Segurança
em
Tecnologia da
Informação
• Tutora:
Beatriz Magalhães
Unidade 3 - NORMAS E GESTÃO DE
SEGURANÇA DA INFORMAÇÃO
Em segurança da informação existem normas, padrões e
procedimentos a serem seguidos e certificados, como, por
exemplo, a ISO/IEC 27000. Adotar um padrão de segurança
reconhecido internacionalmente significa melhorar as operações,
uniformizar os processos, reduzir os riscos, averiguar métricas,
entre outros benefícios.
Depois de algumas décadas de história e aprimoramentos, em
2005, a ISO/IEC dá início a uma série direcionada à padronização
de normas para o segmento de segurança da informação, lançado
como padrão ISO/IEC 27000. Essa família de normas continuou
evoluindo, gerando mais de uma dezena de normais, tais como:
• ISO/IEC 27000: princípios e vocabulário utilizados nas normas
seguintes da família 27000.
• ISO/IEC 27001: requisitos para um Sistema de Gestão de
Segurança da Informação (SGSI).
• ISO/IEC 27002: boas práticas para controles de segurança da
informação.
Enquanto a ISO/IEC são entidades internacionais, a ABNT (Associação
Brasileiras de Normas Técnicas) é o órgão responsável pela
elaboração das Normas Brasileiras (ABNT NBR) e as distribui através
da sua comercialização.
ISO 27000
Esta norma apresenta as demais normas da família 27000,
apresentando a nomenclatura de cada uma delas, dá uma visão
geral sobre um SGSI (Sistema de Gestão de Segurança da
Informação), destacando a sua importância e como implementá-lo
e, também, especifica o vocabulário e definições de termos de
segurança da informação utilizados nas normas desta família (ABNT,
2018b),
ISO 27001
Uma organização precisa executar quatro etapas para implantar, monitorar,
manter e aprimorar o seu SGSI (ABNT, 2018b).
• A primeira é identificar os ativos de informações e seus requisitos de
segurança de informações através da análise do valor da informação, da
necessidade do negócio e da legislação.
• A segunda etapa é avaliar os riscos à segurança da informação, a qual
inclui a análise e avaliação dos riscos, identificando aqueles que podem,
ou não, ser aceitos.
• A terceira, então, trata-se os riscos levantados e avaliados
anteriormente, através da aplicação de controles para redução desses
riscos, análise e revisão dos critérios de aceitação, formas de evitá-los
e/ou formas de compartilhar esses risos com as seguradoras. Selecionar
e implementar controles relevantes para gerenciar riscos inaceitáveis.
• Na última etapa, quarta, monitora-se manter e melhorar a eficácia dos
controles associados aos ativos de informação através de métricas e
evidências de verificação e rastreabilidade para ações corretivas,
preventivas e de melhoria.
Para executar essas etapas descritas anteriormente é recomendado
utilizar um modelo conhecido como “Plan-Do-Check-Act” (PDCA), tão
conhecido e utilizado em sistemas de gestão. Segundo Faria (2020,
s.p.), o PDCA é definido como:
[...] um método amplamente aplicado para o controle eficaz e confiável das atividades de
uma organização, principalmente aquelas relacionadas às melhorias, possibilitando a
padronização nas informações do controle de qualidade e a menor probabilidade de erros
nas análises ao tornar as informações mais entendíveis.
No PDCA, as partes interessadas, também chamadas de stakeholders,
apresentam suas expectativas e requisitos como entrada no processo,
que inicia o ciclo de Plan (planejar), Do (fazer), Check (checar) e Act
(agir). Este ciclo é executado de forma cíclica até a concretização de
expectativas e requisitos para então ter o objetivo conquistado como
saída do processo.
O PDCA aplicado à norma ISO 27001 na gestão do SGSI
ISO 27002
Foca principalmente na implementação e gerenciamento de
controles, considerando os ambientes de riscos encontrados nas
organizações.
