Disciplina: Sistemas de Informação Gerencial Prof.: Érico Oda. Aula 9 Tema: A Segurança de Informações SUMÁRIO - PDF
Disciplina: Sistemas de Informação Gerencial Prof.: Érico Oda. Aula 9 Tema: A Segurança de Informações SUMÁRIO
Download "Disciplina: Sistemas de Informação Gerencial Prof.: Érico Oda. Aula 9 Tema: A Segurança de Informações SUMÁRIO"
Natan Marroquim Santos
1 Disciplina: Sistemas de Informação Gerencial Prof.: Érico Oda Aula 9 Tema: A Segurança de Informações "Se você conhece o inimigo e conhece a si mesmo, não precisa temer o resultado de cem batalhas. Se você se conhece, mas não conhece o inimigo, para cada vitória sofrerá também uma derrota. Se você não conhece nem o inimigo nem a si mesmo, perderá todas as batalhas. A Arte da Guerra, Sun Tzu, 500 a.c SUMÁRIO 1. A importância e valor das informações empresariais Aspectos gerais da Segurança de Informação Atributos específicos da Informação Conceitos de Segurança Dimensões a analisar na segurança de informação (GUT) Medidas a adotar em segurança de informação Ciclos de vida da informação: momentos da Segurança Gestão de Segurança da Informação Planejamento da Segurança de Informação Execução da Segurança de Informação Controle da Segurança de Informação Auditoria de Segurança da Informação Políticas da Segurança de Informação Segurança física e ambiental de informações Alimentação de energia elétrica de qualidade Temperatura condicionada Umidade ambiente Fatores ambientais naturais: Medidas de Proteção em Segurança Físicas Segurança Lógica Evitando erros de construção/desenvolvimento Documentação de Sistemas de Informação Erros de Operação de Sistemas de Informação Medidas de Segurança Lógica em Sistemas de Informação Segurança de Acesso: Confidencialidade As seis barreiras de Segurança de informação Segurança na Internet Privacidade de dados e das informações Medidas de Segurança de Acesso e Confidencialidade Segurança Ocupacional Padrões e normas de segurança no mercado... 14
2 1. A importância e valor das informações empresariais O valor econômico de uma empresa é medido pelo conjunto de todos os ativos que formam o seu patrimônio, que deve ser dotado de medidas de segurança contra fatos e elementos que possam representar ameaças à sua integridade e posse, ou que diminuam o seu valor.. No cenário atual da Economia digital e globalizada, com o aumento de importância dos serviços em detrimento dos produtos, o valor dos ativos intangíveis, constituídos e representados pela informação e pelo conhecimento das empresas e dos indivíduos que as compõem, é significativamente superior, em relevância e valor, aos ativos tangíveis, financeiros e materiais. Ex: valor de marcas, softwares, fórmulas, projetos de novas tecnologias, capital intelectual. Aliado ao aumento de seu valor, a informação no ambiente empresarial têm aumentado a sua importância geral, com as empresas dependendo cada vez mais das Tecnologias de Informações, modelando as suas estruturas centrais de negócios com a aplicação das mesmas. Ex: bancos. Devido à crescente dependência e à importância das informações e suas tecnologias nas empresas, a segurança empresarial deve tratar com especial atenção a segurança das mesmas, efetuando a análise de riscos, vulnerabilidades e conseqüências envolvidos com a sua perda parcial ou total, providenciando recursos e mecanismos que as coloquem a salvo das ameaças e garantam as suas integridades e disponibilidades para a organização No papel de formação do ativo intangível das organizações e dos indivíduos e com o aumento da dependência das organizações, as informações, suas tecnologias e os conhecimentos decorrentes do uso das mesmas devem ser protegidos e preservados para que mantenham e/ou elevem o seu valor empresarial Aspectos gerais da Segurança de Informação Diferentemente de outros ativos cujo valor é representado pela sua integridade e disponibilidade para a empresa, a informação tem grande parte de seu valor definida pela sua exclusividade. Então as medidas de segurança da informação, além das voltadas à proteção dos aspectos tradicionais dos ativos tangíveis relacionados à sua integridade, sua disponibilidade, deverão preservar a sua confidencialidade. A integridade da informação é assegurada pela garantia de sua precisão e abrangência, na dimensão lógica, bem como pela preservação dos meios pessoas, computadores, equipamentos - que a manipulam e armazenam na dimensão física, além de cópias de segurança que possibilite a sua recuperação em caso de danos eventuais. A disponibilidade das informações é garantida pela confiabilidade e rapidez dos sistemas que as geram pela agilidade dos meios de comunicação que as disponibilizam. A confidencialidade da informação deve ser afiançada pela restrição de acessos somente às pessoas autorizadas, uma vez que a propriedade e a limitação de disseminação da mesma determinam o seu valor. A confidencialidade é atualmente o aspecto de maior projeção, pois a natureza digital das informações empresariais atuais as torna bastante vulneráveis, devido às facilidades de acesso e cópia, propiciadas pelos mesmos meios que garantem a sua integridade (computação) e disponibilidade (telecomunicações).
