Deve conter, em linhas gerais, quem pode acessar o que, como devem ser protegidos os sistemas, os papeis e responsabilidades devem estar descritos, bem como o uso das ferramentas, por exemplo, o correio eletrônico, WEB, conexões externas, etc, em relação a privacidade das informações e demais restrições gerais.
O objetivo de uma política de segurança e garantir que todos os possíveis issues relacionados a segurança na organização sejam devidamente averiguados e endereçados, estabelecendo claramente a diretriz e alinhamento com as estratégias de negócio.
Baseia-se em analises de processos e riscos bem como no ambiente tecno-computacional, criando controles, procedimentos de auditoria e testes e contribuindo com o direcionamento do treinamento para a criação e manutenção de uma cultura de segurança na organização.
Itens básicos de uma política de segurança:
– Papeis responsabilidades e envolvimentos
– Riscos envolvidos
– Praticas estabelecida (controles, testes, auditoria, etc)
– Identificação de ameaças
– Técnicas empregadas para avaliação
– Regras de negocio e acesso a informação
– Impactos no caso do não cumprimento da política e/ou possível violação
– Detalhamento técnico (computacional) incluindo ambiente operacional e ferramentas (hardware e software)
– Plano de continuidade de negócios e recuperação no caso de desastre.
