PONTIFÍCIA UNIVERSIDADE CATÓLICA DE MINAS GERAIS

SEGURANÇA E AUDITORIA DE SISTEMAS

Dyego Henrique Melo Dias

Poços de Caldas
2011
PONTIFÍCIA UNIVERSIDADE CATÓLICA DE MINAS GERAIS

SEGURANÇA E AUDITORIA DE SISTEMAS

Relatório apresentado à Disciplina

Segurança e Auditoria de Sistemas ao
Professor Luis Alberto Ferreira Gomes, da
Pontifícia Universidade Católica de Minas
Gerais, campus Poços de Caldas.

Poços de Caldas
2011
 Questão 1
Quais são as responsabilidades e a importância de um modelo de governança da
segurança da informação para uma organização?

Resposta
As responsabilidades e a importância de um modelo de governança da segurança
da informação para uma organização são para dirigir, avaliar e monitorar as
informações e atividades do sistema de gestão de segurança de informação. Esta
governança deve estabelecer os papeis e responsabilidades das principais partes
interessadas e relacionadas aos comitês estratégicos e de direção. A governança da
Segurança da Informação é uma das responsabilidades do Conselho de Administração.
Com a importância do assunto é oferecido aos profissionais normas da família ISO/IEC
27000, ISO/IEC 38500, ISACA, ITGI e ITSMF.

Dentre o que foi dito acima destacam-se os modelos e arquiteturas abaixo

relacionadas:

• Overview
• Política e Estratégia
• Padrões de Serviços de Segurança de TI
• Padrões no nível da Aplicação
• Padrões na Infraestrutura
• Central de Serviços de Segurança

Também as Métricas de segurança da Informação:

• Métricas de Segurança da Informação

• Métricas Implementação Governança
• Alinhamento Estratégico
• Gerenciamento de Risco
 Questão 2
Qual a recomendação principal que o autor do artigo “Algumas Recomendações
para Um Modelo de Governança para Segurança da Informação” apresenta com relação
a processos e controles para um modelo de governança em segurança da informação?

Resposta
A recomendação apresentada pelo autor é que se faça uma combinação de
potencialidades dos modelos COBIT e ITIL e da nossa ISO 20000, sendo que estes
mesmos modelo vem sendo utilizados pelas organizações e testadas e aprovadas por
vários especialistas ao redor do mundo.
Assim recomendando a utilização dos modelos COBIT e a norma ISO 27002
que irão fornecer os objetivos de controle necessários para atender os requisitos
necessários. Os processos do modelo ITIL são utilizados para gerir a implementação
destes objetivos de controle. Onde com uma correlação desses objetivos com os
processos descritos do modelo ITIL.

Questão 3
Descreva o processo de Gerenciamento da Segurança do ITIL e cite três
benefícios trazidos por este processo.

Resposta
O modelo ITIL(Information Technology Infrastructure Library) começou na
Grã-Bretanha na década de 80, com o objetivo de desenvolver uma abordagem para a
utilização eficiente e econômica dos recursos de TI. Desde então o ITIL tornou se uma
indústria com organizações, ferramentas, treinamentos, serviços de consultoria,
estruturas relacionadas e publicações.
Utilizado no processo de gerenciamento de segurança na área de TI de uma
organização, que pode gerar informações úteis. Quando, hoje em dia estas organizações
estão presentes na internet, realizando transações, necessitando de um “back-office” que
suporte relacionamentos automáticos usados nos negócios eletrônicos. Segundo
Francisco Ferrão na SQS Software Quality Systems Artigo IV os objetivos da ITIL são:
1 - Alinhar os serviços de TI com as necessidades atuais e futuras das organizações e
dos seus clientes e fornecedores; 2 - Melhorar a qualidade dos serviços de TI
fornecidos; 3 – Reduzir, a longo prazo, o custo inerente à Disponibilização de Serviços
de TI.
A ITIL procura assim assegurar que as medidas de segurança da informação são
tomadas as três níveis, estratégico, tático e operacional consoante os processos que a
constituem, isto é, serviços de suporte a nível operacional e disponibilização de serviços
a nível tático. Existem 7 passos que podem descrever mais claramente o processo de
gestão do ITIL.
1. Identificação dos requisitos de segurança;
2. Viabilidade dos requisitos e comparação com serviços básicos de
segurança a garantir;
3. Definição dos SLA’s que devem incluir requisitos de segurança
em termos manuseáveis que especifiquem como devem ser verificados e
auditados;
4. Do mesmo modo são negociados, e acordados, os OLA’s;
5. Controle e implementação dos SLA’s e OLA’s;
6. Relatórios periódicos do ponto de situação desses serviços;
7. Modificação, se necessário, dos SLA’s e OLA’s.
A ITIL mantém a segurança de informação com seu enfoque no negócio nos
serviços de TI. Com as ITIL’s pode-se garantir que os serviços estão alinhados com as
necessidades de negócio. A ITIL também permite que as organizações desenvolvam, e
implementem, a segurança de informação de uma forma estruturada baseada nas boas
praticas de prestação de serviços de TI.
Segundo a própria ITIL, seus benefícios podem ser agrupados em quatro
categorias: Benefícios de Negócio, Benefícios Financeiros, Benefícios de Inovação e
Benefícios para os Profissionais, onde, estes benefícios são divididos em diversos
fatores, que, claro, dependem de atitudes necessárias para chegar ao benefício.
Benefício de Negócio, possuem estratégias de serviços que visam o que se
deseja planejar e gerenciamento de nível de serviço que estabelece uma prioridade para
cada processos a ser realizado na organização.
Benefício Financeiro, acima de tudo toda organização está preocupada com
resultados rentáveis, contribuindo assim com o maior retorno possível sob utilização
dos serviços de tecnologia, sobretudo demostrando-os.
 Benefício de Inovação, com a flexibilidade de boas práticas de transação de
serviços fornecem, melhoria contínua de serviços, que é ferramenta de inovação
constante por essência.
Benefício dos Profissionais, minimizando o esforço do profissional ao buscar
tratamento de falhas, rápidas informações sobre o andamento dos serviços, solução de
falhas quase que de imediato, controle de incidentes.
A ITIL possui diversos benefícios alcançáveis, mas os que mais se destacam são
a redução de custos, o aumento de produtividade e o aprimoramento dos processos.
Referencias Bibliográficas

Blog Path - http://www.path.com.br/blog/?p=227, acessado em 08/05/11;

Mauro César Bernardes - Algumas recomendações para um modelo de governança da

segurança da informação. EAD PUC Minas, acessado em 09/05/11;

ITIL - Benefícios Associados à Segurança da Informação -

http://blogs.technet.com/b/ronaldosjr/archive/2010/01/05/itil-benef-cios-associados-
seguran-a-da-informa-o.aspx, por Ronaldo Smith Jr em 5 Jan 2010 10:39 AM, acessado
em 10/05/2011;

A ITIL E A SEGURANÇA DAS TI - http://www.sqs.pt/ARTIGO-4-ITIL.pdf,

caderno “Inovação & Tecnologia” por Francisco Ferrão, acessado em 10/05/11;

Os benefícios da ITIL - http://www.portalgsti.com.br/2009/08/os-beneficios-da-

itil.html, por Fernando Palma em Agosto de 2009, acessado em 10/05/11;