Bernadete Martinho Alcântara
1 UNIVERSIDADE CANDIDO MENDES PÓS-GRADUAÇÃO LATO SENSU INSTITUTO A VEZ DO MESTRE A SEGURANÇA DA INFORMAÇÃO NAS EMPRESAS Por: Roberto De Paoli Motta Orientadora Profª. Ana Claudia Morrissy Rio de Janeiro 2010
2 1 UNIVERSIDADE CANDIDO MENDES PÓS-GRADUAÇÃO LATO SENSU INSTITUTO A VEZ DO MESTRE A SEGURANÇA DA INFORMAÇÃO NAS EMPRESAS Apresentação de monografia ao Instituto A Vez do Mestre Universidade Candido Mendes como requisito parcial para obtenção do grau de especialista em Gestão em Instituições Financeiras Por: Roberto De Paoli Motta
3 2 AGRADECIMENTOS Aos meus colegas de trabalho que participaram comigo dessa jornada de conhecimentos.
4 3 DEDICATÓRIA À minha esposa que tanto me apoiou e incentivou.
5 4 RESUMO O presente trabalho realizou um estudo amplo e aprofundado acerca de todas as vertentes da Gestão da Segurança da Informação. Trata-se de assunto de relevante importância, tendo-se em vista o crescente incremento na utilização de meios de comunicação e sistemas de informação para o trânsito das informações pessoais e/ou corporativas, o que pode torná-las vulneráveis diante dos aspectos de sua integridade, autenticidade e confidencialidade. Através desse estudo buscou-se conhecer e compreender os elementos que constituem a informação, as formas de protegê-la, e os tipos de ameaças existentes. Desta forma foi possível mensurar a importância do ativo informação e da sua proteção para a manutenção e crescimento de uma empresa.
6 5 METODOLOGIA O trabalho foi realizado através de pesquisa bibliográfica servindo-se da ampla literatura que trata do tema. Foram selecionados tópicos considerados mais preponderantes para a prática cotidiana da Gestão da Segurança da Informação no ambiente corporativo. A partir dessa seleção desenvolveu-se de forma pontual e aprofundada e valendo-se das diversas fontes bibliográficas, o texto monográfico. Foi desenvolvido, por exemplo, um tópico a respeito da utilização de criptografia para a troca de informação entre clientes e empresa de forma a preservar os dados pessoais e senhas destes, protegendo-os de possíveis intervenções maliciosas de pessoas não autorizadas.
7 6 SUMÁRIO Introdução Informação Classificação da Informação Definição Níveis de Classificação Ciclo de Vida da Informação Manuseio da Informação Armazenamento da Informação Transporte da Informação Descarte da Informação 16 2 Segurança da Informação Conceito de Segurança Ativo Aspectos da Seg. da Informação Ameaças Vulnerabilidade Medidas de Segurança Perímetro Barreiras de Segurança Risco Definição do Nível do Risco Procedimentos Adotados Utilização dos Recursos de TI 26
8 Proteção contra Software Malicioso Vírus Worm Trojan Malware Spyware Adware Acesso a Internet Utilização do Correio Eletrônico Gerenciamento, Controle e Manutenção da Rede e do Acesso aos Sistemas Controle através da Criptografia, Assinatura Digital e Certificado Digital Criptografia Assinatura Digital Certificado Digital Logs de Acesso Plano de Continuidade dos Negócios Utilização de Backup, Restauração e Arquivamento de Informações Cópia de Segurança e Restauração Gestão de Incidentes de Segurança Responsabilidade de Gestores e Usuários Responsabilidade do Gestor de Sistema Responsabilidade do Administrador de Acesso 45
9 Responsabilidade do Usuário dos Sistemas Informatizados 46 3 Política de Seg. de Inf. Nas Empresas Definição Organização Etapas de Desenvolvimento Elaboração dos Procedimentos Revisão, Aprovação e Implantação Pontos Críticos para o Sucesso Benefícios Características Treinamento e Divulgação Comitê de Segurança da Informação Estruturas e Funções Metodologias ITIL COBIT NBR ISO/IEC 27002:2005 (antiga NBR ISO/IEC 17799:2005) Conformidade e Governança Direitos Autorais 60
10 Requisitos Legais Lei Sarbanes-Oxley Resolução do Bacen Acordo Basiléia II Governança 62 Conclusão 64 Referências 65
11 10 INTRODUÇÃO Nas empresas, a utilização de tecnologias que precisam ser diariamente atualizadas, tornou complexo o estabelecimento de controles eficientes para detectar, prevenir e corrigir incidentes na segurança das informações. Esses controles são essenciais para impedir manipulações indevidas, acessos não autorizados e garantir o fluxo de informações, evitando interrupções que comprometam os negócios da empresa. O mercado atualmente requer mais qualidade e eficiência das atividades diretamente ligadas aos negócios das empresas.
