José Caetano de Amorim Neto 1 Josiney Pereira da Costa 2 Marcelo Trindade da Silva de Jesus 3 Cristiano Antônio Rocha Silveira Diniz 4 - PDF
José Caetano de Amorim Neto 1 Josiney Pereira da Costa 2 Marcelo Trindade da Silva de Jesus 3 Cristiano Antônio Rocha Silveira Diniz 4
Download "José Caetano de Amorim Neto 1 Josiney Pereira da Costa 2 Marcelo Trindade da Silva de Jesus 3 Cristiano Antônio Rocha Silveira Diniz 4"
Renata Cruz de Caminha
1 Política de Segurança da Informação: Princípios, Implementação e Gerenciamento Information Security Policy: Principles, Implementation and Management Política de Segurança da Informação: Princípios, Implementação e Gerenciamento José Caetano de Amorim Neto 1 Josiney Pereira da Costa 2 Marcelo Trindade da Silva de Jesus 3 Cristiano Antônio Rocha Silveira Diniz 4 Resumo: O presente artigo tem como objetivo apresentar uma análise dos fundamentos e princípios da segurança da informação bem como a exposição dos elementos fundamentais para a implementação e gerenciamento de uma política de segurança da informação, aplicável a ambientes operacionais distintos. Trata-se de uma pesquisa do tipo exploratória para a qual se utilizou de pesquisa bibliográfica e documental. Esta teve como base obras de autores especializados no tema e a normalização da Associação Brasileira de Normas Técnicas (ABNT NBR ISO/IEC 27002:2005). Palavras-chave: Segurança da Informação. Princípios da Segurança da Informação. Gerenciamento da Segurança da Informação. Abstract: The following article have a intention to present an analysis of the foundations and principles of information security as well as exposure of the key elements for implementation and management of an information security policy, applicable to different operating environments. This is an exploratory research for which was used for bibliographic and documentary research. This was based on works by expert authors on the subject and the normalization of the Brazilian Association of Technical Standards (ABNT NBR ISO/IEC 27002:2005). Keywords: Information s Security. Principles of Information Security. Management of Information Security. Resumen: El presente tema tiene como objetivo representar un análisis de los fundamentos y principios de seguridad de la información, así como la exposición de los elementos claves para la implementación y gestión de una política de seguridad de la información, aplicables a diferentes entornos operativos. Se trata de una investigación exploratoria para el que.se utilizo para la investigación bibliográfica y documental. Esta se basa en obras de autores expertos en la materia y normalizacion de la Asociación Brasilera de Normas Técnicas (ABNT NBR ISO/IEC 27002:2005). Palavras clave: Seguridad de la Información, Principios de Seguridad de la Información, Gestión de la Seguridad de la Información. 1 INTRODUÇÃO A informação é o principal patrimônio de uma organização. Tal propriedade se faz necessária e indispensável nas tomadas de decisões, na definição de objetivos e 1 Graduando do curso Bacharelado em Sistemas de Informação pela Faculdade Infórium de Tecnologia. 2 Graduando do curso Bacharelado em Sistemas de Informação pela Faculdade Infórium de Tecnologia. 3 Graduando do curso Bacharelado em Sistemas de Informação pela Faculdade Infórium de Tecnologia. 4 Pós-graduado em Gestão de Segurança da Informação pela FUMEC. Professor da Faculdade Infórium de Tecnologia.