Fornece diretrizes para práticas de gestão de segurança da
informação e normas de segurança da informação para as
organizações, incluindo a seleção, implementação e o
gerenciamento de controles, levando em consideração os
ambientes de risco da segurança da informação da organização
(ABNT, 2013b, p. 1).
A norma define que é essencial a identificação dos requisitos de
segurança da informação, sendo eles vindo de três possíveis fontes
(ABNT, 2013b).
OUTRAS NORMAS E PADRÕES DE SEGURANÇA DA
COBIT (Objetivos de Controle de Informação e Tecnologia
Relacionada), ITIL (Biblioteca de Infraestrutura de Tecnologia da
Informação) e SOX (Lei Sarbanes-Oxley).
O COBIT é um padrão, também chamado de framework, para a
governança e gestão de TI.
Tal como o COBIT, a ITIL também é um conjunto de melhores
práticas que está fortemente inserido no contexto da governança
de TI e segurança da informação.
De forma simplificada, enquanto o COBIT descreve o quê, a
biblioteca ITIL descreve como, inclusive possibilitando que ambas
sejam utilizadas em conjunto (SCHROEDER, 2016).
Lei Sarbanes-Oxley (SOx )
O objetivo da SOx é o de identificar, combater e prevenir fraudes que
impactam no desempenho financeiro das organizações, garantindo o
compliance.
Todas as empresas, sejam americanas ou não, com ações na SEC
(Securities and Exchange Comission, o que equivale a nossa CVM -
Comissão de Valores Mobiliários – CVM brasileira) devem seguir as
definições da SOx.
Importante destacar que a Lei Sarbanes-Oxley não é um conjunto de
práticas de negócios e não especifica como uma empresa deve
armazenar registros. Em vez disso, define quais registros devem ser
armazenados e por quanto tempo.
A principal lei brasileira, chamada de LGPD, é o que
regulamenta tudo relacionado à proteção de dados,
sejam eles pessoais ou da organização, que seguem os
princípios de finalidade, adequação, necessidade, livre
acesso, qualidade dos dados, transparência, segurança,
prevenção, não discriminação e responsabilização e
prestação de contas.
POLÍTICAS DE SEGURANÇA DA INFORMAÇÃO
A política de segurança é a base para todas as questões relacionadas
à proteção da informação, desempenhando um papel importante em
todas as organizações.
As políticas de segurança só são realmente eficazes a partir do
momento em que os profissionais passam a atuar preventivamente.
Por mais eficazes que sejam os processos de controle e
monitoramento da organização, se os usuários não aplicarem, não
tornarem as boas práticas parte do seu dia a dia, as chances da
empresa ter os seus sistemas infectados por malwares se manterá
alta. Diante disso, a empresa deve adotar uma série de medidas
preventivas para reduzir as chances de vulnerabilidades serem
exploradas.
VOCÊ JÁ VIU UMA POLÍTICA DE
SEGURANÇA?
POLÍTICA DE SEGURANÇA DA
INFORMAÇÃO – PSI
A PSI é um conjunto de princípios que direcionam a gestão de
segurança de informações e suas diretrizes determinam o que deve
ser seguido pela organização para que sejam assegurados seus
recursos computacionais e suas informações (TCU, 2012).
Uma PSI visa proteger e garantir os três princípios da segurança da
informação – confidencialidade, integridade e disponibilidade. As
normas e práticas descritas na PSI devem sempre se relacionar a um
ou mais desses princípios.
Sua implementação previne danos ao andamento do negócio e
padroniza procedimentos, além de prever e mensurar respostas a
incidentes.
POLÍTICA DE SEGURANÇA DA
INFORMAÇÃO – PSI
O QUE É UMA POLÍTICA DE SEGURANÇA DA
INFORMAÇÃO – PSI:
[Link]
M&t=8s
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO EM 5
PASSOS: [Link]
Principais Normas de Segurança da Informação:
(falando sobre as isso)
[Link]
&t=109s
PLANO DE CONTINUIDADE DO NEGÓCIO – PCN
Antes de um imprevisto acontecer, deve-se ter um planejamento
prévio de como enfrentar e se reerguer para que as melhores
decisões sejam tomadas. Este planejamento é conhecido como da
Plano de Continuidade de Negócios (PCN).
