1670 mpog enap conhe espec i cargo 12 anali em ti mpoge intensivao 7-16

7/26/2019 1670 Mpog Enap Conhe Espec i Cargo 12 Anali Em Ti Mpoge Intensivao 7-16

http://slidepdf.com/reader/full/1670-mpog-enap-conhe-espec-i-cargo-12-anali-em-ti-mpoge-intensivao-7-16 1/50

30/07/2015

1

1Prof. Leonardo Rangel MPOG – 2015

MPOG 2015


•A sua adoção serve para que as

organizações tenham um modelo.

Informações iniciais:

ISO 27001



30/07/2015

2


•É um modelo holístico.


ISO 27001


•É independente de fabricantes.


ISO 27001



30/07/2015

3


•É qualquer atividade que faz uso de

recursos.

Processo:

ISO 27001


•É aplicação de um sistema de processos

dentro de uma organização.

•Finalidade:

Abordagem de Processo:

ISO 27001



30/07/2015

4



ISO 27001



ISO 27001



30/07/2015

5


•Os requisitos utilizados são genéricos.

Aplicação:

ISO 27001


•Critérios de aceitação de riscos.

•Evidências de aceitação dos riscos.

Aplicação:

ISO 27001



30/07/2015

6


•Ativo:

•Segurança da informação:

•Evento de segurança da informação:

Termos e definições:

ISO 27001


•Incidente de segurança da informação:

•Sistema de gestão da segurança dainformação SGSI:

•Risco residual:


ISO 27001



30/07/2015

7


•Aceitação do risco:

•Análise de riscos:

•Análise/avaliação de riscos:


ISO 27001


•Avaliação de riscos:

•Gestão de riscos:

•Tratamento do risco:

• Declaração de aplicabilidade:


ISO 27001



30/07/2015

8


•O sistema de gestão inclui...

•A gestão de riscos geralmente inclui...

Observações importantes:

ISO 27001


•Os objetivos de controle e controles

estão baseados:


ISO 27001



30/07/2015

9


A organização deve:

Estabelecendo e gerenciando o SGSI:

ISO 27001


•Registros de decisões da direção.

•Uma forma de:

A documentação do SGSI deve incluir:

ISO 27001



30/07/2015

10


•Procedimentos documentados

requeridos pela organização para

assegurar:


ISO 27001



•Procedimento documentado é igual a ...

•A abrangência da documentação do SGSI

varia de acordo com:


ISO 27001



30/07/2015

11


Observações importantes: (Cont.)

•Documentos e registros podem estar

em...

•São exemplos de registros:


ISO 27001


•A ISO 27002 estabelece diretrizes e

princípios gerais.


ISO 27002



30/07/2015

12


•Os objetivos de controle e os controles

tem como finalidade:


ISO 27002


•Pode servir como um guia prático.


ISO 27002



30/07/2015

13


•Definir, alcançar, manter e melhorar a

segurança da informação podem ser

atividades essenciais para assegurar:

Por que a segurança da informação anecessária?

ISO 27002


•As organizações, seus sistemas de

informação e redes de computadores sãoexpostos a diversos tipos de ameaças a

segurança da informação, incluindo:


ISO 27002



30/07/2015

14


•A identificação de controles.

• A gestão da segurança da informaçãorequer ...


ISO 27002


Principais de requisitos - 1ª FONTE:

•Análise/avaliação de riscos.

Como estabelecer requisitos desegurança da informação:

ISO 27002



30/07/2015

15



•Legislação vigente.


ISO 27002



•

Conjunto particular de princípios.


ISO 27002



30/07/2015

16


o Convém que controles apropriados

sejam selecionados e implementados.

Seleção de controles:

ISO 27002


•A seleção de controles depende das

decisões da organização.

Seleção de controles:

ISO 27002



30/07/2015

17


•Estes controles são baseados tanto em ...

Ponto de partida para a segurança dainformação:

ISO 27002


•Os controles considerados essenciais,incluem:


ISO 27002



30/07/2015

18


•Os controles considerados práticas incluem:


ISO 27002


a) política de segurança da informação,

objetivos e atividades;

b) uma abordagem e uma estrutura para a

implementação, manutenção, monitoramento

e melhoria da segurança da informação;

Fatores críticos de sucesso:

ISO 27002



30/07/2015

19


c) comprometimento e apoio visível;

d) um bom entendimento dos requisitos

de segurança da informação;


ISO 27002


e) divulgação eficiente;

f) distribuição de diretrizes e normas;


ISO 27002



30/07/2015

20


g) provisão de recursos financeiros;

h) provisão de conscientização;


ISO 27002


i) estabelecimento de um eficiente processo;

j) implementação de um sistema de medição.


ISO 27002



30/07/2015

21


Controle:

Diretriz:

Recursos de processamento da

informação:


ISO 27002


Evento de segurança da informação:

Política:

Análise de riscos:


ISO 27002



30/07/2015

22


Avaliação de riscos:

Gestão de riscos:

Tratamento do risco:


ISO 27002


Terceira parte:

Vulnerabilidade:


ISO 27002



30/07/2015

23


•Riscos podem ser aceitos se ...

Tratando os riscos:

ISO 27002


•Convém que tais decisões sejam

registradas.

Tratando os riscos:

ISO 27002



30/07/2015

24


Possíveis opções, incluem:

Tratando os riscos:

ISO 27002


•Convém que seja aprovado pela direção.

•Convém que declare o comprometimento

da direção.

