A política de segurança da informação é um conjunto de diretrizes, regras e responsabilidades criado para orientar como uma organização deve proteger suas informações. Ela estabelece comportamentos esperados dos usuários e princípios para utilização de sistemas, dados, dispositivos, redes, senhas e outros recursos tecnológicos.
Também conhecida pela sigla PSI, a Política de Segurança da Informação é uma das bases da gestão da segurança dentro de empresas e outras organizações.
Sua função não é apenas impedir ataques de hackers. Uma boa política também ajuda a reduzir problemas causados por erros humanos, acessos inadequados, compartilhamento indevido de informações, perda de equipamentos e utilização incorreta dos recursos corporativos.
O que é política de segurança da informação?
A política de segurança da informação é um documento ou conjunto estruturado de diretrizes que estabelece como as informações de uma organização devem ser protegidas.
Ela determina princípios, responsabilidades e regras que precisam ser observados por funcionários e outros usuários autorizados.
Imagine uma empresa com centenas de funcionários.
Cada pessoa utiliza computadores, sistemas, e-mails e arquivos.
Sem regras claras, cada profissional poderia adotar uma maneira diferente de proteger suas informações.
Um funcionário poderia compartilhar sua senha.
Outro poderia armazenar documentos confidenciais em uma conta pessoal.
Outro poderia instalar programas não autorizados no computador da empresa.
A política cria uma referência comum para toda a organização.
O que significa PSI em segurança da informação?
PSI significa Política de Segurança da Informação.
A sigla é bastante utilizada no contexto corporativo.
Dependendo da organização, pode existir uma política principal acompanhada por normas, procedimentos e documentos complementares.
A política costuma apresentar diretrizes mais amplas.
Os procedimentos podem explicar detalhadamente como determinada atividade deve ser executada.
Por exemplo, a PSI pode determinar que acessos sejam protegidos adequadamente. Um documento específico pode estabelecer regras detalhadas sobre autenticação, criação de senhas e uso de múltiplos fatores.
Para que serve a política de segurança da informação?
A principal finalidade da política de segurança da informação é estabelecer uma estrutura para proteger informações e orientar o comportamento das pessoas que utilizam os recursos da organização.
Ela também ajuda a definir responsabilidades.
Se um funcionário recebe acesso a determinado sistema, precisa saber quais são suas obrigações.
Se um gestor autoriza acessos, precisa compreender sua responsabilidade.
Se a equipe de tecnologia administra contas e permissões, também precisa seguir regras estabelecidas.
Assim, segurança deixa de depender exclusivamente de decisões individuais.
Por que a política de segurança da informação é importante?
Informações estão entre os ativos mais importantes de muitas organizações.
Uma empresa pode possuir dados de clientes, contratos, informações financeiras, projetos, estratégias, dados de funcionários e propriedade intelectual.
Se essas informações forem expostas, alteradas ou destruídas, as consequências podem ser significativas.
Além de prejuízos financeiros, podem existir interrupções operacionais, danos à reputação e consequências jurídicas.
A política de segurança da informação ajuda a organizar medidas destinadas a reduzir esses riscos.
Quais são os princípios da segurança da informação?
Três conceitos aparecem frequentemente como princípios fundamentais: confidencialidade, integridade e disponibilidade.
A confidencialidade busca garantir que a informação seja acessada somente por pessoas autorizadas.
A integridade procura preservar a exatidão e evitar alterações indevidas.
A disponibilidade significa garantir que informações e sistemas estejam acessíveis quando necessários aos usuários autorizados.
Esses três conceitos são conhecidos como tríade CIA, a partir dos termos em inglês Confidentiality, Integrity and Availability.
Confidencialidade na política de segurança da informação
A confidencialidade procura impedir acessos não autorizados.
Imagine uma planilha contendo informações salariais de todos os funcionários.
Esse documento não deveria estar disponível para qualquer pessoa da organização.
A empresa precisa determinar quais profissionais realmente necessitam dessas informações para desempenhar suas funções.
A política de segurança da informação pode estabelecer princípios para controle de acesso e tratamento de informações confidenciais.
Integridade da informação
Integridade significa preservar a informação contra alterações indevidas ou não autorizadas.
Imagine um sistema financeiro no qual alguém modifica o valor de um pagamento.
Mesmo que a informação não tenha sido divulgada para terceiros, houve um problema grave de segurança.
Por isso, segurança da informação não significa apenas esconder dados.
Também significa garantir que eles permaneçam corretos e confiáveis.
Disponibilidade da informação
A informação precisa estar disponível quando necessária.
Imagine uma loja virtual cujo sistema fique indisponível durante várias horas.
