CURSO SOBRE GESTÃO DA SEGURANÇA DA

INFORMAÇÃO, BASEADO NA NORMA

NBR ISO IEC 17799:2001

R ev: 0

Data:28.03.2005

Nota importante: Material para uso exclusivo dos alunos da Academia

Latino Americana de Segurança da Informação. Outras organizações ou
instituições interessadas em usar este material devem enviar um pedido
formal a CQSI, pelo e-mail cqsisecure@aol.com
 CONTEÚDO PROGRAMÁTICO

• MÓDULO I:A IMPORTÂNCIA DA SEGURANÇA DA

INFORMAÇÃO PARA AS ORGANIZAÇÕES

• MÓDULO II:CONCEITOS E DEFINIÇÕES

• MÓDULO III:POLÍTICA DE SEGURANÇA DA

INFORMAÇÃO E SEGURANÇA ORGANIZACIONAL

• MÓDULO IV:CLASSIFICAÇÃO E CONTROLE DOS

ATIVOS DE INFORMAÇÃO E SEGURANÇA EM
PESSOAS

• MÓDULO V:SEGURANÇA FÍSICA E DO AMBIENTE E

GERENCIAMENTO DAS OPERAÇÕES E
COMUNICAÇÕES

• MÓDULO VI:CONTROLE DE ACESSO E

DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMAS

• MÓDULO VII:GESTÃO DA CONTINUIDADE DO NEGÓCIO

E CONFORMIDADE

• MÓDULO VIII:CASES STUDIES

MÓDULO I: A IMPORTÂNCIA DA SEGURANÇA DA INFORMAÇÃO
PARA AS ORGANIZAÇÕES

Cada vez mais no mundo dos negócios percebe-se, nitidamente, a

importância de se proteger as informações de uma organização em relação
aos seus três principais componentes, que são a confidencialidade a
integridade e a disponibilidade.

A informação é um dos ativos de grande importância para a organização e

que, portanto, precisa ser muito bem protegida.

Vivemos atualmente em um mundo online onde a informação, cada vez mais,

está exposta a um elevado número de ameaças e vulnerabilidades.

Ao implantar um modelo de gestão da segurança da informação baseado nas

melhores práticas existentes no mercado, como a norma NBR ISO IEC
17799, as organizações protegem as suas informações das ameaças e
vulnerabilidades, assegurando com isto a continuidade dos seus negócios e
minimizando os riscos a que estão expostas.

Esta proteção é feita a partir da implementação dos controles definidos na

norma NBR ISO IEC 17799. A depender da situação, outros controles além
dos definidos na norma, poderão também ser implementados.

Quando nos referimos às informações, estas podem existir sob várias formas
e podem estar armazenadas em diversos meios, a saber:

• Armazenadas nos computadores

• Transmitida por meio de redes
• Impressa ou escrita em papel
• Enviada por fax
• Guardadas em fitas ou discos
• Nos notebooks e palmtops
• Armazenadas em dispositivos do tipo flash memory
• Nos telefones celulares

PORQUE ADOTAR A NBR ISO IEC 17799

De um modo geral, as normas publicadas pela Organização Internacional de
Normalização, a ISO, têm uma grande aceitação no mercado. Um exemplo
disto é a norma ISO 9001:2000, que trata da Gestão da Qualidade,
considerada como a mais difundida norma da ISO que existe no mundo.

No caso da NBR ISO IEC 17799 que é um Código de Boas Práticas para a
Segurança da Informação, a sua aplicação é um pouco mais restrita que a
ISO 9001:2000, pois ela não é uma norma voltada para fins certificação.
Entretanto, a NBR ISO IEC 17799 pode ser usada pela maioria dos setores
da economia, pois todas as organizações, independentemente do seu porte
ou do ramo de atuação, precisam proteger as suas informações sensíveis e
críticas.

Embora existam normas sobre segurança da informação em vários países,

essas normas não têm a abrangência da ISO IEC 17799, que no momento
está sendo atualizada e melhorada por um grupo de mais de 50 especialistas
de todas as partes do mundo.Foram cerca de três anos de trabalho,
analisando mais de 1000 comentários ao projeto da ISO IEC 17799.

A nova ISO IEC 17799, que estará disponível a partir do segundo semestre
de 2005, é uma norma global e que reflete os mais modernos conceitos
mundiais sobre Gestão da Segurança da Informação.

Os participantes deste curso precisarão fazer uma atualização em relação à

nova norma, a partir de setembro de 2005.

MÓDULO II :CONCEITOS E DEFINIÇÕES

Para os efeitos deste curso, aplicam-se as seguintes definições:

1 Ativo:qualquer coisa que tenha valor para a organização (ISO/IEC IS

13335-1:2004)

2 Recursos de processamento da informação:qualquer sistema de

processamento da informação, serviço ou infra-estrutura, ou as instalações
físicas que os abriguem.

3 Segurança da Informação:preservação da confidencialidade, integridade

e disponibilidade da informação

4 Confidencialidade:garantia de que a informação é acessível somente por

pessoas autorizadas a terem acesso (NBR ISO IEC 17799:2000)

5 Integridade:salvaguarda da exatidão e completeza da informação e dos

métodos de processamento (NBR ISO IEC 17799:2000)

6 Disponibilidade:garantia de que os usuários autorizados obtenham

acesso à informação e aos ativos correspondentes sempre que necessário
(NBR ISO IEC 17799:2000)
7 Incidente de segurança da informação:pendente(ISO/IEC TR
18044:2004)

9 Avaliação de risco:Processo global da análise de risco e da valoração do

risco (ISO Guide 73:2002)

10 Tratamento do risco : processo de seleção e implementação de medidas

para modificar um risco (ISO Guide 73:2002)

11 Ameaça :causa potencial de um incidente indesejado, que pode resultar

em dano para um sistema ou para a organização (ISO/IEC IS 13335-1:2004)

12 Vulnerabildade: fragilidade de um ativo ou grupo de ativos que pode ser

explorada por uma ameaça

MÓDULO III:POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E

SEGURANÇA ORGANIZACIONAL
As principais recomendações da NBR ISO IEC 17799 estão detalhadas nas
10 cláusulas, nos 36 objetivos de controles e nos 127 controles da norma.
Deve-se deixar claro que nem todos os controles são, necessariamente,
aplicados a uma determinada organização e que, a depender da situação,
controles adicionais podem ser recomendados.

Convém também esclarecer que a implantação dos requisitos da NBR ISO

IEC 17799 não garante, sob hipótese alguma, 100% de segurança.
O que se procura, isto sim, é reduzir as ameaças e as vulnerabilidades a um
nível aceitável pela organização.

A seguir são apresentados alguns dos principais controles recomendados

pela NBR ISO IEC 17799, acrescidos de sugestões em função da experiência
do instrutor na implantação de Sistemas de Gestão da Segurança da
Informação.

Cada módulo é acompanhado com exercícios de fixação de conceitos.

Recomenda-se ao aluno da Academia Latino América de Segurança da

Informação a leitura da norma NBR ISO IEC 17799:2001 . A norma pode ser
adquirida acessando o site www.abnt.org.br, ou o e-mail ....... (pendente).

3.POLÍTICA DE SEGURANÇA
Política de segurança da informação (item 3.1 da NBR ISO IEC 17799)

O principal objetivo deste controle é fornecer à alta direção, orientações e

diretrizes relativas à segurança da informação.
Uma das formas da alta direção demonstrar o seu comprometimento com a
segurança da informação é por meio da publicação de uma política de
segurança da informação. Esta política deve ser assinada pela alta direção e
analisada criticamente a intervalos regulares para garantir que ela permanece
atualizada frente aos riscos advindos de mudanças ocorridas neste período
que possam afetar o ambiente organizacional.

Todos os usuários dos recursos de processamento da informação da

organização, ou seja, funcionários, prestadores de serviços, pessoal
temporário, estagiários, consultores, devem ser treinados na política de
segurança da informação.