2 metas, no planejamento estratégico e no plano de ações de toda e qualquer organização. Em um cenário mercadológico onde as organizações interagem entre si, através de prestações de serviços ou comercialização de produtos, onde há um intenso e constante fluxo de informações. Sem tal fluxo, as empresas falhariam na realização de seus objetivos, pois a informação agrega valor ao negócio e seus respectivos produtos ou serviços. Diante do considerável valor da informação, tornou-se necessário desenvolver métodos, processos e procedimentos voltados à segurança da informação, provendo resguardo quanto aos riscos de concretização de ameaças externas ou internas à organização. A equipe responsável pela manipulação e gerenciamento da informação deve possuir qualificação para tal responsabilidade, o que pode ser adquirido através de treinamentos, por exemplo. Em contrapartida, a segurança da organização deve abranger não somente a informação, mas também o ambiente onde essa se encontra, onde as instalações da empresa deverão receber resguardo contra ameaças externas. A solução atuante e mais adotada pelas organizações, provê segurança através de políticas. As políticas são documentos de ciência de todos da organização que regulamenta a gestão da segurança da informação; estas políticas devem ser dinâmicas, adequando-se às necessidades e características da empresa, como também, deve ser revisada constantemente em intervalos predefinidos e após a ocorrência de mudanças na organização. Para a implementação da política de segurança da informação, existem diversas fontes de consulta para o auxílio desse processo. Estas fontes podem ser encontradas em obras especializadas e na normalização da ABNT NBR ISO/IEC 27002:2005, tida como referência padrão. Assim, o objetivo geral deste artigo é analisar os princípios e fundamentos da segurança da informação, assim como os requisitos para uma eficiente implementação e gerenciamento de uma política de segurança da informação. Os objetivos específicos são: associar os princípios da segurança da informação abordado por autores com obras reconhecidas sobre o tema abordado à normalização da ABNT NBR ISO/IEC 27002:2005. A pergunta norteadora deste artigo é no sentido de verificar se é possível estabelecer uma comparação entre as metodologias de implementação e gerenciamento apresentadas por autores especializados em gestão de políticas de informação e às orientações documentadas na normalização ABNT NBR ISO/IEC
3 27002:2005, tida como referência padrão no que se refere à políticas de segurança da informação. Justifica-se a relevância deste tema tendo em vista a exposição das possibilidades de concepção, implementação e gerência destas políticas, e o auxílio às decisões voltadas a adoção dessas políticas em adequação com as necessidades do ambiente empresarial. Trata-se de uma pesquisa do tipo exploratória com fundamentação teórica em autores como: Laureano (2005); Silva, Carvalho e Torres (2003) e fonte documental Associação Brasileira de Normas Técnicas (ABNT NBR ISO/IEC 27002:2005). Para a compreensão deste tema, este foi dividido em cinco seções: a seção 1 é referente a essa introdução, que visa apresentar a proposta de estudo e sua relevância; a seção 2 tem como objetivo apresentar os conceitos e fundamentos teóricos da informação; a seção 3 apresenta ferramentas elementares para a implementação da segurança da informação; a seção 4 expõe as políticas de segurança da informação, em âmbito conceitual e gerencial; a seção 5 apresenta as conclusões do artigo. 2 ABORDAGEM TEÓRICA SOBRE FUNDAMENTOS DA INFORMAÇÃO 2.1 Informação A informação auxilia os executivos a identificar tanto as ameaças quanto às oportunidades para a empresa e, através desses cenários de possíveis ameaças e oportunidades, a organização cria o cenário para uma resposta competitiva mais eficaz (LAUREANO, 2005, p. 7). Destaca-se que a informação é um bem, um ativo de valor imensurável para uma organização, pois é através de todas as informações disponíveis e estudos sobre o mercado, que também é um tipo de informação, que os administradores saberão e terão elementos que os permitirão elaborar estratégias, focar em objetivos, traçar metas específicas e realizar ações para definir os caminhos e direções com que a organização deverá seguir em um período de tempo. Com isso, também poderão proteger contra eventuais ameaças de concorrentes e ameaças contra possíveis estratégias erradas e/ou mal elaboradas. Laureano (2005) destaca que a informação é essencial para a criação de uma organização flexível na qual existe um constante aprendizado.
5 2.2 Proprietário da Informação É necessário que sejam definidos os proprietários da informação da organização e para cada um desses proprietários, tem-se interlocutores claramente identificados com quem poderá definir as necessidades reais de segurança (SILVA, CARVALHO e TORRES, 2003, p. 58). Ou seja, quem poderá ter acesso ou não a um determinado tipo de informação, seja ela em um sistema e/ou em um caminho específico de rede. Assim, poderia evitar a aplicação de medidas genéricas, o que não seria bom para a organização, devido a essa aplicação de medida genérica ser diferente do que acontece no dia-a-dia de uma organização e nos papéis desempenhados pelos colaboradores da mesma. 2.3 Classificação da Informação Após a definição dos proprietários da informação fica mais fácil de realizar as classificações das informações de acordo com a sua sensibilidade e, posteriormente, protegidas de acordo com essa classificação. De acordo com Silva, Carvalho e Torres (2003), a classificação das informações poderá ser tão simples como a separação dos dados em públicos e privados, ou poderá conter um maior grau de complexidade, dividindo a informação em vários níveis sendo esses níveis definidos por Acordos de Níveis de Serviço (ANS). como: Laureano (2005) exemplifica as classes de informações em uma organização Pública: informação que pode vir a público sem maiores consequências danosas ao funcionamento normal da empresa, e cuja integridade não é vital; Interna: que define que o acesso a esse tipo de informação deve ser evitado, embora as consequências do uso não autorizado não sejam por demais sérias. Sua integridade é importante, mesmo que não seja vital; Confidencial: informação restrita aos limites da empresa, cuja divulgação ou perda pode levar a desequilíbrio operacional, e eventualmente, perdas financeiras, ou de confiabilidade perante o cliente externo, além de permitir vantagem expressiva ao concorrente; Secreta: informação crítica para as atividades da empresa, cuja integridade deve ser preservada a qualquer custo e cujo acesso deve ser restrito a um número bastante reduzido de pessoas. A manipulação desse tipo de informação é vital para a companhia.
