Capítulo 24 — Políticas e procedimentos | Tecnólogo Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 24 — Políticas e procedimentos

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Políticas e procedimentos"]
  N1["24.2 Redação de procedimentos"]
  N2["24.3 Controle de versões"]
  N3["24.4 Ligação com a política"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Políticas e procedimentos"]
  N1["24.2 Redação de procedimentos"]
  N2["24.3 Controle de versões"]
  N3["24.4 Ligação com a política"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Políticas e procedimentos]
    |
    v
[24.2 Redação de procedimentos]
    |
    v
[24.3 Controle de versões]
    |
    v
[24.4 Ligação com a política]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) distinguir políticas de procedimentos; (2) escrever procedimentos claros para tarefas técnicas; (3) manter os documentos atualizados.

24.1 Políticas e procedimentos

Jamal aprende que uma política declara o que precisa acontecer, como a exigência de que todas as contas da equipe usem autenticação multifator, enquanto um procedimento explica passo a passo como fazê-lo. As políticas do Riverbend são escritas pelo gerente de TI e aprovadas pelo diretor executivo. A ISO/IEC 27002:2022 oferece orientações sobre políticas de segurança da informação, que o Riverbend usa como referência. A Sra. Grant observa que os tecnólogos escrevem e seguem sobretudo procedimentos, por isso procedimentos claros fazem parte de seu ofício. Ele lê as políticas atuais antes de escrever qualquer coisa.

24.2 Redação de procedimentos

Jamal escreve procedimentos para as tarefas que executa: criar contas a partir de modelos, executar a verificação mensal das estações de trabalho e tratar um celular perdido. Cada um lista o propósito, quando usá-lo, os passos, os resultados esperados e o que fazer se algo der errado. Ele testa cada procedimento pedindo ao técnico que o siga sem ajuda. Dois passos estão confusos, e ele os reescreve. Ele aprende que um procedimento só é bom se outra pessoa consegue segui-lo. O técnico diz que as versões revisadas estão claras o bastante para usar sozinho.

24.3 Controle de versões

Jamal guarda os procedimentos numa pasta compartilhada com números de versão, datas e responsáveis. As versões antigas são arquivadas, não apagadas, para que a equipe possa ver o que mudou. Ele acrescenta uma data de revisão a cada um. A Sra. Grant explica que procedimentos que se referem a telas ou configurações antigas causam erros, por isso a revisão regular é necessária. Ele cria lembretes para revisões semestrais. Ele também acrescenta uma breve nota de alteração no topo de cada documento explicando o que mudou na versão mais recente e por quê, para que os leitores não precisem comparar as versões por conta própria. O gerente de TI aprova a estrutura e pede que todos os documentos de TI a sigam.

24.4 Ligação com a política

Cada procedimento remete à política que apoia, para que os leitores entendam por que a tarefa importa. Jamal percebe que a política de senhas ainda menciona as trocas mensais, embora a prática tenha mudado. Ele pede ao gerente de TI que atualize a política para que prática e política concordem. A Sra. Grant observa que os auditores verificam se a prática corresponde à política e que políticas desatualizadas geram achados evitáveis. O gerente de TI atualiza a política no mês seguinte, e o diretor executivo aprova a mudança. Jamal confere as outras políticas com a prática atual e não encontra mais contradições.

Exemplo resolvido

Jamal distingue política de procedimento, escreve e testa três procedimentos, acrescenta versões e datas de revisão e consegue que uma política de senhas desatualizada seja atualizada.

Caso sintético. Os documentos são sintéticos.

Erros e limites

Políticas que contradizem a prática geram achados de auditoria evitáveis.

Exercícios

EX070 — Teste dos procedimentos. Como Jamal testa seus procedimentos? Rubrica: 3 = o técnico os segue sem ajuda;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX071 — Regra de arquivamento. O que acontece com as versões antigas dos procedimentos? Rubrica: 3 = são arquivadas, não apagadas;; 2 = parcialmente correto;; 1 = apagadas;; 0 = nenhuma.
EX072 — Política desatualizada. Qual política está desatualizada? Rubrica: 3 = a política de senhas;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

Continue estudando — aula 24 (capítulo 24 de 30)

← Capítulo 23 · Índice das aulas · Capítulo 25 →

Continue para a próxima aula já escrita.