12 11 CAPÍTULO 1 INFORMAÇÃO 1.1 Classificação da Informação É um processo que estabelece um grau de importância para as informações que impactam os negócios de uma empresa. Esta classificação deve ser periodicamente realizada, nos meios de armazenamento, visando a manutenção e o sucesso da empresa. Durante esta classificação, existem regras a serem seguidas, determinando o proprietário de todas as informações, que irá escolher os meios de proteção para as mesmas. Onde houver várias informações guardadas num mesmo local, com diferentes níveis, deve-se aplicar o nível mais alto de classificação, tendo em vista a importância de seus dados. As que estão armazenadas em qualquer local devem estar classificadas de acordo com seus critérios e que possuam uma identificação para fácil reconhecimento do seu grau de sigilo. A empresa pode utilizar um inventário para classificar seus ativos: Ativo Físico: móveis, salas, prédio, ar-condicionado, gerador, nobreak, servidores, notebooks, desktops, impressoras, fax, roteadores, mídias Ativo Pessoa: estagiários, contratados, terceirizados, empregados e fornecedores
13 12 Ativo Serviço: utilidades gerais, ligações telefônicas, backup de computação, videoconferência Ativo Software: ferramentas de desenvolvimento, aplicativos, utilitários do sistema, sistema operacional Ativo Informação: banco de dados, manual do usuário, arquivos magnéticos, documentação do sistema, procedimentos operacionais, plano de continuidade Ativo Documentos em Papel: relatórios confidenciais, dossiê do cliente, contratos assinados, documentos da empresa Toda informação já classificada quando for alterada por qualquer motivo, deve novamente ter um novo processo de classificação, para que seja revisto e adequando-a a um novo nível de classificação. 1.2 Definição Primeiramente precisamos conhecer os negócios da empresa, compreender suas atividades realizadas e seus processos, só assim conseguiremos iniciar as classificações das suas informações. Para isso, estabelecemos algumas definições: Classificação: atividade em que atribuiremos os tipos de informações e o grau de sigilo das mesmas Criptografia: codificação que transforma revesivelmente a informação, tornando-a ininteligível a terceiros, protegendo-a contra alterações e/ou acessos indevidos
14 13 Perfil de Acesso: define o direito de acesso as transações, as informações, via sistema, meio magnético ou impresso de acordo com a necessidade do uso de cada usuário de uma empresa, seja ela feita por palavra-chave, sistemas biométricos e cartões inteligentes Proprietário: funcionário qualificado, que trabalha numa determinada área da empresa que é responsável por todos os ativos de informação da mesma Custodiante: funcionário que custodia as informações, garantindo que elas estão de acordo com o estabelecido pelo proprietário 1.3 Níveis de Classificação Como as informações possuem um grau de criticidade e de sensibilidade muito variáveis de acordo com seu conteúdo, algumas necessitam de níveis adicionais de proteção. Para isso deve-se definir um nível de segurança apropriado e comunicar aos seus usuários a necessidade de uma proteção especial para tais informações, devido a sua classificação. Uma forma de estabelecer um determinado valor a uma informação é classificando-a, que esta servirá de base para proteger a informação determinando qual mecanismo de controle será utilizado. Sua classificação deve ter uma avaliação individual do seu conteúdo, da sua importância, conseqüentemente da divulgação, da perda ou acesso não autorizado. Esta classificação deve ser bem rigorosa, evitando-se que importantes informações fiquem menos protegidas do que deviam e que se gastem investimentos para proteger informações não tão importantes sem necessidade, gerando despesas para a empresa.