Mesmo que nenhum dado seja roubado, a indisponibilidade pode gerar perda de vendas e prejuízos.
Por isso, continuidade, redundância, backups e recuperação de sistemas podem fazer parte da estratégia de segurança da organização.
O que deve conter uma política de segurança da informação?
O conteúdo depende do tamanho, segmento, riscos e necessidades da organização.
Uma política de segurança da informação normalmente começa definindo seu objetivo e escopo.
Também deve indicar quem precisa cumprir as regras.
Outro ponto importante é a definição de papéis e responsabilidades.
A organização pode estabelecer princípios relacionados a acesso, uso dos recursos tecnológicos, tratamento das informações, incidentes e cumprimento das normas internas.
Políticas complementares podem detalhar assuntos específicos.
Controle de acesso
Controle de acesso é um dos elementos mais importantes da segurança.
Nem todos os funcionários precisam acessar todos os sistemas.
Um profissional de marketing, por exemplo, pode não precisar acessar determinadas informações financeiras.
Da mesma maneira, um funcionário do estoque não precisa necessariamente ter acesso a informações confidenciais de Recursos Humanos.
A regra geral deve ser fornecer acesso de acordo com a necessidade profissional.
Isso reduz a exposição desnecessária de informações.
Política de senhas
Regras relacionadas a senhas podem fazer parte da estrutura de segurança da organização.
O objetivo é reduzir o risco de comprometimento das contas.
A empresa pode estabelecer requisitos para autenticação e proibir o compartilhamento de credenciais.
Também pode adotar autenticação multifator, adicionando outra camada de proteção além da senha.
O mais importante é tratar credenciais como informações sensíveis.
Uma senha corporativa não deve ser compartilhada com colegas apenas por conveniência.
Uso de e-mail corporativo
O e-mail é uma das ferramentas mais utilizadas pelas empresas e também pode ser explorado em ataques.
Mensagens falsas podem tentar convencer funcionários a fornecer senhas, abrir arquivos ou clicar em páginas maliciosas.
Esse tipo de tentativa está frequentemente relacionado a phishing.
A política pode estabelecer regras sobre uso do e-mail corporativo e orientar funcionários a comunicar mensagens suspeitas.
Entretanto, regras precisam ser acompanhadas por conscientização.
Funcionários precisam entender por que determinados comportamentos representam riscos.
Uso de computadores e dispositivos
A política de segurança da informação também pode estabelecer regras para utilização de notebooks, computadores e dispositivos móveis.
Dependendo da empresa, pode ser proibida a instalação de programas sem autorização.
Também podem existir regras para conexão de dispositivos externos, armazenamento de arquivos e utilização dos equipamentos fora do ambiente corporativo.
Essas medidas ajudam a reduzir riscos relacionados a malware, perda de informações e softwares não autorizados.
Trabalho remoto e segurança da informação
O trabalho remoto aumentou a importância das regras de acesso fora da empresa.
Funcionários podem trabalhar utilizando redes domésticas, notebooks e serviços em nuvem.
A organização precisa definir como os sistemas corporativos serão acessados com segurança.
Isso pode envolver equipamentos gerenciados, autenticação multifator, VPN em situações apropriadas e outras medidas técnicas.
Também é necessário orientar os profissionais sobre proteção física dos equipamentos.
Deixar um notebook corporativo desbloqueado em local público, por exemplo, pode expor informações.
Classificação da informação
Nem toda informação possui o mesmo nível de sensibilidade.
Uma publicação destinada ao site da empresa pode ser pública.
Um contrato ainda em negociação pode exigir acesso restrito.
Informações financeiras e dados pessoais podem necessitar de controles adicionais.
Por isso, organizações podem adotar sistemas de classificação da informação.
As categorias utilizadas variam, mas podem existir classificações como pública, interna, confidencial ou restrita.
A classificação ajuda a determinar como cada informação deve ser tratada.
Backup na política de segurança da informação
Backup é a criação de cópias que permitem recuperar informações quando necessário.
Uma empresa pode perder dados por falha de equipamento, erro humano, ataque cibernético ou outros incidentes.
Entretanto, simplesmente possuir um backup não é suficiente.
É necessário considerar frequência, proteção, retenção e capacidade de recuperação.
Testar a restauração também é importante.
Descobrir que o backup não funciona somente durante uma emergência pode transformar um problema técnico em uma crise.
Política de segurança da informação e incidentes
Mesmo empresas com bons controles podem enfrentar incidentes.
Por isso, a organização precisa saber como reagir.
Um funcionário pode perceber que clicou em uma mensagem suspeita.
Um notebook pode ser perdido.
Um sistema pode apresentar atividade incomum.
