Anais - Engenharia de Redes de Comunicação - UnB

Em 2009, criou-se o Programa de Auditoria e Garantia de Gestão de Identidade
(ISACA, 2009) com o objetivo de prover uma avaliação independente relacionada com
a eficácia da gestão de identidade, suas políticas, procedimentos e atividades de
governança através de uma revisão de auditoria. O foco desta revisão de auditoria está
relacionado nos padrões, guias e procedimentos, bem como na sua implementação e
governança sobre tais atividades.
De acordo com (ISACA, 2009) os domínios Planejar e Organizar (PO) e Entrega
e Suporte (DS) estão diretamente relacionados com a avaliação da gestão de identidade.
Para o primeiro domínio temos os controles Esquema de Classificação de Dados (PO
2.3) e Responsabilidade por Riscos, Segurança e Conformidade (PO 4.8). Para o
segundo domínio temos os controles Gestão de Identidade (DS 5.3) e Gestão de Contas
de Usuário (DS 5.4).
3.2. Open Information Security Management Maturity Model (O-ISM3)
O Open Information Security Management Maturity Model (O-ISM3, 2011) é
um framework para a criação, adaptação e operação de um Sistema de Gerenciamento
de Segurança da Informação (SGSI) desenvolvido pelo The Open Group. Ele define um
número gerenciável e coeso de processos de segurança da informação necessários para a
maioria das organizações. Para cada processo relevante, alguns controles de segurança
são identificados e atuam como partes essenciais do processo. Neste sentido, o ISM3 é
compatível com os padrões ISO/IEC 27000:2009, COBIT e ITIL(OGC, 2007).
De acordo com o O-ISM3, para serem efetivos, os processos de segurança da
informação de uma organização devem ser documentados, medidos e gerenciados. O
framework O-ISM3 define a maturidade de acordo com a execução de processos
essenciais para a segurança. A capacidade é definida em termos de métricas e práticas
gerenciais utilizadas. O framework exige que os objetivos de segurança e suas
responsabilidades sejam derivados dos objetivos de negócio, além de promover uma
medição formal da eficácia de cada processo de segurança.
A gestão de identidade e controle de acesso é uma das categorias de objetivos de
segurança essenciais para determinar os processos que compõe o sistema de gestão de
segurança da informação (SGSI) baseado no O-ISM3. Nesta pesquisa, foram
identificados quatro processos diretamente relacionados, são eles:
1. Definição das regras de divisão de responsabilidades (SSP-4): Através da
divisão das responsabilidades, é possível melhorar o uso dos recursos e
reduzir os riscos de incidentes por ameaças internas.
2. Inventário de Ativos (OSP-3): A operação do SGSI depende da
identificação e classificação dos ativos críticos da organização.
3. Controle de Acesso (OSP-11): Garante a proteção contra incidentes como,
por exemplo, espionagem, negação de responsabilidade, tentativa de
acesso não autorizado e divulgação da informação.
4. Registro de Usuários (OSP-12): Garante a proteção contra incidentes
relacionados com o cadastro errôneo e concessão inadequada de acesso
as informações da organização.
São três processos operacionais e um único estratégico. O SSP-4 é um processo
estratégico que tem a importante missão de separar a responsabilidade na execução de
processos de negócio críticos. O OSP-3 é responsável por classificar a informação e os
381