Segurança – Perguntas e Respostas
17 de setembro de 2017 18:34
Quais as principais perguntas e respostas sobre fundamentos da segurança da informação?
Segurança da informação está diretamente associado coa com gerência, escalabilidade
O que é cibercrime e quais são as suas categorias?
O que é ameaça, vulnerabilidade e risco? Qual a relação entre eles?
Quais são exemplos de problemas e soluções de segurança?
Quais são os principais objetivos de uma política de segurança?
Quais as perguntas para ajudar a desenvolver diretrizes de segurança para uma empresa?
Quais são as etapas para implantar um SGSI, segundo a ISO 27001?
Quais são os 11 domínios da ISO 270001 recomendados para as empresas para uma abordagem completa e efetiva de um sistema SGSI?
O que é conformidade em segurança e qual o seu benefício para as empresas?
Qual a importância de um plano de continuidade de negócios para uma empresa?
Como as Políticas de Segurança são segmentadas em Zonas de Segurança?
Quais tecnologias de segurança e onde devem ser aplicadas?
Veja as respostas na sequência …
17 de setembro de 2017 17:43
O cibercrime, também chamado de crime informático, é qualquer atividade ilegal que envolve um computador ou dispositivo conectado à rede, como um telefone celular.
Pode ser segmentado em 3 categorias:
Crimes em que o dispositivo de computação é o alvo, por exemplo, para obter acesso à rede;
Crimes em que o computador é usado como arma, por exemplo, para iniciar um ataque de negação de serviço ( DoS );
Crimes em que o computador é usado como acessório para um crime, por exemplo, quando do uso deum computador para armazenar dados obtidos ilegalmente.
Envolve uma ampla gama de atividades maliciosas, incluindo a interceptação ilegal de dados, interferências do sistema que comprometem a integridade e a disponibilidade da rede e infrações de direitos autorais. Outras formas de cibercrime incluem o jogo ilegal, a venda de itens ilegais como armas, drogas ou produtos falsificados, bem como a solicitação, produção, posse ou distribuição de pornografia infantil.
O cibercrime tem a característica peculiar de que a vítima e o criminosos nunca estão em contato direto; em muitos casos, são separados por milhares de quilômetros. Para reduzir ainda mais as chances de detecção e acusação, os cibercriminosos geralmente optam por operar em países com leis de cibercrimes fracas ou inexistentes. Devido à velocidade, conveniência, o anonimato e a falta de fronteiras, permite ao computador realizar, mais facilmente, vários crimes financeiros, tais como roubo, lavagem dinheiro, fraude, perseguição , assédio moral, dentre outros.
BYOD, Mobilidade e Segurança
Qual a relação entre consumerização, BYOD, Mobilidade e Segurança?
A consumerização de TI – a mistura de uso pessoal e comercial de dispositivos e aplicações – está crescendo devido à uma nova força de trabalho, mais móvel, que cresceu com a Internet. Hoje, os funcionários têm boa tecnologia em casa e esperam poder usá-la no trabalho também. Isso é chamado de BYOD (Bring Your Own Device). Essa mistura de tecnologia pessoal e comercial está tendo um impacto significativo nos departamentos de TI corporativos, que tradicionalmente disponibilizam e controlam a tecnologia que os funcionários usam para executar o trabalho.
Se o hardware e o software pertencentes ao empregado são suportados ou não, eles representam riscos de segurança para a organização se eles se conectam à rede corporativa ou acessem dados corporativos. Para minimizar o risco e acomodar as tecnologias de consumo, muitas empresas estão implementando políticas BYOD .
30 de junho de 2015 23:30
Ameaça é qualquer circunstância ou evento que tenha o potencial de causar danos a um sistema ou rede. Isto significa que a existência de uma vulnerabilidade, ainda que desconhecida, implica ameaça. Ameaça é algo que pode ocorrer voluntária ou involuntariamente em prejuízo de alguém ou de alguma coisa, em virtude de uma vulnerabilidade.