15 14 Podem ser adotados os seguintes níveis para uma classificação de segurança: Nível de Alto Risco: são informações estratégicas, confidenciais, de sigilo absoluto. Elas são protegidas do acesso externo. As operações da empresa poderão ser comprometidas, se pessoas não autorizadas acessarem alguns desses dados, causando prejuízos financeiros e competitivos. A integridade dessas informações é vital para a empresa. (dados pessoais, senhas, estratégia de mercado, salários e dados de clientes) Nível de Uso Restrito: são informações para áreas ou grupo de pessoas com um confidencial de menor risco Nível de Uso Interno: são informações voltadas para os funcionários. Deve ser evitado o acesso externo a essas informações, mas se por acaso essas informações vazarem para o público externo, não serão críticas as conseqüências. Como por exemplo, os benefícios que a empresa oferece aos seus funcionários, telefones e ramais da empresa, mesmo sendo classificadas para o uso interno, não terão impactos negativos para a empresa Nível de Uso Público: são informações direcionadas especificamente para clientes, fornecedores e terceiros. São informações que não precisam de nenhum sigilo, podendo ser de livre acesso para todos, não necessitando de nenhum investimento de recursos para sua proteção. Se por ventura estas informações fossem divulgadas para o público externo, não trarão impactos negativos para os negócios da empresa. Exemplo: serviços sem dados confidenciais, folders, testes de sistemas sem dados confidenciais, demonstrativos financeiros que já foram publicados em algum jornal, brochuras da empresa.
16 15 Deve-se ter muito cuidado na interpretação do rótulo de classificação de segurança da informação das empresas, pois cada empresa pode possuir um rótulo similar ou idêntico, mas com um significado diferente. 1.4 Ciclo de Vida da Informação Sabemos o quanto a informação é valiosa para uma empresa, mas temos que atentar para a segurança, preservação e proteção para que estejam totalmente sob controle. O ciclo de vida é identificado e composto pelos momentos em que a informação é colocada em risco. Esses momentos são: quando os ativos humanos, tecnológicos e físicos usam a informação nos negócios mantendo as operações da empresa Manuseio da Informação É o momento em que ela é criada ou manipulada, seja na hora em que se utiliza uma senha de acesso para deferimento ou autenticação, ou digitar qualquer informação gerada recentemente num aplicativo da internet Armazenamento da Informação É o momento em que ela é guardada ou armazenada, seja numa mídia de CD-ROM, disquete ou em um banco de dados compartilhado.
17 Transporte da Informação É o momento em que ela é enviada ou transportada, seja falar ao telefone da empresa sobre uma informação confidencial, postar um documento via aparelho de fax ou encaminhar por correio eletrônico ( ) Descarte da Informação É o momento em que ela é expurgada, deletada ou descartada, seja deletando um arquivo de seu computador, colocando na lixeira de sua mesa um documento impresso ou expurgando uma mídia (CD-ROM) usada que teve falha na leitura. Imagine que em uma reunião gerencial, o assunto trata-se de uma informação estratégica. Os dados são anotados e redigidos em um papel e guardado num local seguro. Posteriormente é digitalizado e enviado por aos interessados, sendo que no momento de descarte, o papel aonde foram anotadas as informações confidenciais, é jogado de qualquer maneira na lixeira de sua mesa, sem qualquer critério. Com isso, ocorreu um furo na segurança, pois o documento está vulnerável a qualquer ataque em potencial. Suponhamos que qualquer funcionário de outro setor, que não tenha participado da reunião, e que esteja com intenções maliciosas, pegue este documento jogado no lixo indevidamente, faça mau uso das informações, podendo comprometer os negócios da empresa. Por mais cauteloso que tenha sido, adotando as regras da política de segurança quanto ao manuseio, armazenamento e transporte da informação, ficou totalmente exposto quanto ao descarte, comprometendo todos os
18 17 gerentes presentes na reunião, como pondo a segurança dos negócios em risco.