Como exemplo: O maior exemplo de imprevisto, nos tempos atuais,
foi a quarentena causada pela COVID-19. Ela afetou a vida de milhões
de pessoas e teve um enorme impacto na economia mundial
(CUCOLO, 2020).
“PCN é o processo de gestão da capacidade de uma organização de
conseguir manter um nível de funcionamento adequado até o
retorno à situação normal, após a ocorrência de incidentes e
interrupções de negócios críticos” (ABRAPP, 2012, p. 8).
COMO ELABORAR UMA PCN
Dentre outras coisas, a PCN pode prever a elaboração e administração de planos
específicos, como os Planos de Contingência Operacional (PCO), de Recuperação de
Desastres (PRD) e de Gerenciamento de Crises (PGC).
1. Segundo a Abrapp (2012), o PCO é o plano que apresenta um conjunto de cenários de
inoperância da organização e respectivos procedimentos alternativos, planejados para
manter a continuidade das atividades prioritárias. O objetivo é reestabelecer o
funcionamento dos serviços, por exemplo, depois de uma queda de conexão à internet.
2. Já o PRD aborda os cenários de desastre e os “respectivos procedimentos de reação para
garantir que as atividades prioritárias retomem nível de operação aceitável dentro de
prazo tolerável” (ABRAPP, 2012, p. 25). Ele determina o planejamento para que a
empresa retome seus níveis originais de operação após o incidente.
3. E o PGC tem o foco em definir as funções e responsabilidades das equipes envolvidas
antes, durante e após um incidente. Apresenta o “conjunto de cenários e os respectivos
procedimentos de gestão para administrar, neutralizar ou eliminar impactos até a
superação da crise” (ABRAPP, 2012, p. 25).
Esses três planos possuem focos diferentes e, mesmo que não sejam escritos em um
documento específico para cada um, devem ser abordados na PCN, identificando os
procedimentos e recursos necessários para eliminar ou reduzir o impacto.
ASPECTOS HUMANOS DA SEGURANAÇA DA INFORMAÇÃO
Apesar da tecnologia fornecer diferentes meios para incrementar o nível de
segurança da informação, existe a necessidade de mudar esses métodos de
modo a incluir uma variável subjetiva: o fator humano (ARAÚJO; ARAÚJO;
BATISTA, 2018).
Quando se trata de segurança da informação, o fator humano sempre estará
envolvido. Segundo Araújo, Araújo e Batista (2018), são atribuídas ao elemento
humano diferentes tipos de vulnerabilidades relacionadas com os sistemas de
informação. E quando essas pessoas se tornam alvo, por exemplo, de um
ataque de engenharia social, o comprometimento da segurança tornase
iminente, independentemente das medidas protetivas (FRANGOPOULOS;
ELOFF; VENTER, 2013).
Para sanar com as questões negativas do aspecto humano, assim como as já
recomendadas pela PSI, pela LGPD e pela ISO 27002, recomenda-se as
campanhas de divulgação e treinamento com todos envolvidos na organização.
Para sanar com as questões negativas do aspecto humano, assim como as já
recomendadas pela PSI, pela LGPD e pela ISO 27002, recomenda-se as
campanhas de divulgação e treinamento com todos envolvidos na organização.
PAPÉIS E RESPONSABILIDADES DA SEGURANÇA DA INFORMAÇÃO
Foram citados alguns documentos a serem criados, como a PSI e a PCN, assim
como várias atividades a serem realizadas, na maioria das vezes de forma
periódica, por vários funcionários, cada um com seu papel (gestor, administrador,
técnico etc.) e sua responsabilidade.
Estes papéis e responsabilidades vão depender muito do porte da organização,
assim como da preocupação com a segurança da informação.
Alguns possíveis papéis são (ABNT, 2015):
• Alta Administração (DPO, CSO etc.): responsável pela visão, decisões
estratégicas e pela coordenação de atividades para dirigir e controlar a
organização.