3 1.2. Atributos específicos da Informação Além dos aspectos gerais a ser preservados, há os atributos específicos de cada informação a serem analisados e preservados: Confiabilidade - Fidedignidade, neutralidade e essência da informação com objeto ou fato a que se relaciona. Ex: dados de currículos pessoais Relevância importância e criticidade do conteúdo da informação em relação ao negócio e processos da empresa. Ex: formula de um medicamento, planos de negócio. Legalidade a informação deve estar alinhada à legislação vigente e à ética e responsabilidade social. 2. Conceitos de Segurança Sêmola (2003, p.43) define segurança de informação como a área de conhecimento dedicada à proteção de ativos da informação contra alterações indevidas, sua indisponibilidade ou a acessos não autorizados, que estão relacionadas, respectivamente, à preservação da sua integridade, disponibilidade e confidencialidade. Ameaças à segurança de informações, segundo o mesmo autor (2003,p.47) são agentes ou condições que causam incidentes que comprometem as informações e seus ativos, provocando perdas de confidencialidade, integridade e disponibilidade e, consequentemente, causando impactos aos negócios de uma organização, explorando as vulnerabilidade e/ou fragilidades existentes no contexto empresarial; 2.1. Dimensões a analisar na segurança de informação (GUT) Os aspectos a serem considerados para determinação de prioridades de medidas de segurança e da solução, na análise de riscos potenciais e em caso de ocorrência do fato inseguro: (com exemplos genéricos) Gravidade ou severidade: alcance e amplitude provável dos danos e/ou prejuízos decorrentes do fato inseguro. Ex: prioridade de resolução de problemas de paralisação das máquinas da produção em relação aos de lançamentos errados da contabilidade; Urgência: prazo disponível para a solução do problema, podendo haver um limite máximo ou quando os danos podem aumentar significativamente com o passar do tempo. Ex: em um pronto socorro atender os pacientes em estados mais graves; Tendência: determinados problemas, caso não sejam solucionados quando ainda são pequenos, podem resultar em aumentos gradativos dos danos. Ex: resolver o problema de um pequeno vazamento em uma barragem hidroelétrica Medidas a adotar em segurança de informação As vulnerabilidades e fragilidades existentes devem ser eliminadas e as ameaças, podem ser atenuadas e até anuladas com medidas de segurança e providências que proporcionem:
4 - Prevenção: análise de probabilidade de ocorrência de ameaças e riscos com mecanismos que inibam a insegurança das informações de uma empresa; - Predição ou detecção: com processos e instrumentos que possibilitem monitorar os sinais e as condições de risco iminente, alertando em caso de possibilidade de ocorrência; - Correção: com a preparação prévia de planos de recuperação, para o retorno das condições anteriores e originais de operação 2.3. Ciclos de vida da informação: momentos da Segurança A informação é obtida, armazenada, utilizada e descartada pelas empresas mediante o ciclo estabelecido pelos seus usuários e seus sistemas de informação. As de medidas de segurança devem ser providenciadas nas diferentes etapas deste ciclo, mediante mecanismos e ações adequadas a cada momento de seu ciclo de vida: 1. Manuseio regulamentando procedimentos de origem, manipulação e transito de planilhas de dados, relatórios e tabelas, utilizados em entrada e saída de dados e informações, desde o seu fato gerador até o destino final, com cuidados específicos a cada elemento tangível envolvido; 2. Armazenamento com restrições condicionando as cópias e acessos nos registros e gravações de dados e informações, contidas em banco de dados, regendo as operações de inclusão, alteração, tratamento e consulta; 3. Tratamento assegurando a correta execução de operações e a precisão dos resultados a obter, mediante atualizações, integrações, importações e exportações de dados, devidamente controlados e rastreados; 4. Transmissão / Transporte garantindo a segurança do envio, trânsito e recebimento de informações, utilizando recursos de telecomunicações, utilizando VPN (virtual private network), criptografia, autenticação de emissor, de conteúdo e de receptor; 5. Descarte mediante especificação e monitoração das operações de descarte e destino final de dados e informações mediante depurações, limpezas (purgue) de discos rígidos (winchesters), CD s, fitas DAT, pendrives, e destruição de relatórios e documentos. 3. Gestão de Segurança da Informação A segurança de informação é responsabilidade de todos os profissionais e pessoas envolvidas nas diferentes etapas do ciclo de vida da informação, e deve ser administrada dentro dos princípios consagrados de gestão, efetuada com as fases do ciclo PDCA (Plan-planejar, Do-executar, Control-controlar e Act-agir, auditar) (Gil, 1998, págs.43 a 59) 3.1. Planejamento da Segurança de Informação O planejamento de segurança de informação de uma empresa compreende o desenvolvimento de atividades que visem o diagnóstico situacional, com foco nas