19 18 CAPITULO 2 SEGURANÇA DA INFORMAÇÃO 2.1 Conceito de Segurança É o conjunto de normas, políticas, orientações e procedimentos com o objetivo de proteger os ativos da informação, contra alterações indevidas, indisponibilidades e acessos não autorizados, possibilitando a realização dos negócios da empresa. Ela existe para minimizar os riscos do negócio com relação ao uso das informações para um bom funcionamento da empresa. Com uma informação incorreta ou sem ela, os negócios podem ter perdas que impactem o retorno dos investimentos de seus acionistas e que comprometam o seu funcionamento como empresa. Também a consideramos como a prática na gestão de riscos que comprometam os três principais conceitos: Confidencialidade: a informação deverá ser utilizada ou acessada somente pelos usuários que para a realização de suas atividades profissionais, necessitem dela; para isso deve-se ter uma autorização do seu superior imediato. Exemplo: planejamento estratégico da empresa, cadastro de clientes, correio eletrônico, intranet, etc. Integridade: a informação deve ser verdadeira, estar correta e não estar corrompida. Se a informação não estiver íntegra ou verídica isso acarretará numa perda ou em sérios danos que uma empresa possa sofrer. Exemplo: um sistema operacional atuando
20 19 de forma imprópria ou incorreta, um arquivo corrompido, uma informação incompleta ou desatualizada, etc. Disponibilidade: a informação deve estar disponível ou acessível para um bom funcionamento dos objetivos e missões de uma empresa. Exemplo: atraso na disponibilidade de uma informação ou uma paralisação de um sistema operacional, travando todas as informações necessárias para o funcionamento da empresa. Para que a proteção da informação seja eficaz em uma empresa, os regulamentos e os conceitos da segurança da informação devem ser seguidos e compreendidos por todos os seus funcionários, contratados e estagiários Ativo É todo elemento que compõem os processos comunicativos e transacionais que processam e manipulam a informação nos equipamentos onde ela é armazenada, manuseada, transportada e descartada. A informação é um ativo importante numa empresa. Portanto, os equipamentos aonde são processados, armazenados e transmitidos precisam estar sempre monitorados e protegidos. A informação tem um enorme valor para a empresa, sem ela a empresa não consegue realizar seus negócios. A palavra ativo, por ser um elemento de valor para a empresa e/ou indivíduos, origina-se da área financeira. Por isso, precisa-se de uma proteção específica (ISO/IEC 17799). Fazem parte dos ativos: usuários, informações, aplicações, processos e equipamentos.
21 Aspectos da Segurança da Informação são: Os elementos considerados indispensáveis na segurança da informação Autenticação: processo de reconhecimento e identificação dos usuários que fazem parte de uma comunicação Legalidade: as informações devem estar de acordo com a legislação política da instituição vigente, os contratos, licenças e regulamentos e princípios éticos da empresa Autorização: permissão aos usuários para acessar os aplicativos e informações após identificação e autenticação dos mesmo Auditoria: processo de coleta de dados para identificar os usuários envolvidos num processo de troca de informações Autenticidade: utilizado na certificação digital, visando garantir a validação dos arquivos ou mensagens através de: originalidade, identidade, confidencialidade, autoria, irretratabilidade, autenticidade e integridade Severidade: gravidade do dano que uma informação pode sofrer através de uma vulnerabilidade explorada por um usuário não autorizado Criticidade: gravidade pelo uso indevido de um ativo impactando os negócios de uma empresa
22 21 Irretratabilidade: o usuário que alterou ou gerou uma informação, não pode negar a sua autoria, pois existem mecanismos que identificam o emissor e o autentica como o autor das informações recebidas ou enviadas Ameaças Agentes que provocam incidentes e que comprometem as informações por meio de vulnerabilidades, tendo perdas de integridade, confidencialidade e disponibilidade, causando impactos negativos nos negócios da uma empresa. Essas ameaças podem ser divididas em três grupos: Naturais: fenômenos da natureza: como poluição, maremotos, terremotos, incêndios naturais, aquecimento, etc. Voluntárias: ameaças propositais como: ladrões, incendiários, invasores, espiões, hackers, criadores de vírus, etc. Involuntárias: ameaças involuntárias como: falta de energia, causadas por acidentes, etc Vulnerabilidade Fragilidade associada a ativos que processam informações que ao serem exploradas por agentes que provocam incidentes, acarreta um incidente de segurança, afetando os princípios de segurança da informação: integridade, confidencialidade e disponibilidade. Exemplos:
23 22 Humanas: compartilhamento de informações confidenciais, erros ou omissões, não execução das rotinas de segurança, falta de treinamento, distúrbios civis, vandalismo, invasões, sabotagens, roubo Naturais: aumento da temperatura, falta de energia, incêndio, terremotos, acúmulo de poeira, enchentes, etc. Físicas: instalações fora do padrão, risco de explosões, vazamentos, salas de centro de processamento de dados mal planejadas Comunicação: perda de comunicação ou acesso não autorizado Software: erros na configuração ou instalação dos aplicativos, acarretam perda de dados, acessos indevidos, vazamento de informações e indisponibilidade dos mesmos Hardware: falha nos recursos como má utilização, obsolência e desgaste Mídias: a radiação eletromagnética afeta diversos tipos de mídias, como: CD-ROM, DVD-rom, disquetes podendo perder ou danificar seus arquivos Medidas de Segurança Os procedimentos usados na proteção da informação podem impedir que agentes que provocam incidentes explorem vulnerabilidades. As medidas de segurança podem ser:
24 23 Detectáveis: visam detectar indivíduos ou condições causadores de ameaças. Exemplo: câmeras de vigilância, alarmes, sistema de detecção de intrusos, alertas de segurança, etc. Preventivas: visam prevenir incidentes que possam ocorrer. Exemplo: política de segurança, antivírus, firewall, etc. Corretivas: visam a correção da estrutura tecnológica para se adaptarem as condições de segurança estabelecida pela empresa Perímetro Estrutura de segmentação de ambientes físicos e ambientes lógicos. Para obter melhor retorno do mecanismo que garanta o nível de proteção da informação, está na segmentação inteligente dos ativos. Assim, torna-se aplicável os controles adequados sem que exceda os limites de proteção e nem fique aquém das necessidades. O perímetro além de compartilhar os espaços físicos e lógicos, também possui importante papel de alerta e de mecanismo de resistência. Ao tentarem invadir o sistema, gera-se um sinal de alerta e se deparam com a resistência que dará tempo para as medidas de contingência sejam devidamente tomadas, antes de a invasão avançar em direção ao alvo final.
25 Barreiras de Segurança Diante da complexidade da segurança da informação, estudaremos os desafios em camadas, particionando nosso trabalho para entendermos cada uma delas. Esta divisão chama-se barreiras. São seis barreiras de segurança: Desencorajar: cumpre o papel de desencorajar as ameaças. Estas ameaças podem perder o estímulo pela tentativa de quebra de segurança por mecanismos humanos, físicos e tecnológicos. Exemplo: uma câmera de vídeo (mesmo falsa), aviso da existência de alarmes, divulgação de auditoria, monitoramento de sistemas, etc. Dificultar: controle efetivo para dificultar acessos indevidos. Exemplo: detector de metal, alarme, roletas, senhas, firewalls, criptografia, smartcard, etc. Discriminar: sistema utilizado para estabelecer e monitorar limites de acesso. Exemplo: , impressora, telefonia, aplicativos de computador e banco de dados Detectar: sistema que alerta, sinaliza e instrumenta os gestores de segurança da informação para detectar sinais de risco. Exemplo: contaminação por vírus, tentativa de invasão, envio ou cópia de informações sigilosas e o descumprimento da política de segurança Deter: tem como objetivo, impedir que a ameaça atinja os ativos de uma empresa. Para isso, medida como ações administrativas, punitivas e bloqueios de acessos a ambientes e sistemas, são bons exemplos
26 25 Diagnosticar: última barreira no diagrama conduzida por análise de riscos considerando os aspectos físicos, humanos e tecnológicos, orientados pelas necessidades e características dos negócios de uma empresa. Um trabalho mal diagnosticado poderá distorcer a situação atual de segurança, aumentando a distribuição desproporcional dos investimentos e o retorno destes investimentos não corresponderá as expectativas fazendo com que a empresa não atinja o nível de segurança desejável as suas atividades Risco É a possibilidade das ameaças terem sucesso na exploração de uma vulnerabilidade, causando um impacto negativo nos negócios de uma empresa. As medidas de segurança protegem os ativos limitando os impactos negativos diminuindo o risco Definição do Nível do Risco Após uma criteriosa avaliação dos riscos, podemos classificá-los em três níveis: baixo, médio e alto. Baixo: se o risco for de nível baixo, fica a critério de a administração avaliar a necessidade de fazer uma manutenção corretiva ou não, assumindo toda e qualquer responsabilidade.
