AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES© – Servicos Assistente Virtual e Suporte tecnico compliance Norma ISO-IEC-27002:2013 – Seguranca Informacao

 AGHATHA Framework destina-se ao  compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2005 – Gestão da Segurança da Informação. https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Norma ISO-27002:2013 – Gestão da Segurança da Informação

O Aghatha Framework é Um Suite Completo de processos normativos, sendo  composto por  175 modelos de documentos pré-formatados no padrão recomendado pela ABNT para uso em documentos da qualidade. Templates são integrados entre si  e disponibilizados sob a forma de Politicas (Diretrizes para a Aplicação dos Padrões) , Normas (Regras técnicas para aplicação dos Padrões) e Procedimentos (Passo-a-Passo indicando como realizar os controles operacionais) e seus respectivos controles e registros preparados para utilização. Com este Framework é possível estruturar a Gestão Documentos Técnicos de Compliance a Norma ISO-27002:2013, Gestão de Riscos em TI, Organização Segurança Informação, Politica Segurança, Gestão de Acessos físicos e lógicos, Gestão de Operações e Comunicações, Inventário de Ativos, Gestão da Segurança de Recursos Humanos (Colaboradores e Terceiros, e todos os demais tópicos e recomendações estabelecidos pelas Normas ISO-27001:2013 e ISO-27002:2013, ISO-27005, ISO-27003. Convidamos a visitar a pagina de acesso as informações e conteúdos deste Framework, disponível em: http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html É possível ainda, a contratação de serviços de suporte técnico on-line, com execução não presencial através de salas virtuais seguras sob demanda.

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES©

Serviços de Consultoria virtual sob demanda (On-Demand Services) = Economize custos com deslocamentos, estadias e alimentação em projetos de Compliance em TI.

Nossos Consultores estão a sua disposição sob demanda, eventos pontuais com hora marcada para a apoia-lo na solução de suas necessidades (Solução de Gap´s, explanações de formas alternativas de atendimento de requisitos de compliance nos diversos padrões e normas, satisfação de dúvidas e esclarecimentos técnicos, suporte no planejamento e execução de auditorias de auto-avaliação (self-assessment) e/ou em Auditorias Externas. Veja mais detalhes em nossas paginas  em: Suporte Técnico:

• Serviço executado sob demanda com preço acessível
• Curto espaço de Tempo entre o acionamento do serviço e a disponibilização do profissional para o atendimento da necessidade pontual / emergencial.
• Acesso a especialistas em Processos, Controles e Compliance de TI para solução emergencial de problemas.
• Recomendações baseadas em cases e experiencias práticas obtidas em diversos projetos de compliance.
• Dispensa a necessidade de custos adicionais com despesas de Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/technical-support/servico-consultoria-suporte-tecnico-compliance-ti-nao-presencial.html Consultoria Técnica Compliance Processos e Controles TI:

• Serviço executado sob demanda com preço acessível.
• Curto espaço de Tempo entre o acionamento do serviço e a disponibilização do profissional para o atendimento da demanda.
• Acesso a especialistas em Processos, Controles e Compliance de TI para solução emergencial de problemas.
• Recomendações baseadas em cases e experiencias práticas obtidas em diversos projetos de compliance.
• Possibilidade de integração dos demais serviços oferecidos nesta Webstore na composição da solução a ser entregue / atendimento da demanda (Nestes casos, os Preços praticados nos serviços seguirão os mesmos valores publicados neste website).
• Dispensa a necessidade de custos e despesas adicionais com Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/it-compliance-consulting/servico-consultoria-tecnica-especializada-estruturacao-de-processos-e-controles-compliance-ti-nao-presencial.html Fabrica de Processos e Controles para Compliance de TI:

• Meio de acesso a equipe de consultores especialistas em Compliance e equipe de documentação e formalização de Processos e Controles do AGHATHA Framework.
• Consultor e documentador disponíveis sob demanda e atuação definida através orçamento prévio com preço fechado.
• Acesso aos componentes biblioteca de modelos integrados de processos e controles AGHATHA Framework.
• Redução de redundância de processos e controles (Visão Cross entre os diversos padrões e melhores práticas aplicáveis em TI).
• Redução tempo e esforço definição de entregáveis, distribuição e integração das atividades e responsabilidades.
• Possibilidade de documentação de processos e controles no padrão interno vigente no amboente do cliente.
• Dispensa a necessidade de custos e despesas adicionais com Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/customize/fabrica-de-processos-bpm-construcao-e-customizacao-sob-medida-de-documentos-processos-e-controles-para-compliance-ti-outsourcing.html

AGHATHA.COM.BR  – Próximos Lançamentos (Frameworks para o Compliance em TI)

Em breve estaremos lançando outros Frameworks relacionados a compliance em Tecnologia da Informação nos padrões ITIL, PMO / PMI, OPM3 / PMI, Governança Corporativa,  Governança de TI, Sarbanes-Oxley, ISO-20.000:1/2, Prince 2, e frameworks especiais relacionados a padrões requeridos a Provedores Serviços Gerenciados (fabrica de software, fábrica de testes, fabrica de projetos, SOC/NOC, Help-Desk / Service Desk).

AGHATHA – Veja como é Simples e Rápido obter acesso aos nossos Frameworks para o Compliance em TI.

Apresentação:  AGHATHA Framework – Norma ISO-27001:2/2013.

Relação de Componentes: AGHATHA Framework – Norma ISO-27001:2/2013.

Documentos são confeccionados no formato e estruturas indicados para documentos da qualidade em processos, contém Objetivo, campo de aplicação, documentos relacionados, corpo do conteúdo, validade, anexos,controle dos registros , responsáveis.

