Seu navegador não oferece leitura em voz alta. Você pode ler o guia normalmente.
A família ISO/IEC 27000 reúne as normas internacionais de segurança da informação. Em provas, o que costuma cair é o papel de cada norma, a lógica do sistema de gestão (SGSI) e a gestão de riscos. Este guia fica em alto nível de propósito: o texto das normas é protegido e suas edições mudam, então não se reproduzem listas de controles nem números de cláusulas que o candidato deva decorar sem consultar a bibliografia do edital.
Segurança da informação: os atributos protegidos
A base é a tríade, às vezes ampliada:
| Atributo | Significado | Exemplo de violação |
|---|---|---|
| Confidencialidade | só quem tem autorização acessa | vazamento de documento sigiloso |
| Integridade | a informação não é alterada indevidamente | alteração de um registro sem autorização |
| Disponibilidade | a informação está acessível quando necessária | sistema fora do ar por ataque |
| Autenticidade (frequente na ampliação) | a origem é quem diz ser | e-mail falso se passando por servidor |
| Não repúdio (também citado) | o autor não pode negar o ato | assinatura digital |
O papel de cada norma da família
| Norma | Em uma frase |
|---|---|
| ISO/IEC 27000 | visão geral e vocabulário |
| ISO/IEC 27001 | requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI; certificável |
| ISO/IEC 27002 | código de prática: orientações e controles de segurança; não é certificável, serve de guia de implementação |
| ISO/IEC 27005 | diretrizes de gestão de riscos de segurança da informação |
| ISO/IEC 27701 | extensão para gestão de privacidade, relacionada à proteção de dados pessoais |
Resumo que resolve muita questão: a 27001 diz o que o sistema de gestão precisa ter (e é auditada para certificação); a 27002 explica como implementar controles (e funciona como guia). Uma organização se certifica na 27001, não na 27002.
O que é um SGSI
O Sistema de Gestão de Segurança da Informação é o conjunto de políticas, processos, papéis e controles que a organização usa para gerir a segurança da informação de forma sistemática e contínua, a partir dos riscos que enfrenta. Não é um produto nem um software: é um sistema de gestão.
Estrutura da 27001
As normas de sistemas de gestão da ISO compartilham uma estrutura comum. Em linhas gerais, a norma trata de: contexto da organização e partes interessadas; liderança e comprometimento da alta direção; planejamento (inclusive riscos e oportunidades); apoio (recursos, competência, comunicação, informação documentada); operação; avaliação do desempenho (monitoramento, auditoria interna, análise crítica pela direção); e melhoria (ações corretivas e melhoria contínua). Um anexo da norma lista controles de referência, que a organização seleciona conforme seus riscos e justifica numa declaração de aplicabilidade. A organização do anexo mudou entre edições (de domínios para temas); confira a edição adotada.
Ideias importantes:
- A alta direção lidera. Segurança da informação não é “assunto só da TI”.
- Os controles decorrem dos riscos, não de uma lista fixa: a organização escolhe e justifica.
- Informação documentada (políticas, registros) é exigida como evidência.
- Auditoria interna e análise crítica fazem parte do ciclo.
Ciclo PDCA
O sistema de gestão segue a lógica de melhoria contínua:
| Fase | Significado | No SGSI |
|---|---|---|
| Plan (planejar) | definir objetivos e processos | escopo, política, avaliação e tratamento de riscos |
| Do (fazer) | executar | implementar os controles e o plano de tratamento |
| Check (verificar) | monitorar e medir | indicadores, auditorias, análise crítica |
| Act (agir) | corrigir e melhorar | ações corretivas e melhoria contínua |
Gestão de riscos
Risco é a combinação da probabilidade de uma ameaça explorar uma vulnerabilidade e do impacto resultante sobre um ativo. Termos:
- Ativo: tudo que tem valor para a organização (informação, sistemas, pessoas, instalações).
- Ameaça: causa potencial de um incidente (ataque, falha elétrica, erro humano).
- Vulnerabilidade: fraqueza que pode ser explorada (software sem atualização, senha fraca).
- Impacto: consequência para a organização.
- Controle: medida que modifica o risco.
- Risco residual: o que sobra depois dos controles.
Matriz de riscos: exemplo de cálculo
Escala de 1 a 5 para probabilidade e impacto, e nível de risco = probabilidade x impacto (uma convenção comum; a organização define a sua).
| Risco | Probabilidade | Impacto | Nível |
|---|---|---|---|
| Vazamento de planilha com dados pessoais por envio ao destinatário errado | 3 | 4 | 12 |
| Queda do servidor de arquivos por falha de hardware | 2 | 3 | 6 |
| Ataque de ransomware sobre estações sem atualização | 3 | 5 | 15 |
| Furto de notebook sem criptografia de disco | 2 | 4 | 8 |
Priorização pelo nível: ransomware (15), vazamento (12), furto (8) e queda (6). A organização define um limite de aceitação (por exemplo, riscos acima de 10 exigem tratamento).
Formas de tratar o risco
| Tratamento | Ideia | Exemplo |
|---|---|---|
| Mitigar (reduzir) | aplicar controles para reduzir probabilidade ou impacto | criptografar discos; atualizar sistemas |
| Evitar | eliminar a atividade que gera o risco | deixar de usar o serviço inseguro |
| Transferir (compartilhar) | passar parte do risco a terceiros | contratar seguro ou terceirizar |
| Aceitar (reter) | decidir conviver com o risco, de forma consciente e documentada | risco pequeno cujo controle custaria mais que o dano |
O tratamento gera um plano de tratamento de riscos, aprovado pelos responsáveis, que também aceitam o risco residual. Um ponto técnico: a análise pode ser qualitativa (escalas e matrizes, como acima) ou quantitativa (valores monetários e frequências).
Política de segurança e papéis
A política de segurança da informação é um documento aprovado pela direção que declara intenções e princípios. Normas e procedimentos detalham como cumprir. Há papéis: gestor de segurança da informação, responsáveis pelos ativos, usuários. No serviço público federal, a política nacional de segurança da informação (PNSI) e normas do Gabinete de Segurança Institucional orientam os órgãos; veja segurança da informação, PNSI e LGPD. Continuidade do negócio e backup fazem parte dos controles de disponibilidade.
Erros comuns
- Dizer que a ISO 27002 é a norma de certificação.
- Achar que o SGSI é um software ou um projeto com data final: é um sistema contínuo.
- Dizer que todos os controles do anexo são obrigatórios: a organização seleciona e justifica na declaração de aplicabilidade.
- Confundir ameaça (causa potencial) com vulnerabilidade (fraqueza).
- Aceitar um risco sem registro e sem aprovação dos responsáveis.
- Achar que a segurança da informação trata só de tecnologia.
Fontes e atualização
As normas ISO/IEC 27000 são publicações pagas e revisadas; este guia as descreve em linhas gerais, com base na literatura da área, sem reproduzir seu texto, e a matriz de riscos é uma ilustração com valores inventados. O cálculo do nível de risco é simples e foi conferido. Edições, numeração de controles e estrutura do anexo mudam: confira a bibliografia e a edição do edital.
Próximos passos
- Veja o contexto de governança em governança de TI: COBIT, ITIL e ISO 20000.
- Revise as ameaças em segurança da informação: ameaças, malware e golpes digitais.
- Veja os controles técnicos em firewall, IDS/IPS, VPN e MFA.