5 vulnerabilidades e fragilidades existentes, em possíveis ameaças e riscos com a determinação de prioridades mediante a análise GUT (ver 2.1). Após o diagnóstico sistêmico, deve planejar as providências, barreiras e ações a adotar para minimizar as condições que propiciem a insegurança das informações empresariais, utilizando as mais recentes tecnologias disponíveis, prevendo a atualização permanente dos mecanismos aplicados, elaborando o Plano de Segurança de Informação da empresa Execução da Segurança de Informação Esta fase se refere à concretização das providências e ações previstas no Plano de Segurança, com o envolvimento e treinamento de pessoas, instalação de barreiras físicas preconizadas, montagem de sistemas e softwares recomendados, providenciando as atualizações permanentes previstas, principalmente em softwares e sistemas Controle da Segurança de Informação Efetuada com os registros de todos os eventos referentes à segurança de informação, confrontando o comportamento planejado e ocorrido, para servir de base para o constante aprimoramento do Plano e seus mecanismos projetados Auditoria de Segurança da Informação Esta etapa da gestão da segurança de informação deve analisar todos os aspectos abrangidos pelo plano, para verificar a sua correta concretização e funcionamento planejados e realizados, averiguando todas as diferenças constatadas, e processando os registros dos eventos inseguros detectados para determinar as causas e/ou alvos da ameaça, de modo a aprimorar a segurança geral. 4. Políticas da Segurança de Informação A segurança de informação de uma empresa, para asseverar a integridade, confiabilidade e disponibilidade das mesmas, deve ser tratada oficialmente mediante o estabelecimento de uma política de segurança de informações da organização e que deve abordar as seguintes dimensões: Segurança física e ambiental - preservação da integridade dos computadores, insumos e instalações físicas, contra ameaças sistemáticas, ocasionais e naturais, providenciando a existência de planos de contingência, com alternativas de equipamentos e instalações fundamentais; Segurança lógica voltada ao funcionamento correto dos sistemas prevendo todas as suas possíveis condições de erro e prevenindo-as; Segurança de acessos prevenir contra possíveis acessos indevidos aos sistemas, informações e conhecimentos empresariais, com diferentes barreiras; Segurança ocupacional para prever a qualidade de condições de trabalho para os profissionais envolvidos com as informações e seus sistemas.
6 5. Segurança física e ambiental de informações A segurança física dos sistemas de informações ocupa-se da dimensão tangível dos recursos envolvidos na informatização empresarial. Isto compreende o cuidado com as instalações, os equipamentos e demais recursos físicos, zelando pela sua integridade, e utilização e funcionamento corretos. Para isto deverão implementar, monitorar e manter as seguintes condições: 5.1. Alimentação de energia elétrica de qualidade Os equipamentos computacionais e de telecomunicação são eletrônicos e necessitam de uma alimentação de energia elétrica limpa, estabilizada e constante para funcionar corretamente e sem problemas. A energia elétrica é fornecida por empresas concessionárias, públicas ou privadas, como serviço de utilidade pública, em determinados níveis e especificações adequados à alimentação de dispositivos eletro-eletrônicos, mas que, muitas vezes deixa a desejar em termos de qualidade, estabilidade e constância necessárias a um ambiente computacional. Para a garantia de qualidade da energia elétrica, mesmo as mais simples instalações de computadores utiliza filtros de linha para a eliminação de harmônicos espúrios, que são sujeiras existentes nos harmônicos normais da corrente alternada. Atuam de forma similar aos filtros de água fornecida pela rede pública, quando esta é utilizada para o consumo humano. Além dos problemas da limpeza da corrente elétrica, na rede pública pode haver uma variação de voltagem nominal, em níveis e intervalos acima dos admitidos pelos equipamentos utilizados em sistemas de informação, que são eliminados/ atenuados por estabilizadores de voltagem. As interrupções de fornecimento da energia elétrica, momentâneas ou de pequena duração, são fatais para computadores e seus periféricos podendo ocasionar danos irreparáveis nos mesmos e nos sistemas e dados em processamento. Para a prevenção destes eventos, as instalações computacionais devem estar dotadas de nobreaks (sem quebra), dotados de baterias de acumulação de energia elétrica, com dispositivos de carregamento e lógica de acionamento, que garantam o fornecimento de energia elétrica ininterrupta para a continuidade normal dos trabalhos. Em instalações que necessitem de plena segurança em termos de fornecimento de energia elétrica, além das providências e dispositivos anteriores, ainda são utilizados geradores de energia elétrica, movidos a diesel ou gasolina, devidamente dimensionados e mantidos em prontidão, para ser acionados caso a interrupção de energia se prolongue por prazo maior que a duração das baterias dos no-breaks Temperatura condicionada A utilização de energia elétrica tem como resultado colateral a sua dissipação como energia calorífica, verificada pelo aquecimento dos componentes que alimenta e dos condutores por onde passa. Nos equipamentos eletrônicos, pela extrema miniaturização e condensação de componentes nos circuitos eletrônicos, esta dissipação se acentua e, para manter o seu funcionamento normal, é necessário retirar este calor para que não haja prejuízo físico pela elevação da temperatura. Caso não seja dissipado este calor pode chegar a temperaturas de fusão dos materiais utilizados, inutilizando estes dispositivos.
