[ ISO 17799 ] Checklist

Checklist Padro Seo

1 1.1 3 3.1

Questo de auditoria

Poltica de segurana Poltica de segurana da informao

1.1.1

3.1.1

1.1.2

3.1.2

Documento da poltica Se existe alguma poltica de segurana da informao, que de segurana da seja aprovado pela direo, publicado e comunicado, de informao forma adequada, para todos os funcionrios. Se esta expressa as preocupaes da direo e estabelece as linhas-mestras para a gesto da segurana da informao. Anlise crtica e Se a poltica de segurana tem um gestor que seja avaliao responsvel por sua manuteno e anlise crtica, de acordo com um processo de anlise crtica definido. Se o processo garante que a anlise crtica ocorra como decorrncia de qualquer mudana que venha afetar a avaliao de risco original. Exemplo: Incidentes de segurana significativos, novas vulnerabilidades ou mudanas organizacionais ou na infra-estrutura tcnica.
Segurana organizacional Infra-estrutura da segurana da informao

2 2.1

4 4.1

2.1.1

4.1.1

Gesto do frum de segurana da informao Coordenao de segurana da informao Atribuio das responsabilidades de segurana da informao Processo de autorizao para as instalaes de processamento da informao Consultoria especializada em segurana da informao Cooperao entre organizaes

2.1.2 2.1.3

4.1.2 4.1.3

Se existe um frum de gesto para garantir um direcionamento claro e um suporte de gesto visvel dos envolvidos para as iniciativas de segurana dentro da organizao. Se existe um frum multifuncional com representantes da direo de reas relevantes da organizao para coordenar a implementao de controles de segurana da informao. Se as responsabilidades pela proteo de cada ativo e pelo cumprimento de processos de segurana especficos sejam claramente definidos. Se foi implantado um processo de gesto de autorizao para novos recursos de processamento da informao. Isto deve incluir todos os novos recursos, como hardware e software. Se uma consultoria especializada em segurana da informao obtida quando apropriado. Um indivduo especfico deve ser identificado para coordenar conhecimentos e experincias dentro da organizao para assegurar consistncia, e prover ajuda na deciso de segurana. Se so mantidos contatos apropriados com autoridades legais, organismos regulamentadores, provedores de servio de informao e operadores de telecomunicaes, para garantir que aes adequadas e apoio especializado possam ser rapidamente acionados na ocorrncia de incidentes de segurana. Se a implementao da poltica de segurana analisada criticamente, de forma independente. Isto para fornecer garantia de que as prticas da organizao refletem apropriadamente a poltica, e que esta adequada e eficiente. Se os riscos do acesso de prestadores de servio so identificados e controles de segurana apropriados foram implementados. Se os tipos de acesso so identificados, classificados e as razes para o acesso so justificadas.

2.1.4

4.1.4

2.1.5

4.1.5

2.1.6

4.1.6

2.1.7

4.1.7

Anlise crtica independente de segurana da informao Identificao no acesso de prestadores de servio

2.2

4.2

Segurana no acesso de prestadores de servio

2.2.1

4.2.1

ISO 17799 Checklist 2

2.2.2

4.2.2

Requisitos de segurana nos contratos com prestadores de servio

Terceirizao

Se os riscos de segurana com prestadores de servio trabalhando no ambiente da empresa foram identificados e controles apropriados so identificados. Se existe um contrato formal contendo ou referenciando todos os requisitos de segurana para assegurar a conformidade com as normas e polticas de segurana da informao. Se os requisitos de segurana so definidos no contrato com prestadores de servios, quando a organizao tiver terceirizado o gerenciamento e controle de todos ou alguns dos sistemas de informao, redes e/ ou estaes de trabalho. O contrato deve definir como os requisitos legais so referenciados, como a segurana dos ativos mantida e testada, e o direito de auditoria, caractersticas de segurana fsica e como a disponibilidade dos servios mantida em um evento de desastre.

