Gesto da Tecnologia da Informao

Gesto da Segurana da Informao

23/10/2010

Marco Antonio Torrez Rojas

Normas
Nacionais (ABNT NBR) ISO/IEC 27001 (2006)
Sistema de Gesto da Segurana da Informao

ISO/IEC 27002 (2005)

Cdigo de Prtica para a Gesto da Segurana da Informao

ISO/IEC 27005 (2008)

Gesto de Riscos de Segurana da Informao
23/10/2010 Marco Antonio Torrez Rojas

ISO/IEC 27001
A norma promove a adoo de uma abordagem de processo para estabelecer e implementar, operar, monitorar, analisar criticamente, manter e melhorar o SGSI (Sistema de Gesto de Segurana da Informao) de uma organizao.

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27001
Plan (planejar)
Estabelecimento do SGSI

Do (fazer)
Implementar e operar o SGSI

Check (checar)
Monitorar e analisar criticamente o SGSI

Act (agir)
Manter e melhorar o SGSI
23/10/2010 Marco Antonio Torrez Rojas

Modelo de SGSI
Comit Corporativo de Segurana da Informao Mapeamento de Segurana

Estratgia de Segurana
Planejamento da Segurana

Implementao de Segurana
Administrao de Segurana
23/10/2010 Marco Antonio Torrez Rojas

Modelo de SGSI
Comit Corporativo de Segurana da Informao
Orientar aes corporativas de Segurana. Alinhar o plano de ao s diretrizes estratgicas do negcio. Coordenar ajustes aos planos de ao Garantir a Implantao de Gesto da Segurana da Informao.

23/10/2010

Marco Antonio Torrez Rojas

Modelo de SGSI
Mapeamento de Segurana
Identificar a relao entre os diversos processo de negcio, permetros e infra-estrutura. Inventariar os ativos fsicos, tecnolgicos e humanos. Identificar o cenrio atual de ameaas, vulnerabilidades e impactos. Mapear as necessidades e as relaes da empresa associadas ao tratamento da informao (manuseio, armazenamento, transporte e descarte). Organizar as demandas de segurana da informao.
23/10/2010 Marco Antonio Torrez Rojas

Modelo de SGSI
Estratgia de Segurana
Definio do Plano de Ao.
Conseguir apio e comprometimento s medidas previstas no plano de ao.

23/10/2010

Marco Antonio Torrez Rojas

Modelo de SGSI
Planejamento da Segurana
Criao de Comits interdepartamentais.
Capacitar tcnicos e executivos. Elaborar uma Poltica de Segurana da Informao. Realizar aes corretivas emergenciais em funo de risco iminente .

23/10/2010

Marco Antonio Torrez Rojas

Modelo de SGSI
Implementao de Segurana
Divulgar corporativamente a Poltica de Segurana.
Capacitar conscientizando os usurios com relao ao tratamento da informao.

Implementar mecanismos de controle fsicos, tecnolgicos e humanos, permitindo eliminao de vulnerabilidades ou sua vivel administrao.

23/10/2010

Marco Antonio Torrez Rojas

Modelo de SGSI
Administrao de Segurana
Monitorar os controles implementados.
Projetar ROI das medidas realizadas. Garantir a adequao e conformidade com normas associadas. Manter planos para contingncia e recuperao de desastres. Adequar a poltica de segurana a novos contextos.

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27001

Abordagem PDCA aplicada ao Modelo SGSI

23/10/2010 Marco Antonio Torrez Rojas

PDCA no SGSI
Planejar (Plan)
Plano Diretor de Segurana. Identificao dos Processos de Negcio. Mapeamento da Relevncia. Estudo de Impactos, Prioridades, Permetros. Plano de Continuidade de Negcios. Anlise de Impactos no Negcio (BIA). Estratgias de Contingncia. Planos de Administrao de Crise, Continuidade Operacional. Plano de Recuperao de Desastres. Poltica de Segurana.

Diretrizes / Normas / Procedimentos.

23/10/2010 Marco Antonio Torrez Rojas

PDCA no SGSI
Fazer (Do)
Implementao de Controles de Segurana. Segurana Fsica. Segurana Tecnolgica. Segurana Humana. Treinamento e Sensibilizao em Segurana. Seminrios. Campanha de Divulgao. Carta do Presidente. Termos de Responsabilidade e Confidencialidade. Cursos de Capacitao e Certificao.
23/10/2010 Marco Antonio Torrez Rojas

PDCA no SGSI
Checar (Check)
Anlise de Riscos e Vulnerabilidades. Mapeamento de vulnerabilidades dos ativos tecnolgicos. Mapeamento de aspectos comportamentais (RH). Mapeamento de aspectos fsicos. Mapeamento de aspectos legais. Testes de Invaso. Interno. Externo. Cego (Sem acesso a Informao) No Cego (Com acesso a Informao).

23/10/2010

Marco Antonio Torrez Rojas

PDCA no SGSI
Agir (Act)
Equipe para Resposta a Incidentes. Velocidade de Resposta a Situaes de Risco. Recurso Prprio ou Terceirizado. Equipe especializada e atualizada. Administrao e Monitorao de Segurana. Medir os Resultados Alcanados. Acompanhamento de ndices e indicadores. Auditorias automatizadas ou manuais. Atividades do Security Officer.

23/10/2010

Marco Antonio Torrez Rojas

23/10/2010

Marco Antonio Torrez Rojas

Hands-On

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002
A norma estabele um guia prtico para desenvolver os procedimentos de segurana da informao da organizao e as eficientes prticas de gesto de segurana da informao.

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27002

23/10/2010

Marco Antonio Torrez Rojas

23/10/2010

Marco Antonio Torrez Rojas

Hands-On

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27005
A norma fornece diretrizes para o processo de Gesto de Riscos de Segurana da Informao de uma organizao, atendendo particularmente aos requisitos de um SGSI.

23/10/2010

Marco Antonio Torrez Rojas

ISO/IEC 27005

23/10/2010

Marco Antonio Torrez Rojas

Bibliografia
ABNT NBR ISO/IEC 27001 ABNT NBR ISO/IEC 27002 ABNT NBR ISO/IEC 27005

23/10/2010

Marco Antonio Torrez Rojas