(ISC)² CISSP - Certified Information Systems Security Professional - Uma ajudinha nas perguntas da certificação em CISSP

(ISC)² CISSP - Certified Information Systems Security Professional - Uma ajudinha nas perguntas da certificação em CISSP - Parte 1

quinta-feira, 1 de maio de 2014

(ISC)² International Information Systems Security Certification Consortium - CISSP Certified Information Systems Security Professional

- O que é?

CISSP é o acrônimo para Certified Information System Security Professional, é um certificado profissional emitido e mantido pela instituição (ISC)², fundada com o objetivo de estabelecer critérios para avaliar profissionais que trabalham com segurança da informação.

De acordo com o (ISC)², existem mais de 90.000 profissionais de segurança certificados em mais de 135 países.

Recentemente foi atribuída a certificação ANSI ISO/IEC Padrão ISO/IEC 17024 - trata-se da primeira certificação profissional a receber esta atribuição num espectro mundial.

A certificação é fundada sob um conjunto de melhores práticas estabelecidas pela instituição que foram agregadas na forma de 10 domínios.

Para se certificar, o profissional de segurança da informação deve passar o exame de conhecimentos específico, aceitar o Código de Ética da (ISC)², comprovar que tem um tempo mínimo de experiência na área e ser "apadrinhado" por outro profissional certificado.

- Áreas de incidência/domínios?

Metodologia e Sistema de Controle de Acesso:

Este domínio trata das melhores práticas para o desenvolvimento de metodologias de controlo de acessos. De controlos técnicos a gestão de controlos, trata-se de todo e qualquer mecanismo que tenha por objetivo estabelecer o triplo A (AAA - Autenticação, autorização e asserção - do inglês Authentication, authorization and accounting).

Segurança em Telecomunicações, Redes e Internet:

Este domínio trata dos principais controlos, técnicas e metodologias para assegurar a confidencialidade, integridade e disponibilidade de sistemas de informação através de mecanismos telecomunicação, redes de informação e Internet.

Práticas de Gestão de Segurança:

Trata-se do domínio que descreve as principais práticas de gestão da segurança de sistemas de informação. Está inserido neste contexto questões regulamentares (agências supragovernamentais), legislação específica (governo), gestão de políticas de segurança (diretrizes administrativas) e continuidade do negócio.

Desenvolvimento de Aplicações e Sistemas:

Este domínio compreende todas as práticas para gerir o desenvolvimento de aplicações e sistemas informativos com o foco em assegurar a confidencialidade, integridade e disponibilidade dos dados.

Criptografia:

O conjunto de melhores práticas para uso de algoritmos de criptografia simétricos, assimétricos e hash estão listados neste domínio. Considera-se também métodos de utilização híbridos que comportem a funcionalidade de autenticação, integridade e não-repúdio da informação.

Arquitetura e Modelos de Segurança:

Este domínio reúne os principais modelos de segurança utilizados para certificação de ambientes computacionais. São exemplos de modelos de certificação o ITSEC (Europa), TCSEC Estados Unidos (Orange Book), BS 7799 Inglaterra e Common Criteria.

Segurança Operacional:

Este domínio sugere uma compilação de boas práticas para a gestão operacional da segurança da informação, incluindo questões de armazenamento de cópias de segurança (técnicas de backup), controlo operacional de turnos, contratação de recursos humanos, etc.

Plano de Continuidade de Negócios:

O domínio mais próximo das necessidades da operação de negócios das empresas. Trata-se de uma compilação de melhores práticas para estabelecer um plano bem sucedido de continuidade de negócios, incluído procedimentos de contingência para componentes separados de negócio e, em casos mais tradicionais e custosos, um plano de recuperação de desastres.

Lei, Investigação e Ética:

Este domínio trata das questões legais que tangem o universo da segurança da informação. De exemplos concretos como os atos de proteção a sistemas de telecomunicação (1996) nos Estados Unidos à condição atual da legislação europeia, o objetivo é compreender a motivação para estabelecer regulamentações de proteção a informação em uma sociedade, processos investigativos para sustentar o devido processo legal e condição ética necessária para os profissionais envolvidos.

Segurança Física:

Conjunto de melhores práticas para avaliar e estabelecer controlos técnicos, operacionais e gerenciais de proteção física de um ambiente de processamento de dados.

- A quem se destina?

.Administradores de Segurança que pretendam melhorar as suas competências e assegurar a progressão da sua carreira profissional.

.Colaboradores de empresas que pretendam melhorar o ser perfil na área de segurança e garantir mais competitividade para a sua organização.

.Profissionais que colaborem em empresas especializadas na área de segurança e que necessitem de ver reconhecidas as suas competências na área da segurança perante parceiros, clientes e outras entidades terceiras, garantindo um patamar de destaque para a sua organização.

.Auditores e/ou Consultores de Segurança
.Quaisquer profissionais na área da segurança