2.3

4.3

2.3.1

4.3.1

Requisitos de segurana dos contratos da terceirizao

3 3.1

5 5.1

Classificao e controle dos ativos de informao Contabilizao dos ativos

3.1.1

5.1.1

Inventrio dos ativos de informao

Se um inventrio ou registro mantido com os ativos importantes relacionados com cada sistema de informao. Se cada ativo identificado possui um gestor, se foi definido e acordado na classificao de segurana, e se sua localizao foi definida. Se foi implantado um esquema ou diretriz de classificao da informao, que define como a informao tratada e protegida. Se um conjunto apropriado de procedimentos foi definido para rotular e tratar a informao de acordo com o esquema de classificao adotado pela organizao. Se regras e responsabilidades de segurana so documentadas onde for apropriado, de acordo com a poltica de segurana da informao da organizao. Isto deve incluir responsabilidades gerais pela implementao ou manuteno da poltica de segurana, assim como quaisquer responsabilidades especficas para a proteo de determinados ativos ou pela execuo de determinados processos ou atividades de segurana. Se verificaes sobre a equipe de trabalho permanente so conduzidas no momento da seleo de candidatos. Isto deve incluir referncias de carter, confirmao das qualificaes acadmicas e profissionais, e verificao da identidade. Se os funcionrios so questionados a assinarem acordos de confidencialidade ou no divulgao como parte dos termos e condies iniciais de contratao. Se estes acordos cobrem a segurana dos recursos de processamento de informao e os ativos da organizao.

3.2

5.2

Classificao da informao

3.2.1 3.2.2
4 4.1

5.2.1 5.2.1
6 6.1

Recomendaes para classificao Rtulos e tratamento da informao

Segurana em pessoas Segurana na definio e nos recursos de trabalho

4.1.1

6.1.1

Incluindo segurana nas responsabilidades do trabalho

4.1.2

6.1.2

Seleo e poltica de pessoal

4.1.3

6.1.3

Acordos de confidencialidade

4.1.4

6.1.4

Termos e condies de trabalho

Se os termos e condies de trabalho determinam as responsabilidades dos funcionrios pela segurana da informao. Quando apropriado, estas responsabilidades devem continuar por um perodo de tempo definido, aps o trmino do contrato de trabalho.

4.2

6.2

Treinamento dos usurios

ISO 17799 Checklist 3

4.2.1

6.2.1

Educao e treinamento em segurana da informao Notificao dos incidentes de segurana Notificando falhas na segurana Notificando mau funcionamento de software Aprendendo com os incidentes Processo disciplinar

Se todos os funcionrios da organizao e, onde for relevante, prestadores de servios recebem treinamento apropriado e atualizaes regulares sobre as polticas e procedimentos organizacionais. Se existe um procedimento ou diretriz formal para reportar incidentes de segurana atravs dos canais apropriados da direo, o mais rapidamente possvel. Se existe um procedimento ou diretriz formal para que os usurios sejam instrudos a registrar e notificar quaisquer fragilidades ou ameaas, ocorridas ou suspeitas, na segurana de sistemas ou servios. Se foram estabelecidos procedimentos para notificar qualquer mau funcionamento de software. Se existem mecanismos para permitir que tipos, quantidades e custos dos incidentes e dos maus funcionamentos sejam quantificados e monitorados. Se existe um processo disciplinar formal para os funcionrios que tenham violado as polticas e procedimentos de segurana organizacional. Tal processo pode dissuadir funcionrios que, de outra forma, seriam inclinados a desrespeitar os procedimentos de segurana. Se barreiras fsicas, como recursos de segurana, foram implementadas para proteger o servio de processamento da informao. Alguns exemplos de tais recursos de segurana so o controle por carto do porto de entrada, muros, presena de um funcionrio na recepo, etc. Se existem controles de entrada para permitir somente a entrada do pessoal autorizado dentro de vrias reas da organizao. Se as salas, que possuem o servio de processamento de informao ou contm armrios fechados ou cofres, so trancadas. Se o servio de processamento de informao protegido contra desastres naturais ou causados pelo homem. Se existe alguma ameaa potencial de propriedades vizinhas. Se existe algum controle de segurana para prestadores de servio ou funcionrios trabalhando em rea de segurana. A informao s deve ser fornecida quando necessrio. Se as reas de expedio e carga e de processamento de informao so isoladas uma da outra, para evitar acesso no autorizado. Se uma avaliao de risco foi realizada para determinar a segurana de tais reas.

