Política de Segurança: O Que É, Tipos e Componentes Principais

Quando você ouve a expressão “security policy”, várias coisas podem vir à mente — ataques cibernéticos, malware, violações de data breaches e similares. Embora esses sejam alguns motivos pelos quais uma organização pode criar políticas de segurança, uma política de segurança para uma organização abrange a proteção não apenas de seus ativos digitais, mas também de seus ativos físicos.

Então, o que é uma política de segurança? De forma simples, uma política de segurança é um documento escrito que aborda o acesso aos ativos físicos e digitais de uma organização. De acordo com o National Institute of Standards and Technology (NIST), as políticas de segurança esclarecem o que as organizações precisam fazer e por que é necessário. No entanto, essas políticas não entram nos detalhes de como as organizações devem alcançá-lo. Isso porque o como pode variar dependendo da situação e da tecnologia em uso.

Este artigo explica os elementos-chave de uma política de segurança e os diferentes tipos de políticas de segurança que as organizações podem estabelecer. Também fornece exemplos de políticas de segurança e responde a perguntas frequentes sobre políticas de segurança.

Componentes-chave de uma Política de Segurança

Uma política de segurança deve incluir os seguintes componentes importantes:

Finalidade da Política

Cada política de segurança deve cobrir apenas um assunto específico. A seção de finalidade explica por que a política de segurança existe e o que ela rege. Não existem regras estritas sobre como você deve escrever sua declaração de política ou qual deve ser o seu comprimento. O critério principal é que ela deve articular de forma eficaz e inequívoca o propósito fundamental da política de segurança.

Se necessário, esta seção pode incluir contexto adicional para a política. Por exemplo, pode explicar um problema específico que a política visa evitar, ou pode listar requisitos de conformidade que a organização deve atender.

Escopo e Aplicabilidade

Diferentes tipos de políticas de segurança cobrem diferentes aspectos da segurança. Portanto, é imperativo que você detalhe o escopo da sua política de segurança — os limites do que a política de segurança abrange e não abrange e onde suas regras se aplicam e não se aplicam.

Esta seção também deve definir a quem se aplica a política de segurança, como todos os funcionários, contratados e fornecedores terceirizados.

Diretrizes de Política

Este é o corpo da política. Deve listar claramente o que vários atores (funcionários, contratados, etc.) devem e não devem fazer.

As diretrizes devem ser independentes de tecnologia para que a política permaneça relevante e aplicável mesmo se sua organização mudar para diferentes aplicações, plataformas ou dispositivos. No entanto, as diretrizes da política geralmente precisam ser atualizadas quando há mudanças nos processos de negócios, riscos externos ou requisitos de conformidade.

Conformidade de Políticas

Uma política é tão boa quanto o mecanismo de feedback associado a ela. Essencialmente, esta seção deve responder a duas perguntas: “Como sabemos se a política está funcionando?” e “Como sabemos quando algo acontece que não está de acordo com a política?”

Esta seção também pode incluir diretrizes para o tratamento de exceções. Por exemplo, pode listar quem deve aprovar as exceções e os requisitos de limite de tempo para as exceções.

Também pode incluir uma declaração formal das consequências para a não conformidade. Certifique-se de consultar a sua equipe de RH se precisar adicionar este tipo de declaração à política.

Funções e Responsabilidades

A sua política de segurança também pode identificar os diferentes papéis associados e responsáveis pelas políticas e procedimentos de segurança. Não é necessário definir papéis comuns como Auditor ou CSO, apenas os papéis específicos para a política. Exemplos incluem os seguintes:

• Uma política de Data Security Posture Management pode precisar definir o papel do guardião dos dados.
• Uma política de resposta a incidentes pode definir o papel da equipe de resposta a incidentes de segurança.

Políticas e Procedimentos Relacionados

Esta é uma seção opcional que pode se referir a outras políticas relacionadas. Por exemplo, sua política de acesso remoto pode se referir às partes de sua política de gerenciamento de senhas que explicam como restaurar o acesso à rede perdido e redefinir uma senha esquecida.

Esta seção também pode incluir links para os procedimentos específicos que detalham como a política deve ser implementada.

