A prática de gerenciamento de segurança da informação existe com o propósito de proteger as informações necessárias para que a organização conduza seu negócio de forma segura e estável. No cenário atual de gerenciamento de produtos e serviços digitais (DPSM) introduzidos pela ITIL®5, essa capacidade funciona como uma armadura invisível que resguarda os ativos intelectuais, financeiros e operacionais contra desvios ou paralisações catastróficas.

Para compreender o funcionamento dessa capacidade de forma leve, o framework detalha conceitos que traduzem a segurança digital em ações do cotidiano:

• Ameaça: É qualquer evento potencial do mundo externo ou interno que possui a capacidade de causar um impacto negativo ou danificar um ativo da empresa, como uma tentativa de invasão.
• Agente de ameaça: Representa qualquer pessoa, grupo ou organização que dê origem ou execute essa força prejudicial contra os sistemas do negócio.
• Vulnerabilidade: É qualquer fraqueza ou brecha aberta em um ativo ou controle de defesa que possa ser descoberta e explorada por uma ameaça.
• Confidencialidade: Funciona como o segredo guardado a sete chaves. É a prevenção ativa para impedir que informações restritas vazem ou sejam divulgadas a pessoas ou entidades não autorizadas.
• Integridade: É a garantia de que as informações armazenadas são precisas, verdadeiras e confiáveis, assegurando que elas só possam ser modificadas por pessoal expressamente autorizado.
• Disponibilidade: É a característica que garante que a informação esteja pronta, funcional e acessível para ser usada exatamente no momento em que o negócio precisar dela.
• Autenticação: Representa a verificação prática e segura de que uma característica ou atributo que se afirma ser verdadeiro é, de fato, verdadeiro (como comprovar digitalmente que você é quem diz ser).
• Não repúdio: É a apresentação de uma prova inegável de que um evento aconteceu ou de que uma ação foi realizada, impedindo que alguém negue a autoria de uma transação ou assinatura digital.

Requisitos da Prática

Para cumprir o seu propósito de forma plena e humanizada, a organização precisa desenvolver e exercitar quatro requisitos essenciais de viabilização:

• Desenvolver e gerenciar políticas e planos de segurança da informação: Este requisito é vital porque define as regras do jogo e o comportamento esperado de todos. Sem planos e políticas claras, as equipes operam sem direção, abrindo brechas por falta de padronização.
• Mitigar riscos de segurança da informação: A importância deste pilar está na proatividade. Tratar as incertezas de forma antecipada reduz a probabilidade de ataques bem-sucedidos, mantendo as ameaças sob controle antes que causem prejuízos.
• Exercitar e testar planos de segurança: Um plano escrito no papel não garante proteção real em uma crise. Exercitar as defesas simula falhas sob estresse operacional, comprovando se o time está pronto para agir rápido e se as ferramentas funcionam sob pressão.
• Incorporar a segurança da informação em todo o sistema de valor de serviço: A segurança não pode funcionar como um puxadinho burocrático no final das entregas. Inseri-la organicamente em todas as etapas garante que os produtos nasçam protegidos desde a sua concepção, blindando o fluxo de ponta a ponta.

Processos da Prática Gerenciamento de segurança da informação

O fluxo operacional desta capacidade organiza-se estritamente em quatro processos integrados que controlam a esteira de defesa:

Planejamento e implementação da Segurança da Informação

Este processo estrutura as diretrizes macro seguindo estas etapas: Analisar a estratégia e o contexto da organização > Definir e acordar as políticas de segurança da informação > Realizar a avaliação de risco de segurança da informação > Definir e acordar os controles e planos de segurança da informação > Comunicar as políticas de segurança da informação e implementar os controles e planos de segurança da informação em toda a organização.

• Momento real de acionamento: Nasce a necessidade de executar este processo quando a empresa decide expandir as operações do aplicativo móvel greenCat para um novo país e precisa readequar suas políticas para cumprir as leis locais.
• Produto esperado: Políticas de segurança definidas, controles acordados e implementados em toda a estrutura.

Testes e exercícios de controles de segurança da informação

Este processo valida as defesas em ambiente controlado através de quatro passos: Planejar testes e exercícios > Preparar testes e exercícios > Realizar testes e exercícios > Revisar testes e exercícios.

• Momento real de acionamento: É ativado rotineiramente quando a equipe agenda uma simulação periódica de ataque de engenharia social ou um teste de invasão (pentest) na infraestrutura.
• Produto esperado: Relatórios de vulnerabilidades validados e planos de contingência devidamente testados e calibrados.

Gerenciamento de incidentes de segurança da informação

Este processo reage a incidentes reais através de três etapas ágeis: Detectar e atribuir > Triar e analisar > Conter e recuperar.