4.3

6.3

Respondendo aos incidentes de segurana e ao mau funcionamento

4.3.1 4.3.2

6.3.1 6.3.2

4.3.3 4.3.4 4.3.5

6.3.3 6.3.4 6.3.5

5 5.1

7 7.1

Segurana fsica e do ambiente reas de segurana

5.1.1

7.1.1

Permetro da segurana fsica

5.1.2 5.1.3

7.1.2 7.1.3

Controles de entrada fsica Segurana em escritrios, salas e instalaes de processamento

5.1.4 5.1.5

7.1.4 7.1.5

Trabalhando em ares de segurana Isolamento das reas de expedio e carga

5.2

7.2

Segurana dos equipamentos

ISO 17799 Checklist 4

5.2.1

7.2.1

Instalao e proteo de equipamentos

Se o equipamento foi instalado em local apropriado para minimizar acesso no autorizado rea de trabalho. Se os itens que requerem proteo especial foram isolados para reduzir o nvel geral de proteo exigida. Se controles foram adotados para minimizar o risco de ameaas potenciais, como roubo, fogo, exploso, fumaa, gua, poeira, vibrao, efeitos qumicos, interferncia no fornecimento eltrico, radiao eletromagntica, inundao. Se existe uma poltica especial para alimentao, bebida e fumo nas proximidades das instalaes de processamento da informao. Se os aspectos ambientais so monitorados para evitar condies que possam afetar de maneira adversa a operao das instalaes de processamento da informao.

5.2.2

7.2.2

Fornecimento de energia Segurana do cabeamento

5.2.3

7.2.3

5.2.4

7.2.4

Manuteno de equipamentos

Se o equipamento protegido contra falhas de energia e outras anomalias na alimentao eltrica., utilizando fornecimento de energia permanente como alimentao mltipla, no-break, gerador de reserva, etc. Se o cabeamento eltrico e de telecomunicaes que transmite dados ou suporta os servios de informao protegido contra interceptao ou dano. Se existe algum controle de segurana adicional para informaes sensveis ou crticas. Se os equipamentos tm manuteno de acordo com intervalos e especificaes do fabricante. Se a manuteno realizada apenas pelo pessoal autorizado.

5.2.5 5.2.6
5.3

7.2.5 7.2.6
7.3

Se so mantidos registros com todas as falhas suspeitas ou ocorridas e de toda a manuteno corretiva e preventiva. Se os controles apropriados so utilizados quando do envio de equipamentos para manuteno fora da instalao fsica. Se todos os requisitos impostos pelas aplices de seguro so atendidos. Segurana de Se um equipamento autorizado pela direo quando equipamentos fora das necessitar ser utilizado fora das instalaes da organizao. instalaes Reutilizao e Se dispositivos de armazenamento contendo informaes alienao segura de sensveis so fisicamente destrudos ou sobrescritos de equipamentos maneira segura.
Controles gerais

5.3.1

7.3.1

Poltica de mesa limpa Se um servio de bloqueio automtico de tela de computador e tela limpa est ativo. Isso ir travar o computador sempre que for deixado ocioso por um determinado tempo. Se os empregados so avisados para deixar qualquer material confidencial de forma segura e trancada. Remoo de propriedade Se equipamentos, informaes ou software podem ser retirados em adequada autorizao. Se inspees regulares so realizadas para detectar remoo de propriedade no autorizada. Se as pessoas esto cientes que estas inspees regulares esto realizadas.