7 2.4 Ciclo de vida da informação O ciclo de vida da informação é composto e identificado quando os ativos físicos, tecnológicos e humanos fazem uso da informação, sustentando processos que mantêm a operação da empresa (LAUREANO, 2005, p. 9). A informação é exposta, e com sua exposição, traz ameaças que colocam em risco suas propriedades, atingindo a sua segurança. Pode-se definir os momentos do ciclo de vida da informação em quatro momentos, sendo esses exemplificados por Laureano (2005, p. 10), como: Manuseio: momento em que a informação é criada e manipulada seja ao folhear um maço de papéis, ao digitar informações recém-geradas em uma aplicação internet, ou, ainda, ao utilizar sua senha de acesso para autenticação, por exemplo; Armazenamento: momento em que a informação é armazenada, seja em um banco de dados compartilhado, em uma anotação de papel posteriormente postada em um arquivo de ferro, ou, ainda em uma mídia de disquete depositada na gaveta da mesa de trabalho, por exemplo; Transporte: momento em que a informação é transportada, seja ao encaminhar informações por correio eletrônico, ao postar um documento via aparelho de fax, ou, ainda, ao falar ao telefone uma informação confidencial, por exemplo; Descarte: momento em que a informação é descartada, seja ao depositar na lixeira da empresa um material impresso, seja ao eliminar um arquivo eletrônico em seu computador de mesa, ou ainda, ao descartar um CD-ROM usado que apresentou falha na leitura. 2.5 Segurança da Informação Ao se mencionar o termo segurança, seja segurança de pessoas ou segurança de bens, associa-se que alguém e/ou algo que está exposto a algum ou vários tipos de riscos e ameaças, e logo se cria a necessidade de proteção a essas pessoas e/ou bens. As organizações também despertaram o interesse de proteger contra ameaças as suas informações e ativos estratégicos, devido à dependência dos sistemas de informação no seu dia-a-dia. A segurança da informação é a proteção dos sistemas de informação contra a negação de serviço a usuários autorizados, assim como contra a intrusão, e a modificação não autorizada de dados ou informações, armazenados, em processamento ou em trânsito, abrangendo a segurança dos recursos humanos, da documentação e do material, das áreas e instalações das comunicações e computacional, assim como as destinadas a prevenir, detectar, deter e documentar eventuais ameaças a seu desenvolvimento (NBR 17999, 2003; DIAS, 2000; WADLOW, 2000; KRAUSE e TIPTON, 1999 apud LAUREANO, 2005, p.11).
8 Sendo assim, a segurança da informação deve obedecer a três princípios elementares que são os princípios: a) Confidencialidade: o acesso à informação deve ser concedido a quem de direito. Laureano (2005) acrescenta que o mais importante nesse princípio, é que deve garantir a identificação e autenticação das partes envolvidas; b) Integridade: é a propriedade de manter a informação com todas suas características originais estabelecidas pelo dono da informação, de acordo com seu ciclo de vida; c) Disponibilidade: a informação deverá estar sempre disponível para uso quando os usuários autorizados necessitarem da mesma. De acordo com Laureano (2005), existem discussões sobre outros conceitos como autenticidade, não-repúdio, legalidade e privacidade, mas esses conceitos são controversos e nem sempre são abordados por todos os autores já conceituados sobre o tema de segurança da informação, diferentemente dos três princípios elementares da segurança da informação, que são claramente citados e exemplificados. 2.6 Ameaças, ataques e vulnerabilidades Ameaças, ataques e vulnerabilidades, são os riscos nos quais uma organização está exposta e que devem ser identificados, de forma a gerenciar esses riscos e garantir o nível de segurança pretendido por uma organização (SILVA, CARVALHO e TORRES, 2003, p. 34). a) Ameaças Uma ameaça é definida por Laureano (2005) como qualquer ação, acontecimento ou entidade que possa agir sobre um ativo, processo ou pessoa, através de uma vulnerabilidade e consequentemente gerando um determinado impacto. As ameaças são identificadas por produção de cenários e por listas de tipificação (SILVA, CARVALHO e TORRES, 2003, p. 36). Esses tipos de ameaças são definidas como:
9 Ameaça: potencial violação de segurança. Existe quando houver uma circunstância, potencialidade, ação ou evento que poderia romper a segurança e causar o dano; Ameaça Inteligente: circunstância onde um adversário tem a potencialidade técnica e operacional para detectar e explorar uma vulnerabilidade de um sistema; Ameaça de Análise: uma análise da probabilidade das ocorrências e das consequências de ações prejudiciais a um sistema; Consequências de uma ameaça: uma violação de segurança resultado da ação de uma ameaça. Inclui: divulgação, usurpação, decepção e rompimento. (Shirey, 2000 apud Laureano, 2005, p.15). Uma ameaça também pode ser classificada quanto a sua intencionalidade e com isso, serem divididas em grupos: b) Ataques Naturais: ameaças decorrentes de fenômenos da natureza, como incêndios naturais, enchentes, terremotos, tempestades, poluição, etc; Involuntárias: ameaças inconscientes, quase sempre causadas pelo desconhecimento. Podem ser causados por acidentes, erros, falta de energia, etc; Voluntárias: ameaças propositais causadas por agentes humanos como hackers, invasores, espiões, ladrões, criadores e disseminadores de vírus de computador, incendiários. (SÊMOLA, 2003 apud LAUREANO, 2005, p.15). O ataque é um ato inteligente de tentar desviar os controles de segurança de um sistema para invadir serviços de segurança e violar as políticas do sistema (LAUREANO, 2005). Um ataque pode ser ativo, tendo por resultado a alteração dos dados; passivo, tendo por resultado a liberação dos dados; ou destrutivo visando à negação do acesso aos dados ou serviços (WADLOW, 2000 apud LAUREANO, 2005, p.16). De acordo com Laureano (2005, p.16), é necessário a classificação dos tipos de ataques a sistemas: Interceptação: considera-se interceptação o acesso a informações por entidades não autorizadas (violação da privacidade e confidencialidade das informações); Interrupção: pode ser definida como a interrupção do fluxo normal das mensagens ao destino; Modificação: consiste na modificação de mensagens por entidades não autorizadas, violação da integridade da mensagem; Personificação: considera-se personificação a entidade que acessa as informações ou transmite mensagem se passando por uma entidade autêntica, violação da autenticidade.
10 c) Vulnerabilidades Vulnerabilidade é um ponto fraco de qualquer tipo de sistema, onde há possibilidade de tentativa de ataque em qualquer um de seus recursos ou configurações. Laureano (2005) afirma que todos ambientes são vulneráveis, visto que não existe nada totalmente seguro. A identificação das vulnerabilidades visa permitir aproximar o cálculo da probabilidade de concretização das ameaças inerentes à realidade da organização (SILVA, CARVALHO e TORRES, 2003, p. 18). Laureano (2005), afirma que as vulnerabilidades são as principais causas das ocorrências de incidentes de segurança, por permitir outros tipos de ocorrências de incidentes de segurança, ou seja, um incidente que vem a ocasionar outro incidente. 3 MECANISMOS E TECNOLOGIAS APLICADOS À SEGURANÇA DA INFORMAÇÃO a) Segurança física A segurança física é um dos principais fatores a se considerar tratando segurança da informação, observando sempre os aspectos físicos internos e externos à organização. No ponto de vista externo e geográfico, impõe-se estudar e escolher um local que seja amplo e de fácil acesso, mas que não exista um índice elevado de roubos, furtos e sequestros, pois dessa forma sempre será exigido um investimento de custos elevados em uma boa e ampla equipe de segurança de pessoal e de bens físicos, o que às vezes poderá inviabilizar a criação de uma política de segurança global. Também nesse aspecto, é importante estudar e escolher um local que não tenha um índice elevado de ameaças naturais e ameaças causadas pelo próprio homem, como terremotos, tsunamis, e tempestades de diversos tipos, como tempestade de raios, trombas d água, incêndios, inundações, entre outros. No ponto de vista interno da organização, deverá ser pensada em moldes concêntricos e de profundidade, de forma a incrementar os níveis de proteção contra acessos não autorizados.
