SEGURANÇA DA INFORMAÇÃO

SERGIO DUQUE CASTILHO

OURINHOS - SPJUNHO/2011

1

Sumário

1 SEGURANÇA DA INFORMAÇÃO....................................................................................3

2 LEIS ......................................................................................................................................16

3 PESQUISA DE SEGURANÇA DA INFORMAÇÃO ......................................................20

4 NORMAS..............................................................................................................................24

5 CLASSIFICAÇÃO DA INFORMAÇÃO..........................................................................34

6 ROSI......................................................................................................................................40

7 DESCARTE E SANITIZAÇÃO DE MÍDIAS...................................................................46

8 CONTROLE DE ACESSO.................................................................................................60

9 SEGURANÇA PARA TELEINFORMÁTICA E COMUNICAÇÕES...........................63

10 VISÃO DA GOVERNANÇA DE TI..............................................................................78

2

1 Segurança da Informação

1.1 Introdução

Por que é tão importante proteger as informações nos dias de hoje? Será possível

manter a segurança de uma organização, onde as informações são ativos de extrema

importância para sua sobrevivência?

Devido às organizações estarem fortemente ligadas a Tecnologias (servidores,

internet, banco de dados, e-comerce, etc), os riscos que trazem essas Tecnologias são riscos

para o negócio, e as falhas na proteção dos ativos da informação correlacionados com

essa Tecnologia, transformam-se em perdas financeiras, comprometem a imagem da

empresa e reduzem a eficiência operacional, chegando ao extremo de levar a encerrar suas

operações.

Restrita no passado para áreas de nicho, como bancária, aeroespacial ou aplicações

militares a segurança digital cresce lentamente mas segura, tornando-se assunto de todos.

As organizações têm a necessidade de criar e manter um ambiente tecnológico no

qual os processos de negócio possam funcionar de forma correta e segura. Significa

assegurar a confidencialidade e privacidade dos dados na organização, bem como a sua

integridade. Para que esses objetivos sejam alcançados, não devemos dar ênfase apenas a

implantação de hardware e software, mas a realização eficiente do processo de

Gerenciamento de Risco de TI1 , no qual todos os riscos devem ser identificados e

minimizados.

1.2 Informação

É um conjunto de dados que representam um ponto de vista.

Dados não são informações, estes após uma analise ou processo geram informação.

A informação possui significado e causa impacto em grau maior ou menor, tornando o

elemento essencial da extração e criação do conhecimento.

1 TI – Tecnologia da Informação

3

• conhecimento só pode ser formado a partir da exposição do individuo a informação.

• Os aspectos da geração de conhecimento a partir da informação é o principal interesse das organizações.

• Expor colaboradores a informação gera conhecimento, melhora a tomada de decisão e proporciona valor aos negócios, Como pode ser visto na figura 3.

• Proporcionar valor contribui diretamente para o lucro.

• É possível afirmar que a informação é um bem, um ativo da organização e deve ser preservada e protegida.

• É possível encontrar informação na forma escrita, impressa, armazenada em arquivos( discos, cds, etc) e até transitando nos meios de comunicação.

Figura 1 Valor da Informação

1.3 A importância da informação

Atualmente, as informações tornam-se o objeto de maior valor para as empresas. O

avanço da informática e das redes de comunicação nos mostra um novo cenário, no qual os

objetos do mundo real estão representados por bits e bytes, sem deixar de ter o mesmo valor

que os objetos reais e, na maioria das vezes, o valor é ainda maior.

Segundo alguns estudos realizados, apenas 6% das empresas que sofrem um desastre

informático sobrevivem. Os demais 94% desaparecem, mais cedo ou mais tarde. Algumas

4

pesquisas, ainda que mais moderadas, confirmam essa tendência ao indicar que duas de cada

cinco empresas que enfrentam ataques ou danos em seus sistemas deixam de existir.

1.4 Segurança da informação

É a proteção da informação, de diversos tipos de ameaças, para garantir a

continuidade dos negócios, minimizar os danos e maximizar o retorno do investimento e as

oportunidades de negócio.

Segundo a NBR 27001, segurança da informação consiste na preservação da

confidencialidade, integridade e disponibilidade da informação. Também suplementa, outras

propriedades, tais como autenticidade, responsabilidade, não repúdio e confiabilidade,

podem estar incluídas.

Para a Academia Latino Americana de Segurança da Informação, as empresas estão

expostas a ameaças constantes em seus ativos, o que pode representar prejuízos inestimáveis.

As vulnerabilidades em nossos sistemas de informação podem representar problemas de

grande impacto negativo para a empresa, a importância de compreender os conceitos

necessários para que se possa combatê-los e defender as informações de possíveis ataques é

uma forma de sobrevivência para a empresa.

A segurança da informação tem a finalidade de proteger as informações registradas,

independente de onde estejam situadas: impressas em papel, nos discos rígidos dos

computadores ou até mesmo na memória das pessoas que as conhecem.

E elementos são: as informações, os equipamentos que oferecem suporte a elas e as

pessoas que as utilizam.

A necessidade de segurança já excede o limite da produtividade e da funcionalidade,

de forma que a velocidade e a eficiência tornam-se uma vantagem competitiva nos processos

de negócios e a falta de segurança nos meios tecnológicos que permitem essa velocidade e

eficiência, muitas vezes pode acarretar prejuízos inestimáveis.

5

Figura 2 Elementos que fazem Parte da Comunicação.

Aumentar o nível de segurança de sistemas de informação é um desafio para

qualquer organização. O primeiro passo neste empenho é avaliar a exposição atual da

organização e decidir que passos esta devem seguir. Tomar decisões e, encontrar soluções

pode ser a parte mais difícil do processo de assegurar os sistemas de informação.

Existem alguns riscos em relação a segurança que devem ser considerados como: a

falta de classificação da informação quanto ao seu valor, o controle de acesso mal definido,

dificuldade de controle do administrador, a Internet, o tráfego de informações e senhas pela

rede, e-mails enviados, qualquer conexão entre redes pode ser considerada um risco.

Não se pode garantir total segurança, pois não existe segurança a prova de hackers.

“A segurança é complexa, envolvendo aspectos humanos, sociais e tecnológicos” (GEUS;

NAKAMURA). Por esse motivo cabe a organização definir o nível necessário de segurança,

mas assumindo os riscos.