• Momento real de acionamento: Dispara imediatamente quando o sistema emite um alerta de que credenciais de administração sofreram uma tentativa de login suspeita a partir de uma localização não mapeada.
• Produto esperado: Ameaça contida com sucesso, dados protegidos e integridade do ambiente restaurada.

Avaliação e revisão de segurança da informação

Este processo audita a postura de defesa seguindo estes passos: identificar mudanças nos negócios, na tecnologia ou ameaças no ambiente > Identificar controles ausentes > Avaliar a efetividade dos controles > Criar relatório de avaliação.

• Momento real de acionamento: Ocorre quando a gerência decide integrar uma nova inteligência artificial preditiva ao pipeline de atendimento do service desk e precisa avaliar se a mudança introduz riscos arquitetônicos de vazamento.
• Produto esperado: O produto esperado no fim de cada ciclo desta prática é um ambiente operacional seguro, blindado e auditável, onde as informações fundamentais do negócio permanecem protegidas contra desvios, vazamentos e interrupções.

Recomendações para o sucesso da prática

As “Recomendações para o sucesso da prática” funcionam como orientações estratégicas fornecidas pelo framework para converter diretrizes abstratas em atitudes eficientes. Abaixo estão as orientações oficiais acompanhadas de exemplos que justificam sua importância:

• Fazer da segurança da informação uma responsabilidade de todos: É importante porque de nada adianta investir milhões em firewalls avançados se um colaborador clicar em um link malicioso em um e-mail falso, contornando toda a defesa tecnológica.
• Trabalhar em estreita colaboração com clientes e parceiros: Garante que os dados compartilhados com fornecedores permaneçam protegidos, vedando brechas na rede de serviços de ponta a ponta.
• Avaliar riscos, adaptar políticas à organização: Evita a cópia de manuais genéricos de mercado que não se encaixam na realidade da empresa, desenhando controles que respeitam o ritmo de trabalho real do time.
• Automatizar a detecção de anomalias e construa resiliência: Permite que os softwares de monitoramento bloqueiem acessos suspeitos em tempo real de forma automática, isolando o perigo muito antes que um analista humano possa ler o log do evento.

Métricas-chave

As métricas-chave representam os parâmetros quantificáveis que medem a conformidade, a velocidade e a cobertura real dos controles de defesa. No caso real dessa prática, elas evidenciam o nível de resiliência corporativa:

• Porcentagem de produtos/serviços com requisitos de segurança documentados: Revela o tamanho da cobertura transparente das regras sobre o catálogo ativo da empresa.
• Porcentagem de produtos/serviços com planos de segurança: Mostra quantas soluções vivas em produção possuem um roteiro de defesa estruturado.
• Atualizações pontuais dos planos de segurança: Mede a velocidade da equipe em atualizar seus manuais diante do surgimento de novas ameaças no mercado.
• Riscos de segurança analisados e avaliados: Quantifica a proatividade dos analistas em mapear falhas e vulnerabilidades estruturais de forma antecipada.
• Riscos de segurança mitigados a níveis aceitáveis: Comprova se os investimentos em ferramentas de proteção reduziram as incertezas aos limites tolerados pela diretoria.
• Planos de segurança testados: Avalia a regularidade das simulações de incêndio e testes de invasão executados no ambiente.
• Ações de Melhoria a partir dos testes do plano: Rastreia o volume de aprimoramentos que nasceram a partir das falhas mapeadas nos testes controlados.
• Órgão regulador discutiu segurança: Evidencia o grau de maturidade e conformidade regulatória demonstrado pela empresa durante auditorias externas oficiais.
• Fluxos de valor com etapas de segurança definidas: Mostra se as travas de proteção encontram-se nativamente integradas ao pipeline diário das squads.
• Práticas com segurança em fluxos/funções de processo: Mede o nível de maturidade da cultura de segurança dentro das atividades não técnicas do negócio.
• Atividades de melhoria com avaliações de segurança: Garante que nenhuma alteração ou upgrade de sistema seja realizado sem avaliar se o novo código cria vulnerabilidades.

Papéis-chave específicos da prática

Os papéis-chave específicos da prática definem a estrutura de propriedade, responsabilidade e caminhos de escalonamento necessários para guiar as operações sob estresse ou auditoria. Sob as diretrizes oficiais do framework, a execução concentra-se em dois papéis dedicados:

• Diretor de segurança da informação (CISO): O profissional encarregado de governar a estratégia macro, alinhar os investimentos às prioridades do negócio e responder perante o órgão de governança.
• Gerente de segurança da informação: O responsável por gerenciar a operação no cotidiano, coordenar testes, planejar a mitigação de riscos e conduzir o tratamento de incidentes de segurança.