2009-03-09
II - SGSI: as suas exigências normais
As exigências normais dos processos de certificação, já referidos, pressupõem o seguinte:
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
a) um departamento dedicado exclusivamente à segurança:
a.1. da rede informática;
a.2. dos dados informáticos;
b) nesse departamento deverá trabalhar pessoal especializado e dedicado, apenas, às questões de segurança;
c) a designação de responsáveis por cada área - da segurança informática -;
d) o poder absoluto desse departamento autorizar / interditar os acessos ao sistema;
e) estabilidade na escolha estratégica do sistema operativo e dos programas informáticos a instalar;
f) gestão efectiva de todo o sistema, assegurando a sua operacionalidade, tendo sempre presente uma visão global e a consciência dos objectivos procedimentais;
g) uma formação adequada em matéria de cultura de segurança informática de todos os utilizadores autorizados do sistema;
h) a disponibilização, a todos os utilizadores, de um manual de boas práticas e guias procedimentais rigorosos;
i) um sistema contínuo de rastreio e registo de operações;
j) um sistema de armazenamento de dados seguro;
k) um sistema informático redundante para funcionar imediatamente, em caso de falha do sistema principal, de modo a assegurar a segurança e integridade das operações;
l) testes regulares de integridade do sistema, com avaliação de resultados;
m) actualização constante dos perfis de segurança, de modo a assegurar o nível adequado de resposta aos novos perigos;
n) mapeamento de todo o hardware e software instalado na rede informática;
o) inibição de privilégios de administração local a todos os utilizadores;
p) cada utilizador deverá possuir um nível de (autorização de) acesso a dados que seja estritamente compatível com as suas atribuições e responsabilidades;
q) apenas o departamento de segurança poderá autorizar a instalação de novos aplicativos;
Etiquetas: certificação ISO, ISO 27002, SGSI
