A ISO/IEC 17799 foi atualizada para numeração ISO/IEC 27002 em julho de 2007. É uma norma de Segurança da Informação revisada em 2005 pela ISO e pela IEC. A versão original foi publicada em 2000, que por sua vez era uma cópia fiel do padrão britânico BS 7799-1:1999.
No mundo atual, globalizado e interativo, temos a capacidade de disponibilizar e absorver uma quantidade considerável de informação, principalmente através dos meios de comunicação e da internet. Informação significa, de acordo com os dicionários vigentes, o ‘ato ou o efeito de informar, a transmissão de notícia e/ou conhecimentos, uma instrução’ . Quando levamos em consideração as organizações, a informação toma uma dimensão extremamente importante, pois decisões importantes são tomadas com base na mesma. Assim, neste ambiente de empresas interligadas e extremamente competitivas, a informação se torna um fator essencial para a abertura e manutenção de negócios e como tal, precisa ser protegida.
A segurança da informação é a forma encontrada pelas organizações para proteger os seus dados, através de regras e controles rígidos, estabelecidos, implementados e monitorados constantemente. É sabido que muitos sistemas de informação não foram projetados para protegerem as informações que geram ou recebem, e essa é uma realidade tanto do setor Público como Privado. A interligação de redes públicas e privadas e o compartilhamento de recursos de informação dificultam o controle e a segurança do acesso, isso porque a computação distribuída acaba se tornando um empecilho à implementação eficaz de um controle de acesso centralizado. O sucesso da implementação de regras e controles rígidos de segurança da informação dependem de diversos fatores tais como: comprometimento de todos os níveis gerenciais; requisitos de segurança claros e objetivos; política de segurança que reflita o negócio da organização; processo eficaz de gestão dos incidentes da segurança da informação que possam acontecer, dentre outros.
De acordo com a norma ABNT NBR ISO/IEC 17799:2005, o objetivo da política de segurança da informação é "Prover uma orientação e apoio da direção para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações relevantes. Convém que a direção estabeleça uma política clara, alinhada com os objetivos do negócio e demonstre apoio e comprometimento com a segurança da informação por meio da publicação e manutenção de uma política de segurança da informação para toda a organização".
Se a orientação e o apoio aos objetivos da segurança da informação devem partir da direção da organização, fica claro que o profissional de TI é peça chave nesse contexto, já que uma das principais responsabilidades do mesmo é a gerência, manutenção e segurança das informações, dos servidores e dos equipamentos da rede. Este profissional deverá estar comprometido, apoiando ativamente todos os processos e diretrizes implementadas. Caso seja necessário, a direção da organização poderá direcionar e identificar as necessidades para a consultoria de um especialista interno ou externo em segurança da informação, analisando e coordenando os resultados desta consultoria por toda a organização.
O padrão é um conjunto de recomendações para práticas na gestão de Segurança da Informação. Ideal para aqueles que querem criar, implementar e manter um sistema.
A Norma ABNT NBR ISO/IEC-17799 foi elaborada no Comitê Brasileiro de Computadores e Processamento de Dados (ABNT/CB-21) pela Comissão de Estudo de Segurança Física em Instalações de Informática (CE-21:2-4.01) integra uma família de normas de sistema de gestão de segurança da informação SGSI que inclui normas sobre requisitos de sistema de gestão da segurança da informação, gestão de riscos, métricas e medidas, e diretrizes para implementação. Esta família de normas adota um esquema de numeração usando a série de números 27000 em sequência.
A Norma ABNT NBR ISO/IEC-17799 estabelece as diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a gestão de segurança da informação em uma organização. Também pode ser utilizada como um guia prático para desenvolver os procedimentos de segurança da informação da organização.
Seções
A Norma ABNT NBR ISO/IEC-17799 foi elaborada em 11 (a numeração das seções a seguir corresponde à ordem do documento original que possui seções anteriores as 11) seções de controle de segurança da informação, que juntas totalizam 39 categorias principais de segurança e uma seção introdutória que aborda a análise/avaliação e o tratamento de riscos. As 11 seções são:
Política de Segurança da Informação; Organizando a Segurança da Informação; Gestão de Ativos; Segurança em Recursos Humanos; Segurança Física e do Ambiente; Gestão das Operações e Comunicações; Controle de Acesso; Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação; Gestão de Incidentes de Segurança da Informação; Gestão da Continuidade do Negócio; Conformidade.
Cada seção apresenta o seu objetivo. A seção se subdivide em categorias, e estas apresentam Controle, Diretrizes para implementação e Informações adicionais. A ordem das seções não significa seu grau de importância. Cada organização que utiliza essa norma deve identificar quais seções são necessárias e sua respectiva ordem de prioridade.
Seção Introdutória: Análise/avaliação e tratamento de riscos
A análise/avaliação de riscos deve incluir um enfoque sistemático de estimar a magnitude do risco (análise de riscos) e o processo de comprar os riscos estimados contra os critérios de risco para determinar a significância do risco (avaliação do risco). Quando se diz respeito ao tratamento dos riscos, convém que antes de qualquer coisa, a organização defina os critérios para determinar se os riscos podem ser ou não aceitos. Riscos podem ser aceitos se, por exemplo, for avaliado que o risco é baixo ou que o custo do tratamento não é economicamente viável para a organização. Convém que tais decisões sejam registradas. A seção ainda discorre sobre possíveis opções a serem tomadas para o tratamento de riscos e o que deve ser levado em conta pelos controles, ao diminuir os riscos a um certo nível.
