Sistema, programa e plano de segurança da informação: o que é cada um

Sistema, programa e plano de segurança da informação não são sinônimos, e confundi-los atrapalha a construção de uma proteção real. O sistema é o arcabouço teórico de tudo o que a organização precisa; o programa é como esse arcabouço é colocado em prática; e os controles são o coração operacional dessa implementação.

O sistema: a visão do todo

A família de normas ISO 27000, em especial a 27001 e a 27003, traz o conceito de sistema de gestão de segurança da informação. O sistema é o todo integrado: engloba desde entender o contexto em que a organização opera — o que ela faz, seus grandes processos de negócio, o valor que entrega e os riscos que isso traz — até a participação da liderança, o planejamento, a operação, a avaliação de desempenho e a melhoria contínua. Também abrange a gestão de riscos, as métricas e os controles de segurança, com as partes conversando entre si.

Embora seja um texto denso, ler a definição do sistema é valioso, sobretudo para quem está começando ou quer fazer uma reciclagem, porque dá a visão do todo antes de afunilar para as partes. É essa visão de conjunto que evita decisões isoladas e desconexas.

O programa: como colocar em prática

O programa é um pedaço desse sistema, com um caráter mais técnico e operacional. Ele envolve os controles e os grandes processos de segurança — gestão de incidentes, de acessos, de mudanças, de continuidade, de backup, entre outros. Se o sistema é a definição teórica de tudo o que precisa ser feito, o programa é como aquilo se materializa dentro da organização. E isso depende de muitos fatores: tamanho da organização, nível de risco, orçamento, quantidade e qualificação das pessoas.

Em algumas literaturas há ainda uma subdivisão, em que os controles ficam em um plano e o programa engloba esse plano. Na prática, é uma distinção teórica. O que importa reter é a hierarquia: o sistema é o arcabouço conceitual, o programa é a implementação e o plano detalha os controles.

Os controles são o coração do programa

Dentro do programa, a parte mais importante é a definição dos controles de segurança — as ações operacionais do dia a dia. São eles que respondem a perguntas como: como a rede será controlada, como se controla a identidade, como se faz o backup, como se conduz a conscientização. Como apoio, a Secretaria de Governo Digital disponibiliza publicamente um modelo de programa de governança em segurança da informação, com os tópicos que um programa deveria ter, e um guia de framework de privacidade e segurança da informação, que reúne os controles de forma prática e operacional.

O CIS: um checklist prático para começar

Entre os frameworks de controles, o CIS se destaca pela praticidade. Ele é construído por especialistas que observam, no mundo todo, as principais áreas de ataque e de vulnerabilidade das organizações e, a partir desse conhecimento, desdobram um conjunto objetivo de controles e ações — um verdadeiro checklist, inclusive com versão em planilha. Um de seus pontos fortes é trazer uma priorização embutida: como a lista de controles é extensa, ele os organiza em três grupos de implementação, sugerindo que quem está começando implemente o grupo 1, depois o 2 e o 3.

Há alternativas: o NIST é muito bom, porém mais complexo, e a ISO tende a ser menos prática e menos atualizada para esse fim. A escolha do framework é menos importante do que usá-lo como ponto de partida estruturado.

Principais pontos

• O sistema de gestão (ISO 27000) é o arcabouço teórico do todo integrado.
• O programa é a implementação prática, com os grandes processos e os controles.
• Os controles de segurança são a parte mais importante do programa.
• A Secretaria de Governo Digital oferece modelo de programa e guia de controles públicos.
• O CIS é um checklist prático, com priorização em três grupos de implementação.

Quer construir um programa de segurança da informação que traga proteção real, e não apenas papel? Conheça nossa formação em segurança da informação no setor público e capacite a sua equipe para focar no que protege de verdade.