5.3.2

7.3.2

6 6.1

8 8.1

Gerenciamento das operaes e comunicaes Procedimentos e responsabilidades operacionais

ISO 17799 Checklist 5

6.1.1

8.1.1

Documentao dos procedimentos de operao Mudanas operacionais

Se uma poltica de segurana identifica qualquer procedimento operacional como backup, manuteno de equipamentos, etc. Se estes procedimentos esto documentados e so utilizados. Se todos os programas executados no sistema de produo so submetidos ao controle estrito de mudanas. Qualquer mudana nesses programas de produo deve ser autorizada pelo controle de mudanas. Se registros so mantidos para qualquer modificao nos programas de produo. Se existe um procedimento de gerenciamento de incidente definido para uma resposta a incidentes de segurana. Se o procedimento define as responsabilidades de gerenciamento de incidente, de maneira organizada e rpida em resposta a incidentes de segurana. Se o procedimento define diferentes tipos de incidentes, desde Negao de Servio (DoS) at quebra de confidencialidade, assim como modos de gerencia-los. Se registros e evidncias relacionadas aos incidentes so mantidos, e aes pro-ativas so realizadas de maneira que os incidentes no mais ocorram.

6.1.2

8.1.2

6.1.3

8.1.3

Procedimentos para o gerenciamento de incidentes

6.1.4 6.1.5

8.1.4 8.1.5

Segregao de funes Separao de ambientes de desenvolvimento e de produo Gesto de recursos terceirizados

6.1.6

8.1.6

Se tarefas e reas de responsabilidades so separadas para reduzir a possibilidade de modificao no autorizada ou mal uso de informao ou servios. Se os ambientes de desenvolvimento e de teste so isolados do ambiente de produo. Por exemplo, software em desenvolvimento deve ser executado em um computador diferente do computador com software de produo. Quando necessrio, as redes de desenvolvimento e produo devem ser separadas uma da outra. Se algum recurso de processamento de Informao gerenciado por terceiros. Se os riscos associados a tal gerenciamento so detalhadamente identificados, discutidos com a terceira parte, e controles apropriados foram incorporados no contrato. Se aprovao necessria foi obtida dos empresrios e donos de aplicaes. Se as demandas de capacidade so monitoradas e projees de capacidade futuras so realizadas. Isto para assegurar que a adequada potncia de processamento e armazenamento esto disponveis. Exemplo: Monitoramento do espao em disco rgido, RAM, CPU em servidores crticos. Se critrios de aceitao de sistemas foram estabelecidos para novos sistemas de Informao, atualizaes e novas verses. Se testes foram realizados antes da aceitao.

6.2

8.2

Planejamento e aceitao dos sistemas

6.2.1

8.2.1

Planejamento de capacidade

6.2.2

8.2.2

Aceitao de sistemas

6.3

8.3

Proteo contra software malicioso

ISO 17799 Checklist 6

6.3.1

8.3.1

Proteo contra software malicioso

Se existe algum controle contra o uso de software malicioso. Se a poltica de segurana define caractersticas de licenciamento de software como proibio do uso de software no autorizado. Se existe algum procedimento de verificar todos os boletins de aviso referentes ao uso de software malicioso. Se um software antivrus est instalado nos computadores para verificar e isolar ou remover qualquer vrus do computador ou mdia. Se a assinatura deste software est atualizada em uma base regular para verificar por ltimas verses de vrus. Se todo o trfego originado de uma rede insegura para a organizao verificado por vrus. Exemplo: Verificar vrus no e-mail, anexos de e-mail , web, trfego FTP. Se cpias de segurana de informaes essenciais aos negcios como servidor de produo, componentes crticos de rede, configurao, etc, so realizadas regularmente. Exemplo: Segunda-Quinta: Cpia incremental. Sexta: Cpia completa. Se a mdia que contm a cpia de segurana e o procedimento para restaurar tal cpia so armazenados seguramente e bem longe do local onde foram realizadas. Se a mdia regularmente testada para assegurar que os dados poderiam ser restaurados no perodo de tempo definido no procedimento operacional para restaurao. Se o pessoal de operao mantm um registro de suas atividades como nome da pessoa, erros, ao corretiva, etc. Se os registros de operao so verificados regularmente de acordo com os procedimentos operacionais. Se falhas so reportadas e bem gerenciadas. Isto inclui aes corretivas bem tomadas, revises de registros de falhas e verificaes de aes tomadas. Se controles operacionais eficientes como separar redes e recursos de administrao de sistema foram estabelecidos onde necessrio. Se responsabilidades e procedimentos de gerenciamento de equipamentos remotos, incluindo equipamentos em rea de usurios foram estabelecidos. Se existe algum controle especial para assegurar confidencialidade e integridade do processamento de dados em uma rede pblica e para proteger sistemas conectados. Exemplo: Redes privadas virtuais (VPN), outros mecanismos de encriptao e hashing, etc. Se existe um procedimento para o gerenciamento de mdia removvel de computador como fitas, discos, cassetes, cartes de memria e relatrios. Se as mdias que no so mais necessrias so descartadas de forma segura e protegida. Se o descarte de itens sensveis so registrados quando necessrio com o objetivo de manter uma trilha de auditoria. Se existe um procedimento para tratar o armazenamento de informao. Este procedimento define caractersticas como proteo de informao contra acesso no autorizado ou mal

