TI Controle
1 view
Skip to first unread message
Evandro Oliveira
Jun 27, 2011, 1:26:05 PM6/27/11
to thac...@googlegroups.com
Caros(as),
Para quem não sabe, existe um grupo de trabalho, capitaneado
pelo TCU mas que expandiu suas fronteiras, que cuida de controlar
as coisas de TI nos órgãos publicos.
Este grupo está completando 5 anos e realizará evento com Mini-cursos,
palestras, debates.
Acredito que tudo ou quase tudo que está sendo apresentado e discutido
tem a ver com a THacker.
Recomendo para quem estiver ou puder vir a Brasília.
Eu devo estar presente ao menos em um dos dias do evento.
--
abs,
Evandro Oliveira
Beagá - MG
(31) 9982-0221
Brasília - DF
(61) 9299-6229
abs,
Evandro Oliveira
Beagá - MG
(31) 9982-0221
Brasília - DF
(61) 9299-6229
Fabiano Damasceno
Jun 27, 2011, 2:03:08 PM6/27/11
to thac...@googlegroups.com
Os paineis de debate são muito interessante... momento em que os participantes podem questionar as autoridades/especialistas que compõem a mesa.
Também estarei no evento, exceto os dias sobre o LexML...
Será muito interessante na Sexta-feira, dia dedicado à Governança de TI, pois de acordo com o levantamento de Governança de TI realizado na APF em 2010 (http://portal2.tcu.gov.br/portal/page/portal/TCU/comunidades/tecnologia_informacao/pesquisas_governanca/Relat%C3%B3rio%20do%20Levantamento%20Governan%C3%A7a%20de%20TI%202010.pdf) os indicadores de segurança da informação não tiveram bons resultados:
"A área de segurança da informação continua a chamar atenção pelos altos índices de não-conformidade, sugerindo que, de forma geral, as organizações públicas, além de não tratarem os riscos aos quais estão expostas, os desconhecem."
...
2.3 Segurança da informação
...
2.3.1 Análise
68. Inicialmente, admite-se por prudência que a piora em parte dos indicadores pode não refletir uma efetiva deterioração da situação da segurança da informação na APF, mas uma possível melhora na compreensão, por parte dos respondentes, dos conceitos questionados. Infere-se que essa melhor compreensão tenha resultado em avaliações mais rigorosas no presente levantamento.
69. Percebe-se que, em todos os casos, não houve melhora nos processos que tratam de segurança da informação na APF. Ou seja, se em 2007 a situação já se mostrava preocupante, atualmente é ainda pior, uma vez que o alarme foi soado por meio do Acórdão nº 1.603/2008-TCU-Plenário e, um ano e meio depois, o quadro não apresenta evidências de melhora.
70. Se em 2007 havia o entendimento de que a maior parte das instituições estava exposta a riscos diversos e não mapeados, hoje, além de a Administração estar exposta aos mesmos riscos, não está agindo para saneá-los com a agilidade que o caso requer.
71. Não se defende, aqui, que cada instituição possua um plano de continuidade de negócios (PCN) com o que há de mais avançado e caro no mercado, em nome apenas das boas práticas de SI. Mas que, ao menos, se conheçam os principais riscos a que as informações críticas para o negócio estão submetidas e que se dê o tratamento correspondente.
72. Sem inventariar e classificar a informação (apenas 25% e 11% o fazem, respectivamente, como exposto no Apêndice III, questão 7.1) adequadamente não há como saber que informações são críticas e devem ser protegidas. A outra possível consequência da falta desses processos é o desperdício de recursos ao se tentar proteger a integridade, a confidencialidade e a disponibilidade, com todos os custos envolvidos nesse esforço, de informações não críticas para a instituição.
73. O mínimo esperado é que se empreenda uma análise de riscos (menos de 20% o fazem segundo os dados coletados) e que, a partir daí, se busque uma estratégia adequada à realidade de cada instituição. Mesmo que a decisão tomada a partir do conhecimento de determinado risco seja aceitá-lo, é necessário que esse risco seja conhecido e suas consequências estimadas.
74. Por fim, deve-se mencionar que, sobre esse tema, o Gabinete de Segurança Institucional (GSI) publicou as seguintes normas:
2.3.2 Conclusão
75. Não se percebe melhora nos indicadores de segurança da informação em relação ao levantamento anterior, a despeito da recomendação emitida pelo TCU. A Administração, de forma geral, continua a desconhecer e a não proteger suas informações críticas adequadamente. Como não há avaliação de riscos, nem ao menos é possível estimar as suas consequências caso estes se materializem.
76. Dessa forma, deve-se dar especial atenção a este aspecto no monitoramento das recomendações do Acórdão nº 1.603/2008-TCU-Plenário.
...
2.3 Segurança da informação
...
2.3.1 Análise
68. Inicialmente, admite-se por prudência que a piora em parte dos indicadores pode não refletir uma efetiva deterioração da situação da segurança da informação na APF, mas uma possível melhora na compreensão, por parte dos respondentes, dos conceitos questionados. Infere-se que essa melhor compreensão tenha resultado em avaliações mais rigorosas no presente levantamento.