• Diretor Executivo de Segurança da Informação: tem a responsabilidade e a
governança globais em relação à segurança da informação, garantindo o correto
tratamento dos ativos de informação.
• Segurança Física: é a pessoa responsável pela segurança física, por exemplo:
das construções, e normalmente chamado de Gerente de Instalações.
• Gerência de Risco: a pessoa responsável pela estrutura de gerenciamento de
risco da organização, incluindo avaliação de risco, tratamento de risco e
monitoramento de risco.
• Auditor: é o responsável por avaliar o SGSI.
Essas responsabilidades devem estar bem documentadas e detalhadas
na PSI para que o gestor responsável saiba o que cabe a ele fazer ou
gerenciar (ABNT, 2013b). A respeito deste gestor, da mesma forma que
ele tem que ser competente e capaz de cumprir com suas
responsabilidades, a organização também precisa fornecer
oportunidades de atualizá-lo com as melhores práticas através de
cursos e formações (ABNT, 2013b).
Tudo isso tem que estar bem definido para uma boa gestão da
segurança da informação. Definido os papéis e responsabilidades,
outro ponto a ser estabelecido são as responsabilidades e cuidados ao
se trabalhar fora da organização, trazer seus dispositivos para dentro
da organização ou mesmo trabalhar utilizando dispositivos móveis
Nem sempre o colaborador trabalhará dentro da organização, com todas as
proteções de segurança da informação garantidas por ela. Além disso, muitas
vezes ainda será necessário tratar com informações sigilosas fora deste ambiente
seguro, ou, ainda, o colaborador estará utilizando seu próprio dispositivo dentro
do ambiente da empresa para tratar com essas informações.
Considerando esse cenário, a norma ISO 27002 (ABNT, 2013b) traz um bom
detalhamento para a política de gerenciamento de riscos decorrentes do uso de
dispositivos móveis e de trabalho remoto. A norma define que trabalho remoto é
toda aquela forma de trabalho fora do ambiente da organização, incluindo
ambientes de trabalho não tradicionais, como aqueles referidos como:
ambientes de telecommuting, local de trabalho flexível, trabalho remoto,
trabalho virtual ou teletrabalho.
Independentemente se utilizando dispositivos móveis ou realizando trabalho
remoto, precisam ser tomadas as devidas precauções considerando os riscos de
trabalhar em ambientes desprotegidos. Dessa forma, convém considerar, por
exemplo, restrições quanto à instalação de softwares, controle de acesso e
técnicas criptográficas. Nesses casos, o dispositivo estaria protegido, por
exemplo, contra a instalação de um vírus, contra a tentativa de acesso quando o
dispositivo está bloqueado e contra a leitura do SDcard, respectivamente.
E relembrando um ponto essencial, para lidar com o aspecto humano
é sempre importante lembrar a necessidade de treinamentos quanto
ao risco adicional desta forma de trabalho. Em resumo, lidar com a
segurança de dispositivos móveis, ou trabalho remoto, envolve as
mesmas práticas de segurança utilizadas para dispositivos fixos, mas
levando em consideração os riscos de estar fora das instalações da
organização.
Muitas organizações restringem o acesso aos seus sistemas através
do endereço IP de origem para garantir que somente um IP interno
da organização consiga ter acesso. Quando o funcionário está fora do
local do trabalho, ou ainda quando ele está em uma conexão de
internet não segura, recomenda-se fazer uma VPN (Virtual Private
Network – Rede Virtual Privada). Segundo Silva (2020), uma VPN
permite acesso remoto a recursos de uma rede local, ainda que você
não esteja fisicamente conectado nessa rede e, principalmente, serve
para garantir proteção durante a troca de informações pela internet
em redes públicas.
Fazendo trabalho remoto, ou mesmo presencial, muitas vezes será necessário o
envio de mensagens eletrônicas, consequentemente, segundo a norma ISO 27002
(ABNT, 2013b), seria adequado que as informações que trafegam neste meio
sejam devidamente protegidas.
