Artigo SEGURANÇA DIGITAL 9ª EDIÇÃO - Campanha de Conscientização

  • 202 views
Uploaded on

Artigo publicado na 9ª Edição da Revista Segurança Digital sobre Campanhas de Conscientização em Segurança da Informação, apresentando a importância da implementação de um processo contínuo de …

Artigo publicado na 9ª Edição da Revista Segurança Digital sobre Campanhas de Conscientização em Segurança da Informação, apresentando a importância da implementação de um processo contínuo de Conscientização, Educação e Treinamento nas organizações, como uma ferramenta importante a ser utilizada nas estratégias e planos de segurança da informação.

More in: Technology
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
    Be the first to like this
No Downloads

Views

Total Views
202
On Slideshare
0
From Embeds
0
Number of Embeds
0

Actions

Shares
Downloads
4
Comments
0
Likes
0

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. Campanha De Conscientização Introdução Quando se fala de Segurança da Informação, se há um fato que pode ser considerado consenso entre todas as vertentes que discutem o assunto, tal fato refere-se às pessoas: são e sempre serão o elo mais fraco da corrente. Seja pela ingenuidade, falta de conhecimento ou mesmo desinteresse pelo tema, as pessoas representam um vetor de vulnerabilidades contra o qual não existe tecnologia que seja capaz de impedir que ameaças se concretizem ao explorar essas vulnerabilidades: firewalls de nova geração, IPS/IDS, criptografia, etc., todas essas tecnologias tornam-se ineficazes quando um usuário mantém sua senha anotada em um post-it embaixo do teclado. Como tratar essa questão? O que as organizações podem fazer para manterem os seus ativos de informação em segurança, uma vez que as pessoas estão diretamente relacionadas e fazem parte de seus processos? A resposta pode ser dada através de Campanhas de Conscientização em Segurança da Informação, que tem se mostrado a alternativa mais eficaz para lidar com a variável pessoas na equação da segurança da informação. responsabilidades e habilidades da pessoa que esteja recebendo o treinamento. Ainda de acordo com a norma, outro ponto a ser destacado nos treinamentos são orientações sobre incidentes de segurança da informação, com exemplos do que poderia ocorrer, como responder a tais incidentes, quais os canais adequados para relatar os incidentes e como evitá-los futuramente. Processo Contínuo Melhores Práticas A norma internacional ISO/IEC 27002 na sua seção 8.2.2, intitulada Conscientização, educação e treinamento em segurança da informação, traz uma série de recomendações, onde coloca como o objetivo central a ser alcançado, um nível de conscientização, educação e treinamento nos procedimentos de segurança da informação e no uso correto dos recursos de processamento da informação, a ser fornecido para funcionários, e onde seja pertinente, também para fornecedores e terceiros, para minimizar possíveis riscos de segurança da informação. Dentre essas recomendações, a norma cita a adoção de um processo formal para informar sobre as políticas e expectativas de segurança da informação da organização, responsabilidades legais e conhecimento de ameaças, todos adequados e relevantes para os papéis, |32 O ideal é que a realização de campanhas de conscientização de segurança da informação seja um processo formal instituído e contínuo dentro da organização. Para isso, é preciso o apoio da Alta Gerência, através da demonstração clara que a conscientização das pessoas é um fator crítico para o sucesso de todo plano de segurança da informação. Basta lembrar que ainda que exista um arsenal de tecnologias de proteção, se as pessoas não forem devidamente conscientizadas e sensibilizadas, a organização continuará exposta a uma grande quantidade de ameaças que elevam o risco e a possibilidade da ocorrência de incidentes graves de segurança da informação. Uma vez que se tenha conseguido o apoio da Alta Gerência, outras áreas da organização também terão um papel fundamental para o sucesso das campanhas, a se destacar o Departamento de Recursos Humanos e Dezembro 2012 • segurancadigital.info
