Governança da Segurança da Informação : uma proposta de uso combinado do CobiT e da ISO 27002 para sua implementação

Abstract

Atualmente, a informação possui um papel crucial no suporte aos processos e às operações de negócio das empresas. A gestão organizacional tem, portanto, dentre outras responsabilidades, a de proteger a informação de forma adequada, garantindo suas características de integridade, disponibilidade e confiabilidade, de maneira a permitir que ela cumpra fielmente sua finalidade. Entretanto, esta tarefa tem se tornado um desafio cada vez maior, visto que no ambiente altamente interconectado de hoje, a informação está sujeita a uma grande e crescente variedade de ameaças e vulnerabilidades. Apesar de ter grande importância para a continuidade dos negócios das organizações, a segurança da informação, muitas vezes, ainda é considerada como uma questão técnica e relegada ao departamento de TI. Uma abordagem ampla da segurança da informação defende a visão de que ela deve tratar a informação como um recurso crítico, que precisa ser levado tão a sério como qualquer outro de igual importância, representando mais um desafio à governança corporativa. Portanto, para se atingir segurança eficaz, executivos precisam estar envolvidos nos processos de avaliação de ameaças e estabelecimento de seus controles. Este trabalho terá, então, como tema a Governança da Segurança da Informação (GSI), esclarecendo seus conceitos e mostrando sua importância atual para as organizações. Ele também versará sobre princípios e melhores práticas que possibilitam sua implementação, estabelecendo, ainda, um comparação entre duas das mais conhecidas, o framework do CobiT e a norma ISO/IEC 27002:2005. Por fim, com base nas comparações estabelecidas e nas vantagens e desvantagens de se utilizar cada prática, será proposta uma alternativa de uso combinado de ambas para servir como base para a implementação da GSI nas organizações, a fim de se obter uma melhor utilização de recursos e um maior desempenho organizacional, bem como de se reduzir os riscos e os custos do negócio.