A política deve contemplar os seguintes itens: atendimento à legislação e aos

requisitos contratuais, esforços da organização em relação à educação e
treinamento em segurança da informação, conseqüências decorrentes das
violações nas políticas e nos procedimentos de segurança da informação e
como a organização assegura a continuidade dos seus negócios. A política
deve enfatizar a importância da organização preservar a confidencialidade, a
integridade e disponibilidade das suas informações.

4.SEGURANÇA ORGANIZACIONAL
Infra-estrutura da segurança da informação (item 4.1 da NBR ISO IEC
17799)

O principal objetivo deste controle é garantir que a segurança da informação

tenha um bom gerenciamento.

A norma recomenda que seja criada uma estrutura para estabelecer,

implementar e monitorar a segurança da informação dentro da organização.
Isto pode ser feito de várias formas, como por exemplo, por meio de um
comitê ou de um fórum de segurança da informação. É desejável que este
fórum seja liderado pela alta direção.

As organizações que têm tido sucesso na implantação de sistemas de gestão

da segurança da informação contam com a ativa participação da alta direção.
Como costuma dizer um renomado Guru da área de gestão: “Sem o
comprometimento da alta direção, nenhum modelo de gestão será bem
sucedido”.

De um modo geral a organização cria um comitê de gestão da segurança da

informação ou incorpora as atribuições de segurança da informação, em um
comitê já existente.
Destacam-se como principais atribuições deste comitê ou fórum:
a)Propor, analisar criticamente e aprovar a política de segurança da
informação;
b)Estar atento às ameaças que os ativos de informação estão expostos, face
às constantes mudanças que ocorrem no ambiente da organização;
c)Monitorar, periodicamente, os incidentes de segurança da informação que
causem impacto aos negócios da organização, evitando a sua repetição e,
onde possível, identificar potenciais incidentes de segurança da informação
para prevenir que eles ocorram.

É recomendável que representantes de áreas como a Jurídica, Recursos

Humanos e Segurança Patrimonial, além da área de Tecnologia da
Informação participem deste comitê.

Em função das constantes mudanças que hoje passa uma organização, em

termos de reestruturação organizacional, introdução de novas tecnologias,
novas regulamentações definidas pelos organismos competentes, o comitê
deve se reunir, no mínimo, a cada três meses.

Novas instalações, atualizações, re-configurações ou quaisquer trabalhos

feitos na infra-estrutura de segurança da informação, devem ser aprovados
nos níveis apropriados, inclusive pelo gestor de segurança da informação,
tecnicamente validados e documentados.

Para avaliar a eficácia da implementação da política de segurança da

informação é recomendável que ela seja analisada criticamente, de forma
independente, demonstrando assim que as práticas da organização estão
alinhadas com as suas políticas, normas e procedimentos.

Segurança no acesso de prestadores de serviços (item 4.2 da NBR ISO

IEC 17799)
O principal objetivo deste controle é garantir a segurança dos recursos de
processamento da informação e dos ativos de informação da organização,
que são acessados pelos prestadores de serviços.

Cada vez mais as organizações buscam repassar as atividades que não

constituem a sua principal finalidade, para outras empresas. Este número
vem crescendo a cada dia.
Estima-se que, atualmente, entre 30 a 50% da força de trabalho de uma
organização seja constituída de pessoas de outras empresas.Muitas dessas
pessoas acessam, processam e, às vezes até operam os recursos de
processamento da informação da organização.Por esta razão, torna-se
indispensável definir uma política para o acesso dos prestadores de serviços.

O acesso do prestador de serviço tanto pode ser físico como, por exemplo,
acesso aos escritórios, salas de computadores, salas de reuniões, ou lógico,
como por exemplo, acesso ao banco de dados ou aos sistemas de
informação da organização.

Qualquer que seja o tipo de acesso recomenda-se tomar cuidados especiais

para evitar implicações à segurança da informação.

São exemplos de prestadores de serviços, as equipes de suporte de software

e hardware, parceiros comerciais, pessoal de limpeza, guardas de
segurança, estagiários, consultores, pessoal contratado de curta duração.
O primeiro passo, portanto, é avaliar os riscos dos prestadores de serviços
que acessam os recursos de processamento da informação e os ativos de
informação da organização e então identificar quais controles devem ser
implementados para minimizar esses riscos.

Terceirização (item 4.3 da NBR ISO IEC 17799)

O principal objetivo deste controle é garantir a segurança da informação,
quando o seu processamento é repassado para uma outra organização.

Uma das formas de proteger a organização contra os riscos da terceirização

é ter um contrato assinado que definam claramente quais os requisitos de
segurança da informação, os controles a serem implementados e as
responsabilidades de ambas as partes.

Destacam-se como principais recomendações da norma:

a)Considerar os requisitos legais a serem atendidos como, por exemplo, o
relativo à proteção de dados;
b)Deixar claro quais são as responsabilidades pela segurança da informação
das partes envolvidas, não esquecendo de incluir os subfornecedores,
quando for o caso;
c)Informar como a confidencialidade e integridade serão mantidas, e como a
disponibilidade dos serviços será assegurada em caso de desastre ou falha
significativa;
d)Definir quais os níveis de segurança físicos para os ativos terceirizados;
e)Estar ciente de que a organização tem o direito de auditar.

EXERCÍCIOS DE FIXAÇÃO DE CONCEITOS

MÓDULO III:POLÍTICA DE SEGURANÇA DA INFORMAÇÃO E

SEGURANÇA ORGANIZACIONAL
NOME:
ORGANIZAÇÃO:

ASSINALE AS QUESTÕES ABAIXO, CONFIRMANDO(C) OU NÃO(NC), SE

SÃO RECOMENDAÇÕES DA NORMA NBR ISO IEC 17799

Recomenda-se ao aluno da Academia Latino Americana de Segurança

da Informação a leitura da norma NBR ISO IEC 17799:2000

Perguntas adicionais ao texto teórico apresentado são também

colocadas para estimular o raciocínio do estudante e enriquecer os
seus conhecimentos sobre a norma.

1.A política de segurança da informação só deve ser do conhecimento dos

funcionários da sua Organização.
( )C
( )NC
2. A política de segurança da informação de uma organização deve ser
analisada a cada 5 anos.
( )C
( )NC

3.A Política de Segurança da Informação pode ser assinada pelo Gestor da

Segurança da Informação.
( )C
( )NC

4.Os incidentes de segurança significativos não precisam, necessariamente,

ser discutidos na reunião do Comitê de Gestão da Segurança da Informação.
( )C
( )NC

5.A Alta direção participa das reuniões do Comitê de Gestão da Segurança

da informação e preside o Comitê.
( )C
( )NC

6.Os assuntos tratados nas reuniões do Comitê de Gestão da Segurança da

informação, não precisam ser formalmente registrados.
( )C
( )NC

7.Os responsáveis pelos ativos de informação estão claramente definidos,

porém as suas responsabilidades não constam nas descrições de funções
ou em documento equivalente.
( )C
( )NC

8.A introdução de um novo software ou hardware, não necessariamente,

precisa de aprovação.
( )C
( )NC

9.O Gestor da Segurança da Informação tem que tomar conhecimento da

utilização de novos recursos de processamento da informação
( )C
( )NC

10.A análise crítica independente, da implementação da política de

segurança da informação, não faz parte das atividades de um Sistema de
Gestão da Segurança da Informação
( )C
( )NC

11.O acesso dos prestadores de serviços aos recursos de processamento da

informação precisam ser controlados.
( )C
( )NC

12.As equipes de suporte de software e hardware, que acessam os sistemas

de informações ou compartilham as bases de dados não precisam ser
contempladas na avaliação de Risco
( )C
( )NC

13.Na identificação dos riscos, feita pela Avaliação de Risco, é necessário

considerar o pessoal da limpeza, os guardas de segurança e os consultores.
( )C
( )NC

14.Os contratos com os prestadores de serviços que acessam os recursos de

processamento da informação, precisam fazer referência aos requisitos de
segurança.
( )C
( )NC

15.O tipo de acesso dado aos prestadores de serviços, seja físico ou lógico,
precisa estar formalmente definido
( )C
( )NC

16.O acesso dos prestadores de serviços à informação e aos recursos de

processamento da informação, pela urgência do trabalho, pode ser permitido,
antes da assinatura de um termo de confidencialidade e do cumprimento da
política de segurança da organização
( )C
( )NC

17.O contrato com terceiros deve contemplar a indenização a ser paga à

organização, nos casos de violação às normas e políticas da empresa
( )C
( )NC

18.O contrato com terceiros não precisa fazer menção aos eventuais sub-
contratados
( )C
( )NC
19.O contrato com terceiros deve assegurar o direito de auditar, monitorar e
de revogar as atividades do usuário
( )C
( )NC

20.Quando da terceirização dos serviços, devem ser definidos quais os

controles físicos e lógicos a serem adotados, e como a disponibilidade dos
serviços será mantida em caso de desastre
( )C
( )NC

MÓDULO IV:CLASSIFICAÇÃO E CONTROLE DOS ATIVOS DE

INFORMAÇÃO E SEGURANÇA EM PESSOAS

5. CLASSIFICAÇÃO E CONTROLE DOS ATIVOS DE INFORMAÇÃO

Contabilização dos ativos (item 5.1 da NBR ISO IEC 17799)

O principal objetivo deste controle é assegurar que os ativos de informação
da organização tenham proteção adequada.

