Skip navigation

Tag Archives: vírus

Qual é a melhor maneira de manter os invasores longe de sua rede, os vírus longe de suas unidades, e ter todas as brechas de segurança minimizadas? O British Standards Institute (BSI: Instituto Britânico de Padronizações) espera responder esta questão para todos os negócios ¬ Ingleses ou não ¬ com o British Standard (BS) 7799, um plano completo para implementação de uma segurança eficiente na Internet. O código padrão de segurança da Internet dá ao profissional de TI (Tecnologia de Informação) um projeto para o desenvolvimento das políticas e processos de segurança da empresa.
Publicado pela primeira vez em 1995, o BS7799 prepara os negócios para receber a certificação, através de uma auditoria feita por uma empresa terceirizada autorizada pelo BSI. A certificação irá assegurar aos clientes e sócios que seus dados, mantidos na rede da empresa, estão protegidos e que a segurança em geral da empresa é confiável. Muitas organizações, diante dos crescentes desafios da segurança, estão implementando as práticas do BS7799 sem o processo de certificação, usando-o simplesmente como um guia para as melhores práticas.
O padrão tem se tornado amplamente aceito em muitos países, incluindo Austrália, áfrica do Sul, Nova Zelândia, Holanda e Noruega. De fato, o governo Britânico recomendou, como parte de seu Ato de Proteção de Dados de 1998 (efetivado em 1 de março de 2000), que as companhias Britânicas usem o BS7799 como um método de obediência à Lei. A versão internacional do BS7799 (somente a parte um) está atualmente sob consideração da Organização Internacional de Padrões, como ISO17799. Se o ISO17799 for aprovado pelos membros, seus padrões serão implementados pela maioria das grandes empresas e seus sócios, que realizam negócios on-line ou são contratados do governo.
Entendendo o Código do BS7799
O BS7799 tem três seções principais: código de prática padrão ou melhores práticas de segurança, especificações padrão para um Sistema de Gerenciamento de Segurança e, finalmente, o processo de certificação. A implantação do BS7799 e a preparação para a certificação leva um tempo estimado entre seis e nove meses, dependendo da complexidade da infra-estrutura de TI.
Seção 1: Melhores Práticas
Na seção de melhores práticas há dez principais áreas organizacionais, com 127 controles de segurança e mais de 500 subcontroles, para ajudar na proteção das informações dos seus negócios. O foco geral desta seção é o gerenciamento de riscos; o objetivo é ajudar a empresa a planejar antecipadamente a sua política de segurança. Nem todos os controles podem ser aplicados, mas o BS7799 ajuda os leitores a identificar os controles relevantes para seus negócios. Para a certificação, a empresa deve especificar controles que não estão incluídos na sua política de segurança e justificar a sua exclusão. Tópicos de controle incluem o uso da Internet, comércio eletrônico, telecomunicação, telefones móveis, considerações legais e recursos humanos.
Seção 2: Implementação do Sistema de Gerenciamento de Segurança de Informações
A Segunda seção do BS7799 ajuda o TI a avaliar e priorizar os bens da rede, de acordo com os objetivos do negócio, depois organizar esses bens em um plano de segurança, ou Sistema de Gerenciamento de Segurança de Informações. O plano de segurança tem quatro fases: avaliação de riscos, gerenciamento de riscos, implementação de meios de segurança e instruções de aplicabilidade.
•    Avaliação de riscos é a analise do que pode acontecer aos bens da rede, e que impacto este incidente poderá causar nos objetivos dos negócios. Códigos malignos e acesso não autorizado à rede são exemplos de riscos.
•    Gerenciamento de riscos é o plano que sua empresa pode usar para suavizar riscos. Os métodos usados no gerenciamento de riscos incluem não somente meios de segurança da rede, assim como firewalls (sistema de monitorização de tráfego nas redes, que olham tudo o que entra e sai do servidor e outros protocolos de segurança), e também segurança física, procedimentos administrativos, planos de contingência e iniciativas de recursos humanos.
•    Meios de segurança são os instrumentos reais e os recursos implementados e identificados pela empresa para minimizar riscos
.
