Suomen turvallisuuspoliittisen ratkaisun lähtökohtia

Suomi luopui puolueettomuuspolitiikasta turvallisuuspoliittisena linjanaan kun se liittyi Euroopan unioniin ennen kaikkea turvallisuussyistä. Vaikka Suomi on EU-jäsenyyden myötä poliittisesti liittoutunut ja vaikka se on jatkuvasti laajentanut ja syventänyt yhteistyötään NATOn kanssa, Suomi on yhä sotilaallisesti liittoutumaton valtio. Suomen turvallisuuspoliittinen toimintaympäristö on ollut poikkeuksellisen vakaa kylmän sodan jälkeen ennen kaikkea siksi, että maailman voimakkain suurvalta Yhdysvallat on yhä sotilaallisesti läsnä Euroopassa ja Euroopan integraatio on jatkunut ja syventynyt. Suomi on sitonut nykyisen turvallisuuspoliittisen linjansa turvallisuusympäristönsä pysyvyyteen. Viime vuosina NATOn laajentuminen entisen Neuvostoliiton alueelle on voimistanut läntisten suurvaltojen ja Venäjän välistä valtakamppailua ja turvallisuuskilpailua Suomen lähialueella. Viimeistään Ukrainan konflikti on tehnyt ajankohtaiseksi myös kysymyksen Suomen sotilaallisesta liittoutumisesta. Tässä artikkeliteoksessa turvallisuuspolitiikan asiantuntijat analysoivat keskeisimpien ulkoisten toimijoiden – EU:n, Ruotsin, Viron, Venäjän, Yhdysvaltojen ja NATOn – merkitystä Suomen turvallisuuspoliittisen toimintaympäristön vakaudelle ja Suomen turvallisuudelle sekä pohtivat, onko Suomen syytä muuttaa nykyistä turvallisuuspoliittista linjaansa turvallisuusympäristössä tapahtuneiden muutosten vuoksi. Kirjoittajat myös arvioivat Suomen mahdolliseen sotilaalliseen liittoutumiseen liittyviä etuja ja haittoja verrattuna nykyiseen turvallisuuspoliittiseen ratkaisuun. Teoksen kirjoittajien toisistaan poikkeavat näkemykset Suomen turvallisuuspoliittisen toimintaympäristön vakaudesta, NATOn laajentumisen vaikutuksista Itämeren alueella, Venäjän valtapolitiikasta ja sen Suomelle muodostaman sotilaallisen uhan voimakkuudesta, NATOn pelotteen uskottavuudesta ja Yhdysvaltojen sitoutumisesta liittolaistensa puolustamiseen sekä Suomen NATO-jäsenyyden eduista ja haitoista valaisevat laajasti kysymystä Suomen turvallisuudesta ja turvallisuuspoliittisesta ratkaisusta. Suomelle sen geopoliittinen asema Venäjälle strategisesti elintärkeiden Kuolan alueen ja Pietari–Moskova-ydinalueen välittömässä läheisyydessä on ongelmallinen maan turvallisuuden kannalta. Suurvalta Venäjä onkin edelleen keskeisin Suomen turvallisuuteen ja turvallisuuspoliittiseen ratkaisuun vaikuttava ulkoinen toimija. Neuvostoliiton hajoamisen jälkeen Suomella on ollut ainutlaatuinen mahdollisuus liittoutua Yhdysvaltojen kanssa NATO-jäsenyyden myötä Venäjän potentiaalista sotilaallista uhkaa vastaan. Toisaalta Suomella ei kuitenkaan ole ollut pakottavaa tarvetta siihen, koska se on välillisesti hyötynyt Yhdysvaltojen suurstrategiasta Euroopassa ja koska Venäjän valtapolitiikka on kohdistunut ennen kaikkea entisen Neuvostoliiton alueelle. Vaikka Ukrainan konflikti onkin lisännyt poliittista ja sotilaallista jännitettä Itämeren alueella, tämän teoksen perusteella on kuitenkin mahdotonta antaa yksiselitteistä vastausta siihen, pitäisikö Suomen sen turvallisuuspoliittisessa toimintaympäristössä tapahtuneen muutoksen seurauksena liittyä NATOn jäseneksi vai ei. Halutessaan Suomi voi siis edelleen jatkaa nykyisellä turvallisuuspoliittisella linjallaan sotilaallisesti liittoutumattomana valtiona, mutta samalla sen täytyy kuitenkin pitää myös sotilaallinen liittoutuminen avoimena turvallisuuspoliittisena vaihtoehtona tulevaisuudessa.