Vulnerabilidade refere-se a qualquer fraqueza em qualquer sistema, seja em hardware ou software, capaz de impactar a segurança de informações e redes de serviços. Qualquer procedimento que possa ser realizado em um software para se ter acesso ou interferência no sistema é chamado de vulnerabilidade. Na maioria dos casos um hacker acessa a rede ou um computador determinado explorando suas vulnerabilidades. Por exemplo, um ataque de negação de serviço (também conhecido como DoS, um acrônimo em inglês para Denial of Service), objetiva tornar os recursos de um sistema indisponíveis aos seus utilizadores. Exemplos de Vulnerabilidades
Servidores, notebooks, desktops com erros de configuração ou sem os patches atualizados;
Política de segurança desatualizada;
Disponibilidade de hardware, software ou de aplicações na rede não autorizadas;
Password de fácil dedução, como o nome da empresa, a palavra amor, a palavra Brasil.
Risco é o resultado da combinação da probabilidade de ocorrência de um evento e de seu impacto resultante."
Risco = Probabilidade de Ocorrência x Gravidade dos efeitos
Gestão de Riscos é o processo de acompanhamento dos níveis de risco e níveis de controles para eliminar vulnerabilidades, afastar ameaças e reduzir a probabilidade de uma ameaça explorar uma vulnerabilidade e provocar impactos à confidencialidade, integridade e disponibilidade da informação.
30 de junho de 2015 23:25
Dados representam fatos, conceitos ou instruções de uma maneira normalizada para fins de comunicação, interpretação e processamento pelo ser humano ou através de computadores. São representados por símbolos. Exemplo: letras, números, fotos etc.
Informação pode ser definida como dados tratados. Estão associadas a conceitos. As informações têm significado e suportam decisões. Dados são tratados pelo computador; informações, não. Desta forma podemos dizer que as informações é o conjunto de dados que foram processados, seja por meio eletrônico, mecânico ou manual e que produziu um resultado com significado.
Conhecimento é uma atividade intelectual, um processo mental onde indagamos, questionamos e estabelecemos relações entre as diversas informações obtidas. O conhecimento pode ser obtido pelo tratamento da informação. O que resulta do processo de conhecimento são novas informações que, por sua vez, serão comunicadas, apreendidas e também empregadas em novos processos. O conhecimento vai além das informações, pois além de ter um significado, tem uma aplicação. Se informação é dado trabalhado, então conhecimento e informação trabalhada.
Interna. O acesso externo a esse tipo de informação deve ser evitado. O acesso indevido pode não acarretar grandes riscos, mas tem um nível de relevância superior à informação pública. A integridade dos dados é importante,mas não é vital. Exemplos: agendas de telefones, documentos ou processos de trabalhos regulares, organogramas.
Problemas e Soluções de Segurança
Veja um resumo na tabela abaixo:
Política de Segurança é a base para todas as questões relacionadas a segurança da informação. Tem como o objetivo fornecer orientação e apoio às ações de gestão da Segurança. Estabelece padrões, responsabilidades e critérios para o manuseio, armazenamento, transporte e descarte das informações, dentro do nível de segurança determinada pela empresa.
As Políticas de Segurança têm vários objetivos. Destacamos os principais:
Proteger as pessoas e a informação.
Regular regra de conduta para operadores, administradores de sistemas, gerência, e grupo de Segurança da Informação.
Descrever o que está sendo protegido e de que forma.
Definir prioridades sobre o que precisa ser protegido em primeiro lugar e os custos envolvidos.
Definir funções e responsabilidades sobre os ativos organizacionais com um grande número de funcionários, gerentes e diretores envolvidos.
Autorizar a empresa para que a comunicação de um funcionário seja monitorada, filtrada e até investigada, se necessário.
Definir as medidas que serão tomadas em caso de uma violação da política, invasão e qualquer crime digital.
Quais são as perguntas que devem ser feitas para ajudar a desenvolver diretrizes de segurança para uma empresa?
