{"id":7660,"date":"2015-10-21T09:54:19","date_gmt":"2015-10-21T09:54:19","guid":{"rendered":"https:\/\/multiacademstg.wpengine.com\/27001academy\/?p=7660"},"modified":"2022-07-17T15:43:27","modified_gmt":"2022-07-17T15:43:27","slug":"gestao-de-projetos-iso-27001-implementando-controles-de-seguranca-complexos-usando-estrutura-analitica-de-projeto-eap","status":"publish","type":"post","link":"https:\/\/advisera.com\/27001academy\/pt-br\/blog\/2015\/10\/21\/gestao-de-projetos-iso-27001-implementando-controles-de-seguranca-complexos-usando-estrutura-analitica-de-projeto-eap\/","title":{"rendered":"Gest\u00e3o de projetos ISO 27001: Implementando controles de seguran\u00e7a complexos usando Estrutura Anal\u00edtica de Projeto (EAP)"},"content":{"rendered":"<p>O que situa\u00e7\u00f5es t\u00e3o diversas quanto a Batalha de Trafalgar (1805), o algoritmo Cooley\u2013Tukey para FFT 1965), e a competi\u00e7\u00e3o em multimercados t\u00eam em comum? Elas s\u00e3o todos exemplos de problemas grandes ou complexos divididos em peda\u00e7os menores e mais gerenci\u00e1veis para se alcan\u00e7ar uma solu\u00e7\u00e3o vencedora. Esta \u00e9 uma estrat\u00e9gia chamada \u201cDividir e Conquistar\u201d.<\/p>\n<p>Como na guerra, em processamentos de sinais, e competi\u00e7\u00e3o de Mercado, a seguran\u00e7a da informa\u00e7\u00e3o tamb\u00e9m lida com uma situa\u00e7\u00e3o complexa: proteger a informa\u00e7\u00e3o e todas as suas formas e em todos os lugares onde \u00e9 armazenada ou por onde passa. Neste artigo, apresentarei a voc\u00ea um conceito baseado em \u201cdividir e conquistar\u201d que pode ser muito \u00fatil, especialmente para organiza\u00e7\u00f5es grandes, ao se implementar controles de seguran\u00e7a da <a href=\"\/27001academy\/pt-br\/o-que-e-a-iso-27001\/\" target=\"_blank\" rel=\"noopener\">ISO 27001<\/a>: A Estrutura Anal\u00edtica de Projeto (EAP).<\/p>\n<h2 style=\"padding-top: 10px; padding-bottom: 10px;\">O que \u00e9 uma Estrutura Anal\u00edtica de Projeto?<\/h2>\n<p>Origin\u00e1ria de pr\u00e1ticas de gerenciamento de projeto, a Estrutura Anal\u00edtica de Projeto (Work Breakdown Structure &#8211; WBS) \u00e9 definida pelo corpo de conhecimento em gerenciamento de projetos (Project Management Body of Knowledge &#8211; PMBoK) como \u201cuma decomposi\u00e7\u00e3o do trabalho a ser executado pela equipe de forma hier\u00e1rquica e orientada a entrega\u201d.<\/p>\n<p>Uma entrega \u00e9 qualquer objeto tang\u00edvel ou intang\u00edvel produzido por um projeto que \u00e9 destinado a ser entregue a um cliente. Exemplos de entregas s\u00e3o um produto, um servi\u00e7o ou dados. Entregas podem ser decompostas em m\u00faltiplas entregas menores, tamb\u00e9m chamadas de componentes (ex.: partes de um produto, funcionalidades de um servi\u00e7o ou cap\u00edtulo de um relat\u00f3rio).<\/p>\n<p>Normalmente, uma EAP \u00e9 apresentada graficamente na forma de uma \u00e1rvore de elementos, com a entrega principal no topo, os componentes da entrega no meio, e listas de atividades para produzir as entregas na parte final. Outra forma de apresentar uma EAP \u00e9 em uma lista endentada. Veja exemplos destas apresenta\u00e7\u00f5es ao final do artigo.