Capítulo 11 — Política e obrigações | Profissionalizante Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["11.1 Uma política utilizável"]
  N1["11.2 Obrigações"]
  N2["11.3 Certificação"]
  N3["11.4 Manter atualizada"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["11.1 Uma política utilizável"]
  N1["11.2 Obrigações"]
  N2["11.3 Certificação"]
  N3["11.4 Manter atualizada"]
  N0 --> N1 --> N2 --> N3 --> Q["EX051"]

[11.1 Uma política utilizável]
    |
    v
[11.2 Obrigações]
    |
    v
[11.3 Certificação]
    |
    v
[11.4 Manter atualizada]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem

Você vai (1) escrever uma política de segurança curta e utilizável; (2) mapear as obrigações legais e profissionais da firma; (3) decidir se a certificação formal vale a pena.

11.1 Uma política utilizável

A política de segurança atual da Corbridge é um documento de vinte páginas copiado de um modelo, que ninguém leu. Daniel a substitui por uma política de duas páginas que cobre as regras de que a equipe realmente precisa: contas e segundos fatores, dispositivos, tratamento dos documentos dos clientes, e-mail e pagamentos, comunicações e uso de fornecedores. Cada regra tem um motivo de uma frase. Os procedimentos detalhados, como a regra da ligação de volta e o procedimento de incidentes, ficam em documentos separados, vinculados à política. A Sra. Pike assina a política, e cada funcionário confirma tê-la lido durante uma reunião de equipe.

11.2 Obrigações

Daniel mapeia o que a firma precisa fazer por lei e pelas regras profissionais. A lei de proteção de dados exige segurança adequada para os dados pessoais e a notificação de certas violações dentro de prazos definidos. O órgão profissional espera que seus membros protejam a confidencialidade dos clientes. Alguns clientes maiores exigem compromissos de segurança em seus contratos. Daniel lista cada obrigação com sua fonte e os controles que a cumprem. A Sra. Ashby o aconselha a confirmar os pontos jurídicos com o consultor de proteção de dados da firma, em vez de depender da própria leitura, porque as obrigações diferem entre países e mudam com o tempo.

11.3 Certificação

Um cliente grande pergunta se a Corbridge é certificada na ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022), a norma internacional para um sistema de gestão da segurança da informação. Daniel explica aos sócios que a certificação exige um sistema de gestão documentado, auditorias internas e uma auditoria externa por ano, o que tomaria um tempo considerável de uma firma de sessenta pessoas. Ele sugere um caminho intermediário: alinhar o trabalho da firma com as ideias principais da norma, como a avaliação de riscos, o compromisso da liderança e a revisão regular, e reconsiderar a certificação se mais clientes pedirem. Os sócios concordam, e Daniel escreve uma breve resposta para o cliente.

11.4 Manter atualizada

Daniel define um calendário simples para revisar a política e os documentos relacionados: a política uma vez por ano, o registro de riscos a cada três meses, as respostas dos fornecedores anualmente e o plano de continuidade antes de cada temporada de muito trabalho. Cada revisão tem um responsável nomeado. A Sra. Ashby explica que uma política deixada intocada por anos se afasta do modo como as pessoas realmente trabalham, e a equipe deixa de confiar nela. Ela elogia a política curta por ser legível e sugere que Daniel pergunte todo ano a dois funcionários se as regras fazem sentido para eles na prática.

Exemplo resolvido

Daniel substitui um modelo de vinte páginas por uma política assinada de duas páginas, mapeia as obrigações legais e profissionais e recomenda alinhar-se à ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) em vez de buscar a certificação por enquanto.

Caso sintético. A política, o pedido do cliente e as obrigações são sintéticos e gerais; os deveres jurídicos reais exigem orientação profissional.

Erros e limites

Uma política longa de modelo que ninguém lê dá uma falsa sensação de conformidade.

Exercícios

EX051 — Tamanho da política. Qual é o tamanho da nova política de Daniel?
Mostrar critérios de avaliação
Rubrica: 3 = duas páginas;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
EX052 — Procedimentos. Onde ficam os procedimentos detalhados?
Mostrar critérios de avaliação
Rubrica: 3 = em documentos separados e vinculados;; 2 = parcialmente correto;; 1 = outro lugar;; 0 = nenhuma.
EX053 — Custo da certificação. O que a certificação exige?
Mostrar critérios de avaliação
Rubrica: 3 = sistema de gestão, auditorias internas e externa anual;; 2 = tudo;; 1 = parte;; 0 = nenhuma.
EX054 — Caminho intermediário. O que Daniel recomendou em vez de certificar agora?
Mostrar critérios de avaliação
Rubrica: 3 = alinhar-se às ideias principais da norma;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX055 — Orientação jurídica. Quem deve confirmar os pontos jurídicos?
Mostrar critérios de avaliação
Rubrica: 3 = o consultor de proteção de dados;; 2 = parcialmente correto;; 1 = outra pessoa;; 0 = nenhuma.