Administrar a segurança de uma organização, não é uma tarefa fácil, pois a segurança

é inversa a produtividade. Para minimizar os riscos o administrador restringe o acesso dos

usuários aos serviços e dessa forma afeta a sua produtividade

6

1.5 Ativos

De acordo com a NBR 27001, tudo que constitui valor para a organização é

considerado ativo.

“Um ativo é todo elemento que compõe o processo da comunicação, partindo da

informação, seu emissor, o meio pelo qual ela é transmitida, até chegar a seu receptor ”

(MICROSOFT TECHNET BRASIL). E ainda informa que, os ativos são elementos que

precisam ser protegidos, pois constituem valor para as empresas e, por esse motivo precisam

de uma proteção adequada para que seus negócios não venham a ser prejudicados.

Os elementos que fazem parte do que chamamos de ativos são três: As informações,

os equipamentos que oferecem suporte a elas, as pessoas que as utilizam.

Tabela 1 Grupos de Ativos

A. Informações:

Neste grupo de ativos, tudo que contêm informação registrada, em meio eletrônico ou

físico. Exemplo: documentos, relatórios, correspondências, patentes, código de programação,

planilhas de remuneração de funcionários, etc.1

B. Equipamentos que oferecem Suporte

B.1 Software:

Este grupo de ativos é formado pelos programas usados na execução dos processos,

por exemplo: o acesso, a leitura, o trânsito e o armazenamento das informações. Alguns

exemplos são: sistemas operacionais (Unix, Windows, Linux, sistemas informatizados,

7

aplicativos específicos etc.), programas de correio eletrônico e sistemas de suporte, entre

outros.

B.2 Hardware:

Equipamentos tecnológicos que oferecem suporte à informação durante sua

utilização, trânsito e armazenamento. Por exemplo: os computadores, os servidores, os

mainframes, os meios de armazenamento, os equipamentos de conectividade, roteadores,

switchs,etc.

B.3 Organização:

Componentes da estrutura física e organizacional das empresas.

Exemplos de estrutura organizacional : a estrutura departamental e funcional, o

quadro de alocação dos funcionários, a distribuição de funções e os fluxos de informação da

empresa.

Exemplos de ambiente físico: salas e armários onde estão localizados os

documentos, sala de servidores de arquivos.

C. Usuários:

O grupo usuários são os indivíduos que utilizam os equipamentos da empresa e que

trabalham com a informação, desde a alta direção até os usuários finais da informação,

incluindo os grupos que mantêm em funcionamento a estrutura tecnológica, como técnicos,

operadores e ministradores de ambientes tecnológicos .

1.6 Princípios básicos da segurança da informação

Proteger os ativos significa defende-los das ameaças que podem prejudicar sua

funcionalidade: corrompendo-a, tendo acesso a ela de forma indevida, ou eliminando-a ou

furtando-a. Existem três princípios básicos usados como base para proteção desses ativos:

• Integridade:

• Confidencialidade

• Disponibilidade da informação.

8

1.6.1 Integridade da informação:

O princípio da integridade nos permite garantir que a informação não tenha sido

alterada em seu conteúdo. Um exemplo de falta de integridade ocorre quando a informação é

corrompida, falsificada ou roubada.

Como seria se o quadro de salários dos funcionários fosse alterado acidentalmente ou

propositalmente? Esse é um exemplo de dano que a empresa sofre com a falta de integridade

das informações.

1.6.2 Confidencialidade da informação:

O princípio da confidencialidade da informação assegura o acesso apenas das pessoas

autorizadas à informação que será compartilhada. São informações que precisam ser

mantidas em sigilo, a quebra desse sigilo pode acarretar danos inestimáveis. Exemplo:

número e senha do cartão de crédito, da conta bancária,etc

1.6.3 Disponibilidade das informações:

O princípio da disponibilidade das informações garante que a informação possa ser

acessada no momento em que for solicitada. A configuração segura de um ambiente é

fundamental. Fazer cópias de segurança – backup também é importante.

1.7 Ameaça

Ativos sempre terão vulnerabilidades, que podem submetê-los as ameaças. As

ameaças são agentes que exploram os pontos fracos ou vulnerabilidades (falhas na

segurança), provocando perdas ou danos aos ativos, afetando os negócios da empresa.

As ameaças podem colocar em risco a integridade, a confidencialidade e a

disponibilidade das informações. Ameaças estão ligadas a causas que representam riscos, são

elas:

• Causas naturais ou não-naturais

• Causas internas ou externas

9

Figura 3 Princípios Básicos da Segurança da Informação

1.7.1 Tipos de ameaças

As ameaças estão divididas em três grandes grupos:

• Ameaças naturais – condições da natureza que podem provocar danos aos

ativos como fogo, inundação, terremotos.

• Intencionais – são ameaças premeditadas, fraudes, vandalismo, sabotagens,

espionagem, invasões e furtos de informações.

• Involuntárias – são ameaças procedentes de atitudes inconscientes de

usuários, por vírus eletrônicos, causados pela falta de conhecimento na

utilização dos ativos, como erros e acidentes.

Tabela 2 Principais ameaças às informações das empresas

10

1. Virus2. Divulgação de senhas3. Hackers4. Funcionários insatisfeitos 5. Acessos indevidos6. Vazamento de informações7. Erros e acidentes 8. Falhas na segurança física9. Acessos remotos indevidos10. Superpoderes de acesso12. Pirataria13. Lixo informático14. Divulgação indevida15. Roubo/Furto16. Fraudes

1.8 Vulnerabilidade

Os pontos fracos ou vulnerabilidades são os meios pelos quais as ameaças, afetam a

confidencialidade, a disponibilidade e a integridade das informações de uma empresa. Pode-

se esperar que, à medida que a tecnologia avança, mais expostas ficam as informações. Por

esse motivo é importante conhecer a estrutura geral de como se classificam as

vulnerabilidades ou pontos fracos, responsáveis pelos danos causados por uma série de

ameaças.

1.8.1 Vulnerabilidades físicas

Encontra-se no ambiente em que estão sendo armazenadas ou gerenciadas as

informações.

Exemplo:

• Instalações inadequadas do espaço de trabalho

• Ausência de recursos para o combate a incêndios

• Disposição desorganizada dos cabos de energia e de rede

• Não-identificação de pessoas e de locais, entre outros.

• Computadores: podem sofrer danos internacionais ou naturais.

• Meios de transmissão.