<\/p>\n<p>Em termos de informa\u00e7\u00f5es, entregas e componentes s\u00e3o especificados em termos de requisitos a serem atendidos, enquanto atividades s\u00e3o especificadas em termos de recursos necess\u00e1rios, tais como tempo, equipamento e custo.<\/p>\n<p>No contexto de <a href=\"\/27001academy\/pt-br\/documentation\/declaracao-de-aplicabilidade\/\" target=\"_blank\" rel=\"noopener\">controles<\/a>\u00a0de seguran\u00e7a da ISO 27001, podemos ter os seguintes exemplos de entregas:<\/p>\n<ul>\n<li>Produto: sala segura para um data center<\/li>\n<li>Servi\u00e7o: servi\u00e7o de monitoramento de tr\u00e1fego de rede<\/li>\n<li>Dados: banco de dados de invent\u00e1rio de ativos<\/li>\n<li>Atividade: configurar servidor<\/li>\n<\/ul>\n<h2 style=\"padding-top: 10px; padding-bottom: 10px;\">Princ\u00edpios para concep\u00e7\u00e3o<\/h2>\n<p>Ao usar uma EAP para planejar um controle de seguran\u00e7a, algumas regras deveriam ser seguidas para evitar excesso ou falta de detalhes, uma vez que ambas as situa\u00e7\u00f5es podem afetar negativamente o esfor\u00e7o de implementa\u00e7\u00e3o:<\/p>\n<ul>\n<li><strong>Focar em resultados, n\u00e3o em a\u00e7\u00f5es.<\/strong> Para tornar sua EAP mais entend\u00edvel e \u00fatil, defina tantos elementos quanto poss\u00edvel como resultados a serem atingidos. Al\u00e9m de reduzir o n\u00famero de a\u00e7\u00f5es a serem rastreadas, mais elementos de resultado proveem melhor capacidade de identificar resultados que possam comprometer a for\u00e7a ou desempenho do controle de seguran\u00e7a.<\/li>\n<li><strong>Agrupe atividades de forma gerenci\u00e1vel.<\/strong> Evite definir para uma \u00fanica entrega uma atividade, ou grupo de atividades, que requeira a aloca\u00e7\u00e3o de muitos recursos. Uma boa dica \u00e9 limitar o esfor\u00e7o requerido por uma \u00fanica entrega a menos de 80 horas.<\/li>\n<li><strong>Preste aten\u00e7\u00e3o ao n\u00edvel de detalhamento.<\/strong> Embora voc\u00ea possa desenvolver uma EAP com qualquer n\u00edvel de detalhamento, tente manter a sua entre tr\u00eas e sete n\u00edveis, com os n\u00edveis maiores de detalhamento dedicados a entregas com alto custo ou alto <a href=\"https:\/\/advisera.com\/27001academy\/pt-br\/documentation\/plano-de-tratamento-de-riscos\/\" target=\"_blank\" rel=\"noopener\">risco<\/a>.<\/li>\n<\/ul>\n<h2 style=\"padding-top: 10px; padding-bottom: 10px;\">Benef\u00edcios e problemas de usar uma EAP<\/h2>\n<p>Alguns benef\u00edcios associados com o desenvolvimento de EAP s\u00e3o:<\/p>\n<ul>\n<li><strong>Melhor conhecimento das etapas requeridas.<\/strong> O desenvolvimento da EAP \u00e9 um esfor\u00e7o de grupo, onde cada pessoa envolvida tem necessidades a serem atendidas para atingir os resultados esperados. Esta situa\u00e7\u00e3o for\u00e7a todos a trabalhar para esclarecer ambiguidades, estabelecer premissas, e apontar assuntos cr\u00edticos que podem impactar a performance do controle.<\/li>\n<li><strong>Melhora da responsabiliza\u00e7\u00e3o.<\/strong> O n\u00edvel de detalhe provido por uma EAP torna mais f\u00e1cil estabelecer responsabilidades pessoais, uma vez que ningu\u00e9m pode se esconder sob uma \u201cespecifica\u00e7\u00e3o ampla\u201d.<\/li>\n<li><strong>Melhora o comprometimento.