Implementação de um Sistema de Gestão de Segurança da Informação em Conformidade com a ISO/IEC 27001

Abstract

Este relatório de estágio surge no âmbito do Mestrado em Gestão na Faculdade de Economia da Universidade de Coimbra. O objetivo é apresentar as atividades desenvolvidas durante o estágio curricular, levado a cabo na consultora Pahl Consulting, Lda. A Pahl Consulting, Lda. foi contratada por uma entidade pública para estabelecer e implementar um sistema de gestão de segurança da informação (SGSI) que cumprisse os requisitos da norma ISO/IEC 27001. Um SGSI pode ajudar a que uma organização reduza os seus custos ao prevenir e tratar de forma eficaz os incidentes de segurança da informação. Ao cumprir os requisitos da norma ISO/IEC 27001, uma organização consegue não só assegurar a confidencialidade, integridade e disponibilidade das suas informações, mas também aperfeiçoar a sua performance operacional e de mercado. Com o auxílio das normas ISO/IEC 27002 e ISO/IEC 27005, é possível estabelecer, implementar e controlar um sistema de gestão do risco e os controlos de segurança da informação propostos pela norma ISO/IEC 27001 para responder aos seus requisitos. Na maior parte das vezes isso acontece através da criação de políticas e procedimentos que deverão ser adotados por toda a organização. Durante este estágio curricular foi desenvolvido um vasto conjunto de atividades, com particular destaque para a redação dos manuais de procedimentos, que pretendem estabelecer as políticas e os procedimentos que certificam o cumprimento dos controlos de segurança da informação por parte da organização que pretende adotar este SGSI. Para além disso, este relatório retrata, ainda, a metodologia de gestão do risco desenvolvida no âmbito deste projeto. A preocupação com a segurança da informação tem crescido nos últimos anos e espera-se que continue a aumentar. Assim, este relatório pode tornar-se relevante e útil para quem pensa adotar um SGSI e a certificação ISO/IEC 27001. Por outro lado, este estágio contribuiu para um valioso crescimento pessoal e profissional.

This report comes under the Master's in Management at the Faculty of Economics of the University of Coimbra. The objective is to present the activities developed during the curricular internship, which took place at Pahl Consulting, Lda. The Pahl Consulting, Lda. was contracted by a public entity to establish and implement an information security management system (ISMS) that complies with the requirements of the ISO/IEC 27001 standard. An ISMS can help an organization to reduce its costs by preventing and effectively handling information security incidents. By meeting the requirements of the ISO/IEC 27001 standard, an organization is able to not only ensure the confidentiality, integrity and availability of its information, but also improve its operational and market performance. With the support of ISO/IEC 27002 and ISO/IEC 27005, it is possible to establish, implement and control a risk management system and the information security controls proposed by ISO/IEC 27001 to meet its requirements. Most of the time this happens through the creation of policies and procedures that must be adopted by the entire organization. During this curricular internship, a wide range of activities was developed, with particular emphasis on writing the manuals aimed to establish the policies and procedures that certify an organization intending to adopt this ISMS in compliance with information security controls. In addition, this report also portrays the risk management methodology developed within the scope of this project. Concern about information security has grown in recent years and is expected to continue increasing. Thus, this report can become relevant and useful for anyone concerning of adopting an ISMS and ISO/IEC 27001 certification. On the other hand, this internship has contributed to a valuable personal and professional growth.