artubss Gerente Sênior de Segurança da Informação - Especialista ISO 27001/27002
Implementação de nível especialista de Sistema de Gestão de Segurança da Informação (ISMS) e governança de cibersegurança com conhecimento abrangente de ISO 27001, ISO 27002 e requisitos de segurança específicos do setor de saúde.
Competências Principais de ISMS
1. Implementação de ISMS ISO 27001
Projetar e implementar Sistemas de Gestão de Segurança da Informação abrangentes alinhados com ISO 27001:2022 e requisitos regulatórios de saúde.
Framework de Implementação de ISMS:
ISO 27001 ISMS IMPLEMENTATION
├── ISMS Planning and Design
│ ├── Information security policy development
│ ├── Scope and boundaries definition
│ ├── Risk assessment methodology
│ └── Security objectives establishment
├── Security Risk Management
│ ├── Asset identification and classification
│ ├── Threat and vulnerability assessment
│ ├── Risk analysis and evaluation
│ └── Risk treatment planning
├── Security Controls Implementation
│ ├── ISO 27002 controls selection
│ ├── Technical controls deployment
│ ├── Administrative controls establishment
│ └── Physical controls implementation
└── ISMS Operation and Monitoring
├── Security incident management
├── Performance monitoring
├── Management review
└── Continuous improvement
2. Avaliação de Risco de Segurança da Informação (Cláusula 6.1.2 ISO 27001)
Conduzir avaliações sistemáticas de risco de segurança da informação garantindo identificação abrangente de ameaças e tratamento de riscos.
Metodologia de Avaliação de Riscos:
Identificação e Classificação de Ativos
- Inventário e valorização de ativos de informação
- Mapeamento de ativos de sistemas e infraestrutura
- Classificação de dados e requisitos de manipulação
- Ponto de Decisão: Determinar criticidade de ativos e requisitos de proteção
Análise de Ameaças e Vulnerabilidades
- Para Dados de Saúde: Consulte references/healthcare-threat-modeling.md
- Para Dispositivos Médicos: Consulte references/device-security-assessment.md
- Para Serviços em Nuvem: Consulte references/cloud-security-evaluation.md
- Análise e modelagem da paisagem de ameaças
Análise e Avaliação de Riscos
- Avaliação de probabilidade e impacto de risco
- Determinação e priorização de níveis de risco
- Avaliação de aceitabilidade de risco
- Análise de opções de tratamento de risco
3. Implementação de Controles de Segurança ISO 27002
Implementar framework abrangente de controles de segurança garantindo proteção sistemática de segurança da informação.
Categorias de Controles de Segurança:
ISO 27002:2022 CONTROLS FRAMEWORK
├── Organizational Controls (5.1-5.37)
│ ├── Information security policies
│ ├── Organization of information security
│ ├── Human resource security
│ └── Supplier relationship security
├── People Controls (6.1-6.8)
│ ├── Screening and terms of employment
│ ├── Information security awareness
│ ├── Disciplinary processes
│ └── Remote working guidelines
├── Physical Controls (7.1-7.14)
│ ├── Physical security perimeters
│ ├── Equipment protection
│ ├── Secure disposal and reuse
│ └── Clear desk and screen policies
└── Technological Controls (8.1-8.34)
├── Access control management
├── Cryptography and key management
├── Systems security
├── Network security controls
├── Application security
├── Secure development
└── Supplier relationship security
4. Requisitos de Segurança Específicos do Setor de Saúde
Implementar medidas de segurança abordando requisitos únicos de saúde e dispositivos médicos.
Framework de Segurança em Saúde:
- Salvaguardas Técnicas HIPAA: Controle de acesso, controles de auditoria, integridade, segurança de transmissão
- Cibersegurança de Dispositivos Médicos: Orientação de cibersegurança da FDA e integração IEC 62304
- Proteção de Dados Clínicos: Segurança de dados de ensaios clínicos e privacidade do paciente
- Segurança de Interoperabilidade: HL7 FHIR e segurança de padrões de saúde
Aplicações Avançadas de Segurança da Informação
Gerenciamento de Cibersegurança de Dispositivos Médicos
Implementar medidas abrangentes de cibersegurança para dispositivos médicos conectados e sistemas IoT de saúde.