Identiteetin- ja käyttöoikeuksien hallinnan kustannus- ja tulosvaikutukset

Tämän tutkimuksen päätavoitteena oli luoda laskentamalli identiteetin- ja käyttöoikeuksien hallintajärjestelmien kustannus- ja tulosvaikutuksista. Mallin tarkoitus oli toimia järjestelmätoimittajien apuvälineenä, jolla mahdolliset asiakkaat voidaan paremmin vakuuttaa järjestelmän kustannushyödyistä myyntitilanteessa. Vastaavia kustannusvaikutuksia mittaavia malleja on rakennettu hyvin vähän, ja tässä tutkimuksessa rakennettu malli eroaa niistä sekä järjestelmätoimittajan työkustannusten että tietoturvariskien huomioimisen osalta. Laskentamallin toimivuuden todentamiseksi syntynyttä laskentamallia testattiin kahdessa yrityksessä, joiden käytössä on keskitetty identiteetinhallintajärjestelmä. Testaus suoritettiin syöttämällä yrityksen tiedot laskentamalliin ja vertaamalla mallin antamia tuloksia yrityksen havaitsemiin kustannusvaikutuksiin. Sekä kirjallisuuskatsauksen että laskentamallin testaamisen perusteella voidaan todeta, että identiteetinhallintaprosessin merkittävimmät kustannustekijät ovat identiteettien luomiseen ja muutoksiin kuluva työaika sekä näiden toimintojen aiheuttama työntekijän tehokkuuden laskeminen prosessin aikana. Tutkimuksen perusteella keskitettyjen identiteetinhallintajärjestelmien avulla on mahdollista saavuttaa merkittäviä kustannussäästöjä identiteetinhallintaprosessin toiminnoista, lisenssikustannuksista sekä IT-palvelukustannuksista. Kaikki kustannussäästöt eivät kuitenkaan ole konkreettisia, vaan liittyvät esimerkiksi työtehokkuuden nousemiseen järjestelmän ansiosta. Kustannusvaikutusten lisäksi identiteetinhallintajärjestelmät tarjoavat muita hyötyjä, joiden rahallisen arvon laskeminen on erittäin haastavaa. Laskentamallin käytön haasteina ovatkin konkreettisten ja epäsuorien kustannussäästöjen tunnistaminen ja arvottaminen sekä investoinnin kokonaishyötyjen arvioinnin vaikeus.

Strategic Alert Throttling for Intrusion Detection Systems

Network intrusion detection systems are themselves becoming targets of attackers. Alert flood attacks may be used to conceal malicious activity by hiding it among a deluge of false alerts sent by the attacker. Although these types of attacks are very hard to stop completely, our aim is to present techniques that improve alert throughput and capacity to such an extent that the resources required to successfully mount the attack become prohibitive. The key idea presented is to combine a token bucket filter with a realtime correlation algorithm. The proposed algorithm throttles alert output from the IDS when an attack is detected. The attack graph used in the correlation algorithm is used to make sure that alerts crucial to forming strategies are not discarded by throttling.

Sensing Danger: Innate Immunology for Intrusion Detection

The immune system provides an ideal metaphor for anomaly detection in general and computer security in particular. Based on this idea, artificial immune systems have been used for a number of years for intrusion detection, unfortunately so far with little success. However, these previous systems were largely based on immunological theory from the 1970s and 1980s and over the last decade our understanding of immunological processes has vastly improved. In this paper we present two new immune inspired algorithms based on the latest immunological discoveries, such as the behaviour of Dendritic Cells. The resultant algorithms are applied to real world intrusion problems and show encouraging results. Overall, we believe there is a bright future for these next generation artificial immune algorithms

Główne determinanty polityki bezpieczeństwa Izraela na początku XXI wieku

Wydział Nauk Politycznych i Dziennikarstwa

Detecting Motifs in System Call Sequences

The search for patterns or motifs in data represents an area of key interest to many researchers. In this paper we present the Motif Tracking Algorithm, a novel immune inspired pattern identification tool that is able to identify unknown motifs which repeat within time series data. The power of the algorithm is derived from its use of a small number of parameters with minimal assumptions. The algorithm searches from a completely neutral perspective that is independent of the data being analysed and the underlying motifs. In this paper the motif tracking algorithm is applied to the search for patterns within sequences of low level system calls between the Linux kernel and the operating system’s user space. The MTA is able to compress data found in large system call data sets to a limited number of motifs which summarise that data. The motifs provide a resource from which a profile of executed processes can be built. The potential for these profiles and new implications for security research are highlighted. A higher level system call language for measuring similarity between patterns of such calls is also suggested.