11 Os bens mais preciosos deverão encontrar-se mais perto do centro das instalações, obrigando à passagem por diversos níveis de validação (SILVA, CARVALHO e TORRES, 2003, p. 65). Sendo assim os demais bens poderão ficar expostos, mas nunca desprovidos totalmente de segurança. De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que sejam usados como barreiras nos perímetros da organização como salas-cofres, paredes, recepcionistas e/ou portões com controle de acesso e identificação, de forma a proteger instalações com informações e centrais de processamento de dados (CPD). b) Segurança lógica A segurança lógica é fundamental para a segurança da informação, devido ao fato de que a informação que se encontra em meios digitais, sempre estará vulnerável a ataques, invasões e espionagem, por não haver nenhum sistema ou política completamente segura. Para isto, existem diversos tipos de ações e mecanismos que proverão uma segurança lógica eficiente, provendo um nível de segurança considerável desde que bem implementadas, auxiliando no combate a ataques e invasões e fornecendo privacidade nas comunicações. c) Autorização e autenticação Esses dois conceitos estão diretamente ligados ao controle de acesso, a segurança física e a segurança lógica, além de estarem diretamente interligados entre si. A autorização é definida por Laureano (2005) como um processo de conceder ou negar direitos a usuários de sistemas, definindo quais atividades poderão ou não ser realizadas, criando assim os chamados perfis de acesso, através das listas de controles de acesso (Access Control Lists - ACL). A autenticação é um meio que para obter a certeza de que o usuário ou um objeto remoto é realmente quem está afirmando ser. É um serviço essencial de segurança, pois uma autenticação confiável assegura o controle de acesso, determina que esteja autorizado a ter acesso à informação, permite trilhas de auditoria e assegura a legitimidade do acesso (LAUREANO, 2005, p. 20).
12 De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que as regras de controle de acesso de usuários e grupos de usuários sejam expressas claramente na política de controle de acesso. d) Firewall Firewall (parede de fogo) é definido por Laureano (2005) como um sistema ou grupo de sistemas que reforçam a segurança entre uma rede interna segura e uma rede externa não segura, como a internet. Um firewall é projetado para proteger as informações e fontes de informações, usuários e sistemas de uma organização contra invasões e ataques, fechando portas de acesso que não são utilizadas ou não estão sendo utilizadas em algum determinado momento. e) Detecção de intrusos O sistema de detecção de intrusos, Intrusion Detection System (IDS) realiza análises para mostrar aos administradores sobre o que acontece na rede de uma organização. De acordo com Silva; Carvalho; Torres (2003), o IDS não oferece apenas visibilidade ao que acontece no exterior do perímetro lógico da organização, mas revela igualmente o que acontece no seu interior, como exemplo, acesso protegido de servidores, sistemas e pastas em rede por funcionários da própria organização. De acordo com Laureano (2005) o IDS também gera alertas para o administrador sobre intrusões na rede e/ou automaticamente dispara contramedidas de forma a evitar possíveis ataques. f) Antivírus O antivírus é um software responsável por detectar outros softwares maliciosos, que são criados com o objetivo de causar anomalias como: falhas; destruição de softwares e hardware; espionagem; entre outros, a um conjunto de sistemas, como sistemas operacionais, sistemas empresariais, e outros. Se um programa tentar acessar a lista de endereços de correio eletrônico, por exemplo, esse poderá ser um sinal de infecção viral. A lógica de funcionamento destas soluções inspira-se na detecção de intrusões e promete um nível superior de eficácia na detecção e contenção de infecções (SILVA, CARVALHO e TORRES, 2003, p. 99).
13 g) Criptografia e chaves A criptografia é a arte ou ciência de escrever em cifras ou em códigos, utilizando um conjunto de técnicas que torna uma mensagem incompreensível, chamada comumente de texto cifrado, através de um processo chamado cifragem, permitindo que apenas o destinatário desejado consiga decodificar e ler a mensagem com clareza, no processo inverso, a decifragem (LAUREANO, 2005, p. 25). É um mecanismo utilizado na tecnologia da informação para prover segurança e privacidade entre as comunicações, que utiliza chaves para cifragem e decifragem das informações. Essas chaves podem ser chaves privadas e chaves públicas. As chaves privadas ou simétricas são algoritmos convencionais de criptografia, onde a mesma