• Ambiente: incêndio, inundação, terremoto.

Figura 4 Pontos Fracos ou Vulnerabilidades

11

1.8.2 Vulnerabilidades naturais

São aqueles relacionados às condições da natureza que podem colocar em

risco as informações.

Exemplo:

• Ambientes sem proteção contra incêndios

• Locais próximos a rios propensos a inundações

• Infra-extratora incapaz de resistir às manifestações da natureza, como

terremotos, maremotos, furacões, etc.

1.8.3 Vulnerabilidades de hardware

Defeitos de fabricação ou configuração dos equipamentos da empresa que

possibilitem o ataque ou a alteração dos mesmos.

Exemplo:

• A ausência de atualizações de acordo com as orientações dos fabricantes dos

programas utilizados

• A conservação inadequada dos equipamentos.

1.8.4 Vulnerabilidades de softwares

Possibilitam a ocorrência de acessos indevidos aos sistemas de computador.

A configuração e a instalação indevidas dos programas de computador;

• Os aplicativos;

• Os sistemas operacionais.

1.8.5 Vulnerabilidades dos meios de armazenamento

Se os meios que armazenam as informações não forem utilizados de forma adequada,

seu conteúdo fica vulnerável a uma série de ameaças que poderão afetar a integridade, a

disponibilidade e a confidencialidade das informações.

12

Exemplo:

• Prazo de validade e expiração

• Defeito de fabricação

• Local de armazenamento em locais insalubres ou com alto nível de umidade,

magnetismo ou estática, mofo, etc.

• Computadores: podem sofrer danos internacionais ou naturais.

• Meios de transmissão.

• Pessoa: por natureza tendem a divulgar informações(conversa informal).

• Processos: falta de regra especifica nas empresas em relação a informação.

• Ambiente: incêndio, inundação, terremoto.

1.8.6 Vulnerabilidades de comunicação

Os meios que transitem as informações, seja por cabo, satélite, fibra óptica ou ondas

de rádio, também necessitam de segurança.

A falha na comunicação faz com que uma informação fique indisponível para os seus

usuários, ou fique disponível para pessoas que não deveriam ter acesso a ela, permitindo que

sejam alteradas, afetando sua integridade.

A ausência de sistemas de criptografia nas comunicações;

A má escolha dos sistemas de comunicação para envio de mensagens.

1.8.7 Vulnerabilidades humanas

Estão relacionadas aos danos que as pessoas podem causar às informações e ao

ambiente tecnológico que lhes oferece suporte.

Exemplo:

• Senhas fracas;

• Falta de uso de criptografia na comunicação;

13

• Compartilhamento de identificadores como nome de usuário.

• Pessoa: por natureza tendem a divulgar informações(conversa informal).

• Processos: falta de regra especifica nas empresas em relação a informação.

1.9 Impacto

Refere-se a perdas ou prejuízo, causado nos negócios ou pessoas devido a um

incidente de Segurança da Informação., podendo causar perdas financeiras, danos a imagem

de pessoas ou empresas,

Exemplo: perda de cliente, perda de produtividade, danos morais.

Fica evidente que o grau de ameaça e de vulnerabilidade influenciam diretamente a

pobabilidade de ocorrer um impacto. Assim se uma empresa atuar diretamente nestes pontos,

irá diminuir a probabilidade de ocorrer um impacto.

1.10 Risco

“Risco é a probabilidade de que as ameaças explorem os pontos fracos causando

perdas ou danos aos ativos e impactando os negócios, ou seja afetando: a confidencialidade,

a integridade e a disponibilidade da informação”. (ACADEMIA LATINO AMERICANA

DE SEGURANÇA DA INFORMAÇÃO;2010; P.2)

Os riscos aumentam à medida que as ameaças conseguem explorar as

vulnerabilidades provocando danos nos ativos. Esses danos podem ocasionar a perda da

confidencialidade, a integridade ou a disponibilidade da informação causando impactos no

negócio da empresa.

RISCO = AMEAÇA + VULNERABILIDADE.

1.11 Excelência operacional das empresas

As organizações que focam a excelência operacional, oferecem produtos de

qualidade em relação ao mercado.

A padronização das operações é uma forte característica.

14

Tudo isso é suportado por uma gama de informações em organizadas e disponíveis.

O que podia ocorrer se o sistema de informação que compõem os processos de suprimento e

atendimento estiverem fora do ar, se os procedimentos ficarem indisponíveis.

Figura 5 Ciclo de segurança

Não resta a menor duvida de que possuir um sistema de gestão de segurança da

informação que mantém a disponibilidade, a integridade e a confidencial idade das

informações é uma necessidade.

Um sistema de gestão de segurança da informação SGSI o primeiro passo é definir

em que direção seguir etapas do planejamento

Definição do Escopo>> Política para SGSI>> Analise de Risco >> Tratamento do

Risco.

15

2 Leis

A evolução da internet não trouxe apenas benefícios para a sociedade, como

globalização, comercio eletrônico, acesso a informações entre outras, vieram

também os crimes virtuais e diversas expressões algumas utilizadas de forma

equivocada como: ‘crimes de informática’, ‘crimes tecnológicos’, ‘crimes

cibernéticos’, crimes virtuais etc. O termo adotado foi: “crimes informáticos”, este

termo traduz, de forma ampliativa, os crimes cometidos contra ou utilizando sistemas

informativos.

A Organização para Cooperação Econômica e Desenvolvimento da ONU

(Organização das Nações Unidas) define o conceito de crimes informáticos como:

“qualquer conduta ilegal não ética, ou não autorizada, que envolva processamento

automático de dados e/ou transmissão de dados”.

O juiz Guilherme Guimarães Feliciano, define crimes informáticos como:

“recente fenômeno histórico-sócio-cultural caracterizado pela elevada incidência de

ilícitos penais (delitos, crimes e contravenções) que têm por objeto material ou meio

de execução o objeto tecnológico informático (hardware, software, redes, etc.)” .

Para combater os crimes informáticos ou punir quem os comete, foram criadas

algumas leis como: A Lei 11.277 de 7 de fevereiro de 2006, que acrescentou ao

Código de Processo Civil o artigo 285-A, artigo 285-B, artigo 285-C, Artigo 154-A,

artigo 163, artigo 163-A, entre outros, descritos a seguir:

• Artigo 285-A (Código Penal).