Strategic Alert Throttling for Intrusion Detection Systems

Network intrusion detection systems are themselves becoming targets of attackers. Alert flood attacks may be used to conceal malicious activity by hiding it among a deluge of false alerts sent by the attacker. Although these types of attacks are very hard to stop completely, our aim is to present techniques that improve alert throughput and capacity to such an extent that the resources required to successfully mount the attack become prohibitive. The key idea presented is to combine a token bucket filter with a realtime correlation algorithm. The proposed algorithm throttles alert output from the IDS when an attack is detected. The attack graph used in the correlation algorithm is used to make sure that alerts crucial to forming strategies are not discarded by throttling.

Protecting databases from schema disclosure: a CRUD-based protection model

Database schemas, in many organizations, are considered one of the critical assets to be protected. From database schemas, it is not only possible to infer the information being collected but also the way organizations manage their businesses and/or activities. One of the ways to disclose database schemas is through the Create, Read, Update and Delete (CRUD) expressions. In fact, their use can follow strict security rules or be unregulated by malicious users. In the first case, users are required to master database schemas. This can be critical when applications that access the database directly, which we call database interface applications (DIA), are developed by third party organizations via outsourcing. In the second case, users can disclose partially or totally database schemas following malicious algorithms based on CRUD expressions. To overcome this vulnerability, we propose a new technique where CRUD expressions cannot be directly manipulated by DIAs any more. Whenever a DIA starts-up, the associated database server generates a random codified token for each CRUD expression and sends it to the DIA that the database servers can use to execute the correspondent CRUD expression. In order to validate our proposal, we present a conceptual architectural model and a proof of concept.

Secure, dynamic and distributed access control stack for database applications

In database applications, access control security layers are mostly developed from tools provided by vendors of database management systems and deployed in the same servers containing the data to be protected. This solution conveys several drawbacks. Among them we emphasize: 1) if policies are complex, their enforcement can lead to performance decay of database servers; 2) when modifications in the established policies implies modifications in the business logic (usually deployed at the client-side), there is no other possibility than modify the business logic in advance and, finally, 3) malicious users can issue CRUD expressions systematically against the DBMS expecting to identify any security gap. In order to overcome these drawbacks, in this paper we propose an access control stack characterized by: most of the mechanisms are deployed at the client-side; whenever security policies evolve, the security mechanisms are automatically updated at runtime and, finally, client-side applications do not handle CRUD expressions directly. We also present an implementation of the proposed stack to prove its feasibility. This paper presents a new approach to enforce access control in database applications, this way expecting to contribute positively to the state of the art in the field.

ABTC: multi-purpose adaptable business tier components based on Call Level Interfaces

Call Level Interfaces (CLI) are low level API that play a key role in database applications whenever a fine tune control between application tiers and the host databases is a key requirement. Unfortunately, in spite of this significant advantage, CLI were not designed to address organizational requirements and contextual runtime requirements. Among the examples we emphasize the need to decouple or not to decouple the development process of business tiers from the development process of application tiers and also the need to automatically adapt to new business and/or security needs at runtime. To tackle these CLI drawbacks, and simultaneously keep their advantages, this paper proposes an architecture relying on CLI from which multi-purpose business tiers components are built, herein referred to as Adaptable Business Tier Components (ABTC). This paper presents the reference architecture for those components and a proof of concept based on Java and Java Database Connectivity (an example of CLI).

Secure, dynamic and distributed access control stack for database applications

In database applications, access control security layers are mostly developed from tools provided by vendors of database management systems and deployed in the same servers containing the data to be protected. This solution conveys several drawbacks. Among them we emphasize: (1) if policies are complex, their enforcement can lead to performance decay of database servers; (2) when modifications in the established policies implies modifications in the business logic (usually deployed at the client-side), there is no other possibility than modify the business logic in advance and, finally, 3) malicious users can issue CRUD expressions systematically against the DBMS expecting to identify any security gap. In order to overcome these drawbacks, in this paper we propose an access control stack characterized by: most of the mechanisms are deployed at the client-side; whenever security policies evolve, the security mechanisms are automatically updated at runtime and, finally, client-side applications do not handle CRUD expressions directly. We also present an implementation of the proposed stack to prove its feasibility. This paper presents a new approach to enforce access control in database applications, this way expecting to contribute positively to the state of the art in the field.