Nessas situações, o usuário precisa saber para quem comunicar o problema.
Quanto mais rapidamente um incidente é identificado e tratado, maiores podem ser as possibilidades de limitar seus impactos.
O que é incidente de segurança da informação?
Um incidente de segurança da informação é um evento que compromete ou pode comprometer a confidencialidade, integridade ou disponibilidade das informações e sistemas.
Pode envolver invasões, malware, vazamento de dados, acesso indevido, perda de dispositivos ou alterações não autorizadas.
Nem todo incidente possui a mesma gravidade.
Uma organização pode estabelecer critérios para classificar os eventos e definir prioridades de resposta.
Essa preparação ajuda a tornar a reação mais organizada.
Política de segurança da informação e LGPD
A Lei Geral de Proteção de Dados Pessoais (LGPD) e a segurança da informação possuem forte relação, especialmente quando a organização trata dados pessoais.
Entretanto, os conceitos não são idênticos.
Segurança da informação possui um escopo mais amplo e pode proteger informações pessoais ou não.
A LGPD trata especificamente de questões relacionadas ao tratamento de dados pessoais.
Assim, uma política de segurança pode contribuir para a estrutura de proteção de dados da organização, mas não substitui todas as medidas necessárias para adequação à legislação.
Política de segurança da informação e ISO 27001
A segurança da informação também possui relação com normas internacionais de gestão, especialmente a família ISO/IEC 27000.
A ISO/IEC 27001 é uma referência conhecida para sistemas de gestão de segurança da informação.
Empresas que estruturam um sistema de gestão nessa área precisam estabelecer políticas, responsabilidades, avaliação de riscos e controles adequados ao seu contexto.
Entretanto, possuir uma política escrita não significa automaticamente estar em conformidade ou possuir certificação.
A segurança precisa funcionar na prática.
Política de segurança da informação e gestão de riscos
Uma boa estratégia de segurança precisa considerar riscos.
Não é possível tratar todos os problemas com a mesma prioridade.
A organização precisa identificar ativos importantes, ameaças, vulnerabilidades e possíveis impactos.
Imagine dois sistemas.
Um deles contém informações críticas e sustenta uma operação essencial.
O outro é utilizado apenas para uma atividade secundária.
Embora ambos precisem de proteção, o nível de prioridade pode ser diferente.
A gestão de riscos ajuda a direcionar recursos para aquilo que realmente representa maior exposição para a organização.
Quem é responsável pela segurança da informação?
A equipe especializada possui responsabilidades importantes, mas segurança da informação não deve ser responsabilidade exclusiva do departamento de TI.
Todos os usuários possuem algum papel.
Funcionários precisam utilizar adequadamente sistemas e informações.
Gestores precisam controlar acessos e orientar equipes.
A alta administração precisa apoiar a estrutura de segurança.
Profissionais especializados desenvolvem controles, acompanham riscos e respondem a incidentes.
Quando apenas a TI se preocupa com segurança, a organização pode continuar vulnerável por causa de comportamentos e processos inadequados em outras áreas.
Como criar uma política de segurança da informação?
A criação deve começar pela compreensão da organização.
É necessário identificar quais informações e sistemas precisam ser protegidos, quais riscos existem e quais requisitos precisam ser cumpridos.
Depois, a empresa pode definir objetivos, responsabilidades e regras.
O documento precisa ser claro.
Uma política extremamente técnica que ninguém consegue compreender dificilmente mudará o comportamento dos usuários.
Também é importante definir como as regras serão comunicadas e aplicadas.
Política de segurança da informação precisa ser atualizada?
Sim.
Tecnologias, ameaças e formas de trabalho mudam.
Uma política criada muitos anos atrás pode não contemplar serviços em nuvem, trabalho remoto, novos dispositivos ou ferramentas utilizadas atualmente.
Também podem ocorrer mudanças na estrutura da organização e em seus riscos.
Por isso, a política de segurança da informação deve passar por revisões periódicas e também quando mudanças relevantes justificarem sua atualização.
O objetivo é manter o documento compatível com a realidade da organização.
Treinamento e conscientização em segurança da informação
Uma política não funciona apenas porque foi publicada.
Os usuários precisam conhecer as regras.
Treinamentos podem explicar como identificar phishing, proteger credenciais, utilizar dispositivos e comunicar incidentes.
A conscientização também deve mostrar as razões das regras.
Quando funcionários entendem o risco, existe maior possibilidade de adotarem comportamentos adequados.
Segurança da informação depende de tecnologia, processos e pessoas.
O que acontece quando a política não é cumprida?
A organização precisa estabelecer como tratar violações das regras, respeitando contratos, normas internas e legislação aplicável.