Tipo Documento	Componentes AGHATHA Framework – Norma ISO-27002:2013
Registro	AG00-FR-0008-Formulario-padrao-controles
Registro	AG00-FR-0009-Formulario-padrao-procedimentos
Registro	AG00-FR-0010-Formulario-padrao-normas
Registro	AG00-FR-0011-Formulario-padrao-politicas
Registro	AG00-WI-0000-Formulario-padrao-instrucoes-de-trabalho
Registro	AG20-FR-0002-Controle-de-documento-controlado-copias-impressas
Registro	AG20-FR-0003-Relacao-de-documentos-controlados
Registro	AG20-FR-0005-Controle-mudancas-documentos-framework
Registro	AG20-FR-0012-Lista-componentes-aghatha-framework-iso-27002
Norma	AG20-NO-0001-Padrao-nomenclatura-documentacao-framework-de-processos-e-controles
Norma	AG20-NO-0002-Norma-controle-qualidade-framework-processos-controles
Norma	AG20-NO-0003-Norma-padrao_notacao-bpmn-adotada-aghatha-Framework-Processos-Controles
Politica	AG20-PO-0001-Politica-padronizacao-documentos-Framework-Processos-Controles
Procedimento	AG20-PR-0001-Procedimento-edicao-revisao-e-revogacao-vigencia-documentos
Registro	IT01-FR-0110-Lista-presencas-treinamentos-usuarios
Registro	IT01-FR-0130A-Termo-de-confidencialidade-e-sigilo-colaboradores
Registro	IT01-FR-0130B-Termo-de-confidencialidade-e-sigilo-prestador-de-servicos-pj
Registro	IT01-FR-0130C-Termo-de-adesao-a-politica-de-acesso-a-rede-colaboradores
Registro	IT01-FR-0130D-Aviso-previo-sem-justa-causa-ao-colaborador
Registro	IT01-FR-0130E-Aviso-previo-com-justa-causa-ao-colaborador
Registro	IT01-FR-0640A-Termo-acordo-intercambio-de-informacoes-eletronicas-e-nao-eletronicas-entre-empresas
Norma	IT01-NO-0010-Norma-de-revisao-da-politica-de-seguranca-da-informacao
Norma	IT01-NO-0020-Norma-de-avaliacao-e-qualificacao-dos-riscos-de-ti
Norma	IT01-NO-0030-Norma-de-organizacao-do-gerenciamento-de-riscos-de-ti
Norma	IT01-NO-0060-Norma-de-organizacao-da-seguranca-da-informacao
Norma	IT01-NO-0070-Manual-de-organizacao-de-conceitos
Norma	IT01-NO-0080-Norma-de-gestao-de-riscos-com-partes-externas
Norma	IT01-NO-0100-Norma-de-inventario-de-ativos-de-TI
Norma	IT01-NO-0110-Norma-de-classificacao-e-responsabilidades-sobre-ativos
Norma	IT01-NO-0120-Norma-de-classificacao-da-informacao
Norma	IT01-NO-0130-Norma-de-seguranca-de-recursos-humanos
Norma	IT01-NO-0140-Norma-de-gestao-dos-recursos-humanos-terceirizados
Registro	IT01-NO-0150A-Anexo 1-Termo-de-ciencia-e-declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Registro	IT01-NO-0150B-Anexo 2-Declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Norma	IT01-NO-0150-Codigo-de-etica
Norma	IT01-NO-0160-A
Norma	IT01-NO-0160-Norma-estrutura-organizacional-de-cargos-e-funcoes-de-TI
Norma	IT01-NO-0170-Norma-de-acesso-a-areas-seguras
Norma	IT01-NO-0180-Norma-de-seguranca-de-equipamentos
Norma	IT01-NO-0200-Norma-de-protecao-contra-codigos-maliciosos-e-moveis
Norma	IT01-NO-0210-Norma-de-copias-de-seguranca-backup-e-restore-de-informacoes
Norma	IT01-NO-0220-Norma-de-manuseio-de-midias
Norma	IT01-NO-0230-Norma-de-gerenciamento-de-seguranca-e-acesso-a-rede-de-dados
Norma	IT01-NO-0231-Norma-de-controle-computacao-movel-e-acesso-remoto
Norma	IT01-NO-0250-Norma-de-seguranca-no-acesso-a-internet-e-correio-eletronico
Norma	IT01-NO-0260-Norma-geral-de-procedimentos-e-responsabilidades-operacionais
Norma	IT01-NO-0265-Norma-de-avaliacao-de-fornecedores-de-ti
Norma	IT01-NO-0270-Norma-de-requisitos-do-negocio-para-controle-de-acesso-logico
Norma	IT01-NO-0280-Norma-de-controle-de-acesso-logico-aos-usuarios
Norma	IT01-NO-0290-Norma-nomenclatura-de-usuarios
Norma	IT01-NO-0300-Norma-de-controle-de-acesso-a-aplicacoes-e-informacoes
Norma	IT01-NO-0310-Norma-de-controle-de-concessao-de-uso-de-computacao-movel
Norma	IT01-NO-0320-Norma-de-responsabilidades-dos-usuarios-colaboradores-e-terceiros
Norma	IT01-NO-0330-Norma-de-requisitos-de-seguranca-para-sistemas-e-aplicacoes
Norma	IT01-NO-0340-Norma-de-gestao-das-vulnerabilidades-tecnicas-de-sistemas
Norma	IT01-NO-0350-Norma-de-aplicacao-e-controle-chaves-criptograficas-de-dados
Norma	IT01-NO-0355-Norma-de-alteracao-em-sistemas-e-aplicacoes
Norma	IT01-NO-0360-Norma-de-notificacao-de-eventos-e-fragilidades-de-seguranca
Norma	IT01-NO-0370-Norma-de-planejamento-de-contingencias-de-TI
Norma	IT01-NO-0380-Norma-de-garantia-da-qualidade-em-processos-e-controles-de-ti
Politica	IT01-PO-0000-Politica-de-seguranca-da-informacao
Procedimento	IT01-PR-0001-Procedimento-organizacao-e-revisao-da-politica-de-seguranca-da-informacao
Registro	IT01-PR-0030A-Plano-de-acao-tratamento-riscos-de-ti
Registro	IT01-PR-0030B-FMEA-Mapa-de-riscos-de-TI
Procedimento	IT01-PR-0030-Procedimento-de-controle-de-ameacas-e-vulnerabilidades-de-ti
Registro	IT01-PR-0110A-Lista-mestre-dos-registros-e-controles-de-ti
Procedimento	IT01-PR-0110-Procedimento-de-revisao-da-seguranca-da-informacao
Procedimento	IT01-PR-0120-Programa-de-treinamentos-e-sensibilizacao-seguranca-informacao
Procedimento	IT01-PR-0190-Procedimento-de-Identificacao-e-tratamento-riscos-partes-externas
Registro	IT01-PR-0200A-Controle-de-inventario-equipamentos-e-rede
Registro	IT01-PR–0200B–Controle-de-inventario-sistemas-criticos
Registro	IT01-PR-0200C-Termo-de-destruicao-descarte-seguro-de-ativos
Registro	IT01-PR-0200D-Termo-de-responsabilidade-sobre-sistemas-e-aplicacoes
Registro	IT01-PR-0200E-Termo-de-responsabilidade-sobre-equipamentos-e-perifericos
Procedimento	IT01-PR-0200-Procedimento-de-controle-inventario-ativos-de-ti
Registro	IT01-PR–0230A–Controle-de-fornecedores-criticos.xls
Procedimento	IT01-PR-0230-Controle-de-fornecedores-criticos
Registro	IT01-PR-0240A-Inventario-de-Informações-criticas
Registro	IT01-PR-0240B-Termo-de-destruicao-e-descarte-seguro-informacoes-classificadas
Registro	IT01-PR-0240C-Termo-de-responsabilidade-sobre-informacao-classificada
Procedimento	IT01-PR-0240-Identificacao-e-classificacao-informacao
Registro	IT01-PR-0250A–Solicitacao-de-criacao-e-delecao-de-repositorio-na-rede
Registro	IT01-PR-0250B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Registro	IT01-PR-0250C-Termo-de-responsabilidade-sobre-diretorio-informacoes-na-rede-dados
Procedimento	IT01-PR-0250-Manipulacao-conteudos-pastas-eletronicas-e-repositorios-na-rede
Procedimento	IT01-PR-0270-Seguranca-recursos-humanos-colaboradores
Procedimento	IT01-PR-0280-Seguranca-recursos-humanos-terceiros
Procedimento	IT01-PR-0281-Rescisao-contrato-trabalho-terceiros
Registro	IT01-PR-0282A-Avaliacao-de-desempenho-recursos-humanos-colaboradores-e-terceiros
Procedimento	IT01-PR-0282-Processo-de-avaliacao-desempenho-recursos-humanos-terceirizados
Procedimento	IT01-PR-0283-Processo-de-avaliacao-desempenho-recursos-humanos-colaboradores
Registro	IT01-PR-0330A-Descricao-de-cargos-e-funcoes-de-ti
Registro	IT01-PR-0330B-Descricao-atribuicoes-de-comites-e-grupos-tematicos-de-ti
Procedimento	IT01-PR-0330-Processo-documentacao-da-descricao-de-cargos-e-funcoes-de-colaboradores-e-terceiros
Registro	IT01-PR-0340A-Mapa-de-composicao-do-headcount-de-ti
Procedimento	IT01-PR-0340-Composicao-e-revisao-do-mapa-lotacao-de-ti
Registro	IT01-PR-0380A-Checklist-de-avaliacao-de-locais-do-perimetro-de-seguranca
Registro	IT01-PR-0380C-Mapa-de-controle-locais-do-perimetro-de-seguranca-de-ti
Registro	IT01-PR-0380D-Plano-de-acao-corretiva-areas-do-perimetro-seguranca-de-ti
Procedimento	IT01-PR-0380-Procedimento-controle-do-perimetros-de-seguranca-fisica
Procedimento	IT01-PR-0400-Controle-acesso-fisico-dependencias-de-ti
Registro	IT01-PR-0410A-Registro-de-visitas-ao-datacenter
Procedimento	IT01-PR-0410-Procedimento-controle-de-visitas-ao-datacenter
Registro	IT01-PR-0420A-Mapa-de-controle-de-equipamentos-e-Rede
Registro	IT01-PR-0420B-Checklist-para-instalacao-de-equipamentos
Registro	IT01-PR-0420C-Relacao-de-software-padrao
Procedimento	IT01-PR-0420-Procedimento-de-instalacao-manutencao-e-protecao-dos-equipamentos-de-TI
Registro	IT01-PR-0450A-Termo-custodia-equipamento-propriedade-empresa
Registro	IT01-PR-0450B-Termo-devolucao-equipamento-custodiado
Procedimento	IT01-PR-0450-Procedimento-de-seguranca-de-equipamentos-instalados-fora-dependencias-da-organizacao
Registro	IT01-PR-0455A –Solicitacao-de-acesso-temporario-para-visitantes
Procedimento	IT01-PR-0455-Controle-de-acesso-fisico-a-portaria-de-pedestres-e-veiculos
Procedimento	IT01-PR-0490-Procedimento-de-controle-de-antivirus-codigos-maliciosos-e-moveis
Registro	IT01-PR-0500A-Etiqueta-padrao-identificacao-midias-magneticas
Registro	IT01-PR-0500B-Inventario-de-fitas-magneticas
Registro	IT01-PR-0500C-Registro-de-envio-e-recebimento-de-fitas-de-backup
Registro	IT01-PR-0500D–Termo-de-sanitizacao-ou-destruicao-de-midias
Procedimento	IT01-PR-0500-Procedimento-de-gerenciamento-de-midias-removiveis
Registro	IT01-PR-0510A-Mapa-de-controle-da-rotina-de-operacao-backup-e-restore
Procedimento	IT01-PR-0510-Procedimento-de-copias-de-seguranca-das-informacoes-Backup-e-Restore
Registro	IT01-PR-0540A-Plano-de-mudancas-infraestrutura
Procedimento	IT01-PR-0540-Gerenciamento-de-seguranca-dos-servicos-de-redes
Registro	IT01-PR-0580A-Checklist-validacao-requisitos-seguranca-servico-de-rede
Procedimento	IT01-PR-0580-Procedimento-de-controle-de-instalacao-e-configuracao-de-rede
Registro	IT01-PR-0600A-Controle-de-acesso-remoto-a-rede-de-dados
Procedimento	IT01-PR-0600-Procedimento-controle-de-acesso-remoto-a-rede-de-dados-VPN
Registro	IT01-PR-0610A-Solicitacao-de-fornecimento-de-produtos-e-servicos-para-ti
Registro	IT01-PR-0610B-Selecao-de-fornecedores-de-produtos-e-servicos-para-TI
Procedimento	IT01-PR-0610-Procedimento-adicional-para-selecao-e-cadastro-fornecedores-de-ti
Registro	IT01-PR-0615A-Plano-de-acoes-corretivas-fornecedores-de-ti
Procedimento	IT01-PR-0615-Procedimento-avaliacao-servicos-prestados-por-fornecedores-de-ti
Procedimento	IT01-PR-0616-Procedimento-e-controles-adicionais-na-contratacao-fornecedores-de-ti
Procedimento	IT01-PR-0620-Procedimento-de-uso-aceitavel-recursos-de-email-e-internet
Registro	IT01-PR-0640B-Controle-de-intercambio-de-informacoes-partes-externas
Procedimento	IT01-PR-0640-Procedimento-de-controle-troca-informacoes-com-partes-externas
Registro	IT01-PR-0660A-Solicitacao-de-criacao-manutencao-Perfis-de-acesso-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0660B-Termo-de-excecao-controle-compensatorio-acessos-temporario-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0660C-Composicao-de-acessos-concedidos-atraves-de-perfis-aos-sistemas-e-aplicacoes
Procedimento	IT01-PR-0660-Procedimento-gerenciamento-de-perfil-de-acesso-logico-a-rede-e-aplicativos
Registro	IT01-PR-0670A-Solicitacao-de-acesso-logico-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0670B-Relacao-de-pessoal-pre-autorizado-a-solicitar-acesso-logico-emergencial
Registro	IT01-PR-0670C-Etiqueta-envelope-contendo-senha-de-acesso-emergencial
Procedimento	IT01-PR-0670-Concessao-revisao-e-revogacao-de-acessos-logicos-aos-usuarios
Registro	IT01-PR-0690A–Solicitacao-criacao-e-manutencao-de-repositorio-informacoes-na-rede
Registro	IT01-PR-0690B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Procedimento	IT01-PR-0690-Procedimento-de-gerenciamento-de-acesso-as-informacoes-e-repositorios-dados
Registro	IT01-PR-0700A –Solicitacao-de-acesso-remoto-a-sistemas-e-aplicacoes
Registro	IT01-PR-0700B –Controle-de-acessos-remotos-a-a-sistemas-e-aplicacoes
Procedimento	IT01-PR-0700-Procedimento-controle-de-acesso-remoto-a-sistemas-e-aplicacoes
Procedimento	IT01-PR-0710-Cessao-de-uso-de-equipamentos-computacionais-portateis-de-propriedade-da-empresa
Registro	IT01-PR-0720A –Solicitacao-de-acesso-temporario-a-rede-de-visitantes
Procedimento	IT01-PR-0720-Procedimento-de-controle-de-acesso-a-internet-rede-de-visitantes
Registro	IT01-PR-0800A-Solicitacao-de-compra-de-sistemas-e-aplicacoes-pontuais-em-ti
Procedimento	IT01-PR-0800-Procedimento-de-aquisicao-de-sistemas-e-aplicativos-de-ti
Procedimento	IT01-PR-0820-Controle-e-revisao-das-vulnerabilidades-tecnicas-existentes-em-sistemas-e-aplicacoes
Procedimento	IT01-PR-0835-Controle-alteracao-em-sistemas-e-aplicacoes
Registro	IT01-PR-0837A-Mapa-de-atualizacoes-aplicadas-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro	IT01-PR-0837B-000000-Request-Atualizacao-sistemas-e-aplicacoes-recebidas-de-fornecedores
Procedimento	IT01-PR-0837-Controle-atualizacoes-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro	IT01-PR-0840A-Mapa-de-controle-chaves-criptografica-de-dados-e-certificados-digitais
Registro	IT01-PR-0840B-Etiqueta-envelope-contendo-senha-de-chaves-criptograficas-de-dados
Procedimento	IT01-PR-0840-Controle-utilizacao-chaves-criptograficas-e-certificados-digitais
Registro	IT01-PR-0850A-Requisitos-de-seguranca-na-aquisicao-e-implantacao-de-sistemas-e-aplicacoes
Registro	IT01-PR-0855A-Solicitacao-de-mudancas-change-request-CR
Registro	IT01-PR-0855B-DUM-documento-unico-de-manutencao-sistemas-e-aplicacoes
Registro	IT01-PR-0860A-Plano-de-mudancas
Registro	IT01-PR-0860B–RCA-analise-de-causa-raiz
Procedimento	IT01-PR-0860-Identificacao-e-tratamento-de-incidentes-de-seguranca-informacao
Procedimento	IT01-PR-0880-Procedimento-de-apuracao-de-responsabilidades-em-incidentes-de-seguranca-da-informacao
Registro	IT01-PR-0920A-Controle-dos-requisitos-legais-aplicaveis-ao-ambiente-de-ti
Registro	IT01-PR-0920B-Controle-dos-requisitos-tecnicos-e-normativos-aplicaveis-ao-ambiente-de-ti
Procedimento	IT01-PR-0920-Procedimento-de-controle-de-requisitos-legais-e-tecnicos-em-ti
Registro	IT01-PR-0930B-Relatorio-de-auditoria-e-revisao-da-qualidade-em-processos-de-ti
Registro	IT01-PR-0930D-Plano-de-acao-tratamento-nao-conformidades-em-processos-e-controles-de-ti
Procedimento	IT01-PR-0930-Procedimento-de-garantia-da-qualidade-em-processos-e-controles-de-ti

