Apoio Gestão de Topo

A Gestão de Topo ignora a iniciativa ou não lhe atribui relevância. Não revelam interesse no resultado e alguns são até bastantes hostis a todo o projeto ou serão quando se inteirarem do projeto.

A Gestão de Topo tolera a iniciativa no seu conjunto. Não há elementos abertamente hostis. Poderão não estar disponíveis para aprovar o projeto tal como está, mas também não estão firmemente contra.

A Gestão de Topo está bastante interessada no sucesso do projeto. Percebem o que envolve e acolhem-no .Alguns membros estão ativamente envolvidos na gestão do projeto.

A Gestão de Topo está empenhada em que o projeto de implementação do sistema de gestão da segurança da informação - SGSI. Apoiam completamente o projeto e afirmam explicitamente que é absolutamente prioritário.

Ajuste estratégico

Tanto o SGSI como a segurança da informação são diametralmente opostos ao carácter da organização. São vistos como desnecessários e talvez até obstrutivos. Não há nenhum caso de negócio viável pare este projeto.

Há alguma valorização do valor estratégico da segurança da informação, mas o SGSI em si é algo diferente. Seria complicado explicar como o SGSI apoia os objetivos do negócio, exceto em grandes traços.

Tanto o SGSI como a segurança da informação estão de acordo com os objetivos estratégicos de negócio. Há um caso de negócio claramente definido, documentado e aprovado para este projeto, demonstrando um valor substancial líquido (benefícios excedem os custos).

A segurança da informação é um componente essencial da estratégia da organização, com objetivos de segurança e de negócio explicitamente ligados (Por exemplo, os grandes clientes exigem a sua implementação).

Obtenção de Recursos

O simples facto de encontrar alguém adequado para preencher este formulário foi uma luta. Ainda bem que é gratuito.

A equipa é fraca e o orçamento apertado, mas nós conseguiremos, de alguma forma identificar e controlar os ativos da informação.

A equipa e o orçamento são o que se pode descrever como "adequados" ou "suficientes". Há restrições mas estamos a evoluir bem na identificação e controlo dos ativos da informação.

Conseguimos juntar uma equipa de sonho com um orçamento escandaloso! A obtenção de recursos "não é uma questão".

Qualidade da equipa de projeto

Abismal!. Ninguém tem experiência de implementação de um SGSI ou está familiarizado com os standards da norma ISO27001. A gestão de projetos é um conceito estranho enquanto que a formação ou consultoria estão fora de questão. Esta será uma "experiência de aprendizagem" para todos.

Muito fraca na melhor das hipóteses. Alguns membros da equipa afirmam ter experiência e conhecimentos nesta área, mas, francamente, é apenas pensamento positivo. Alguns tiveram formação adequada mas não têm registos demonstráveis em segurança da informação ou em gestão de projetos. Consultores são um possibilidade.

Bastante boa. Bastantes, internos ou consultores de apoio à equipa, têm experiência direta na implementação de um SGSI ISO27001, ou têm qualificações e experiência em segurança da informação e/ou gestão de projetos.

Excelente. Toda a equipa tem abundantes qualificações e experiência em segurança da informação e/ou gestão de projetos. Há consultores competentes em ISO27000 a colaborar com o projeto.

Apoio das equipas de gestão intermédia

A gestão intermédia é bastante hostil em relação ao projeto. Alguns sentem-se claramente ameaçados por ele. A maioria está ressentida com o projeto e estão passiva ou ativamente a resistir.

Alguns gestores apoiam o projeto, mas muitos são neutros ou resistentes e hostis.

A maioria dos gestores apoiam o projeto ou são neutros. Nenhum está abertamente hostil a ele, nem é suscetível de criar entraves ao projeto.

A gestão intermédia está totalmente comprometida com o projeto. Eles percebem os objetivos que se pretendem atingir e estão ativamente envolvidos, garantindo que não há entraves ao processo.

Nível de risco de segurança da informação

Fora da escala. A segurança da informação é um imperativo absoluto. Face às percebidas ameaças, vulnerabilidades e gravidade dos seus impactos, a segurança da informação está no topo da agenda da gestão sénior.

Alto a médio. Há riscos de segurança da informação substanciais na lista de riscos da organização, que estão a ser ativamente monitorizados e sobre os quais se está a atuar. A segurança da informação é um tópico que de vez em quando surge nas discussões da gestão sénior.

