A percepção gerencial sobre o modelo de gestão da segurança da informação de uma empresa pública de TIC: perspectiva de evolução para um modelo de governança

No mundo globalizado da tecnologia da informação e comunicação, as ameaças a sistemas de informação e redes de computadores qualificam a segurança da informação como elemento de diferencial competitivo, para garantir o sucesso de uma organização, pública ou privada. Neste contexto, a gestão da segurança assume um papel de protagonista na estratégia de conhecer riscos e definir controles adequados para garantir a perenidade institucional, aliando-se à responsabilidade da alta administração, gerentes executivos, clientes e interessados (stakeholders) na definição e no apoio aos planos que possam suportar o objetivo do negócio. Com este direcionamento, na atualidade, percebe-se a tendência de adotar-se uma estrutura de governança da segurança da informação, buscando garantir que a segurança seja substancialmente atrelada ao objetivo estratégico de crescimento sustentável da empresa. Diante disto, esse estudo se propôs a investigar a percepção dos gerentes executivos de uma empresa pública de TIC sobre a segurança da informação no âmbito de seus segmentos de atuação. A pesquisa discutiu as questões sobre governança e gestão, segurança em recursos humanos, planejamento, gestão de incidentes, continuidade do negócio e conformidade com requisitos legais. O resultado da pesquisa indicou que, apesar de existir uma política de gestão de segurança da informação, fatores como pouca visibilidade estratégica da segurança pela alta administração, apoio parcialmente suficiente da alta direção e integração parcial entre as áreas para melhorar o nível de segurança têm sido determinantes para que as ações de segurança sejam isoladas, sinalizando a necessidade de controles mais efetivos sobre o investimento em segurança e seu resultado sobre o negócio.In the globalized world of information and communication technology (ICT), the threats to information systems and computer networks make information security a key element to competitive advantage in order to guarantee the success of both private and public organizations. In this context, security management takes on a key role in the strategy of risk recognition and definition of adequate controls in order to guarantee institutional longevity, joining the responsibility of upper management, management executives, clients and stakeholders in the definition and the aid of plans that can support the objectives of the business. Nowadays, one can note a tendency to adopt a structure of governance for information security, in an effort to guarantee a substantial link to the strategic objective of sustainable growth of the enterprise. Accordingly, this study proposes to investigate the perception of senior management of a public ICT enterprise related to information security in their line of business. This research discusses the issues of governance and management, security in the area of human resources, planning, incident management, business continuity and conformity with regard to legal requisites. The results of this research indicate that, in spite of the existence of an information security management policy, factors such as poor strategic visibility of security by top management, partially sufficient support from upper management and partial integration between the areas to improve the level of security have been determining factors in order for the security actions to be isolated, indicating a necessity for more effective controls regarding investment in security and its result with respect to the business