O que o empresário/acionista deve saber?

O que o empresário/acionista deve saber sobre segurança da informação?Os empresários e de forma equivalente os acionistas, defendem suas organizações com unhas e dentes. Afinal boa parte da vida de cada um está materializada na organização que criou, investiu e/ou comanda. Mais do que os melhores executivos, os empresários e os acionistas estão comprometidos com o negócio. Os executivos normalmente são muitos envolvidos, mas ficam nesse patamar. Se você não sabe a diferença, pense na composição ovos com bacon: a galinha está envolvida, mas o porquinho está comprometido.Desta forma, relaciono abaixo as principais recomendaçoes relativas à segurança da informação que devem ser seguidas. Neste momento não detalho qual a abordagem teórica ou melhor prática que tomo por base. É uma lista direta de considerações e ações sobre o assunto. Estas recomendações e observações servem para todos, mas com certeza os empresários e acionistas são os maiores interessados.1. Nenhuma organização pode ser administrada e atingir seus objetivos, sem informação. A informação é um bem crítico para a realização do negócio. Desta forma proteja a informação. Exija que seus executivos implementem um processo de segurança da informação profissional, competente, eficaz e eficiente.2. O processo de segurança da informação deve ter autonomia.Garanta que a área de segurança da informação tenha um nível hierárquico adequado. Somente com autonomia os riscos e vulnerabilidades serão explicitados, possibilitando dessa forma a tomada de decisão pelo nível hierárquico adequado.3. Proteja a informação! Tecnologia é uma forma de uso da informação!O processo de segurança da informação deve proteger a informação do ambiente de tecnologia bem como a informação no ambiente convencional. Sendo assim, segurança da informação é mais de que segurança dos computadores e outros elementos de tecnologia.4. Defina a área de segurança da informação fora da área de informática.Considerando os dois itens anteriores, a área organizacional responsável pela segurança da informação deve estar fora da área de informática. Se ela estiver hierarquicamente embaixo da área de informática, não quer dizer que será um fracasso. Mas significa que terá uma atuação limitada. Por exemplo, muitas empresas não possuem identificação individual em certos ambientes de tecnologia porque têm que pagar mais por licenças e isso impactaria o resultado financeiro da área de informática. Neste caso a segurança ficará comprometida.5. Defina um gestor para o processo de segurançaCriar um processo de segurança da informação, manter o mesmo e fazer as devidas adapatações para a organização (característica do negócio, clima organizacional, legislação, requisitos das norma de segurança e limitações de recursos) exige um gestor experiente. Para essa função, experiência e vivência em segurança da informação é fundamental para que a organização tenha um processo eficiente, eficaz e efetivo. Caso contrário terá uma solução padrão que alguem sem a bagagem necessária, leu e resolveu implementar na organização.6. É necessário saber o nível de proteção atualExija que todos os aspectos, eu chamo de dimensões, da segurança da informação estejam contemplados e que exista uma explicitação do nível de proteção da organização e transparência (interna à organização) das vulnerabilidades existentes na proteção da informação.7. É necessário planejar a melhoria do nível de proteção.Cada organização deve ter definido o seu nível de proteção adequado e deve ter planejado como alcançará (e manterá) esse nível de proteção. É fundamental um plano de ações de curto médio e longo prazo.8. Invista nas pessoasPara uma proteção adequada da informação na organização é necessário investimento nas pessoas, realizando um processo de conscientização e treinamento em segurança da informação. Os usuários da informação (funcionários, prestadores de serviço, estagiários e até os executivos) precisam ser treinados e conscientizados para tratar a informação com o profissionalismo que ela exige, pois é um dos bens mais preciosos da organização.9. Lembre-se que o mercado é uma guerraNesta guerra do mercado, seja qual for o segmento da organização, a informação é um elemento que fortalece a organização e é um recurso que os concorrentes desejam conhecer. A organização precisa estar preparada para não cometer erros e doar informações para os seus concorrentes, bem como precisa estar preparada para enfrentar concorrentes desleais que vão tentar de qualquer maneira ter acesso às informações da sua organização.10. Esteja pronto para o inesperado.Precisamos sair do estágio amador de que “desastres só acontecem com os outros”, para o estágio de tratar profissionalmente situações de indisponibilidade da informação. Planos de continuidade de negócio devem ser desenvolvidos de forma adequada para cada organização. Proteger a informação é proteger o negócio e o investimento feito pelos empresários e acionistas. Achar o nível adequado é tratar o assunto profissionalmente. Proteja seu investimento!Edison Fontes, CISM, CISA.Consultor ExecutivoNúcleo Inteligência Consultoria, Participa ABSEG, ISACA e InfoSecCouncil.[email protected]O mundo pode ser mais seguro! Proteja suas informações!