chave secreta é utilizada tanto para cifrar como para decifrar uma mensagem, devendo ser conhecida por ambos os lados do processo. As chaves públicas ou assimétricas são algoritmos que utilizam duas chaves diferentes, uma em cada extremidade do processo. As duas chaves são associadas através de um relacionamento matemático, pertencendo a apenas um participante, que as utilizará para comunicação com todos os outros participantes de modo seguro (LAUREANO, 2005). A assinatura digital é uma das grandes vantagens das chaves públicas. h) VPN As redes virtuais privadas ou Virtual Private Networks (VPN) são canais para comunicação segura entre pontos autorizados, que utiliza vários protocolos e medidas de segurança como a criptografia, transportando os dados por túneis criptografados, assegurando aos princípios da confidencialidade, integridade e à alteração não autorizada. Através da VPN é possível realizar comunicação entre organizações, prover acesso remoto via internet, comunicação entre redes internas e outros. De acordo com Silva, Carvalho e Torres (2003), caso os dados que estão sendo trafegados sejam alterados, o destinatário rejeita os dados trafegados e o emissor deverá reenviar os dados. i) Salvaguarda
14 Com a evolução e complexidade dos sistemas, o aumento significativo do volume de dados que as organizações possuem, é de extrema necessidade realizar a salvaguarda dos mesmos, visando assim a continuidade da organização. A salvaguarda é realizada através de cópias dos dados e informações dos sistemas e equipamentos que armazenam dados, procedimento também chamado de backup, geralmente copiando os dados para dispositivos e mídias externas diversas como: pen-drive, disco rígido, CD, DVD, fitas, servidores e outros. Assinala-se que é necessário definir a periodicidade para realizar esses procedimentos de salvaguarda, manter backups externos ao ambiente físico da empresa, evitar que esses backups fiquem no mesmo setor que realiza os procedimentos de salvaguarda e sempre ter mais de um local para armazenar os backups. Atualmente, com o avanço da tecnologia de computação em nuvem (cloud computing), existem organizações que prestam serviços de hospedagem de servidores on-line para diversas organizações, e as organizações utilizam essa tecnologia para backup em nuvem, via internet, para realizar a salvaguarda de seus dados e informações. De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que as cópias de segurança das informações e dos softwares sejam efetuadas e testadas regularmente, conforme a política de geração de cópias de segurança definida. 4 DISCUSSÃO SOBRE O TEMA POLÍTICA DE SEGURANCA DA INFORMAÇÃO 4.1 Política de segurança da informação Política é um conjunto de intenções e diretrizes globais formalmente expressas pela direção de uma organização, de acordo com a ABNT NBR ISO/IEC 27002:2005. Barbieri (2013) acrescenta que as políticas são definidas em consenso com todas as partes envolvidas, aprovadas pelo comitê de segurança e divulgadas para toda a organização e partes envolvidas. Somente através dessas políticas pré-estabelecidas, que é possível implementar e definir os níveis de segurança e assim, o que deve e o que não deve ser protegido, o que precisa de uma proteção efetiva 24 horas por dia, durante sete
15 dias da semana, quem poderá ter acesso a um determinado setor e como proceder para prover acesso aos visitantes da organização. Assim, após a definição de todas as políticas, devem-se criar padrões e especificar procedimentos para prover a segurança almejada para essa organização, devendo ser tudo documentado com coerência. Ressalta-se que essas políticas devem ser divulgadas para toda a organização e partes envolvidas, sendo necessárias reuniões para sensibilização e treinamento de todos os colaboradores. A política de segurança deve ir além dos aspectos relacionados com sistemas de informação ou recursos computacionais, ela deve estar integrada com as políticas institucionais da empresa, metas de negócio e ao planejamento estratégico da empresa. (DIAS, 2000 apud LAUREANO, 2005, p. 56). A política de segurança da informação é um mecanismo preventivo de proteção aos dados, comunicações e informações de uma organização, e de acordo com Laureano (2005), deve estabelecer princípios institucionais de como a organização irá proteger, controlar e monitorar seus recursos computacionais e, consequentemente, as informações por ela manipuladas. 