Segurança da informação baseada no valor da informação e nos pilares tecnologia, pessoas e processos

Abstract

A informação tem se tornado algo cada vez mais importante para as organizações. Da mesma maneira que um ativo valioso demanda proteção, a informação deve ser protegida, principalmente contra as ameaças que afetam a sua integridade, a sua disponibilidade e a sua confidencialidade. Mesmo quando há preocupação com a segurança, em geral, os resultados obtidos não têm sido satisfatórios, acarretando prejuízos para organizações públicas e privadas, para cidadãos e, até mesmo, para nações. Assim, este estudo propõe um método de avaliação da segurança da informação baseado no valor da informação e nos pilares tecnologia, pessoas e processos. É proposta também, uma metodologia para a mensuração de cada um dos pilares, de tal forma que o possível desbalanceamento existente entre eles seja videnciado. A pesquisa está dividida em três etapas: I. Revisão de literatura sobre os aspectos que envolvem a segurança da informação, com vistas a situá-los no âmbito da ciência da informação e estabelecer a fundamentação teórica; II. Apresentação das proposições do autor; e, III. Compilação e análise dos resultados da aplicação da metodologia proposta, realizada com os bancos estaduais: Banrisul, Banestes, BRB, Banese e Banpará. Durante a pesquisa, pôde-se verificar de que maneira os gestores estimam o valor da informação e, se utilizam esse valor como subsídio para definirem os requisitos de sua proteção. Verificou-se, também, o equilíbrio entre os pilares que sustentam a segurança da informação em cada instituição pesquisada. Concluiu-se que o valor da informação contribui significativamente para a definição dos requisitos de segurança da informação e, que a informação tende a estar mais bem protegida quando os pilares tecnologia, pessoas e processos estão em equilíbrio. ______________________________________________________________________________ ABSTRACT

The information has become something increasingly important for organizations. Like a valuable asset demand protection, the information must be protected, particularly against the threats to its integrity, availability and confidentiality. Even when there is concern about security, in general, the results have not been satisfactory, causing damage to public and private organizations, to citizens and even nations. Thus, this study proposes a method of assessment of information security based on the information value and on the pillars technology, people and processes. It also proposed a methodology for the measurement of each pillar, such that the possible imbalance existing between them can be demonstrated. The research is divided into three steps: I. Review of literature on aspects that involve the information security, in order to situate them in the context of information science and to establish the theoretical ground II. Presentation the author propositions, and III. Compilation and analysis of survey results with state banks: Banrisul Banestes, BRB, Banese and Banpará. During the research, it could be checked how the managers estimate the value of information and if they use this value as an input to define the requirements to protect it. It also could be checked the balance between the pillars that support the information security at each research institution. It was concluded that the value of information contributes significantly to defining the information security requirements and that the information tends to be better protected when the pillars technology, people and processes are in equilibrium.