Boa Prática é Trilha e Não Trilho

O artigo Vulnerability Management do ISSA Journal de Junho de 2007 é um exemplo claro de que, um padrão/metodologia se adapta ao seu negócio e nunca você se adapta ao modelo proposto.

O artigo descreve um processo de gerenciamento de vulnerabilidades integrado, implementado seguindo as práticas do ITIL (Information Technology Infrastructure Library). Na minha opinião uma proposta muito adequada e simples.



Eu raramente vejo propostas assim, ao contrário, já vi implementações onde existia um processo de gestão de incidentes de TI e um processo de gestão de incidentes de segurança. Faz algum sentido isso? Nenhum, acredito que a adoção de um processo de gestão de todo e qualquer tipo de incidente traria muitas vantagens e uma aderência muito mais funcional e prática. Incidentes como vazamento de informação, ou que envolvam recursos não tecnológicos podem ser facilmente identificados e tratados. Para o processo de Continuidade de Negócios a adoção desse modelo é essencial, evitando o famoso quem aciona e quando aciona o plano.

A regra é, retire o melhor e o que se aplica ao seu negócio de cada prática e não se apegue ao compliance e não compliance.