Uma das formas de assegurar esta proteção é realizar um inventário de todos

os principais ativos e definir um responsável por cada um desses ativos. A
organização deve manter uma lista atualizada dos seus ativos, deixando
claro quem é responsável por esta atualização.

São exemplos de ativos:ativos de informação (manuais, normas,

procedimentos que apóiam as operações, planos de continuidade), ativos de
software(aplicativos, utilitários), ativos físicos(PC, notebooks, roteadores,
celulares, mídias, no-break) e serviços (serviços de comunicação,
refrigeração)

A lista de inventários deve definir, como mínimo, o número do ativo, a sua

classificação, quem é o responsável pelo ativo e a sua localização.A lista
deve contemplar os ativos que são necessários para assegurar a integridade
e disponibilidade da informação, como por exemplo, o fornecimento de
energia, as redes de incêndio, os cofres de segurança, os planos de
recuperação de desastres, entre outros.

Classificação da informação (item 5.2 da NBR ISO IEC 17799)

O principal objetivo deste controle é garantir uma proteção adequada dos
ativos de informação da organização.

Uma das formas de proteção é restringir o acesso à informação apenas às

pessoas que dela precisam para executar as suas atividades. Isto é feito por
meio da classificação da informação, que indica a importância e o nível de
proteção requerido.
Convém lembrar que a classificação deve ser feita apenas para as
informações críticas e sensíveis da organização.

A norma recomenda que seja adotado um sistema de classificação, definindo

quais os níveis de proteção e que medidas especiais devem ser empregadas
para o tratamento da informação.
Este sistema, por exemplo, pode considerar três níveis de classificação:
interno, confidencial e altamente confidencial.

Uma informação deve ser classificada como interno quando a sua

divulgação não autorizada, principalmente fora da organização seria
inadequada ou inconveniente.

Uma informação deve ser classificada como confidencial quando a sua

divulgação não autorizada, mesmo dentro da organização, pode causar
danos à organização. São exemplos de informações classificadas como
confidencial:propostas comerciais, informações de marketing, avaliação de
concorrentes, informações sobre clientes, informações sobre os funcionários

Uma informação deve ser classificada como altamente confidencial quando

a sua divulgação não autorizada, mesmo dentro da organização, pode causar
sérios prejuízos aos negócios e à imagem da organização. São exemplos de
informações classificadas como altamente confidencial: detalhes sobre
aquisições importantes e fusões, negócios de alto nível, estratégias da
organização e de concorrentes, avaliação de fornecedores e parceiros
críticos e informação sobre patentes.

Tratamento da informação
Todas as informações classificadas, por exemplo, como de uso interno,
confidencial e altamente confidencial devem ter um rótulo indicando a sua
classificação e um tratamento compatível com o seu nível de importância.

As informações classificadas como altamente confidencial, devem ser

mantidas permanentemente em gavetas e armários trancados, ou mesmo em
cofres, quando não estiverem em uso.

Se elas estiverem em meio eletrônico devem ser arquivadas de forma cifrada

e com controles de acesso lógico aplicáveis.

A sua destruição deve ser feita sempre sob a supervisão de um

representante da organização usando, preferencialmente, um fragmentador
de modo a assegurar a eliminação completa da informação.

As informações classificadas como altamente confidencial devem ser

entregues ao destinatário pessoalmente, sempre que possível. Caso sejam
transmitidas eletronicamente as mesmas devem ser cifradas.
A transmissão por voz deve ser expressamente proibida e, em nenhuma
hipótese, deve ser permitida a transmissão por fax.

6 SEGURANÇA EM PESSOAS
Segurança na definição e nos recursos de trabalho (item 6.1 da NBR ISO
IEC 17799)
O principal objetivo deste controle é reduzir os riscos relacionados com o
mau uso dos recursos de processamento da informação, o erro humano,
roubo e as fraudes.

Uma das formas de reduzir esses riscos é definir, nas descrições de funções,
no perfil de competência ou em um documento similar, regras e
responsabilidades pela segurança da informação. Estas regras devem estar
baseadas na política de segurança da informação da organização.

Além dos funcionários, especial atenção deve ser dada aos prestadores de
serviços, colaboradores temporários e estagiários que acessam os recursos
de processamento da informação da organização. No mínimo, essas pessoas
devem assinar um termo de confidencialidade.

A norma recomenda que a organização realize uma série de verificações

antes da contratação de pessoas que venham a ter acesso às informações
críticas e sensíveis como, por exemplo, a apresentação de referencias
pessoais e profissionais e a checagem dos dados contidos no curriculum
vitae. Os registros relativos à educação e qualificação também devem ser
confirmados.

Acordos de confidencialidade devem ser assinados tanto pelos funcionários

da organização como pelos prestadores de serviços, pessoal temporário e
estagiários, antes dos mesmos terem acesso aos recursos de processamento
da informação.

Treinamento dos usuários (item 6.2 da NBR ISO IEC 17799)

O principal objetivo deste controle é assegurar que os usuários estejam
conscientes das ameaças aos ativos de informação e à informação, e
preparados para apoiar e cumprir com as políticas e procedimentos relativos
à segurança da informação.

Isto se consegue por meio de um processo de treinamento e educação bem

estruturado, destinado às pessoas que acessam os recursos de
processamento da informação e as informações críticas e sensíveis da
organização, sejam eles funcionários, prestadores de serviços, pessoal
temporário ou estagiários.
Respondendo aos incidentes de segurança da informação e ao mau
funcionamento (item 6.3 da NBR ISO IEC 17799)

O principal objetivo deste controle é minimizar os impactos causados pelos

incidentes de segurança da informação e pelo mau funcionamento de
software, e aprender com esses incidentes.

Uma das formas de reduzir os danos causados pelos incidentes é definir e

implementar um procedimento de modo que esses incidentes sejam
relatados às pessoas apropriadas, tão logo quanto possível. Todos os
usuários dos recursos de processamento da informação devem ser
orientados a notificar e reportar às funções pertinentes, quaisquer incidentes
de segurança da informação sejam eles reais ou suspeitos.Também deve ser
relatado o mau funcionamento de um software, principalmente os que têm
impacto na segurança da informação.

Alguns dos incidentes de segurança da informação devem ser usados nos

programas de treinamento e conscientização para que se conheça exemplo
real do que Não deve ser feito.

Outro objetivo deste tópico é o de evitar a repetição de um mesmo problema

dentro da organização ou, de forma preventiva, evitar a sua ocorrência a
partir de exemplos conhecidos de outras organizações.

Uma das grandes recomendações da norma é o item relativo ao processo

disciplinar. Toda violação às políticas e procedimentos de segurança da
informação da organização, deve ser tratada por meio de um processo
disciplinar formal.

Este processo deve contar com a efetiva participação do pessoal da área

Jurídica e de Recursos Humanos além, obviamente, das áreas onde o
problema ocorreu.

