Capítulo 15 — Gestão de ativos

Capítulo 15 — Gestão de ativos

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 Montando um inventário"]
  N1["15.2 Classificação"]
  N2["15.3 Donos e tratamento"]
  N3["15.4 Mantendo-o atualizado"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 Montando um inventário"]
  N1["15.2 Classificação"]
  N2["15.3 Donos e tratamento"]
  N3["15.4 Mantendo-o atualizado"]
  N0 --> N1 --> N2 --> N3 --> Q["EX043"]

[15.1 Montando um inventário]
    |
    v
[15.2 Classificação]
    |
    v
[15.3 Donos e tratamento]
    |
    v
[15.4 Mantendo-o atualizado]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) montar um inventário de ativos de informação; (2) classificar os ativos pela sensibilidade; (3) manter o inventário atualizado.

15.1 Montando um inventário

Aisha ajuda a Ashfield a montar um inventário de ativos de informação: hardware, software, repositórios de dados e serviços. Ela parte dos registros de compras e da planilha do gerente de TI e depois percorre cada agência. Ela encontra, num armário de uma agência, um dispositivo de armazenamento em rede esquecido, com documentos digitalizados antigos. O Dr. Carrow observa que os inventários muitas vezes deixam passar dispositivos assim, e que percorrer fisicamente os locais ainda encontra coisas que os registros não mostram, sobretudo nas organizações pequenas. Seu inventário final lista o hardware, o software, os repositórios de dados e os serviços externos, com uma linha por ativo e sua localização.

15.2 Classificação

Aisha propõe um esquema de classificação simples: público, interno, confidencial e restrito. Os documentos de identidade dos associados e os dados de cartões de pagamento são restritos; os registros de empréstimos são confidenciais; os boletins para os funcionários são internos; o horário de funcionamento das agências é público. Cada classe tem regras de tratamento, como a cifração dos dados restritos nos notebooks. Ela mantém o esquema em quatro níveis para que os funcionários consigam lembrá-lo. O Dr. Carrow observa que os esquemas complexos muitas vezes são ignorados na prática. Ela imprime um guia de uma página com exemplos de cada classe e as regras de tratamento que se aplicam.

15.3 Donos e tratamento

Cada ativo do inventário recebe um dono e uma classificação. O dispositivo de armazenamento esquecido é atribuído ao chefe de operações, que decide que os documentos devem ser transferidos para o sistema central e o dispositivo, apagado com segurança. Aisha registra a decisão. Ela aprende que o inventário, a responsabilidade e a classificação, juntos, permitem aplicar os controles certos, porque ninguém consegue proteger um ativo adequadamente sem saber o que ele contém. O apagamento é feito por um fornecedor certificado, que entrega um certificado para o registro.

15.4 Mantendo-o atualizado

Aisha recomenda que as novas compras sejam acrescentadas ao inventário antes do uso e que os descartes sejam registrados com evidências da destruição dos dados. Ela sugere uma conferência semestral comparando o inventário com os dispositivos vistos na rede. Ela aprende que um inventário se deteriora rapidamente sem atualizações de rotina, e que ligá-lo aos processos de compra e de descarte o mantém preciso com pouco esforço extra. O gerente de TI concorda em acrescentar uma etapa de inventário ao formulário de compras, para que nada novo chegue à rede sem antes ser registrado.

Exemplo resolvido

Aisha monta um inventário que encontra um dispositivo de armazenamento esquecido, propõe quatro níveis de classificação, atribui donos e liga o inventário às compras e aos descartes.

Caso sintético. Os ativos são sintéticos.

Erros e limites

Os esquemas de classificação complexos muitas vezes são ignorados.

Exercícios

• EX043 — Dispositivo esquecido. Que ativo esquecido Aisha encontra? Rubrica: 3 = um dispositivo de armazenamento em rede num armário;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX044 — Classe restrita. Que dados são restritos? Rubrica: 3 = documentos de identidade e dados de cartões de pagamento;; 2 = parcialmente correto;; 1 = outros;; 0 = nenhuma.

• EX045 — Manutenção do inventário. Como o inventário é mantido atualizado? Rubrica: 3 = ligação às compras e aos descartes, conferência semestral;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 15 (capítulo 15 de 40)

← Capítulo 14 · Índice das aulas · Capítulo 16 →

Continue para a próxima aula já escrita.