Anais - Engenharia de Redes de Comunicação - UnB

ativos da organização, sendo considerada uma atividade essencial para uma política de
controle de acesso eficaz. O OSP 11 e OSP-12 são os tradicionais processos de gestão
de acesso e identidade.
3.3. Guia de Boas Práticas em Segurança da Informação do TCU
O Tribunal de Contas da União, com
a Administração Pública Federal,
em segurança da informação (Brasil, 2008). O guia tem como objetivo apresentar as
boas práticas para qualquer pessoa que se relacione de alguma forma com sistemas
informatizados, desde simples usuários até profissionais envolvidos diretamente com
segurança da informação.
O documento está dividido em quatro capítulos, que tratam o controle de acesso
lógico, a política de segurança de informações e o plano de contingência. Por fim, o
guia apresenta no quarto capítulo os comentários sobre a NBR ISO/IEC 27002:2005 e
Por ter sido escrito de forma abrangente, o guia apresenta informalmente
conceitos e controles relacionados com os assuntos pertinentes a cada capítulo.
Considerando o foco desta pesquisa, observa-se que as práticas envolvidas no controle
de acesso lógico de sistemas podem ser divididas em sete grupos de práticas, são elas:
Credenciamento, Autenticação, Gerenciamento de Sessões, Autorização,
Monitoramento, Administração de Usuários e Acesso e Políticas de Controle de Acesso.
3.4. Norma Complementar 07
O Departamento de Seguranc a da Informac
(DSIC) do
Gabinete de Segurança Institucional da Presidência da República (GSI-PR) aprovou a
Norma Complementar 07 que estabelece as diretrizes para a implementac
a da Informac
entidades da Administrac
A Norma Complementar 07 baseou-se amplamente nos controles definidos pela
ISO/IEC 27002:2005. Entretanto, ela faz uma clara distinção entre o controle de acesso
lógico e o físico. Para o controle de acesso lógico foram definidos três grupos de
diretrizes, são eles: Criação e Administração de Contas, Acesso a Rede de
Computadores e Ativos da Informação. Para o controle de acesso físico são definidos
quatro grupos de diretrizes: Acesso as Áreas e Instalações Físicas, Usuários, Ativos de
Informação e ao Perímetro de Segurança. O foco deste trabalho está orientado na
avaliação da organização quanto ao controle de acesso lógico, portanto, apenas as
diretrizes relacionadas controle de acesso lógico foram avaliados.
3.5. ISO 27002:2005
A ABNT NBR ISO 27002:2005 é a versão nacional do código de práticas para
gestão da segurança da informação. Historicamente, a norma derivou-se da BS7799-
1:1999 definida pelo BSI (British Standards Institution) no Reino Unido. Seu objetivo
é definir, de forma abrangente, um conjunto de controles que podem ser implementados
por uma organização. Segundo Calder; Watkins (2008), ela é utilizada como guia de
382