4.2 Definindo uma política de segurança Uma política de segurança deve atender a vários propósitos conforme Laureano (2005, p. 56): Descreve o que está sendo protegido e por quê; Define prioridades sobre o que precisa ser protegido em primeiro lugar e com qual custo; Permite estabelecer um acordo explícito com várias partes da empresa em relação ao valor da segurança; Fornece ao departamento de segurança um motivo válido para dizer não quando necessário; Proporciona ao departamento de segurança a autoridade necessária para sustentar o não ; Impede que o departamento de segurança tenha um desempenho fútil. Quanto mais rápido for implementada e aplicada uma política melhor, devido aos riscos e ameaças a que uma organização e suas informações estão expostas, ainda que contenha possíveis erros. Uma política deve ser escrita com fácil compreensão e de maneira simples. Nota-se que uma política deve ser escrita com detalhes, facilitando assim a compreensão da mesma. Uma política deve ser revista
16 e constantemente atualizada, quando houver a necessidade. E uma política após ser implementada e/ou atualizada, deve ser divulgada e bem distribuída para todos os envolvidos da organização. Laureano (2005) acrescenta que para legislar sobre as políticas de segurança é importante que tenha pessoas envolvidas e crie o Comitê de Políticas de Segurança. Esse comitê deve conter três pessoas e essas devem ser interessadas na criação das políticas de segurança, serem de setores diferentes da organização, pois assim terão e poderão aumentar a visão sobre a própria organização, criando uma política mais abrangente e realista sobre a rotina dessa organização e ainda, estarem dispostos a se reunirem pelo menos uma vez a cada três meses. Destaca-se que essas pessoas serão legisladores e que qualquer problema que venha a ocorrer, é de responsabilidade de quem criou as políticas e não delas que fazem parte do comitê. 4.3 Conteúdo de uma política de segurança Uma boa política de segurança precisa ser escrita com fácil compreensão e bem detalhada. Além disso, Laureano (2005) descreve o que é essencial e o que deve conter em uma política de segurança. Podem ser criadas outras normas, caso houver necessidades, de acordo com os objetivos da organização. a) Descrever o que está sendo protegido Descrever de forma detalhada os níveis de segurança almejados pela organização, especificando sistemas, equipamentos físicos como computadores, servidores, switches, roteadores e outros. Separar esses sistemas e equipamentos físicos por setores e níveis prédefinidos de acesso, seriam boas soluções para proteção de dados e informações. Convém que os equipamentos sejam colocados em locais protegidos, para reduzir os riscos de ameaças e perigos do meio ambiente, bem como as oportunidades de acesso não autorizado (ABNT NBR ISO/IEC 27002:2005, p. 35). b) Métodos de proteção Descrever os métodos e maneiras de forma a proteger os sistemas, equipamentos e comunicações. Acrescenta-se que para uma política de segurança
17 é necessário descrever esses métodos, inclusive se tratando de manutenções preventivas, manuseio e proteção de dados, comunicações e informações. Descrever um ciclo de vida qualificando de quanto em quanto tempo serão realizados procedimentos para verificar configuração, registros de acesso, integridade dos sistemas e dados, entre outros. c) Responsabilidades Descrever as responsabilidades dos grupos de usuários e a definição de privilégios para cada um desses grupos de usuários. Esses grupos de usuários podem ser classificados como: gerentes; administradores; operacional; convidados; contratados. Lembrando que essas regras e responsabilidades devem ser divulgadas e fazer com que todas as partes conheçam essas regras e responsabilidades. d) Uso adequado Descrever como os usuários e grupos de usuários deverão ou não deverão usar os sistemas e equipamentos da organização. Especifica-se, por exemplo, se os usuários podem ou não podem conectar dispositivos móveis (pen drives, smartphones, mp3 e outros) aos computadores e caso seja permitido, especificar um procedimento de escaneamento prévio de um antivírus e por uma pessoa autorizada a realizar tal procedimento. e) Penalidades Descrever as penalidades no caso de violação das demais regras da política de segurança. Essas penalidades podem e devem ser classificadas em níveis, conforme o grau de violação, como: leve; média; grave; gravíssima. E pra cada um desses níveis, especificar a punição para a disciplina dos colaboradores de maneira adequada a cada situação como: advertência formal; suspensão não remunerada; desconto de salário; demissão por justa causa; ação legal judicial e outros. 4.4 Gerenciamento de riscos Gerenciar e controlar os riscos nos quais uma informação está exposta é de grande importância em uma política de segurança de informação, devido a informação ser um bem de valor imensurável para uma organização.