7 Em computadores, de modo geral, utiliza-se a dissipação calorífica pelo ar, isto é, resfriam-se os componentes pela passagem forçada do ar com dissipadores metálicos para aumentar a superfície de contato e coolers para incrementar o fluxo do ar nestes dissipadores e suas superfícies de contato. O ar é injetado a uma temperatura, aquece e retorna ao meio ambiente a uma temperatura maior. Se esta dissipação for constante, como é o caso em instalações de servidores de redes de computadores que não são desligados, ou em ambientes de alta concentração de terminais, como em call-centers, o ar deve ser refrigerado para aumentar a eficiência da retirada deste calor e para evitar o aumento gradativo da temperatura do ambiente onde se localizam. Em alguns casos especiais, como em computadores de grande porte ou de grandes racks (bastidores) de equipamentos concentrados, onde somente a circulação do ar seja insuficiente para resfriar os componentes eletrônicos, utilizam-se redes circulantes e fechadas de água gelada para a retirada do calor Umidade ambiente A umidade ambiente é medida pela quantidade de vapor de água presente no ar, normalmente expressa em percentual de umidade relativa, em que 100% é o ponto de orvalho ou o nível de saturação que provoca a condensação do vapor para gotículas de agua. A temperatura ambiente tem influência na umidade relativa: quanto maior a temperatura, maior é a umidade absoluta admitida pelo ar. Quando a temperatura cai, observa-se a condensação do vapor de água, principalmente nas superfícies mais frias. A variação da umidade do ar ambiente deve ser mensurada e controlada, pois interfere no funcionamento de computadores e componentes eletrônicos nos dois extremos, exigindo cuidados específicos. Alta umidade ambiente: pode causar a oxidação gradativa de componentes metálicos prejudicando os contatos elétricos entre os mesmos e, quando excessiva, a diminuição da temperatura provoca a condensação nas superfícies metálicas, podendo ocasionar curto-circuito; Baixa umidade ambiente: há a geração e acumulação de energia estática em todos os corpos, ocasionadas pelo atrito entre átomos, e que podem provocar descargas elétricas que podem queimar placas e outros componentes. A medição pode deve ser feita com higrômetros, registrado por higrógrafos e o seu nível pode ser controlado por umidificadores e desumidificadores Fatores ambientais naturais: Como toda instalação elétrico-eletrônica os equipamentos computacionais estão sujeitos às conseqüências ocasionais das intempéries naturais, principalmente aos efeitos das descargas atmosféricas. Para evitar danos e interferências destes fatores ambientais naturais no funcionamento dos sistemas de informação, as instalações elétricas devem ter a prevenção destes fenômenos com pára-ráios, gaiolas de Faraday 1 e, principalmente, com o aterramento elétrico adequado de todos os equipamentos, que é proporcionado com circuitos projetados para tanto e pelos conectores tripolares (tomadas de três pinos) presentes nos equipamentos. 1 Blindagem eletromagnética composta de elementos condutores que envolvem uma determinada região do espaço (prédio, construção) e que impedem a entrada de perturbações oriundas de campos elétricos ou eletromagnéticos externos.
8 5.5. Medidas de Proteção em Segurança Físicas Possíveis danos físicos decorrentes de energia elétrica, temperatura, umidade ambiente e fenômenos naturais, e de displicência ou má fé por parte dos usuários devem ser evitados e/ou atenuados preventivamente, mediante projetos ambientais corretos, providências de controle de acessos, proteções físicas etc; Ex: pisos anti-estáticos e impermeáveis, vidros blindados, salas de computadores de acesso restrito e com registros de entradas etc. Prevendo-se a ocorrência do fato inseguro, deverão ser tomadas precauções para possibilitar a rápida recuperação da capacidade operacional dos sistemas de informação, adotando-se as seguintes providências e ações: Mirroring (espelhamento) de discos rígidos, duplicando os registros e arquivos em dois ou mais destes discos trabalhando em paralelo, pois são dispositivos eletrônico-mecânicos, sujeitos a quebras por defeitos e desgastes gradativos com o uso. Ex: RAID - Redundant Array of Independent Disks ou Conjunto Redundante de Discos Independentes; Duplexing (duplicação) de servidores inteiros, trabalhando em paralelo, em redes e sistemas de serviços de missão crítica, que não admitem interrupções de espécie alguma. Ex: servidores de UTI s, controladores de vôo. Backups de arquivos ou de discos inteiros, que são cópias de segurança, normalmente efetuadas em mídia portátil como fitas DDS (Digital Data Storage), DVD s, CD, etc., e mantidas em local diferente dos arquivos originais. Devem ser feitas de forma sistemática e gerenciada, em várias versões temporais (ex: uma cópia por dia), com testes de restauração em equipamentos diferentes da gravação. Além destas providências imediatas e diretas, em casos mais complexos e de maior responsabilidade, é necessária a elaboração de um plano geral de contingência, prevendo instalações e recursos computacionais alternativos, inclusive de pessoal, em caso de concretização de ameaças cujos danos impossibilitem a recuperação rápida de capacidade operacional das instalações originais. 6. Segurança Lógica A segurança lógica de informação é responsável pela garantia do bom funcionamento dos sistemas e softwares de tratamento das informações, pela sua constante atualização e desempenho, abrangendo cópias de segurança dos bancos de dados e de informações estratégicas, em meios e locais diferentes. Esta segurança é centrada na prevenção de erros de concepção e construção, de documentação e de operação dos sistemas Evitando erros de construção/desenvolvimento Os erros de concepção dos sistemas devem ser evitados na etapa de sua análise e projeto, iniciando com a correta determinação de escopo, isto é, da sua abrangência proposta do sistema e das limitações estabelecidas para seu uso e operação. Ex: sistemas para gestão de lojas de varejo não servirão para a gestão de indústrias metalúrgicas.
