SWOT, Porter, BCG Matrix, SMART and ScoreCard tooltips for "Enterprise Information Security Mgmt" and consolidation of Key Performance Indicators (PKIs)

1. Pós-Graduação 2009
Gestão Corporativa em
Segurança da Informação
Jairo Willian Pereira
Sec+, Net+, MCSO, ITIL, LPIC, MCSA & MCSE Certified
jairo.pereira@gmail.com

2. Cronograma
Semana Teoria Prática
Conceituação Básica SI
1 E01
Conceitos de Gestão de Risco
Histórico do Surgimento das Normas de Segurança E02
2
Sarbanes Oxley
ISO/EIC 15408 (CC)
3 E03
ITIL
Família 2700x (BS-7799) E04
4
COBIT
Planejamento Corporativo de Segurança da Informação
5 P01
Primeira Avaliação - Dissertativa
Apresentação Trabalhos:
BS 25999 – Gestão de Contiuidade de Negócios T01
6 RFC 2196 – Gestão de Resposta à Incidentes de Seguranca
Legislação Brasileira T02
COSO - Committee of Sponsoring Organizations of the Treadway Commission
2 CON – A5

3. Índice Gestão
1. Por que?
2. Implementando gestão
3. Contexto para Risk Management
4. Plano estratégico
5. Finalizando...
6. Considerações finais
7. Cartoon
8. HomeWork
9. Links
10. Dúvidas
3 CON – A5

4. Por que?
 NBR ISO/IEC 17799:2005 (27002):
“Convém que uma estrutura de gerenciamento
seja estabelecida para iniciar e controlar a
implementação da segurança da informação
dentro da organização.”
4 CON – A5

5. Por que?
 Uma necessidade complexo existe
• Um negócio;
• Um escopo;
• Uma “metodologia”;
• Ferramentas ou facilitadores;
• Responsáveis (recursos);
• Objetivos;
• Monitoramente e métricas;
• Adequações (plano de ação);
• Revalidações circular.
5 CON – A5

6. Por que?
Ameaças Agentes
Vulnerabilidades
Controles Ativos
Riscos a
Segurança
Medidas de Valor dos Ativos e
Segurança Impactos Potenciais
6 CON – A5

7. Por que?
 Problema Segurança > organização!
• Convém que ameaças sejam eleminidas;
• Que agentes de ameaças possam ser contidos;
• Vulnerabilidades sejam administradas;
• Impactos possam ser minimizados.
{Organização}
7 CON – A5

8. Por que?
 Riscos são eternos companheiros  RM
• Mitigar; • Transferir;
 Contra-medidas - tratamento;  Uso de terceiros;
• Aceitar; • Contenção;
 Conviver com problema;  custo x benefício ruim! [X]
8 CON – A5

9. Por que?
 Ambiente Legal “dura lex, sed lex”
9 CON – A5

10. Como? Seqüência Implementação
10 CON – A5

11. Como? Seqüência Implementação
 Quanto aos processos...
• Devem ser corretamente definidos – evitar lacunas!
 Coleta e consolidação de índices e indicadores;
 Controle e acompanhamento do projeto;
 Condições ambientais (contexto da gestão de riscos)
 Comunicação e Consulta
 Reportes de incidentes, etc.
11 CON – A5

12. Como? Seqüência Implementação
 As responsabilidades, devem ser...
• ...corretamente atribuídas e divulgadas!
 Claras;
 Documentadas;
 Compartilhadas & informadas oficialmente;
 Ter envolvimento de todos (todos são responsáveis);
 Top-Down  propagação/implementação hierárquica.
12 CON – A5

13. Como? Seqüência Implementação
 Funções x Responsáveis
Conselhos/Direção E Administração Geral
Comitês T Planejamento
Fóruns Operação
O
13 CON – A5

14. Como? Seqüência Implementação
P
O
S
I
Ç
Ã
O
14 CON – A5

15. Metodologia - prover aprendizado
 Política de Segurança?
15 CON – A5

16. Metodologia - prover aprendizado
 Política x Direção + Declaração
Uma política deve ser desenvolvida, seguindo preceitos
da NBR ISO/IEC 17799. Este documento tem o objetivo
de prover uma diretriz, que declare formalmente os
princípios e valores quanto ao tratamento das informações.
O endosso deve ser feito pelo representante de maior
cargo hierárquico, comunicando da sua adesão às normas,
procedimentos e das responsabilidades de todos
quanto a sua implementação, respeito e manutenção.
16 CON – A5

17. Metodologia - prover aprendizado
17 CON – A5

18. Por que?
 Análise de Risco x Gestão Conhecimento
• Aproxima Segurança e Gestão de Negócio
• Apóia efetivamente a Gestão de Segurança
• Análise de Risco ≠ Análise de Vulnerabilidades
• Permite melhor conhecimento do “ambiente”
• Base para operações de “Continuidade do Negócio”
18 CON – A5