Despliegue de escenarios de entrenamiento en seguridad utilizando técnicas de virtualización con clonado rápido

La formación y preparación constante del personal de TI es una de las estrategias más efectivas para mejorar la calidad, estabilidad y seguridad de las redes y servicios asociados. En esta línea, el CEDIA ha venido implementando cursos y talleres de capacitación dirigidos a sus miembros y, dentro del CSIRT-CEDIA, se ha pensado en la posibilidad de optimizar los procesos asociados al despliegue de la infraestructura necesaria para proveer a los participantes de éstas capacitaciones, con el material personalizado adecuado, en las áreas de seguridad informática. Es así que se decidió usar técnicas de virtualización para aprovechar los recursos disponibles, pero aun cuando esto en sí no es una tendencia nueva, el uso de una copia completa del disco virtual para cada participante, no sólo resulta impráctico en cuestión de tiempo, sino también en cuanto al consumo de almacenamiento necesario. Este trabajo se orienta justamente a la optimización en los tiempos y consumos asociados a los procesos de replicación de un mismo equipo y disco virtuales para uso particularizado de varios participantes.

Yhteistä turvallisuutta rakentaen : poliisi- ja upseeriprofessioiden yhteiskehittelyn mahdollisuuksista

Poliisin rakenneuudistus Pora III ja Puolustusvoimauudistus 2011–2015 ovat olleet viime vuosien esimerkkejä julkisen sektorin työn tehostamisen vaatimuksista. Sekä Puolustusvoimilla että poliisilla, kahdella turvallisuusalan viranomaistaholla, on lakisääteiset tehtävänsä, jotka tulee työn tehostamisen vaatimuksista huolimatta suorittaa. Turvallisuusala yksityistyy vauhdilla, ja keskustelua käydään siitä, mitä tehtäviä viranomainen hoitaa itse, mitä annetaan kaupallisen toimijan tai järjestöjen hoidettavaksi ja mistä kansalainen vastaa itse jatkossa. Resurssi- ja tehostamisvaatimuksia mietittäessä nousee esille upseereiden kohdalla koko maan puolustus ja turvaaminen. Kyetäänkö tämän tehtävän täyttämiseen mahdollisessa sotatilanteessa enää nykyisellä tai mahdollisesti vähenevällä resursoinnilla? Poliisitoimen osalta vasteajat eri puolilla Suomea puhuttavat, samoin se, miten tehtäviä priorisoidaan hoidettavaksi. Saavatko kansalaiset enää perusoikeuksiinsa kuuluvaa arjen turvallisuutta, jonka vielä tänä päivänä katsotaan kuuluvan valtion perustehtäviin? Viranomaisten pitäisi tutkimukseen valittujen aineistojen sekä lakien perusteella hoitaa tehtävänsä laadukkaasti ja tasa-arvoisesti kaikkialla Suomessa. Nykyiset sisäistä ja ulkoista turvallisuutta käsittelevät asiakirjat, esimerkiksi strategiat, puhuvat laajasta turvallisuuskäsityksestä, sisäisen ja ulkoisen turvallisuuden rajojen hämärtymisestä globalisoitumisen seurauksena ja lisääntyvästä poikkihallinnollisesta yhteistyöstä toimintaa ohjaavana ajattelumallina. Viranomaisyhteisyötä tulisi lisätä osana normaalia toimintaa, samoin yhteistyötä järjestöjen, elinkeinoelämän ja jokaisen kansalaisen kanssa. Valtioneuvoston tulevaisuusselonteossa (2013) peräänkuulutetaan uusia, innovatiivisia tapoja hoitaa sekä valtion että kuntien tehtäviä. Yhteisen toiminnan kohteen eli laajan turvallisuuskäsityksen viitekehyksessä on mahdollisuus pohtia uudenlaista turvallisuusalan viranomaisyhteistyötä, eli etsiä perusteluja upseeri- ja poliisiprofession syvemmälle yhteistyölle – yhteiskehittelylle. Tutkimukseni tavoitteena on herätellä keskustelua siitä, onko yhteisen toiminnan kohteen löytymiselle edellytyksiä. Nähtävissä on, että valtiolle kuuluvia toimintoja tehostetaan jatkossakin. Yksi järkevä tapa tehostamisessa on löytää töiden rajapintoja ja yhdistää resurssit näiden osalta. Jotta toiminta olisi tehokasta, sen pitää olla osa jokapäiväistä toimintaa eikä perustua vain muutamiin yhteistoimintaharjoituksiin tai jo tapahtuneiden poikkeustilanteiden hoitoon. Suurin osa kriisiajan toiminnasta perustuu normaaliolojen toimintaan, jolloin sen lähtökohdat voisivat olla yhteisessä työssä ja alkaa jo koulutuksesta, mikä nostetaan tässä työssä yhtenä mahdollisuutena esille. Koulutuksellinen yhteistyö ja liikkuvuus ovat eurooppalaisen tutkintojen viitekehyksen perusteella mahdollista