9 No estabelecimento das regras de negócios da empresa deverão ser especificados corretamente os processos contemplados pelos sistemas, especificando-os nas regras e, principalmente, nas suas exceções e respectivos tratamentos. Ex: caixas para vendas à vista e à prazo, com crediário próprio, cartões de débito e crédito, com possibilidade de escolhas e também de mudanças na hora da venda. No projeto e modelagem dos bancos de dados deverão ser previstos o armazenamento de todos os dados necessários à caracterização das entidades e seus relacionamentos, na estrutura mais adequada e ágil para o objetivo do sistema (cadastros de pessoas, empresas e produtos, tabelas auxiliares e arquivos de registro de operações e movimentos), considerando o tamanho dos arquivos que resultarão do seu uso e o desempenho durante as operações. Ainda na concepção do sistema deverão ser estabelecidas as regras de permissões e restrições de usuários e de grupos de usuários às funcionalidades do sistema e às operações com os registros. Ex: só os usuários de RH podem editar dados da folha de pagamento Documentação de Sistemas de Informação Como os sistemas e programas são softwares compostos de conjuntos de comandos concebidos e realizados de acordo com a lógica dos profissionais de TI responsáveis pelo seu desenvolvimento, a documentação destes mecanismos mentais utilizados é imprescindível, para garantir a manutenibilidade e evolução dos mesmos. Outro fator que aponta para esta necessidade é a constante atualização e melhoramentos promovidos pela própria dinâmica do ambiente de negócios, que provocam a geração de diversas versões dos programas e suas validades, que deverão ser rigidamente documentadas e controladas. Deverão ser elaboradas e permanentemente atualizadas, no mínimo, as seguintes documentações, preferencialmente utilizando os meios eletrônicos para a sua elaboração, consultas e atualizações. Ex: intranets: Documentação técnica contendo as definições de escopo, funcionalidades, regras de negócio, diagramas de entidades-relacionamentos, dicionário de dados, ferramentas e bibliotecas utilizadas, controle de versões, programas-fonte, etc; Normas de Operação contendo as parametrizações iniciais, regras de implantação, processamentos, fechamentos, atualizações, suporte, apoio a alterações, instruções de integrações, exportações, importações e rotinas de backups etc; Manual de Usuário vinculados a cada funcionalidade/módulos do sistema, com instruções de entradas de dados, geração de arquivos de trabalho, cuidados a adotar nas operações, consultas, emissão de relatórios e suas interpretações etc; 6.3. Erros de Operação de Sistemas de Informação A maioria dos erros de operação dos sistemas é proveniente das ações de pessoas que interagem com os mesmos, principalmente na entrada de dados. Considerando este fato, os sistemas devem prever ao máximo as automatizações de entrada de dados, utilizando recursos como a códigos com barras de leitura ótica, etiquetas de leitura por RFID (radiofrequency identification), troca de arquivos de
10 documentos por EDI (eletronic data interchange) etc. Exs: códigos de barras EAN-13 2 de produtos no varejo, crachás de identificação RFID, envio e importação de dados de pedidos e notas fiscais. Como todos os sistemas serão operados também por pessoas, sujeitas a erros, os sistemas deverão prever ainda os erros mais freqüentes, alertando o operador e possibilitando a sua correção, restringindo a entrada de dados somente a faixas de dados factíveis (valores máximos e/ou mínimos permitidos). Ex: CPF e CNPJ validados pelos dígitos verificadores, informação da data de nascimento dentro do intervalo possível. As operações mais técnicas e de maior envergadura, tais como parametrizações, importações, exportações, atualizações gerais, fechamentos de períodos etc., só deverão ser permitidas a pessoas com a capacitação adequada, e sempre deverão ser precedidas de providências para o retorno ao estado original, em caso de erro ou problemas na operação. Para possibilitar a recuperação de erros de operação, os sistemas devem adotar os recursos de logs, isto é, o registro de operações realizadas e a identificação dos responsáveis pelas mesmas, com possibilidades de retorno das ações efetuadas, bem como se valer de cópias de segurança dos arquivos, citadas no capítulo Medidas de Segurança Lógica em Sistemas de Informação As medidas de segurança lógica, como aspecto de prevenção de erros de concepção e operação dos sistemas por parte das pessoas, só podem ser implementadas mediante treinamentos e capacitação destes profissionais, nas tarefas de interação com o sistema. Estas capacitações deverão ser baseadas em Metodologias e Padrões de procedimentos e de uso de ferramentas lógicas, oficializadas como normas a serem seguidas e/ou obedecidas por todos no desempenho das suas atividades junto aos sistemas. São elas: Metodologia de desenvolvimento e documentação de sistemas - com os padrões de procedimentos estabelecidos para as fases de projeto lógico (levantamentos, análise e lógica), projeto físico (modelagem de dados, dicionário de dados, regras de codificação, ferramentas, bibliotecas de objetos etc) e documentações de sistemas; Metodologia de Implantação de sistemas contendo as etapas de parametrização de sistemas, treinamentos de usuários, documentações junto ao cliente, customizações etc; Metodologia de Suporte e Manutenção contendo os procedimentos de apoio aos clientes, diagnóstico e resolução de problemas de sistemas implantados, implementações de melhorias específicas, migrações e instalações de versões de sistemas etc. 7. Segurança de Acesso: Confidencialidade 2 Padrão mundial de codificação de produtos comercializados pelo varejo, regulamentado pela organização denominada de GS1 Global Standards ver
