Políticas de segurança da informação

Nesse artigo iremos abordar um tema muito importante: as políticas de segurança da informação (PSI). Seja você um pequeno, médio ou grande empreendedor, é preciso fazer uso correto desse item na sua empresa. As PSI são, na verdade, um planejamento dos seus ativos de informação (tudo aquilo que gera valor ou contém informações), sejam elas digitais ou não. Essas políticas são norteadas, basicamente, por três princípios básicos. São eles:

• Diz respeito ao acesso das informações. (Quem acessa o que)
• Diz respeito a manipulação das informações (Quem altera o que)
• Diz respeito às informações estarem “sempre” disponíveis para quem é autorizado.

Para se ter uma ideia do tamanho da importância dessas políticas, elas foram regulamentadas pela ISO 27001, que possui uma série de diretrizes a serem implementadas para você obter um melhor resultado. Vamos, de forma resumida, apontá-las aqui.

1-) Comece pelo diagnóstico. Antes de mais nada, é necessário identificar bem seus ativos que circulam na sua empresa. A partir disso, é possível hierarquizá-los e, posteriormente, priorizá-los. Tudo aquilo que você julga importante em algum momento, seja um e-mail, uma agenda (digital ou não), banco de dados, planilhas, documentos (impresso ou não), deve ser categorizado e priorizado. Lembre-se: estamos falando de segurança da informação. Nem tudo na sua empresa está em meios digitais. CUIDADO com aquele pedaço de papel que você guarda na gaveta da mesa, com a senha da sua conta de e-mail ou até do cartão bancário. Ela não deveria nem existir, mas, se existe, tenha pelo menos chave para fechar a gaveta.

2-) Elabore o seu PSI. Após ter feito o mapeamento, iremos fazer uso de alguns tópicos, classificando cada política para ser aplicada em toda a empresa. Uma boa prática, é envolver os colaboradores de setores diferentes em uma brainstorm (Chuva de ideias para dinâmicas de grupo) São eles:

• Definição das rotinas de backups. Isso já foi alvo de um artigo nosso em algumas edições passadas, mas não custa lembrar. Quando, onde e como serão feitos os backups?. Quem é o responsável? Quem faz os testes?
• Definição de senhas. Tamanhos das senhas, tempo de validação. Isso é aquele velha história. Podemos, de forma rápida, dizer para os gestores qual usuário fez determinada rotina dentro do sistema, através do log de atividades. Contudo, não podemos afirmar se foi determinada pessoa. Aquele “jeitinho” do brasileiro, de saber ou “emprestar” a senha para outro e depois, esquecer de alterá-la.
• Controle de acesso aos espaços. Quem pode entrar em determinado local? Que horas pode? Existe a possibilidade de um acompanhante? É o famoso, “cara-crachá”. Pode ser desnecessário atentá-los a isso, mas sua importância é igual aos demais tópicos.
• Graus de acesso. Toda informação tem como propósito fornecer uma linha de decisão, seja ela qual for e de diferentes relevâncias. Mas o diretor terá mais privilégios do que seu gerente, que terá mais privilégio que seu coordenador, que terá mais sobre seu encarregado e daí por diante. Usei essa analogia de cargos, mas pode ser por funções, grau de abrangência, influência, etc. O que não pode ficar é sem tais definições. Lembra do log de atividades. Para as informações contidas em seu ERP, se todos os usuários podem cadastrar clientes, pra que segurança nesse módulo? Não faz sentido. Alguém cadastra, outro libera o crédito e outro cuida da atualização.
• Contingência e risco. Elabore e posteriormente trabalhe pensando sempre que um dia você pode (e poderá) perder suas informações. O que preciso para evitar isso? Priorize o que é de extrema importância para você ou sua empresa. Trabalhar com riscos, faz parte do dia a dia. O que você precisa evitar, é o essencial. O que é essencial? É tudo aquilo que você precisa “rodar” para sua empresa funcionar o básico. Há muitos processos rodando no dia a dia, mas nem todos possuem o mesmo grau de relevância para seu negócio. Um ótimo exemplo é o setor de transporte aéreo.

3-) Implemente seu PSI. Essa é, sem dúvida, a mais árdua das tarefas, uma vez que mexe com a cultura dos diretores e da empresa. Exige o envolvimento de todos. Exige disciplina, em montar treinamentos, divulgação das PSI e não menos importante, a sua reciclagem. Uma PSI válida para hoje, pode se tornar obsoleta amanhã. O mundo dos negócios é dinâmico,e as suas vulnerabilidades e riscos também. Tenha uma política das políticas. Qual é? Revisão periodicamente do seu plano de segurança da informação.

Para maiores informações, segue o link da ISO 27001

E até o próximo artigo, pessoal.

Alexandre Panizza Perdigão

Gestor de relacionamentos e parcerias da TopLink