O desenvolvimento de uma PSI no emprego de mensagens eletrônicas no meio
corporativo tem como objetivo proteger não somente os dispositivos, mas
principalmente a informação em si. Para isso acontecer, as mensagens tem que
ser protegidas contra acesso não autorizado, modificação ou negação de serviço,
assim, trazendo confiabilidade e disponibilidade. Um dos pontos a serem
considerados são os controles e restrições quanto ao redirecionamento
automático de mensagens eletrônicas para endereços externos, como o e-mail
pessoal do funcionário, para que não haja vazamento de informação ou, ainda,
deixar que uma informação sigilosa fique armazenada em um local possivelmente
inseguro. Quando utilizado em ambiente externo à organização, como redes
públicas, deve haver um nível mais elevado de autenticação para controlar o
acesso, é necessário, também, ter a aprovação prévia do superior, para utilizar tal
serviço ou mesmo serviços públicos externos, como sistemas de mensagens
eletrônicas, redes sociais ou compartilhamento de arquivos (ABNT, 2013b).
Uma recomendação de segurança para acesso não somente ao seu e-mail, mas
também a outros sistemas, é a utilização da autenticação em dois fatores. Além
dessa recomendação, segue alguns outros exemplos de itens que muitas vezes
são utilizados nas políticas de segurança de mensagens eletrônicas corporativas
(AFROREGGAE, 2014):
• o serviço de e-mail deve ser destinado, exclusivamente, para atender aos
interesses da instituição, sendo vedado seu uso para outros fins;
• deve ser vedada a realização de redirecionamentos para contas pessoais dos
usuários;
• todas as informações produzidas ou recebidas pelos serviços de mensagens
eletrônicas poderão ser acessadas a qualquer tempo pela instituição;
• os usuários deverão manter em sigilo sua senha de acesso ao e-mail, visto que
esta senha é de uso pessoal e intransferível, realizando a substituição desta em
caso de suspeita de violação;
• é vedada a utilização do serviço de e-mail para envio de materiais obscenos,
ilegais, não éticos, pessoais, de propaganda ou de spam;
• é vedado transmitir ilegalmente propriedade intelectual da instituição ou de
terceiros ou outros tipos de informações proprietárias sem a permissão do
proprietário ou do licenciante;
• é vedado transmitir a terceiros o mailing (lista de todos os e-mails) da
instituição.
Fraga e Lung (2006, p. 155), controle de acesso é um
serviço
de segurança que “limita as ações ou operações que um
sujeito de um sistema computacional pode executar,
restringindo o que ele pode fazer diretamente, como
também os programas que podem ser executados em
seu nome”.
Política da mesa
limpa
Apesar de bem comum, imagino que você também já tenha presenciado isso na sua
empresa, ela pode representar um grande risco à informação. Porque sem medidas
apropriadas, todas as informações e ativos deixados na mesa pelo colaborador podem ser
acessadas, vistas ou levadas por uma pessoa não autorizada. E dependendo da intenção, a
pessoa mal intencionada, já que o computador não está com senha, ele pode realizar
atividades no nome do empregado que se ausentou.(LEAL, 2016)
A política de mesa limpa e tela limpa, fala das práticas relacionadas a assegurar que
informações sensíveis, independente do seu formato, seja ele digital ou físico, e
ativos (e.g., notebooks, celulares, tablets, etc.) não sejam deixados desprotegidos
em lugares de trabalho pessoais ou públicos quando não estiverem sendo usados,
ou quando alguém deixa sua área de trabalho, seja por um curto período de tempo
ou ao final do dia. (LEAL, 2016).
Após a definição da política, do que quer ser protegido, é necessário que todos
saibam. Para isso, a organização pode utilizar de diversos canais de comunicação e
atinja o nível de conscientização que espera.