69. Percebe-se que, em todos os casos, não houve melhora nos processos que tratam de segurança da informação na APF. Ou seja, se em 2007 a situação já se mostrava preocupante, atualmente é ainda pior, uma vez que o alarme foi soado por meio do Acórdão nº 1.603/2008-TCU-Plenário e, um ano e meio depois, o quadro não apresenta evidências de melhora.
70. Se em 2007 havia o entendimento de que a maior parte das instituições estava exposta a riscos diversos e não mapeados, hoje, além de a Administração estar exposta aos mesmos riscos, não está agindo para saneá-los com a agilidade que o caso requer.
71. Não se defende, aqui, que cada instituição possua um plano de continuidade de negócios (PCN) com o que há de mais avançado e caro no mercado, em nome apenas das boas práticas de SI. Mas que, ao menos, se conheçam os principais riscos a que as informações críticas para o negócio estão submetidas e que se dê o tratamento correspondente.
72. Sem inventariar e classificar a informação (apenas 25% e 11% o fazem, respectivamente, como exposto no Apêndice III, questão 7.1) adequadamente não há como saber que informações são críticas e devem ser protegidas. A outra possível consequência da falta desses processos é o desperdício de recursos ao se tentar proteger a integridade, a confidencialidade e a disponibilidade, com todos os custos envolvidos nesse esforço, de informações não críticas para a instituição.
73. O mínimo esperado é que se empreenda uma análise de riscos (menos de 20% o fazem segundo os dados coletados) e que, a partir daí, se busque uma estratégia adequada à realidade de cada instituição. Mesmo que a decisão tomada a partir do conhecimento de determinado risco seja aceitá-lo, é necessário que esse risco seja conhecido e suas consequências estimadas.
74. Por fim, deve-se mencionar que, sobre esse tema, o Gabinete de Segurança Institucional (GSI) publicou as seguintes normas:
a) Instrução Normativa GSI/PR nº 1, de 13 de junho de 2008 – que trata da Gestão de Segurança da Informação e Comunicações na APF;
b) Norma Complementar nº 02/IN01/DSIC/GSI/PR de 2008 – que trata da metodologia de gestão de segurança da informação e comunicações;
c) Norma Complementar nº 03/IN01/DSIC/GSI/PR de 2009 – que dá diretrizes para elaboração de política de segurança da informação e comunicações nas instituições da APF;
d) Norma Complementar nº 04/IN01/DSIC/GSI/PR de 2009 – que trata da gestão de riscos de segurança da informação (GRSIC);
e) Norma Complementar nº 05/IN01/DSIC/GSI/PR de 2009 – que trata da criação de equipes de tratamento e resposta a incidentes em redes de computadores (ETIR)
f) Norma Complementar nº 06/IN01/DSIC/GSI/PR de 2009 – que trata da gestão de continuidade de negócios em segurança da informação e comunicações;
g) Norma Complementar nº 07/IN01/DSIC/GSI/PR de 2010 – que trata de controles de acesso.
b) Norma Complementar nº 02/IN01/DSIC/GSI/PR de 2008 – que trata da metodologia de gestão de segurança da informação e comunicações;
c) Norma Complementar nº 03/IN01/DSIC/GSI/PR de 2009 – que dá diretrizes para elaboração de política de segurança da informação e comunicações nas instituições da APF;
d) Norma Complementar nº 04/IN01/DSIC/GSI/PR de 2009 – que trata da gestão de riscos de segurança da informação (GRSIC);
e) Norma Complementar nº 05/IN01/DSIC/GSI/PR de 2009 – que trata da criação de equipes de tratamento e resposta a incidentes em redes de computadores (ETIR)
f) Norma Complementar nº 06/IN01/DSIC/GSI/PR de 2009 – que trata da gestão de continuidade de negócios em segurança da informação e comunicações;
g) Norma Complementar nº 07/IN01/DSIC/GSI/PR de 2010 – que trata de controles de acesso.
2.3.2 Conclusão
75. Não se percebe melhora nos indicadores de segurança da informação em relação ao levantamento anterior, a despeito da recomendação emitida pelo TCU. A Administração, de forma geral, continua a desconhecer e a não proteger suas informações críticas adequadamente. Como não há avaliação de riscos, nem ao menos é possível estimar as suas consequências caso estes se materializem.
76. Dessa forma, deve-se dar especial atenção a este aspecto no monitoramento das recomendações do Acórdão nº 1.603/2008-TCU-Plenário.
--
Fabiano Damasceno
+----------------------------------------------------------------------------------------------------------------------+
| "Eu falhei, várias e várias vezes na minha carreira, e foi por isso, que eu tive sucesso!" |
| (Michael Jordan). |
+----------------------------------------------------------------------------------------------------------------------+
Fabiano Damasceno
+----------------------------------------------------------------------------------------------------------------------+
| "Eu falhei, várias e várias vezes na minha carreira, e foi por isso, que eu tive sucesso!" |
| (Michael Jordan). |
+----------------------------------------------------------------------------------------------------------------------+
--
Você está recebendo esta mensagem porque se inscreveu no grupo "Transparência Hacker" dos Grupos do Google.
Para postar neste grupo, envie um e-mail para thac...@googlegroups.com.
Para cancelar a inscrição nesse grupo, envie um e-mail para thackday+u...@googlegroups.com.
Para obter mais opções, visite esse grupo em http://groups.google.com/group/thackday?hl=pt-BR.
Reply all
Reply to author
Forward
0 new messages