Read Full Post »

AGHATHA FRAMEWORK© – Licenca Uso Perpetua – Modelos Aplicacao Norma ISO-IEC-27002:2013- Seguranca Informacao – R02-01A.

Está disponível para Licenciamento em nossa home page (Http://www.aghatha.com.br) o  AGHATHA Framework destina-se ao  compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2005 – Gestão da Segurança da Informação.

https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Norma ISO-27002:2013 – Gestão da Segurança da Informação

IMPORTANTE:

O Aghatha Framework não é apenas uma biblioteca contendo  “modelos ou exemplos”  de estruturas de documentos e processos. O AGHATHA Framework é um Suite normativo e procedimental completo e funcional composto de Politicas, Normas e Procedimentos Operacionais que possibilitam efetivamente a adoção e implementação dos padrões e melhores práticas – (READY TO USE / PRONTOS PARA USAR)

Aghatha Framework destinado compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2013 – Gestão da Segurança da Informação é composto por  175 modelos de documentos e controles já formatados no padrão recomendado pela ABNT para uso em documentos da processos da qualidade.

Este Framework é composto por 175 modelos distribuídos entre Politicas, Normas, Procedimentos e Controles,  pré-formatados, estruturados e aptos para serem utilizados ou servirem de referencial técnico em projetos de implementação das recomendações contidas na Norma ISO-IEC-27.001:2013 e ISO-IEC-27.002:2013 – Gerenciamento de Segurança da Informação.
Os Procedimentos são estruturados em atividades passo-a-passo e em conformidade com as diretrizes estabelecidas na Norma ISO-IEC-27.001:2013 e ISO-IEC-27.002:2013. Os procedimentos são acompanhados por controles e registros de execução das atividades requeridas pelo compliance.

Escopo Framework:  Norma ISO-27.002:2013

1.1 – Composição deste Framework:

2 (Duas) Politicas – Quais Diretrizes ?

40 (Quarenta)  Normas  – Quais Regras ?

49 (Quarenta e Nove)  Procedimentos Passo-a-Passo – Como Fazer ?

84 (Oitenta e quatro)  Registros e Controles –  Como Controlar ?

01 (Um) – Arquivo BPM BIZAGI PROCESS MODELER – Modelo de Integração e Hierárquico dos documentos e controles.

01 (Um) – Arquivo Objeto Bizagi padrão (HTML) – Visão NAVEGÁVEL com acesso direto aos modelos contidos no Aghatha Framework.

01 (Um) Índice Geral de Documentos – Lista de Documentos que Compõem este framework através do Registro AG20-FR-0012 – Uma versão no formato PDF deste documento está disponível para download gratuitamente na seção (Free WhitePapers) de nossa webstore. O Documento completo deste registro está incluso entre os componentes do Framework.

você pode solicitá-lo nesta pagina:  (clique aqui).

Restrições deste Framework:

* NÃO ESTÃO INCLUSOS NESTE FRAMEWORK  (**)

a – Os Processos e Controles relacionados aos seguintes capítulos contidos na norma ISO-IEC-27002:2013.

• – Seção 12 – Metodologia / Roadmap para o GERENCIAMENTO DE PROJETOS DE MUDANÇAS EM APLICAÇÕES E SISTEMAS – SDLC
• – Seção 14 – Corpo do Documento PCN – PLANO CONTINUIDADE NEGÓCIO

(**) –  Estas seções são abordadas neste Framework, somente até os níveis de POLITICA e NORMAS, e seus respectivos PROCEDIMENTOS e CONTROLES fazem parte de outros Frameworks específicos, E, SE NECESSÁRIOS, deverão ser licenciados em Separado.

b – O Corpo ou Originais Eletrônicos de Normas Técnicas ISO. 

• – Os documentos originais das normas (ISO-IEC-27001:2013), (ISO-IEC-27002:2013), ISO-IEC-27003:2011, ISO-IEC-27005:2008 “NÃO ESTÃO INCLUÍDOS” no rol de documentos enviados juntamente com este FRAMEWORK – (***).

(***) –  Estas normas deverão ser adquiridas junto aos seus Publicadores, caso o usuário assim o desejar. Neste caso, recomendamos efetuar a Aquisição da(s) Norma(s) publicada(s) pela ABNT – Associação Brasileira de Normas Técnicas, cujo conteúdo é disponibilizado no Idioma “Português”, e também poderá ser adquirida eletronicamente na WEBSTORE da ABNT.

Templates são integrados entre si  e estruturados  em Politicas (Diretrizes para a Aplicação dos Padrões) , Normas (Regras técnicas para aplicação dos Padrões) e Procedimentos (Passo-a-Passo indicando como realizar os controles operacionais) e seus respectivos  controles e registros prontos para utilização.

APLICAÇÃO:

Com este Framework é possível estruturar os controles internos para o Compliance as Normas:

ISO-27002:2013, ISO-27001 e ISO-27002:2013, ISO-27005, ISO-27003.

Amplitude deste Framework:  

• Gestão Documentos Técnicos de Compliance da Norma ISO-27002:2013,
• Gestão de Riscos em TI,
• Gestão da Organização Segurança Informação,
• Gestão da Politica Segurança,
• Gestão de Acessos físicos e lógicos,
• Gestão de Operações e Comunicações,
• Gestão do Inventário de Ativos,
• Gestão da Segurança de Recursos Humanos (Colaboradores e Terceiros,

Convidamos a visitar a pagina de acesso as informações e conteúdos deste Framework, disponível em nossa webstore:

http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

É possível ainda, a contratação de serviços de suporte técnico on-line, com execução não presencial através de salas virtuais seguras sob demanda.

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES©

A AGHATHA oferece  pacotes adicionais de serviços técnicos  destinados a promover a sensibilização e preparação formal dos membros das equipes de TI envolvidas na implementação deste padrão de Compliance.

Os Serviços de Virtual office assistant podem ser contratados também de forma on-line em nossa Webstore AGHATHA.COM.BR = Economize custos com deslocamentos, estadias e alimentação em projetos de Compliance em TI.

Nossos Consultores estão a sua disposição sob demanda, eventos pontuais com hora marcada para a apoia-lo na solução de suas necessidades (Solução de Gap´s, explanações de formas alternativas de atendimento de requisitos de compliance nos diversos padrões e normas, satisfação de dúvidas e esclarecimentos técnicos, suporte no planejamento e execução de auditorias de auto-avaliação (self-assessment) e/ou em Auditorias Externas.

