Framework for trust management in information security

Resumo

A gestão de confiança em segurança da informação envolve estabelecer, manter e verificar relações confiáveis entre sistemas, usuários e processos, garantindo a integridade, confidencialidade e disponibilidade dos sistemas. Nesta realidade, várias estratégias emergem a fim de mitigar esses riscos e melhorar a postura das organizações em segurança da informação. Em particular, a estratégia Zero Trust (ZT) parte do princípio de que nenhuma entidade, seja interna ou externa, deve ser automaticamente confiável. Essa estratégia enfatiza a necessidade de visibilidade completa e controle rigoroso sobre quem e o que está acessando a rede, aplicando políticas de segurança baseadas na identidade, contexto e comportamento. Dessa forma, a ZT remodelou a mentalidade corporativa, exigindo maior atenção da administração para uma implementação bem-sucedida levando a necessidade de ampliar a compreensão sobre os desafios organizacionais sobre gerenciamento de confiança. A estratégia ZT, nesta tese, torna-se uma referência de investigação para entender quais são esses desafios organizacionais. Ela está estruturada em torno da exploração teórica e empírica deste domínio. O capítulo introdutório apresenta uma visão ampliada dos principais conceitos sobre o tema seguido de uma revisão sistemática da literatura, no segundo capítulo, sobre gerenciamento de confiança em segurança da informação investigando estratégias, fundamentos, metodologias e técnicas. O terceiro capítulo busca insights empíricos derivados de uma abordagem qualitativaquantitativa, com base em um painel virtual Delphi com 29 especialistas em segurança de informação e uma posterior análise fuzzy e de tomada de decisão multicritério (MCDM) com a aplicação do método CRITIC (importância dos critérios através da correlação intercritérios). Identifica-se quatro dimensões de desafios organizacionais para a gestão da confiança: custos e investimentos, cultura organizacional, mudanças operacionais e processuais, além de riscos e conformidade. O quarto capítulo apresenta insights empíricos adicionais em uma abordagem qualitativa indutiva, com base em 27 entrevistas semiestruturadas com profissionais de segurança da informação em diversos setores no Brasil. Os resultados confirmam tais desafios nas quatro dimensões. O quinto capítulo apresenta uma nova validação empírica por meio de uma abordagem quantitativa, utilizando o método ENTROPY. Essa validação foi realizada com 27 entrevistas estruturadas com os mesmos especialistas, com o objetivo de classificar os principais critérios nas quatro dimensões organizacionais que desafiam a gestão da estratégia ZT. Além disso, aplicou um questionário de pesquisa realizado com 267 especialistas em segurança da informação. As conclusões indicam que os desafios organizacionais, como cultura organizacional, custos e investimentos, estão significativamente associados às iniciativas de adoção da estratégia ZT. Em contrapartida, mudanças operacionais, alterações nos processos e conformidade regulatória não mostraram um impacto significativo. Este resultado revela que os desafios de gestão da confiança em segurança da informação no domínio ZT estão, em sua maioria, enraizados em fatores humanos e econômicos. Isso está interligado com a maturidade e o entendimento sobre a estratégia ZT, na prática. No último capítulo, apresentamos um quadro síntese geral, em uma perspectiva holística, a respeito das principais estratégias, fundamentos, metodologias e técnicas para a gestão da confiança em segurança da informação. As teorias de gestão da confiança e agente-principal sustentam todas as evidências, destacando as discrepâncias entre o campo teórico e a implementação prática. Esta tese conta com 370 referências bibliográficas e oferece uma contribuição teórica e prática para o gerenciamento da confiança. Através da proposição de um quadro de referência, ela orienta as organizações nas estratégias de gestão da confiança, auxiliando na melhoria da postura de segurança da informação em um cenário cada vez mais desafiador e complexo.

Ficha do documento

Tipo

Tese

Ano

2024

Instituição

Fundação Getulio Vargas

Fonte

Repositório da FGV

Idioma

Inglês

Acesso

Acesso aberto

Identificador

oai:repositorio.fgv.br:10438/36003

Temas

EconomiaTecnologia

Palavras-chave

Zero trustInformation securityTrust managementInformation technologySegurança de informaçãoGerenciamento da confiançaTecnologia de informaçãoAdministração de empresasTecnologia da informação - Medidas de segurançaComputadores - Medidas de segurançaEmpresas - Medidas de segurançaConfiançaComportamento organizacional