Política de Segurança
no Sistema FIESC
José Roberto Rodrigues Araújo
Luís Eduardo Lucca Bassan
Sistema FIESC



tem o objetivo de fortalecer a indústria catarinense
mantido pelas empresas catarinenses.
composto por cinco entidades:





Federação das Indústrias do Estado de Santa Catarina (FIESC)
Serviço Social da Indústria (SESI/SC)
Serviço Nacional de Aprendizagem Industrial (SENAI/SC)
Centro das Indústrias de Santa Catarina (CIESC)
Instituto Euvaldo Lodi (IEL/SC).
Introdução

A Política de Segurança é um documento
em que estão formalizadas todas as
regras de conduta para acesso aos
sistemas de informação, bem como para
administração da estrutura de segurança
desses sistemas
Objetivos

Definir o escopo da segurança das organizações.

Orientar, por meio de diretrizes, todas as ações de
segurança, para reduzir riscos e garantir a integridade,
sigilo e disponibilidade dos sistemas de informação.

Ser utilizada como ponto de referência para auditoria,
apuração da avaliação de responsabilidade.

Definir as responsabilidades pelo gerenciamento da
segurança da informação.
Abrangência

Esta política relaciona os requisitos de segurança de
informação com enfoque nos seguintes aspectos:








Classificação e controle dos ativos de informação.
Segurança do pessoal.
Gerenciamento das operações e comunicações.
Controle de acesso físico e segurança do ambiente.
Controle de acesso lógico.
Desenvolvimento e manipulação de sistemas.
Gestão da continuidade dos negócios.
Conformidades.
Classificação e controle dos ativos de informação.

conjunto de medidas e procedimentos que visam definir
e manter a proteção adequada aos ativos da
organização.




Todos ativos devem ser inventariados
Definição de responsáveis pelo controle
Nenhum ativo deve ser manipulado antes de ser inventariado
Tipos




de informação
de software
físicos
serviços
Segurança do pessoal.

conjunto de medidas e procedimentos de segurança necessários à
proteção dos ativos das entidades pertencentes ao Sistema FIESC
e que devem ser observados pelos prestadores de serviço e todos
os colaboradores.

Todos devem ser conscientizados, treinados e submetidos às regras
descritas na Política de Segurança

Sanções disciplinares

Acordo de confidencialidade

Notificação de incidentes ou falhas
Gerenciamento das operações e comunicações.

conjunto de medidas e procedimentos que visam
garantir a operação segura e correta dos recursos de
processamento da informação.

As informações devem ser tratadas e armazenadas conforme
seu grau de criticidade. Devem existir processos
documentados para a guarda e redundância da informação,
inclusive para aqueles com objetivo corretivo.

Instalação de software: autorizacão do responsável

Caixas postais com uso exclusivo para atender interesses da
organização

Proibida a inserçao de email coorporativo em malas diretas
que nao sejam de interesse institucional

Direito de recusa de mensagens

Não há invasão de privacidade (autorização o judicial)
Controle de acesso


Todo acesso a área física da organização é feita
através de controle eletrônico, crachá.
O colaborador só poderá abrir as portas no seu
horário de trabalho. Para outros horários apesas
com autorização do seu facilitador.
Controle de acesso



É proibido comer, fumar e beber próximo aos
equipamentos de informática.
Na necessidade de retirada de equiamento o usuário
deve se dirigir ao técnico responsável.
É responsabilidade do usuário:



não escolherem senhas óbvias;
não escrever senhas em papéis;
trocar de senha frequentemente...
Controle de acesso


Todo acesso do usuário ao sistema, e toda execução de
suas respectivas atividades, é passível de monitoração
e será checada pelo gestor da informação.
Para melhor desempenho a organização estabelece
uma série de restrinções aos dados que circulam.
Restrinções que, envolvem:



correio eletrônico;
FTP (upload e download);
portas TPC (utilizadas para programas de compartilhamento).
Desenvolvimento e Manutenção de Sistemas



Todos os sistemas deverão passar por uma avaliação
ergonômica. Nela serão verificados aspectos como
intuitividade, facilidade de uso, utilidade e interatividade
com o usuário.
Todos os usuários devem utilizar certificados digitais
para email, proporcionando autenticação das
mensagens.
Os usuários devem assinar seus emails utilizando seus
certificados digitais pessoais.
Gestão da Continuidade dos Negócios

É uma ação preventiva que visa prover a
organização de procedimentos, controles,
responsabilidades e regras, garantindo a
disponibilidade das informações e dos serviços
aos seus colaboradores, clientes e
fornecedores.
Conformidades


Todos os processos e procedimentos realizados
na/pela organização deverão estar de acordo
com normas e leis jurídicas vigentes.
objetivo é evitar a violação de qualquer lei
criminal, civil, estatutos, regulamentações ou
obrigações contratuais e de quaisquer requisitos
de segurança.