6.4.1

8.4.1

Cpias de segurana

6.4.2

8.4.2

Registros de operao

6.4.3 6.5.1

8.4.3 8.5.1

Registros de falhas Controles da rede

6.6

8.6

Segurana e tratamento de mdias

6.6.1 6.6.2

8.6.1 8.6.2

Gerenciamento de mdias removveis Descarte de mdias

6.6.3

8.6.3

Procedimentos para tratamento de informao

ISO 17799 Checklist 7

6.6.4

8.6.4

Segurana da documentao dos sistemas

uso da informao. Se a documentao do sistema protegida contra acesso no autorizado. Se a lista de acesso para a documentao do sistema mantida mnima e autorizada pelo dono da aplicao. Exemplo: Documentao do sistema necessita ser mantida em um drive compartilhado para fins especficos. A documentao necessita ter listas de controle de acessos ativa (para ser acessada somente por usurios limitados). Se existe algum acordo formal ou informal entre as organizaes para a troca de informaes ou software. Se o acordo define as caractersticas de segurana baseadas na sensibilidade das informaes de negcio envolvidas. Se existe segurana da mdia enquanto est sendo transportada. Se a mdia bem protegida contra acesso no autorizado, mal uso ou corrupo. Se o comrcio eletrnico bem protegido e se controle foram implementados para proteo contra atividades fraudulentas, disputa de contrato, exposio ou modificao da informao. Se controles de segurana como autenticao e autorizao so considerados no ambiente de comrcio eletrnico. Se acordos de comrcio eletrnico entre parceiros esto documentados, com concordncia de todas as partes, incluindo detalhes de segurana.

6.7

8.7

Troca de informaes e software

6.7.1

8.7.1

Acordos para a troca de informaes e software Segurana de mdias em trnsito

6.7.2

8.7.2

6.7.3

8.7.3

Segurana de comrcio eletrnico

6.7.4

8.7.4

Segurana do correio eletrnico

Se existe uma poltica ativa para o uso de correio eletrnico ou poltica de segurana que define caractersticas em relao ao uso do correio eletrnico. Se controles como verificao de antivrus, isolao de anexos potencialmente inseguros, controle de spam, anti relaying, etc, esto ativos para reduzir os riscos criados pelo correio eletrnico.

6.7.5

8.7.5

Segurana dos sistemas eletrnicos de escritrio

Se existe uma poltica aceitvel para definir o uso de sistemas eletrnicos de escritrio. Se existe alguma diretriz ativa para controlar efetivamente os negcios e os riscos de segurana associados com os sistemas eletrnicos de escritrio. Se existe algum processo de autorizao formal ativo para a disponibilizao pblica da informao, como aprovao do controle de mudanas, que inclui empresrios, donos de aplicaes, etc. Se existe algum controle ativo para proteger a integridade desta informao publicamente disponvel contra acesso no autorizado. Isso deve incluir controles como firewalls, obstculos do sistema operacional, qualquer ferramenta de deteco de intruso utilizada para monitorar o sistema, etc.

6.7.6

8.7.6

Sistemas disponveis publicamente

ISO 17799 Checklist 8

6.7.7

8.7.7

Outras formas de troca de informao

Se existe alguma poltica, procedimento ou controle ativo para proteger a troca de informaes atravs do uso de voz, facsimile e dispositivos de comunicao de vdeo. Se os empregados so lembrados de manter a confidencialidade de informaes sensveis enquanto usarem tais formas de troca de informao.