  • 2. ARTIGO Segurança Digital de Comunicação, que deverão ser envolvidas e mostraram-se comprometidas com os objetivos propostos. A implementação de uma campanha de conscientização em uma organização que a esteja realizando pela primeira vez, poderá ser planejada a partir do histórico de ocorrências de incidentes de segurança da informação e através de pesquisas de conhecimento. Com esses recursos será possível definir quais são os pontos críticos a serem trabalhados, tanto pelas falhas que foram exploradas, quanto pelas deficiências de conhecimento e comportamento identificadas. Para as organizações que já possuem experiência na realização de campanhas, os objetivos que foram trabalhados, assim como os resultados alcançados, poderão auxiliar no desenvolvimento de uma nova campanha. Para cada campanha a ser realizada, algumas questões de grande importância precisam ser respondidas previamente para que o plano de marketing seja eficaz: • Qual é o público alvo? Exemplo: Executivos, gerentes, colaboradores de forma geral. • Quais os meios de comunicação serão utilizados? Exemplo: Cartazes, panfletos, palestras, workshops, newsletters, intranet, etc. Com o público alvo e os meios de comunicação tendo sido definidos, as estratégias a serem definidas deverão ser distribuídas em três níveis: • Conscientização: Porque fazer. Mostrar as pessoas quais serão os benefícios a serem alcançados com as mudanças propostas. Para aceitação e adesão aos princípios da segurança da informação, é importante que as pessoas estejam conscientes do seu papel e como podem contribuir para a organização. Mostrar também quais seriam os possíveis malefícios da não adesão também contribui para alcançar esse objetivo. • Educação: O que e quando fazer. Mostrar claramente às pessoas “o que fazer” em uma determinada situação, o que significa em esclarecer “o quando” também. Uma vez que as pessoas saibam o que deve ser feito, tendem a não serem afetadas por fatores como medo, apreensão ou ansiedade. • Treinamento: Como fazer. Quais as técnicas e ferramentas estão disponíveis e como utilizá-las para enfrentar uma situação específica. O treinamento tornará sólido todo o conhecimento apresentado na conscientização e educação, enraizando esse conhecimento dentro de cada um dos atores envolvidos no processo. Para que uma campanha de conscientização apre- |33 sente resultados positivos ao longo do tempo, é preciso ter em mente que sendo um processo, deverá ser executada em períodos que podem variar de seis meses a um ano, dependendo da organização. Treinamentos introdutórios e específicos para novos funcionários que não tenham sido atingidos pela campanha também são de suma importância, e devem ser empregados não só para apresentar as políticas da organização como também o comportamento esperado do funcionário em relação à segurança da informação. Conclusão Campanhas de conscientização de segurança da informação são uma ferramenta importante para os Gestores de Segurança da Informação, e devem sempre fazer parte das suas estratégias e plano de segurança da informação. A prática tem demonstrado que os resultados alcançados com sua realização são sempre positivos. Na realização de qualquer campanha, é importante observar que, para despertar o interesse e participação de todos os funcionários, devem ser utilizados temas que além de atenderem às necessidades da organização, também possam agregar valor à vida pessoal de cada funcionário, como vírus eletrônicos, usos do e-mail e controle de spam, senhas, mídias sociais, dentre outros. Referências Bibliográficas ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27002: Tecnologia da informação – Técnicas de segurança – Código de prática para a gestão da segurança da informação. Rio de Janeiro, 2005. Marcelo Veloso MBA em Gestão de Segurança da Informação pela Universidade FUMEC, Bacharel em Sistemas de Informação pela Universidade PUC Minas, com 18 anos de experiência em TIC, atuando na área de infraestrutura e ocupando cargos de coordenação e gestão. Certificações: MCSA, MCITP, MCTS, MCDST, MCP, ITIL Foundation, ISO/IEC 27002, Cloud Computing Foundation e CCSK. Atualmente é Assessor na SEPLAG/MG, coordenando projetos de Segurança da Informação no âmbito da Cidade Administrativa de Minas Gerais. Email: marcelo.veloso@outlook.com Site: http://mvsecurity.wordpress.com Twitter: @MVSecurityBR Dezembro 2012 • segurancadigital.info