Segurança da Informação

Segurança da Informação (SI) refere-se ao conjunto de práticas, políticas e medidas adotadas para proteger os dados e informações contra acesso não autorizado, uso indevido, modificação, divulgação ou destruição não autorizada. A SI busca garantir a confidencialidade, integridade e disponibilidade das informações, bem como a autenticidade e não repúdio. No IFTO a SI é gerenciada a partir de um Sistema de Gestão de Segurança da Informação, demonstrado na figura 1. O SGSI-IFTO foi idealizado a partir das normas ABNT NBR ISO/IEC/27001:2022, ABNT NBR ISO/IEC/27002:2022 e Critical Security Controls Version 8.

sgsi

Figura 1 - Sistema de Gestão de Segurança da Informação (SGSI-IFTO)

Segundo a Instrução Normativa 3 de 28 de maio de 2021, a gestão de segurança da informação deve ser mantida e implementada de forma contínua, buscando manter o alinhamento com a evolução da tecnologia e de seus riscos, identificando os fatores internos e externos que podem impactar no alcance dos objetivos do órgão ou da entidade. Neste sentido, o IFTO definiu sua estrutura de gestão de SI, políticas, processos, normas complementares, programas, estratégia e planos.

Estrutura de Gestão de Segurança da Informação do IFTO

A gestão de segurança da informação no IFTO é estruturada conforme recomenda a Instrução Normativa emitida pela Presidência da República / Gabinete de Segurança Institucional nº 1, de 27 de maio de 2020 e Portaria SGD / MGI nº 852, de 28 de março de 2023.

I - Gestor de Segurança da Informação;

II - Gestor de Tecnologia da Informação;

III - Encarregado de Tratamento de Dados Pessoais;

IV - Responsável pela Unidade de Controle Interno;

V - Comitê de Segurança da Informação; e

VI - Equipe de Tratamento e Resposta a Incidentes Cibernéticos.

Políticas

1. Política de Segurança da Informação.

2. Política de Gestão de Ativos.

3. Política de Gestão de Controle de Acesso.

4. Política de Registro (logs) de Auditoria.

5. Política de Gestão de Vulnerabilidades.

6. Política de Backup.

Processos

1. Gestão de Vulnerabilidades.

2. Gestão de Incidentes de Segurança da Informação.

3. Gestão de Ativos de Informação.

4. Controle de Acesso à Informação e aos Ativos Associados à Informação.

5. Gestão de Mudanças.

6. Gestão de Continuidade de Negócios - Serviços de TI.

7. Recuperação / Restauração de Dados.

8. Gestão de riscos de segurança da informação.

9. Gestão de registros (logs) de auditoria.

10. Gestão de dados.

Normas

1. E-mail Institucional.

2. Uso Seguro de Computação em Nuvem.

3. Uso de Recursos de Tecnologia da Informação.

4. Uso de Laboratórios de Informática.

Programa e Estratégia

1. Programa de Conscientização, Educação e Treinamento em Segurança da Informação.

2. Estratégia de Uso de Software e de Serviços de Computação em Nuvem.

Planos

1. Plano de Gestão de Segurança da Informação.

2. Plano de Continuidade de Negócios - Serviços de TI.

Conscientização, Educação e Treinamento em Segurança da Informação

1. Cartilha de Segurança da Internet.

2. Perguntas de Segurança.

3. Engenharia Social.

4. Senhas seguras.

5. Senhas variadas.

6. Gerenciador de senhas.

7. Trabalho remoto com segurança.

8. Cuide de seu-mail.

9. Cuide de seus dados pessoais.

10. Backups de dados.

11. Não clique em links desconhecidos.

12. Boletos falsos.

13. Cuidado com cartão por aproximação.

14. Perfis falsos.

15. VPNs abusivas.

16. Redes sociais podem viciar.

17. Não utilizar informações pessoais que estão públicas.

18. Lixo eletrônico.

19. Permissões de aplicativos.

20. Computação em nuvem.

21. Login social.

22. Aplicativos podem ter falhas que facilitam ataques.

23. Vazamento de dados.

24. Proteção de dados.

25. Material Conscientização.

Incidentes de Segurança da Informação

Relatar incidentes de segurança da informação

Referências

ABNT NBR ISO/IEC/27001. Segurança da Informação, segurança cibernética e proteção à privacidade: sistemas de gestão de segurança da informação. Requisitos. ABNT, 2022.

ABNT NBR ISO/IEC/27002. Segurança da Informação, segurança cibernética e proteção à privacidade: controles de segurança da informação. ABNT, 2022.

BRASIL. Presidência da República. Gabinete de Segurança Institucional. Instrução Normativa nº 1, de 27 de maio de 2020. Dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da administração pública federal.

BRASIL. Presidência da República. Gabinete de Segurança Institucional. Instrução Normativa nº 3, de 28 de maio de 2021: dispõe sobre os processos relacionados à gestão de segurança da informação nos órgãos e nas entidades da administração pública federal.

BRASIL. Presidência da República. Ministério da Gestão e da Inovação em Serviços Públicos. Secretaria de Governo Digital. Portaria SGD/MGI Nº 852, de 28 de março de 2023. Dispõe sobre o Programa de Privacidade e Segurança da Informação.

Center for Internet Security. CIS Critical Security Controls Version 8. Disponível em: https://www.cisecurity.org/controls/v8.

Cidadão na rede. Disponível em: https://cidadaonarede.nic.br/pt/ Acesso em: 18 de dezembro de 2023.

Cartilha de Segurança da Internet. Disponível em: https://cartilha.cert.br/fasciculos/ Acesso em: 18 de dezembro de 2023.