Terceirização de serviços de TI : aspectos de segurança

O processo de terceirização de serviços no Brasil já vem de longa data. Na área da Tecnologia da Informação (TI), a década de 1990 foi a grande propulsora, principalmente no segmento da Administração Pública. Atualmente, a terceirização dos serviços de TI, para alguns segmentos operacionais, já ocupa em 100% os postos de trabalho. O problema, como um todo, decorre de que áreas sensíveis da TI, tais como a administração e controle de banco de dados, mecanismos de controle de acesso, entre outros, têm sido objeto de terceirização. Essa ação pode trazer sérios riscos ao negócio da instituição no que tange à garantia dos pilares da Segurança da Informação, isto é, confidencialidade, integridade e disponibilidade da informação. Este artigo tem como propósito apresentar algumas referências relativas à Segurança da Informação visando à mitigação de riscos associados a processos de terceirização em áreas sensíveis da TI, tendo como foco dar visibilidade, ao gestor público, dos riscos envolvidos para o negócio. Um conjunto de boas práticas com base em normas, padrões e controle, é apresentado como forma de mitigação.

Fatores que influenciam a aceitação de práticas avançadas de gestão de segurança da informação: um estudo com gestores públicos estaduais no Brasil

This study examines the factors that influence public managers in the adoption of advanced practices related to Information Security Management. This research used, as the basis of assertions, Security Standard ISO 27001:2005 and theoretical model based on TAM (Technology Acceptance Model) from Venkatesh and Davis (2000). The method adopted was field research of national scope with participation of eighty public administrators from states of Brazil, all of them managers and planners of state governments. The approach was quantitative and research methods were descriptive statistics, factor analysis and multiple linear regression for data analysis. The survey results showed correlation between the constructs of the TAM model (ease of use, perceptions of value, attitude and intention to use) and agreement with the assertions made in accordance with ISO 27001, showing that these factors influence the managers in adoption of such practices. On the other independent variables of the model (organizational profile, demographic profile and managers behavior) no significant correlation was identified with the assertions of the same standard, witch means the need for expansion researches using such constructs. It is hoped that this study may contribute positively to the progress on discussions about Information Security Management, Adoption of Safety Standards and Technology Acceptance Model

Fatores que influenciam a aceitação de práticas avançadas de gestão de segurança da informação: um estudo com gestores públicos estaduais no Brasil

This study examines the factors that influence public managers in the adoption of advanced practices related to Information Security Management. This research used, as the basis of assertions, Security Standard ISO 27001:2005 and theoretical model based on TAM (Technology Acceptance Model) from Venkatesh and Davis (2000). The method adopted was field research of national scope with participation of eighty public administrators from states of Brazil, all of them managers and planners of state governments. The approach was quantitative and research methods were descriptive statistics, factor analysis and multiple linear regression for data analysis. The survey results showed correlation between the constructs of the TAM model (ease of use, perceptions of value, attitude and intention to use) and agreement with the assertions made in accordance with ISO 27001, showing that these factors influence the managers in adoption of such practices. On the other independent variables of the model (organizational profile, demographic profile and managers behavior) no significant correlation was identified with the assertions of the same standard, witch means the need for expansion researches using such constructs. It is hoped that this study may contribute positively to the progress on discussions about Information Security Management, Adoption of Safety Standards and Technology Acceptance Model

Fatores que influenciam a aceitação de práticas avançadas de gestão de segurança da informação: um estudo com gestores públicos estaduais no Brasil

This study examines the factors that influence public managers in the adoption of advanced practices related to Information Security Management. This research used, as the basis of assertions, Security Standard ISO 27001:2005 and theoretical model based on TAM (Technology Acceptance Model) from Venkatesh and Davis (2000). The method adopted was field research of national scope with participation of eighty public administrators from states of Brazil, all of them managers and planners of state governments. The approach was quantitative and research methods were descriptive statistics, factor analysis and multiple linear regression for data analysis. The survey results showed correlation between the constructs of the TAM model (ease of use, perceptions of value, attitude and intention to use) and agreement with the assertions made in accordance with ISO 27001, showing that these factors influence the managers in adoption of such practices. On the other independent variables of the model (organizational profile, demographic profile and managers behavior) no significant correlation was identified with the assertions of the same standard, witch means the need for expansion researches using such constructs. It is hoped that this study may contribute positively to the progress on discussions about Information Security Management, Adoption of Safety Standards and Technology Acceptance Model

Sistema eletrônico de votação da Câmara dos Deputados : um estudo à luz da segurança da informação

