Information Security Management Professional ISO/IEC 27001 (ISMP)

Este módulo apresenta os conceitos básicos de governança (corporativa e de TI), visando criar um melhor entendimento das necessidades das empresas, facilitando o entendimento de quais devem ser os objetivos de Tecnologia da Informação e Segurança da Informação para que estas áreas estejam alinhadas às metas, missão e objetivos da alta gestão.

• Perspectiva do Negócio – Trata o papel da Segurança da Informação no negócio, e e capaz de distinguir os tipos de informação com base em seu valor para o negócio e explicar as características de um sistema de gerenciamento para segurança da informação.
  • Processos organizacionais
  • Conformidade legal e regulatória
  • Requisitos de privacidade
  • Arquitetura de segurança corporativa
  • due care
• Gestão do ciclo de vida da informação – Mostra o ciclo de vida da informação desde a criação, passando por sua classificação, categorização, propriedade, etc.
  • Tipos e classificação da informação
  • Papeis e responsabilidades de cada colaborador
• Perspectiva do Cliente – Aborda o ponto de vista do cliente sobre o controle da informação e a importância do controle da informação no processo de terceirização.
• Perspectiva do provedor de serviços / fornecedor – Aborda as responsabilidades do provedor de serviços de informação em garantir a segurança, os aspectos da segurança em processos de gerenciamento de serviços e atividades para conformidade do mesmo
  • Alinhamento dos requisitos de segurança
  • Afirmação de gestão da segurança
  • Certificação em segurança da informação
  • Auditoria de clientes

Este módulo demonstra os conceitos de análise de riscos, apetite e tolerância a riscos e todos os conceitos e as principais normas e frameworks para a avaliação e tratamento de riscos.

• Análise e avaliação de riscos – Apresenta os princípios de gerenciamento de risco, de acordo com a classificação de cada ativo.
  • Análise dos riscos (ameaças e vulnerabilidades)
  • Avaliação dos riscos (ativos tangíveis e intangíveis)
  • Análise quantitativa
  • Análise qualitativa
  • Análise semi-quantitativa
• Controles para tratamento do risco – Foca na escolha dos controles dos riscos com base nos requisitos de Confidencialidade, Integridade e Disponibilidade (CIA) de cada ativo e nos estágios do ciclo de vida do incidente além de escolher diretrizes relevantes para a aplicação dos controles.
  • Estudo da norma ISO IEC/27005
  • Seleção de medidas de tratamento
  • Retenção do risco
  • Redução de riscos
  • Compartilhamento/transferência de riscos
  • Eliminação do risco
• Riscos residuais – Aborda os riscos residuais e as estratégias para lidar com este risco através da:
  • produção de casos de negócios para controles
  • produção de relatórios sobre as análises de risco
• Comunicação do risco – Aborda a tradução dos riscos de segurança da informação em uma linguagem gerencial para atender os requisitos da gestão e governança da empresa
  • Risk Scorecard
  • Aceitação do risco

Este módulo aborda a criação de controles diversos para diminuir e monitorar o risco na organização, de acordo com o resultado da avaliação de riscos da empresa.

• O Sistema de Gestão da Segurança da Informação (SGSI) – Aborda a criação de um sistema de gestão contínua da segurança da informação, visando identificar e manter os riscos nos patamares desejáveis pela gestão e governança da organização.
  • Sistemas de gerenciamento para segurança da informação
  • O ciclo PDCA
  • Padrões de mercado (família ISO 27000, Cobit, etc)
  • Gestão de incidentes de segurança
  • Métricas de segurança
  • Conscientização dos colaboradores
• Controles Organizacionais – O aluno adquire conhecimento sobre controles organizacionais, e é capaz de redigir políticas e procedimentos de segurança da informação, implementar estratégias para gerenciamento de incidentes de segurança da informação, realizar uma campanha de conscientização na organização, implementar papeis e responsabilidades para segurança da informação:
  • Código de conduta
  • Política de Segurança da Informação
  • Procedimentos
  • Guias
  • Documentação
• Controles Técnicos – O aluno adquire conhecimento sobre controles técnicos e é capaz de explicar as arquiteturas de segurança, a finalidade dos serviços de segurança, e a importância dos elementos de segurança na infraestrutura.
  • Elementos da arquitetura de segurança
  • Princípios de desenho para serviços seguros (performance, gestão de capacidade, resiliência, funcionalidade, gerenciamento, etc)
  • Princípios de desenho para ambientes seguros (isolamento, mediação completa, resiliência, redundância, diversidade, etc)
  • Principais serviços de segurança (identificação, Autorização, Controle de acesso, hardening, etc)
• Controles Adicionais – Aborda os controles relacionados a segurança física, gestão de pessoas e desenvolvimento e teste de planos de continuidade de negócios. Dentre eles destacamos:
  • Código de conduta
  • Política de segurança da informação
  • Procedimentos de contratação
  • Conscientização e monitoração
  • Desligamento de colaboradores.