Planejamento segurança da informação

Planejando a Segurança da Informação
Marco Túlio Moraes
www.marcomoraes.com.br

Agenda
Introdução à Segurança da Informação
Status da Empresa
Propostas
Conclusão
2

Incidentes de Segurança
3

Impactossemelhantes, formasdiferentes
Fonte:Adaptado de Information Security Governance, Todd Fitzgerald, 2008
4

O que há de comum nesses incidentes?
Dificuldade de Ataques baseado na % de brechas e registros
85% dos ataques não foram considerados difíceis
96% dos vazamentos seriam evitados por controles simples ou intermediários
Alta
Moderada
Baixa
Nenhuma
Fonte: Adaptado de Data BreachInvestigationReport, US Secret Service & Verizon (2010)

Segurança da Informação
Quais informações confidenciais precisam ser protegidas de vazamento?
Quais serviçosnão podem estar indisponíveis?
Quais processos precisam ser confiáveis (íntegros e autênticos) ?
Confidencialidade Integridade Disponibilidade
6

Sobre as informações…
Onde estão as informações confidenciais?
Onde elas estão indo?
Quem deve utilizá-las?
Como protegê-las?
Quais são os impactos nos negócios?
Quanto custará protegê-la?
7

Ameaças
Competidores
Parceiros de Negócios(fornecedores, outsourcers, consultores)
Clientes
Funcionários
(remotos e móveis)
Criminosos
“Hackers”
Cybercrime
Digital Business
-------F-R-O-N-T-E-I-R-A---D-A---R-E-D-E---C-O-R-P-O-R-A-T-I-V-A
Contratados
Temporários
Visitantes
Funcionários
Informações Sensíveis
FONTE: Adapatado de FORRESTER RESEARCH
8

Ameaças à Informação
Fonte: Adaptado de Whitman, 2003
9

Gerenciamento de Risco
Gestão de riscos
10

Gestão de Riscos
11

Ativos
Documentação
Designs; Relatórios; Acordos; Contratos; Procedimentos; Planos; Descrições de Processos; Minutas; Registros; Eventos (Incidentes, Problemas, Registros de mudanças; Propostas; Cotações
Dados
O que, Onde, mais importante
Ambiente
Acomodações; Luz, temperatura, Energia; Serviços úteis (Eletricidade, Água, Internet, Bombeiros); Equipamentos de Escritório, Móveis; Planta, Máquinas
Pessoas
Usuários, Clientes, equipe, Quem, Onde, habilidades, características, experiência, regras
Serviços
Suporte de Desktop,
E-mail, Service Desk, Folha de pagamento, Finanças, Suporte de Produção
Hardware
Computadores, Componentes de Computadores e de Rede, Cabos (LAN, WAN), Telefones, Switches
Software
Network Systems; In-house applications; O/S; Utilities (scheduling, B/R); Packages; Office systems; Web Management
12

Risco Total
13
Risco residual (Aceito)

Risco Residual
14

Impactos
Danos à imagem e reputação da empresa
Suscetibilidade à fraudes
Roubo e Vazamento de Informações e de Propriedade Intelectual
Interrupção na operação da empresa
Perda na qualidade dos serviços prestados
Violação de Direitos autorais e de propriedade intelectual
Violação de leis e regulamentos
Tornar-se vetor de crimes e malfeitorias
15

Conclusões:
Prejuízo financeiro
Perda de competitividade
Perda de Credibilidade
Impacto legal
Perda de Clientes
16

Atividades de Segurança da Informação
Atividades operacionais
Atividades estratégicas
17

Preocupações
Existem informações confidenciais saindo da empresa hoje?
Quanto custam as paradas “não programadas”?
Existem leis e regulamentações sendo violadas no momento?
Há monitoração das tentativas de modificações indevidas em informações?
18

MaiorSegurança
inicial
MenorSegurança
NOTA: Definir onde a empresa deve chegar
otimizado
Mercado
Gerenciado e
medido
definido
Mínimo Necessário
Intuitivo
Empresa
NOTA: Entender onde a empresa se encontra

Status da Empresa
20
NOTA: Mostrar o Status do Assessment baseado na ISO

Até onde iremos?
Compliance
Controle de ativos
Gestão da
Continuidade dos
Negócios
Melhoria Contínua
Controle de
Acessos
Gestão de Riscos
Política de Segurança
Antivirus
VPN
Proxy
firewalls
21

NecessidadesProjetosOportunidades
22

1. Análise de Impacto nos negócios
Listar processos de negócio
Categorizá-los (críticos, importantes, não críticos)
Mapear árvore de dependência entre eles
Estimar impactos para cada processo parado
Estimar custos de identificação, correção e recuperação
Definir tempo máximo aceitável de paradas em processos
23

2. Classificar e controlar os ativos da informação
24

25
Processo Crítico
Dados
Dados
Ambiente
Ambiente
Documentação
Documentação
Pessoas
Pessoas
Processos de Negócio
Hardware
Hardware
Serviços
Serviços
Software
Software

2. Classificar e controlar os ativos da informação
Inventariá-los
Conhecer o seu valor
Qual ativo é mais crítico para a empresa?
Qual ativo é essencial para a geração de lucro?
Que ativo custa mais para proteger?
Controlar o acesso
Quem é o responsável por ele?
Quem possui acesso?
“Linká-los” aos processos de negócios que eles suportam
26

3. Gerir Riscos
Mapear vulnerabilidades, ameaças e impactos a cada ativo da informação
Identificar, analisar e priorizar riscos
Definir ações (controlar, mitigar, transferir, aceitar)
Registrar riscos aceitados, controlados e eliminados
Monitorar os riscos
27

A partir da Gestão de Riscos...
28
Projeto 1
Gestão de riscos
Riscos Inaceitáveis
Projeto 2
Projeto 3
Riscos Aceitáveis

Projetos

29

Maior
Benefíciosparaosnegócios
Menor
Maior
Complexidade
4
3
2
1.
** O tamanho da bolha é um indicativo de custo
Fonte: Adaptado de ISACA (2010)

Planejando a Segurança da Informação
Marco Túlio Moraes
www.marcomoraes.com.br

http://www.marcomoraes.com.br	640
http://blog.marcomoraes.com.br	13
url_unknown	5
http://translate.googleusercontent.com	2
http://cc.bingj.com	2
http://www.slideshare.net	1
http://webcache.googleusercontent.com	1

Planejamento segurança da informação

by Marco Túlio Oliveira de Moraes on Jul 02, 2011

Accessibility

Categories

Tags

Upload Details

Usage Rights

7 Embeds 664

Statistics

Planejamento segurança da informação — Presentation Transcript