MÓDULO IV:CLASSIFICAÇÃO E CONTROLE DOS ATIVOS DE

INFORMAÇÃO E SEGURANÇA EM PESSOAS

EXERCÍCIOS DE FIXAÇÃO DE CONCEITOS

NOME:
ORGANIZAÇÃO:

ASSINALE AS QUESTÕES ABAIXO, CONFIRMANDO(C) OU NÃO(NC), SE

SÃO RECOMENDAÇÕES DA NORMA NBR ISO IEC 17799

Perguntas adicionais ao texto teórico apresentado são também

colocadas para estimular o raciocínio do estudante e enriquecer os
seus conhecimentos sobre a norma.
1.No inventário dos ativos de informação é necessário definir apenas o
proprietário responsável por cada ativo.
( )C
( )NC

2.Os ativos de informação a serem considerados no levantamento são os

ativos físicos e ativos de software.
( )C
( )NC

3.Manuais de treinamento e procedimentos de operação, não são

considerados como ativos de informação.
( )C
( )NC

4.A reputação da organização é um dos mais importantes ativos de

informação.
( )C
( )NC

5.Todas as informações da organização precisam ser classificadas e

rotuladas.
( )C
( )NC

6. O proprietário ou o autor deve participar da classificação da informação.

( )C
( )NC
7.Uma informação classificada como confidencial deve ser mantida como tal
por tempo indeterminado.
( )C
( )NC

8.Os ativos de informação a serem considerados são os existentes em meio

físico.
( )C
( )NC

9.As responsabilidades pela segurança da informação devem ser definidas

na fase de recrutamento, incluídas nos contratos e monitorada durante a
vigência de cada contrato de trabalho.
( )C
( )NC
10.O acordo de confidencialidade só precisa ser assinado pelos funcionários
da Organização.
( )C
( )NC

11.Uma verificação da idoneidade de crédito deve ser feita pela organização,

para as pessoas que trabalham com informações financeiras ou altamente
confidenciais.
( )C
( )NC

12.As pessoas novas ou inexperientes precisam ter autorização para acessar

sistemas críticos ou sensíveis.
( )C
( )NC

13.Sinais de estresse ou depressão, mudanças de comportamento ou de

estilo de vida, problemas financeiros e ausências freqüentes dos usuários
(funcionários da Organização ou contratados) que trabalham com
informações críticas ou sensíveis, devem ser levadas em consideração pela
organização
( )C
( )NC

14.Os termos do contrato devem contemplar somente o período em que o

usuário (funcionários da Organização ou contratados) trabalhou na empresa
( )C
( )NC

15.Os consultores que têm acesso às instalações de processamento das

informações também devem assinar um termo de confidencialidade
( )C
( )NC

16.Todos os usuários que acessam os recursos de processamento das

informações, devem ser treinados nas políticas e nos procedimentos de
segurança da informação da Organização.
( )C
( )NC

17.Os incidentes relacionados com a segurança da informação devem ser

notificados dentro de um prazo máximo de 7dias
( )C
( )NC

18.Os diversos tipos de incidentes de segurança da informação(violação às

políticas e procedimentos da organização, ameaças, fragilidades, mau
funcionamento) só devem ser notificados pelos funcionários da Organização.
( )C
( )NC

19.Deve ser estabelecido um processo disciplinar formal para tratar com os

usuários que cometam violações na segurança da informação
( )C
( )NC

20.Alguns dos incidentes de segurança da informação devem ser utilizados

nos treinamentos de conscientização dos usuários
( )C
( )NC

MÓDULO V:SEGURANÇA FÍSICA E DO AMBIENTE E

GERENCIAMENTO DAS OPERAÇÕES E COMUNICAÇÕES

7SEGURANÇA FÍSICA E DO AMBIENTE

Áreas de segurança (item 7.1 da NBR ISO IEC 17799)

O principal objetivo deste controle é evitar o acesso não autorizado, danos e
interferências às instalações de processamento da informação e às
informações da organização.

Uma das formas de prevenir acessos não autorizados é por meio do uso de
perímetros de segurança física, com barreiras de segurança e controles de
acessos bem definidos.

Deve ser verificado se o projeto das instalações levou em consideração

possibilidades de danos causados por fogo, inundações, ou outras formas de
desastres, sejam causados pelo homem ou pela natureza.

Alguns cuidados são de fundamental importância. Por exemplo, a

organização deve verificar se os equipamentos de contingência e as cópias
de segurança (backup) estão sendo guardadas a uma distância suficiente da
instalação principal, para evitar que um desastre nesse local afete todo o
sistema.
O uso de dispositivos de fotografia, incluindo telefones celulares, não deve
ser permitido no perímetro de segurança, a menos que expressamente
autorizado.

Segurança dos equipamentos (item 7.2 da NBR ISO IEC 17799)

O principal objetivo deste controle é evitar a perda ou o comprometimento
dos ativos e a interrupção das atividades da organização.

Uma das formas de prevenir essa situação é protegendo os equipamentos de

modo a reduzir os riscos de acesso não autorizado.
É importante lembrar que os equipamentos remotos devem ser
contabilizados no inventário e contemplados na avaliação de risco.

Devem ser estabelecidas políticas proibindo o uso de alimentação, bebidas e

fumo, próximo dos recursos de processamento da informação.

Cuidados para proteger os equipamentos contra falhas de energia e outras

anomalias na alimentação elétrica devem ser tomados como, por exemplo,
ter uma alimentação múltipla, usar o No-break (UPS) e ter disponível um
gerador de emergência.Este gerador deve ser testado regularmente, com
base nas instruções do fabricante.

A saída de qualquer equipamento de processamento da informação para fora

da organização deve ser autorizada e uma política sobre esta questão deve
ser estabelecida. Por exemplo, os equipamentos não devem ser deixados
desprotegidos em locais públicos, os notebooks devem ser transportados de
forma disfarçada e sempre devem permanecer junto ao responsável pelo
equipamento, mesmo em viagens de longa distância.

Devem ser considerados também outros ativos que contenham informações

sensíveis e críticas da organização, como agendas eletrônicas, celulares e
papéis importantes.

Um outro cuidado a ser tomado é com relação a trabalhos feitos em casa. Os

controles para minimizar os riscos decorrentes do uso de equipamentos fora
das instalações da organização, devem ser definidos com base em uma
avaliação de risco.

É importante que exista um procedimento orientando sobre o uso de

equipamentos fora das instalações da organização, e proibindo atividades
como instalações de jogos, acesso à internet para fins de diversão, ou outras
atividades que possam comprometer a confidencialidade, integridade e
disponibilidade das informações contidas no equipamento.

Controles Gerais (item 7.3 da NBR ISO IEC 17799)

O principal objetivo deste controle é o de evitar o roubo ou a exposição da
informação e dos recursos de processamento da informação.
Uma das formas de evitar o roubo ou a exposição é implantar uma política de
mesa limpa e tela protegida.

Alguns cuidados devem ser tomados como, por exemplo, guardar papéis
importantes e mídias em armários trancados, proteger os computadores
pessoais com senhas ou outros mecanismos quando não estiverem sendo
usados e travar as copiadoras fora do horário normal de trabalho.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

8 GERENCIAMENTO DAS OPERAÇÕES E COMUNICAÇÕES

Procedimentos e responsabilidades operacionais (item 8.1 da NBR ISO

IEC 17799)
O principal objetivo deste controle é garantir que os recursos de
processamento da informação operem de forma correta e segura

Uma das formas de garantir a operação correta é elaborar procedimentos

operacionais que especifiquem a execução detalhada de cada atividade.
Estes procedimentos devem ser periodicamente atualizados de modo a
refletir as novas tecnologias e mudanças do ambiente.

Os procedimentos devem, por exemplo, tratar de questões relacionadas com

restrições de uso dos recursos do sistema, erros que ocorram na execução
de uma tarefa, contato com pessoal de suporte, reinício e recuperação no
caso de falhas dos sistemas, geração de cópias de seguranças, entre outros.

A norma recomenda que as modificações nos sistemas e nos recursos de

processamento da informação sejam controladas como, por exemplo,
mudanças de equipamentos e aquisições de novos softwares.

