Segurança da Informação auditoria e Controle
Cenário da empresa WebEletro Ltda
A empresa WebEletro Ltda possui a finalidade de venda de produtos eletrônicos pela Internet.
Ela não possui uma loja física para a venda de produtos, pois todo o seu ambiente de negócio é
baseado nas tecnologias da Internet.
A WebEletro possui 5 sócios proprietários, sendo 1 presidente e 4 diretores, além de 4 gerentes
de área e 21 empregados, totalizando ao todo 30 funcionários, os quais realizam todas as
atividades diárias da companhia no comércio virtual de produtos eletrônicos.
Você e sua equipe foram contratados para um plano de governança de TI, englobe, planejamento
estratégico, gerenciamento de risco, plano de respostas ao risco e plano de continuidade.
A organização Administrativa da companhia está implementada da seguinte forma:
Área: Presidência
Pessoal: 1 Diretor Presidente
1 Secretária
Área: Vendas
Pessoal: 1 Diretor de Vendas
1 Gerente de Vendas
5 Analista de Vendas
Área: Compras
Pessoal: 1 Diretor de Compras
1 Gerente de Compras
2 Analista de Compras
Área: Logística
Pessoal: 1 Diretor de Logística
1 Gerente de Logística
8 Auxiliares de Logística
Área: Tecnologia
Pessoal: 1 Diretor de Tecnologia
1 Gerente de Tecnologia
5 Analista de Suporte
1 Analista de Redes
A estrutura física da companhia possui sete áreas distintas, as quais estão configuradas conforme
a seguinte figura:
Segurança da Informação auditoria e Controle
Atualmente a empresa possui 30 computadores pessoais do tipo Desktop, todos com Windows
10 Instalado. Possui também 5 Notebooks de uso pessoal pelos diretores da empresa.
A infraestrutura de Tecnologia da Informação, além dos computadores de escritório já
descritos, possui ainda:
2- Servidores para o Portal da Companhia na Internet
2- Servidores para o Sistema de Comércio Eletrônico (vendas, clientes e crm)
2- Servidores para demais sistemas como Contabilidade, RH, Financeiro, Compras.
2- Servidores para Banco de Dados da Companhia
2- Servidores de Arquivos de uso geral.
1- Roteador para o Link de Acesso Internet
4- Switch para acesso aos setores da organização.
1- Link de acesso à internet e serviços da empresa.
1- Firewall para proteção dos acessos via Internet
1- Sistema de Storage de Discos com tecnologia Raid 6 e capacidade de 100 Terabytes.
Todos os recursos anteriores ficam residentes na Sala de Servidores, a qual possui paredes
contra incêndio, 3 aparelhos de Ar-Condicionado, sistema de No-Break para 10 horas de uso
em caso de falta de energia e acesso através de Autenticação Biométrica pela palma da mão
(5 digitais).
A Topologia Física da rede da WebEletro pode ser visualizada na figura abaixo:
As seguintes descrições resumidas apresentam demais características de funcionamento da
companhia, incluindo alguns comportamentos das pessoas/empregados, bem como detalhes
das configurações globais do ambiente computacional e de Sistemas de Informação:
1- A companhia não possui um sistema de autenticação centralizada, portanto cada
computador/notebook possui seus próprios usuários locais.
2- Os acessos aos sistemas da empresa são realizados através de Aplicações do tipo Desktop
e/ou via navegadores Web do tipo IE ou Mozilla e os usuários de acesso são criados conforme
a demanda, em cada sistema.
3- Não há uma regra que limite o acesso aos sistemas, pois os acessos são concedidos pela
área de tecnologia, conforme solicitação e autorização da gerência da área.
4- Inexiste uma regra para a definição dos Logins dos usuários, tampouco sobre as
características das senhas que deveriam utilizar.
5- Não existe restrição de acesso às diversas áreas da empresa, ou seja, não existe uma
catraca e/ou identificador por crachás ou biometria.
6- Somente na Sala de Servidores é que o acesso é controlado por biometria baseado na
identificação das digitais da palma da mão.
7- Todos os Diretores e Gerentes possuem acesso aos sistemas da companhia diretamente da
Internet, através de VPN entre a empresa e os computadores remotos.
8- Todos os computadores desktop e notebooks possuem Software Antivírus, porém não existe
um sistema deste tipo de forma centralizada, onde é possível existir versões de software
Antivírus diferentes e até mesmo produtos diferentes.
9- Não há restrição de uso de Pendrives e/ou CD/DVRom nos computadores Desktop ou nos
Notebooks.
10- Não há sistema de backup de arquivos, pois todas as bases de dados e sistemas ficam
residentes no sistema de Storage, o qual suporta Raid Nível 6.
11- Ainda não existe um sistema de vigilância por câmeras nos escritórios e sala de servidores.
Somente há câmaras de vigilância no depósito e escritório de Logística e o DVR fica residente
na sala de servidores.
12- Todos os funcionários são registrados pela empresa e possuem Crachá de Identificação,
porém os acessos aos ambientes não possuem restrições físicas.
13- Todos os sistemas da empresa foram adquiridos no mercado de software e não possuem
até o momento, contrato de suporte e/ou atualizações, onde quando são necessários ajustes,
melhorias ou correções, são contratadas pontualmente.
14- Não há sistema de gerenciamento dos servidores, objetivando o monitoramento de uso dos
recursos (CPU, disco, processadores, memória e rede), tampouco sobre os acessos realizados
diretamente nos servidores (logins locais e remotos).
15- Não existe rotina de auditoria nos logs dos sistemas da empresa, onde somente em caso
de problemas, os logs dos sistemas são verificados.
16- Quando ocorre algum tipo de inconsistência nos dados dos sistemas da empresa, a equipe
de Tecnologia realiza alterações diretamente em banco de dados, objetivando rapidez nos
atendimentos aos usuários e clientes da companhia.
17- Não há manuais de utilização dos sistemas da empresa. Os novos empregados são
capacitados pelos próprios colegas de trabalho, os quais já conhecem as rotinas funcionais
dos sistemas que utilizam.
18- Não há política de uso no acesso Internet pelos empregados.
19- O uso do Link da Internet é monitorado com relação à quantidade de uso (tráfego de
entrada e saída), porém não há gerenciamento dos acessos e utilização do recurso pelos
empregados.
20- Não há política ou regra de utilização do serviço de correio eletrônico (e-mail), onde os
usuários podem enviar e receber qualquer tipo de arquivo anexo, independente de tamanho,
onde somente há restrição do tamanho das caixas postais.