Não é possível implementar a segurança, se ainda não decidimos o que precisa ser protegido e de quem. Precisamos de uma política de segurança, uma lista do que consideramos admissível e o que você não consideramos admissível, sobre como basear as decisões em termos de segurança. Devemos também determinar a resposta à violações de segurança. As perguntas a seguir exemplificam o desenvolvimento de diretrizes gerais:
Exatamente de quem queremos nos proteger?
Usuários remotos precisam ter acesso a nossa rede e sistemas?
Como classificamos as nossas informações confidenciais ou sensíveis?
Quais as consequências se essas informações forem divulgadas para concorrentes ou outras pessoas de fora?
Nossas senhas ou criptografia fornecem proteção suficiente?
Precisamos acessar à Internet?
Quantos acesso serão permitidos aos nossos sistemas a partir da Internet e / ou usuários fora da rede (parceiros de negócios, fornecedores, afiliados corporativos, etc.)?
Que medidas tomaremos se descobrirmos brechas na nossa segurança?
Quem na nossa organização irá impor e fiscalizar esta política?
Esta lista é curta, e uma política de segurança empresarial irá provavelmente demandar mais do que isso.
Qualquer política de segurança é baseada no quanto confiamos nas pessoas, tanto dentro quanto fora da empresa. A política deve proporcionar um equilíbrio entre permitir aos seus usuários um acesso razoável à informação que necessitam para fazer o trabalho, e não permitir o acesso às outras informações. O ponto onde esta linha é delineada irá determinar a sua política de segurança empresarial.
"Um Sistema de Gestão da Segurança da Informação (SGSI) estabelece, implementa, opera, monitora, revisa, mantém e melhora a segurança da informação, baseando-se para isso em uma Análise de Riscos centrado no Negócio da Empresa".
Objetivos do SGSI
Consolidar a segurança como prioridade.
Aumentar a confiança de terceiros na organização.
Garantir que a segurança da informação se articula a partir do conhecimento e gestão dos riscos aos que está submetida a organização, desde a mais alta direção.
Verificar que a organização revisou e selecionou todos os controles de segurança que são aplicáveis, havendo argumentado as razões de exclusão daqueles controles não selecionados, baseado em uma adequada gestão de riscos.
Planejar efetivamente a segurança.
A implantação de um SGSI, conforme a norma ISO 27001, requer uma série de atividades de alto nível agrupadas em em cinco fases:
ISO 27001 para implantar SGSI
A figura abaixo apresenta um panorama dos domínios do padrão ISO 27001:
O padrão 27001 é o primeiro da família de segurança da informação relacionado aos padrões ISO que se espera sejam agrupados à série 27000.Cada domínio sugere uma determinada área de atuação dentro da Segurança, desde a Segurança física, que abrange, por exemplo, tranca de portas, cadeados para notebooks e câmeras de vigilância. Passando pela Gestão de pessoas, quanto ao comportamento interpessoal de cada usuário, e o aperfeiçoamento da Política de Segurança. Também inclui a Gestão de Incidente propriamente dita.
ISO 27001 – substituiu a norma BS 7799-2 para certificação de sistema de gestão de segurança da informação;
ISO 27002 – código de Boas Práticas;
ISO 27003 – gestão de risco, contendo recomendações para a definição e implementação de um sistema de gestão de segurança da informação.
ISO 27004 – sobre os mecanismos de mediação e de relatório de um sistema de gestão de segurança da informação.
ISO 27005 – implementação, monitoramento e melhoria contínua do sistema de controles.
ISO 27006 – recuperação e continuidade de negócio.
20 de junho de 2015 20:17
"Conformidade em segurança é a capacidade de uma empresa estar em concordância com normas para oferecer mecanismos de melhoria na gestão da Segurança da Informação". Conformidade é uma das tendências em Segurança da Informação nos últimos anos. Algumas normas são regulatórias, ou mandatórias em alguns setores, em outros não.
A Conformidade é um meio de garantir que a organização certificada implementou um sistema para gerência da segurança . Esta garantia dá confiança à gerência, parceiros de negócios, clientes e auditores que uma organização é séria sobre gerência de segurança da informação no caminho certo de melhora contínua.