Acesso não autorizado a rede de computadores, dispositivo de comunicação

ou sistema informatizado.

Acessar, mediante violação de segurança, rede de computadores, dispositivo

de comunicação ou sistema informatizado, protegidos por expressa restrição de

acesso: Pena - reclusão, de 1 (um) a 3 (três) anos, e multa.

Parágrafo único - Se o agente se vale de nome falso ou da utilização de identidade

de terceiros para a prática do crime, a pena é aumentada de sexta parte.

Comete o crime quem acessa uma rede de computadores (que não é apenas a

Internet, pode ser uma rede de computadores conectados entre si, como uma rede

16

coorporativa ou de governo) violando alguma medida de segurança, em rede ou

sistema informatizado ou dispositivo de comunicação que contenha expressa

restrição de acesso.

• Artigo 285-B (Código Penal).

Obtenção, transferência ou fornecimento não autorizado de dado ou

informação.

Obter ou transferir, sem autorização ou em desconformidade com autorização

do legítimo titular da rede de computadores, dispositivo de comunicação ou sistema

informatizado, protegidos por expressa restrição de acesso, dado ou informação

neles disponível:

Pena - reclusão, de 1 (um) a 3 (três) anos, e multa.

Parágrafo único - Se o dado ou informação obtida desautorizadamente é

fornecida a terceiros, a pena é aumentada de um terço.

Esse novo crime também busca proteger os dados eletrônicos (por exemplo,

fotos pessoais, um trabalho acadêmico ou artístico, etc.) de ser obtido ou transferido

sem autorização para terceiros.

Mas quando exatamente ocorre esse crime? .Diferentemente do crime anterior,

esse acontece quando ocorre a transferência ou obtenção do dado eletrônico sem a

autorização do titular da rede de computadores ou do proprietário, ou do dispositivo

de comunicação ou sistema informatizado.

• Artigo 285-C (Código Penal).

Nos crimes definidos neste Capítulo somente se procede mediante representação,

salvo se o crime é cometido contra a União, Estado, Município, empresa concessionária de

serviços públicos, agências, fundações, autarquias, empresas públicas ou sociedade de

economia mista e subsidiárias."

O parágrafo acima determina que os dois crimes anteriores (Art. 285-A e 285-B), só

procedem se houver representação da pessoa ofendida, isso quer dizer, que polícia ou o

Ministério Público não podem processar por conta própria.

• Artigo 154-A (Código Penal).

17

Divulgar, utilizar, comercializar ou disponibilizar dados e informações pessoais

contidas em sistema informatizado com finalidade distinta da que motivou seu registro, salvo

nos casos previstos em lei ou mediante expressa anuência da pessoa a que se referem, ou de

seu representante legal.

Pena - detenção, de 1 (um) a 2 (dois) anos, e multa.

Parágrafo único - Se o agente se vale de nome falso ou da utilização de identidade de

terceiros para a prática do crime, a pena é aumentada da sexta parte.

Esse crime busca punir uma conduta tornou-se muito comum nos dias atuais, a

divulgação de fotos e informações pessoais (dados da receita federal comercializados por

camelôs por exemplo).

Comete o crime quem divulga as fotos ou dados sem a permissão dos donos (ou

representantes legais dos donos) das fotos ou dados.

• Artigo 163 (Código Penal).

Destruir, inutilizar ou deteriorar coisa alheia ou dado eletrônico alheio:

Esse artigo já existe no Código Penal, apenas acrescentamos o "dado eletrônico" para

protegê-lo de dano.

• Artigo 163-A (Código Penal).

Inserção ou difusão de código malicioso.

Inserir ou difundir código malicioso em dispositivo de comunicação, rede de

computadores, ou sistema informatizado.

Pena - reclusão, de 1 (um) a 3 (três) anos, e multa.

Esse crime comete quem difunde vírus ou o insere em rede de computadores. Note-se

que esse crime, tal como os demais, não existe em modalidade culposa, apenas dolosa, o que

quer dizer que aquele que recebe o vírus e sem perceber passa a distribuí-los, não comete

crime (não existe dolo na conduta).

18

Parágrafo 1º - Se do crime resulta destruição, inutilização, deterioração, alteração,

dificultação do funcionamento, ou funcionamento desautorizado pelo legítimo titular, de

dispositivo de comunicação, de rede de computadores, ou de sistema informatizado:

Pena - reclusão, de 2(dois) a 4 (quatro) anos, e multa.

Parágrafo 2º - Se o agente se vale de nome falso ou da utilização de identidade de

terceiros para a prática do crime, a pena é aumentada de sexta parte".

19

3 Pesquisa de Segurança da Informação

A modulo technology for risk management :

Fundada em 1985 a modulo é especializada em tecnologia para gestão de risco.

250 profissionais permanentemente atualizados.

Pesquisa realizada com cerca de 600 profissionais atuantes na área de segurança e

tecnologia da informação.

Pesquisa nos seguintes setores:

Visão por segmento

Organização do governo são as menos quantificadas, 56% não sabem dizer em

quanto ficou o prejuízo, no comercio 26% no financeiro 24% e no industrial 36%

Quando identificado o problema, no setor financeiro os causadores são os

fraudadores já no setor industrial são os ex-funcionários. O setor financeiro é o que mais

tomam providencia legal e possuem planejamento de segurança.

20

Problemas que geram perdas financeiras.

*= 54%

devido a falha

na política de

segurança,

falta de

conscientização ou treinamento dos colaboradores.

Estruturação da área de segurança da informação

21

Empresas com CSO

• Financeiro 27%

• Telecomunicações 23%

Empresas com departamento de segurança.

• Financeiro 56%

• Telecomunicações 50%

• Comercio 39%

• Serviços 35%

Nível de conhecimento sobre normas e legislação.

• Possui conhecimento 43%

• Possui pouco conhecimento 25%

• Possui Conhecimento mas não adotou medidas 24%

• Não possui 8%

Empresas que possuem procedimento metodologia formalizado

• 65% Não possuem e 35% possuem

Valor gasto com capacitação de funcionários:

• 29% até R$1000,00

• 19% até R$2000,00

• 28% acima de R$5000,00

• 24% até R$5000,00

Profissionais da equipe que possuem certificação:

45% nenhuma

22

21% MCSO-Modulo Certified Security Officer ( exame R$500,00 , Curso R$2850,00)

14% Outros

9% CISSP-Certified Informat System security Professional. Mantida pelo (ISC)²

4% CISM-Certified Information Security Manager®, criado pela ISACA

7% CISA- Certified Information System Auditor

Principais Medidas

3.1 Origem dos eventos de segurança da Informação

As origens dos problemas de segurança podem ser dividida em três categorias

conforme tabela.

