Governança da Segurança da Informação!

A questão da governança tem sido tratada do ponto de vista corporativo e do ponto de vista da tecnologia da informação. Pouco se fala da Governança da Segurança da Informação. Alguns profissionais vão dizer que a segurança está inserida na tecnologia da informação e conseqüentemente será considerada na sua governança. Esta é uma visão restrita considerando que a segurança da informação é mais abrangente do que a tecnologia, embora esse ambiente possua um grande percentual da informação relativa à organização. Precisamos entender que o conjunto dessas definições é uma forma de facilitar o entendimento dos conceitos. O que vai ser realmente efetivo é a execução desses conceitos pela organização de maneira profissional. Podemos definir como Governança da Segurança da Informação o conjunto de processos, controles e demais atividades com o propósito de garantir que: * a gestão do programa corporativo de segurança da informação está orientada aos objetivos de negócio; * exista uma avaliação contínua das políticas, padrões, procedimentos e riscos em segurança da informação; e * os riscos em segurança da informação estejam em níveis aceitáveis pela organização. Chamo atenção para que não façamos confusão da governança com a gestão da segurança. A gestão cuida da execução de uma maneira eficiente e eficaz das atividades previstas para o processo de segurança. A governança busca garantir que essa gestão atenda aos objetivos de negócio. Outra questão importante é que para existir esse alinhamento da governança da segurança com os objetivos de negócio, é necessário que a organização através dos seus executivos e a área de segurança através do gestor da segurança, ambos trabalhem efetivamente para esse alinhamento. É uma via de mão dupla. Uma política de segurança da informação assinada pelo presidente ou pelo executivo maior da organização já sinaliza uma ação concreta desse alinhamento. Outra ação que confirma esse alinhamento é a participação dos executivos quando da definição do nível de risco que a organização deve ser submetida. São ações concretas. Aproveitando, como está a governança da segurança da informação na sua organização? Edison Fontes, CISM, CISA. Gerente Sênior CPM Braxis, Participa ABSEG, ISACA e InfoSecCouncil. [email protected]