Um dos procedimentos a serem estabelecidos é o de gerenciamento de

incidentes para assegurar uma resposta rápida e eficaz aos incidentes
relacionados com a segurança da informação. Falhas dos sistemas,
inoperância dos serviços, não obtenção do serviço, violação da
confidencialidade são exemplos de incidentes de segurança da informação
que devem ser reportados.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

Housekeeping (item 8.4 da NBR ISO IEC 17799)

O principal objetivo deste controle é assegurar a disponibilidade e integridade
dos serviços de processamento da informação.

Uma das formas de garantir a disponibilidade é elaborar um procedimento

para realizar cópias de segurança (backup) dos principais dados e softwares
que são necessários ao negócio. As cópias de segurança devem ser testadas
regularmente e guardadas longe das instalações principais, para evitar que
um desastre na instalação principal (incêndio, explosão, ação terrorista) afete
também as cópias de segurança. Cuidados devem ser tomados para proteger
as mídias usadas nas cópias de segurança, tanto do ponto de vista de
proteção física, para evitar o acesso indevido, quanto do ponto de vista de
armazenamento, para prevenir quanto à deterioração.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

Segurança e tratamento de mídias (item 8.6 da NBR ISO IEC 17799)

O principal objetivo deste controle é proteger as mídias magnéticas e
documentos contra roubo, acesso indevido e danos.

Uma das formas de garantir esta proteção é elaborar um procedimento para

o gerenciamento das mídias, incluindo o seu descarte.
Alguns cuidados devem ser tomados com as mídias removíveis (fitas, discos,
cartuchos, flash memory) como, por exemplo, apagar o conteúdo da mídia
que não será mais utilizada pela organização, solicitar autorização para a
remoção da mídia da organização, armazenar a mídia de acordo com as
especificações do fabricante e em um ambiente seguro.

O descarte das mídias deve ser feito de maneira a evitar que as informações
sensíveis e críticas sejam acessadas por pessoas não autorizadas.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

Troca de informações e software (item 8.7 da NBR ISO IEC 17799)

O principal objetivo deste controle é evitar a perda ou o mau uso das
informações trocadas entre as organizações.

Uma das formas de prevenir contra a perda ou mau uso das informações é
elaborar e implementar um procedimento que contemple o transporte seguro
das mídias, que defina regras para o comércio eletrônico, onde as transações
são feitas online por meio de redes públicas, que estabeleça políticas para o
uso do correio eletrônico, e que defina cuidados para proteger a integridade
da informação divulgada eletronicamente por meio de sistemas disponíveis
ao público.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

Cuidados também devem ser tomados para outras formas de troca de

informação como, por exemplo, as informações verbais, por fax e vídeo,
especialmente no caso de telefones celulares, quando usado em um
ambiente público.
 MÓDULO V: SEGURANÇA FÍSICA E DO AMBIENTE E
GERENCIAMENTO DAS OPERAÇÕES E COMUNICAÇÕES

EXERCÍCIOS DE FIXAÇÃO DE CONCEITOS

NOME:
ORGANIZAÇÃO:

ASSINALE AS QUESTÕES ABAIXO, CONFIRMANDO(C) OU NÃO(NC), SE

SÃO RECOMENDAÇÕES DA NORMA NBR ISO IEC 17799
Perguntas adicionais ao texto teórico apresentado são também
colocadas para estimular o raciocínio do estudante e enriquecer os
seus conhecimentos sobre a norma.

1.A norma recomenda que seja praticada a política de mesa limpa para
reduzir o risco de acesso não autorizado ou danos a papéis, mídias, recursos
e instalações de processamento das informações.
( )C
( )NC

2.Um perímetro de segurança física é, por exemplo, uma parede , uma porta
com controle de entrada baseado em um cartão, ou até mesmo um balcão de
controle de acesso registrado manualmente.
( )C
( )NC

3.As barreiras e a sua localização são implantadas independentemente do

resultado da avaliação de risco (RA).
( )C
( )NC

4.Barreiras físicas devem ser implantadas, onde necessário, para evitar

acessos não autorizados ou contaminação ambiental, tais como as
provocadas pelo fogo ou por inundações.
( )C
( )NC

5.Todos os visitantes que acessam as áreas de segurança devem ser

checados, mas não é necessário o registro da data e hora de sua entrada e
saída.
( )C
( )NC
6. As portas de incêndio situadas no perímetro de segurança devem possuir
sensores de alarme e molas para fechamento automático.
( )C
( )NC

7.O acesso às informações sensíveis, instalações e recursos de

processamento da informação deve ser controlado e restrito apenas ao
pessoal autorizado.
( )C
( )NC

8.Uma trilha de auditoria contendo todos os acessos físicos que ocorreram

deve ser mantida pela organização.
( )C
( )NC

9.Os direitos de acesso às áreas de segurança não precisam ser atualizados

e valem por tempo indeterminado.
( )C
( )NC

10.As atividades de processamento de informações devem estar indicadas

de forma explícita, tanto externa como internamente ao prédio.
( )C
( )NC

11.As fotocopiadoras e máquinas de fax podem ser instaladas em uma área

de livre circulação.
( )C
( )NC

12.Os sistemas de detecção de intrusos devem ser instalados por

profissionais especializados e testados a intervalos definidos, em todas as
portas externas e janelas acessíveis.
( )C
( )NC

13.Os equipamentos de contingência e os meios magnéticos de reserva

(backup) podem ser guardados próximo das instalações principais.
( )C
( )NC
14.O trabalho nas áreas de segurança deve ser feito sempre sob supervisão,
não apenas por questões de segurança, como principalmente para evitar
possibilidades de atividades maliciosas.
( )C
( )NC

15.As áreas de segurança não ocupadas, dispensam da necessidade de

verificação periódica.
( )C
( )NC

16.O acesso do pessoal de suporte às áreas de segurança ou às instalações

de processamento das informações sensíveis precisa somente de
autorização .
( )C
( )NC

17.O uso de bebidas, alimento e fumo nas proximidades das instalações de

processamento das informações não é proibido.
( )C
( )NC

18.Os geradores de reserva devem ser testados regularmente, seguindo as

instruções do fabricante, e o fornecimento de óleo deve assegurar a
utilização do gerador por um período de tempo prolongado.
( )C
( )NC

19.Todos os prédios devem ter proteção contra relâmpagos e filtros de

proteção contra raios devem ser instalados nas linhas de comunicação
externas.
( )C
( )NC

20.O plano de manutenção dos equipamentos é elaborado de acordo com a

experiência do gerente de manutenção, que não considera, necessariamente,
as recomendações do fabricante.
( )C
( )NC

21.Os procedimentos de operação devem especificar a execução detalhada

de tarefas incluindo requisitos de sincronismo, interdependências com outros
sistemas, a hora mais cedo de início e a hora mais tarde do término de
tarefas.
( )C
( )NC
22.A organização deve também elaborar procedimentos documentados para
as atividades de inicialização e encerramento das atividades dos
computadores, geração de cópias de segurança (back-up) e manutenção de
equipamentos.
( )C
( )NC

23.As modificações nos sistemas e recursos de processamento da

informação não precisam ser controladas.
( )C
( )NC

24.A organização deve estabelecer um procedimento para o gerenciamento

de incidente que cubra os principais tipos de incidentes de segurança, tais
como: falhas dos sistemas de informação e inoperância de serviços, não
obtenção de serviço, erros resultantes de dados incompletos ou
inconsistentes e violação de confidencialidade.
( )C
( )NC

25.Os procedimentos para o gerenciamento de incidentes devem contemplar

também, uma análise e identificação das causas do incidente, o
planejamento e implementação de medidas para evitar a reocorrência do
incidente, a coleta de trilhas de auditoria e evidências similares, a
comunicação com as pessoas afetadas ou envolvidas na recuperação de
incidentes e o relato à autoridade apropriada.
( )C
( )NC

26.As trilhas de auditoria e evidências similares devem ser coletadas e

mantidas de forma segura, para permitir uma análise de problemas internos,
como evidência para o caso de uma potencial violação de contrato ou de
normas reguladoras, ou em casos de delitos civis ou criminais, tais como os
relacionados ao uso doloso de computadores ou à legislação de proteção dos
dados.
( )C
( )NC