19. Por que?
 Conhecendo o ambiente...
19 CON – A5

20. Por que?
 Metodologia de Apoio
• Norma AS/NZS 4360:2004
Gestão de Riscos (referencial)
ISO/IEC Guide 51 – Aspec./Voc. iSec
ISO/IEC Guide 73 – Vocabulário RM
ISO 3534-1 - Estatística, Símbolos…
ISO 9000 – Qualidade
ISO 15489 - Gestão de registros
...
20 CON – A5

21. Contexto para RM
 Estabelecendo o contexto
O estabelecimento de contexto, é essencial para observar que
stakeholders e objetivos sejam considerados no modelo.
21 CON – A5

22. Contexto para RM
 Desenvolvendo “critérios de riscos”
Impacto
# Ativo Vulnerabilidade Ameaça
P I E TOTAL
Servidor Sem atualização Invasão do Servidor,
WEB DMZ de patches Buffer Overflow
HUB rede Mal uso equipamento, Sniffing,
almoxarifado indisponibilidade Furto de dados
Senhas de Invasão do sistema,
Senhas compartilhadas
usuários Sequestro de sessão
Roteador de IOS desatualizado e Invasão,
borda com bug indisponibilidade
Processo - O que pode acontecer, quando, onde e por quê!
(brainstorms, checklist, históricos, análise de cenários...)
22 CON – A5

23. Contexto para RM
23 CON – A5

24. Contexto para RM
24 CON – A5

25. Contexto para RM
 Análise de Risco, variáveis e considerações
● fontes de riscos ● conseqüências ● probabilidade
Objetivo RA: verificar eventuais falhas de seguranças que
se concretizem em vulnerabilidades que possam vir a
ser utilizadas por agentes de ameaças e causar
impacto à organização. Sua RA pode ser:
• Qualitativa – adjetivos para descrever a magnitude dos riscos
• Semiquantitativa - atribui-se valores às escalas qualitativas
• Quantitativa – utiliza valores numéricos (precisão e completeza)
25 CON – A5

26. Contexto para RM
 Avaliação de Risco e variáveis
Tem por finalidade a tomada de decisão, baseada
nos resultados da análise de riscos, sobre quais riscos
precisam ser tratados, bem como a sua prioridade.
Os parâmetros utilizados para aceitar ou não os
riscos devem ser os critérios definidos quando
do estabelecimento do contexto inicial.
26 CON – A5

27. Contexto para RM
 Tratamento de Riscos
A definição das possibilidades de tratar as vulnerabilidades existentes
de modo a minimizar riscos que a organização está exposta.
Planos de ações com controles necessários são definidos, sendo que
para vulnerabilidades não eliminadas ou residuais, devemos:
 procurar alternativas para minimizar a probabilidade/conseqüências.
27 CON – A5

28. Contexto para RM
 Monitoração e Análise Crítica
A monitoração e a análise critica têm por objetivo assegurar
que o plano se mantenha pertinente e adequado às
necessidades da organização.
● Fatores diversos podem alterar probabilidade e/ou a conseqüência;
● Análise de indicadores e índices - medir o desempenho da gestão
● Aprendizado com ocorrências e outros históricos
28 CON – A5

29. Plano Estratégico
 Outros aspectos importantes
A correta identificação de processos de negócio da
organização deve permitir a compreensão de como estes
interagem com os sistemas de informação e a infra-estrutura,
possibilitando o planejamento correto das ações de segurança.
29 CON – A5

30. Plano Estratégico
 Plano Estratégico
A gestão da SI deve possuir uma visão de longo prazo,
porém não se descuidando do curto e médio prazo.
● É fundamental a elaboração de um Plano Estratégico para que
a organização se prepare com relação à recursos necessários:
• Aquisição de equipamentos
• Programas de treinamento, divulgação e conscientização
• Análise de riscos corporativas e específicas para ambientes
• Elaboração de um BCP/PCN
• Testes de invasão, DRP e engenharia social
• etc.
30 CON – A5

31. Plano Estratégico
 Inventário dos ativos
“O correto levantamento do inventário dos ativos de
informação é imprescindível ao sucesso da gestão
de riscos! Conhecer para poder se proteger!”
“A Administração torna-se muito mais fácil quando existe
uma base única e atualizada para referência”
CI x CMDB
31 CON – A5

32. Plano Estratégico
 Inventário dos ativos - Manual
32 CON – A5

33. Plano Estratégico
 Inventário dos ativos – Automático OS
33 CON – A5

34. Plano Estratégico
 Inventário dos ativos – Automático COM
34 CON – A5

35. Plano Estratégico
 Índices e indicadores
Forma de avaliar o sucesso das atividades desenvolvidas
• Nível de Riscos - RMF Indicadores Nivel Up/Down
• Índice de Compliance - ScoreCard
Node01 99,99
• Sistemas em funcionamento - SLA / SLO Node01 99,99
•
Node01 99,99
Eventos mais críticos - Mapping Node01 99,99
• Incidentes reportados (usuários) - SrvCalls O referido ativo, encontra-se
•
dentro do SLA
Solicitações/Incidentes automáticos - Threshold proposto
inicialmente pelo
• Turnover de recursos - FPR cliente.
• Disponibilidade de CI´s - Traps&Alarms
“Metas devem ser definidas e revistas de forma constante!”
35 CON – A5

