Os referenciais de segurança da informação e a melhoria contínua: um caso exploratório

Mestrado em Engenharia Informática - Área de Especialização em Arquitecturas, Sistemas e Redes

Gestão de praias da Costa de Caparica. A capacidade de carga, o valor da onda, a segurança e informação

Dissertação para obtenção do Grau de Mestre Engenharia do Ambiente, perfil do Ordenamento do Território e Impactes Ambientais

Avaliação de Riscos para a Segurança da Informação no ISEP Aplicação ao Processo de Notas

Desde que existe informação, há necessidade de criar um sistema que permita gerir e garantir que a informação está segura e que cumpre os requisitos básicos de segurança. Como tal, é necessário desenvolver técnicas e mecanismos para que os requisitos sejam testados e melhorados continuamente. Com esta necessidade em vista, apareceram padrões que dão resposta a um conjunto vasto de problemas, em diferentes sistemas e aplicações diversas. Estes tornaram-se guias de reflexão para quem os analisava, de arquitetura para quem os implementava e modelos para quem os geria. O padrão ISO 27001 dá resposta aos cuidados a ter para se conseguir um sistema de gestão da segurança da informação eficaz e eficiente. Esta norma preocupa-se com os detalhes de aplicação até à forma como é implementado e arquitetado o sistema. Os processos, atividades, fluxos de trabalho são essenciais para que esta norma seja cumprida. É necessário um bom escrutínio dos processos e suas atividades, assim como um fluxo de trabalho bem definido com papéis e responsabilidades de cada ator. É necessário também assegurar a forma como é gerido, a sua verificação e melhoria contínua. Foi aplicado no ISEP um exercício com o qual se pretendeu verificar se os processos e outros aspetos seguiam estes cuidados e se estavam de acordo com a norma. Durante o exercício foram verificados processos dentro de um certo âmbito, todas as suas atividades, papéis e responsabilidades, verificação de recursos, aplicação de controlos e aplicação de uma análise de risco. Esta análise tem como objetivo verificar o nível de segurança dos recursos, algo que a norma ISO 27001 propõe mas não especifica em que moldes. No final deste exercício pretendeu-se melhorar o sistema de gestão de informação do ISEP em vertentes tais como a documentação, a qual especifica quais os passos realizados no decorrer do mesmo.

Contramedidas em segurança da informação e vulnerabilidade cibernética: evidência empírica de empresas brasileiras

Recentemente, uma série de ataques cibernéticos a empresas e governos no Brasil e no exterior tornou público o potencial impacto econômico desse tipo de atividade, do ponto de vista tanto privado quanto público. Existe extensa literatura econômica - teórica e empírica - que avalia os incentivos para que as empresas adotem ou não medidas de segurança da informação. No presente estudo foi desenvolvida uma avaliação empírica desse fenômeno no Brasil. Modelos logit e probit ordenado foram desenvolvidos como forma de avaliar os efeitos sobre a probabilidade de ocorrência de problemas de segurança da informação, levando-se em conta as características das firmas, inclusive as medidas de segurança de informação. Os resultados apontam para uma relação positiva entre as medidas de segurança da informação e a probabilidade de identificar a ocorrência de problemas cibernéticos, sugerindo que a sofisticação dessas medidas de proteção aumenta a probabilidade de identificação dos problemas.

O enfoque social da segurança da informação

O uso cada vez mais disseminado de sistemas informatizados integrados por meio de redes é um fato determinante da sociedade da informação. Este universo de conteúdos e continentes digitais está sujeito a várias ameaças que comprometem seriamente a segurança do complexo usuário-sistema-informação. A tecnologia da informação é capaz de apresentar parte da solução a este problema, mas não é capaz de resolvê-lo integralmente. As políticas de segurança da informação devem contemplar o adequado equilíbrio dos aspectos humanos e técnicos da segurança da informação, em contraposição aos modelos de políticas atuais, extremamente voltados às questões tecnológicas.