27 26 Médio: se o risco for de nível médio, a administração deve efetuar num curto período de tempo, uma manutenção corretiva. Alto: se o risco for de nível alto, devem-se iniciar imediatamente uma manutenção corretiva, a fim de eliminar o risco detectado, sem prejudicar o sistema operacional. 2.5 Procedimentos Adotados Para que possamos manter as informações confidenciais (ativos) de uma empresa, livres de qualquer ataque ou invasão faz-se necessário adorar alguns procedimentos para melhorar continuamente a segurança da informação Utilização dos Recursos de TI A empresa somente disponibilizará recursos tecnológicos aos seus usuários autorizados de acordo com a função exercida e com a necessidade do serviço executado. Cada usuário é extremamente responsável pelo uso de qualquer aplicativo disponível na empresa, a fim de contribuir para o atingimento das metas estabelecidas. Caso ele proceda de forma incorreta, estará sujeito a um inquérito administrativo, sujeito a todas as sanções previstas. A empresa detém todos os direitos sobre todas as informações do banco de dados, de todos os sistemas e aplicativos, podendo a qualquer momento, monitorar os correios eletrônicos, intranet, correio de voz e internet. Para tal fato, a empresa obriga os usuários a assinarem um termo de compromisso
28 27 para que todos tomem conhecimento da importância de manter um sigilo absoluto de todas as informações contidas no sistema e de fazer bom uso delas Proteção Contra Software Malicioso Vírus É um programa que invade o computador, se multiplica, infectando o sistema como um todo, executando ações que não solicitamos prejudicando nosso computador. Normalmente, eles entram num computador através de arquivos executáveis (.exe) que baixamos pela internet, seja por um de algum conhecido ou por algum download efetuado. Algumas vezes podemos também ser infectados através de mídias magnéticas (disquete, CD-ROM, DVD-rom) contaminadas. Para isso devemos ter o máximo de atenção no sentido de verificar através de um antivírus, se as mídias em questão estão com vírus. Para isso, todas as empresas possuem uma política formal: Proibindo o uso de softwares piratas, usando somente software legítimo Utilizando antivírus sempre atualizados de fornecedores confiáveis e autorizados Normalmente é vedado o uso de periféricos de entrada e saída (porta USB, drive de CD-ROM, drive de disquete) para evitar contaminação
29 28 Utiliza-se um sistema operacional Linux, com baixa probabilidade de contaminação Worm Programa muito semelhante ao vírus, sendo que ele possui uma diferença, que o torna tão destruidor: os worms não precisam de nossa ajuda para se propagar, eles possuem capacidade de se enviarem sozinhos através de rede e infectarem outros computadores. Exemplo: Blaster e Sasser são worms que faziam com que o computador desligar-se após alguns minutos Trojan Este programa significa cavalo de tróia. Ele invade seu computador sem danificá-lo, mas por trás disto, ele executa um código malicioso, permitindo que um hacker acesse todo o conteúdo do seu computador sem você saber. Ele repassa senhas, códigos de segurança, monitora todos os seus passos, sempre que estiver conectado à internet.
30 Malware É um software que tem como finalidade se infiltrar e criar danos num computador individual, servidor ou rede. Exemplo: vírus, trojan, worm, adware, spyware Spyware É um programa do tipo malware. Ele é instalado no computador sem a sua autorização e sem o seu conhecimento. Eles recolhem informações do usuário, como hábitos na internet, como senhas, password, dados bancários e enviam para um hacker através de mensagens eletrônicas Adware Existem dois tipos: o bom adware e o mau adware. O bom adware, são somente publicidades dentro de programas ou enquanto este estiver funcionando. Não tem como função, prejudicar o usuário. Já o mau adware, é instalado sem que o usuário saiba e ele é complicado para desinstalar. Pode mudar sua home Page, o search, é uma publicidade intrusiva, como por exemplo, pop-ups aparecerem de todos os lados, mesmo que o programa já não esteja sendo usado. Eles podem ser considerados spyware ou malware.