27. A segregação de atividades que requeiram cumplicidade é importante

para se evitar a concretização de uma fraude, como por exemplo, a pessoa
que emite um pedido de compra, não deve ser a mesma responsável pela
confirmação do recebimento da compra.
( )C
( )NC
28.Cópias de segurança dos dados e de software essenciais ao negócio
devem ser feitas regularmente e os backups dos sistemas individuais devem
ser testados, para garantir os requisitos do plano de continuidade dos
negócios.
( )C
( )NC

29.As cópias de segurança e os procedimentos de recuperação podem ser

mantidos em qualquer local, desde que devidamente protegidos.
( )C
( )NC

30.A organização deve manter registros das atividades de pessoal de

operação, incluindo o horário de início e término dos processamentos, os
erros e as ações corretivas adotadas, a confirmação do correto tratamento
dos arquivos de dados e dos resultados gerados nos processamentos, bem
como a identificação de quem está realizando as operações.
( )C
( )NC

31.O prestador de serviços de coleta e descarte de papel, de equipamentos e

de mídias magnéticas, não necessita adotar cuidados especiais, uma vez que
a informação será destruída.
( )C
( )NC

32.A organização deve estabelecer um procedimento para o tratamento da

informação contida em documentos, sistemas de computadores, computação
móvel, redes de computadores, correio eletrônico, correio de voz, uso de fax,
para proteger tais informações, contra a divulgação ou uso indevido.
( )C
( )NC

33.O armazenamento das mídias deve ser feito em um ambiente compatível

com as especificações do fabricante.
( )C
( )NC

34.A organização deve definir uma política clara para o uso do correio
eletrônico, contemplando orientações sobre quando não se deve utilizar o
correio eletrônico, proteção de anexos e uso de técnicas de criptografia,
quando necessário, para proteger a confidencialidade e integridade das
mensagens eletrônicas.
( )C
( )NC
MÓDULO VI:CONTROLE DE ACESSO E DESENVOLVIMENTO
DE MANUTENÇÃO DE SISTEMAS

9 CONTROLE DE ACESSO

Requisitos do negócio para controle de acesso (item 9.1 da NBR ISO IEC
17799)
O principal objetivo deste controle é monitorar o acesso à informação e aos
processos do negócio.

Uma das formas de monitorar o acesso é elaborar e implementar uma política

de controle de acesso aos sistemas de informação e à informação.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

É neste item da norma que se aplicam dois grandes conceitos. O primeiro é o

conceito need to know, ou seja, as pessoas somente precisam acessar os
sistemas necessários à execução das suas atividades.
A seguinte pergunta deve ser regularmente feita: Porque esta pessoa precisa
acessar essas informações da organização ?

O segundo conceito parte da premissa de que “Tudo é proibido, a menos que

expressamente permitido, ao invés de “Tudo é permitido, a menos que
expressamente proibido”

Gerenciamento de acessos do usuário (item 9.2 da NBR ISO IEC 17799)

O principal objetivo deste controle é prevenir o acesso não autorizado aos
sistemas de informação.

Uma das formas de evitar o acesso não autorizado é elaborar e implementar

procedimentos formais para controlar o acesso dos usuários, autorizando e
quando necessário, cancelando o acesso aos sistemas de informação e aos
serviços.
Os acessos devem ser formalmente controlados e registrados.

Convém lembrar que as pessoas que são remanejadas para outra área
devem ser imediatamente removidas das listas de acesso.

Cuidados especiais devem ser tomados em relação aos administradores e

engenheiros de sistemas, bem como com as funções privilegiadas que
acessam os recursos de processamento da informação.

Com a atual dinâmica no mundo dos negócios, as organizações fazem

reestruturação organizacional, realizam fusões e aquisições, como também o
chamado downsizing, e com isto muitas pessoas saem e entram na
organização.
Portanto é muito importante que, periodicamente, seja feita uma análise
crítica dos direitos de acesso do usuário, inclusive com os prestadores de
serviços, pessoal temporário e estagiários que acessam os recursos de
processamento da informação.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.

Responsabilidades do usuário (item 9.3 da NBR ISO IEC 17799)

O principal objetivo deste controle é prevenir o acesso não autorizado aos
sistemas de informação.

A grande responsabilidade que recai sobre os usuários, está relacionada com

o uso de senhas. Como boas práticas de segurança, cabe ao usuário: manter
a confidencialidade da sua senha, modificar a senha quando houver uma
indicação de possível comprometimento, selecionar senhas que não sejam
baseadas em nomes de pessoas, telefones ou datas de nascimento, não
utilizar caracteres consecutivos como 1,2,3,4 ou a,b,c,d, e, principalmente,
não compartilhar a sua senha com outras pessoas.

Por outro lado, cabe também à organização, realizar uma ampla campanha
de conscientização, por meio de cartazes, palestras, teatros, brindes, quanto
ao uso correto das senhas.

Computação móvel e trabalho remoto (item 9.8 da NBR ISO IEC 17799)
O principal objetivo deste controle é garantir a segurança da informação
quando da utilização de computação móvel e de trabalho remoto.

Uma das formas de garantir a segurança da informação é estabelecer e

implementar um procedimento para o uso de recursos de computação móvel
(notebooks, palmtops, telefones celulares) e de trabalho remoto.
Este procedimento deve contemplar cuidados com a proteção física dos
equipamentos, controles de acesso, cópias de segurança, proteção contra
vírus e instalação de software, dando ênfase para o uso de tais
equipamentos em locais públicos, os quais podem estar sujeitos a roubo.

Equipamentos como notebook, por exemplo, não devem ser deixados dentro
de carros, em salas de reunião ou em quartos de hotéis.

Devem ser implementados mecanismos de controle de acesso para os

equipamentos de computação móvel que acessam remotamente as
informações da organização por meio de redes públicas.

Devem existir mecanismos que assegurem que os envolvidos foram

treinados, conhecem e praticam as políticas e procedimentos da organização.
10 DESENVOLVIMENTO E MANUTENÇÃO DE SISTEMAS

Requisitos de segurança de sistemas (item 10.1 da NBR ISO IEC 17799)

O principal objetivo deste controle é integrar a segurança dentro dos sistemas
de informação

Uma das formas empregadas é especificar requisitos de segurança nos

novos sistemas ou na melhoria dos sistemas existentes.

Deve ser lembrado que os requisitos e controles de segurança incorporados

na etapa inicial de um projeto são muito mais fáceis e, principalmente,mais
econômicos do que se implantados na fase final do projeto.

Segurança nos sistemas de aplicação (item 10.2 da NBR ISO IEC 17799)
O principal objetivo deste controle é evitar que sejam feitas alterações dos
dados dos usuários nos sistemas de aplicações, perdas ou mau uso desses
dados.

Uma das formas empregadas é validar os dados de entrada para garantir que
eles não foram modificados, assegurando assim a integridade da informação.
Esta mesma sistemática deve ser aplicada tanto para o processamento
interno das informações, como para validar os dados de saída.
A validação dos dados visa assegurar que os mesmos estão corretos e não
foram modificados, seja por meio de uma ação proposital ou por erro de
processamento.

Controles de criptografia (item 10.3 da NBR ISO IEC 17799)

O principal objetivo deste controle é proteger, por meio de técnicas e
sistemas criptográficos, a confidencialidade, a autenticidade e a integridade
da informação.

Enquanto a criptografia protege a confidencialidade das informações críticas

e sensíveis, a assinatura digital visa proteger a autenticidade e integridade
dos documentos emitidos em meio eletrônico.

Uma das técnicas empregadas na assinatura digital está baseada em um

único par de chaves, onde a chave privada é usada para gerar a assinatura e
a chave pública para verificar a assinatura.
É de fundamental importância garantir a confidencialidade da chave privada
pois caso ela seja acessada por um terceiro, essa pessoa poderá assinar
documentos.