Veja mais detalhes em nossas paginas  em:

https://aghatha.wordpress.com/2012/12/21/aghatha-virtual-office-assistant-services-servicos-assistente-virtual-e-suporte-tecnico-compliance-norma-iso-iec-270022005-seguranca-informacao/

AGHATHA.COM.BR  – Próximos Lançamentos (Frameworks para o Compliance em TI)

Em breve estaremos lançando outros Frameworks relacionados a compliance em Tecnologia da Informação nos padrões ITIL, PMO / PMI, OPM3 / PMI, Governança Corporativa,  Governança de TI, Sarbanes-Oxley, ISO-20.000:1/2, Prince 2, e frameworks especiais relacionados a padrões requeridos a Provedores Serviços Gerenciados (fabrica de software, fábrica de testes, fabrica de projetos, SOC/NOC, Help-Desk / Service Desk).

te e saiba mais informações sobre nossos produtos e serviços para o Compliance de TI:

http://www.aghatha.com.br/processos.htm

Abraço a todos.

Eurico Haan de Oliveira
http://www.aghatha.com.br

Apresentação:  AGHATHA Framework – Norma ISO-27001:2/2013.

Relação de Componentes: AGHATHA Framework – Norma ISO-27001:2/2013.

Documentos são confeccionados no formato e estruturas indicados para documentos da qualidade em processos, contém Objetivo, campo de aplicação, documentos relacionados, corpo do conteúdo, validade, anexos,controle dos registros , responsáveis.