31 Acesso a Internet O acesso a internet deve previamente ser autorizado pelo administrador, visando sempre em prol do serviço. O usuário nunca deverá utilizá-la de forma ilícita, para ganho ou lucro pessoal. Toda e qualquer página ou link acessada pelo usuário, são registradas no log do sistema, informando a data, hora, tempo de permanência, protocolos utilizados, endereços IP e URL acessadas (bloqueadas ou não), quantidade de dados transmitidos ou recebidos e principalmente, a identidade do usuário através do login Utilização do Correio Eletrônico O de uma empresa deve unicamente ser utilizado para fins comerciais. É um grande avanço da tecnologia, com intuito de trocar informações comerciais com mais velocidade e mais barato. Com isso precisase ter uma política de segurança criando regras de uso das informações confidenciais, tais como armazenamento, conteúdo e transmissão das mesmas, para não gerar prejuízo ou danos aos negócios da empresa. Qualquer empresa possui direito ao monitoramento de todas as informações que são recebidas ou enviadas por seus usuários via , para fins de investigação ou auditoria.
32 Gerenciamento, Controle e Manutenção da Rede e do Acesso aos Sistemas Política de segurança permite aos administradores, gerenciarem os usuários a quem pretende dar acesso e as informações que pretende proteger. A proteção das informações está baseada na sua importância e ao fornecimento de acesso aos usuários. Baseia-se na necessidade de execução dos serviços, identificado por um login e senha (impessoal e intransferível). Tudo deve ser proibido a menos que expressamente permitido é uma regra de concessão de acesso estabelecido pela norma NBR ISO/IEC 27002:2005. O controle de acesso tem como função identificar, gerenciar, monitorar ou controlar os acessos dos usuários. Os acessos devem ser periodicamente revistos, sempre que houver alteração nos sistemas da empresa, incluindo-se todos os usuários em questão. Para se autenticar os usuários, é preciso ter um efetivo sistema de controle de senhas. As senhas não poderão ser compartilhadas, não devem ser de fácil dedução, devem possuir um prazo para expirar, bloquear o acesso após três tentativas de senhas incorretas, devem possuir no mínimo 6 (seis) caracteres e nunca deverá ser exibida pelo sistema. Para que haja um controle efetivo na segurança das informações que transitam por uma rede de computadores, fazem-se necessário possuir: Antivírus: Programa que tem como objetivo detectar e destruir vírus, worm, trojan, etc. Firewall: aplicativo que tem como função controlar o tráfego de entrada e saída de dados entre o computador e a internet. Ele analisa todos os dados que passam por ele, verificando se estas
33 32 informações têm autorização ou não para prosseguir, caso não tenham, o firewall bloqueia a passagem dos dados. Ambos terão que estar sempre atualizados para evitar futuras invasões. Outro aplicativo muito usado para manter um controle de segurança é o Mozilla. Este contém um Firefox que permite verificar se o link acessado possui um certificado digital que garanta a legitimidade do link e que todo download de arquivos é verificado se este possui vírus antes de instalá-los Controle através da Criptografia, Assinatura Digital e Certificado Digital Conforme a norma NDB ISO/IEC 27002:2005, a criptografia é usada para proteger a confidencialidade das informações através do processo de cifração ou do processo de codificação. Ela se utiliza de criptoanálise ou de algoritmos matemáticos para minimizar os riscos, maximizar os benefícios e evitar o uso impróprio das informações. Resumindo, é o embaralhamento eletrônico dos dados Criptografia Existem duas técnicas de criptografia: Criptografia Simétrica ou Chave Privada: Utiliza-se uma única chave para criptografar as informações na origem e decriptá-las no destino. Apesar de ter velocidade e excelente desempenho,