Revisão e Atualização de Políticas

Por fim, cada política deve incluir uma declaração clara sobre quando e como será revisada e atualizada. Criar uma política de segurança não é um projeto único. À medida que as ameaças evoluem e sua organização muda, sua política também deve mudar. Você deve, portanto, delinear como conduzirá as revisões e atualizações da política e com que frequência fará isso.

Tipos de Políticas de Segurança

Existem vários tipos de políticas de segurança que sua organização pode utilizar dependendo de suas operações e missão. Fontes estabelecidas como SANS oferecem orientações valiosas e modelos para a criação de políticas de segurança.

Aqui estão algumas políticas de segurança que sua organização pode criar:

Política de Segurança da Informação

Uma política de segurança da informação é a base da política de segurança geral de uma organização. Ela fornece uma estrutura para esforços de segurança consistentes e coordenados, garantindo que todos os aspectos da informação, incluindo dados, tecnologia e pessoas, estejam protegidos.

Política de Segurança de Dados (Política de Proteção de Dados)

Uma política de segurança de dados é essencial para proteger dados sensíveis e confidenciais, que são um alvo primário para ataques cibernéticos. Garante que esses dados sejam manuseados apropriadamente e que a organização esteja em conformidade com leis de proteção de dados como a GDPR e a HIPAA. Aborda como os dados são coletados, armazenados, processados e compartilhados para manter sua confidencialidade, integridade e disponibilidade.

Política de Data Classification

A data classification policy outlines how your organization classifies the data it handles. It helps everyone understand the kinds of data in use and outlines the rules for handling it, and helps you ensure you have the right measures in place to protect the data appropriately.

As políticas de classificação de dados geralmente organizam os dados com base em finalidade e sensibilidade. A finalidade dos dados diz respeito ao motivo pelo qual você os possui e para que os utiliza. A sensibilidade avalia o quão críticos os dados são para as operações, reputação e responsabilidades legais da sua organização.

Política de Avaliação de Risco

Esta política define como identificar, avaliar e gerenciar os riscos associados às operações e ativos da sua organização. Ela normalmente destacará os seguintes detalhes:

• Os métodos e procedimentos para identificar e catalogar riscos potenciais
• Os critérios e processos para avaliar o impacto potencial e a probabilidade de riscos identificados
• Estratégias para reduzir, mitigar ou transferir riscos uma vez que são identificados e avaliados
• Quem é responsável por conduzir avaliações de risco, avaliar riscos e implementar medidas de mitigação
• Como os resultados da avaliação de riscos serão comunicados aos stakeholders relevantes, incluindo a frequência e o formato dos relatórios
• Com que frequência as avaliações de risco serão realizadas e com que frequência serão revisadas e atualizadas para se adaptarem a circunstâncias, tecnologias e ameaças em mudança

Política de Detecção de Incidentes

Esta política descreve os procedimentos e ferramentas utilizados para detectar incidentes de segurança na sua organização. É essencial para a detecção precoce e contenção de violações de segurança ou de dados. Define os tipos de incidentes, os papéis e responsabilidades pela detecção de incidentes e o uso de sistemas de detecção de intrusões (IDS), monitoramento de logs e outras ferramentas.

Política de Conscientização e Treinamento dos Funcionários

Os funcionários são frequentemente a primeira linha de defesa contra ameaças à cibersegurança. Portanto, uma política de conscientização e treinamento de segurança dos funcionários é crucial para gerenciar e prevenir incidentes de segurança. Esta política educa os funcionários sobre as melhores práticas de segurança, riscos e suas responsabilidades na manutenção de um ambiente de trabalho seguro. Ela delineia os requisitos, tópicos e frequência do treinamento. Também pode incluir medidas para testar a conscientização dos funcionários.

Política de Gestão de Senhas

Práticas robustas de senha ajudam a proteger informações sensíveis e sistemas de acesso não autorizado através do gerenciamento seguro de senhas. Isso inclui requisitos de complexidade de senha, políticas de expiração, regras de bloqueio de conta, armazenamento seguro e mais.