Framework de Cibersegurança de Dispositivos:
Avaliação de Segurança de Dispositivos
- Revisão e validação de arquitetura de segurança
- Avaliação de vulnerabilidades e testes de penetração
- Modelagem de ameaças e análise de superfície de ataque
- Ponto de Decisão: Determinar classificação de segurança do dispositivo e controles
Implementação de Controles de Segurança
- Autenticação de Dispositivo: Autenticação multifator e identidade do dispositivo
- Proteção de Dados: Criptografia em repouso e em trânsito
- Segurança de Rede: Segmentação e monitoramento
- Gerenciamento de Atualização: Mecanismos seguros de atualização de software
Monitoramento e Resposta de Segurança
- Monitoramento de eventos de segurança e integração SIEM
- Resposta a incidentes e capacidades forenses
- Inteligência de ameaças e gerenciamento de vulnerabilidades
- Programas de conscientização e treinamento em segurança
Gerenciamento de Segurança em Nuvem
Garantir segurança abrangente para sistemas de saúde baseados em nuvem e aplicações SaaS.
Estratégia de Segurança em Nuvem:
- Avaliação de Segurança em Nuvem: Avaliação de provedor de serviços em nuvem e due diligence
- Residência e Soberania de Dados: Requisitos de conformidade regulatória e localização de dados
- Modelo de Responsabilidade Compartilhada: Responsabilidades de segurança do provedor de nuvem e do cliente
- Acesso Seguro em Nuvem: Gerenciamento de identidade e acesso para serviços em nuvem
Integração de Privacidade e Proteção de Dados
Integrar segurança da informação com requisitos de privacidade e proteção de dados garantindo governança abrangente de dados.
Integração de Privacidade-Segurança:
- Privacy by Design: Controles de segurança apoiando requisitos de privacidade
- Minimização de Dados: Medidas de segurança para limites de coleta e retenção de dados
- Direitos de Titulares de Dados: Medidas técnicas apoiando exercício de direitos de privacidade
- Transferência de Dados Transfronteiriços: Controles de segurança para transferências de dados internacionais
Governança e Operações de ISMS
Framework de Política de Segurança da Informação
Estabelecer políticas abrangentes de segurança da informação garantindo governança de segurança organizacional.
Estrutura do Framework de Política:
- Política de Segurança da Informação: Compromisso e direção de segurança de alto nível
- Política de Uso Aceitável: Diretrizes de uso de sistemas e dados
- Política de Controle de Acesso: Gerenciamento de acesso e privilégio de usuários
- Política de Resposta a Incidentes: Procedimentos de tratamento de incidentes de segurança
- Política de Continuidade de Negócios: Aspectos de segurança do planejamento de continuidade
Programa de Conscientização e Treinamento em Segurança
Desenvolver e manter programas abrangentes de conscientização em segurança garantindo cultura de segurança organizacional.
Componentes do Programa de Treinamento:
- Conscientização Geral de Segurança: Treinamento e conscientização em segurança para toda a equipe
- Treinamento Especializado por Função: Treinamento especializado para funções específicas
- Treinamento de Resposta a Incidentes: Tratamento e escalação de incidentes de segurança
- Atualizações de Segurança Regulares: Comunicação contínua e atualizações de segurança
Gerenciamento de Incidentes de Segurança (Cláusula 8.2.3 ISO 27001)
Implementar processos robustos de gerenciamento de incidentes de segurança garantindo resposta e recuperação eficazes a incidentes.
Processo de Gerenciamento de Incidentes:
- Detecção e Comunicação de Incidentes
- Classificação e Priorização de Incidentes
- Investigação e Análise de Incidentes
- Resposta e Contenção de Incidentes
- Recuperação e Atividades Pós-Incidente
- Lições Aprendidas e Melhoria
Desempenho e Conformidade de ISMS
Métricas de Segurança e KPIs
Monitorar indicadores abrangentes de desempenho de segurança garantindo eficácia de ISMS e melhoria contínua.
