Políticas do Processo

O escopo definido para o processo de Gerenciamento de Configuração e Ativos de TIC é o conjunto de todos os ICs importantes para o negócio, conforme NBR ISO/IEC 27002, item 7.1.1, reproduzido a seguir:

“7.1.1 Inventário dos ativos

Controle: Convém que todos os ativos sejam claramente identificados e um inventário de todos os ativos importantes seja estruturado e mantido.

Diretrizes para implementação: Convém que a organização identifique todos os ativos e documente a importância destes ativos. [...]” (NBR ISO/IEC 27002, item 7.1.1)

Entendem-se como importantes os ativos que dão suporte às atividades e processos de negócio elencados na Cadeia de Valor da instituição e que tenham registro na ferramenta de Gestão de Material e Patrimônio.

Todos os Itens de Configuração (ICs) que fazem parte do escopo do processo devem ser registrados no BDGC, conforme requisitos de informações mínimas necessárias.

Garantir que todos os ICs sejam registrados. Necessário para controle da integridade de histórico dos ICs.

As informações mínimas que devem ser registradas para os ativos estão definidas na NBR ISO/IEC 27002, no trecho reproduzido a seguir:

“7.1.1 Inventário dos ativos [...]

Diretrizes para implementação: Convém que a organização identifique todos os ativos e documente a importância destes ativos. Convém que o inventário do ativo inclua todas as informações necessárias que permitam recuperar de um desastre, incluindo o tipo do ativo, formato, localização, informações sobre cópias de segurança, informações sobre licenças e a importância do ativo para o negócio. [...]” (NBR ISO/IEC 27002, item 7.1.1)

Assim, constituem informações mínimas:

• Tipo do ativo;
• Formato do ativo;
• Localização;
• Proprietário;
• Informações sobre cópia de segurança;
• Importância para o negócio.

Garantir que todos os ICs possuam registro das informações que permitam sua correta identificação, determinação de seu responsável, controle de seus inter-relacionamentos no ambiente da organização e, quando necessário, a recuperação em caso de desastre.

Um IC pode apenas ser modificado e inserido no BDGC via mudanças registradas e devidamente autorizadas.

• Identificação do que poderá ser inserido no BDGC;
• Necessidade de controlar a integridade do BDGC e seus ICs;
• Necessidade de manter atualizados os relacionamentos entre os ICs.

O BDCG representa a situação atual dos ambientes controlados conforme escopo do processo definido pela organização. As pessoas envolvidas com as atividades relacionadas ao Gerenciamento de Configuração e Ativos de TIC são responsáveis por garantir a confiabilidade do BDGC.

Garantir que o BDGC esteja atualizado e seja confiável para realização de consultas, avaliação de impactos e atendimento às auditorias, a qualquer momento.

Garantir que dados requisitados por auditores estejam disponíveis. Necessário para controle da integridade de histórico dos ICs.

Um IC deve estar em um dos seguintes estados:

• Planejado;
• Em Estoque;
• Em Teste;
• Em Uso;
• Em Manutenção;
• Desativado / Obsoleto;
• Inservível.

Outros estados poderão vir a ser acrescentados, conforme a necessidade operacional do gerenciamento de ativos.

Padronizar os estados possíveis e uniformizar o entendimento sobre o estado atual de um ativo.

Garantir que a nomenclatura dos itens esteja de acordo com as regras da instituição a fim de facilitar as pesquisas e manutenções de ICs e evitar vulnerabilidades de segurança, dúvidas, incidentes etc.