Anais - Engenharia de Redes de Comunicação - UnB

(A) Se os controles de acesso são identificados
com base na gestão de riscos de segurança da
informação e comunicações
x
(A) Se os direitos de acesso são
aprovados pelos proprietários das
informações
x
x
(A) Se são definidos termos de
responsabilidade para o uso dos recursos
(A) Se os direitos de acesso são documentados x x
(A) Se os recursos criptográficos utilizados são
homologados
Execução e Verificação
(O) Se a informação está classificada quanto ao
sigilo
(O) Se os proprietários da informação são
definidos
(O) Se o tempo de retenção da informação é
definido
(O) Se a classificação da informação é revisada
periodicamente
(T) Se os direitos de acesso são armazenados
em um repositório central
(T) Se o armazenamento das informações é
adequado
(T) Se o recurso oferecido utiliza canal seguro
de comunicação
(A) Se o processo de solicitação, concessão,
modificação e revogação de direitos de acesso
está definido
(A) Se existe um modelo para solicitação de
acesso
(A) Se a concessão de acesso é baseada na
segregação de funções
(A) Se os direitos de acesso são aprovados
pelos proprietários das informações
(A) Se o processo de revisão de concessão de
direitos de acesso é definido formalmente
Legenda: C = Cobit, O = OISM2, T = TCU, N = NC 07 e 2 = ISO 27002
x
x
x
x
x
x
x x x
x
x
x
x
x
x x x x
x
x
x
x
x
x
(A) Se o processo de revisão de
concessão de direitos de acesso é
definido formalmente
Execução e verificação
(O) Se os direitos de acesso são
concedidos baseados nos princípios
necessidade de conhecer, mínimo
privilégio e interesse do serviço
(O) Se os direitos de acesso são
revisados periodicamente
(O) Se existem relatórios de métricas
de acesso
Auditoria
Políticas e Procedimentos
(A) Se os eventos de auditoria são
previamente definidos
(T) Se são definidos mecanismos que
garantam a exatidão dos registros de
auditoria
Execução e Verificação
(T) Se o uso da identidade é registrado
(trilha de auditoria)
(O) Se as trilhas de auditoria do uso da
identidade são analisadas
(T) Se os usuários são identificados no
acesso as informações (trilhas de
auditoria)
(O) Se as trilhas de auditorias do
acesso as informações são analisadas
periodicamente
(T) Se os acessos são registrados para
oferecer rastreabilidade das ações
tomadas
x
x
x x x x x
x
x
x
x
x x x
As próximas subseções apresentam os resultados coletados sobre a
conformidade de uma organização com os controles identificados.
4.1. Gestão de Identidade
A Figura 1 apresenta os resultados obtidos dos controles relacionados com a
Gestão de Identidade Política e Procedimentos. Foram identificados 59% dos controles
como efetivos, 25% como insuficientes, 8% como não efetivos e 8% como não
aplicados. Quanto a Execução e Verificação foram identificados 60% dos controles
como efetivos, 20% como insuficientes, 20% como não aplicados e nenhum controle
como não efetivo.
x
x
x
x
x
x
Figura 1: Avaliação dos Controles da Gestão de Identidade
385