7 7.1

9 9.1

Controle de acesso Requisitos do negcio para controle de acesso

7.1.1

9.1.1

Poltica de controle de Se os requisitos do negcio para controle de acesso foram acesso definidos e documentados. Se a poltica de controle de acesso define as regras e direitos para cada usurio ou um grupo de usurios. Se os usurios ou provedores de servio receberam um documento contendo claramente os controles de acesso que satisfaam os requisitos do negcio.

7.2

9.2

Gerenciamento de acessos do usurio

7.2.1 7.2.2

9.2.1 9.2.2

Registro de usurio Gerenciamento de privilgios

7.2.3

9.2.3

Gerenciamento de senha dos usurios Anlise crtica dos direitos de acesso do usurio Uso de senhas Equipamentos de usurio sem monitorao

7.2.4

9.2.4

Se existe algum procedimento formal de registro e cancelamento de registro para garantir o acesso a todos os sistemas de informao e servios multiusurios. Se a concesso e o uso de quaisquer privilgios de um sistema de informao multiusurio restrito e controlado, por exemplo, se privilgios so concedidos pela necessidade do usurio, e somente depois de um processo de autorizao formal. Se os usurios so solicitados a assinar uma declarao a fim de manter a confidencialidade de sua senha pessoal. A concesso e alterao de senhas devem ser controladas por um processo de gerenciamento formal. Se existe um processo de reviso dos direitos de acesso do usurio em intervalos regulares. Exemplo: Reviso de privilgio especial a cada 3 meses, e de privilgios normais a cada 6 meses. Se existe alguma diretriz para guiar usurios na escolha e manuteno segura de senhas. Se usurios e prestadores de servio so avisados dos requisitos de segurana e procedimentos para proteger equipamentos sem monitorao, assim como suas responsabilidades para implementar tal proteo. Exemplo: Efetuar logoff quando a seo for finalizada, ou configurar logoff automtico. Se existe uma poltica que define preocupaes relacionadas a redes e a servios de rede, como: Partes de rede serem acessadas; Servios de autorizao para a determinao de quem tem acesso a que redes e a quais servios de rede; Procedimentos e controles de gerenciamento para proteger o acesso s conexes e servios de rede. Se existe algum controle que restringe a rota entre o terminal do usurio e o servio do computador que o usurio autorizado a acessar. Exemplo: Criao de uma rota forada para reduzir riscos. Se existe algum mecanismo de autenticao para conexes externas. Exemplos: Tcnicas baseadas em criptografia, dispositivos de tokens, protocolos de defafio/resposta, etc.