Natural Fenômenos MeteorológicosAcidental Erros de Usuários ou Falhas nos SistemasIntencional Invasões,Terrorismo Ideologicos ou

criminosoEspionagem e Inteligência competitivaChantagem e extorsão

23

4 Normas

As normas e metodologias são as melhores práticas em segurança da informação e

governança de TI, reconhecidas mundialmente e bastante utilizadas. A busca por padrões de

mercado e as dificuldades das áreas de TI, tornam essas normas e metodologias necessárias

para que as empresas possam sustentar seus próprios modelos e estruturas de controle, já que

as transformações tecnológicas exigem constantes atualizações desses modelos.

Atualmente a tecnologia da informação está enraizada em todas as empresas, da mais

simple a mais complexa, passando por todos os tamnhos, ajudando a dirigir os negócios. O

sucesso da empresa depende da alta disponibilidade das informações, da segurança e

desempenho dos serviços de TI. Esta dependência foi quem determinou o desenvolvimento

de normas que propõem práticas para implantação de sistemas de gestão dos serviços de TI

4.1 Histórico

4.1.1 ABNT ISO/IEC 27002 / 17799

• ISO/IEC 27002:2005- Information technology -- Security techniques -- Code

of practice for information security management

• ISO/IEC- 17799- Information Technology- Security tec- Code of Pratice for

Inf. Security Management.

São provavelmente as mais conhecidas normas sobre segurança da informação, seu

surgimento teve início com a preocupação em gerar uma série de procedimentos sobre

segurança da informação na Inglaterra, mais especificamnete no DTI- Department of Trade

and Industry.

Um grupo criado em 1987 tinha a missão de criar um conjunto de critérios que

pudesse proporcionar a validação da segurança da informação e um código de boas praticas

que orientasse na implementação das ações, este trabalho gerou uma norma em 1989.

24

Este código orientava na aplicação das ações de segurança da informação, mas ainda

era difícil validar essas ações ou assegurar que estavam sendo realizadas. Para isso foi criada

uma lista de verificações, surgindo assim as normas:

• BS-7799-1

• BS-7799-2

Inúmeras melhorias foram implementadas e passou a ser utilizada fora da Inglaterra,

contribuindo com a ISO ( International Organization for Standard ) . Em 2000 a BS-7799-1

foi lançada como ISO 17.799 Information technology -- Security techniques -- Code of

practice for information security management

Porém a segunda parte, ou seja a BS-7799-2 não foi transformada em ISO, gerando

um demanda por normas internacionais.

A British Standard adequou a BS-7799-2 aos padrões ISO (9000 e 14000),passando a

ser usada como norma para certificação de segurança da informação em 2002. Formando um

instrumento para orientação na implantação de um Sistema de Gestão de segurança da

informação (SGSI).

Em 2007 a ISO 17799 foi renomeada para ISO 27.002 denominada:

• ABNT-NBR ISSO/IEC 27002 Tecnologia da informação – Técnicas de

segurança – Código de Prática para a gestão da segurança da informação.

Esta norma oferece diretrizes e princípios gerais para iniciar implementar e manter a

melhor Gestão de SI e as definições básicas do que é a Segurança da Informação, o sua

necessidade e como estabelecer os requisitos de segurança.

4.1.2 ISO/IEC 27001 – SGSI - Sistemas de Gestão de Segurança da

Informação (ISMS - Information Security Management System)

E uma norma internacional utilizada como padrão para os sistemas de gestão

de segurança da informação, foi publicada pelo International Organization for

Standardization (ISO) e pelo International Electrotechnical Commision (IEC)

25

A Norma 27001 foi idealizada para cobrir todos os tipos de organizações , pois seus

requisitos são genéricos.

O Sistema de Gestão de Segurança da Informação (SGSI), define como serão

reduzidos os riscos para segurança da informação através da aplicação planejada de

objetivos, diretrizes, políticas, procedimentos, modelos e outras medidas administrativas.

Um Sistema de Gerenciamento de Segurança da Informação (SGSI), é uma cadeia

de decisões tomadas para gerenciar a segurança da informação, incluindo pessoas, infra-

estrutura e negócios, diminuindo os riscos a um nível aceitável, ao mesmo tempo que

mantém em ponto de vista os objetivos do negócio e as expectativas do cliente.

Um SGSI é um sistema de gestão análogo a um Sistema da Qualidade e como tal é

passível de certificação. Esta certificação se dá a partir das evidências (documentos e

práticas) do conjunto de controles implantados e que devem ser continuamente executados e

devidamente registrados.

Segundo a NBR 27001(2006), o SGSI é projetado para certificar a seleção de

controles de segurança apropriados e ajustados para proteger os ativos de informação, o

modelo conhecido como "Plan-Do-Check-Act” (PDCA), é aplicado para estruturar todos os

processos do SGSI. O sistema de gestão da segurança da informação consiste na parte do

sistema de gestão global, fundamentada na abordagem de riscos do negócio, para

estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar a

segurança da informação.

26

Durante o processo de estabelecimento e gerenciamento a organização deve:

Definir o escopo e os limites do SGSI nos termos das características do negócio da

organização, sua localização, ativos e tecnologia. A definição do escopo inclui o

levantamento dos ativos que serão envolvidos, tais como: Equipamentos; sistemas; nome da

organização; estrutura de comunicação (Internet, correio eletrônico); pessoas; serviços; infra-

estrutura de rede interna e externa e classificação da informação.

À medida que evolui, o projeto deve ser revisado e detalhado (ciclo PDCA). Esta

revisão é baseada no escopo do projeto, pois a declaração do escopo é um documento que

contém a base para as futuras decisões. A delimitação do escopo é extremamente necessária,

pois quanto maior o escopo maior a complexidade do SGSI a ser implementado.

4.1.3 ISO/IEC 27003 – Guia de Implementação do Sistema de

Gerenciamento de Segurança da Informação.

Denominada como: ISO/IEC 27003:2010 Information technology — Security

techniques — Information security management system implementation guidance.

