Capítulo 13 — Políticas e normas

Mapa da aula

Aula 13 publicada. Mapa, exemplo, EX037.

flowchart TD
  N0["13.1 Tipos de documento"]
  N1["13.2 Escrevendo uma política"]
  N2["13.3 Normas internacionais"]
  N3["13.4 Mantendo as políticas vivas"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX037"]

Desenho lógico

flowchart LR
  N0["13.1 Tipos de documento"]
  N1["13.2 Escrevendo uma política"]
  N2["13.3 Normas internacionais"]
  N3["13.4 Mantendo as políticas vivas"]
  N0 --> N1 --> N2 --> N3 --> Q["EX037"]

[13.1 Tipos de documento]
    |
    v
[13.2 Escrevendo uma política]
    |
    v
[13.3 Normas internacionais]
    |
    v
[13.4 Mantendo as políticas vivas]
    |
    v
[Exemplo resolvido] --> [Exercício EX037]

Objetivos de aprendizagem

Você vai (1) distinguir políticas, normas e procedimentos; (2) escrever uma breve política de segurança; (3) relacionar a política da organização às normas internacionais.

13.1 Tipos de documento

Aisha aprende a distinguir os tipos de documento. Uma política declara, em alto nível, o que a organização pretende e exige, como em todo acesso aos dados dos associados precisa ser autorizado. Uma norma interna estabelece requisitos obrigatórios específicos, como em as senhas devem ter pelo menos catorze caracteres. Um procedimento descreve passo a passo como fazer algo. O Dr. Carrow explica que misturar esses tipos produz documentos detalhados demais para serem aprovados e vagos demais para serem seguidos, um problema comum nas organizações pequenas. Ela classifica os documentos da Ashfield nos três tipos.

13.2 Escrevendo uma política

Aisha redige uma política de controle de acesso para a Ashfield. Ela declara o propósito, o escopo, os princípios do menor privilégio e da necessidade de conhecer, os papéis responsáveis e como a conformidade é verificada. Ela a mantém em uma página para que os funcionários a leiam. O Dr. Carrow a revisa e pede que ela remova o detalhe técnico sobre o comprimento das senhas, que pertence a uma norma interna que pode ser atualizada sem a aprovação do conselho. A política final é curta e clara. O conselho aprova a política na sua reunião seguinte, sem alterações.

13.3 Normas internacionais

Aisha estuda como as organizações usam as normas ISO/IEC. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) estabelece os requisitos de um sistema de gestão da segurança da informação, inclusive que a alta direção estabeleça uma política de segurança da informação. A ISO/IEC 27002:2022 dá orientações sobre os controles, inclusive as políticas específicas por tema, como o controle de acesso. A ISO/IEC 27000:2026 oferece a visão geral da família. Ela aprende que a Ashfield não precisa buscar a certificação para se beneficiar do uso dessas normas como orientação. Aisha prepara uma breve tabela mostrando que documentos da Ashfield correspondem a cada um dos principais temas de controle da ISO/IEC 27002 e anota onde a Ashfield ainda não tem nada, como a segurança de fornecedores.

13.4 Mantendo as políticas vivas

As políticas ficam desatualizadas. Aisha descobre que a política de uso aceitável da Ashfield se refere a aparelhos de fax e não menciona o armazenamento em nuvem. Ela recomenda uma revisão anual com donos nomeados e um registro de alterações. Ela também sugere um breve questionário no treinamento anual para conferir se os funcionários entendem os requisitos principais. Ela aprende que uma política que ninguém lê nem atualiza oferece pouca proteção, por mais bem escrita que tenha sido originalmente. O responsável pela conformidade assume o calendário de revisões e acrescenta a data de revisão de cada política à agenda do conselho.

Exemplo resolvido

Aisha distingue política, norma interna e procedimento, escreve uma política de acesso de uma página, a relaciona com a ISO/IEC 27001 e a 27002 e recomenda uma revisão anual.

Caso sintético. As políticas são sintéticas; as normas são parafraseadas.

Erros e limites

Colocar detalhes técnicos nas políticas obriga o conselho a aprovar mudanças rotineiras.

Exercícios

• EX037 — Exemplo de norma interna. Qual é um exemplo de norma interna?

  Mostrar critérios de avaliação

  Rubrica: 3 = senhas com pelo menos catorze caracteres;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX038 — Detalhe removido. Que detalhe é removido da política?

  Mostrar critérios de avaliação

  Rubrica: 3 = o comprimento das senhas;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX039 — Política desatualizada. O que a política de uso aceitável omitia?

  Mostrar critérios de avaliação

  Rubrica: 3 = o armazenamento em nuvem;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.