Normas de ISO 50001 e ISO 27000, Notas de aula de Sistemas de Informação de Gestão

Baixe Normas de ISO 50001 e ISO 27000 e outras Notas de aula em PDF para Sistemas de Informação de Gestão, somente na Docsity!

• ISO
• Aula

EVOLUÇÃO DAS NORMAS

• 1995: publicada a primeira versão da BS 7799-1;
• 1998: publicada a primeira versão da BS 7799-2;
• 1999: publicada a revisão da BS 7799-1;
• 2000: publicada a primeira versão da Norma ISO/IEC 17799;
• 2001: publicada a primeira versão da norma no Brasil, NBR

ISO/IEC 17799;

• 2002: publicada revisão da norma BS 7799 parte 2;
• 2005: Agosto: publicada a segunda versão da norma no Brasil, NBR

ISO/IEC 17799;

• 2006: Publicada a norma no Brasil, NBR ISO/IEC 27001;
• 2007: Julho: alterado apenas o nome da norma NBR ISO/IEC 17799

para NBR ISO/IEC 27002

SISTEMA DE GESTÃO EM SEGURANÇA DA

INFORMAÇÃO

O sistema de Gestão em Segurança da Informação, ou Information

Security Management System (ISMS), é o resultado da aplicação do

planejada de:

• Objetivos,
• Diretrizes,
• Políticas,
• Procedimentos,
• Modelos, e
• Outras medidas administrativas.

Norma: ISO/IEC NBR 27001

Sistema de Gestão em Segurança da Informação (SGSI)

Considera:

• Os ativos que estão sendo protegidos;
• O gerenciamento de riscos;
• Os objetivos de controles e controles implementados

Norma: ISO/IEC NBR 27002

Objetivo

• Proteger as informações de diversos tipos de ameaças para:
• Garantir a continuidade dos negócios
• Minimizar os danos aos negócios
• Maximizar o retorno dos investimentos e as oportunidades de negócio.
• Caracterizada pela preservação da:
• CONFIDENCIALIDADE
• INTEGRIDADE
• DISPONIBILIDADE

CONTEÚDO

Objetivo

Termos e definições

Analise de Riscos

Política de Segurança

Segurança Organizacional

Gestão de Ativos

Segurança em Recursos Humanos

• Segurança Física e do Ambiente

CONTEÚDO

Gerenciamento de Operações e Comunicações

Controle de Acesso

Aquisição, desenvolvimento e manutenção de sistemas

Gestão de Incidentes de Segurança da Informação

Gestão da Continuidade de Negócios

• Conformidade

TERMOS E DEFINIÇÕES

• A norma não é um documento completo e deve ser vista como um ponto de

partida.

• Quanto a aplicação da NORMA na organização, talvez nem todos os controles e

recomendações possam ser aplicados, bem como alguns controles adicionais

possam ser necessários.

• As obrigações legais devem sempre ser consideradas.
• O profissional de segurança deve ter o conhecimento desses aspectos legais, já que

eles não são descritos na norma.

TERMOS E DEFINIÇÕES

Para que o processo da SEGURANÇA DA INFORMAÇÃO tenha sucesso é necessário:

Os regulamentos estejam alinhados com os objetivos de negócio

A forma de implementação seja coerente com a cultura organizacional

Exista o apoio verdadeiro da alta administração

As ações de treinamento e educação sejam permanentes e existam recursos

(financeiros, pessoas, tempo) para que o processo de segurança da

informação seja efetivo, isto é, eficiente e eficaz ao longo do tempo.

POLÍTICA DE SEGURANÇA DA

INFORMAÇÃO

Deve existir uma POLÍTICA DE SEGURANÇA DA INFORMAÇÃO, com o objetivo de

prover uma orientação e apoio para implementação das ações de proteção.

Essa política será explicitada através de um documento que deverá ser de

conhecimento de todos e deve estar alinhada aos requisitos de negócio.

SEGURANÇA ORGANIZACIONAL

Segurança no acesso de prestadores de serviços:

Manter a segurança de recursos de processamento e ativos da informação

acessados por prestadores de serviços

Requisitos de segurança nos contratos de prestadores de serviço:

Política geral sobre segurança da informação

Proteção dos ativos da organização

Acordo de nível de serviços

Direitos de propriedade intelectual e direitos autorais

Direito de monitorar, revogar acessos e auditar

SEGURANÇA EM RH

• Os funcionários, prestadores de serviço e outros tipos de usuários

precisam conhecer quais são as regras básicas da organização sobre esse

tema.

• Sendo assim, desde antes da contratação de pessoas, deve existir uma

preocupação com o recursos humanos que se está contratando.

• A saída desse recurso humano da organização também deve ser feita e

forma organizada, possibilitando que as informações da organização

continuem protegidas.

SEGURANÇA FÍSICA E DO AMBIENTE

Os ambientes físicos onde estão os recursos(ativos) de informação devem ser

protegidos contra ameaças que podem danificar esses recursos e prejudicar a

utilização da informação para o negócio.