Estruturas de controle de segurança - organizações dummies

As organizações adotam frequentemente um quadro de controle de segurança para ajudar nos seus esforços de conformidade legal e regulamentar. Alguns exemplos de estruturas de segurança relevantes incluem o seguinte:

• COBIT. Desenvolvido pela Associação de Auditoria e Controle de Sistemas de Informação (ISACA) e pelo Instituto de Governança de TI (ITGI), o COBIT é composto por vários componentes, incluindo
  • Framework. Organiza os objetivos de governança de TI e as melhores práticas.
  • Descrição do processo. Fornece um modelo de referência e uma linguagem comum.
  • Objetivos de controle. Documentos requisitos de gerenciamento de alto nível para controle de processos de TI individuais.
  • Diretrizes de gerenciamento. Ferramentas para atribuir responsabilidade, medir o desempenho e ilustrar as relações entre os processos.
  • Modelos de maturidade. Avalie a maturidade / capacidade da organização e corrija as lacunas.

O framework COBIT é popular em organizações sujeitas à Lei Sarbanes-Oxley.

• NIST (Instituto Nacional de Padrões e Tecnologia) Publicação Especial 800-53: Controles de Segurança e Privacidade para Sistemas e Organizações de Informação Federais. Conhecido como NIST SP800-53, esta é uma estrutura de controles muito popular e abrangente exigida por todas as agências governamentais da U. S. Também é amplamente utilizado na indústria privada.
• COSO (Comité de Organizações Patrocinadoras da Comissão Treadway). Desenvolvido pelo Institute of Management Accountants (IMA), a American Accounting Association (AAA), o American Institute of Certified Public Accountants (AICPA), o Instituto de Auditores Internos (IIA) e Financial Executives International (FEI), a estrutura COSO consiste em cinco componentes:
  • Ambiente de controle. Fornece a base para todos os outros componentes de controle interno.
  • Avaliação de risco. Estabelece objetivos através da identificação e análise de riscos relevantes e determina se alguma coisa impedirá que a organização atinja seus objetivos.
  • Atividades de controle. Políticas e procedimentos criados para garantir o cumprimento das diretrizes de gerenciamento. Diversas atividades de controle são discutidas nos outros capítulos deste livro.
  • Informações e comunicação. Garante que sistemas de informação adequados e processos de comunicação efetivos estejam em vigor em toda a organização.
  • Monitoramento. Atividades que avaliam o desempenho ao longo do tempo e identificam deficiências e ações corretivas.
• ISO / IEC 27002 (Organização Internacional de Normalização / Comissão Electrotécnica Internacional). Formalmente intitulado "Tecnologia da Informação - Técnicas de Segurança - Código de Prática para a Gestão da Segurança da Informação", a ISO / IEC 27002 documenta as melhores práticas de segurança em 14 domínios, da seguinte forma:
  • Políticas de segurança da informação
  • Organização da segurança da informação < Segurança de recursos humanos
  • Gerenciamento de ativos
  • Controle de acesso e gerenciamento de acesso de usuários
  • Tecnologia criptográfica
  • Segurança física dos sites e equipamentos da organização
  • Segurança operacional
  • Comunicação segura e transferência de dados > Sistemas de aquisição, desenvolvimento e suporte de sistemas de informação
  • Segurança para fornecedores e terceiros
  • Gerenciamento de incidentes de segurança da informação
  • Aspectos de segurança da informação do gerenciamento de continuidade de negócios
  • Conformidade
  • ITIL (Biblioteca de infra-estrutura de tecnologia da informação).
  Um conjunto de melhores práticas para gerenciamento de serviços de TI consistindo em cinco volumes, da seguinte forma:
• Estratégia de serviço. Endereça gerenciamento de estratégias de serviços de TI, gerenciamento de portfólio de serviços, gerenciamento de serviços de TI, gerenciamento de demanda e gerenciamento de relacionamento comercial.
  • Design de serviço. Coordenação de design de endereços, gerenciamento de catálogo de serviços, gerenciamento de nível de serviço, gerenciamento de disponibilidade, gerenciamento de capacidade, gerenciamento de continuidade do serviço de TI, sistema de gerenciamento de segurança da informação e gerenciamento de fornecedores.
  • Transição de serviço. Endereços de planejamento e suporte de transição, gerenciamento de mudanças, gerenciamento de ativos e configuração de serviço, gerenciamento de lançamento e implantação, validação e teste de serviço, avaliação de mudanças e gerenciamento de conhecimento.
  • Operação de serviço. Endereça gerenciamento de eventos, gerenciamento de incidentes, atendimento de solicitação de serviço, gerenciamento de problemas e gerenciamento de acesso.
  • Melhoria contínua do serviço. Define um processo de sete etapas para iniciativas de melhoria, incluindo a identificação da estratégia, a definição do que será medido, a coleta dos dados, o processamento dos dados, a análise das informações e dos dados, a apresentação e uso da informação e a implementação da melhoria.