Segurança nos processos de desenvolvimento e suporte (item 10.5 da

NBR ISO IEC 17799)
O principal objetivo deste controle é manter a segurança da informação do
sistema de aplicação e do software
Uma das formas empregadas é adotar um controle rígido quando da
implementação de mudanças de modo a minimizar a corrupção dos sistemas
de informação. As solicitações dos usuários devem ser analisadas
criteriosamente, antes de se realizar uma modificação no software.

Questões relativas a acordos sobre licenças, direitos de propriedade

intelectual e qualidade do código devem ser consideradas, quando do
desenvolvimento de um software por terceiros.
É recomendável que este software seja testado, antes de ser instalado.

MÓDULO VI:CONTROLE DE ACESSO E DESENVOLVIMENTO

E MANUTENÇÃO DE SISTEMAS

EXERCÍCIOS DE FIXAÇÃO DE CONCEITOS

NOME:
ORGANIZAÇÃO:

ASSINALE AS QUESTÕES ABAIXO, CONFIRMANDO(C) OU NÃO(NC), SE

SÃO RECOMENDAÇÕES DA NORMA NBR ISO IEC 17799

Perguntas adicionais ao texto teórico apresentado são também

colocadas no exercício de fixação de conceitos, para estimular o
raciocínio do estudante e enriquecer os seus conhecimentos sobre a
norma.

1.A regra básica para o controle de acesso parte da premissa de que “Tudo
deve ser proibido, a menos que expressamente permitido”, ao invés de “Tudo
é permitido, a menos que expressamente proibido”.
( )C
( )NC

2.Os usuários que tenham mudado de função ou saído da organização,

devem ter seus direitos de acesso revogados em até 60 dias.
( )C
( )NC

3.Nos contratos dos usuários deve ser incluída uma cláusula estabelecendo
sanções, nos casos de tentativa de acesso não autorizado, seja pelo
funcionário da organização, seja por um prestador de serviço.
( )C
( )NC

4.A concessão e o uso de privilégios devem ser restritos e controlados, pois a

experiência revela que o uso inadequado de privilégios em sistemas é
freqüentemente apontado como o maior fator de vulnerabilidade.
( )C
( )NC

5.O direito de acesso dos usuários deve ser analisado criticamente a cada
dois anos e as autorizações para direitos de acesso privilegiados, a cada 12
meses.
( )C
( )NC

6. Os relógios dos computadores devem ser sincronizados para garantir a

exatidão dos registros da auditoria, os quais podem ser requeridos por
investigações ou como evidências em casos legais ou disciplinares.
( )C
( )NC

7.A organização deve adotar uma política formal para os recursos de

computação móvel, tais como, notebooks, palmtops, laptops e telefones
celulares. Esta política deve incluir requisitos para a proteção física, controles
de acesso, técnicas criptográficas, cópias de segurança e proteção contra
vírus.
( )C
( )NC

8.Os recursos de computação móvel devem ser protegidos fisicamente contra

roubo, quando deixados em carros, hotéis e locais de reunião.
Equipamentos com informações sensíveis e críticas, nunca devem ser
deixados sem observação.
( )C
( )NC

9.Os computadores portáteis devem ser carregados como bagagem de mão

e disfarçados sempre que possível nas viagens.
( )C
( )NC

10.As atividades de trabalho remoto devem ser realizadas com base em

políticas e procedimentos, e autorizadas somente se existirem controles e
acordos de segurança apropriados e em conformidade com a política de
segurança da organização.
( )C
( )NC

11.Os controles introduzidos no desenvolvimento do projeto são

significativamente mais baratos de implementar e manter do que aqueles
incluídos durante ou após a sua implementação.
( )C
( )NC

12.Checagens de validação devem ser implementadas para detectar

eventuais corrupções nos dados que foram introduzidos corretamente, como
conseqüência de erros de processamento ou através de ações intencionais.
( )C
( )NC

13.O objetivo do controle de criptografia é de assegurar a disponibilidade da

informação.
( )C
( )NC

14.Uma pessoa que tenha assinatura digital possui um par de chaves, uma
chave privada (que pode ser revelada a qualquer pessoa) e uma chave
pública (que tem que ser mantida em segredo).
( )C
( )NC

15. O acesso físico ou lógico concedido ao fornecedor de software, somente

deve ser permitido quando for para realizar atividades de suporte, com a
aprovação da gerência e com monitoração.
( )NC
( )NC

16.A organização deve adotar um controle rígido sobre a implementação das

mudanças, para minimizar a corrupção dos sistemas de informação .
( )C
( )NC

17.Os pacotes de software podem ser modificados, todas as vezes que forem
solicitados pelos usuários .
( )C
( )NC
18.Quando o desenvolvimento de um software for terceirizado, deve ser
levado em consideração, os acordos sobre licenças, direitos de propriedade
intelectual, certificação da qualidade e da exatidão do trabalho, acordos na
eventualidade de haver falhas do prestador de serviço e requisitos
contratuais da qualidade do código.
( )C
( )NC

19.Um software desenvolvido por terceiro deve ser testado antes da sua
instalação, para detecção de cavalos de Tróia.
( )C
( )NC

MÓDULO VII:GESTÃO DA CONTINUIDADE DO NEGÓCIO E

CONFORMIDADE

11 GESTÃO DA CONTINUIDADE DO NEGÓCIO

Aspectos da gestão da continuidade do negócio (item 11.1 da NBR ISO

IEC 17799)
O principal objetivo deste controle é evitar a interrupção das atividades que
impactam no negócio e proteger os processos críticos contra possíveis falhas
ou, até mesmo, um grande desastre.

Uma das formas de evitar a interrupção é elaborar um plano de continuidade

do negócio. Este plano deve estar baseado nos resultados da avaliação de
risco e nos impactos que a organização possa ter com a interrupção das suas
atividades. Também devem ser consideradas as conseqüências de um
eventual desastre, falhas de equipamentos e ações propositais.

O plano de continuidade dos negócios visa garantir a disponibilidade dos

serviços e informações e deve ser analisado periodicamente para garantir
que ele se mantém atualizado e alinhado aos negócios da organização.

O plano deve ser desenvolvido de modo a restaurar as atividades em um

período de tempo acordado com os clientes, parceiros e organismos
reguladores.

Os procedimentos definidos no plano devem estar documentados e

implementados.

Os planos devem ser testados e atualizados conforme programação definida.

12 CONFORMIDADE
12.1 Conformidade com requisitos legais (item 11.1 da NBR ISO IEC
17799)
O principal objetivo deste controle é evitar a violação de qualquer legislação,
regulamentações ou compromissos contratuais, além de quaisquer requisitos
de segurança.

Uma das formas de evitar a violação é elaborar e implementar um

procedimento que garanta que a organização cumpre e respeita as leis de
propriedade intelectual e o uso de produtos de software proprietários.
O procedimento deve definir como é feito o controle sobre o uso dos software
licenciados pela organização.

Além disto, a organização deve realizar campanhas de conscientização junto

aos usuários, lembrando que o uso não autorizado ou a cópia de material
protegido ou de software pode levar a uma ação legal.

Um outro ponto a ser destacado refere-se à retenção e guarda dos registros

importantes da organização.
Recomenda-se elaborar um procedimento que defina cuidados para a
proteção dos registros contra a perda, destruição e falsificação. O
procedimento deve também fazer referência à forma de armazenagem, ao
tempo de indexação e ao descarte do registro.

Quanto à proteção de dados e privacidade da informação pessoal,

recomenda-se a aplicação de controles apropriados para proteger as
informações pessoais de acordo com a legislação pertinente.

