Leis e regulamentos que regem a Ciber-segurança

ℹ️

RESUMO

• Há muitas razões para a introdução e implementação da ciber-segurança. As mais comuns incluem, por exemplo, consequências económicas negativas no caso de um ciberataque bem sucedido em que os dados sensíveis são roubados. Um ciberataque bem sucedido pode também comprometer as próprias operações e o funcionamento de uma organização, por exemplo, restringindo o acesso a sistemas informáticos ou a dados através de resgates. Outra razão para a introdução da ciber-segurança pode também ser a perda de credibilidade de uma organização atacada.
• Actualmente, o documento mais importante da União Europeia relacionado com a questão da ciber-segurança é a DIRECTIVA (UE) 2016/1148 DO PARLAMENTO EUROPEU E DO CONSELHO, de 6 de Julho de 2016, relativa a medidas para um elevado nível comum de segurança das redes e sistemas de informação em toda a União Europeia.
• Sistema de Gestão da Segurança da Informação (SGSI) é um conjunto de regras concebidas para manter a confidencialidade, integridade e disponibilidade da informação, aplicando um processo de gestão de risco e dando garantias às partes interessadas de que os riscos estão a ser geridos adequadamente.
• A solução ISMS requer uma abordagem sistémica e abrangente, respeitando os princípios e elementos de todo o ciclo de vida da ciber-segurança. O sistema de gestão do SGSI baseia-se no ciclo de Deming, ou também no ciclo PDCA (Plan-Do-Check-Act).
• ciclo PDCA é um dos princípios básicos de gestão baseado na melhoria gradual da qualidade dos processos, serviços, dados, produtos, etc., graças à repetição constante das suas quatro actividades básicas: Plan-Do-Check-Act.
• valor do risco é mais frequentemente expresso como uma função afectada pelo impacto, ameaça e vulnerabilidade. Por exemplo, a seguinte função pode ser utilizada para a auto-avaliação do risco: 

Risco = impacto * ameaça * vulnerabilidade

• Uma política de segurança é um conjunto de políticas e regras que determinam a forma de assegurar a protecção dos bens.
• A definição da segurança organizacional e especialmente a ancoragem da segurança cibernética ou das TIC dentro das estruturas já em funcionamento de uma organização é da maior importância para a possível gestão de ameaças ou ataques cibernéticos.
• Um bem é qualquer coisa que tenha um certo valor para uma pessoa, organização ou estado.
• Um activo auxiliar é um activo técnico, empregados e fornecedores envolvidos na operação, desenvolvimento, administração ou segurança do sistema de informação e comunicação.
• Um bem primário é a informação ou um serviço processado ou fornecido por um sistema de informação e comunicação.
• Business Continuity Management (BCM) é um processo baseado na identificação de elementos-chave (sistemas e processos) numa organização e, em seguida, a criação de processos e procedimentos para assegurar a continuidade ou renovação desses elementos, a um nível pré-definido em que ainda será possível executar tarefas básicas da organização.

🗝️

PALAVRAS-CHAVE A LEMBRAR

• Directiva SRI
• ISMS
• PDCA
• Ameaça
• Risco
• Impacto
• Vulnerabilidade
• Política de segurança
• Bens
• Segurança física
• Continuidade do Negócio

❓

PERGUNTAS DE VERIFICAÇÃO DE CONHECIMENTOS

• Definir ISMS.
• O que é o ciclo PDCA, e como é que se aplica?
• Que componentes podem ser incluídos na segurança física?
• O que é: Gestão da Continuidade do Negócio?
• Definir ameaça.
• Definir o risco.
• Definir o impacto.
• Definir vulnerabilidade.
• Definir activo.
• Que bens reconhecemos, e que tudo é um bem?