11 A segurança de acessos para a manutenção da confidencialidade das informações baseia-se fundamentalmente na limitação de acessos físicos e lógicos aos dados, sistemas e informações. A restrição de acessos físicos é efetuada mediante registros e controle rígidos de pessoas nos acessos às instalações sensíveis, com a utilização de identificação e senhas ou com a utilização de dispositivos de identificação por biometria (impressão digital, da palma da mão, mapeamento de iris e de retina dos olhos etc.) A restrição de acessos lógicos é efetuada mediante o uso de identificação, senhas com as respectivas permissões e autorizações vinculadas nos sistemas, e com uso de proteções a acessos indevidos sob forma de artifícios criptografadores e de barreiras para programas maliciosos As seis barreiras de Segurança de informação Segundo ainda Sêmola (2003 pg.52 a 55) as barreiras a serem estabelecidas entre as ameaças e os alvos das mesmas que são as informações: 1 Desencorajar retirada dos estímulos à tentativa de quebra da segurança: ex: identificação, documentação, câmeras de vídeo, muros, paredes, alarmes, divulgação da segurança, auditorias; 2 - Dificultar adoção de mecanismos que dificultem a efetivação do ato inseguro: ex: senhas, biometria, detectores de metal, firewall, criptografia; 3 Discriminar - Filtrar, selecionar e identificar os acessos. ex: logins, senhas, certificados digitais, cartão pessoais de identificação; 4 Detectar complementa as duas anteriores, com dispositivos de sinalização e alerta de ameaças. Ex: anti-virus, alertas e sinais intermitentes na presença de programas suspeitos; 5 Deter impedir que as ameaças atinjam os ativos envolvidos nos negócios. Ex: bloqueios, Shields (escudos), blindagens 6 Diagnosticar diagnosticar os fatos inseguros ocorridos, para preservar a continuidade dos processos de segurança pelo aprimoramento e dimensionamento correto das barreiras anteriores. Ex: verificação de impactos secundários de ameaças e tentativas mal sucedidas ou detidas pelas barreiras, para atualização das barreiras, treinamentos permanentes contra novas ameaças Segurança na Internet Com a digitalização, os dados e informações empresariais ganharam uma mobilidade muito superior à época em que eram contidas em documentos de papel. A internet potencializou ainda mais esta mobilidade alavancando novos negócios e provendo um novo meio de realização dos antigos negócios, configurando conexões diversas dos sistemas da empresa com extranets com seus clientes, fornecedores, bancos, governo etc. O fato dos negócios e transações financeiras serem realizadas neste novo ambiente atraiu os criminosos e pessoas mal-intencionadas, gerando uma série de ameaças para a segurança de informação das empresas, renovadas com a mesma velocidade com que se constroem defesas contra as que já existem. As ameaças propositais contra a segurança de informação na Internet podem ser classificadas em três grandes tipos:
12 Softwares mal-intencionados denominados de malwares, que incluem os vírus, spywares (espiões), sniffers (farejadores) etc., que são programas dotados de três características: o invadem dissimuladamente os computadores por meio de s, arquivos, programas, conexões de sites; o reproduzem-se e propagam-se automática e autonomamente, sem serem percebidos; o causam algum prejuízo ao computador e/ou ao usuário, acessando, alterando e/ou apagando dados valiosos. Hackers ou crackers pessoas com capacidade e conhecimentos técnicos que invadem os computadores e sistemas de outras pessoas ou empresas, com objetivos escusos, normalmente para se apoderar ou destruir informações preciosas e/ou inserir algo indesejado nos sistemas e arquivos; DoS Denial of Service ( negação de serviço ) ataques organizados as determinados serviços ou sites de sistemas empresariais, com um grande volume de requisições e solicitações, de forma a inviabilizar as vias de conexões e/ou capacidade de processamento dos computadores, derrubando a disponibilidade dos sistemas atacados. Estas ameaças na Internet são tratadas com a adoção de softwares e hardwares de proteção, comercializados e instalados por empresas especializadas. Os incidentes de segurança na Internet são estudadas, registradas e quantificadas estatisticamente pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança (www.cert.br) do Comitê Gestor da Internet no Brasil (www.cgi.br) Privacidade de dados e das informações A privacidade, dos dados e das informações a seu respeito, é um direito do cidadão e das empresas em uma sociedade civilizada. Para assegurar esta privacidade, as empresas devem zelar pela confidencialidade das informações a respeito de seus funcionários, clientes, fornecedores e parceiros, sob a ótica de que os dados as informações armazenadas a respeito destes, só interessa e só deve ser acessados por duas partes: o dono dos dados/ informações e a empresa que os armazena, não devendo ser divulgados a nenhuma outra parte, sem o expresso consentimento das partes interessadas ou mediante ordem judicial Medidas de Segurança de Acesso e Confidencialidade A segurança de acessos deve ser efetivada por medidas básicas de identificação e senhas em diversas camadas sobrepostas nas redes, nos sistemas, nos programas e nas tarefas. Em cada uma destas camadas podem ser instaladas barreiras tais como servidores proxy (servidores da intranet), gateways (computadores porteiros ), firewall, identificações, senhas, chaves criptografadas, autenticadores etc. Assim sendo um usuário, professor em uma instituição de ensino, para acessar um serviço de alterar a nota de um aluno via internet, deve se logar a seu provedor com identificação e senha; para acessar a rede da instituição (intranet) deve informar o seu login e senha; para efetuar a requisição de acesso ao sistema (notas) outro login e senha; e para efetuar uma operação sensível (mudar a nota) outra senha.
