Sistema de Gesto de Segurana

da Informao (SGSI)

Prof. M.Sc. Marco Simes

Tpicos da Aula

Definio
Modelo PDCA
Requisitos de segurana
Como implantar o SGSI
Fatores de sucesso
Certificao ISO 27001
Escopo do SGSI
Conceitos importantes

Prof. M.Sc. Marco Simes

SGSI - Definio

A parte do sistema de gesto global, baseado

na abordagem de riscos do negcio, para
estabelecer, implementar, operar, monitorar,
analisar criticamente, manter e melhorar a
Segurana da Informao
(NBR ISO/IEC 27001:2006, ABNT)

Prof. M.Sc. Marco Simes

Modelo Plan-Do-Check-Act

Prof. M.Sc. Marco Simes

Fontes dos requisitos de
segurana

Avaliao de Riscos
Identifica as ameaas aos ativos, as vulnerabilidades e
sua probabilidade de ocorrncia avaliada, bem como o
impacto potencial estimado
Requisitos Legais
Legislao vigente, estatutos, regulamentao e
clusulas contratuais
Requisitos do negcio
Princpios objetivos e requisitos para o processamento
da informao

Prof. M.Sc. Marco Simes

Como implantar o SGSI ?

Diagnstico Inicial Anlise de Risco

Def. do Escopo Treinamento ISO 27001

Normas e Procedimentos
Definir PSI
Auditoria Interna
Lanamento do projeto
e palestras de sensibilizao
Implementar aes corretivas
e preventivas

Prof. M.Sc. Marco Simes

Antes de considerar o SGSI
completo
Ativos identificados e controle de ativos
mantido atualizado;
Anlise de risco executada e resultados
documentados;
Decises de gerenciamento de risco tomadas;
Controles aplicveis identificados e
implementados;
Declarao de aplicabilidade documentada;

Prof. M.Sc. Marco Simes

Antes de considerar o SGSI
completo

Plano de continuidade de negcios

documentado, implementado e testado;
Procedimentos do SGSI documentados,
publicados e implementados;
Reviso interna executada para determinar a
efetividade do SGSI

Prof. M.Sc. Marco Simes

Fatores crticos para o sucesso

PSI, objetivos e atividades que reflitam os

objetivos do negcio
Uma abordagem para implementao da SI
consistente com a cultura organizacional
Comprometimento e apoio visveis da
administrao
Bom entendimento dos requisitos, avaliao e
gesto de riscos

Prof. M.Sc. Marco Simes

Fatores crticos para o sucesso

Marketing efetivo da segurana para todos os

gestores e funcionrios
Distribuio das diretrizes sobre a PSI e
padres para todos os funcionrios e terceiros
Treinamento e conscientizao adequados
Sistema de medidas abrangente e equilibrado
para avaliar a performance da gesto da
segurana da informao

Prof. M.Sc. Marco Simes

Fatores crticos para o sucesso

Marketing efetivo da segurana para todos os

gestores e funcionrios
Distribuio das diretrizes sobre a PSI e
padres para todos os funcionrios e terceiros
Treinamento e conscientizao adequados
Sistema de medidas abrangente e equilibrado
para avaliar a performance da gesto da
segurana da informao

Prof. M.Sc. Marco Simes

Fatores crticos para o sucesso

Marketing efetivo da segurana para todos os

gestores e funcionrios
Distribuio das diretrizes sobre a PSI e
padres para todos os funcionrios e terceiros
Treinamento e conscientizao adequados
Sistema de medidas abrangente e equilibrado
para avaliar a performance da gesto da
segurana da informao melhoria contnua

Prof. M.Sc. Marco Simes

Importncia de obter uma
certificao ISO 27001

Evidencia que os requisitos mnimos de

segurana so atendidos dentro do escopo da
certificao
Demonstra a clientes, parceiros e funcionrios
o devido cuidado e comprometimento da
empresa com a proteo das informaes
dentro do escopo da certificao

Prof. M.Sc. Marco Simes

Definio de Escopo do SGSI

Ativos
Tecnologia: servidores, firewall, roteadores,
sistemas, etc
Pessoas
Ambientes
Processos
Definir Processos de Negcio e Sistemas que
os suportam

Prof. M.Sc. Marco Simes

Definio de Escopo do SGSI

Processos

Sistemas

Ativos

Prof. M.Sc. Marco Simes

Conceitos importantes para o SGSI

Risco Residual
Risco remanescente aps as protees haverem
sido implementadas
Risco Aceitvel
Nvel de risco considerado aceitvel pela
organizao

RR RA

Prof. M.Sc. Marco Simes

Conceitos importantes para o SGSI

Anlise de Risco
Processo de identificar riscos segurana,
determinar suas magnitudes e identificar reas que
precisam de protees
Gerenciamento de Risco
Processo total de identificar, controlar e eliminar ou
minimizar riscos aos ativos

Prof. M.Sc. Marco Simes

Conceitos importantes para o SGSI

Evento de segurana da informao INDCIO

Ocorrncia identificada de um sistema, servio ou rede
que indica uma possvel violao da PSI ou falha de
controles, ou uma situao previamente desconhecida
que possa ser relevante para a SI
Incidente de Segurana FATO
indicado por um simples ou uma srie de eventos de
segurana da informao indesejados ou inesperados,
que tenham uma grande probabilidade de comprometer
as operaes do negcio e ameaar a segurana da
informao

Prof. M.Sc. Marco Simes