36. Plano Estratégico
 Índices e indicadores
“ Em Deus eu acredito,
todos os outros
precisam mostrar dados ”
William Edwards Deming
36 CON – A5

37. Plano Estratégico
 Relacionamento externo
É importante que sua organização se relacione com
outras entidades e autoridades competentes.
• Corpo de Bombeiros
• Defesa Civil
• Policia Civil, Militar e Federal
• Entidades de classe
• Eventos de segurança, sociais, etc.
37 CON – A5

38. Plano Estratégico
 Qual o problema? Tecnológico?
E as pessoas?
Exemplos...
38 CON – A5

39. Plano Estratégico
 Qual o problema? Conscientização/cultura?
39 CON – A5

40. Plano Estratégico
 Exempli gratia  Engenharia Social
Engenharia social, é o termo utilizado para qualificar o tipo
de intrusão não técnica, que coloca ênfase na interação
humana e, frequentemente, envolve a habilidade de enganar
pessoas, objetivando violar procedimentos de segurança.
40 CON – A5

41. Plano Estratégico
 E.g.  Engenharia Social
Marcelo Contti enrolou atores, empresários, jornalistas e
promotores do carnaval do Recife/PE (Recifolia, 2001).
Viveu dias de empresário, torrando R$ 100 mil dos “amigos”,
beijando bocas de “chiques e famosas” e incorporando personagens
sedutores, porém trambiqueiros do cinema.
Passando-se pelo filho do dono da Gol Linhas Aéreas - Henrique
Constantino, pulou três dias de carnaval com João Paulo Diniz,
Álvaro Garnero, e dos atores Cristiano Rangel e Ricardo Macchi.
Posou para fotos ao lado das modelos Marinara e Feiticeira,
e ainda ousou dar entrevistas para o programa Flash,
apresentado por Amaury Júnior. [!]
41 CON – A5

42. Plano Estratégico
Visão Holística ■
Controles:
Devem ser aplicados em todos os ciclos e níveis
42 CON – A5

43. Plano Estratégico
 Integrar as ações
Importância 
43 CON – A5

44. Plano Estratégico – Finalizando…
 Informação, quem manda afinal?
44 CON – A5

45. Plano Estratégico – Finalizando…
 Erros mais comuns
• Ferramentas de segurança isoladamente (IDS, firewall…);
• Segurança com valor maior que o NEGÓCIO;
• Não participação das diversas áreas da organização;
• Decisões sem prévia análise/avaliação de riscos;
• Enfoque somente em TI;
• Subordinação à área de TI;
• Abrangência maior que necessidade.
45 CON – A5

46. Plano Estratégico - Finalizando…
 FCS (Fatores Críticos de Sucesso)
46 CON – A5

47. Plano Estratégico - Finalizando…
 Consolidando estratégicamente DIC
Dado, informação & conhecimento

48. Plano Estratégico - Finalizando…
 Consolidando estratégicamente DIC
A cobertura

49. Plano Estratégico - Finalizando…
 Consolidando estratégicamente DIC
SWOT
49 CON – A5

50. Plano Estratégico - Finalizando…
 Consolidando estratégicamente DIC
5F (Porter)
50 CON – A5

51. Plano Estratégico - Finalizando…
 Consolidando estratégicamente DIC
Matriz BCG
51 CON – A5

52. Plano Estratégico - Finalizando…
 Considerações finais
● Diretrizes HORIZONTE
● Atividades identificadas, organizadas e documentadas PROCESSO
● Áreas de atuação definidas RESPONSÁVEIS
● Coordenação centralizada SINERGIA
● Ações com base em Análise de Riscos EMBASAMENTO
● Métricas/frameworks de avaliação e acompanhamento PADRÃO
52 CON – A5

53. Homework
Futurologia...
53 CON – A5

54. Homework
Pesquisar ISO-38500 e S.M.A.R.T.
!
 Em função da data de produção do documento
(2009), é altamente recomendado que seja
consultado os novos frameworks e ferramentas de
gestão corporativa de Segurança baseado em
GRC (Governança, Risco e Conformidade).
54 CON – A5

55. Cartoon
“Only the paranoid survive.”
Andy Grove
"A maioria enxerga o problema, a minoria entende as causas e
raros são os que conhecem o remédio.“
JWP
55 CON – A5

56. Links
http://www.bsi-global.com/
http://www.modulo.com.br
http://www.iso.org
http://www.isaca.org/cobit.htm
http://www.abnt.org.br
http://www.itsmf.com.br
http://www.itil-officialsite.com
http://www.ietf.com
http://www.drii.org
56 CON – A5

57. Dúvidas ?
57 CON – A5

58. Fim
58 CON – A1

59. Pós-Graduação 2009
Avaliação dissertativa
Jairo Willian Pereira
Sec+, Net+, MCSO, ITIL, LPIC, MCSA & MCSE Certified
jairo.pereira@gmail.com