Foi publicada no início de fevereiro 2010, a fim de fornecer um guia para a

implementação de controles relacionados com a gestão de um SGSI, permitindo fazer um

planejamento claro sobre como implementar e definir uma estratégias segurança relacionada

com o negócio de uma empresa de acordo com os requisitos da ISO 27001.

27

A sequência mostrada na figura a seguir mostra um guia baseado na 27003 com as

principais fases para implementação de um sistema de gestão de segurança da informação.

4.1.4 ISO / IEC 27004 Tecnologia da informação - Técnicas de

segurança - Gestão de segurança da informação - Medição

Esta norma abrange medidas de gestão da segurança da informaçã, geralmente

conhecido como métricas de segurança. A norma foi publicada em dezembro de 2009.

A norma se destina a ajudar as organizações a medir, gerar relatório sobre a

sistemática de segurança da informação e portanto, melhorar a eficácia dos seus Sistemas de

Gestão de Segurança da Informação.

Oferece orientação sobre o desenvolvimento e a utilização de medidas e de medição,

a fim de avaliar a eficácia de um sistema de gestão implementado de segurança da

informação (SGSI) e controles ou grupos de controles, como especificado na ISO/IEC

27001. Isso pode incluir a política, a informação de gestão de riscos de segurança, objetivos

de controle, processos e procedimentos para apoiar sua revisão, ajudando a determinar se

qualquer um dos processos do SGSI ou controles precisam ser mudados ou melhorados.

BS ISO / IEC 27004 dá as seguintes recomendações sobre as atividades como base

para uma organização cumprir os requisitos de medição especificadas na norma ISO/IEC

27001:

28

1. Medidas de desenvolvimento (isto é, medidas básicas, medidas derivadas e

indicadores

2. Implementação e operação de um Programa de Medição de Segurança da

Informação

3. Coletar e analisar dados

4. Desenvolvimento de resultados de medição

5. Comunicação dos resultados de medição desenvolvidos para as partes

interessadas

6. Utilizando os resultados de medição, fatores que contribuem para ISMS

decisões relacionadas

7. Utilizando os resultados de medição para identificar as necessidades para

melhorar o SGSI implementado incluindo seu escopo, políticas, objetivos,

controles, processos e procedimentos

8. Facilitar a melhoria contínua do Programa de Medição de Segurança da

Informação.

Um dos fatores que irão impactar a capacidade da organização para alcançar a

medição é o seu tamanho. Geralmente o tamanho e a complexidade do negócio, em

combinação com a importância da segurança da informação afetam o grau de medida

necessária, tanto em termos do número de medidas a serem selecionados e a frequência da

recolha e análise de dados. Para as PME (Pequenas e Médias Empresas), o programa de

medição menos abrangente de segurança serão suficientes, enquanto que as grandes

empresas irão implementar e operar vários programas de medição de Segurança da

Informação.

A única informação do Programa de Medição de Segurança pode ser suficiente para

uma organização de pequeno porte, enquanto que para as grandes empresas à necessidade de

vários programas de medição de Segurança da Informação.

29

A orientação fornecida por esta Norma irá resultar na produção de documentação que

irá contribuir para demonstrar que a eficácia de controle está sendo medido e avaliado.

Esta norma é bem detalhada em termos de mecânica de processos de medição. Ela

laboriosamente descreve como coletar "medidas básicas", a agregação de uso e cálculos

matemáticos para gerar "medidas derivadas", e então aplicar técnicas de análise e critérios de

decisão para criar "indicadores", utilizada para ajudar no SGSI. Infelizmente, ele não oferece

muita orientação sobre quais medidas básicas, medidas derivadas ou indicadores pode

realmente valer a pena em todo esse esforço.

Embora seja consensual que a orientação pragmática sobre métricas de segurança é

extremamente necessário pela profissão e que complementam os padrões ISO27k restantes,

este foi um projeto longo e difícil para a ISO / IEC JTC1/SC27. Em parte, isso ocorre porque

o campo de métricas de segurança é bastante imaturo. Como com a norma ISO / IEC 27003,

centenas de páginas de comentários dos organismos nacionais foram recebidos ainda na fase

final FCD e poucos foram resolvidas antes da publicação. Parece provável que muitos

comentários terão de ser revistos em uma revisão pós-publicação da norma, embora isso não

está planejado ...

4.1.5 ISO / IEC 27005 Tecnologia da informação – Técnicas de

Segurança – Gerenciamento de Risco em Segurança da Informação

Conhecida internacionalmente como ISO/IEC 27005 Information technology –

Security Techniques - Information security risk management, esta norma suporta os

conceitos gerais especificados na norma ISO/IEC 27001 e é projetado para auxiliar a

implementação satisfatória de segurança da informação com base em uma abordagem de

gestão de risco, esta norma ajuda a organização a definir seu modelo de gerenciamento de

risco.

É aplicável a todos os tipos de organizações (por exemplo, empresas comerciais,

agências governamentais, organizações sem fins lucrativos) que pretendam gerir os riscos

que poderiam comprometer a segurança de informação da organização.

Trata-se de um padrão pesado, embora a parte principal tem apenas 24 páginas,

sendo o resto em sua maioria, anexos com exemplos e informações adicionais para os

usuários.

30

Embora a norma defina risco como "uma combinação das conseqüências que se

seguem derivadas da ocojrrência de um evento indesejado e da probabilidade de ocorrência

do evento", o processo de análise de risco descritos na norma indica a necessidade de

identificar os ativos de informação em risco, as ameaças potenciais ou fontes de ameaças, as

vulnerabilidades potenciais e as potenciais consequências (impactos), se os riscos se

materializar. Exemplos de ameaças, vulnerabilidades e impactos estão tabulados nos anexos,

embora incompleta, estes podem ser úteis para os riscos relativos de ativos de informação

sob avaliação.

É clara a verificação que sistemas de segurança automatizados ferramentas de

avaliação de vulnerabilidade são insuficientes para a análise de risco, sem levar em conta

outras vulnerabilidades além das ameaças e impactos: a simples existência de certas

vulnerabilidades não significa necessariamente que sua organização enfrenta riscos

inaceitáveis se as ameaças correspondentes ou impactos de negócios são insignificantes em

determinadas situação particulares.

A norma inclui uma seção e anexo sobre a definição do âmbito e limites da gestão de

riscos de segurança que deve ser o foco do SGSI.

