Auditorias de segurança da informação no EB: identificando a aderência da cartilha emergencial de SIC diante da norma ABNT NBR ISO/IEC 27002:2013

Abstract

RESUMO A intensa utilização da tecnologia da informação e comunicações (TIC) pelas Forças Armadas (FA) em todo o mundo criou uma nova dimensão de combate no campo de batalha, a cibernética. A TIC é utilizada como instrumento viabilizador para uma maior eficiência dos trabalhos desenvolvidos pelo Exército Brasileiro (EB), tanto em áreas meio como finalísticas, de modo a influenciar as atividades militares em seus diferentes níveis: operacional, tático e estratégico. Representantes militares e civis demonstram grande preocupação quanto à necessidade de auditar e controlar seus ambientes de TIC, devido à grande abrangência de sua utilização, a fim de garantirem o necessário nível de serviço (NS) de suas infraestruturas e serviços. O EB atribui ao Sistema de Telemática do Exército (SisTEx) a execução das atividades de auditoria de segurança de tecnologia da informação e comunicações. Atualmente, o EB, através dos Centros de Telemáticas (CT) e Centros de Telemática de Área (CTA), realiza auditorias baseando seus processos através das Instruções Reguladoras sobre Auditoria de Segurança de Sistemas de Informação (IRASEG/IR 13-09) e elaborando suas listas de verificação através dos procedimentos de controle existentes na Cartilha Emergencial de Segurança de Tecnologia da Informação e Comunicações (CESTIC), publicada pela Portaria nº 72 de 21 de novembro de 2011, do Comandante do Exército. Os controles de segurança da informação no meio civil foram reunidos através de publicações de normas técnicas elaboradas por organizações notoriamente reconhecidas pelas suas capacidades técnicas. Internacionalmente temos a International Organization for Standardization (ISO) e a International Electrotechnical Commission (IEC) que elaboraram em conjunto uma norma contendo um código de boas práticas para controles de segurança da informação, a norma ISO/IEC 27002:2013. Essa mesma norma foi traduzida nacionalmente pela Associação Brasileira de Normas Técnicas (ABNT) produzindo a ABNT NBR ISO/IEC 27002:2013. É notória a relevância do assunto relativo à auditoria de segurança de TIC nos meios militares e civis, devido à dependência de suas atividades em relação aos serviços e infraestruturas de TIC. Dessa maneira, é imprescindível deter o controle sobre o grau de proteção destinada à TIC, por meio de auditorias que garantam a possibilidade de mitigação de riscos e garantam os necessários NS. Neste cenário, o objetivo deste trabalho consiste em identificar e aplicar método de boa prática nos processos de Auditoria em Segurança da Informação, alinhado com as normas e legislações do Exército Brasileiro, comparando os procedimentos de controle da CESTIC e o que é recomendado pela ABNT NBR ISO/IEC 27002:2013.

ABSTRACT The intensive use of information and communications technology (ICT) by the Armed Forces (AF) throughout the world has created a new dimension of combat on the battlefield, cybernetics. ICT is used as an enabler for greater efficiency of the work developed by the Brazilian Army (EB) in both areas means as purposive, in order to influence the military activities at different levels: operational, tactical and strategic. Military and civilian representatives have shown great concern about the need to audit and control their ICT environments, due to the wide scope of its use, in order to ensure the necessary level of service (NS) of its infrastructure and services. The EB attaches to Telematic Army System (TASys) implementation of information and communications technology security audit activities. Currently, the EB through the Telematic Centres (CT) and Centers Area Telematics (CTA), conducts audits based its processes through the Regulatory Instructions on Audit of Information Systems Security (IRASEG / IR 13-09) and drafting their checklists through existing control procedures in the Emergency Handbook of Information and Communications Technology Security (CESTIC), published by Ordinance No. 72 of November 21, 2011, the Army Commander. Information security controls in civil means were gathered through technical standards publications produced by notoriously recognized for their technical capabilities organizations. Internationally we have the International Organization for Standardization (ISO) and International Electrotechnical Commission (IEC) that worked together on a standard having a code of practice for information security controls, ISO / IEC 27002 standard: 2013. The Brazilian Association of Technical Standards (ABNT) producing the ISO/IEC 27002 translated this same standard nationally: 2013. It is evident the relevance of the subject on the ICT security audit in the military and civilian, due to the dependence of their activities to the mandatory use of ICT services and infrastructure. Thus, it is essential to retain control over the degree of protection intended for ICT through audits to ensure the possibility of mitigating risks and ensuring the NS. In this scenario, the goal of this work is to identify and implement method of good practice in the process of Auditing Information Security, aligned with the rules and laws of the Brazilian Army, comparing the CESTIC control procedures and what the NBR ISO/IEC 27002:2013 recommends.