Resumo para Certificação ISO 27002 - 03 / 05

Este é o terceiro post da sequência de posts sobre segurança da informação, resumo preparatório para a realização do Exame de Certificação da ISO 27002.


3 – Abordagem e Organização
3.1 – Ativo de Negócio
• Qualquer coisa que custa dinheiro ou tem certo valor para o negócio
• Exemplos: informação, computadores, mídias, pessoas e seus conhecimentos.

3.2 – Classificação de Informação
3.2.1 – Propósito
• Ativos do negócio, incluindo informações, precisam ser classificados para determinar os níveis de segurança para lês
• Pode ser necessário para contratar seguros, contabilidade financeira e requisitos regulatórios (legislação para proteção de dados pessoais).
3.2.2 – Classificações
• Níveis de sensibilidade colocados na marca ou etiqueta de um documento: secreto, confidencial ou público.
• As etiquetas de classificação podem ser colocadas fisicamente e de forma visível
3.2.3 – Proprietário 
• O dono da informação/documento é responsável pela sua classificação
• Determina quem tem acesso a determinados ativos do negócio

3.3 – Incidente de Segurança
3.3.1 – Conceito
• Ocorre quando uma ameaça se torna real
3.3.2 – Relato de incidentes
• Os funcionários devem reportar os incidentes o mais rápido possível
• Normalmente reportados ao helpdesk
3.3.3 – Gerenciamento de Incidentes
• Processo para resolver os incidentes o mais rápido possível
3.3.4 – Tipos de Escalação
3.3.4.1 – Funcional (horizontal)
• Incidente é repassado para alguém que tem mais conhecimento técnico para resolver
• Exemplo: repassar para o administrador de redes uma falha no firewall
3.3.4.2 – Hierárquica (vertical) 
• Incidente pode ser reportado para alguém que tem mais autoridade e pode precisar tomar alguma decisão
• Exemplo: notificar o gerente do funcionário sobre o seu comportamento suspeito
3.3.5 – Ciclo do Incidente
• Estágios: Ameaça - Incidente - Dano - Recuperação
3.3.5.1 – Medidas Para Cada Estágio
3.3.5.1.1 – Redutivas
• Reduz o impacto ou probabilidade de uma ameaça antes dela gerar um incidente
3.3.5.1.2 – Preventivas
• Aplicadas antes da ameaça levar a um incidente
3.3.5.1.3 – Detectivas
• Detectar a ocorrência de um incidente
3.3.5.1.4 – Repressiva
• Para responder a um incidente a fim de conter o estrago da ameaça (usar o extintor de incêndio, por exemplo).
3.3.5.1.5 – Corretiva
• Reparar o que foi danificado (restaurar o backup, por exemplo).

3.4 – Papéis na Organização
3.4.1 - Chief Information Security Officer (CISO)
• Desenvolve a estratégia geral de segurança para a empresa inteira
3.4.2 - Information Security Officer (ISO)
• Desenvolve uma política para uma unidade de negócio com base na política da empresa
3.4.3 - Information Security Manager (ISM)
• Desenvolve uma política de segurança da informação para a área de TI