A norma não especifica, recomenda ou mesmo nomeia um método específico,

sistemático e rigoroso de análise de riscos até mesmo a criação do plano de gerenciamento

de riscos.

O padrão deliberadamente permanece agnóstico2 sobre os métodos de avaliação

quantitativa e qualitativa de risco, essencialmente, recomendando que os usuários escolham

os métodos que melhor lhes convêm. Observe o plural - 'métodos' - o que implica que

diferentes métodos podem ser utilizados, uma avaliação de risco de alto nível pode ser

seguida por um aprofundamento na análise de risco nas áreas de alto risco. Os prós e contras

dos métodos quantitativos de avaliação de risco são um pouco confuso nesta norma.

2 Questões metafísicas inacessíveis ao espírito humano por não serem passíveis de análise pela razão.

31

4.1.6 ISO / IEC 27006 A tecnologia da informação - Técnicas de

segurança – Requisitos para organismos que prestem serviços de

auditoria e certificação de sistemas de informação de gestão de

segurança

Esta norma especifica os requisitos e fornece orientação para organismos que

prestam auditoria e certificação de um sistema de gestão de segurança da informação (SGSI),

além dos requisitos contidos na ISO/IEC 27001. É destinada principalmente a apoiar a

acreditação de organismos de certificação que fornecem certificação em SGSI, sendo que as

exigências contidas nesta norma precisam ser demonstradas em termos de competência e

confiabilidade por qualquer organismo de certificação.

Estas certificações incluindo reuniões de informação, reuniões de planejamento,

análise de documentos e acompanhamento de itens que não estão em conformidades com a

norma. Organizar e participar como palestrante em cursos de formação, desde que, estes

cursos digam respeito à gestão da segurança da informação e sistemas de gestão relacionados

a auditoria. Os organismos de certificação devem limitar-se à prestação de informações

genéricas e conselhos que estão disponíveis no domínio público.

As atividades de auditoria têm o único objetivo de determinar uma certificação, no

entanto, tais atividades não deve resultar na prestação de recomendações ou conselhos, e sim

agregar valor durante as auditorias de certificação e visitas de vigilância, através da

identificação de oportunidades de melhoria sem recomendar soluções específicas.

O organismo de certificação deve ter critérios para a formação de equipes de

auditoria que garante:

• O conhecimento do padrão do SGSI e outros documentos normativos pertinentes;

• A compreensão da segurança da informação;

• A compreensão da avaliação e gestão de riscos a partir da perspectiva de negócios;

• Conhecimento técnico da atividade a ser auditada;

• Conhecimento geral dos requisitos regulamentares pertinentes para ISMSs;

32

• Conhecimento de sistemas de gestão;

• A compreensão dos princípios de auditoria com base na ISO 19011;

• Conhecimento do SGSI revisão eficácia e avaliação da eficácia de controle.

Mas especificamente esta norma informa as características necessárias para a um

profissional ou empresa que fornece certificação do SGSI, incluindo uma visão das

competências dos auditores.

33

5 Classificação da informação

5.1 Introdução

O processo de classificação da informação consiste em identificar quais são os níveis

de proteção que as informações demandam e estabelecer classes e formas de identificá-las.

Além de determinar os controles de proteção necessários a cada uma delas

O fato de algumas informações demandarem mais proteções que outras cria dois

cenários indesejáveis que as organizações buscam evitar:

Informações sensíveis ou críticas sem níveis de proteção adequado, geralmente

incidentes de segurança que trazem prejuízos e comprometem a eficácia das operações;

Informações que não precisam de proteção, sendo protegidas de forma excessiva,

consumindo recursos de forma desnecessária e direcionando erroneamente o escasso

orçamento de segurança

5.2 Proteção

Quando adotamos uma visão de proteção focada unicamente nas ameaças e nas

vulnerabilidades que um local o um sistema possuem, corremos um grande risco de não

estarmos protegendo a informação mais criticas e sensíveis ao longo de todo o seu ciclo de

vida. Esses ciclos possuem diversas fases, desde a criação e o descarte, passando pela

manipulação, processamento, armazenamento etc. A melhor forma de protegermos as

informações é justamente pela adoção de uma abordagem que analisa as demandas de

segurança pela ótica do próprio ativo e suas necessidades. Dessa forma, podemos combinar

diversos mecanismos e obtermos níveis de proteção uniformes independentes da forma como

a informação está sendo usada

34

5.3 Economia

Quando maior o nível de proteção que um controle oferece. Maiores são os custos

financeiros em termos de aquisição e manutenção. Controles costumam trazer custos

indiretos como perda de produtividade e outras inconveniências.

Benefícios

O Processo de classificação da Informação traz diversos benefícios para uma

organização. Dos benefícios mais tangíveis e mensuráveis podemos dizer :

5.3.1 Conscientização

O Programa de Classificação da Informação requer o envolvimento de praticamente

de todas as pessoas dentro da organização. Esse envolvimento faz com que as pessoas

tenham uma dimensão maior das dificuldades de proteger os ativos de informação e da

infinidade de situações que podem comprometer essa proteção.

Responsabilidades – A Classificação da Informação necessita de uma divisão e

atribuição de responsabilidades para poder trabalhar. Essas responsabilidades dizem a

respeito a quem deve classificar, quem deve proteger e que cuidados os usuários devem

tomar , entre outras coisas. A definição desses papeis distribui o peso da proteção entre os

colaboradores de uma organização, fazendo com que todos fiquem responsáveis por ela.

Níveis de proteção – A atribuição de responsabilidades e melhora da consciência dos

colaboradores faz com que eles mesmos tragam situações que demandam proteção e que ,

muitas vezes, fogem aos olhos daqueles que devem se responsabilizar pela proteção.

Ninguém conhece melhor o fluxo das informações que as pessoas que fazem uso delas

Tomadas de decisões – Quando as informações são bem categorizados no ponto de

vista da segurança, o processo de tomada de decisões, sejam relacionadas a Gestão de SI ou

a própria organização, é extremamente beneficiada.

Uso dos recursos – Recursos desperdiçado em um controle normalmente fazem falta

em um outro lugar no qual, a organização terá uma situação inversa, isto é , falta de controle

de informações criticas que estão armazenadas junto com outras que não precisam de

proteção.

