AULA PRÁTICA
Elaboração de uma Política de Segurança Hoje, vamos trabalhar na elaboração de uma Política de Segurança da Informação (PSI), algo essencial para qualquer empresa que deseja garantir a proteção de seus dados e cumprir com as regulamentações vigentes, como a Lei Geral de Proteção de Dados (LGPD). A segurança da informação não se resume apenas a ferramentas tecnológicas, mas envolve também regras e diretrizes bem definidas que devem ser seguidas pelos colaboradores de uma organização. Por isso, todas as empresas devem ter uma PSI bem estruturada. Nesta aula, vocês irão:✅ Criar uma Política de Segurança da Informação para uma empresa fictícia;✅ Analisar casos reais de falhas de segurança e avaliar se estavam em conformidade com boas práticas;✅ Simular a aplicação da LGPD dentro de um cenário corporativo, identificando riscos e propondo soluções. O objetivo é que vocês saibam como construir e aplicar uma PSI na prática, garantindo que as empresas estejam protegidas contra ameaças e cumprindo com a legislação. Agora, vamos começar! 🚀 Passo a Passo da Aula 1. Construção de uma Política de Segurança da Informação (1h 30min) 📌 Cenário: Sua equipe foi contratada por uma empresa fictícia para desenvolver a sua primeira Política de Segurança da Informação. Passos:1️⃣ Definir os objetivos da PSI: Por que a empresa precisa desse documento? Quais ativos (dados, sistemas, redes) precisam ser protegidos?2️⃣ Estabelecer regras e diretrizes: Criar normas sobre controle de acesso, uso de senhas, segurança de e-mails, uso de dispositivos pessoais etc.3️⃣ Incluir boas práticas e punições: O que acontece se um funcionário descumprir as regras? Como a empresa pode garantir a aplicação da política?4️⃣ Redigir um documento inicial: Os grupos devem escrever um esboço da PSI, estruturando os tópicos principais. 📢 Entrega: Cada grupo apresentará um resumo da PSI criada. 2. Estudo de Casos Reais e Análise de Conformidade (1h) 📌 Cenário: Vamos analisar casos reais onde empresas falharam na segurança da informação e enfrentaram multas ou vazamento de dados. Passos:1️⃣ O professor apresentará dois casos de vazamento de dados (exemplo: Facebook/Cambridge Analytica, vazamento de dados do Ministério da Saúde, ataque ransomware ao STJ).2️⃣ Em grupos, os alunos devem responder: Quais falhas de segurança ocorreram? Como uma Política de Segurança poderia ter evitado o problema? A empresa estava em conformidade com a LGPD?3️⃣ Cada grupo apresentará suas conclusões e discutiremos as melhores práticas para evitar esses incidentes. 3. Simulação de Aplicação da LGPD (1h) 📌 Cenário: Vocês são consultores de uma empresa que precisa se adequar à LGPD. A diretoria precisa de um plano de ação para garantir conformidade com a lei. Passos:1️⃣ Cada grupo recebe um cenário de uma empresa que coleta e armazena dados de clientes.2️⃣ Os alunos devem: Identificar possíveis riscos e falhas na empresa. Propor soluções para adequação à LGPD (ex: revisão de políticas, consentimento dos clientes, segurança dos dados). Criar um pequeno plano de ação com medidas práticas para a empresa seguir.3️⃣ Apresentação dos planos de ação e debate sobre os desafios da LGPD. 4. Fechamento e Reflexão (30 min) Resumo do que foi aprendido na aula. Discussão sobre os desafios das empresas para manter a segurança da informação. Perguntas e respostas sobre os conceitos aplicados. Resultados Esperados Ao final da aula, os alunos devem ser capazes de:✅ Criar uma Política de Segurança da Informação completa e realista.✅ Identificar falhas de segurança e sugerir boas práticas para evitá-las.✅ Compreender e simular a aplicação da LGPD no contexto empresarial. Agora, mãos à obra! 🚀💡
Política de Segurança da Informação – Empresa Fictícia ALUNOSTEC
1. IntroduçãoA Empresa ALUNOSTEC reconhece a importância da Segurança da Informação como fator essencial para a continuidade do negócio e proteção dos seus ativos digitais. Esta política estabelece diretrizes para garantir a confidencialidade, integridade e disponibilidade das informações da organização. 2. ObjetivoDefinir as regras e responsabilidades para proteger os dados institucionais e mitigar riscos relacionados a acessos indevidos, vazamentos e ataques cibernéticos. 3. EscopoEsta política se aplica a todos os funcionários, colaboradores, fornecedores e terceiros que tenham acesso aos sistemas e informações da Empresa ALUNOSTEC. 4. Diretrizes Gerais 4.1 Controle de Acesso Cada colaborador receberá um usuário único e intransferível para acesso aos sistemas internos. O acesso será concedido apenas conforme a necessidade do cargo. Senhas devem conter um mínimo de 8 caracteres, incluindo números e caracteres especiais, e serem alteradas a cada 90 dias. 4.2 Proteção de Dados Informações sensíveis devem ser armazenadas em servidores seguros e protegidas por criptografia. Documentos sigilosos não devem ser compartilhados sem autorização expressa. Uso de dispositivos pessoais para acesso aos sistemas internos só será permitido com autorização prévia. 4.3 Boas Práticas no Uso da Internet e E-mails Proibido acessar sites não autorizados ou instalar softwares sem aprovação do setor de TI. E-mails corporativos não devem ser utilizados para cadastros em sites externos não relacionados ao trabalho. Links e anexos suspeitos devem ser reportados imediatamente ao time de segurança da informação. 4.4 Plano de Resposta a IncidentesEm caso de incidente de segurança, os funcionários devem: Notificar imediatamente o setor de TI e Segurança da Informação. Seguir as orientações para mitigação do impacto. Registrar o incidente para análise e futuras prevenções. Seguir o protocolo de comunicação interna para incidentes críticos. 