Gestão da segurança da informação: certificação digital

More over, the information has become the main asset of the institutions. Being thus, the Information Security (IS) is getting attention as one of the activities of extreme importance in the corporations. Guarantee the confidentiality, integrity, availability, no deny and legality becomes something very important for the day-by-day of the businesses. An analysis of the risk, passing through the assessment of the threats and vulnerabilities, is mandatory to let grow the activities of the institutions. Digital Certification came into IS to guarantee the Not Deny (ND) because it makes the unquestioned identification of the person that makes the action. Therefore, Information Security can be defined as a knowledge field focused in the protection of the information assets against: unauthorized access, improper modifications, not availability, deny of authorship and illegality.

Cultura de segurança da informação: um processo de mudança organizacional na Petrobrás.

O estudo objetivou verificar até que ponto foi atendido o critério proposto por Kotter para a implantação de uma cultura de segurança da informação na Petrobras. A Petrobras, durante muitos anos, foi uma empresa estatal de petróleo com atuação nacional. Assim como diversas outras empresas, com o advento do processo de internacionalização, mais atores com interesses por informações valiosas começaram a interagir com a empresa. Verificava-se a necessidade de conduzir um processo de gestão da mudança para implantar uma cultura de segurança da informação. O modelo definido por Kotter possui oito etapas que, se seguidas, podem garantir uma mudança bem-sucedida. Para atingir o objetivo do estudo, utilizou-se pesquisa bibliográfica, pesquisa documental em arquivos e documentos da Petrobras e pesquisa de campo. O período analisado foi de 2002 a 2009. A avaliação do processo indicou que algumas falhas foram encontradas nas etapas definidas por Kotter. Pode-se citar: complacência alta; senso de urgência atribuído somente no primeiro momento; visão de longo prazo não foi amplamente declarada; o porquê da mudança, ao longo do tempo, não ficou explícito; estrutura organizacional de segurança da informação nas áreas ainda é deficiente; não houve total alinhamento dos sistemas de gestão da empresa; existência de estruturas e sistemas que dificultam a avaliação das ações e reconhecimento dos envolvidos no processo de mudança cultural e pouca preocupação em comemorar as conquistas de curto prazo.

Um partido, três agendas ?: política de segurança pública no estado de São Paulo : 1995-2006

O objetivo da presente tese é analisar a política de Segurança Pública do Estado de São Paulo entre os anos de 1995 e 2006 – gestões, respectivamente, de Mario Covas, Geraldo Alckmin e Cláudio Lembo –, sob a ótica da formação de agenda. Não se trata aqui apenas da elaboração inicial da agenda de políticas públicas de uma determinada área; tal arcabouço analítico trata de todo o “ciclo de gestão” de uma política pública, envolvendo planejamento das ações, sua implementação, a avaliação e posterior correção de rumos. Buscou-se mapear os atores relevantes da área de segurança pública, identificando suas preferências frente aos problemas da área e suas alternativas de resposta e suas posições relativas; as interações entre estes atores, identificando os momentos de conflito e de cooperação; os resultados e a aprendizagem dos atores, o que tende a mudar a dinâmica de interação novamente nos momentos subseqüentes. Conclui que as diferentes posições dos atores implicam diferentes naturezas de influência na condução da agenda da segurança pública, variando entre as mudanças na gestão da segurança pública e as mudanças na operação da polícia. Esta é alterada, ainda, pelas crises de segurança (mega-rebeliões no sistema penitenciário, crimes bárbaros etc.), o que pode tanto provocar constrangimento político no nível estratégico do governo (governador, secretário) quanto um constrangimento moral nos operadores da segurança pública (ex.: casos de corrupção ou de abuso policial). Os três secretários da pasta no período analisado representaram três momentos distintos da política de segurança pública, corroborando a hipótese das “três agendas”. Apesar disto, foram observadas continuidades importantes, aprendizado dos atores e incrementalismo das políticas. Quanto ao poder Legislativo, a Assembléia estadual desempenha um papel quase nulo, enquanto que o Congresso Nacional cumpre um papel apenas marginal na formulação e alteração da agenda de segurança pública, contribuindo com iniciativas pontuais, casuísticas e, invariavelmente, reativas ao problema, ajudando a agravar mais do que a resolver os problemas da área.

