ESTUDO DE CASOA ContabilMaster e o vazamento

A EMPRESAA empresa ContabilMaster, de

propriedade de Drummond Santana, é uma empresa bem conceituada no segmento contábil que realiza auditoria de processos financeiros e contábeis de empresas de pequeno/médio porte.

Contando com uma sede em Birigui e uma pequena filiam em Valparíso, a empresa tem tido boa ascensão no mercado nos últimos tempos pela qualidade das análises providas.

O EVENTOSantana esta preocupado com a

suspeita de vazamento de informações. No dia 10 de Outubro de 2006, segundo Santana, ele mesmo foi procurado por João Murtinho, um ex-funcionário de uma de suas principais concorrentes, que lhe contou ter escutado várias vezes comentários em seu antigo ambiente de trabalho sobre algum tipo de espionagem industrial que estava em andamento.

O EVENTO De acordo com Murilo, informações

sensíveis teriam sido coletadas no lixo da empresa espionada e incluíam dados sobre as últimas negociações realizadas com clientes, extratos bancários da empresa e até de alguns de seus clientes. Após uma análise o dono da ContabilMaster foi capaz de associar o suposto vazamento com a perda de recentes clientes e, em seguida, verificar que tais clientes estão, agora, na carteira de clientes da concorrente.

O EVENTOUma rápida análise de seu

computador pessoal também infecção por diversos tipos de vírus, worms e até programas de espionagem. Drummond disse estar surpreso pois confiou que o software do tipo firewall recomendado por um amigo seria suficiente para proteger a rede de invasões externas.

Análises da filial também mostram os mesmos resultados, mas em menor escala.

REESTRUTURAÇÃO Questionado sobre os acontecimentos, Drumond

confessou não saber da real dimensão da necessidade por segurança das informações de sua empresa e que tomou providências para resolver o caso, solicitando à Jeremias, o faz-tudo da área de informática, o início de um projeto de adequação de processos e infraestrutura às exigências da realidade.

Inicialmente uma análise na filial foi descartada pois esta conta apenas com 3 funcionários dedicados a atender clientes, não poderiam dispor de um funcionário para levantar dados. Outro fato relevante é que, por ser uma filial, poucas decisões importantes são tomadas.

O foco então foi na sede mas a iniciativa, no entanto, esbarrou na falta de pessoal em número e com qualificações suficientes.

REESTRUTURAÇÃO Jeremias é técnico em informática e já tem dentre

suas atividades manutenções de equipamentos da sede e da filial, auxílio em atividades básicas de informática aos funcionários, responsabilidades com os suprimentos de informática, etc.

Santana e Pedro Dória, o braço direito e sócio minoritário da empresa, têm seu tempo todo comprometido entre a captação de clientes e administração da empresa.

Mércia Fuzz, a secretária, tem pouquíssimo conhecimento de informática e não pode, a princípio, ajudar.

Os outros 6 funcionários são todos completamente absorvidos pelo atendimento aos clientes

SITUAÇÃO ATUALComo forma de diminuir os custos o trabalho

iniciado por Jeremias será utilizado como base para o projeto de reestruturação

A empresa não possui nenhuma política de segurança da informação, patrimonial e tecnológica

Todos os funcionários possuem livre acesso a internet

Não há políticas punitivas para as infrações cometidas pelos funcionários

Não há clausulas especificas no contrato de trabalho sobre as penalidades sobre o uso de propriedade intelectual

Os sistemas de rede da empresa estão vulneráveis para ataques internos e invasões externas

SITUAÇÃO ATUAL Os equipamentos de informática da sede

são: 1 HP Pavillion, processador Core2Duo T9600, 2 GB

RAM, 340 GB disco rígido - função: servidor de arquivos e impressão

1 impressora HP LaserJet E1050 ligada ao HP Pavillion

1 roteador D-link D300 2 switchs 8 portas nas salas de trabalho 1 modem ADSL para conexão externa à internet

