Políticas e Procedimentos

Políticas e procedimentos transformam a segurança de conhecimento restrito a poucas pessoas em uma prática repetível e aplicável. Eles definem o comportamento esperado, atribuem responsabilidades e fornecem as evidências que os auditores exigem.

Se algo não estiver documentado, não será possível aplicá-lo nem comprová-lo de forma consistente.

A documentação de segurança é organizada em camadas:

• Política: intenção e regras de alto nível (o que e por quê).
• Norma: requisitos obrigatórios específicos.
• Procedimento: instruções passo a passo.
• Diretriz: prática recomendada (opcional).

Mantenha a distinção clara:

• Uma política estabelece uma regra: as senhas devem ter pelo menos 12 caracteres.
• Um procedimento explica como fazer isso: as etapas exatas para configurar a política de senhas no provedor de identidade.

As políticas são estáveis; os procedimentos mudam conforme as ferramentas mudam.

A maioria dos programas inclui:

• Política de uso aceitável.
• Política de controle de acesso e identidade.
• Classificação e tratamento de dados.
• Política de resposta a incidentes.
• Continuidade de negócios e recuperação de desastres.

A AUP define o que os usuários podem e não podem fazer com os sistemas e dados da empresa. Ela abrange e-mail, internet, dispositivos e consequências para violações, e normalmente é confirmada durante a integração.

Uma política de controle de acesso formaliza o princípio do menor privilégio e a periodicidade das revisões.

• Como o acesso é solicitado e aprovado.
• Definições de funções e segregação de responsabilidades.
• Com que frequência o acesso é revisado e revogado (por exemplo, quando alguém deixa a organização).

Esta política define como a organização detecta, comunica e trata incidentes de segurança. Ela especifica funções, caminhos de escalonamento e regras de comunicação, para que uma crise siga um plano em vez de depender de improvisação.

Toda política precisa de um responsável que responda por mantê-la atualizada, além de responsabilidades claramente atribuídas. Sem um responsável, os documentos ficam desatualizados e perdem sua autoridade.

• O responsável aprova e mantém o documento.
• As partes interessadas o implementam e seguem.

Os documentos devem ser aprovados formalmente e ter suas versões controladas.

• Registre o autor, o aprovador, a data de aprovação e o número da versão.
• Acompanhe as alterações para que os auditores vejam o histórico.
• Defina um ciclo de revisão, normalmente anual.

Uma política que ninguém lê não tem valor. Distribua os documentos, treine a equipe e recolha confirmações de leitura. A conscientização transforma regras escritas em comportamento real e fornece evidências de aplicação.

As políticas precisam ser efetivas. Defina consequências para as violações e, sempre que possível, apoie-as com controles técnicos (por exemplo, aplique a norma de senhas no provedor de identidade, não apenas no papel). A aplicação consistente mantém a credibilidade da política.

A documentação torna a segurança repetível e comprovável:

• Use a hierarquia: política, norma, procedimento e diretriz.
• As políticas estabelecem regras; os procedimentos fornecem as etapas.
• Atribua responsáveis, aprove, controle versões e revise regularmente.
• Comunique, treine e aplique as regras para tornar os documentos efetivos.