7.3

9.3

Responsabilidades do usurio

7.3.1 7.3.2

9.3.1 9.3.2

7.3

9.4

Controle de acesso rede

7.4.1

9.4.1

Poltica de utilizao dos servios de rede

7.4.2

9.4.2

Rota de rede obrigatria Autenticao para conexo externa do usurio

7.4.3

9.4.3

ISO 17799 Checklist 9

7.4.4

9.4.4

Autenticao de n

7.4.5 7.4.6

9.4.5 9.4.6

Proteo de portas de diagnstico remotas Segregao de redes

7.4.7

9.4.7

Controle de conexes de rede Controle de roteamento de rede

7.4.8

9.4.8

Se conexes a sistemas de computador remoto para fora do gerenciamento de segurana da organizao so autenticados. Autenticao de ns podem servir como meio alternativo de autenticao de grupos de usurios quando eles esto conectados a um recurso de computador seguro e compartilhado. Se acessos a portas de diagnstico so seguramente controladas, por exemplo, protegidas por um mecanismo de segurana. Se a rede (onde parceiros de negcio e/ou terceiros necessitam de acesso ao sistema de informao) segregada usando mecanismos de segurana de permetros como firewalls. Se existe algum controle de conexo de rede para redes compartilhadas que se estendem aos limites da organizao. Exemplo: Correio eletrnico, acesso a web, transferncias de arquivos, etc. Se existe algum controle de rede para assegurar que conexes de computador e fluxo de informaes no violam a poltica de controle de acesso das aplicaes de negcio. Isto sempre essencial para redes compartilhadas com usurios que no pertencem ao quadro da organizao (prestadores de servio). Se os controles de roteamento so baseados em fontes confiveis e mecanismos de checagem de endereos de destino. Exemplo: NAT (Network Address Translation). Se a organizao, utilizando servio de rede pblico ou privado, assegura uma descrio clara dos atributos de segurana de todos os servios disponibilizados. Se um mecanismo de identificao automtica de terminal utilizado para autenticar conexes. Se o acesso ao sistema de informao realizado atravs de um processo seguro de entrada no sistema. Convm que o procedimento de entrada no sistema de computador seja projetado para minimizar a oportunidade de acessos no autorizados. Se todos os usurios (incluindo o pessoal de suporte tcnico, como operadores, administradores de redes, programadores de sistema e administradores de rede) tenham um identificador nico. As contas genricas de usurio devem somente ser fornecidas sobre circunstncias excepcionais no qual h um benefcio de negcio claro. Controles adicionais devem ser necessrios para gerenciar as contas. Se o mtodo de autenticao utilizado confirma a identidade alegada pelo usurio. Mtodo comumente utilizado: Senhas somente conhecidas pelos usurios. Se existe um sistema de gerenciamento de senhas que refora vrios controles de senhas, como: Senha individual, refora alteraes de senha, gravar senha de forma criptografada, no mostrar senhas na tela, etc. Se programas utilitrios do sistema que vm junto com as instalaes do computador, que podem sobrepor os controles do sistema e aplicaes, so estritamente controlados.

7.4.9
7.5

9.4.9
9.5

Segurana dos servios de rede Identificao automtica de terminal Procedimentos de entrada no sistema (logon) Identificao e autenticao de usurio

Controle de acesso ao sistema operacional

7.5.1 7.5.2

9.5.1 9.5.2

7.5.3

9.5.3

7.5.4

9.5.4

Sistema de gerenciamento de senhas Uso de programas utilitrios

7.5.5

9.5.2

ISO 17799 Checklist 10

7.5.6

9.5.6

7.5.7 7.5.8

9.5.7 9.5.8

Alarme de intimidao para a salvaguarda de usurios Desconexo de terminal por inatividade Limitao do tempo de conexo

Se a proviso de um alarme de intimidao considerado para usurios que podem ser alvo de coao. Terminais inativos em reas pblicas devem ser configurados para limpar a tela ou desligar automaticamente aps um perodo predeterminado de inatividade. Se existe alguma restrio no tempo de conexo para aplicaes de alto risco. Este tipo de configurao pode ser considerada para aplicaes sensveis para as quais terminais so instalados em localizaes de alto risco. Se o acesso aplicao por vrios grupos ou pessoal dentro da organizao definido na poltica de controle de acesso como requisito de aplicao de negcio individual e consistente com a poltica de acesso a Informao da organizao. Se sistemas sensveis so isolados do ambiente de computao, como sendo executados em computadores dedicados, recursos compartilhados somente com sistemas de informaes confiveis, etc. Se trilhas de auditoria registrando as excees e outros eventos de segurana relevantes so produzidas e mantidas por um perodo de tempo acordado para auxiliar em investigaes futuras e na monitorao do controle de acesso. Se foram estabelecidos procedimentos para a monitorao do uso dos recursos de processamento da informao. Os procedimentos devem assegurar que os usurios esto executando apenas as atividades para as quais eles foram explicitamente autorizados. Se os resultados do monitoramento das atividades so revisados regularmente. Se os computadores ou dispositivos de comunicao tm a capacidade de operar com um relgio em tempo real, ele deve ser ajustado conforme o padro adotado, por exemplo, o tempo coordenado universal (Universal Coordinated time UCT) ou um padro local de tempo. O estabelecimento correto dos relgios dos computadores importante para garantir a exatido dos registros de auditoria. Se uma poltica formal foi adotada levando em conta os riscos de trabalhar com recursos de computao mvel, como notebooks, palmtops, etc., especialmente em ambientes desprotegidos. Se treinamentos foram preparados para o grupo de trabalho que utiliza a computao mvel, para aumentar o nvel de conscientizao a respeito dos riscos adicionais resultantes desta forma de trabalho e dos controles que devem ser implementados para aliviar os riscos.