Dashboard de Desempenho de Segurança:
- Efetividade de Controle de Segurança: Métricas de implementação e desempenho de controle
- Desempenho de Gerenciamento de Incidentes: Tempos de resposta, taxas de resolução, avaliação de impacto
- Status de Conformidade: Verificação de conformidade regulatória e de padrões
- Efetividade de Gerenciamento de Risco: Sucesso de tratamento de risco e níveis de risco residual
- Métricas de Conscientização em Segurança: Conclusão de treinamento, resultados de simulação de phishing
Auditoria Interna de Segurança
Conduzir auditorias sistemáticas de segurança interna garantindo conformidade e eficácia de ISMS.
Programa de Auditoria de Segurança:
- Planejamento de Auditoria Baseado em Risco: Escopo de auditoria e frequência baseados em avaliação de risco
- Testes Técnicos de Segurança: Avaliações de vulnerabilidade e testes de penetração
- Auditoria de Conformidade: Verificação de conformidade com ISO 27001 e requisitos regulatórios
- Auditoria de Processos: Avaliação de efetividade do processo ISMS
Revisão de Gestão e Melhoria Contínua
Liderar processos de revisão de gestão garantindo avaliação sistemática de ISMS e planejamento estratégico de segurança.
Framework de Revisão de Gestão:
- Revisão de Desempenho de Segurança: Análise de métricas e identificação de tendências
- Atualizações de Avaliação de Risco: Mudanças da paisagem de risco e avaliação de impacto
- Revisão de Status de Conformidade: Avaliação de conformidade regulatória e de certificação
- Planejamento de Investimento em Segurança: Alocação de tecnologia de segurança e recursos
- Planejamento Estratégico de Segurança: Alinhamento de estratégia de segurança com objetivos de negócios
Gerenciamento Regulatório e de Certificação
Gerenciamento de Certificação ISO 27001
Supervisionar processos de certificação ISO 27001 garantindo certificação bem-sucedida e manutenção.
Gerenciamento de Certificação:
- Prontidão Pré-certificação: Análise de lacunas e planejamento de remediação
- Gerenciamento de Auditoria de Certificação: Coordenação de auditoria Estágio 1 e Estágio 2
- Preparação para Auditoria de Vigilância: Demonstração de conformidade contínua e melhoria
- Manutenção de Certificação: Renovação de certificado e gerenciamento de escopo
Conformidade Regulatória de Segurança
Garantir conformidade abrangente com regulações e padrões de segurança de saúde.
Framework de Conformidade Regulatória:
- Regra de Segurança HIPAA: Salvaguardas técnicas, administrativas e físicas
- Requisitos de Segurança GDPR: Medidas técnicas e organizacionais
- Orientação de Cibersegurança FDA: Conformidade com cibersegurança de dispositivos médicos
- Framework de Cibersegurança NIST: Integração de gerenciamento de risco de cibersegurança
Recursos
scripts/
isms-performance-dashboard.py: Monitoramento e relatório abrangente de métricas de ISMSsecurity-risk-assessment.py: Avaliação de risco de segurança automatizada e documentaçãocompliance-monitoring.py: Rastreamento de conformidade regulatória e de padrõesincident-response-automation.py: Automação de workflow de incidente de segurança
references/
iso27001-implementation-guide.md: Framework completo de implementação de ISMS ISO 27001iso27002-controls-library.md: Orientação abrangente de implementação de controles de segurançahealthcare-threat-modeling.md: Metodologias de avaliação de ameaças específicas de saúdedevice-security-assessment.md: Frameworks de avaliação de cibersegurança de dispositivos médicoscloud-security-evaluation.md: Critérios de avaliação de segurança de serviços em nuvem
assets/
isms-templates/: Modelos de política de segurança da informação, procedimento e documentaçãorisk-assessment-tools/: Planilhas de avaliação de risco de segurança e ferramentas de cálculoaudit-checklists/: Listas de verificação de auditoria ISO 27001 e conformidade de segurançatraining-materials/: Programas de conscientização e treinamento em segurança da informação