Monitoramento e avaliação da política nacional de segurança da informação por processo de análise hierárquica

• Autor(a) principal: Santos, Clarice Saraiva Andrade dos
• Data de Publicação: 2020
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Institucional da Escola Superior de Guerra (ESG)
• Texto Completo: https://repositorio.esg.br/handle/123456789/1304
• topic: Segurança cibernética; Segurança da Informação - Brasil; Modelos de maturidade; Normalização

Relatórios recentes de segurança cibernética mostram que o Brasil é um dos países com a maior quantidade de crimes cibernéticos, afetando mais de 60 milhões de pessoas e causando prejuízos estimados em mais de 20 bilhões de dólares. Cada vez mais as instituições do setor público e privado dependem do ambiente cibernético para desempenhar suas atividades. No âmbito da Administração Pública Federal, políticas de segurança cibernética estabelecem os níveis de tolerância ao risco estabelecidos para cada instituição. Nesse contexto, a Política Nacional de Segurança da Informação (PNSI) atribuiu ao Gabinete de Segurança Institucional da Presidência da República (GSI/PR) a tarefa de monitorar e avaliar a sua execução. De maneira explícita, três artigos do Decreto No 9.637, de 26 de dezembro de 2018, que instituiu essa Política, nortearam o contexto desta pesquisa. O Artigo 6º invoca a ampla participação da sociedade e dos órgãos e das entidades do Poder Público na construção do processo, o que inclui o esforço acadêmico; o Artigo 12º determinou ao GSI/PR a tarefa de estabelecer critérios para monitorar e avaliar a execução dessa Política; o Artigo 17º lhe atribui a tarefa de monitorar o desempenho e avaliar a concepção, a implementação e os resultados dessa execução. A fim de contribuir com esse contexto, preenchendo essa lacuna entre o texto da Política e a sua execução, este estudo analisou diferentes modelos de referência, cuja estrutura melhor se ajustasse à necessidade das instituições avaliadas e um método quantitativo capaz de indicar objetivamente o peso das diversas variáveis do modelo. Para tal, foi necessária uma revisão da literatura em busca dos principais mecanismos de gestão e avaliação da segurança da informação, para aprimorar o nível de maturidade do setor público na governança da segurança cibernética. O modelo de maturidade escolhido foi o CSF-NIST e o método selecionado foi o Processo de Análise Hierárquica (AHP), para a ponderação dos critérios e subcritérios. Dois estudos de caso foram explorados para ilustrar a aplicação do modelo e do método selecionados, indicando o “como” implementá-los, considerando as especificidades de cada instituição avaliada.