualizados para assegurar que eles
continuam eficientes.
Se procedimentos foram includos dentro do programa de
gerenciamento de mudanas da organizao para assegurar
que as questes relativas continuidade do negcio esto
devidamente tratadas.

10
10.1

12
12.1

Conformidade
Conformidade com requisitos legais

10.1.1

12.1.1

Identificao da
legislao vigente

Se todos os estatutos, regulamentaes e clusulas contratuais

relevantes foram explicitamente definidos e documentados
para cada sistema de informao.
Se controles e responsabilidades especficos para atender a
estes requisitos foram definidos e documentados.

10.1.2

12.1.2

Direitos de
propriedade
intelectual

10.1.3

12.1.3

10.1.4

12.1.4

Salvaguarda de
registros
organizacionais
Proteo de dados e
privacidade da

ISO 17799 Checklist

Se existe algum procedimento para assegurar conformidade

com as restries legais no uso de material de acordo com as
leis de propriedade intelectual, como as de direitos autorais,
patentes ou marcas registradas.
Se todos os procedimentos foram bem implementados.
Se produtos de software proprietrios so fornecidos sob um
contrato de licenciamento que restringe o uso dos produtos
em mquinas especificadas e que pode limitar a cpia apenas
para criao de uma cpia de segurana.
Se registros importantes da organizao so protegidos contra
perda, destruio ou falsificao.
Se foi implantada uma estrutura de gerenciamento e controle
para proteger dados e a privacidade da informao pessoal

14

informao pessoal
Preveno contra o
uso indevido de
recursos de
processamento da
informao

10.1.5

12.1.5

Se o uso de recursos de processamento da informao para

algum propsito sem relao com o negcio ou no
autorizado, sem aprovao da direo, tratado como uso
imprprio do recurso.
Se apresentada uma mensagem na tela do computador, no
log-on, indicando que o sistema privado e o acesso no
autorizado no permitido.

10.1.6

12.1.6

10.1.7

12.1.7

Regulamentao de
controles de
criptografia
Coleta de evidncias

10.2

12.2

Anlise crtica da poltica de segurana e da conformidade tcnica

10.2.1

12.2.1

Conformidade com a
poltica de segurana

10.2.2

12.2.2

Verificao da
conformidade tcnica

Se a regulamentao de controles de criptografia est legal

com o acordo local e nacional.
Se o processo envolvido na coleta de evidncias est de
acordo com as prticas legais e industriais.
Se todas as reas dentro da organizao sejam consideradas
na anlise crtica peridica, para garantir a conformidade com
as normas e polticas de segurana.
Se os sistemas de informao so periodicamente verificados
em sua conformidade com as normas de segurana
implementadas.
Se a verificao de conformidade tcnica liderada ou
supervisada por pessoas competentes e autorizadas.

10.3

12.3

Consideraes quanto auditoria dos sistemas

10.3.1

12.3.1

Controles de auditoria
de sistema

10.3.2

12.3.2

Ativos
Equipamentos

Se requisitos de auditoria e atividades envolvendo

verificaes em sistemas operacionais so cuidadosamente
planejados e acordados para minimizar o risco de interrupo
dos processos do negcio.
Proteo das
Se o acesso a ferramentas de auditoria de sistemas, como
ferramentas de
software ou arquivos de dados, protegidos para prevenir
auditoria de sistemas
contra qualquer possibilidade de uso imprprio ou
comprometimento.
Nvel Descrio

Aplicaes

ISO 17799 Checklist

15

Usurios

Ambientes

Informaes

Processos

Nvel: 1=Irrelevante; 2=Relevante; 3=Importante; 4=Crtico; 5=Vital

ISO 17799 Checklist

16