4.5 Auditoria e Monitoramento A empresa poderá monitorar acessos, logs de atividades e uso dos sistemas para garantir conformidade com esta política. Auditorias periódicas serão realizadas para avaliar vulnerabilidades e melhorias. A empresa realizará revisões trimestrais das permissões de acesso. 5. Responsabilidades Colaboradores: Devem seguir as diretrizes estabelecidas, proteger credenciais de acesso e reportar suspeitas de incidentes. Equipe de TI: Responsável por implementar medidas de segurança, monitorar sistemas e garantir a integridade dos dados. Gestores: Devem supervisionar suas equipes para garantir conformidade com a política. Comitê de Segurança: Responsável por revisar e atualizar a política periodicamente. 6. Gerenciamento de Incidentes Incidentes serão classificados em níveis: Baixo, Médio, Alto e Crítico. Para cada nível, serão definidos tempos de resposta e mitigação. Incidentes críticos devem ser reportados ao comitê de segurança e alta gestão imediatamente. 7. PenalidadesO não cumprimento desta política poderá resultar em advertências, suspensão ou desligamento, dependendo da gravidade da infração. 8. Atualizações e ValidadeEsta política será revisada periodicamente pelo Comitê de Segurança da Informação para garantir sua eficácia e conformidade com normativas vigentes. 9. Apêndices Modelo de relatório de incidente. Referências normativas (LGPD, ISO 27001). Lista de controles mínimos de segurança exigidos por cada setor. Esta política segue as melhores práticas abordadas na aula prática de Elaboração de Política de Segurança, garantindo um ambiente seguro para a Empresa ALUNOSTEC e seus colaboradores. 🚀
Saiba Mais
Elementos Essenciais de uma Política de Segurança da Informação A Política de Segurança da Informação (PSI) é um conjunto de diretrizes e regras que têm como objetivo proteger os dados e ativos digitais de uma organização contra acessos indevidos, vazamentos e outras ameaças cibernéticas. Para ser eficaz, a PSI deve conter os seguintes elementos essenciais: 1. Definição do Escopo A definição do escopo determina quais informações e ativos digitais serão protegidos e quem está sujeito à política. Isso inclui:✅ Dados sensíveis da empresa (documentos financeiros, dados de clientes, informações estratégicas).✅ Sistemas e redes utilizadas pelos colaboradores.✅ Equipamentos e dispositivos que armazenam ou processam informações.✅ Usuários afetados (funcionários, prestadores de serviço, terceiros com acesso à rede da empresa). Exemplo:"Esta política se aplica a todos os funcionários da empresa XYZ, incluindo colaboradores terceirizados e fornecedores, garantindo a proteção dos ativos digitais, como bancos de dados, servidores, estações de trabalho e sistemas corporativos." 2. Diretrizes de Segurança As diretrizes estabelecem normas e procedimentos para garantir a segurança da informação dentro da empresa. São as regras gerais que orientam as boas práticas de proteção dos dados. 🔹 Uso de senhas seguras: Definição de senhas fortes e política de troca periódica.🔹 Controle de acesso: Restrição de acesso baseado no nível hierárquico do colaborador.🔹 Classificação da informação: Definição de níveis de sigilo (público, interno, confidencial).🔹 Uso adequado da internet e e-mails corporativos: Proibição do acesso a sites não autorizados e cuidados com phishing. Exemplo:"Todas as senhas corporativas devem ter pelo menos 12 caracteres, incluindo números, letras maiúsculas e minúsculas e caracteres especiais. A troca da senha deve ocorrer a cada 90 dias." 3. Responsabilidades Este elemento define quem são os responsáveis por garantir a aplicação da política de segurança e quais são suas funções. Algumas responsabilidades incluem: 👤 Colaboradores: Devem seguir as normas estabelecidas, não compartilhar senhas e relatar incidentes de segurança.🛡️ Equipe de TI: Responsável pela implementação e monitoramento das regras de segurança.👨💼 Gestores: Devem garantir que suas equipes cumpram as diretrizes estabelecidas.⚠️ Auditores internos: Realizam verificações periódicas para garantir o cumprimento da política. Exemplo:"É responsabilidade dos funcionários manter a confidencialidade das informações acessadas durante suas atividades. O descumprimento pode resultar em sanções disciplinares." 4. Procedimentos Os procedimentos estabelecem passos detalhados para garantir a segurança da informação, ou seja, como cada regra será aplicada na prática. ✅ Criação e revogação de acessos: Processo de concessão e remoção de permissões de usuário.✅ Resposta a incidentes: O que fazer em caso de vazamento de dados, ataque hacker ou falha no sistema.✅ Backup e recuperação de dados: Definição da periodicidade e forma de armazenamento das cópias de segurança.✅ Política de descarte seguro: Procedimentos para a eliminação segura de documentos e equipamentos. Exemplo:"No caso de suspeita de ataque cibernético, o funcionário deve reportar imediatamente à equipe de TI, que investigará o incidente e tomará as medidas necessárias, como bloqueio de acessos e reforço de segurança." Conclusão Os elementos essenciais de uma Política de Segurança da Informação garantem que a empresa tenha regras claras para proteger seus dados e ativos digitais. Ao definir o escopo, diretrizes, responsabilidades e procedimentos, a organização reduz riscos e garante a continuidade do negócio de forma segura e eficiente. 🚀🔒