Médio a baixo. Há alguns riscos identificados e presentes na lista de riscos da organização. A segurança da informação é vista como um ativo com algum valor apesar de vulnerável, embora não seja um motor de negócio particularmente importante.

Muito baixo ou nulo. Não há quaisquer riscos relacionados com a segurança da informação no 'radar' da entidade, mesmo após os processos de avaliação de risco. Outros riscos são muito mais relevantes.

Bloqueadores e cultura

Existem várias pessoas poderosas e coisas que atrapalham este projeto. Será um milagre se alguma vez for completado. O projeto não tem qualquer prioridade e está em conflito direto com a cultura corporativa.

Vão-se encontrar obstáculos no caminho que eventualmente seremos capazes contornar. É um projeto de baixa prioridade. Em alguns aspetos choca com a cultura corporativa mas no fim dará tudo certo.

Existirão alguns entraves no caminho mas que não se prevê que seja nada de grave. Este é um projeto de elevada prioridade para o negócio e é compatível com a cultura corporativa.

Se alguém ou alguma coisa sequer parecer que se irá tornar num problema, será tratado de imediato e de forma perentória. Este projeto - ou mais concretamente o SGSI, é uma absoluta prioridade. Está plenamente alinhado com a cultura corporativa.

Apoio especializado

Não existe: a equipa de implementação do projeto está completamente sozinha. Mesmo que fosse procurada ajuda esta não seria para breve.

Alguns especialistas poderão ser persuadidos a ajudar mas a maioria está relutante.

Já há vários especialistas envolvidos no projeto, e outros poderiam ainda ser convencidos a tal.

Excecional: Especialistas de segurança, risco, TIC, conformidade, governação, gestão de projetos e outros especialistas de negócio estão envolvidos ou desejosos por participar.

Amplitude do âmbito

O SGSI aplica-se a toda a organização, sem exceção, incluindo terceiros tais como fornecedores e parceiros de negócios.

O SGSI aplica-se a uma parte substancial da organização, como por exemplo a todas as atividades num determinado local ou cidade.

O SGSI aplica-se a um número pequeno de departamentos ou unidades de negócio com fortes relações de trabalho já em vigor.

O SGSI está fortemente focado numa única, pequena unidade, função ou departamento.

Maturidade da segurança de informação

Pré-históricos. A organização não possui quase nenhum processo de segurança da informação, apesar de poder ter algumas medidas de segurança TIC.

Básica. Alguns dos profissionais percebem a diferença entre segurança informática e segurança da informação, mas no geral o projeto é visto como algo do domínio TIC. Para a maioria da organização o SGSI não é amplamente apreciado.

Competente. A segurança da informação está a ser tida em conta por toda a organização. O SGSI é visto como uma ferramenta de gestão, que apoia e potencia o negócio, em vez de ser visto como algo obscuro do domínio técnico.

Vanguarda. A organização frequentemente alarga o âmbito e aplicação do SGSI. Aspetos técnicos são amplamente entendidos como uma menor dificuldade. A segurança da informação é uma componente integral de muitas atividades de negócio.

Maturidade de conformidade

Obrigações de conformidade da organização relacionadas com a segurança da informação, simplesmente não são reconhecidas como tal e não têm qualquer influência em coisa nenhuma. Quase de certeza que não é conforme em várias áreas significativas.

A organização entende que tem obrigações de conformidade, mas geralmente faz o mínimo possível. A conformidade com politicas corporativas é muito variável, com atividades de avaliação e imposição ineficazes.

A organização faz um esforço por identificar e cumprir as suas obrigações de conformidade de segurança da informação. A conformidade com politicas corporativas é avaliada e imposta de forma apropriada, com um processo de trabalho para exceções e isenções.

A conformidade com normas externas é incidental, dado que a organização consistentemente excede as suas obrigações. No entanto, existe uma equipa competente de profissionais, monitorando alterações às normas. A conformidade interna é igualmente forte, com pouca necessidade de imposições.

Definição do âmbito

O âmbito do projeto e do SGSI estão indefinidos, na realidade nem sequer foram ainda considerados.

Existe algum trabalho realizado na definição do âmbito do projeto e do SGSI, mas existem ainda pontas soltas e preocupações.

O âmbito do projeto e SGSI estão documentados, e são razoavelmente claros, embora um ou outro possa não estar ainda finalizado.

O âmbito do projeto e SGSI estão documentados com precisão e todas as partes interessadas estão formalmente comprometidas com eles.