Medindo e Gerenciando a Segurança da Informação

Uma das principais questões que surgem com o desenvolvimento de ferramentas e soluções voltadas à segurança da informação é sobre como avaliar o nível de maturidade dos sistemas de gestão da segurança da informação (SGSI) utilizados pelas organizações.

Para Denny Roger, diretor da EPSEC e diretor técnico da Abrasinfo, muitas metodologias atuais de avaliação da maturidade desses sistemas ainda são subjetivas ou incompletas. “Executivos, gerentes e analistas se perguntam sobre como avaliar a situação da empresa em relação à segurança; sobre quais são os processos que demandam por melhorias para se alinharem à estratégia da organização; se os investimentos em segurança estão efetivamente resolvendo os problemas; e se os resultados obtidos correspondem à proporção dos gastos”, diz Denny.

Para responder a tais questões seria preciso estabelecer uma série de “melhores práticas” que partissem de um diagnóstico minucioso acerca da maturidade do SGSI em uma organização. O assunto será tema de palestra que Denny Roger ministrará no 18º CNASI – Congresso de Auditoria em TI, Segurança da Informação e Governança, realizado entre os dias 22 e 24 de setembro em São Paulo

O primeiro passo rumo à maturidade do SGSI seria o mapeamento da situação na qual o sistema se encontra. Com isso se torna possível fundamentar as opções por melhorias que, com o devido sistema de monitoração, possam se adequar, passo a passo, à estratégia de negócios da organização.

“Definidas as especificidades que atendam às exigências da empresa”, sugere Denny, “a próxima etapa seria a comparação desse sistema aos modelos das melhores organizações do segmento, o chamado benchmarking, e também aos padrões internacionais, como o ISO/IEC 27002”.

Após esse processo é possível desenvolver um plano estruturado de crescimento da maturidade da segurança da informação que corresponda às expectativas do planejamento estratégico da empresa, diretamente ligado ao sucesso dos negócios como um todo.

Na medida em que os processos adquirem robustez e precisão, torna-se possível registrar as dimensões de cada nível de maturidade, estabelecendo uma taxa de satisfação às necessidades dos negócios ou mesmo identificando os objetivos de segurança à competência comportamental, estrutura organizacional, informatização, metodologia e à competência técnica.

Denny Roger é diretor da EPSEC, membro Comitê Brasileiro sobre as normas de gestão de segurança da informação (série 27000), diretor técnico da Associação Brasileira de Segurança da Informação (Abrasinfo), especialista em análise de risco, projetos de redes seguras e perícia forense. E-mail: denny@epsec.com.br.

.

Informações à imprensa:
Paulo Burnquist
paulo.burnquist@gmail.com
11-5575-1233 ramal 224
11-8019-8935
msn: pauloleeb@hotmail.com