myös kahden eri hallinnonalan koulutuksessa. Tällaista koulutuksen tehostamista haetaan tällä hetkellä muualla yhteiskunnassa. Mutta halutaanko omasta toiminnasta ja tehtävistä luopua edes osittain ja tehdä yhteistyötä mahdollisesti oman työn hallinnan, vallan tai resurssien menettämisen pelossa? Vai onko kyse vain siitä, että yhteistyön syventämiselle ei ole nähty kovinkaan suurta tarvetta tai hyötyä eikä yhteistyö näytä tuovan mitään uutta ammattikuntien osaamiseen? Tutkimuksen aineisto koostuu valtionhallinnon aineistoista, kuten strategioista, mietinnöistä ja raporteista niin sisäisen kuin ulkoisen turvallisuuden alalta. Aineistona käytetään myös upseeri- (n=71) ja poliisipäällystöopiskelijoille (n=65) suunnattua kyselyä ja kirjoitelmaa tulevaisuuden turvallisuusasiantuntijuudesta vuonna 2030. Lisäksi opiskelijavastauksista tehtyä analyysia syvennetään molempien korkeakoulujen (Maanpuolustuskorkeakoulu ja Poliisiammattikorkeakoulu) rehtoreiden sekä molempien hallinnonalojen (puolustusministeriö sekä sisäministeriö) kansliapäälliköiden haastatteluilla. Aineistojen avulla pyritään herättelemään ajatuksia siitä, voisiko yhteisiä töitä löytyä yhteistyön pohjaksi. Tarkoituksena on perustella, miksi yhteistyötä kannattaa tehdä ja ikään kuin vastata etukäteen vastaväitteisiin, miksi sitä ei voitaisi tehdä. Strategioiden yhteistyön tahtotilaa verrataan muihin strategioiden toimenpide ehdotuksiin ja sitä kautta vielä kyselyaineistoon. Opiskelijakyselyllä haetaan näkemyksiä tulevaisuuden turvallisuusasiantuntijuudesta ja mahdollisesta yhteistyöstä sekä sen painopisteistä. Muilla asiantuntijahaastatteluilla haetaan korkeakoulujen sekä ministeriön tason näkemyksiä opiskelijoiden mielipiteisiin. Opiskelijakyselyn avulla on haluttu selvittää sitä, mitä jo työelämässä olleet mutta vaihteeksi opiskelevat sotatieteiden maisteriopiskelijat Maanpuolustuskorkeakoulussa ja poliisin päällystötutkinnon opiskelijat Poliisiammattikorkeakoulussa ajattelevat turvallisuusalan ja -asiantuntijuuden muutoksesta. Minkälaisena he näkevät oman tulevan työnsä ja yhteistyökentän muiden viranomaisten kanssa? Selvää opiskelijavastausten mukaan on se, että turvallisuus halutaan pitää jatkossakin viranomaisen vastuulla ja välttää viimeiseen asti yksityisen sektorin liiallista vastuuta enempää kuin on pakko. Yhteistyötä halutaan edelleen lisätä, ja erityisesti tämä koskee viranomaisten välistä yhteistyötä. Tutkimus on tietoisesti rajattu koskemaan kahta turvallisuusalan viranomaistoimijaa, ammattikorkeakoulutuksen käyneitä poliiseja ja Puolustusvoimien Maanpuolustuskorkeakoulussa opiskelevia upseereita, joiden tehtävistä ja koulutuksesta on löydettävissä yhteisiä rajapintoja ja yhteistyön alueita. Kiinnostus syventyä valittuun kahteen ammattialaan johtuu myös siitä, että usein esimerkiksi sisäasianhallinnon strategioissa Puolustusvoimat jätetään ulkopuolelle varsinkin normaaliolojen yhteistyötä tarkasteltaessa tai vain yksittäisen maininnan asteelle. Sama huomio on havaittavissa puolustushallinnon strategioista. Tämä nousee esille erityisesti alueellista yhteistyötä tai viranomaisyhteistyötä pohdittaessa. Silti sekä sisäministeriön että puolustusministeriön hallinnonalan strategiat ym. perustuvat laajaan turvallisuuskäsitykseen, ja usein eri ammattikuntia analysoitaessa puhutaan tehtävistä, joita tekevät useat ammattikunnat ja professiot. Puhutaan niin sanotuista harmaista alueista. Ministeriöiden tahtotilassa ja toiminnassa on tutkimukseni mukaan nähtävissä ristiriita. Koulutuksen osalta yhteistyön lisääminen on mahdollista etenkin nyt, kun Poliisiammattikorkeakoulussa peruskoulutus on muuttunut ammattikorkeakoulutasoiseksi ja näin tämän ammattikunnan professioasema koulutuksen näkökulmasta on vahvistunut entisestään. Käsittelenkin tutkimuksessani kahta professiota professiotutkimuksen perinteisiä kriteereitä käyttäen, eli rinnastaessani näitä kahta ammattia. Rinnastettavuus koulujen kesken on tullut mahdolliseksi sekä tutkintojen että osaamisen tarkastelun näkökulmasta. Tämän myötä myös molempia korkeakouluja hyödyttävää yhteistyötä olisi mahdollista miettiä osana muutakin hallinnon tehostamista ja rauhan ajan viranomaistoimintaa.