Tipo Documento	Componente AGHATHA Framework – Norma ISO-27002:2013
Registro	AG00-FR-0008-Formulario-padrao-controles
Registro	AG00-FR-0009-Formulario-padrao-procedimentos
Registro	AG00-FR-0010-Formulario-padrao-normas
Registro	AG00-FR-0011-Formulario-padrao-politicas
Registro	AG00-WI-0000-Formulario-padrao-instrucoes-de-trabalho
Registro	AG20-FR-0002-Controle-de-documento-controlado-copias-impressas
Registro	AG20-FR-0003-Relacao-de-documentos-controlados
Registro	AG20-FR-0005-Controle-mudancas-documentos-framework
Registro	AG20-FR-0012-Lista-componentes-aghatha-framework-iso-27002
Norma	AG20-NO-0001-Padrao-nomenclatura-documentacao-framework-de-processos-e-controles
Norma	AG20-NO-0002-Norma-controle-qualidade-framework-processos-controles
Norma	AG20-NO-0003-Norma-padrao_notacao-bpmn-adotada-aghatha-Framework-Processos-Controles
Politica	AG20-PO-0001-Politica-padronizacao-documentos-Framework-Processos-Controles
Procedimento	AG20-PR-0001-Procedimento-edicao-revisao-e-revogacao-vigencia-documentos
Registro	IT01-FR-0110-Lista-presencas-treinamentos-usuarios
Registro	IT01-FR-0130A-Termo-de-confidencialidade-e-sigilo-colaboradores
Registro	IT01-FR-0130B-Termo-de-confidencialidade-e-sigilo-prestador-de-servicos-pj
Registro	IT01-FR-0130C-Termo-de-adesao-a-politica-de-acesso-a-rede-colaboradores
Registro	IT01-FR-0130D-Aviso-previo-sem-justa-causa-ao-colaborador
Registro	IT01-FR-0130E-Aviso-previo-com-justa-causa-ao-colaborador
Registro	IT01-FR-0640A-Termo-acordo-intercambio-de-informacoes-eletronicas-e-nao-eletronicas-entre-empresas
Norma	IT01-NO-0010-Norma-de-revisao-da-politica-de-seguranca-da-informacao
Norma	IT01-NO-0020-Norma-de-avaliacao-e-qualificacao-dos-riscos-de-ti
Norma	IT01-NO-0030-Norma-de-organizacao-do-gerenciamento-de-riscos-de-ti
Norma	IT01-NO-0060-Norma-de-organizacao-da-seguranca-da-informacao
Norma	IT01-NO-0070-Manual-de-organizacao-de-conceitos
Norma	IT01-NO-0080-Norma-de-gestao-de-riscos-com-partes-externas
Norma	IT01-NO-0100-Norma-de-inventario-de-ativos-de-TI
Norma	IT01-NO-0110-Norma-de-classificacao-e-responsabilidades-sobre-ativos
Norma	IT01-NO-0120-Norma-de-classificacao-da-informacao
Norma	IT01-NO-0130-Norma-de-seguranca-de-recursos-humanos
Norma	IT01-NO-0140-Norma-de-gestao-dos-recursos-humanos-terceirizados
Registro	IT01-NO-0150A-Anexo 1-Termo-de-ciencia-e-declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Registro	IT01-NO-0150B-Anexo 2-Declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Norma	IT01-NO-0150-Codigo-de-etica
Norma	IT01-NO-0160-A
Norma	IT01-NO-0160-Norma-estrutura-organizacional-de-cargos-e-funcoes-de-TI
Norma	IT01-NO-0170-Norma-de-acesso-a-areas-seguras
Norma	IT01-NO-0180-Norma-de-seguranca-de-equipamentos
Norma	IT01-NO-0200-Norma-de-protecao-contra-codigos-maliciosos-e-moveis
Norma	IT01-NO-0210-Norma-de-copias-de-seguranca-backup-e-restore-de-informacoes
Norma	IT01-NO-0220-Norma-de-manuseio-de-midias
Norma	IT01-NO-0230-Norma-de-gerenciamento-de-seguranca-e-acesso-a-rede-de-dados
Norma	IT01-NO-0231-Norma-de-controle-computacao-movel-e-acesso-remoto
Norma	IT01-NO-0250-Norma-de-seguranca-no-acesso-a-internet-e-correio-eletronico
Norma	IT01-NO-0260-Norma-geral-de-procedimentos-e-responsabilidades-operacionais
Norma	IT01-NO-0265-Norma-de-avaliacao-de-fornecedores-de-ti
Norma	IT01-NO-0270-Norma-de-requisitos-do-negocio-para-controle-de-acesso-logico
Norma	IT01-NO-0280-Norma-de-controle-de-acesso-logico-aos-usuarios
Norma	IT01-NO-0290-Norma-nomenclatura-de-usuarios
Norma	IT01-NO-0300-Norma-de-controle-de-acesso-a-aplicacoes-e-informacoes
Norma	IT01-NO-0310-Norma-de-controle-de-concessao-de-uso-de-computacao-movel
Norma	IT01-NO-0320-Norma-de-responsabilidades-dos-usuarios-colaboradores-e-terceiros
Norma	IT01-NO-0330-Norma-de-requisitos-de-seguranca-para-sistemas-e-aplicacoes
Norma	IT01-NO-0340-Norma-de-gestao-das-vulnerabilidades-tecnicas-de-sistemas
Norma	IT01-NO-0350-Norma-de-aplicacao-e-controle-chaves-criptograficas-de-dados
Norma	IT01-NO-0355-Norma-de-alteracao-em-sistemas-e-aplicacoes
Norma	IT01-NO-0360-Norma-de-notificacao-de-eventos-e-fragilidades-de-seguranca
Norma	IT01-NO-0370-Norma-de-planejamento-de-contingencias-de-TI
Norma	IT01-NO-0380-Norma-de-garantia-da-qualidade-em-processos-e-controles-de-ti
Politica	IT01-PO-0000-Politica-de-seguranca-da-informacao
Procedimento	IT01-PR-0001-Procedimento-organizacao-e-revisao-da-politica-de-seguranca-da-informacao
Registro	IT01-PR-0030A-Plano-de-acao-tratamento-riscos-de-ti
Registro	IT01-PR-0030B-FMEA-Mapa-de-riscos-de-TI
Procedimento	IT01-PR-0030-Procedimento-de-controle-de-ameacas-e-vulnerabilidades-de-ti
Registro	IT01-PR-0110A-Lista-mestre-dos-registros-e-controles-de-ti
Procedimento	IT01-PR-0110-Procedimento-de-revisao-da-seguranca-da-informacao
Procedimento	IT01-PR-0120-Programa-de-treinamentos-e-sensibilizacao-seguranca-informacao
Procedimento	IT01-PR-0190-Procedimento-de-Identificacao-e-tratamento-riscos-partes-externas
Registro	IT01-PR-0200A-Controle-de-inventario-equipamentos-e-rede
Registro	IT01-PR–0200B–Controle-de-inventario-sistemas-criticos
Registro	IT01-PR-0200C-Termo-de-destruicao-descarte-seguro-de-ativos
Registro	IT01-PR-0200D-Termo-de-responsabilidade-sobre-sistemas-e-aplicacoes
Registro	IT01-PR-0200E-Termo-de-responsabilidade-sobre-equipamentos-e-perifericos
Procedimento	IT01-PR-0200-Procedimento-de-controle-inventario-ativos-de-ti
Registro	IT01-PR–0230A–Controle-de-fornecedores-criticos.xls
Procedimento	IT01-PR-0230-Controle-de-fornecedores-criticos
Registro	IT01-PR-0240A-Inventario-de-Informações-criticas
Registro	IT01-PR-0240B-Termo-de-destruicao-e-descarte-seguro-informacoes-classificadas
Registro	IT01-PR-0240C-Termo-de-responsabilidade-sobre-informacao-classificada
Procedimento	IT01-PR-0240-Identificacao-e-classificacao-informacao
Registro	IT01-PR-0250A–Solicitacao-de-criacao-e-delecao-de-repositorio-na-rede
Registro	IT01-PR-0250B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Registro	IT01-PR-0250C-Termo-de-responsabilidade-sobre-diretorio-informacoes-na-rede-dados
Procedimento	IT01-PR-0250-Manipulacao-conteudos-pastas-eletronicas-e-repositorios-na-rede
Procedimento	IT01-PR-0270-Seguranca-recursos-humanos-colaboradores
Procedimento	IT01-PR-0280-Seguranca-recursos-humanos-terceiros
Procedimento	IT01-PR-0281-Rescisao-contrato-trabalho-terceiros
Registro	IT01-PR-0282A-Avaliacao-de-desempenho-recursos-humanos-colaboradores-e-terceiros
Procedimento	IT01-PR-0282-Processo-de-avaliacao-desempenho-recursos-humanos-terceirizados
Procedimento	IT01-PR-0283-Processo-de-avaliacao-desempenho-recursos-humanos-colaboradores
Registro	IT01-PR-0330A-Descricao-de-cargos-e-funcoes-de-ti
Registro	IT01-PR-0330B-Descricao-atribuicoes-de-comites-e-grupos-tematicos-de-ti
Procedimento	IT01-PR-0330-Processo-documentacao-da-descricao-de-cargos-e-funcoes-de-colaboradores-e-terceiros
Registro	IT01-PR-0340A-Mapa-de-composicao-do-headcount-de-ti
Procedimento	IT01-PR-0340-Composicao-e-revisao-do-mapa-lotacao-de-ti
Registro	IT01-PR-0380A-Checklist-de-avaliacao-de-locais-do-perimetro-de-seguranca
Registro	IT01-PR-0380C-Mapa-de-controle-locais-do-perimetro-de-seguranca-de-ti
Registro	IT01-PR-0380D-Plano-de-acao-corretiva-areas-do-perimetro-seguranca-de-ti
Procedimento	IT01-PR-0380-Procedimento-controle-do-perimetros-de-seguranca-fisica
Procedimento	IT01-PR-0400-Controle-acesso-fisico-dependencias-de-ti
Registro	IT01-PR-0410A-Registro-de-visitas-ao-datacenter
Procedimento	IT01-PR-0410-Procedimento-controle-de-visitas-ao-datacenter
Registro	IT01-PR-0420A-Mapa-de-controle-de-equipamentos-e-Rede
Registro	IT01-PR-0420B-Checklist-para-instalacao-de-equipamentos
Registro	IT01-PR-0420C-Relacao-de-software-padrao
Procedimento	IT01-PR-0420-Procedimento-de-instalacao-manutencao-e-protecao-dos-equipamentos-de-TI
Registro	IT01-PR-0450A-Termo-custodia-equipamento-propriedade-empresa
Registro	IT01-PR-0450B-Termo-devolucao-equipamento-custodiado
Procedimento	IT01-PR-0450-Procedimento-de-seguranca-de-equipamentos-instalados-fora-dependencias-da-organizacao
Registro	IT01-PR-0455A –Solicitacao-de-acesso-temporario-para-visitantes
Procedimento	IT01-PR-0455-Controle-de-acesso-fisico-a-portaria-de-pedestres-e-veiculos
Procedimento	IT01-PR-0490-Procedimento-de-controle-de-antivirus-codigos-maliciosos-e-moveis
Registro	IT01-PR-0500A-Etiqueta-padrao-identificacao-midias-magneticas
Registro	IT01-PR-0500B-Inventario-de-fitas-magneticas
Registro	IT01-PR-0500C-Registro-de-envio-e-recebimento-de-fitas-de-backup
Registro	IT01-PR-0500D–Termo-de-sanitizacao-ou-destruicao-de-midias
Procedimento	IT01-PR-0500-Procedimento-de-gerenciamento-de-midias-removiveis
Registro	IT01-PR-0510A-Mapa-de-controle-da-rotina-de-operacao-backup-e-restore
Procedimento	IT01-PR-0510-Procedimento-de-copias-de-seguranca-das-informacoes-Backup-e-Restore
Registro	IT01-PR-0540A-Plano-de-mudancas-infraestrutura
Procedimento	IT01-PR-0540-Gerenciamento-de-seguranca-dos-servicos-de-redes
Registro	IT01-PR-0580A-Checklist-validacao-requisitos-seguranca-servico-de-rede
Procedimento	IT01-PR-0580-Procedimento-de-controle-de-instalacao-e-configuracao-de-rede
Registro	IT01-PR-0600A-Controle-de-acesso-remoto-a-rede-de-dados
Procedimento	IT01-PR-0600-Procedimento-controle-de-acesso-remoto-a-rede-de-dados-VPN
Registro	IT01-PR-0610A-Solicitacao-de-fornecimento-de-produtos-e-servicos-para-ti
Registro	IT01-PR-0610B-Selecao-de-fornecedores-de-produtos-e-servicos-para-TI
Procedimento	IT01-PR-0610-Procedimento-adicional-para-selecao-e-cadastro-fornecedores-de-ti
Registro	IT01-PR-0615A-Plano-de-acoes-corretivas-fornecedores-de-ti
Procedimento	IT01-PR-0615-Procedimento-avaliacao-servicos-prestados-por-fornecedores-de-ti
Procedimento	IT01-PR-0616-Procedimento-e-controles-adicionais-na-contratacao-fornecedores-de-ti
Procedimento	IT01-PR-0620-Procedimento-de-uso-aceitavel-recursos-de-email-e-internet
Registro	IT01-PR-0640B-Controle-de-intercambio-de-informacoes-partes-externas
Procedimento	IT01-PR-0640-Procedimento-de-controle-troca-informacoes-com-partes-externas
Registro	IT01-PR-0660A-Solicitacao-de-criacao-manutencao-Perfis-de-acesso-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0660B-Termo-de-excecao-controle-compensatorio-acessos-temporario-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0660C-Composicao-de-acessos-concedidos-atraves-de-perfis-aos-sistemas-e-aplicacoes
Procedimento	IT01-PR-0660-Procedimento-gerenciamento-de-perfil-de-acesso-logico-a-rede-e-aplicativos
Registro	IT01-PR-0670A-Solicitacao-de-acesso-logico-aos-sistemas-e-aplicacoes
Registro	IT01-PR-0670B-Relacao-de-pessoal-pre-autorizado-a-solicitar-acesso-logico-emergencial
Registro	IT01-PR-0670C-Etiqueta-envelope-contendo-senha-de-acesso-emergencial
Procedimento	IT01-PR-0670-Concessao-revisao-e-revogacao-de-acessos-logicos-aos-usuarios
Registro	IT01-PR-0690A–Solicitacao-criacao-e-manutencao-de-repositorio-informacoes-na-rede
Registro	IT01-PR-0690B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Procedimento	IT01-PR-0690-Procedimento-de-gerenciamento-de-acesso-as-informacoes-e-repositorios-dados
Registro	IT01-PR-0700A –Solicitacao-de-acesso-remoto-a-sistemas-e-aplicacoes
Registro	IT01-PR-0700B –Controle-de-acessos-remotos-a-a-sistemas-e-aplicacoes
Procedimento	IT01-PR-0700-Procedimento-controle-de-acesso-remoto-a-sistemas-e-aplicacoes
Procedimento	IT01-PR-0710-Cessao-de-uso-de-equipamentos-computacionais-portateis-de-propriedade-da-empresa
Registro	IT01-PR-0720A –Solicitacao-de-acesso-temporario-a-rede-de-visitantes
Procedimento	IT01-PR-0720-Procedimento-de-controle-de-acesso-a-internet-rede-de-visitantes
Registro	IT01-PR-0800A-Solicitacao-de-compra-de-sistemas-e-aplicacoes-pontuais-em-ti
Procedimento	IT01-PR-0800-Procedimento-de-aquisicao-de-sistemas-e-aplicativos-de-ti
Procedimento	IT01-PR-0820-Controle-e-revisao-das-vulnerabilidades-tecnicas-existentes-em-sistemas-e-aplicacoes
Procedimento	IT01-PR-0835-Controle-alteracao-em-sistemas-e-aplicacoes
Registro	IT01-PR-0837A-Mapa-de-atualizacoes-aplicadas-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro	IT01-PR-0837B-000000-Request-Atualizacao-sistemas-e-aplicacoes-recebidas-de-fornecedores
Procedimento	IT01-PR-0837-Controle-atualizacoes-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro	IT01-PR-0840A-Mapa-de-controle-chaves-criptografica-de-dados-e-certificados-digitais
Registro	IT01-PR-0840B-Etiqueta-envelope-contendo-senha-de-chaves-criptograficas-de-dados
Procedimento	IT01-PR-0840-Controle-utilizacao-chaves-criptograficas-e-certificados-digitais
Registro	IT01-PR-0850A-Requisitos-de-seguranca-na-aquisicao-e-implantacao-de-sistemas-e-aplicacoes
Registro	IT01-PR-0855A-Solicitacao-de-mudancas-change-request-CR
Registro	IT01-PR-0855B-DUM-documento-unico-de-manutencao-sistemas-e-aplicacoes
Registro	IT01-PR-0860A-Plano-de-mudancas
Registro	IT01-PR-0860B–RCA-analise-de-causa-raiz
Procedimento	IT01-PR-0860-Identificacao-e-tratamento-de-incidentes-de-seguranca-informacao
Procedimento	IT01-PR-0880-Procedimento-de-apuracao-de-responsabilidades-em-incidentes-de-seguranca-da-informacao
Registro	IT01-PR-0920A-Controle-dos-requisitos-legais-aplicaveis-ao-ambiente-de-ti
Registro	IT01-PR-0920B-Controle-dos-requisitos-tecnicos-e-normativos-aplicaveis-ao-ambiente-de-ti
Procedimento	IT01-PR-0920-Procedimento-de-controle-de-requisitos-legais-e-tecnicos-em-ti
Registro	IT01-PR-0930B-Relatorio-de-auditoria-e-revisao-da-qualidade-em-processos-de-ti
Registro	IT01-PR-0930D-Plano-de-acao-tratamento-nao-conformidades-em-processos-e-controles-de-ti
Procedimento	IT01-PR-0930-Procedimento-de-garantia-da-qualidade-em-processos-e-controles-de-ti

Read Full Post »

Gestão da Segurança da Informação – NBR 27001 e NBR 27002 – Por Flávia Estélia Silva Coelho – Escola Superior de Redes

Gestão da Segurança da Informação – NBR 27001 e NBR 27002

Material didático de apoio ao curso Gestão da Segurança da Informação da Escola Superior de Redes. O curso é focado na elaboração de um plano diretor para gestão da segurança da informação com base nas normas técnicas NBR 27001 e NBR 27002. O aluno aprende a identificar vulnerabilidades e riscos associados à segurança da informação; a aplicar as proposições fundamentais de uma política de segurança em uma organização; a propor planos de continuidade de negócios para organizações, considerando aspectos vigentes de legislação e direito digital.