Documento da política de seg info:

ISO 27002



30/07/2015

25


Convém que o documento da política

deve contenha declarações relativas a:


ISO 27002


Convém que o documento da política deve

contenha declarações relativas a:

•Breve explanação das políticas, princípios,

normas e requisitos de conformidade de

segurança da informação específicos para a

organização, incluindo:


ISO 27002



30/07/2015

26



deve contenha declarações relativas a:

•Definição das responsabilidades gerais e

específicas;


ISO 27002



deve contenha declarações relativas a:•Referências à documentação que possam

apoiar a política.


ISO 27002



30/07/2015

27


•Esta política de segurança da informação

deve ser comunicada.


ISO 27002


•Se a política de segurança da informação

for distribuída fora da organização:


ISO 27002



30/07/2015

28


Controle - Convém que:

•As atividades de segurança da informaçãosejam coordenadas por ...

Coordenação da seg. da informação:

ISO 27002


Diretrizes de implementação - Convém

que: •A coordenação dessas atividades

envolva a cooperação e colaboração.


ISO 27002



30/07/2015

29


Convém que esta atividade:


ISO 27002



•Sejam mantidos contatos apropriadoscom grupos de interesses especiais.

Contato com grupos especiais:

ISO 27002



30/07/2015

30


Diretrizes de implementação - Convémque:

•Seja considerado de forma a:


ISO 27002


Informações adicionais:

•Acordos de compartilhamento de

informações podem ser estabelecidos.


ISO 27002



30/07/2015

31



Inventário dos ativos:

ISO 27002


Diretrizes para implementação - Convém que:


ISO 27002



30/07/2015

32


Tipos de ativos:

a) ativos de informação:

b) ativos de software:

c) ativos físicos:


ISO 27002


Tipos de ativos:

d) serviços:

e) pessoas:

f) intangíveis.


ISO 27002



30/07/2015

33


•Objetivo:

Responsabilidade pelos ativos:

ISO 27002


Convém que:

Responsabilidade pelos ativos:

ISO 27002



30/07/2015

34



•Todos os funcionários da organização e,onde pertinente, fornecedores e terceirosrecebam:

Conscientização, educação e treina-mento em segurança da informação:

ISO 27002



•O treinamento em conscientização comececom um processo formal .


ISO 27002



30/07/2015

35



•Convém que a conscientização, educação etreinamento nas atividades de segurança dainformação sejam adequados.


ISO 27002



•O treinamento visa ...


ISO 27002



30/07/2015

36


Áreas seguras:

•Objetivo:

Segurança física e do ambiente:

ISO 27002


Perímetro de segurança física:

•Controle - Convém que:

o Sejam utilizados perímetros de segurança.


ISO 27002



30/07/2015

37


Controles de entrada física:

•Controle - Convém que:

o As áreas seguras sejam protegidas.


ISO 27002


Objetivo:

•Impedir perdas, danos, furto ou roubo.

Segurança de equipamentos:

ISO 27002



30/07/2015

38



•O cabeamento seja protegido contrainterceptação ou danos.

Segurança do cabeamento:

ISO 27002



•Os equipamentos tenham umamanutenção correta.

Manutenção dos equipamentos:

ISO 27002



30/07/2015

39



•Sejam tomadas medidas de segurançapara equipamentos que operem fora dolocal.

Segurança de equipamentos fora dasdependências da organização:

ISO 27002



•A utilização de quaisquerequipamentos de processamento deinformações fora das dependências daorganização seja autorizada.

Segurança de equipamentos fora dasdependências da organização:

ISO 27002



30/07/2015

40



•Todos os equipamentos quecontenham mídias de armazenamentode dados sejam examinados antes dodescarte.

Reutilização e alienação segura deequipamentos:

ISO 27002



•Os dispositivos que contenhaminformações sensíveis sejamdestruídos fisicamente.

Reutilização e alienação segura deequipamentos:

ISO 27002



30/07/2015

41


Controle - Convém que não sejam retiradosdo local sem autorização prévia:

Remoção de propriedade:

ISO 27002


Diretrizes para implementação:

Remoção de propriedade:

ISO 27002



30/07/2015

42


Procedimentos e responsabilidadesoperacionais

Objetivo:

Gerenciamento das oper. e comunic.:

ISO 27002


Procedimentos e responsabilidadesoperacionais

Convém que:

ISO 27002




30/07/2015

43


Documentação dos procedimentos deoperação:


ISO 27002



Documentação dos procedimentos deoperação:


ISO 27002




30/07/2015

44


Gestão de mudanças:


ISO 27002





ISO 27002




30/07/2015

45




•O controle inadequado ...

ISO 27002




ISO 27002

Aceitação de sistemas:



30/07/2015

46



•Os gestores garantam que osrequisitos e critérios para aceitação denovos sistemas estejam claramente:

o Definidos. o

Acordados. o Documentados. o Testados.

ISO 27002




•Os seguintes itens sejamconsiderados antes que a aceitaçãoformal seja emitida:

ISO 27002




30/07/2015

47


Objetivo:

ISO 27002

Troca de informações:


Convém que:

ISO 27002

Troca de informações:



30/07/2015

48



ISO 27002

Mídias em trânsito:


Diretrizes para implementação de proteçãodas mídias transportadas - Convém que:

ISO 27002

Mídias em trânsito:



30/07/2015

49


Objetivo:

ISO 27002

Serviços de comércio eletrônico:


Convém que:

ISO 27002

Serviços de comércio eletrônico:



30/07/2015


Controle:

Convém que informações de transações on-line sejam protegidas para prevenir:

ISO 27002

Transações on-line:

Diretrizes para implementação:

Convém que as considerações de segurança

para transações on-line incluam:

ISO 27002

Transações on-line:

1670 mpog enap conhe espec i cargo 12 anali em ti mpoge intensivao 7-16

Documents