O planejamento estratégico da segurança da informação é fator crítico de sucesso para uma proteção efetiva da informação. Pode-se proteger a informação sem um planejamento estratégico? Sim, é possível. Porém, esta proteção será momentânea e não haverá uma garantia de que ao longo do tempo esta proteção continue.
Muitas organizações fazem segurança da informação por espasmo, em resposta a uma situação específica ou “vai tocando para ver no que vai dar”. Cada organização precisa saber o que vai fazer em segurança da informação nos próximos 3 anos. Qual é a prioridade da implantação dos controles. Todas as organizações têm muitas vulnerabilidades e se somarmos o tempo para resolução de cada uma delas, chegaremos na eternidade. Só resta uma solução: priorizar as ações. Para priorizar as ações precisamos planejar e definir o que será feito e qual a prioridade. Evidentemente tudo isto alinhado com os objetivos da organização. Por não conhecimento ou má fé, muitas organizações começam suas ações fazendo teste de invasão, que aparece bem para a direção, mas não possuem nem um conjunto de políticas e demais regulamentos. Estão brincando de proteger a informação.
Outra questão fundamental é que estamos tratando da segurança da informação da organização. Não se trata da segurança da informação da Área de Tecnologia da Informação. Evidentemente o ambiente computacional é muito importante, porém ele é um dos ambientes onde a informação é utilizada.
Esta abordagem da segurança da informação da organização somente acontece de verdade, se a Área de Segurança da Informação possuir a independência adequada. Se estamos tratando de segurança da informação da organização, esta área tem que estar subordinada a uma estrutura que defenda os objetivos de negócio, independentemente onde a informação esteja: no ambiente físico (convencional), no ambiente digital (computadores) ou no ambiente humano (mente).
Para elaborar o planejamento estratégico da segurança da informação, a organização precisa conhecer como estar a sua maturidade em relação a cada uma das Dimensões de Segurança, baseadas nas Normas da Família 27000.
Sua organização sabe como está a gestão de cada Dimensão da Segurança? Sua organização sabe o que vai desenvolver, implantar e manter nos próximos três anos os controles de segurança da informação?
Por Edison Fontes
Prof. Ms. Edison Fontes, CISM, CISA, CRISC
Consultor em Segurança da Informação, Gestão de Risco, Continuidade de Negócio.
edison@pobox.com
www.nucleoconsult.com.br
@edisonfontes
Fonte: informationweek.itweb.com.br
Comentários
Postar um comentário
Compartilhando idéias e experiências sobre o cenário tributário brasileiro, com ênfase em Gestão Tributária; Tecnologia Fiscal; Contabilidade Digital; SPED e Gestão do Risco Fiscal. Autores: Edgar Madruga e Fabio Rodrigues.