18 De acordo com Laureano (2005), o conhecimento é uma das ferramentas mais poderosas no gerenciamento de riscos e que devem indicar os caminhos das informações que necessitam ser protegidas. O controle de riscos deve ser implantado durante o planejamento da continuidade do negócio, como forma de reduzir antecipadamente o potencial de concretização de perdas (SILVA, CARVALHO e TORRES, 2003, p.144). Avaliar e identificar as vulnerabilidades são importantes etapas para o gerenciamento de riscos. De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que sejam obtidas informações em tempo hábil sobre as vulnerabilidades técnicas e tomar as medidas apropriadas para lidar com os riscos associados. 4.5 Testes e auditoria Após a implementação de uma política de segurança, é imprescindível a realização de testes e auditoria nos sistemas e equipamentos, de forma a verificar e validar as normas pré-estabelecidas pela política, se houve violações de regras por colaboradores, se houve tentativas de ataques e intrusão, e assim consequentemente, realizar correções ou novas implementações nas normas da política de segurança. Os resultados dos testes e auditoria servirão de ponto de partida para a elaboração de soluções e para a correção das insuficiências detectadas (SILVA, CARVALHO e TORRES, 2003, p. 125). Atualmente, é muito comum as organizações contratarem empresas especializadas em auditorias e testes, para a verificação e validação das regras de política de segurança estabelecidas pela própria organização. Enquanto a segurança tem a função de garantir a integridade dos dados, a auditoria vem garantir que estes dados estejam realmente íntegros propiciando um perfeito processamento, obtendo os resultados esperados (LAUREANO, 2005, p. 99). 4.6 Plano de Continuidade do Negócio Uma organização em meio a um mundo digital não pode ficar mais indisponível em meio a um mercado competitivo. Garantir que os serviços sempre
19 estejam disponíveis ou reestabelecidos da maneira mais rápida possível é um diferencial de extrema importância nos dias atuais para as organizações. Para isso é importante o Plano de Continuidade do Negócio, que tem o objetivo de garantir a disponibilidade em tempo integral dos serviços, em casos de invasões, intrusões, queda de sistemas e/ou serviços, ocasionados por falhas em equipamentos e sistemas ou catástrofes naturais. Um estudo realizado nos Estados Unidos pela Federal Emergency Management Agency, diz que cerca de 25% a 40% das organizações não voltam às atividades após a acidentes ou incidentes de grandes proporções (SILVA, CARVALHO e TORRES, 2003, p. 133). De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que a segurança da informação seja parte integrante do processo de continuidade global do negócio e a gestão de outros processos dentro da organização. a) Planos de contingência Esses planos são desenvolvidos e definidos em detalhes com os procedimentos a serem executados em contingência. São divididos em três partes complementares (LAUREANO, 2005, p. 86): Plano de Administração de Crise: tem o propósito de definir passo-a-passo o funcionamento das equipes envolvidas com o acionamento da contingência antes, durante e depois da ocorrência do incidente. Além disso, tem que definir os procedimentos a serem executados pela mesma equipe no período de retorno à normalidade; Plano de Continuidade Operacional: tem o propósito de definir os procedimentos para contingenciamento dos ativos que suportam cada processo de negócio, objetivando reduzir o tempo de indisponibilidade e, consequentemente, os impactos potenciais ao negócio; Plano de Recuperação de Desastres: tem o propósito de definir um plano de recuperação e restauração das funcionalidades dos ativos afetados que suportam os processo de negócio, a fim de restabelecer o ambiente e as condições originais de operação. De acordo com a norma ABNT NBR ISO/IEC 27002:2005, convém que os planos sejam desenvolvidos e implementados para a manutenção e recuperação de operações e assegurar a disponibilidade no nível requerido e na escala de tempo definidas pela organização. b) Projeto de Plano de Continuidade do Negócio
20 O Projeto de Plano de Continuidade do Negócio é uma metodologia de atividades a se executar, caso ocorra um desastre e que esse venha a interromper os serviços e operações de uma organização. O projeto, Silva, Carvalho e Torres (2003, p. 136) dividem em cinco etapas: Iniciação; Redução de riscos e avaliação de impacto; Desenvolvimento do Plano; Implementação do Plano; Manutenção e atualização. Laureano (2005, p. 87) por sua vez, divide o projeto em seis etapas: Avaliação do projeto: escopo e aplicabilidade; Análise de risco; Análise de impacto em negócios; Desenvolvimento dos planos de recuperação de desastres; Treinamento e teste dos planos; Implementação e manutenção. 5 CONCLUSÃO Para a compreensão do tema de estudo, Politica de Segurança da Informação: Princípios, Implementação e Gerenciamento; buscou-se inicialmente a base teórica e conceitual sobre esta questão. Assim, a fundamentação teórica permitiu verificar que a Política de Segurança da Informação necessita de orientações e análises do ambiente em questão para uma implementação adequada e eficiente. A fim de implantar uma política de segurança para cada tipo de empresa, de diversos tamanhos, essa deve ser dinâmica e atentar para os detalhes individuais do ambiente em questão. Autores como Laureano (2005); Silva, Carvalho e Torres (2003); caracterizam que a Política de Segurança da Informação é essencial para a criação de uma organização flexível na qual existe um constante aprendizado. Isto permite afirmar que este instrumento proporciona uma visão conceitual dos métodos apropriados para a implantação da Política de Segurança da Informação, atentando-se para o que deve ser protegido e o grau de segurança para cada tipo de informação. Para isso, define-se os proprietários da informação. A normalização ABNT NBR ISO/IEC 27002:2005, que tem o objetivo principal de auxiliar na elaboração de uma Política de Segurança da Informação como um referencial de melhores práticas, assinala que a informação deve ser classificada em