Alguns exemplos de normas regulatórias, alvos de conformidade são:
Sarbaney Oxeley (SOX)
Uma vez que uma política de segurança é definida, o próximo passo é avaliar as tecnologias adequadas e impactos sobre o projeto de rede. Uma boa prática é dividir a rede em três grandes zonas e projetos necessários para implementá-la nos pontos corretos dentro da rede. Essas zonas são descritas abaixo. Observe o posicionamento das zonas, redes, serviços e usuários.
Núcleo da Rede: Esta é a rede onde as aplicações críticas de negócio e respectivos sistemas de apoio estão localizados. Esta parte da rede requer a máxima proteção tanto do do lado de fora, quanto do lado interno, como uma camada adicional de proteção.
Perímetro de rede: Esta é a rede onde os recursos públicos estão localizados: servidores Web e FTP, mas também gateways de aplicação e sistemas que proporcionam funções de segurança especializadas, tais como inspeção de conteúdo, proteção contra vírus e detecção de intrusão. Esta parte da rede tipicamente controla e isola o tráfego interno do tráfego externo. Podem conter usuários internos.
Acesso à rede: Esta é a rede, seja ela privada, pública ou virtual, usada pelo exterior para acessar a rede e seus serviços e aplicativos. Esta rede é tipicamente protegida da parte exterior.
Os componentes entre essas zonas, são responsáveis por aplicar e fazer cumprir a política de segurança.
O e-business requer tecnologias de segurança sofisticadas para proteger dados e sistemas valiosos que estão cada vez mais expostos ao acesso público. Isto não acontecia com as redes empresariais tradicionais do passado. Hoje é crescente complexidade para encontrar a escolha certa de tecnologias de segurança e sua implantação em rede.
Validade de Acesso à Rede
Para proteger a rede de acesso, são empregadas tecnologias de autenticação de acesso remoto, como o RADIUS, para garantir que nenhuma tentativa de acesso não autorizado ou indesejado seja concedido, através de conexões públicas. Para proteger as conexões em linhas alugadas através de redes privadas, a segurança da rede via hardware (por exemplo, criptografia) ou IPSec são exemplos de proteção adequada. Para proteger as conexões através de redes públicas, o IPSec é considerado a melhor opção, porque fornece autenticação por pacotes e criptografia baseada em algoritmos de criptografia fortes.
Validade de Perímetro de Rede
Para proteger a sua rede de perímetro, a medida mais comum consiste em um ou mais firewalls e, provavelmente, uma ou mais zonas desmilitarizadaS (DMZ).
Validade de Dados
Uma vez que o acesso à rede tem sido devidamente identificado e autorizado, é importante olhar os dados que entram e saem da rede. Para os dados de entrada, você quer ter certeza de que há um requisito de negócio para permitir que os dados entrem na sua rede, e que não contenha material questionável ou mesmo prejudicial, como vírus. Isso garante que os danos aos sistemas mais críticos dentro da sua rede sejam reduzidos ao mínimo. Para os dados de saída, você, também, quer ter certeza de que há um requisito de negócio para permitir que os dados saiam da sua rede, e que não contenham material questionável ou mesmo prejudicial e, por conseguinte, reduza o risco de danos à outras pessoas oriundos de usuários de dentro de sua rede ou de um hacker que usa sua rede como uma plataforma para atacar os outros.
Validade do usuário
No final do caminho de dados, os usuários devem estar devidamente autenticados aos aplicativos que eles estão acessando. Dessa forma, você pode pegar impostores que, de alguma forma encontram caminho para capturar os dados do outro lado da comunicação.
Validade de Sistema
Os sistemas que fornecem os aplicativos precisam ser protegidos contra falhas de segurança. Proteção de senha, listas de controle de acesso e criptografia de dados armazenados localmente protegem contra o uso indevido, ao passo que os programas antivírus podem reduzir a exposição a programas maliciosos.