Modelo de gestão de risco em segurança da informação: um estudo de caso no mercado brasileiro de cartões de crédito

As questões ligadas a gestão de riscos associados a segurança da informação já é uma realidade no cenário empresarial brasileiro. O crescimento das operações de negócios em direção aos sistemas de informação baseados em tecnologia fez com que os números de ameaças e de vulnerabilidades sobre as redes de computadores e comunicações aumentassem. Vários são os desafios de estruturação e implementação de uma área de segurança da informação dentro das empresas. Este trabalho analisa as diversas formas de construção de uma infra-estrutura de gestão de risco em segurança de informação, não só no âmbito tecnológico, mas também, no operacional e no mercadológico, de forma a estabelecer uma relação transparente às demais áreas internas da organização, aos clientes e a todo o mercado. A segurança da informação, vista freqüentemente como um assunto ligado a tecnologia, passa a ser entendida cada vez mais como um processo de negócio, e conseqüentemente, uma grande vantagem competitiva para o mundo empresarial.

Riscos, crises e confiança : uma análise do gerenciamento de riscos sobre segurança da informação em uma empresa brasileira de grande porte

Por muito tempo, os programas de qualidade e gestão vêm dominando o cenário de soluções para a melhoria das organizações. Nesse contexto, têm sido constantes os modismos e, ao mesmo tempo, o consumo de muitas soluções. E o mercado parece se nutrir desses pacotes. De pacote em pacote, a gestão nas companhias vem se desenvolvendo e se especializando e, junto como isso, os métodos e técnicas da boa gestão. A gestão de riscos, especificamente, vem nesse contexto. Apresenta-se como uma solução em gestão, mas parece se estabelecer como ponto de convergência e de influência na otimização e garantia de processos produtivos, de gestão e de suporte, abrangendo uma gama de possibilidades em diversas disciplinas do mundo empresarial, desde finanças até os aspectos de fraudes e distúrbios cotidianos. Na sequência da gestão de riscos, vem a gestão de crises. Esta, o hemisfério dos riscos transformados em impactos verdadeiros e com danos visíveis para a organização. A gestão de crises pressupõe a gestão dos riscos consumados e que, claramente, afetam a organização e seu contexto, tanto interno quanto externo. No ponto final dessa lógica, aparece a confiança como aquilo que sela o pacto da organização e seus stakeholders, como resultado da boa ou má gestão de riscos e crises. Este estudo é, então, sobre riscos, crises e confiança e sobre o entendimento de como a gestão sobrepõe esses elementos e como isso se aplica às organizações, especificamente a uma grande organização do mercado brasileiro. Após revisão bibliográfica, é feita uma pesquisa para se analisar como está sendo a aplicação dos conceitos e práticas de riscos e crises em uma grande empresa, entrevistando-se o principal executivo da companhia responsável pela gestão de riscos na área de segurança da informação e outro responsável pela gestão de crises. É feita uma pesquisa para se entender a percepção de empregados e gerentes da companhia estudada sobre os conceitos e práticas de gestão de riscos e crises e suas aplicações na companhia. Também é feita uma abordagem sobre confiança, extrapolando-se esse conceito para uma idéia de confiabilidade dessas práticas e propondo uma forma de medir essa confiabilidade, identificada como uma lacuna na gestão de crises. Ao final, é feita uma análise sobre o quanto a aplicação desses conceitos e práticas são sistemáticos ou não, de acordo com as hipóteses e suposições definidas, constatando-se o 9 caráter operacional e a aplicação recente das práticas, um tanto deslocada do modelo de referência proposto para o estudo e com pouca visibilidade por parte dos empregados, principalmente no que tange a percepção de efetividade das práticas adotadas.