Autora:  Flávia Estélia Silva Coelho

Copyright:  Escola Superior de Redes – RNP

Fonte Original: http://pt.scribd.com/doc/58008255/Gestao-da-Seguranca-da-Informacao-NBR-27001-e-NBR-27002 

Ver este documento no Scribd

Divulgação de Outras Publicações da Escola Superior de Redes – RNP / ESR – http://esr.rnp.br/

• Gestão de Riscos de TI – NBR 27005 – Por Edson Kowask – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/gerenciamento-de-projetos-de-ti-por-rodrigo-costa-escola-superior-de-redes-rnp/

• Gestão de Riscos de TI – NBR 27005 – Por Edson Kowask – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/gestao-de-riscos-de-ti-nbr-27005-por-edson-kowask-escola-superior-de-redes-rnp/

• Governança de TI – Por Edson Roberto Gaseta – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/governanca-de-ti-por-edson-roberto-gaseta-escola-superior-de-redes-rnp/

• ITIL – Information Technology Infrastructure Library – Por Felício Cestari Filho – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/itil-information-technology-infrastructure-library-por-felicio-cestari-filho-escola-superior-de-redes-rnp/

• Gestão da Segurança da Informação – NBR 27001 e NBR 27002 – Por Flávia Estélia Silva Coelho – Escola Superior de Redes

https://aghatha.wordpress.com/2012/11/03/gestao-da-seguranca-da-informacao-nbr-27001-e-nbr-27002-por-flavia-estelia-silva-coelho-escola-superior-de-redes/

Encontre uma das Unidades da Escola Superior de Redes – RNP / ESR perto de você ?

Unidade Brasília (DF) – http://esr.rnp.br/local/df-bsb

Instituto Brasileiro de Informação em Ciência e Tecnologia (Ibict)
(61) 3243-4340
(61) 3243-4341 fax

Unidade Cuiabá (MT) – http://esr.rnp.br/local/mt-cub

Universidade Federal do Mato Grosso (UFMT)
(65) 3615-8993

Unidade João Pessoa (PB) – http://esr.rnp.br/local/pb-jpa

Universidade Federal da Paraíba (UFPB)
(83) 3216-7932/ 7931

Unidade Porto Alegre (RS) – http://esr.rnp.br/local/rs-poa

Universidade Federal do Rio Grande do Sul (UFRGS)
(51) 3308-5900

Unidade Rio de Janeiro (RJ) – http://esr.rnp.br/local/rj-rio

Centro Brasileiro de Pesquisas Físicas (CBPF)
(21) 2275-5578

Unidade Salvador (BA) – http://esr.rnp.br/local/ba-sal

Universidade Federal da Bahia (UFBA)
(71) 3283-6140

Read Full Post »

Como Definir uma Politica de Seguranca Informacao – introducao conceitos estruturas e sugestoes

COMO DEFINIR UMA POLITICA DE SEGURANÇA DA INFORMAÇÃO

Introdução, Conceitos, Estruturas e Sugestões Práticas à Seguir.

 

COMO DEFINIR UMA POLITICA DE SEGURANÇA DA INFORMAÇÃO- Introdução, Conceitos, Estrutura e Sugestões a Seguir.

1 – Abertura e Objetivos

Neste artigo vamos tratar de um assunto muito discutido e denominado Politica de Segurança da Informação, abordando algumas dúvidas comuns e sugerindo algumas ações que possam ser adotadas para construir e implementar uma Politica de Segurança da Informação, citando alguns exemplos e práticas que possam ser aplicadas no dia a dia das empresas e com isto promover melhorias na Segurança da Informação.

Nosso objetivo é tratar o assunto de forma geral e não definitiva este assunto que é complexo e logicamente não poderemos trata-lo por completo nestas poucas páginas de texto,  fizemos nosso texto orientado aos colegas que não possuem domínio total do assunto mas que por algum motivo preocupam com o assunto e tem dificuldades em encontrar material de apoio relacionado a este assunto, principalmente em português, e ainda pensamos que também poderá proporcionar material de apoio aos colegas mais experientes, ou para aqueles que tratam da segurança da informação orientado ao Compliance a algum padrão ou legislação em particular.

2 – Introdução e Conceitos Básicos a Segurança Informação

Primeiramente precisaremos abordar alguns conceitos e ideias relacionadas ao assunto, elementos, características e atributos relacionados a uma Política de Segurança da Informação, são eles:

2.1 – Informação tem Valor e Precisa ser protegida.

Informação são todos os dados, fórmulas, contratos, documentos privados, o resultado econômico obtido, saldos bancários, projetos e fotos de produtos em desenvolvimento, propostas comerciais enviadas, propostas de fornecimentos recebidas, planos estratégicos, planos de marketing, a relação de clientes e fornecedores, os dados pessoais dos colaboradores, enfim todo o tipo de “informação” que “represente ou possua um determinado valor” ou ainda,  que possa vir a causar “prejuízo ou impacto negativo” caso venha a ser comunicado a elementos estranhos à organização.

Por mais elementar que possa parecer, é difícil fazer as pessoas entenderem o fato de que a informação “possui um valor” e em função disto deve ser “protegida por todos”, ou ainda, os motivos pelos quais  o “vazamento” de uma informação pode vir a trazer prejuízos para a empresa onde se atua,  ou mais ainda que a informação seja parte do “patrimônio de uma  empresa”, embora isto sejam conceitos, para alguns ainda são “paradigmas” a serem quebrados.

Vamos ilustrar duas situações hipotéticas como exemplos para que possamos transmitir e reforçar os conceitos de que a informação “possui mesmo um valor” e devido a este fato, “necessita ser mesmo protegida”.

• A informação possui Valor:

Vamos imaginar, durante um minuto, que você leitor é um colaborador, dentre vinte outros colegas de trabalho, e a sua função e dos seus demais é realizar a faxina das salas no final do expediente em uma Grande Empresa, (Destas, que ocupam diversos andares em um mesmo prédio).

Um dia ao passar por uma das mesas, percebe que há um papel caído no chão, você simplesmente o pega e em seguida o coloca no cesto de lixo, continuando a sua atividade normalmente junto com seus colegas de trabalho.

No dia seguinte, a secretária do Gestor Financeiro percebe que o papel onde havia imprimido o Balanço contendo os resultados do ano anterior (Aquele Balanço que ainda não havia sido divulgado externamente), o qual ela havia imprimido a fim de ganhar tempo na organização da reunião matinal do dia seguinte, percebe que o papel impresso sumiu da sua mesa. Rapidamente ela imprime uma nova cópia do documento, e a reunião ocorre na hora marcada e nada de mais acontece.

Passados alguns dias, e uma semana antes da data do balanço ser divulgado pela empresa,  o gestor financeiro da empresa recebe os cumprimentos pelo excelente resultado obtido pela sua empresa ano anterior, recebido casualmente durante um jantar num restaurante, e, ainda o “cumprimento” foi proferido por uma pessoa estranha à empresa. Mesmo sem entender o que está acontecendo, recebe o cumprimento com um sorriso amarelo no rosto e sem seguida continua o jantar meio sem jeito, pensando em um milhão de possíveis hipóteses na tentativa de “explicar” o evento ocorrido.

ONDE esta o valor da informação?

• Para você ou algum de seus colegas, foi mais um “lixo” colocado no “lixo”, e ainda, pode ter proferido algum “impropério” em homenagem ao desleixado que deixou “aquilo” caído no chão.
• Para a secretária, pode representar o consumo de uma folha adicional de papel mais a atividade de reimprimir o documento, além do “stress” de ter que imprimi-la novamente às pressas no dia seguinte, para não atrasar a reunião.
• Para o Gestor Financeiro, resta torcer para que o cumprimento recebido tenha sido uma “Obra do acaso, afinal de contas como o “fulano” poderia saber, e ainda mais uma semana antes da divulgação do Balanço…”.
• No entanto, esta informação para um investidor do mercado de ações pode representar a diferença entre “ganhar um pouco” ou “ganhar um pouco mais”, pois indica que a compra antecipada de um lote maior de ações desta empresa poderá render um pouco mais, ainda mais depois de ter a certeza que o resultado “antes presumido” foi “de fato muito bom”. A isto se denomina “informação privilegiada”;

Este exemplo é bem interessante, pois pode ser aplicável a muitos outros tipos de informações “perdidas ou extraviadas”. Imagine um pouco mais adiante, substituindo o “Balanço”, por outras informações, tais como: O “plano estratégico”, “projetos ou plantas de produtos”, “Plano Marketing”, o cadastro de clientes, e assim por diante.

Quando a possibilidade de alguém encontrar um papel importante no lixo, tenha a seguinte certeza em mente: “havendo uma grande quantia envolvida, haverá sempre alguém interessado em “dar uma olhadinha” na sua lixeira”, estão lembrados de que alguns anos atrás, alguém perdeu um bilhete premiado, e depois de dizer que havia colocado no lixo, houve uma horda de pessoas em direção ao lixão da cidade, a fim de encontrar o “tal bilhete”.

• A Informação precisa ser protegida.

Vamos investir mais um minuto imaginando outra situação: Onde você é o único responsável por salvaguardar uma fórmula de uma bebida ou refrigerante famoso, e que a empresa onde você trabalha, é o que é, devido à existência deste produto, o qual é fabricado através do uso desta formula.

É sensato concluir que empresa proprietária da formula, construiu esta “combinação de porções e ingredientes” depois de muitos anos de pesquisa, milhares de testes e uma soma incalculável de investimentos e recursos até que em algum dia conseguiu obter a “combinação ideal”.

É inegável, que a informação sob sua responsabilidade é algo que  representa e possui um “grande valor” e ainda, e que é “prioritário” que ela deve ser  protegida através da melhor forma possível.

Após entendermos as razões de valor de uma informação e entender que há motivos plausíveis para que ela seja protegida, surge à necessidade de aplicar ações neste sentido. Estas ações,  vistas de um nível mais alto em uma organização é o que se denominava há cem anos como “Instruções Técnicas de Segurança” e nos dias atuais de “Politica de Segurança da Informação”.

2.2 – Os atributos da Segurança Informação

Abaixo citaremos as principais características da segurança da informação, com base nestes atributos todo o resto é planejado e executado:

• Confidencialidade:

A Confidencialidade nos impulsiona primeiramente identificar e classificar o nível de sigilo das informações para depois tomar medidas protetivas para que não seja comunicada ou acessada por todos aqueles que não a necessitam para o restrito exercício de suas funções e estão devidamente autorizados para isto.

