Políticas e processos de segurança são a espinha dorsal de qualquer programa de segurança da informação. Eles estabelecem as diretrizes, responsabilidades e ações necessárias para proteger os ativos de informação de uma organização contra ameaças internas e externas. Nesta aula, exploraremos os conceitos de políticas de segurança, procedimentos, governança e auditoria, mostrando como cada um contribui para um ambiente seguro e em conformidade com as melhores práticas e regulamentações.

Entender a diferença entre política, procedimento, governança e auditoria é fundamental para implementar um programa de segurança eficaz. Enquanto as políticas definem o "o quê" e o "por quê", os procedimentos detalham o "como". A governança assegura que as decisões de segurança estejam alinhadas aos objetivos de negócio, e a auditoria verifica se as práticas estão sendo seguidas e são eficazes.

Políticas de segurança

Uma política de segurança é um documento de alto nível que estabelece os princípios, diretrizes e responsabilidades para proteger a informação da organização. Ela deve ser aprovada pela alta administração e comunicada a todos os colaboradores. A política define o compromisso da organização com a segurança, os objetivos a serem alcançados e as consequências do não cumprimento.

Existem diversos tipos de políticas, como a política geral de segurança da informação, políticas específicas para uso aceitável de recursos, controle de acesso, classificação da informação, gestão de incidentes, entre outras. Cada uma deve ser clara, concisa e atualizada periodicamente. Por exemplo, uma política de uso aceitável pode proibir o acesso a sites não relacionados ao trabalho ou o compartilhamento de senhas.

Exemplo de trecho de uma Política de Segurança da Informação:

"3.1 Todo colaborador deve proteger a confidencialidade, integridade e disponibilidade das informações da empresa.
3.2 O acesso a sistemas e dados deve ser baseado no princípio do menor privilégio.
3.3 Qualquer suspeita de violação de segurança deve ser reportada imediatamente ao time de segurança."

Procedimentos

Procedimentos são instruções detalhadas passo a passo sobre como realizar tarefas específicas de segurança. Eles operacionalizam as políticas, fornecendo orientação prática para os colaboradores. Exemplos incluem procedimentos para criação de contas de usuário, backup de dados, resposta a incidentes, e manutenção de sistemas.

Um bom procedimento deve ser claro, testado e documentado. Ele deve incluir responsáveis, ferramentas necessárias, etapas sequenciais e critérios de conclusão. A atualização regular é essencial para refletir mudanças no ambiente tecnológico ou nos requisitos de negócio. Por exemplo, um procedimento de resposta a incidentes pode descrever como identificar, conter, erradicar e recuperar-se de um ataque de ransomware.

Exemplo de Procedimento de Backup:

1. Identificar os dados críticos a serem copiados.
2. Agendar backup diário às 23h.
3. Utilizar software XYZ para realizar cópia incremental.
4. Armazenar mídia em cofre à prova de fogo.
5. Testar restauração semanalmente.

Governança

Governança de segurança da informação é o sistema pelo qual a organização dirige e controla as atividades de segurança, alinhando-as aos objetivos estratégicos. Envolve a definição de papéis e responsabilidades, comitês de segurança, métricas de desempenho e processos de tomada de decisão. A governança garante que os investimentos em segurança sejam direcionados adequadamente e que haja prestação de contas.

Um framework comum de governança é o COBIT (Control Objectives for Information and Related Technologies), que fornece um conjunto de práticas para o gerenciamento de TI. Outros padrões como ISO 27001 e NIST também oferecem diretrizes para governança. A governança eficaz requer a participação da alta direção, com reuniões periódicas para revisar riscos, incidentes e conformidade.

Exemplo de Estrutura de Governança:

- Conselho de Administração: aprova política e orçamento.
- Comitê de Segurança: revisa riscos e incidentes mensalmente.
- CISO: responsável pela implementação.
- Gestores de área: garantem conformidade em suas equipes.

Auditoria

Auditoria de segurança é o processo sistemático de avaliar a eficácia das políticas, procedimentos e controles de segurança. Pode ser interna (realizada pela própria organização) ou externa (por entidades independentes). O objetivo é identificar vulnerabilidades, não conformidades e oportunidades de melhoria, fornecendo recomendações para correção.

A auditoria segue um ciclo: planejamento, execução, relatório e acompanhamento. Durante a execução, são coletadas evidências por meio de entrevistas, análise de documentos, testes técnicos e observação. Os resultados são documentados em um relatório de auditoria, que inclui achados, riscos e ações corretivas. Normas como ISO 27001 exigem auditorias internas regulares para manutenção da certificação.

Exemplo de Checklist de Auditoria:

1. Verificar se a política de segurança está aprovada e comunicada.
2. Revisar logs de acesso a sistemas críticos.
3. Testar a eficácia do controle de acesso físico.
4. Confirmar que backups são realizados conforme procedimento.
5. Entrevistar colaboradores sobre conscientização.

Referências

Exercícios

  1. Explique a diferença entre política de segurança e procedimento de segurança. Dê um exemplo de cada.

    ✓ Resposta: Política de segurança define diretrizes gerais (ex.: "todos os dados devem ser criptografados em repouso"). Procedimento detalha como implementar (ex.: "usar BitLocker para criptografar discos rígidos").
  2. Quais são os principais elementos de uma política de segurança da informação?

    ✓ Resposta: Escopo, objetivos, princípios (confidencialidade, integridade, disponibilidade), papéis e responsabilidades, conformidade com leis, consequências do descumprimento, revisão periódica.
  3. Descreva o papel da governança de segurança e cite um framework utilizado.

    ✓ Resposta: A governança garante que a segurança esteja alinhada aos objetivos de negócio, com definição de papéis, métricas e tomada de decisão. Exemplo de framework: COBIT (Control Objectives for Information and Related Technologies).
  4. Quais são as etapas de uma auditoria de segurança?

    ✓ Resposta: Planejamento (definição de escopo e objetivos), execução (coleta de evidências), relatório (documentação de achados e recomendações), acompanhamento (verificação de ações corretivas).
  5. Diferencie auditoria interna de auditoria externa.

    ✓ Resposta: Auditoria interna é realizada por funcionários da organização para melhoria contínua; auditoria externa é feita por entidade independente para certificação ou conformidade (ex.: ISO 27001).

Boas Práticas

Para garantir a eficácia das políticas e processos, recomenda-se: envolver a alta direção na aprovação; manter documentos atualizados e acessíveis; realizar treinamentos periódicos; estabelecer métricas para monitorar conformidade; e integrar segurança aos processos de negócio desde o início. A melhoria contínua, baseada em auditorias e feedback, é essencial para adaptar-se a novas ameaças.