7.2. Papéis e Responsabilidades

Desenvolver claramente os papéis e responsabilidades dentro da estrutura de segurança cibernética é fundamental para garantir que todas as áreas críticas sejam cobertas e que haja uma distribuição adequada de tarefas e responsabilidades.

Chief Information Security Officer (CISO)

• Descrição do Papel: O CISO é o líder responsável pela estratégia de segurança cibernética da organização, supervisionando todas as iniciativas de segurança e gerenciando a equipe de segurança.

• Responsabilidades Principais:

  • Desenvolver e implementar a estratégia de segurança cibernética da organização.

  • Avaliar constantemente as ameaças cibernéticas e implementar controles para mitigar riscos.

  • Garantir conformidade com regulamentações de segurança e privacidade de dados.

  • Supervisionar a resposta a incidentes de segurança e planos de continuidade de negócios.

  • Relatar regularmente à alta administração sobre o estado da segurança cibernética e as iniciativas em andamento.

Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR)

A Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) é um grupo especializado dentro da organização, responsável por monitorar, identificar, responder e mitigar incidentes de Segurança cibernética. A função principal da ETIR é garantir que a organização esteja pronta para lidar de forma eficaz com a dinâmica das ameaças digitais, minimizando os impactos e reduzindo os riscos de exposição de dados, informações e sistemas críticos.

A ETIR integra a estratégia de cibersegurança de uma organização, assegurando que ela esteja preparada para enfrentar e responder de maneira eficaz às ameaças cibernéticas em constante evolução. Sua atuação ajuda a minimizar os riscos e a manter a integridade das operações e dos ativos de informação.

A Política Nacional de Segurança da Informação, estabelece que as organizações da Administração Pública Federal devem instituir e implementar uma ETIR:

"Art. 15. Aos órgãos e às entidades da administração pública federal, em seu âmbito de atuação, compete: VII – instituir e implementar equipe de tratamento e resposta a incidentes em redes computacionais, que comporá a rede de equipes formada pelos órgãos e entidades da administração pública federal, coordenada pelo Centro de Tratamento de Incidentes de Redes do Governo do Gabinete de Segurança Institucional da Presidência da República;"

A Request for Comments (RFC) 2350 estabelece padrões para a descrição de Equipes de Tratamento e Resposta a Incidentes. O documento estabelece a forma como as Equipes devem apresentar suas informações e capacidades ao público e a outras entidades, conforme publicado em: https://datatracker.ietf.org/doc/html/rfc2350

2. O principal objetivo da RFC 2350 é definir um formato consistente para a documentação das operações, serviços e políticas das ETIR, disponibilizando informações sobre suas funções, tipos de incidentes que lidam, formas de contato e outros dados relevantes.

(Sugestões de links do Centro Integrado de Segurança Cibernética do Governo Digital: Implantação de ETIR e ETIR as a Service, onde você também pode ver os serviços disponíveis e fazer solicitações.)

Equipe de Segurança Cibernética

• Analista de Segurança: Responsável por monitorar e analisar sistemas de segurança para detectar possíveis ameaças e vulnerabilidades. Realiza investigações em caso de incidentes de segurança.

• Engenheiro de Segurança: Encarregado de projetar, implementar e manter medidas de segurança cibernética, como firewalls, sistemas de detecção de intrusões (IDS), e políticas de segurança de rede.

• Especialista em Forense Digital: Realiza investigações forenses em caso de incidentes de segurança, coletando e analisando evidências digitais para determinar a causa e impacto do incidente.

• Analista de Risco: Avalia continuamente os riscos de segurança cibernética enfrentados pela organização, identificando e priorizando áreas críticas que requerem mitigação.

Equipe de TI e Outros Departamentos

• Administrador de Sistemas: Implementa patches de segurança, configurações de segurança e medidas de proteção em sistemas e aplicativos.

• Desenvolvedores de Software: Responsáveis por incorporar práticas de segurança no ciclo de vida do desenvolvimento de software, garantindo que os aplicativos sejam seguros desde o início.

• Usuários Finais: Têm a responsabilidade de seguir as políticas de segurança da organização, participar de treinamentos de conscientização e relatar qualquer atividade suspeita.

Alta Administração e Stakeholders

• CEO e Diretoria Executiva: Fornecem suporte e direção estratégica para iniciativas de segurança cibernética, garantindo que recursos adequados sejam alocados e que a segurança cibernética seja uma prioridade organizacional.

• Comitê de Segurança Cibernética: Supervisiona as atividades de segurança cibernética, revisa políticas e procedimentos, e fornece orientação estratégica.

Benefícios da Definição Clara de Papéis e Responsabilidades

• Clareza de Funções: Garante que cada pessoa compreenda suas responsabilidades específicas em relação à segurança cibernética.

• Eficiência Operacional: Facilita a coordenação entre equipes e departamentos, promovendo uma abordagem integrada e eficaz para a segurança.

• Responsabilidade Accountability: Promove a responsabilidade individual e coletiva pela segurança cibernética dentro da organização.

Desafios e Considerações

• Evolução das Ameaças: Manter os papéis e responsabilidades atualizados para lidar com novas ameaças cibernéticas e tecnologias emergentes.

• Cultura Organizacional: Fomentar uma cultura de segurança cibernética onde todos os funcionários entendam e apoiem iniciativas de segurança.

• Colaboração Interdepartamental: Promover a colaboração eficaz entre equipes de segurança cibernética, TI e outros departamentos para garantir uma defesa holística contra ameaças cibernéticas.

Conclusão

Definir claramente os papéis e responsabilidades dentro da estrutura de segurança cibernética é essencial para o sucesso das iniciativas de proteção de dados e mitigação de riscos. Ao atribuir responsabilidades específicas, garantir clareza de funções e promover uma cultura de segurança cibernética, as organizações podem fortalecer sua postura de segurança e responder de forma eficaz às ameaças digitais em constante evolução.