O risco da meia segurança!

De forma semelhante à meia verdade, a meia segurança é uma ameaça para sabermos efetivamente o que precisamos: como organizações ou como pessoas.

Quando uma organização se detém apenas na verdade da meia segurança, esquece de tomar providencias para as vulnerabilidades da outra metade.

Cito abaixo alguns exemplos práticos de meia segurança. Aproveite e avalie a sua organização.

1. Política de segurança da informação.
a) Existe uma diretriz principal como política de segurança da informação? Sim.
b) Ela é formalizada, foi assinada pelo presidente e sem exceção todos seguem este regulamento? Não.

2. Acesso à informação
a) O acesso à informação é controlado? Sim.
b) O acesso é individual, intransferível? Não.

c) É registrado quando um funcionário recebe sua identificação e senha inicial? Sim.
d) Quando o funcionário deixa de ser funcionário, sua identificação é automaticamente bloqueada? Não.

e) O prestador de serviço tem identificação individual? Sim.
f) Quando um prestador de serviço acaba o contrato sua identificação é bloqueada no máximo em cinco dias? Não.

3. Plano de continuidade
a) Existe um plano de continuidade para o ambiente de TI? Sim.
b) Ele é testado totalmente a cada 12 meses? Não.

c) A área de negócio é envolvida nas situações de contingência da organização? Sim.
d) Foi feita uma análise de impacto respondida pela área de negócio para situações de indisponibilidade da informação? Não.

e. Existe treinamento para situações de contingência? Sim.
f. A direção executiva já participou de algum treinamento? Não.

4. Conscientização do usuário
a) Existe um treinamento obrigatório sobre segurança da informação? Sim.
b) O presidente e os executivos fizeram este treinamento? Não.

c) Existe um treinamento obrigatório sobre segurança da informação? Sim.
d) Os prestadores de serviço fazem este treinamento? Não.
Acreditem que essas respostas eu já identifiquei em várias organizações. Se você conhece outras perguntas e respostas semelhantes, envie para compartilharmos com todos.

Edison Fontes, CISM, CISA.
Consultor Executivo

Núcleo Inteligência Consultoria, Participa ABSEG, ISACA e InfoSecCouncil.
edison@pobox.com