Aspectos do gerenciamento de riscos de tecnologia da informação nas empresas: um estudo de caso múltiplos

The information technology - IT- benefits have been more perceived during the last decades. Both IT and business managers are dealing with subjects like governance, IT-Business alignment, information security and others on their top priorities. Talking about governance, specifically, managers are facing it with a technical approach, that gives emphasis on protection against invasions, antivirus systems, access controls and others technical issues. The IT risk management, commonly, is faced under this approach, that means, has its importance reduced and delegated to IT Departments. On the last two decades, a new IT risk management perspective raised, bringing an holistic view of IT risk to the organization. According to this new perspective, the strategies formulation process should take into account the IT risks. With the growing of IT dependence on most of organizations, the necessity of a better comprehension about the subject becomes more clear. This work shows a study in three public organizations of the Pernambuco State that investigates how those organizations manage their IT risks. Structured interviews were made with IT managers, and later, analyzed and compared with conceptual categories found in the literature. The results shows that the IT risks culture and IT governance are weakly understood and implemented on those organizations, where there are not such an IT risk methodology formally defined, neither executed. In addition, most of practices suggested in the literature were found, even without an alignment with an IT risks management process

Fatores que influenciam a aceitação de práticas avançadas de gestão de segurança da informação: um estudo com gestores públicos estaduais no Brasil

This study examines the factors that influence public managers in the adoption of advanced practices related to Information Security Management. This research used, as the basis of assertions, Security Standard ISO 27001:2005 and theoretical model based on TAM (Technology Acceptance Model) from Venkatesh and Davis (2000). The method adopted was field research of national scope with participation of eighty public administrators from states of Brazil, all of them managers and planners of state governments. The approach was quantitative and research methods were descriptive statistics, factor analysis and multiple linear regression for data analysis. The survey results showed correlation between the constructs of the TAM model (ease of use, perceptions of value, attitude and intention to use) and agreement with the assertions made in accordance with ISO 27001, showing that these factors influence the managers in adoption of such practices. On the other independent variables of the model (organizational profile, demographic profile and managers behavior) no significant correlation was identified with the assertions of the same standard, witch means the need for expansion researches using such constructs. It is hoped that this study may contribute positively to the progress on discussions about Information Security Management, Adoption of Safety Standards and Technology Acceptance Model