<\/strong> Como um grupo de trabalho, o desenvolvimento da EAP ajuda a criar um senso de propriedade e de envolvimento com a implementa\u00e7\u00e3o do controle.<\/li>\n<\/ul>\n<p>Alguns problemas sobre os quais voc\u00ea deveria estar atento:<\/p>\n<ul>\n<li><strong>Esfor\u00e7o requerido.<\/strong> Dependendo do tamanho ou complexidade do controle a ser implementado, o desenvolvimento da EAP pode levar bastante tempo. E quanto mais pessoas envolvidas, maior o esfor\u00e7o envolvido para equilibrar as muitas necessidades e <a href=\"https:\/\/advisera.com\/27001academy\/pt-br\/documentation\/anexo-lista-de-obrigacoes-estatutarias-regulamentares-contratuais-e-outras\/\" target=\"_blank\" rel=\"noopener\">requisitos<\/a>.<\/li>\n<li><strong>Aumento da complexidade.<\/strong> A EAP inicialmente desenvolvida dificilmente permanecer\u00e1 inalterada. A medida que o desenvolvimento e implementa\u00e7\u00e3o do controle progride, alguns ajustes podem ser necess\u00e1rios, e o impacto de tais mudan\u00e7as deve ser avaliado.<\/li>\n<\/ul>\n<h2 style=\"padding-top: 10px; padding-bottom: 10px;\">EAP aplicada a controles de seguran\u00e7a<\/h2>\n<p>Uma vez que nada \u00e9 melhor do que um bom exemplo, vejamos uma EAP hipot\u00e9tica para implementar controles de seguran\u00e7a em um sistema de informa\u00e7\u00e3o:<\/p>\n<ol>\n<li>Sistema de Informa\u00e7\u00e3o\n<ol>\n<li style=\"padding-top: 5px;\">Hardware:\n<ol>\n<li style=\"padding-top: 5px;\">Servidor<\/li>\n<li>Desktop<\/li>\n<li>M\u00f3vel<\/li>\n<\/ol>\n<\/li>\n<li>Software:\n<ol>\n<li style=\"padding-top: 5px;\">Sistema Operacional<\/li>\n<li>Aplica\u00e7\u00e3o<\/li>\n<\/ol>\n<\/li>\n<li>Rede:\n<ol>\n<li style=\"padding-top: 5px;\">Cabeamento (controle A.11.2.3 \u2013 Seguran\u00e7a do Cabeamento)<\/li>\n<li>Comunica\u00e7\u00e3o Wireless<\/li>\n<li>Acesso Remoto<\/li>\n<li>Roteadores\n<ol>\n<li style=\"padding-top: 5px;\">Segrega\u00e7\u00e3o de Rede (controle A.13.1.3 \u2013 Segrega\u00e7\u00e3o de Redes)\n<ol>\n<li style=\"padding-top: 5px;\">Definir per\u00edmetros de rede<\/li>\n<li>Definir regras de tr\u00e1fego de rede<\/li>\n<\/ol>\n<\/li>\n<li>Dados:\n<ol>\n<li style=\"padding-top: 5px;\">Dados do Sistema<\/li>\n<li>Dados do Usu\u00e1rio<\/li>\n<li>Dados da Organiza\u00e7\u00e3o<\/li>\n<li>Classifica\u00e7\u00e3o da Informa\u00e7\u00e3o (controle A.8.2.1 \u2013 Classifica\u00e7\u00e3o da informa\u00e7\u00e3o)\n<ol>\n<li style=\"padding-top: 5px;\">Definir <a href=\"https:\/\/advisera.com\/27001academy\/pt-br\/documentation\/politica-de-gestao-de-informacoes-classificadas\/\" target=\"_blank\" rel=\"noopener\">Pol\u00edtica de Classifica\u00e7\u00e3o da Informa\u00e7\u00e3o<\/a><\/li>\n<\/ol>\n<\/li>\n<li><a href=\"https:\/\/advisera.com\/27001academy\/pt-br\/documentation\/inventario-de-ativos\/\" target=\"_blank\" rel=\"noopener\">Invent\u00e1rio dos Ativos<\/a>\u00a0(controle A.8.1.1 \u2013 Invent\u00e1rio dos Ativos)\n<ol>\n<li style=\"padding-top: 5px;\">Definir categorias de ativos<\/li>\n<li>Propriet\u00e1rios dos ativos (controle A.8.1.2 \u2013 Propriet\u00e1rio dos ativos)\n<ol>\n<li style=\"padding-top: 5px;\">Definir propriet\u00e1rios dos ativos<\/li>\n<li>Definir responsabilidades dos propriet\u00e1rios<\/li>\n<\/ol>\n<\/li>\n<li>Classifica\u00e7\u00e3o dos ativos (controle A.8.2.1 \u2013 Classifica\u00e7\u00e3o