As regras necessárias para manter a segurança das informações são identificadas e definidas por uma combinação de fatores, incluindo:
*
Políticas de segurança: Esses são documentos de alto nível que estabelecem a abordagem geral de uma organização para a segurança da informação. Eles definem os objetivos, princípios e responsabilidades relacionados à proteção de ativos de informação. Essas políticas geralmente se referem e incorporam outros padrões e diretrizes mais detalhados.
*
padrões: Essas são regras e especificações obrigatórias que definem como os controles de segurança são implementados. Eles fornecem requisitos e procedimentos técnicos específicos para atingir os objetivos estabelecidos pelas políticas de segurança. Por exemplo, um padrão pode ditar os requisitos mínimos de complexidade de senha.
*
Diretrizes: Essas são recomendações e melhores práticas que fornecem conselhos sobre como implementar os controles de segurança de maneira eficaz. Ao contrário dos padrões, as diretrizes não são obrigatórias, mas oferecem orientações valiosas para alcançar um nível mais alto de segurança. Eles podem oferecer métodos preferidos ou sugerir soluções para problemas comuns.
*
Procedimentos: São instruções passo a passo que detalham como executar tarefas específicas relacionadas à segurança da informação. Eles geralmente descrevem as ações necessárias para responder a incidentes de segurança, implementar controles de segurança ou gerenciar direitos de acesso.
*
Leis e regulamentos: Essas são regras e regulamentos juridicamente vinculativos que governam o tratamento de informações confidenciais. A conformidade com leis e regulamentos relevantes (como GDPR, HIPAA, CCPA) é crucial para organizações que lidam com dados pessoais ou informações de saúde protegidas. Isso afetará significativamente as políticas, padrões e procedimentos de segurança.
*
práticas recomendadas da indústria: Essas são técnicas e metodologias comumente aceitas que se mostraram eficazes na proteção de ativos de informação. Seguir as práticas recomendadas garante o alinhamento com os padrões do setor e reduz o risco de vulnerabilidades. Estruturas como a estrutura de segurança cibernética do NIST oferecem orientação nessa área.
Em resumo, um programa abrangente de segurança da informação define e identifica as regras necessárias através de uma combinação de políticas de alto nível, padrões detalhados, diretrizes de melhores práticas, instruções processuais e requisitos legais. Tudo isso trabalha juntos para criar uma postura de segurança robusta e eficaz.
