1.5 Política de segurança da informação Toda organização necessita minimizar os riscos de segurança por meio da implementação de uma política de se...

1.5 Política de segurança da informação
Toda organização necessita minimizar os riscos de segurança por meio da implementação de uma política de segurança da informação eficiente, de acordo com seus sistemas internos, cultura e necessidades. Esta política deve ser criada, preferencialmente, antes da ocorrência de um problema de segurança. Trata-se do estabelecimento de regras e padrões para assegurar a proteção das informações, de acordo com os critérios de confidencialidade, integridade e disponibilidade (CID).
É bem comum, no ambiente corporativo, que ao iniciarmos um projeto de segurança, os atores envolvidos tenham um desconhecimento geral dos ambientes e processos da instituição. Isto ocorre porque, normalmente, o pensamento coletivo de resolver um problema da maneira mais ágil possível, acaba por comprometer a gestão da segurança da informação. Esta cultura precisa ser modificada antes da implantação de uma política. É preciso também efetuar um trabalho de convencimento de que a política de segurança não se trata apenas de burocratizar um processo ou regra de negócio, mas sim de implantar níveis de controle de modo que possam priorizar a garantia da confidencialidade, integridade e disponibilidade das informações.
É comum também enfrentarmos resistência por parte dos usuários ao iniciarmos um projeto de implantação de política de segurança. Tal resistência deve ser vencida através da conscientização, com exemplos práticos de danos à instituição pelo comprometimento de ativos.
Todos os integrantes da organização, desde a alta cúpula até o estagiário, devem ter ciência de que a informação é um dos ativos mais importantes com o qual eles irão lidar no dia a dia. A alta administração possui um papel fundamental neste processo, pois sem o seu envolvimento, dificilmente se conseguirá implementar uma política de segurança da informação. Iremos estudar mais adiante, no capítulo 5, os aspectos humanos da segurança da informação, no qual iremos detalhar as responsabilidades de cada classe de colaboradores, pois somente com a instrução e consciência de cada um, a política de segurança da informação poderá obter sucesso em seus variados aspectos.
1.5.1 Etapas para o desenvolvimento de uma política de segurança da informação
Ferreira e Araújo (2008) estabelecem quatro fases para o desenvolvimento e implementação das políticas, normas e procedimentos de segurança da informação em uma organização. Vamos conhece-las?
a) Levantamento de informações, desenvolvimento do conteúdo da política e normas de segurança, elaboração dos procedimentos de segurança da informação e revisão, aprovação e implantação das políticas, normas e procedimentos de segurança da informação.
b) Levantamento de informações, desenvolvimento do conteúdo da política e normas de segurança, elaboração dos procedimentos de segurança da informação e divulgação da política de segurança da informação.
c) Levantamento de informações, desenvolvimento do conteúdo da política e normas de segurança, elaboração dos procedimentos de segurança da informação e treinamento dos colaboradores.