Gbitten

Dois artigos interessantes sobre o assunto. Augusto Paes de Barros escreveu sobre a ausência da análise de risco no PCI e como isso dificulta um ganho efetivo de segurança. Por sua vez, Eric Ogren tem uma teoria sobre o SOx e a SB1386 serem efetivos em termos de segurança pois impõem a prestação de contas e a responsabilização, enquanto o PCI e o HIPAA estão mais para regulamentações CYA. Resumindo, para que uma regulamentação de segurança seja efetiva precisa:

1. Ter foco no risco;
2. Impor prestação de contas e responsabilização;
3. Ser mais que uma mera regulamentação CYA.

Marcadores: Regulamentação