da informa\u00e7\u00e3o)\n<ol>\n<li style=\"padding-top: 5px;\">Definir a classifica\u00e7\u00e3o do sistema de acordo com a maior classifica\u00e7\u00e3o atribu\u00edda a uma informa\u00e7\u00e3o processada pelo sistema<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>Aqui est\u00e1 em formato gr\u00e1fico (a\u00e7\u00f5es est\u00e3o identificadas em negrito it\u00e1lico):<\/p>\n<p><img decoding=\"async\" class=\"aligncenter size-full wp-image-7661\" src=\"https:\/\/advisera.com\/wp-content\/uploads\/sites\/5\/2015\/10\/WBS_PT.png\" alt=\"EAP\" width=\"567\" height=\"327\" srcset=\"\/wp-content\/uploads\/sites\/5\/2015\/10\/WBS_PT.png 567w, \/wp-content\/uploads\/sites\/5\/2015\/10\/WBS_PT-300x173.png 300w\" sizes=\"(max-width: 567px) 100vw, 567px\" \/><\/p>\n<h2 style=\"padding-top: 10px; padding-bottom: 10px;\">Construa fortalezas confi\u00e1veis um tijolo de cada vez<\/h2>\n<p>A implementa\u00e7\u00e3o da seguran\u00e7a pode parecer um desafio gigantesco. E realmente \u00e9, mas voc\u00ea n\u00e3o precisa enfrent\u00e1-lo todo de uma vez. Ao fazer isso um peda\u00e7o de cada vez, voc\u00ea pode otimizar o esfor\u00e7o e assegurar que cada pequena parte seja projetada t\u00e3o forte quanto poss\u00edvel e implementada com todo o cuidado, minimizando a chance de que todos os seus esfor\u00e7os possam ser comprometidos por uma situa\u00e7\u00e3o que voc\u00ea poderia ter evitado.<\/p>\n<p><em>Use este <\/em><a href=\"\/conformio\/\" target=\"_blank\" rel=\"noopener\">Conformio compliance software<\/a> <em>para gui\u00e1-lo atrav\u00e9s do seu projeto ISO 27001.<\/em><\/p>\n<p>N\u00f3s agradecemos a <a href=\"https:\/\/br.linkedin.com\/in\/rhandleal\/\" target=\"_blank\" rel=\"noopener\">Rhand Leal<\/a> pela tradu\u00e7\u00e3o para o portugu\u00eas.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>O que situa\u00e7\u00f5es t\u00e3o diversas quanto a Batalha de Trafalgar (1805), o algoritmo Cooley\u2013Tukey para FFT 1965), e a competi\u00e7\u00e3o em multimercados t\u00eam em comum? Elas s\u00e3o todos exemplos de problemas grandes ou complexos divididos em peda\u00e7os menores e mais gerenci\u00e1veis para se alcan\u00e7ar uma solu\u00e7\u00e3o vencedora. Esta \u00e9 uma estrat\u00e9gia chamada \u201cDividir e Conquistar\u201d. &#8230;<\/p>\n","protected":false},"author":41,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[310],"tags":[906],"class_list":["post-7660","post","type-post","status-publish","format-standard","hentry","category-blog-pt-br","tag-iso-27001-pt-br"],"acf":[],"_links":{"self":[{"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/posts\/7660","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/users\/41"}],"replies":[{"embeddable":true,"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/comments?post=7660"}],"version-history":[{"count":0,"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/posts\/7660\/revisions"}],"wp:attachment":[{"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/media?parent=7660"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/categories?post=7660"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/advisera.com\/27001academy\/pt-br\/wp-json\/wp\/v2\/tags?post=7660"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}