• Integridade:

As informações devem ser mantidas intactas e protegidas para que não se percam ou se deteriorem e precisa ser protegida contra agentes que possam destruí-la ou torná-la indisponível no momento em que se fizer necessária. A informação deve ter a sua integridade assegurada.

• Confiabilidade:

As informações somente poderão ser alteradas ou modificadas por pessoa treinada ou capacitada para tal, evitando que uma informação seja invalidada por alguma atividade não regular ou realizada sem o devido controle. A informação deve ser confiável.

• Disponibilidade:

De nada adiante atender os itens anteriores se a informação não estiver disponível para ser utilizada, no momento em que for necessária para alguma ação ou atividade. A informação deve estar disponível no momento certo.

2.3 – A Informática e a Segurança da Informação.

No inicio do século passado, seria necessário adquirir um “cofre com proteção contra incêndio” e organizar uma “Sala de Arquivo bem trancada” podíamos resolver uma boa “parcela” do problema.

Adicionando a isto, uma instrução identificando quais informações deveriam ser depositadas no “cofre” e quais deveriam ser depositadas no “arquivo”, o assunto estaria “sob controle”.

Atualmente, com uso cada vez maior e mais amplo da Informática, e agravado ainda pelo advento da expansão de uso da internet dos últimos 10 anos, o “problema” que já era complexo, se tornou em “algo” que pode envolver uma dezena de profissionais para ser tratado e executado para se conseguir um “nível aceitável de controle”.

E, devido à estra complexidade e a dimensão que as informações tomaram nas organizações surge à necessidade de uma Politica de Segurança da Informação nos termos requeridos dos dias atuais, não que isto não existisse no passado, mas certamente não era um assunto “tão complexo” como pode vir a ser nos dias atuais.

2.4 – Analise de Risco e as Ações de Segurança da Informação.

Há alguns motivos importantes, para identificar os riscos antes iniciar atividades destinadas melhorar os níveis de segurança da informação, embora já tenhamos observado empresas partirem diretamente para as ações de segurança da informação sem que tenham efetuado uma avaliação preliminar de riscos existentes ou ainda,  sequer possuem um processo formal  orientado ao  gerenciamento de riscos. No entanto a recomendação é primeiramente sejam identificados os riscos de TI e na sequencia, sejam  iniciadas as atividades de Gerenciamento da Segurança da Informação.

Vejamos algumas vantagens de avaliar os riscos anteriormente:

1-      Há modelos de referencia que nos indicam os riscos relacionados à segurança a informação, elaborados com base no impacto econômico que uma situação de risco  pode acarretar ao negócio. Estas referencias foram criadas a partir de lições apreendidas baseadas em fatos reais ou, ainda,  baseadas na probabilidade de que algumas situações possam vir a ocorrer e causar impacto ao negócio. O Importante é reforçar que o uso destas recomendações pode auxiliar na identificação da maioria das situações de risco relacionadas à segurança da Informação e podem ainda indicar as eventuais medidas de mitigação a serem tomadas.

Estas informações podem ser obtidas em organizações como ISACA, PCAOB, COSO e resumidamente em algumas normas ISO-IEC da série 27000.

2-      Os modelos de referencia nos apresentam uma visão completa da Segurança da Informação,  lembrando que uma equipe de TI composta por 20 Pessoas possui os mesmos problemas a resolver do que uma equipe de TI composta por 300 ou mais Pessoas, o ambiente pode até ser menos complexo, mas os riscos e as questões relacionadas à segurança da informação e as responsabilidades assumidas pelo TI, não são exatamente as mesmas, apenas  por “detalhes”.

Outra razão importante, é que nem sempre possuímos o orçamento necessário para mitigar “todos os riscos”, e podemos fazer uso da tabela se risco e as suas  classificações para focar na mitigação nos riscos mais críticos, deixando os de menor criticidade (Aqueles que representam menor gravidade/impacto para o negócio),  para serem tratados em um segundo momento ou simplesmente aceita-los.

De outro lado, quando partimos diretamente para o Gerenciamento da Segurança da Informação, sem a investigação prévia dos Riscos de TI, poderemos verificar algumas situações quepoderiam ser evitadas, tais como:

1- Podemos atuar em uma situação que envolva segurança da informação, onde o impacto ao negócio pode ser baixo, e eventualmente deixar de atuar em uma situação onde o impacto seja alto;

2-      Podemos ser levados a gastar mais do que o prejuízo causado pela ocorrência do fato em si.

3-      Podemos avaliar mal a amplitude de um evento de segurança,  deixando de fora ou sem tratamento elementos importantes da sua composição.

4-      Podemos atuar nas consequências e não nas causas dos problemas.

3 – Referencias técnicas para elaboração de Politica de Segurança Informação

Se você não possui uma Politica de Segurança da Informação, ou já possui uma e pretende verificar se ela está de acordo com as recomendações do mercado, sugerimos utilizar as normas ISO-IEC-27001 e ISO-IEC 27.002 como ponto de partida para a sua análise, pois ambas proporcionam a descrição das recomendações dos requisitos e das práticas que precisaremos adotar para primeiramente elaborar e depois cumprir o que foi definido na Politica de Segurança da Informação.

Há ainda, assuntos técnicos ou relacionados à infraestrutura e serviços técnicos de TI, que precisam ser adotados e estão disponíveis nos modelos do ITIL, PMO, e das  recomendações contidas nas Normas ISO-IEC-20.000:1 e 2, pois estes processos que são mais bem tratados através destas fontes complementares / normas.

3.1 – Composição Básica Sugerida para a Politica de Segurança da Informação.

Em tese, a Politica deve conter as diretrizes a serem cumpridas por todos na organização, se entendermos que devemos ter pelo menos uma diretriz para cada um dos grupos de assuntos (Capítulos) previstos pela norma ISO-27.002, nossa Politica de Segurança da Informação não deverá possuir mais de 2 ou 3 páginas.

É importante alertar que dependendo do segmento de mercado ao qual a empresa atua,  ela poderá ser “obrigada” a cumprir além dos requisitos contidos na norma, alguns outros elementos adicionais de segurança, muito mais em razão das diferenças contidas em sua “Matriz de Riscos” do que pela adoção ou não de uma determinada especificação contida na norma.

Ao final de algum tempo, você deverá atingir além da Politica, alguns grupos de Normas e Procedimentos, que possibilitem a cobertura de todas ou quase todas as recomendações contidas na referidas normas.

Modelo acima representa o Mapa Geral contendo a Politica, Normas e todos os Procedimentos necessários para a implementação de um Sistema de Gerenciamento de Segurança da Informação, do qual a Politica de Segurança da Informação é o elemento central e responsável por estabelecer todos os demais níveis de controle e das devidas evidencias destinadas a sua comprovação.

4 – Fatores Críticos de Sucesso

Há alguns fatores críticos para o Sucesso durante a implementação de um Sistema de Gerenciamento da Segurança da Informação, vamos citar aqui os principais:

4.1 – Resistencia Natural das Pessoas Envolvidas no Processo.

Como é de se esperar em todo o processo que envolve mudanças há resistência natural das pessoas, e no caso da segurança da informação especificamente há um detalhe a “desinformação sobre o tema”. As pessoas não “entendem facilmente”, pelo menos no início, o real motivo e a necessidade de tantos controles, processos e evidencias, e não é raro, observarmos algumas reações, dentre as mais diversas possíveis, no momento de colocar em pratica alguma ação orientada a promover a segurança.

E para ilustrarmos isto, vejamos alguns exemplos:

• “A empresa resolveu burocratizar as coisas”,
• “A empresa perdeu a confiança e por isto retirou os meus privilégios de acesso”,
• “Eu sempre fiz assim e sempre deu certo, porque mudar agora”,
• “Eu acho que a empresa vai me demitir”,
• “Eu sei como fazer, mas não consigo colocar o que eu faço num papel”,
• “Não consigo trabalhar direito sem usar o meu chat”.
• “Não consigo mais acessar o meu e-mail pessoal aqui na empresa”.
• “Se o diretor pode, eu também quero”.
• Entre outras.

A boa notícia é que estas reações deixam de existir com o passar do tempo, quando as mesmas pessoas são treinadas e recicladas e as reações mudam bastante na medida em que vão entendendo o que de fato é “Segurança da Informação” e como este assunto é importante não só para a empresa, mas para si próprias.

4.2 – Apoio da Alta Direção / Gestores.

O Apoio dos gestores é fundamental para que a Politica de Segurança da Informação sejam efetiva, sem a presença deste apoio, iniciar qualquer ação neste sentido é algo no mínimo “temerário”.

Exemplo de ações onde o apoio da Alta direção será  necessário:

• Há pontos que para serem tratados adequadamente, é necessário incluir clausulas adicionais em contratos de trabalho, termos de confidencialidades, Adesão a Regras de Navegação e Uso de Internet, Código de Ética e Conduta, e tantos outros itens com amplitude geral na empresa;
• Segurança da informação abrange todos os funcionários da empresa, sem distinção de cargo ou função. Segurança é responsabilidade de todos, conseguir materializar isto sem o apoio da Alta Direção é uma missão quase impossível.

 4.3 – Treinamentos e Reciclagens constantes

Prover treinamentos regulares em Segurança da Informação aos colaboradores além de fundamental é o que de fato garantirá o sucesso da aplicação das diretrizes contidas na Politica de Segurança da Informação.

4.4 – Auditorias e Verificações Regulares

Recomenda-se a realização de auditorias ou verificações de Compliance nos processos estabelecidos, a própria norma estabelece em um de seus capítulos este controle de forma regular e constante.

Se os processos não forem periodicamente revisados, corre-se o risco de cair em desuso ou perder a oportunidade de simplifica-lo ou melhora-lo com o passar do tempo.

Mesmo que você não tenha o objetivo de certificar os processos de segurança, aos mesmos moldes dos processos de qualidade, é importante que um grupo de avaliadores, mesmo que internos verifiquem periodicamente a regularidade dos processos e controles.

5 – Por Onde Começar e o que fazer?