A informação é considerada hoje um dos maiores ativos nas organizações, e, como tal, necessita ser protegida de forma adequada às necessidades do negócio. Conforme o valor da informação cresce, aumenta também o interesse em interceptar e adulterar seu conteúdo, levando a um comprometimento dos sistemas que suportam o negócio. A Câmara dos Deputados é um dos órgãos integrantes do Poder Legislativo Brasileiro e cabe a ela representar o povo, legislar sobre os assuntos de interesse nacional e fiscalizar a aplicação dos recursos públicos. Por meio de seu Sistema Eletrônico de Votação, ocorrem votações em que são tomadas decisões que afetam a vida de toda a nação. Com o uso da pesquisa documental, realizada a partir de um estudo de caso efetuado com base na análise de documentos existentes no âmbito da Coordenação do Sistema Eletrônico de Votação, este trabalho pretende comparar os controles de segurança da informação em uso e os controles recomendados para obtenção da certificação ISO 27001, para que se dê transparência ao processo de votação. Este trabalho apresenta como resultado o percentual dos controles recomendados pela norma que estão em uso, permitindo demonstrar que a segurança da informação é seriamente considerada durante o processo eletrônico de votação no Plenário Ulysses Guimarães da Câmara dos Deputados.

Plano de ação em segurança da informação

Reúne ações voltadas à estruturação da gestão da Segurança da Informação, buscando atender ao mesmo tempo a aspectos de conformidade em relação ao próprio Ato da Mesa nº 47/2012, às normas nacionais na área de Segurança da Informação e às recomendações dos órgãos de controle.

Um estudo do perfil de formação dos técnicos de segurança do trabalho no Brasil na perspectiva de sistemas de gestão de segurança e saúde ocupacional

This work provides great contribution to the documental study of the Work Safety courses offered by CEFETs in Brazil, under the perspective of safety management and occupational health, using as a referential the specification OHSAS 18001 (BSI, 1999), as well as directions provided by OIT (ILO, 2001). The theoretical research compares technical and managing competences of the projects of Work Safety courses at CEFETs with the international legislation mentioned above. For field research, questionnaires containing open and close questions were answered by teachers and students aiming at identifying the importance of technical and managing competences for the formation of Work Safety technicians, besides trying to identify which level of minimal formal knowledge should be required to perform managing activities in the area of Work Safety Management Systems and Occupational Health (SGSSO, in Portuguese). The results of the theoretical research point out differences between the projects of the Work Safety technical courses at CEFETs under the perspective of SGSSO. The field research shows that students and teachers opinions converge about most technical and managing competences. In relation to academic formation, the research suggests divergences to the criterion stated by the norm ISO 19011(ABNT, 2002)

Fatores que influenciam a predisposição dos usuários em aderir a uma política de segurança da informação

The information constitutes one of the most valuable strategic assets for the organization. However, the organizational environment in which it is inserted is very complex and heterogeneous, making emerging issues relevant to the Governance of information technology (IT) and Information Security. Academic Studies and market surveys indicate that the origin of most accidents with the information assets is the behavior of people organization itself rather than external attacks. Taking as a basis the promotion of a culture of safety among users and ensuring the protection of information in their properties of confidentiality, integrity and availability, organizations must establish its Information Security Policy (PSI). This policy is to formalise the guidelines in relation to the security of corporate information resources, in order to avoid that the asset vulnerabilities are exploited by threats and can bring negative consequences to the business. But, for the PSI being effective, it is required that the user have readiness to accept and follow the procedures and safety standards. In the light of this context, the present study aims to investigate what are the motivators extrinsic and intrinsic that affect the willingness of the user to be in accordance with the organization's security policies. The theoretical framework addresses issues related to IT Governance, Information Security, Theory of deterrence, Motivation and Behavior Pro-social. It was created a theoretical model based on the studies of Herath and Rao (2009) and D'Arcy, Hovav and Galletta (2009) that are based on General Deterrence Theory and propose the following influencing factors in compliance with the Policy: Severity of Punishment, Certainty of Detection, Peer Behaviour, Normative Beliefs, Perceived Effectiveness and Moral Commitment. The research used a quantitative approach, descriptive. The data were collected through a questionnaire with 18 variables with a Likert scale of five points representing the influencing factors proposed by the theory. The sample was composed of 391 students entering the courses from the Center for Applied Social Sciences of the Universidade Federal do Rio Grande do Norte. For the data analysis, were adopted the techniques of Exploratory Factor Analysis, Analysis of Cluster hierarchical and nonhierarchical, Logistic Regression and Multiple Linear Regression. As main results, it is noteworthy that the factor severity of punishment is what contributes the most to the theoretical model and also influences the division of the sample between users more predisposed and less prone. As practical implication, the research model applied allows organizations to provide users less prone and, with them, to carry out actions of awareness and training directed and write Security Policies more effective.