Entretanto, nem toda ocorrência deve ser analisada da mesma maneira.
Um erro acidental pode exigir orientação e melhoria de processos.
Uma violação deliberada pode demandar tratamento diferente.
O importante é que responsabilidades e consequências sejam definidas de maneira clara e coerente.
Exemplo de política de segurança da informação
Imagine uma empresa que determine que documentos classificados como confidenciais só podem ser armazenados em sistemas corporativos autorizados.
A política também proíbe o compartilhamento de credenciais e exige que incidentes sejam comunicados imediatamente à equipe responsável.
Um funcionário recebe por e-mail um arquivo suspeito solicitando sua senha.
Em vez de abrir o arquivo e fornecer a informação, ele segue a orientação estabelecida e comunica o evento.
Nesse exemplo, a política funciona como referência para a decisão do funcionário.
Esse é um dos seus principais objetivos: transformar princípios de segurança em comportamentos organizacionais consistentes.
Política de segurança da informação é suficiente para proteger uma empresa?
Não.
Uma política é uma parte importante da gestão, mas não substitui controles técnicos e operacionais.
A organização também pode precisar de ferramentas de segurança, backups, gestão de acessos, monitoramento, atualizações, resposta a incidentes e treinamento.
Imagine uma empresa cuja política determine que apenas usuários autorizados podem acessar determinado sistema.
Se tecnicamente qualquer funcionário consegue entrar, existe uma diferença entre a regra escrita e o controle real.
Por isso, política e prática precisam estar alinhadas.
Qual a diferença entre política, norma e procedimento?
A política de segurança da informação costuma apresentar princípios e diretrizes gerais.
Uma norma interna pode estabelecer regras mais específicas sobre determinado assunto.
Já um procedimento descreve como uma atividade deve ser realizada.
Por exemplo, a política pode determinar que acessos sejam controlados.
Uma norma pode estabelecer critérios para criação e revisão das permissões.
O procedimento pode explicar passo a passo como solicitar, aprovar e remover um acesso.
Essa estrutura ajuda a organizar a documentação da segurança.
Quais empresas precisam de uma política de segurança da informação?
A necessidade de proteger informações não está limitada às grandes empresas.
Pequenas organizações também possuem dados de clientes, informações financeiras, documentos internos e credenciais de sistemas.
O nível de formalização pode variar conforme o porte, os riscos e as obrigações da organização.
Uma multinacional pode possuir dezenas de políticas e procedimentos especializados.
Uma pequena empresa pode começar com uma estrutura mais simples.
O importante é que as regras sejam proporcionais aos riscos e realmente aplicáveis.
Como trabalhar com políticas de segurança da informação?
Profissionais de segurança podem atuar na elaboração, implementação, revisão e acompanhamento de políticas e controles.
Essa atividade aparece especialmente em áreas relacionadas a Governança, Riscos e Compliance (GRC), segurança da informação, auditoria e privacidade.
Nem todos os profissionais de segurança trabalham diretamente com programação ou testes de invasão.
Existe uma vertente importante dedicada à governança.
Ela envolve políticas, riscos, controles, auditorias, conformidade e processos.
O que estudar para trabalhar com segurança da informação?
Quem deseja construir carreira na área pode começar estudando redes, sistemas operacionais, controle de acesso, riscos e fundamentos de segurança.
Também é importante compreender confidencialidade, integridade e disponibilidade.
Para quem pretende trabalhar com governança, conhecimentos de políticas, gestão de riscos, controles, auditoria, LGPD e normas de segurança podem ser especialmente úteis.
Já profissionais interessados em segurança técnica podem aprofundar redes, Linux, cloud, programação e ferramentas específicas.
Segurança da informação possui diversas especialidades.
Conclusão
A política de segurança da informação é um conjunto de diretrizes criado para orientar como uma organização protege seus dados, sistemas e demais informações.
Ela pode estabelecer regras relacionadas a controle de acesso, senhas, dispositivos, e-mail, trabalho remoto, classificação da informação, incidentes, backups e responsabilidades dos usuários.
Uma boa PSI deve considerar princípios fundamentais como confidencialidade, integridade e disponibilidade, além dos riscos específicos da organização.
Também precisa ser comunicada, aplicada e revisada. Criar um documento e deixá-lo esquecido não é suficiente.
A política de segurança da informação funciona melhor quando faz parte de uma estrutura maior, envolvendo tecnologia, processos, treinamento, gestão de riscos e participação das pessoas. Dessa forma, a organização consegue transformar segurança em uma prática contínua, e não apenas em um conjunto de regras escritas.
Deixe um comentário