Sugerimos inicialmente a realização de um estudo considerando o volume de  custo e esforço necessário para a realização do projeto de compliance, sendo também muito importante obter o apoio da organizaçao e principalmente dos gestores nesta fase inicial do projeto. A Norna ISO-27003:2010 possui um roadmap sugerido para a implementação do sistema da segurança e pode ser de grande auxílio na organização e execução as ações necessárias.

É importante ter em mente que obtendo o “Compliance em Segurança da Informação” você estará construindo as bases para o compliance em diversas outras categorias de compliances existentes, tais como Governança TI e Corporativa, PCI, ANTT – Agencia Nacional Transportes Terrestres, Acreditação Segurança ao Fornecimento Serviços, Sarbanes-Oxley, Basel entre outros.

Caso tenha dúvidas em relação ao estudo dos custos, montamos a algum tempo um template destinado a comparar o volume de custos e esforço construindo todos os processos a partir do zero e com o apoio de um consultor especialista e uma outra hipótese considerando a utilização de modelos pré-definidos. Este template está disponível para download sem nenhum custo em nossa webstore na seção Brochures, no endereço http://www.aghatha.com

5.1 –  Adotar modelos pré-definidos para a organização de Processos e Controles Segurança da Informação – ISO-27002:

Conheça nosso AGHATHA Framework para o Compliance da Norma ISO-27002:2005,  mais detalhes sobre este produto podem ser conhecidas no post abaixo:

https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Você pode licenciar o uso deste framework em nossa webstore, veja no endereço abaixo o link de acesso as informações sobre o AGHATHA Framework – Compliance Norma ISO-27002 – Segurança da Informação.

http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

 

5.2 – Contruir você mesmo com o apoio de sua equipe os Processos e Controles Segurança Informação – ISO-27002:

Em artigo anterior a este tratamos algumas sugestões de como adotar as melhores práticas contidas na Norma ISO_IEC-27.001 e 27.002, o artigo aborda o que fazer, e ainda sugere em linhas gerais como adotar as recomendações previstas por estas normas.

Este artigo pode ser visualizado em:

https://aghatha.wordpress.com/2011/05/22/compliance-de-processos-norma-isoiec-27-002-gerenciamento-de-seguranca-informacao/

Há ainda outros artigos relacionados especificamente em como Organizar a documentação de processos e boas práticas em TI, incluindo o template sugerido por nos para ser utilizado na descrição dos processos.

Este artigo pode ser visualizado em:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

Caso o leitor se habilite a levantar e desenhar os processos e controles escrevemos três artigos que tratam deste assunto, considerando o que deve ser feito a partir dos  conceitos, métodos, símbolos, e exemplos de como descrever os processos e como desenhar os respectivos fluxogramas.

Estes artigos estão disponíveis em:

1 Parte: Introdução, Conceitos e Modelos

https://aghatha.wordpress.com/2011/07/03/como-desenhar-fluxogramas-de-processos-de-negocio-1-parte-introducao-conceitos-e-modelos/

2 Parte – Levantamento, Analise e Desenho do Fluxograma

https://aghatha.wordpress.com/2011/07/10/como-desenhar-fluxogramas-de-processos-de-negocio-2-parte-levantamento-analise-e-desenho-do-fluxograma/

3 Parte – Analise de Capacidade e Carga dos Processos

https://aghatha.wordpress.com/2011/07/16/como-desenhar-fluxogramas-de-processos-de-negocio-3-parte-analise-capacidade-carga-processos/

• Este artigo está disponível para download no formato de Documento (PDF) na pagina destinada a Noticias e Download   no site da AGHATHA, no seguinte endereço:  Http://www.aghatha.com/index.htm

Você pode ainda, Adotar Bibliotecas Contendo Modelos, Processos e Controles Prontos e Preparados para serem utilizados rapidamente.

Conheça nossa Biblioteca de Modelos – Licenciamos o Uso de Frameworks contendo todos as Politicas, Normas, Procedimentos e Controles para o Compliance de TI, isto é uma forma rápida, econômica e eficiente de implementar estes padrões, sem ter de desenha-los a partir do Zero, ou ainda, utiliza-los na complementação / revisão dos processos já existentes.

Caso tenha interesse em conhecer esta solução, veja mais detalhes abaixo:

• FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI

Convidamos a Navegar pelo em Nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI. você poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

Em nossa webstore, onde os 175 modelos (Politicas, Normas, Procedimentos e Controles podem ser licenciados on-line) em : http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

Ou ainda, Leia mais sobre este mesmo assunto,  em nosso POST.

https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

—–

· Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina : http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

Compartilhe este post:

———

Declaração e Preservação de Direitos Autorais e de Propriedade:

Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

• COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
• Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (http://www.aghatha.com/index.htm  / Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
• COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
• ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
• ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
• PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
• PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

– Fim Artigo

—- Fim Conteúdo Artigo —-

 

Read Full Post »

Compliance de Processos – Norma ISO/IEC-27.002 – Gerenciamento de Segurança Informação

SUGESTÃO DE ESTRATÉGIA – ADOÇÃO DAS RECOMENDAÇÕES DA NORMA ISO-IEC-27.002 – SEGURANÇA DA INFORMAÇÃO

Sugestão de estratégia – adoção das recomendações da norma ISO-IEC-27.002 – Segurança da Informação

Uma estratégia vencedora pra implementação de melhores práticas é adotar os frameworks através de níveis organizacionais, ou seja:

Politicas:  Estabelecer o nível estratégico a ser cumprido na adoção das melhores práticas. É atribuída pelo nível diretivo das organizações e estabelece as diretrizes gerais a serem observadas por todos.

Normas: Estabelecer o nível tático e estabelece as regras a que as áreas operacionais deverão observar para o cumprimento das diretrizes ditadas pelas políticas. É atribuída aos gerentes e gestores das áreas envolvidas em cada framework a ser adotado.

Procedimentos: Estabelecer o nível operacional e estabelece o “como será feito!”, descrevendo passo a passo as atividades, responsáveis, evidências a serem produzidas, e ainda em um segundo momento, poderão ser adotadas métricas que possibilitem a medida de eficiência e de nível de serviço auferido pelo processo.

Adotar a implantação dos modelos através destes três níveis possibilita a formalização dos processos recomendados pelas melhores práticas, e distribui o escopo de cada recomendação nos diversos níveis da organização.

SUGESTÃO DE APLICAÇÃO DAS RECOMENDAÇÕES DA NORMA NOS ATRAVÉS DOS NÍVEIS DE DOCUMENTOS. 

– Politicas:

Confeccionar uma ou mais políticas, adotando formalmente as recomendações  estabelecidas pela Norma.

– Normas:

Cada Capítulo da Norma ISO-IEC-27.002, possui definido um objetivo e controles a serem implementados. Normalmente isto pode ser adotado criando uma norma para cada item, ou seja,  devem-se definir as regras de aplicação do conteúdo de cada capítulo.
Um fato interessante é que a ISO-27002 tem recomendações genéricas (O Que fazer?), mas não detalha o (Como Fazer?).  Para que o escopo do projeto de adoção fique adaptável à realidade de cada organização, é necessário estabelecer através de regras, o que será feito e quais os critérios deverão ser adotados para cada capítulo da norma.

– Procedimentos:

Cada capítulo estabelece os controles que devem ser adotados, estes, uma vez delimitados pelas Regras de como a empresa adotará ou não alguma recomendação, acabam por estabelecer quantos controles deverão ser criados e consequentemente quantos processos devem ser organizados.

Cada controle é lastreado por um processo, o qual tem como escopo definir as atividades e responsáveis pela execução do controle, e qual artefato será produzido durante a realização de cada ação ou atividade. Finalizado o processo devemos ter em mãos uma evidencia de que a atividade foi realizada.

DICAS:

Os processos devem ser construídos e relacionados seguindo uma ordem de baixo para cima, ou seja:

– Controle de Riscos – Sec 4.
– Controles de Politicas e Organização da Segurança – Sec 5,  6 e 15.
– Controle de Ativos – Sec 7.
– Controle de RH – Sec 8.
– Controle de Segurança Fisica – Sec 9.
– Controle de Operações e Comunicações – Sec 10.
– Controle de Acessos Lógicos – Sec 11.
– Controle de Aquisição e Desenvolvimento de Sistemas – Sec 12.
– Controle dos Incidentes de segurança – Sec, 13

– Controle de Continuidade do Negócio. Sec 14,
Recomendamos implementar esta seção em uma etapa seguinte a implementação das seções anteriores, pois para que um plano de continuidade de negócio possa ser estruturado e testado de forma eficiente, devem estar implementados os controles de ativos, acessos, operações e comunicações e devidamente gerenciados em relação a gestão de mudanças, convém adotar também os requisitos estabelecidos pela Norma ISO-IEC-20.000 – Gerenciamento de Serviços de TI.

Outros Artigos Relacionados:

• Veja Artigo sobre como Formatar, Organizar Documentação de Processos em TI para implementar boas práticas em:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

•  Veja Artigo sobre como desenhar fluxogramas de processos de negócio em:  https://aghatha.wordpress.com/2011/07/03/como-desenhar-fluxogramas-de-processos-de-negocio-1-parte-introducao-conceitos-e-modelos/—-

Este artigo está disponível para download no formato de Documento (PDF) na pagina de Download  do Site da AGHATHA  em :  Http://www.aghatha.com.br

—- Fim Conteúdo Artigo —-

Agradecimentos e Convites:

As informações e comentários existentes neste artigo são o fruto de observações e experiências adquiridas pelo autor durante a  execução de projetos ao longo de 30 anos de atuação no mercado. Utilizamos este espaço para a divulgação e intercâmbio destes conhecimentos junto aos nossos leitores, clientes e amigos.

Caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

Consultoria@aghatha.com.br

• Siga-nos pelo Twiter, e receba comunicados de novos artigos e/ou revisões deste texto.  
• Convidamos a participar de nossos Grupos de Discussão no Linkedin: https://aghatha.wordpress.com/aghatha_grupo_de_usuarios_ti/

———
———

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.

———

Declaração e Preservação de Direitos:

 Todas as demais marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

•  COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
• Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (http://www.aghatha.com.br / Http://www.aghatha.com ), sendo os direitos preservados todos os direitos autorais e exploração comercial.
• COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
• ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
• ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
• PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
• PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

— Fim Artigo

Read Full Post »