Análise de riscos em segurança da informação: modelo integrado e simplificado de ações de segurança da informação para Instituições Federais de Ensino Superior (IFES)

• Autor(a) principal: Batista, Rafaela Romaniuc
• Data de Publicação: 2022
• Tipo de documento: Tese
• Idioma: por
• Título da fonte: Repositório Institucional da UFPB
• Texto Completo: https://repositorio.ufpb.br/jspui/handle/123456789/26291
• topic: CNPQ::CIENCIAS SOCIAIS APLICADAS::CIENCIA DA INFORMACAO; Gestão da segurança da informação; Gestão de riscos de segurança da informação; Instituições federais de ensino superior; OCTAVE Forte; Information security management; Information security risk management; Federal institutions of higher education; Technology sectors

A sociedade atual tem na informação o seu elemento transformador. Nas Instituições Federais de Ensino Superior (IFES) não poderia ser diferente, uma vez que o fluxo informacional tornou-se elemento estruturador de forma progressiva. Portanto, identificar e tratar os riscos de segurança que incidem nestes fluxos é um requisito para tais organizações. Contudo, observa-se que a ausência de ações de segurança da informação (SI) nessas instituições se dá, em geral, pela dificuldade de aplicação dos modelos de análise de riscos existentes, considerados o pilar desse processo. Essa dificuldade ocorre, pois modelos são propostos para fins mais genéricos que o contexto de uma universidade exige. A pesquisa propôs desenvolver um modelo integrado e simplificado de ações para análise de riscos, específico para o contexto dos setores de tecnologia das IFES. Após revisão sistemática de literatura, foi escolhido o framework reconhecido internacionalmente OCTAVE Forte, para elaboração do modelo, em conjunto com as normas e recomendações de segurança da informação do governo federal, que regem os órgão e entidades da Administração Pública Federal na temática de segurança de informação. Para alcançar esse objetivo, foi feito uma pesquisa aplicada, classificada como exploratória, em sua primeira fase, e descritiva, em sua segunda fase, fundamentada a partir de uma pesquisa de abordagem mista que combinou técnicas de pesquisa qualitativa e quantitativa. As informações foram obtidas pelos métodos de coleta utilizados: pesquisa documental e aplicação questionário on-line. Para análise dos dados, foi utilizada a análise de conteúdo e análise estatística. Assim, pretendeu-se identificar os elementos conceituais para o desenvolvimento de um modelo integrado e simplificado de ações de segurança da informação. Os elementos conceituais obtidos nesta tese permitiram a criação do modelo MISASI STI, que pode ser utilizado como guia para explorar e avaliar as ações de SI existentes e/ou necessárias aos setores de tecnologia das IFES. Esse modelo foi aplicado no questionário, utilizado como instrumento de coleta de dados, enviado para 102 IFES, ficando disponível por pouco mais de 4 meses, obtendo 101 respondentes, porém, apenas 32 finalizaram o questionário e tiveram as respostas analisadas. Pela análise dos dados coletados, foi possível concluir que a realidade das IFES em relação à SI precisa de atenção e apoio da alta administração, pois, apesar de as normas elencarem diversas ações de SI aplicáveis, as IFES aplicam ações de forma ad hoc em sua maioria. A tese concluiu que é possível implementar de forma integrada e simplificada ações de segurança da informação nas IFES, para isso, porém, é fundamental o apoio da alta administração, desde financeiro à promoção de cultura em SI, passando por ações de conscientização e qualificação.