Versão em Português COBIT 4.1 Tradução pelo ISACA - Trainning

Entregar e Suportar
Garantir a Segurança dos Sistemas
DS5
Diretrizes de Gerenciamento
DS5 Garantir a Segurança dos Sistemas
Origem
PO2
PO3
PO9
AI2
DS1
Entrada
Arquitetura da informação;
Classificações atribuídas a dados;
Padrões tecnológicos;
Avaliação de riscos;
Especificações de controles para segurança
de aplicações;
OLAs
Saída
Definição de Incidente de Segurança;
Requisitos específicos de treinamento em
conscientização de segurança;
Relatórios de desempenho de processos;
Mudanças de segurança necessárias;
Vulnerabilidades e ameaças de segurança;
Políticas e Plano de Segurança de TI
Destino
DS8
DS7
ME1
AI6
PO9
DS11
Tabela Raci
Atividades
Funções
Definir e manter um plano de segurança de TI; I C C A C C C C I I R
Definir, implementar e operar um processo de gestão de identidades (contas); I A C R R I C
Monitorar incidentes de segurança reais e potenciais; A I R C C R
Revisar e validar periodicamente os privilégios e direitos de acesso de usuários; I A C R
Implementar e manter procedimentos para manter e proteger chaves criptográficas; A R I C
Implementar e manter controles técnicos e procedimentais para proteger a
comunicação de dados através das redes;
A C C R R C
Conduzir frequentemente análise de vulnerabilidades I A I C C C R
Uma tabela RACI identifica quem é responsável (R), responsabilizado (A), consultado (C) e/ou informado
CEO
CFO
Executivo de Negócio
CIO
Proprietário do Processo de Negócio
Responsável por Operações
Responsável por Arquitetura
Responsável por Desenvolvimento
Responsável pela Administração de TI
PMO
Conformidade, auditoria, risco e segurança
Objetivos e Métricas
Objetivos de TI Objetivos de Processos Objetivos das Atividades
Objetivos
· Garantir que informação crítica e confidencial está
protegida daqueles que não devem acessá-la;
· Garantir que transações de negócio automáticas e
transmissão de informações são confiáveis;
· Manter a integridade da informação e da infraestrutura
de processamento;
· Responder e proteger todos os ativos de TI;
· Garantir que os serviços e infraestrutura de TI
possam resistir e se recuperar de falhas devido a
erros, ataques e desastres.
define
· Permissão de acesso a dados críticos e confidenciais
somente a usuários autorizados;
· Identificação, monitoração e reporte de vulnerabilidades
e incidentes de segurança;
· Detecção e solução de acessos não autorizados
às informações, aplicações e infraestrutura;
· Minimização do impacto de vulnerabilidades e
incidentes de segurança.
define
· Entendimento dos requisitos, vulnerabilidades e
ameaças de segurança;
· Gerenciamento padronizado das identidades e
autorizações de usuários;
· Definição de incidentes de segurança;
· Teste frequente de segurança.
medido por
direciona
medido por
direciona
medido por
Métricas
· Quantidade de incidentes com impacto em negócios;
· Quantidade de sistemas nos quais requisitos de
segurança não são alcançados;
· Tempo para criar, alterar e remover privilégios de
acesso.
· Quantidade e tipo de suspeitas e casos reais de
violação de acesso;
· Quantidade de violações de segregação de
funções;
· Percentual de usuários que não estão em conformidade
com os padrões de senhas;
· Quantidade e tipo de códigos maliciosos
prevenidos.
· Frequência e revisão dos tipos de eventos a
serem monitorados;
· Quantidade e tipo de contas obsoletas;
· Quantidade de endereços IP, portas e tráfegos
não autorizados;
· Percentual de chaves criptográficas comprometidas
e revogadas;
· Quantidade de direitos de acesso autorizados,
revogados, re-inicializados ou alterados.
© 2007 IT Governance Institute. Todos os direitos reservados. www.itgi.org
121