A política de segurança pública no estado de Minas Gerais

Este trabalho faz uma abordagem acerca da política de segurança pública no Estado de Minas Gerais. Discute-se o próprio processo de formulação da política pública, procedendo-se a uma análise de seus fundamentos e da forma pela qual o Governo do Estado trata as questões a ela inerentes. Através de pesquisa seletiva, chegou-se a diagnósticos que demonstram a situação atual da política considerada, enfocando-se principalmente os aspectos relacionados a recursos humanos, logística e orçamento, sempre confrontados com os demais setores de atuação do Estado na vida social. A premissa básica que penneia toda a pesquisa é a de que não existe uma política de segurança pública, sistematizada, no Estado de Minas Gerais. A lógica da investigação da participação orçamentária da atividatfe de segurança pública, confrontada com a evolução do aparato policial, está na tentativa de se demonstrar a ausência do Estado no efetivo acompanhamento da necessidade social de segurança. Por meio da análise dos instrumentos utilizados na pesquisa, referendou-se o processo decisório da política, com a ausência de participação do staff político e gerencial do governo, mas centrado na divisão dicotômica dos organismos policiais do Estado, a Polícia Militar e a Polícia Civil, como planejadores, decisores e executores de toda a ação que envolva segurança pública. A dimensão institucional dessa atuação é calcada numa resposta pro ativa até certo ponto, mas a sua tônica é o "agir" ante as demandas surgidas e, principalmente, quando acionadas pelo clamor público. A alusão ao sistema de defesa social, previsto na Constituição do Estado, é a resposta da pesquisa para o atendimento dessa demanda social, aliado à adoção do policiamento comunitário.

Bandido bom é bandido morto: a opção ideológico-institucional da política de segurança pública na manutenção de padrões de atuação violentos da polícia militar paulista

Por que, mesmo 25 anos após a promulgação da Constituição Federal que inaugura o período democrático no Brasil, a Polícia Militar do Estado de São Paulo mantem um padrão excessivo de uso da força letal em suas ações, não obstante a criação de uma série de mecanismos com foco no controle da atividade policial? É a partir desta questão que esta pesquisa buscou compreender quais os fatores determinantes para entendermos o padrão operacional da PMESP, bem como mapear as principais ações de controle da atividade policial implementadas entre 1983 e 2012, problematizando seus limites e potencialidades. Em linhas gerais, concluiu-se pela incapacidade de ações de cunho incremental alterarem de fato o padrão de atuação da PMESP, demonstrando que a opção por medidas mais “enérgicas” de contenção da criminalidade é, antes de tudo, político-institucional, com fortes vínculos ideológicos.

Processos digitais na prefeitura de Santos: a certificação digital e a segurança da informação

O presente trabalho tem como principal objetivo a descrição da sistemática de certificação digital a ser implementada na Prefeitura de Santos, como parte de um processo maior, a implementação dos Processos Digitais naquele município através da verificação e o acompanhamento dos principais desafios que a Prefeitura Municipal de Santos, por intermédio de sua Secretaria de Gestão, encontrou para a contratação e implantação da fé pública exigida para o correto enquadramento legal do programa de digitalização dos processos administrativos da Municipalidade. Para tanto, tem-se como base a pesquisa de material legal, especialmente do Decreto do Prefeito de Santos e da Portaria Municipal da Secretaria de Gestão que criou efetivamente a obrigação para que todos os servidores do Município elaborem determinados processos administrativos de maneira unicamente digital. Ainda, a MP 2001-02/2001 que trata da certificação digital é retratada. Angariar informações, desde as básicas, como quais são os equipamentos necessários, até o modelo de licitação (pregão eletrônico) para que outros entes públicos busquem a digitalização de seus processos e a consequente licitação para a certificação digital são os desafios deste artigo.