35

• Exemplos

As informações são classificadas mediante sua necessidade de sigilo. Porém uma

organização também pode elaborar procedimentos para classificá-las perante suas

necessidades de integridades e disponibilidades

Decreto 4.553 – Casa Cível níveis de classificação em nível federal

Cada nível de classificação é criado visando a um tipo de informação, temos que

desenvolver critérios para avaliar uma informação

Exemplos de Rótulos

Governo Brasileiro Empresas Privadas 3

Ultra-Secreto Irrestrita

Secreto Protegida

Confidencial Confidencial

Reservado Restrita

Irrestrita: Informação Pública (incluindo informações consideradas públicas pela

legislação, ou através de uma política de divulgação de rotina). Disponível ao público, todos

os funcionários, empreiteiros, subempreiteiros e agentes.

Protegida: Informação que é sensível para a empresa e precisa de ser protegida.

Acesso autorizado (para funcionários, fornecedores, subcontratados e agentes). É uma

informação necessária para realizar uma função ou trabalho: "need-to-know".

Confidencial: Informação mais sensível que está disponível apenas para uma função

específica ou grupo específico de pessoas.

Restringido: Informação que é altamente sensível e está disponível apenas para

indivíduos específicos (ou posições específicas).

3 Este padrão é utilizado pelo Public Sector CIO Council (PSCIOC, 2004) do Canadá.

36

5.4 Conceitos

5.4.1 Política de Classificação da Informação

A Classificação da Informação deve ser constituída por uma política , nesse caso a

Política de Classificação da informação é o nome utilizado para refenciar o conjunto de

normas , procedimento e instruções existente na política de Segurança da Informação

Por meio do uso dessa política é que definimos quais os tipos de classificação

existentes, com seus respectivos critérios de avaliação e proteção, além das

responsabilidades associados ao processo como um todo. O conjunto de documentos que tem

apoio direto de alta direção da organização , permitira mostrar comprometimento e definirá

todo o funcionamento das atividades relacionadas à Classificação da informação

Need-to-Know – Define a necessidade que uma pessoa possui , devido à rotina diária

de trabalho e desempenho de suas funções, de acessar determinadas informações. Essa

terminologia foi criado no ambiente militar / governo, podemos utiliza-las para fazer

referência . A necessidade que usuários de uma organização possuem de acessar certas

informações. Esse conceito é fundamental ara entendermos Least privilege

Least Privilege – São todas as pessoas devem ter todos os direitos de acesso

necessários para o desempenho de suas funções . Porém , nada mais que o mínimo deve ser

permitido , Quando maior a exposição maiores serão os riscos associados a ela. O conceito

de need-to-know , postulando que o conceito de privilégio mínimo é garantir a todos os

usuários que não tenham acesso a nada que não faça parte de seu nedd-to-know.

5.4.2 Classificação, Desclassificação e Reclassificação.

Os dois procedimentos básicos da Classificação da Informações são a Classificação e

a Desclassificação das informações

Classificações – Atribuir um nível de classificação a um informação , Faz com que as

informações passe a se sujeitar às proteções especificas pelo nível de classificação

escolhido . Algumas organizações optam por criar um nível de classificação onde, a partir da

implementação do progrma de CI, todas as informações da organização passam a se

37

enquadrar nesse nível. Não existe o estado “ não-classificado” , eliminando o processo de

classificaçõe e desclassificação. Nesse caso o procedimento de reclassificação é permitido.

Reclassificação – Alteração no nível classificação de um informação . São nível de

proteção mais baixa, de forma a evitar o comprometimento da confidencialidade

Desclassificação – Remoção do nível de proteção. Aplicável apenas quando o estado

“não-classificado” for previsto . Pode ser feita de forma automática, o prazo cairia de alguns

anos para o níveis mais baixos de classificação até décadas para os mais altos no setor

governamental

5.4.3 Papéis de Responsabilidades

Uma das principais funções da Classificação da informação é definir e atribuir

responsabilidades relacionadas a segurança diversas pessoas dentro de uma organização .

Esses papeis e responsabilidades variam de acordo com a relação que a pessoa tem com a

informação em questão.

Proprietário da Informação – É responsabilidade do proprietário atribuir os níveis de

classificação que uma informação demanda. Dessa forma ele também será participado do

processo de escolha dos níveis de proteção e será também exposto ao processo de balancear

as necessidades de proteção, com a facilidade de uso e o orçamento disponível para se

investir em controles.

Exemplo : O papel de dono normalmente deve ser exercido por um gerente da área

cujas informações são de sua responsabilidade direta

Umas das responsabilidades do dono são a classificação /reclassificação

/desclassificação das informações, definir requisitos de proteção para cada nível de

classificação,, autorizar pedidos de acesso a informações de sua propriedade e autorizar a

divulgação de informações

Custodiante – É aquele que zela pelo armazenamento e preservação de informações

que não lhe pertencem Exemplos : Administradores de Banco de Dados , Servidores de

Arquivos ou cofres para armazenamento de ativos valiosos .

Existe dois tipos de Custodiante :

38

a) O proprietário de Aplicação – Um profissional de perfil técnico responsável pela

administração e funcionamento de algum sistema , cabe a ele protegê-las e garantir que

enquanto eles se encontrem sob sua responsabilidade os requisitos da classificação em

termos de proteção estejam sendo obedecidos.

b) O proprietário do Processo - É a pessoa responsável pelo processo de negócio, um

exemplo é um processo de emissão de nota fiscal , que são informações sendo geradas e

processadas ao longo do seu funcionamento.

Equipe de segurança – é o ponto de apoio das unidades de negócios de forma de

desenvolver, implementar e monitorar estratégias de segurança que atendem aos objetivos da

organização, responsável pela avaliação e seleção de controles apropriados para oferecer as

informações os níveis de proteção exigidos por cada classificação . Esse equipe não pode

assumir a total responsabilidade pela proteção, já que deve ser compartilhada por todos.

Cabe ela sim selecionar os melhores controles, conscientizar os usuários a respeito do seu

uso, administrá-los e monitorá-las, além de verificar se todos na organização colaboram com

as medidas.

Gerente de Usuários – Responde pela ação de grupos de usuários de sua

responsabilidade, além dos funcionários reponde pela ação dos visitantes, prestadores de

serviços que fazem o uso de informações da organização

Desempenha outro papel fundamental que é a solicitação, transferência e revogação

de IDs de acesso para os seus funcionários.

Usuário Final – Pessoal que faz uso constante das informações e o que mais tem

contato com elas , é o responsável pelo seguimento das recomendações de segurança.

39