•    As Instruções de Aplicabilidade, requeridas para a certificação do BS7799, é um plano de segurança. Esta instrução esquematiza o controle de segurança que a empresa tem posto em prática e porque estas medidas de segurança foram escolhidas. Adicionalmente, a empresa deve listar os controles específicos do BS7799 que não foram executados e explicar porque
Processo de Certificação
A certificação do BS7799 é completada através de uma auditoria de segurança. Muitas empresas escolhem empregar consultores de segurança para ajudar nos preparativos para a auditoria, visto que a preparação é abrangente e leva de seis a nove meses. Há duas partes para a auditoria de certificação. Primeiro, o auditor terceirizado autorizado analisa as Instruções de Aplicabilidade com a empresa, avaliando os argumentos para a escolha e exclusão dos controles específicos do BS7799. Esta parte da auditoria leva em torno de dois dias. Seis semanas depois, o auditor vai ao site para acessar a efetividade das políticas e procedimentos de segurança da empresa. Além disso, a flexibilidade da empresa com todos os controles do BS7799 é avaliada. Os auditores irão examinar tecnologias e entrevistar empregados de vários departamentos para obter um quadro total de implementação da política de segurança na empresa. Esta segunda parte da auditoria leva em torno de uma semana. Se a empresa passa na auditoria, o BSI irá emitir a certificação. Após a empresa receber a certificação, esta deverá requerer auditorias periódicas para mantê-la.
Como o BS7799 Irá Beneficiar a Empresa?
Há muitas vantagens estratégicas e operacionais chaves com a certificação do BS7799. Os benefícios específicos do BS7799 incluem:
•    Melhorar a segurança da empresa. Através do processo de certificação do BS7799, a empresa irá reduzir a vulnerabilidade da rede e melhorar o seu gerenciamento. Diminuir a vulnerabilidade da rede provavelmente significará menos brechas na segurança, o que resultará num decréscimo de fraudes, riscos financeiros e legais, bem como no aumento do uso da rede e a confiança do cliente.
•    Plano de segurança mais eficiente. BS7799 traça 127 orientações de segurança em dez áreas, com controles detalhados, recursos humanos legais e um guia de planejamento de possibilidades. Estas recomendações detalhadas para a segurança na Internet de toda a empresa, farão as iniciativas de segurança mais completas, controláveis e com um maior custo-benefício.
•    Gerenciamento de segurança mais efetivo. Inevitavelmente, todas as empresas devem iniciar os processos de desenvolvimento ou redesenvolvimento das políticas e procedimentos de segurança. Diferente dos projetos de segurança relativos a empresa, o BS7799 é um método comprovado para uma melhor prática de segurança na Internet. Empresas como BT, HSBC, Marks and Spencer, Shell International e Unilever, contribuem para o desenvolvimento do BS7799, e têm testado sua eficiência em condições reais de negócios.
•    Proteção contínua. Após a certificação, auditorias terceirizadas contínuas e revisões do BS7799 irão manter a empresa atualizada com as últimas vulnerabilidades e melhores práticas.
•    Sociedades seguras. Para uma melhor proteção da rede, enquanto conduz o EDE, a empresa pode usar a certificação do BS7799 como um requisito de segurança para sócios e fornecedores.
•    Comércio eletrônico protegido. O BS7799 dá aos representantes autorizados de comércio eletrônico, desde instituições financeiras até o varejo eletrônico, um selo de segurança e confiança facilmente reconhecível pelos consumidores.
•    Aumento da confiança do cliente. Com as brechas de segurança da Internet aumentando sensivelmente, clientes e fornecedores estarão procurando por evidências concretas de segurança ¬ a certificação do BS7799 lhe dará esta garantia.
•    Grande auditoria ROI. O BS7799 inclui um processo de certificação com auditores autorizados. Conforme o BS7799 se tornar um padrão, as empresas terão acesso a numerosos auditores terceirizados autorizados, que devem seguir as melhores práticas de auditoria, para testes e avaliações de políticas de segurança
•    Obrigações reduzidas. As obrigações financeiras das empresas com incidentes de segurança podem ser reduzidas, se elas possuírem o certificado BS7799. Os tribunais podem reconhecer a concordância com o padrão como uma indicação de segurança adequada.
Manter a segurança da rede para fazer a proteção das informações dos bens é hoje a preocupação chave de toda a empresa. Além disso, o processo de implementação de uma política geral de segurança pode ser afastado. Um processo padrão para a segurança da Internet, como o BS7799, pode ajudar a gerenciar a segurança da rede de forma mais eficiente e efetiva. Com um alto número de riscos emergindo, ameaçando a segurança das empresas todos os dias, a questão não é porque implementar o BS7799, mas, porque não?