Capítulo 30 — Sistemas de gestão e auditoria

Capítulo 30 — Sistemas de gestão e auditoria

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX088.

flowchart TD
  N0["30.1 Sistema de gestão"]
  N1["30.2 Auditoria interna"]
  N2["30.3 Achados"]
  N3["30.4 Melhoria contínua"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX088"]

Desenho lógico

flowchart LR
  N0["30.1 Sistema de gestão"]
  N1["30.2 Auditoria interna"]
  N2["30.3 Achados"]
  N3["30.4 Melhoria contínua"]
  N0 --> N1 --> N2 --> N3 --> Q["EX088"]

[30.1 Sistema de gestão]
    |
    v
[30.2 Auditoria interna]
    |
    v
[30.3 Achados]
    |
    v
[30.4 Melhoria contínua]
    |
    v
[Exemplo resolvido] --> [Exercício EX088]

Objetivos de aprendizagem

Você vai (1) descrever um sistema de gestão da segurança da informação; (2) preparar uma auditoria interna; (3) tratar os achados de auditoria.

30.1 Sistema de gestão

Aisha aprende que a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) descreve um sistema de gestão da segurança da informação: um conjunto de políticas, processos e responsabilidades que uma organização usa para gerenciar os riscos de segurança da informação e melhorar com o tempo. Ela exige entender o contexto, o comprometimento da liderança, a avaliação e o tratamento de riscos, o apoio, a operação, a avaliação do desempenho e a melhoria. A Ashfield não busca a certificação, mas seu conselho quer usar a estrutura para organizar o trabalho. Aisha mapeia os documentos existentes da Ashfield para as principais cláusulas e descobre que a avaliação do desempenho e a melhoria são as áreas mais fracas.

30.2 Auditoria interna

Aisha participa da primeira auditoria interna de segurança da Ashfield, conduzida por um contador externo que audita outras áreas. Eles conferem se as políticas são seguidas, usando amostras. Para o controle de acesso, eles selecionam dez desligados e conferem se as contas foram desativadas em até um dia. Oito foram; duas levaram uma semana. O Dr. Carrow observa que as auditorias testam se a prática corresponde à política, o que é diferente de conferir se uma política existe. O contador registra o resultado com os nomes dos dois desligados e as datas em que suas contas foram desativadas.

30.3 Achados

A auditoria produz quatro achados: remoção tardia de desligados, registros de mudanças faltantes, recuperação não testada de um sistema e nenhuma revisão dos acessos dos fornecedores. Cada achado declara o requisito, a evidência e o risco. Aisha ajuda os gerentes a escrever planos de ação com donos e datas. Ela aprende que os achados são oportunidades de melhoria, e que as respostas defensivas desperdiçam um tempo que seria mais bem gasto corrigindo os problemas identificados. O conselho revisa os achados e os planos de ação na sua reunião seguinte e pede que o gerente de TI relate o progresso a cada trimestre até que os quatro achados sejam encerrados.

30.4 Melhoria contínua

O sistema de gestão inclui a melhoria contínua: as lições das auditorias, dos incidentes e das medidas realimentam as políticas e os controles. Aisha sugere uma reunião trimestral de segurança em que o gerente de TI, o responsável pela conformidade e o chefe de operações revisem as medidas, os achados e os incidentes e decidam as ações. O Dr. Carrow explica que esse ciclo, planejar, fazer, checar e agir, mantém a segurança sensível às mudanças, em vez de congelada no momento em que as políticas foram escritas. A primeira reunião leva uma hora e produz cinco ações, cada uma com um dono e uma data.

Exemplo resolvido

Aisha estuda a estrutura do sistema de gestão da ISO/IEC 27001, participa de uma auditoria interna que encontra a remoção tardia de desligados, ajuda a planejar as ações e define uma reunião trimestral de revisão.

Caso sintético. A auditoria é sintética.

Erros e limites

Conferir que uma política existe não é o mesmo que conferir que ela é seguida.

Exercícios

• EX088 — Resultado da amostra. Quantos desligados da amostra foram removidos em até um dia? Rubrica: 3 = oito de dez;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX089 — Achado de auditoria. Cite um achado da auditoria. Rubrica: 3 = nenhuma revisão dos acessos dos fornecedores;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX090 — Ciclo de melhoria. Que ciclo mantém a segurança sensível às mudanças? Rubrica: 3 = planejar, fazer, checar, agir;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

Continue estudando — aula 30 (capítulo 30 de 40)

← Capítulo 29 · Índice das aulas · Capítulo 31 →

Continue para a próxima aula já escrita.