13 Além das barreiras, os sistemas também devem prover os registros das ações por usuário e por funcionalidade ativadas nos softwares, afim de possibilitar a rastreabilidade de ações, detectando ameaças e auditando erros e problemas. Os sistemas gerenciadores de Banco de Dados também provêem uma camada de segurança interna de restrições de ações em seus registros, permitindo ou não a determinado usuário cadastrado efetuar Consulta, Adição, Edição, Deleção. Com a internet, a comunicação empresarial e pessoal atual é maciçamente efetuada por meio do correio eletrônico ou . Por ser uma via de saída e entrada de dados e arquivos, os s devem ser objeto de um monitoramento, controle e higienização rigorosos, para evitar a entradas de malwares e o envio de arquivos contendo informações sigilosas da empresa. 8. Segurança Ocupacional Informações são geradas pelos sistemas por e para pessoas e profissionais utilizarem na gestão de empresas. O ativo intelectual, representado pelos conhecimentos tácitos (intelectuais) e explícitos (documentados) construído pelas interpretações e inter-relacionamentos das informações, é formatado, estruturado e armazenado na mente das pessoas, designado de Capital Intelectual das empresas. O Capital Intelectual das empresas só se manifesta plenamente e produzindo resultados concretos, em ambientes de trabalho fisicamente adequados, com um clima organizacional profissional positivo e de permanentes desafios, com políticas justas e modernas de gestão de recursos humanos, alinhadas à estratégias empresariais arrojadas e de inovações contínuas. Então, as pessoas e profissionais são as peças fundamentais na concepção, construção e utilização dos Sistemas de Informação, devendo ser o objetivo central das preocupações na Segurança Ocupacional em Sistemas de Informação. Parte significativa das ameaças e riscos para os Sistemas de Informação são provenientes de ações e processos envolvendo pessoas mal capacitadas, desmotivadas ou mesmo revoltadas com a empresa, provocando erros e danos aos sistemas e suas informações. Cabe à organização prover, com a segurança ocupacional, as condições apropriadas para o trabalho junto aos softwares e hardwares utilizados pela empresa em seus negócios. Deverão ser controlados, atenuados e eliminados fatores e variáveis que interferem na produtividade do trabalho humano, tais como temperatura, iluminação, ruídos, radiações, poluição, radiações, gases etc. Devem ser utilizados princípios e técnicas aplicados em providências que favoreçam o trabalho humano, tais como: jornada de trabalho adequada, para evitar o cansaço, a desatenção e a fadiga, com quantidade de horas produtivas, pausas periódicas e descanso semanal, projeto de ambientes produtivo com layouts corretos, com a correta distribuição e posicionamentos de postos de trabalho; ergonomia de postos de trabalho, com posturas corporais corretas que previnam desconfortos, dores e danos físicos; medicina e saúde ocupacional no trabalho com orientações de interrupções periódicas, para exercícios que combatam o stress, o sedentarismo e as
14 LERs lesões por esforços repetitivos, como é o caso da digitação contínua; sinalizações e segurança do trabalho, com dispositivos tais como corrimão, guardacorpo, protegendo pessoas contra condições de risco; condicionamento de temperatura e umidade, com renovação contínua do ar ambiente, para combater o desconforto e prevenir problemas respiratórios dimensionamento da iluminação em níveis adequados ao trabalho para precaver contra o cansaço e danos visuais; alimentação de energia elétrica e cabeamentos de lógica isolados de radiação, seguros e bem dimensionados; recursos de comunicação e telecomunicações para a interação profissional e social entre as pessoas; vestiários, lavabos e banheiros em quantidade suficiente e mantidos limpos e higienizados; ambientes de convívio profissional, social e de lazer adequados, tais como salas de reuniões, refeitórios, bibliotecas salas de estudo etc. 9. Padrões e normas de segurança no mercado Quando se trata de Sistemas e Tecnologia de Informação, existem diversos padrões e práticas atualmente adotadas e aceitas pelo mercado. Pode-se citar entre elas a ISO9000:2000 e suas derivações, os padrões para internet do W3C - World Wide Web Consortium, e