Capítulo 20 — Segurança da informação: contexto de engenharia | Engenharia Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 20 — Segurança da informação: contexto de engenharia

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Sistemas de gestão"]
  N1["20.2 Orientação sobre controles"]
  N2["20.3 Recursos do NIST"]
  N3["20.4 Escopo"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Sistemas de gestão"]
  N1["20.2 Orientação sobre controles"]
  N2["20.3 Recursos do NIST"]
  N3["20.4 Escopo"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Sistemas de gestão]
    |
    v
[20.2 Orientação sobre controles]
    |
    v
[20.3 Recursos do NIST]
    |
    v
[20.4 Escopo]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) situar o trabalho de engenharia dentro das normas de gestão; (2) usar catálogos de controles e frameworks; (3) entender o escopo de um sistema de gestão da segurança da informação.

20.1 Sistemas de gestão

Lindiwe aprende que a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) especifica requisitos para um sistema de gestão da segurança da informação: uma forma estruturada de entender o contexto, avaliar e tratar riscos, definir objetivos, operar controles, monitorar o desempenho e melhorar. A Saltmarsh está considerando a certificação porque grandes clientes a pedem. O Prof. Hale explica que a norma pede à organização que decida de que controles precisa com base no risco e que registre essas decisões numa declaração de aplicabilidade, com os motivos da inclusão ou da exclusão. Lindiwe redige uma entrada de exemplo para a autenticação multifator.

20.2 Orientação sobre controles

A ISO/IEC 27002:2022 dá orientações sobre os controles de segurança da informação, agrupados como controles organizacionais, de pessoas, físicos e tecnológicos. Lindiwe relaciona seu trabalho anterior a esses grupos: o aviso de monitoramento é organizacional, a conscientização sobre phishing diz respeito às pessoas, a energia da sala de servidores é física e a autenticação multifator é tecnológica. Ela observa que a ISO/IEC 27002 orienta a implementação, mas não torna por si só uma organização conforme à ISO/IEC 27001, que tem requisitos próprios. O Prof. Hale pede que ela guarde a tabela de correspondência, porque ela vai ajudar a Saltmarsh a preparar sua declaração de aplicabilidade mais adiante no curso.

20.3 Recursos do NIST

Lindiwe também estuda os recursos do NIST. O Cybersecurity Framework 2.0 organiza os resultados em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. A NIST SP 800-53 Revisão 5 oferece um catálogo detalhado de controles em famílias como controle de acesso e auditoria e responsabilização. A NIST SP 800-12 Revisão 1 apresenta os conceitos de segurança da informação para um público geral. Ela aprende que os frameworks expressam o que alcançar, enquanto os catálogos descrevem os controles em detalhe. Ela mantém uma breve tabela que mostra que recurso responde a que pergunta: frameworks para os resultados, catálogos para os controles detalhados e introduções para a terminologia. O Prof. Hale aprova a tabela.

20.4 Escopo

Antes de construir um sistema de gestão, a Saltmarsh precisa definir o escopo: que locais, sistemas e processos estão incluídos. Lindiwe ajuda a redigir um escopo que cobre a sede, todos os depósitos e os sistemas de despacho, da folha de pagamento e de clientes, mas não uma subsidiária administrada separadamente. O Prof. Hale observa que um escopo estreito é mais fácil de certificar, mas pode enganar os clientes, então a declaração de escopo precisa deixar claro o que está excluído e por quê. O rascunho do escopo é revisado pelo diretor-geral e pelo gerente da própria subsidiária, que concorda em aderir depois.

Exemplo resolvido

Lindiwe situa seu trabalho na ISO/IEC 27001 e na 27002, o relaciona às funções do CSF 2.0 e às famílias da SP 800-53 e redige um escopo para o sistema de gestão da Saltmarsh.

Caso sintético. O escopo é sintético; as normas são parafraseadas.

Erros e limites

Implementar apenas as orientações da ISO/IEC 27002 não torna uma organização conforme à ISO/IEC 27001.

Exercícios

EX058 — Declaração de aplicabilidade. O que registra as decisões sobre controles com seus motivos? Rubrica: 3 = declaração de aplicabilidade;; 2 = parcialmente correto;; 1 = outra coisa;; 0 = nenhuma.
EX059 — Grupos de controles. Cite os quatro grupos de controles da ISO/IEC 27002. Rubrica: 3 = organizacionais, de pessoas, físicos, tecnológicos;; 2 = todos;; 1 = alguns;; 0 = nenhuma.
EX060 — Funções do CSF. Cite as seis funções do CSF 2.0. Rubrica: 3 = Governar, Identificar, Proteger, Detectar, Responder, Recuperar;; 2 = todas;; 1 = algumas;; 0 = nenhuma.

Continue estudando — aula 20 (capítulo 20 de 50)

← Capítulo 19 · Índice das aulas · Capítulo 21 →

Continue para a próxima aula já escrita.