Para organizações que implementaram autenticação multifator (MFA), o gerenciamento de senhas pode ser parte de uma política de Autenticação de Usuário mais ampla que especifica quais sistemas e processos devem ser protegidos com MFA e lista quaisquer exceções.

Política de Acesso Remoto

Uma política de acesso remoto define as regras e procedimentos para como os funcionários acessam a rede e os recursos da sua organização fora do escritório. Ela determina quem é elegível para o acesso remoto, bem como os métodos de autenticação, requisitos de criptografia e medidas de segurança para dispositivos remotos.

Política de Email

O email é a forma mais comum de comunicação empresarial e os emails frequentemente contêm dados sensíveis. É, portanto, essencial ter uma política de email que proteja contra riscos relacionados ao email para segurança, privacidade e conformidade. Políticas de email especificam diretrizes de uso do email, requisitos de criptografia, manuseio de informações sensíveis e práticas aceitáveis de email.

Política de Bring-Your-Own-Device

Esta política rege o uso de dispositivos pessoais para fins de trabalho. Define os requisitos de segurança do dispositivo, regras de acesso e armazenamento de dados, e responsabilidades pela gestão do dispositivo.

Política de Uso Aceitável

Uma política de uso aceitável ajuda a manter a segurança da rede, proteger contra responsabilidades legais e garantir que os funcionários utilizem os recursos de forma responsável. Ela delineia práticas aceitáveis e inaceitáveis para os computadores da organização, redes e outros recursos, como o uso da internet, instalação de software e uso pessoal, como acessar redes sociais.

Política de Backup

Os backups são críticos para a recuperação de perda de dados, falhas de sistema e incidentes de segurança, portanto, é vital ter uma política que defina a estratégia da sua organização para backups regulares. Ela estabelece a frequência dos backups, os tipos de dados ou sistemas a serem copiados, locais de armazenamento e períodos de retenção de backup.

Política de Recuperação de Desastres

Uma política de recuperação de desastres bem definida ajuda uma organização a minimizar o tempo de inatividade e a perda de dados diante de desastres, estabelecendo procedimentos e estratégias para retomar as operações. Abrange a recuperação de dados e sistemas, bem como papéis e responsabilidades durante os esforços de recuperação.

Conclusão

Algumas organizações consolidam todos os aspectos da segurança em um único documento de política de segurança. Outras criam documentos de política distintos para cada aspecto específico da segurança. Independentemente da abordagem escolhida, certifique-se de que suas políticas sejam acionáveis e verificáveis.

Lembre-se de que não basta apenas criar políticas; você também precisa de implementação eficaz, aplicação e revisão regular para se adaptar às ameaças de segurança e tecnologias em evolução. Envolver os funcionários, fornecer treinamento e promover uma cultura consciente de segurança são igualmente importantes para alcançar os objetivos delineados em suas políticas de segurança.

FAQs

O que é uma política de segurança?

Uma política de segurança é um documento fundamental que descreve a abordagem da organização para proteger seus ativos digitais e físicos.

O que deve incluir uma política de segurança?

Uma política de segurança pode conter qualquer informação que ajude sua organização a proteger e governar seus ativos. No entanto, a maioria das políticas de segurança inclui os seguintes componentes:

• Propósito
• Escopo
• Requisitos de conformidade
• Revisar e atualizar o cronograma

Quais são exemplos de políticas de segurança?

Exemplos de políticas de segurança incluem:

• Política de segurança da informação
• Política de segurança de dados (data protection policy)
• Política de classificação de dados
• Política de avaliação de risco
• Política de detecção de incidentes
• Política de conscientização e treinamento de funcionários
• Política de gestão de senhas
• Política de acesso remoto
• Política de e-mail
• Política de traga seu próprio dispositivo
• Política de uso aceitável
• Política de backup
• Política de recuperação de desastres

Qual é o principal objetivo de uma política de segurança?

O principal objetivo de uma política de segurança é estabelecer uma estrutura de segurança de rede e um conjunto de diretrizes que definem como uma organização protegerá seus ativos, incluindo dados, sistemas, pessoal e recursos físicos.