os procedimentos do PMBoK / PMI 3, mas algumas normas e padrões se destacam pelo seu foco, disponibilidade de acesso e de adoção prática. Estes padrões estão sendo adotadas para a gestão de TI s das empresas, e/ou sendo exigidos por órgãos reguladores e/ou empresas clientes dos sistemas: I.T.I.L. - Information Technology Infrastructure Library - é uma biblioteca que reúne práticas em mais de duas dezenas de processos documentados. Foi elaborado por iniciativa do governo britânico, com conteúdo atualizado periodicamente por organizações e colaboradores do mundo todo. Reconhecido e adotado como padrão de fato para os serviços seguros em tecnologia de informação. Cobit: elaboradas pelo ISACA - Informations and System Audit and Control Association - compreendendo 34 processos agrupados nas áreas Planning, Acquiring & Implementing, Delivery and Support, e Monitoring. Atualmente é a mais adotada normatização para governança em TI e congrega métricas, fatores críticos de sucesso e recomendações de melhoria contínua. CMMi - Capability Maturity Model Integration modelo de referência de Capacidade e Maturidade integrada, com padrões e um conjunto de conhecimentos para melhores práticas em Engenharia de Software. O CMMi é hoje adotado internacionalmente em empresas desenvolvedoras e 3 PMBoK / PMI Project Management Body of Knowledge/Project Management Institute Conjunto de conhecimentos de gestão de projetos do Instituto de Gestão de Projetos
15 fornecedoras de softwares e é exigido pelo mercado internacional de serviços da área. SWEBoK Software Engeneering Body of Knowledge conjunto de conhecimentos em Engenharia de software organizados hierarquicamente por área de conhecimentos, adotado por empresas desenvolvedoras. ISO17799 e BS7799: São padrões europeus e globais para Segurança em Tecnologia de Informação. A ISO é mais recente e inclui parte das recomendações da BS (British Stardards). A BS é de origem britânica e é adotada extensamente na Europa. Estas normas abordam a segurança física do ambiente, das pessoas e de cuidados essenciais em redes, aplicativos e acessos remotos. Bibliografia Básica: GIL, Antonio de Loureiro. Segurança em informática.2.ed..são Paulo:Atlas: 1998 LAUDON, Kenneth. LAUDON Jane Sistemas de informação gerenciais: administrando a empresa digital, 5ª. edição. São Paulo: Prentice Hall, 2004 SEMOLA, Marcos. Gestão da segurança da informação: visão executiva da segurança da informação. Rio de Janeiro:Elsevier, 2003 Bibliografia Complementar: BATISTA,Emerson de Oliveira. Sistema de Informação: o uso consciente de tecnologias para p gerenciamento. São Paulo: Saraiva, 2004 DE SORDI, José Osvaldo. Tecnologias da informação aplicadas aos negócios. São Paulo: Atlas 2003 FRANCO Jr., Carlos F. E-business: tecnologia de informação e negócios na internet. São Paulo: Atlas, 2003 O BRIEN, James A. Sistemas de Informação e as decisões gerenciais na era da internet. 2ª.ed. São Paulo: Saraiva, PEIXOTO, Mario César Pintaudi. Engenharia Social e Segurança da Informação na gestão corporativa. Rio de Janeiro:Brasport, 2006 ROSINI, Alessandro M.; PALMISANO,Ângelo. Administração de Sistema de Informação e a gestão do conhecimento. São Paulo: Pioneira Thomson Learning, SIQUEIRA, Marcelo Costa. Gestão Estratégica da Informação. Rio de Janeiro: Brasport, 2005 SORDI, José Osvaldo. Tecnologia de Informação Aplicada aos Negócios. São Paulo: Atlas, 2003 SOUZA, Alexandre de S,;SACCOL, Amarolina Z. (organ.) Sistemas ERP no Brasil: teorias e casos. São Paulo: Atlas, STAIR, Ralph M.; REYNOLDS, George W. Princípios de Sistemas de Informação. Uma Abordagem Gerencial. 4ª. ed. Rio de Janeiro: LTC, TURBAN, Efraim; RAINER JR,R.Kelly; POTTER, Richard E.. Administração de Tecnologia da Informação. Rio de Janeiro: Elsevier, 2003.
Segurança e Auditoria de Sistemas. Profº.: Daniel Gondim
Segurança e Auditoria de Sistemas Profº.: Daniel Gondim Roteiro Auditoria de Sistemas Conceitos; Tipos de Auditorias; Objetivos e Importância; Etapas; Segurança da Informação Conceitos; Ameaças; Algumas
ÉTICA E SEGURANÇA EM SISTEMAS DE INFORMAÇÃO Fundamentos
ÉTICA E SEGURANÇA EM SISTEMAS DE INFORMAÇÃO Fundamentos Prof. Carlos Faria (adaptação) 2011 DESAFIOS ÉTICOS E DE SEGURANÇA Emprego Privacidade Saúde Segurança Ética e Sociedade Crime Individualidade Condições