O segredo do sucesso de uma campanha consiste em uma boa estratégia para
utilização desses canais, gerando os efeitos desejados em cada uma das fases,
falando com os diversos tipos de audiência de forma distinta, compreendendo as
características e o contexto no qual cada um dos canais é mais eficaz
DIVULGANDO A
POLÍTICA
AUDITORIA, SEGURANÇA FÍSICA E DO
AMBIENTE
A AUDITORIA de sistemas de informação visa verificar a
conformidade não dos aspectos contábeis da organização, mas sim
do próprio ambiente informatizado, garantindo a integridade dos
dados manipulados pelo computador. Assim, ela estabelece e
mantém procedimentos documentados para planejamento e
utilização dos recursos computacionais da empresa, verificando
aspectos de segurança e qualidade.
AUDITORIA
O TRABALHO DA AUDITORIA de sistemas acontece com o estabelecimento de metodologias,
objetivos de controle e procedimentos a serem adotados por todos aqueles que operam ou
são responsáveis por equipamentos de TI e/ou sistemas dentro da organização.
A atividade de planejamento em auditoria de sistemas de informações é imprescindível para
melhor orientar o desenvolvimento dos trabalhos. Como o trabalho de auditoria representa
processo contínuo de avaliação de risco ao qual se adicionam as experiências individuais dos
profissionais e a evolução da prática e metodologias, aliadas aos resultados dos trabalhos e
processos de negócio anteriormente, objetos de avaliação dos auditores , o planejamento é
caracterizado para evitar quaisquer surpresas que possam acontecer tanto nas atividades
empresariais, objeto de auditoria, como também em relação à responsabilidade dos
auditores.
Em resumo, uma auditoria realiza o levantamento e análise de procedimentos e
rotinas da organização.
Os três principais tipos de auditoria são: de primeira parte (auditoria interna), de
segunda parte (auditoria de fornecedor) e a de terceira parte (auditoria externa).
A auditoria interna é aquela realizada por um departamento interno da organização
e um dos objetivos é identificar quais itens não estão sendo atendidos,
possibilitando a criação de plano de ação para ajustar os processos e assim se
adequar à norma (ABNT, 2018a).
A auditoria de fornecedor são auditorias realizadas nos fornecedores da empresa,
com o objetivo de atestar a capacidade dele em atender as necessidades e
expectativas da empresa, podendo ser feita pela própria empresa ou por terceiros
em seu nome (ABNT, 2018a).
A auditoria externa, é a auditoria realizada por uma entidade externa e
independente da organização, com o objetivo de emitir um parecer sobre a
adequação do SGSI quanto ao seu estabelecimento, documentação, implementação
e manutenção, sendo um requisito necessário para a certificação (ABNT, 2018a).
O escopo da auditoria deve ser definido pelo responsável interno
da auditoria e precisam compor um conjunto bem definido de
pessoas, processos e tecnologias que correspondam claramente
ao objetivo da auditoria. Mapear esses objetivos é um desafio para
os auditores. Eles iniciam identificando a atividade de negócios
com maior chance de produzir o melhor tipo de evidência para
apoiar o objetivo da auditoria. Depois identificam quais sistemas e
redes de aplicativos são usados para computar as informações que
suportam as atividades operacionais e comerciais das companhias
(TATICCA, 2020)
ÁREAS SEGURAS
A definição de perímetros de segurança, e seus respectivos
controles, são importantes recomendações de segurança para áreas
seguras.
O objetivo destas áreas seguras é prevenir o acesso físico não
autorizado, danos e interferências com os recursos de
processamento das informações e as informações da organização
(ABNT, 2013b).
É importante proteger os equipamentos contra perdas, danos, furto
ou roubo, ou comprometimento de informações ou ainda a
interrupção das operações da organização.
Os principais pontos a serem considerados na garantia da operação
segura e correta dos recursos de processamento da informação são:
documentação, proteção contra códigos maliciosos, proteção contra
perda de dados, logs, integridade de sistemas operacionais e a
prevenção contra a exploração de vulnerabilidades.
E, para tal, alguns controles deverão ser implementados:
O que uma auditoria de TI verifica:
[Link]
mQ
Auditória e Segurança de Sistemas | PlayList:
[Link]
gE&list=PL_oNQJXGA4X-OJODPYsQt40PTEd5l5U
B-
Isso é tudo, pessoal!