Seção 6: Organizando a segurança da informação
6.1 Infra estrutura da segurança da informação. É necessário uma estrutura de gerenciamento para controlar a segurança dentro da organização. E que a direção coordene e analise criticamente toda implementação da segurança da informação.
6.1.1 Comprometimento da direção com a segurança da informação. A direção precisa demonstrar total apoio a segurança da informação dentro da organização, definindo atribuições de forma clara e reconhecendo as responsabilidades da segurança da informação.
6.1.2 Coordenação da segurança da informação. As atividades de segurança da informação devem ser coordenadas por representantes de diferentes partes da organização. A participação e cooperação de gerentes, usuários, administradores, desenvolvedores, auditores, pessoal de segurança é essencial.
6.1.3 Atribuição de responsabilidades para a segurança da informação. Todas as responsabilidades envolvendo esse papel devem ser explícitas. A atribuição da segurança da informação deve estar em conformidade com a política de segurança da informação (Ver seção 5). Convém que estas responsabilidades sejam mais detalhadas para diferentes locais e recursos de processamentos. Pessoas com responsabilidades definidas podem delegar as tarefas de segurança da informação para outros usuários assim como verificar se as tarefas delegadas estão sendo executadas corretamente.
6.1.4 Processo de autorização para os recursos de processamento da informação. A gestão de autorização para novos recursos de processamento da informação deve ser implementada. Diretrizes consideradas no processo de autorização: a) Os novos recursos devem ter a autorização pela parte administrativa e que essa autorização seja feita juntamente ao gestor responsável pela segurança da informação. b) Hardware e software sejam verificados afim de garantir compatibilidade com o sistema. c) O uso de novos recursos de informação, pessoais ou privados, exemplos: notebooks, palmtop e etc. podem inserir vulnerabilidades, sendo necessário a identificação e controle dos mesmos. <
6.1.5 Acordos de confidencialidade. Convém que acordos de não divulgação que assegurem a proteção da organização sejam identificados e analisados criticamente. Tais acordos de confidencialidade e de não divulgação devem estar em conformidade com as leis e regulamentações para a qual se aplicam (Ver 15.1.1) Requisitos para esses acordos de confidencialidade e de não divulgação devem ser analisados criticamente e periodicamente. Existem possibilidades de uma organização usar diferentes formas de acordos de confidencialidade irá depender das circunstâncias.
6.1.6 Contato com autoridades.
Controle – Contactar com as autoridades
Diretrizes para implementação – Saber quando e quais autoridades devem ser contatadas e como os incidentes de segurança da informação identificados devem ser notificados em tempo hábil, no caso de suspeita que a lei foi violada. Avisar as organizações que estão sofrendo ataque (provedor de internet, operador de telecomunicações). Informações adicionais - Objetivo: Assegurar que um enfoque consistente e efetivo seja aplicado à gestão de incidentes de segurança da informação. Convém que responsabilidades e procedimentos estejam definidos para o manuseio efetivo de eventos de segurança da informação e fragilidades, uma vez que estes tenham sido notificados. Convém que um processo de melhoria contínua seja aplicado às respostas, monitoramento, avaliação e gestão total de incidentes de segurança da informação. Convém que onde evidências sejam exigidas, estas sejam coletadas para assegurar a conformidade com as exigências legais.
6.1.7 Contato com grupos especiais.
Controle - Convém que sejam mantidos contatos apropriados com grupos de interesses especiais ou outros fóruns especializados de segurança da informação e associações profissionais. Informações adicionais - Acordos de compartilhamento de informações podem ser estabelecidos para melhorar a cooperação e coordenação de assuntos de segurança da informação. Convém que tais acordos identifiquem requisitos para a proteção de informações sensíveis.
6.1.8 Análise crítica independente de segurança da informação. Controle - Convém que o enfoque da organização para gerenciar a segurança da informação e a sua implementação seja analisado criticamente, de forma independente, a intervalos planejados,ou quando ocorrerem mudanças significativas relativas à implementação da segurança da informação. Diretrizes para implementação - Convém que a análise crítica independente seja iniciada pela direção. E que a análise crítica seja executada por pessoas independentes da área avaliada. Os resultados tem que ser registrados e relatados para a direção que iniciou a análise e que esses registros fiquem mantidos. Tomar ações corretivas, se a análise crítica entender que sim. Informações adicionais - Convém que as áreas onde os gerentes regularmente fazem a análise crítica possam também ser analisadas criticamente de forma independente.
6.2 Partes externas. Objetivos: Manter a segurança dos recursos de processamento da informação e da informação da organização, que são acessados,processados, comunicados ou gerenciados por partes externa.
6.2.1 Identificação dos riscos relacionados com partes externas. Controle - Convém que os riscos para os recursos de processamento da informação e da informação da organização oriundos de processos do negócio que envolva as partes externas sejam identificados e controles apropriados implementados antes de se conceder o acesso. Diretrizes para implementação - Análise e avaliação de riscos sejam feitas para identificar quaisquer requisitos de controles específicos.
6.2.2 Identificando a segurança da informação, quando tratando com os clientes.