Lei de acesso à informação : cartilha de orientação ao cidadão

Guia destinado ao cidadão, para dar conhecimento a este a respeito das novas determinações trazidas pela Lei nº 12.527/11. Destaca os principais pontos da norma e apresenta as diversas formas de acesso a informações na Câmara dos Deputados.

Lei de acesso à informação (LAI) : investigação da transparência nos três Poderes

A Lei 12.527/2011, Lei de Acesso à Informação (LAI), representa um avanço na disponibilização da informação pública pelos órgãos governamentais, de maneira a promover a transparência das ações e a consolidação da cidadania. Este artigo tem como foco a observância do atendimento dos preceitos de transparência ativa pelos sítios oficiais de órgãos públicos federais dos Poderes Executivo, Legislativo e Judiciário.

Práticas de segurança da informação: um estudo de caso num centro hospitalar

Dissertação de Mestrado apresentada ao Instituto de Contabilidade e Administração do Porto para a obtenção de grau de Mestre em Auditoria, sob a orientação de Luís Silva Rodrigues

Práticas de segurança da informação num Centro Hospitalar

As Tecnologias e Sistemas de Informação (TSI) estão presentes em vários domínios da rede organizacional do mundo inteiro, sendo o desenvolvimento de um bom sistema de gestão da informação crucial para o funcionamento de qualquer organização. É, portanto, necessário garantir que a informação está protegida e que o sistema de informação está em conformidade com o conjunto de normas da área de segurança da informação seguido pela organização. Este artigo pretende elaborar uma avaliação do sistema de gestão em termos de segurança da informação de um centro hospitalar, seguindo os requisitos e recomendações de um framework utilizado a nível mundial na área de auditoria de sistemas de informação.

UUm Modelo Exploratório, Baseado nas Comunidades Linux, para Desenvolvimento da Tecnologia da Informação no Brasil

presente trabalho objetiva construir um Modelo Exploratório de desenvolvimento de tecnologia da informação, aplicável no Brasil, tendo como referência as formas de organização do trabalho e da produção das comunidades Linux. O Modelo deve ser aplicado em ambiente Internet, ou em outras redes de telecomunicação. Por essa razão, utiliza métodos e técnicas de aprendizado à distância e e-Iearning. A construção do Modelo apoia-se, como alicerce teórico fundamental, no conceito de convivialidade de Illich (1976), no entendimento de Inose e Pierce (1984) sobre comunidades de interesse e democratização da produção de software, nos estudos de Malone (1997, 1998) referentes a modelos de organização em rede, nos estudos de Weber (2000) sobre comunidades de interesse online, na metodologia de capacitação "Pensamento Digital" de Joia (1999-1, 1999-2) e na estratégia pedagógico-metodológica do Australian National Training Authority (T AFE/SA). No entanto, as pesquisas de Matesco (2000, 2001) tomaram exeqüível a idéia da construção do Modelo, tendo que vista que o Modelo Exploratório proposto aplica-se, preferencialmente, a países, regiões, empresas ou organizações dependentes tecnologicamente de seus parceiros negociais e com escassez de recursos para aplicar em pesquisa e desenvolvimento. O caminho metodológico para a construção do Modelo inicia-se com uma sucinta abordagem sobre o sistema operacional Linux, a descrição das formas de organização das comunidades Linux e a identificação das formas de organização do trabalho e da produção no Fordismo-Taylorismo e no pós-Fordismo. Situa o funcionamento das comunidades Linux em relação a essas formas de organização. Descreve o processo de formação do conhecimento no aprendizado à distância e no elearning. Aborda a experiência de outros países com o Linux e com as comunidades Linux. Principalmente, o sucesso obtido pelos países nórdicos em absorção de tecnologia. A seguir, fundamentando-se em duas pesquisas de Matesco (2000,2001), analisa a dependência tecnológica do Brasil e propõe o Modelo Exploratório, cujo objetivo é, prioritariamente, colaborar para a redução dessa dependência, por meio de um processo de formação de conhecimento, baseado no aprendizado à distância e e-Iearning do Linux e na propagação de comunidades Linux, empregando-se o modelo de organização em rede.

Gestão da segurança da informação: certificação digital

More over, the information has become the main asset of the institutions. Being thus, the Information Security (IS) is getting attention as one of the activities of extreme importance in the corporations. Guarantee the confidentiality, integrity, availability, no deny and legality becomes something very important for the day-by-day of the businesses. An analysis of the risk, passing through the assessment of the threats and vulnerabilities, is mandatory to let grow the activities of the institutions. Digital Certification came into IS to guarantee the Not Deny (ND) because it makes the unquestioned identification of the person that makes the action. Therefore, Information Security can be defined as a knowledge field focused in the protection of the information assets against: unauthorized access, improper modifications, not availability, deny of authorship and illegality.