7.6

9.6

Controle de acesso s aplicaes

7.6.1

9.6.1

Restrio de acesso informao

7.6.2

9.6.2

Isolamento de sistemas sensveis

7.7

9.7

Monitorao do uso e acesso ao sistema

7.7.1

9.7.1

Registro (log) de eventos Monitorao do uso do sistema

7.7.2

9.7.2

7.7.3

9.7.3

Sincronizao dos relgios

7.8

9.8

Computao mvel e trabalho remoto

7.8.1

9.8.1

Computao mvel

7.8.2

9.8.2

Trabalho remoto

Se existe alguma poltica, procedimento e/ou padro para controlar as atividades do trabalho remoto. Isto deve ser consistente com a poltica de segurana da informao. Se a proteo apropriada para o local do trabalho remoto foi implantada, para evitar o roubo de equipamentos e de informaes ou o uso imprprio destes recursos.

10

Desenvolvimento e manuteno de sistemas

ISO 17799 Checklist 11

8.1

10.1

Requisitos de segurana de sistemas

8.1.1

10.1.1

Anlise e especificao dos Requisitos de segurana

Se os requisitos de segurana esto incorporados como parte integrante da declarao dos requisitos do negcio para novos sistemas ou para melhorias dos sistemas existentes. Requisitos de segurana e controles identificados devem refletir o valor, para o negcio, dos ativos de informao envolvidos e o dano potencial ao negcio, que pode resultar da falha ou ausncia de segurana. Se a avaliao dos riscos foi completada antes de iniciar o desenvolvimento do sistema.

8.2

10.2

Segurana nos sistemas de aplicao

8.2.1

10.2.1

Validao de dados de Se os dados de entrada do sistema de aplicao so validados entrada para assegurar que esto corretos e so apropriados. Se os controles como: Diferentes tipos de dados de entrada para checar por mensagens de erro, procedimentos em resposta a erros de validao, definio das responsabilidades para todo o pessoal envolvido no processo de entrada de dados, etc., so considerados. Controle do Se reas de risco so identificadas no ciclo de processamento processamento interno e que checagens de validao foram includas. Em alguns casos, os dados que foram corretamente inseridos podem estar corrompidos, devido a erros de processamento ou a atos deliberados. Se controles apropriados so identificados para aplicaes para minimizar os riscos durante o processamento interno. Os controles iro depender naturalmente da aplicao e do impacto ao negcio de algum dado corrompido. Autenticao de Se uma avaliao dos riscos de segurana foi realizada para mensagem determinar se a autenticao de mensagens necessria; e para identificar o mtodo mais apropriado de sua implementao, se necessria. Autenticao de mensagem uma tcnica utilizada para detectar alteraes no autorizadas ou corrupo do contedo de mensagens eletrnicas transmitidas. Validao de dados de Se os dados de sada do sistema de aplicao so validados sada para assegurar que o processo de armazenamento da informao est correto e apropriado para as circunstncias.
Controles de criptografia

8.2.2

10.2.2

8.2.3

10.2.3

8.2.4
8.3

10.2.4
10.3

8.3.1

10.3.1

Poltica para o uso de controles de criptografia Criptografia

Se foi implantada uma poltica para o uso de controles de criptografia para a proteo da informao. Se foi realizada uma avaliao de risco para identificar qual o nvel de proteo da informao deve ser dado. Se tcnicas de criptografia foram utilizadas para proteger os dados. Se avaliaes foram realizadas para analisar a sensibilidade dos dados e o nvel de proteo necessria. Se assinaturas digitais foram utilizadas para proteger a autenticidade e integridade de documentos eletrnicos. Se servios de no repdio foram utilizados, onde eles devem ser necessrios para resolver disputas sobre ocorrncia ou no ocorrncia de um evento ou ao. Exemplo: Disputa envolvendo o uso de assinatura digital em um pagamento ou contrato eletrnico.

8.3.2

10.3.2

8.3.3 8.3.4

10.3.3 10.3.4

Assinatura digital Servios de no repdio

ISO 17799 Checklist

12

PDF to Word