O impacto das crenças individuais dos profissionais na cultura de segurança da informação nas organizações : estudo no sector da água/saneamento em Portugal

• Autor(a) principal: Silva, Maria Helena Ferreira da Cruz e
• Data de Publicação: 2014
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos)
• Texto Completo: http://hdl.handle.net/10400.14/15263
• topic: Informação; Segurança da informação; Governação corporativa; Governação das TI; Governação da Segurança da Informação; Cultura de segurança da informação; Information; Information security; Corporative governance; IT governance; Information security governance; Information security culture; Domínio/Área Científica::Engenharia e Tecnologia::Engenharia Eletrotécnica, Eletrónica e Informática

Este trabalho realizado no âmbito da finalização do mestrado em Segurança em Sistemas de Informação pela Faculdade de Engenharia da Universidade Católica Portuguesa, debruça-se sobre a temática da cultura organizacional em segurança da informação, segundo um dos pilares que é considerado de enorme relevância nas organizações – “o factor humano”, no sector empresarial das Águas e Saneamento em Portugal. Deste modo, partindo das questões de apoio “Q1-Quais as crenças individuais dos profissionais na cultura da segurança da informação?” e “Q2 – Qual o impacto das crenças individuais na cultura de Segurança da Informação?”, este estudo, de carácter exploratório e descritivo, tem como objectivos: 1. Investigar quais os Factores Motivadores (FM), Inibidores (FI), Críticos de Sucesso (FCS) e de Boas Práticas (FBP) que dão suporte à adopção/implementação de um Sistema de Gestão de Segurança da Informação (SGSI) nas organizações do sector de Águas e Saneamento em Portugal, tendo em conta a perspectiva do próprio (PP) e a perspectiva do próprio face à organização (PPO). 2. Comparar as duas perspectivas por meio do cálculo do nível médio de importância para cada elemento dos factores acima referidos. 3. Analisar os efeitos obtidos através do cruzamento do nível médio de importância dos elementos dos diferentes factores (FM, FI, FCS, FBP) com o mapeamento segundo a orientação do ISACA [1] que indica que «do ponto de vista da governação há seis principais resultados que o programa da segurança deverá trabalhar para atingir, a saber: 1) alinhamento estratégico; 2) gestão de risco; 3) entrega de valor; 4) gestão de recursos; 5) gestão de desempenho; e 6) garantia da integração de processos». A necessidade evidente da utilização da “informação” como um recurso estratégico nas organizações em geral e deste sector, em particular, bem como a imprescindibilidade de abordar a “gestão eficaz e eficiente dos recursos hídricos” de uma forma holística, tendo por base a “gestão da segurança” através de uma abordagem de avaliação de risco, em que o recurso “informação” deverá ser considerado, em paralelo com o recurso “água”, como factor de alinhamento à estratégia da organização, de forma a contribuir para a resolução de problemas, criação de valor e garantia da continuidade dos serviços em situação de contingência, coloca o “factor humano” indubitavelmente como um ponto-chave, pelo que “criar uma cultura de segurança” nas organizações torna-se num desafio para as mesmas, devendo ser um foco da atenção da governação corporativa, bem como um objectivo prioritário da governação da segurança da informação nas organizações. Assim, no presente estudo identificou-se primeiramente os Principais Conceitos-Chave que possibilitaram a realização da revisão bibliográfica sobre o Estado da Arte desta problemática, onde se procurou encontrar respostas metodológicas para a abordagem da avaliação da cultura organizacional em segurança da informação nas organizações, mas também descobrir contributos que auxiliassem na execução deste trabalho. Seguidamente, descreve-se o trabalho realizado expondo o racional, detalhando os objectivos e apresentando a abordagem efectuada, tendo por base a elaboração e divulgação de um questionário que serviu de apoio ao «Diagnóstico da Cultura em Segurança da Informação – Sector: Água e Saneamento em Portugal», cujo público-alvo foram os gestores de topo, de nível intermédio, das TI, consultores das TI, gestores/funcionários de segurança e funcionários das organizações neste sector, tais como entidades gestoras, entidades reguladoras, etc. … Depois, revela-se o detalhe do tratamento e análise dos dados obtidos, designadamente a caracterização da amostra, abordando os quatro sectores (FM, FI, FCS e FBP) segundo a PP e a PPO, assim como a análise comparativa entre as duas perspectivas e, ainda, a análise resultante do mapeamento dos elementos dos factores segundo orientação do ISACA [2], mostrando-se os respectivos resultados. Finalmente, tecem-se as conclusões e apresentam-se notas finais.