MÓDULO VII:GESTÃO DA CONTINUIDADE DO NEGÓCIO E

CONFORMIDADE

EXERCÍCIOS DE FIXAÇÃO DE CONCEITOS

NOME:
ORGANIZAÇÃO:

ASSINALE AS QUESTÕES ABAIXO, CONFIRMANDO(C) OU NÃO(NC), SE

SÃO RECOMENDAÇÕES DA NORMA NBR ISO IEC 17799

Perguntas adicionais ao texto teórico apresentado são também

colocadas para estimular o raciocínio do estudante e enriquecer os
seus conhecimentos sobre a norma.
1.O grande objetivo da gestão da continuidade do negócio é o de não permitir
a interrupção das atividades do negócio e proteger os processos críticos
contra efeitos e falhas, ou até mesmo, desastres significativos
( )C
( )NC

2.As conseqüências de desastres, falhas de segurança e perda de serviços

devem ser analisadas e os planos de contingência desenvolvidos e
implementados para assegurar a recuperação dos processos em um prazo
máximo de 4 semanas.
( )C
( )NC

3.Os planos devem ser mantidos e testados tornando-se assim, parte

integrante dos demais processos gerenciais da organização
( )C
( )NC

4.A identificação dos eventos que podem causar interrupções nos processos
do negócio, tais como, falha de equipamentos, inundações, incêndios,
sabotagens e espionagens, representa o ponto de partida para a
continuidade do negócio
( )C
( )NC

5.O plano de continuidade do negócio deve ser validado pela direção ou pelo
Comitê de Segurança da informação.
( )C
( )NC

6.No processo de planejamento deve ser contemplada, a recuperação de

serviços específicos para os clientes, dentro do período de tempo definido
pela organização.
( )C
( )NC

7.Procedimentos de recuperação devem ser estabelecidos, descrevendo as

ações necessárias para a transferência das atividades essenciais do negócio
ou dos serviços de infra-estrutura, para localidades alternativas temporárias e
para reativação dos processos do negócio no prazo necessário.
( )C
( )NC

8.Para evitar falhas, devido a pressupostos incorretos, omissões ou

mudanças de equipamentos e de pessoal, os planos de continuidade do
negócio devem ser testados regularmente, de modo a garantir a sua
permanente atualização e efetividade.
( )C
( )NC

9.São exemplos de situações que podem demandar atualizações nos planos

de continuidade dos negócios:a aquisição de novo equipamento, a
atualização de sistemas operacionais, processos, alterações de pessoal, de
endereços, localização, legislação e prestadores de serviços-chave.
( )C
( )NC

10.Procedimentos apropriados devem ser implementados para garantir a

conformidade com restrições legais no uso de material, de acordo com as leis
de propriedade intelectual, como as leis de direitos autorais, patentes ou
marcas registradas.
( )C
( )NC

11. Cópia de material que tenha direitos autorais não se caracteriza como
uma violação do direto autoral, nem leva a uma possível ação legal,
envolvendo processos criminais.
( )C
( )NC

12.Os produtos de software proprietários adquiridos pela organização podem

ser empregados em quaisquer máquinas, sem restrições de uso .
( )C
( )NC

13. A organização deve manter atenção sobre a política de aquisição e de

direitos autorais de software e notificar a intenção de tomar ações
disciplinares com os usuários que violarem essas políticas.
( )C
( )NC

14.Os discos-mestres e manuais, entre outros, devem ser mantidos pela

organização, como prova da propriedade de licenças.
( )C
( )NC
15.A organização deve conduzir verificações, para assegurar que somente
produtos de software autorizados e licenciados sejam instalados.
( )C
( )NC

MÓDULO VIII:CASES STUDIES

Os Cases Studies têm como objetivos :
1. Avaliar o entendimento do participante do curso quanto aos 3
componentes principais da informação, ou seja, a confidencialidade, a
integridade e a disponibilidade.

2.Identificar qual o item da norma (número e título do item) que poderia ser
implementado, para eliminar ou reduzir a vulnerabilidade. Por exemplo, Item
da norma (número e título): 9.8.1 Computação móvel

O estudo de Caso requer o uso do anexo I e do entendimento dos conceitos abaixo

descritos:
a)Confidencialidade:garantia de que a informação é acessível somente por pessoas
autorizadas a terem acesso
b)Integridade:salvaguarda da exatidão e completeza da informação e dos métodos
de processamento
c)Disponibilidade:garantia de que os usuários autorizados obtenham acesso à
informação e aos ativos correspondentes, sempre que necessário

CASE 1:ASSALTO AO ESCRITÓRIO DE UM SENADOR DA REPÚBLICA

Em 2003 um Senador da República teve o seu escritório invadido, tendo os
bandidos levado o computador, vários papéis importantes que estavam sobre
a mesa, além de documentos recolhidos da lixeira.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 2:ROUBO DE UM NOTE BOOK

Armando José da Silva, funcionário do Banco BARTICOURT teve o seu notebook
roubado, ao deixar aberta a sala de reunião, quando saiu para almoçar. Felizmente
ele havia feito o backup de todos os dados, no dia anterior.
PARTE A :Identifique qual o componente da informação (apenas um)
mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade
PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 3:ATENTADO AO WORLD TRADE CENTER EM NOVA YORK

Um banco tinha dois escritórios funcionando no World Trade Center.O Banco
não conseguiu restaurar os seus sistemas operacionais dentro dos prazos
acordados com os clientes.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 4:ARMAZENAMENTO DE FITAS DE BACK UP

Pesquisa realizada na Inglaterra revela que 50% das fitas de backup, quando
são restauradas, nunca funcionam.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
CASE 5: FUMAÇA ENTRE GIGANTES
Em julho de 2004,uma história de espionagem empresarial envolvendo dois
gigantes agitou os bastidores da indústria do fumo. A Polícia Civil de São
Paulo investigou o furto de documentos confidenciais de uma industria de
cigarro, com toda a estratégia de lançamento do seu novo produto, recém
chegado ao mercado.
O furto ocorreu no dia 03 de julho de 2004, quando a Empresa realizava um
evento fechado em um Hotel, para tratar do lançamento do produto.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 6: USO NÃO AUTORIZADO DE DISPOSITIVOS TIPO FLASH

MEMORY
Os principais arquivos e processos dos clientes de um escritório em São
Paulo foram copiados usando-se o Flash Memory, no momento em que o
usuário do computador se afastava do mesmo para ir a uma reunião,
deixando o seu computador ligado e sem tela de proteção.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 7: USO DE TELEFONES CELULARES E CONVERSAS EM LOCAIS

PUBLICOS
Em uma viagem de avião entre São Paulo e Rio de Janeiro dois funcionários
de um Banco conversavam abertamente sobre a situação das contas de três
grandes empresas que eram clientes do banco. Varias pessoas que estavam
no avião ouviram a conversa.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 9: GOVERNO SOFRE COM FALHAS DE TECNOLOGIA

Em novembro de 2004, 80 mil funcionários do Departamento do Trabalho de
um país da Europa, passaram pela maior falha de computadores da sua
história. Segundo declaração oficial do departamento, a repartição estava
passando por uma "atualização de rotina", quando 80 % dos 100 mil
computadores ficaram fora de operação ou desligados.

PARTE A :Identifique qual o componente da informação (apenas um)

mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 10: BANCO AMERICANO REVELA PERDA DE DADOS

Em dezembro de 2004, um grande banco americano revelou que
informações de cerca de um milhão e duzentos mil funcionários do Governo
Americano sumiram das fitas dos seus computadores.
As fitas continham informações preciosas de cartões de cobrança do
Governo Federal.
De acordo com a agência de notícias, cerca de 900 mil funcionários podem
ter sido afetados.
PARTE A :Identifique qual o componente da informação (apenas um)
mais afetado :
( )Confidencialidade
( )Integridade
( )Disponibilidade

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:
Item da norma:

CASE 11:CÓPIA DE LIVROS

Em fevereiro de 2005, uma Copiadora de São Paulo, foi advertida por estar
tirando cópias não autorizadas de um livro de Medicina.

PARTE B :Qual o item ou itens da NBR ISO IEC 17799 que poderia ser
implementado para minimizar ou eliminar a vulnerabilidade ? Apresente
um ou mais itens da norma
Item da norma:

Anexos:
Anexo I :Requisitos da NBR ISO IEC 17799

BIBLIOGRAFIA
1)NBR ISO IEC 17799:2001 – Tecnologia da informação –Código de prática para
a gestão da segurança da informação – ABNT-Associação Brasileira de Normas
Técnicas

2) ISO IEC 17799 and BS 7799-2 Certification Experiences – Ariosto Farias Jr

7799 Goes Global Seminar- Singapore, April 2004.