Os equipamentos de informática da filial são: 1 cable modem para conexão externa à internet 1 roteador D-link D300 1 impressora HP LaserJet E1050 ligada ao HP

Pavillion 1 computador para cada funcionário

SITUAÇÃO ATUAL Os servidores da sede estão instalados

dentro de um almoxarifado Os acessos às pastas gerenciais da

empresa possuem livre acesso para todos os funcionários;

A empresa tem uma pequena página na internet cuja principal função é marketing e é hospedada por uma empresa terceirizada

PERGUNTA

1. Dentro do contexto observado, qual o fator ou dificuldade mais relevante para a adoção da política de segurança da informação nas empresas.

RESPOSTAA maior dificuldade para implantar a política

de segurança da informação será a mudança de cultura da organização como um todo, inclusive diretoria e dos colaboradores, necessária para a agilização dos processos.

Necessidade de documentar a política de segurança, desde que seja passada pelo crivo da gerência e aprovada e divulgado para todos os colaboradores da empresa, havendo um comprometimento de todos quanto à segurança das informações, de acordo com a norma ISO/IEC 17799:2000

PERGUNTAS1. Qual é o principal problema

apresentado? Qual a parcela de "culpa" de Drummond?

2. Defina de forma simples quais processos e tecnologia devem ser implementados

3. Defina a ordem de prioridades para as implementações e justifique

4. Defina um plano de operacionalização, dividida em etapas e com responsáveis

QUAL É O PRINCIPAL PROBLEMA APRESENTADO? QUAL A PARCELA DE "CULPA" DE DRUMMOND?

Falta de política/governança de segurança da informação.

Drummond como administrador, precisava verificar a necessidade de um funcionário especializado. Portanto, de imediato, é necessário contratar funcionário capacitado/ especializado na área de segurança;

2- DEFINA DE FORMA SIMPLES QUAIS PROCESSOS E TECNOLOGIA DEVEM SER IMPLEMENTADOS Colocar servidor em local apropriado; Rever/implantar Plano Diretor de

Informática (PDI); Criar perfil de usuários, acessos e

internet; Descarte de documentos de forma

adequada; Criar e implementar política de

informática para visitantes; Revisão de contrato de trabalho de

funcionários, incluindo cláusulas contratuais especiais (confidencialidade) para contratação de novos funcionários;

DEFINA DE FORMA SIMPLES QUAIS PROCESSOS E TECNOLOGIA DEVEM SER IMPLEMENTADOS Criar programa de treinamento e

comunicação para os colaboradores. Procedimentos operacionais

documentados; Backups; Manutenção de equipamentos;

DEFINA A ORDEM DE PRIORIDADES PARA AS IMPLEMENTAÇÕES E JUSTIFIQUE

Criação de Plano Diretor de Informática, revisão da política de segurança;

Criação de Data Center, definindo local apropriado;

Implantação de um sistema operacional de servidor que permita criar grupos de usuários com limitações de acesso aos documentos da empresa e à internet;

DEFINA UM PLANO DE OPERACIONALIZAÇÃO, DIVIDIDA EM ETAPAS E COM RESPONSÁVEIS Objetivo: Garantir a operação correta e segura

das facilidades de processamento de informações.

As responsabilidades e os procedimentos para a gestão e operação de todas as facilidades de processamento de informações devem ser estabelecidas. Isso inclui o desenvolvimento de instruções de operação apropriadas e de procedimentos para resposta a incidentes.

A segregação de tarefas deve ser implementada, para reduzir o risco de utilização negligente ou má utilização deliberada dos sistemas (segundo o padrão internacional ISO/IEC 17799)

DEFINA UM PLANO DE OPERACIONALIZAÇÃO, DIVIDIDA EM ETAPAS E COM RESPONSÁVEIS

Gerenciamento e segurança da sala de computadores;

Controle de mudanças operacionais, ou seja, controle formal sobre todas as alterações em equipamentos e softwares;

Estabelecer procedimentos para todos os potenciais incidentes de segurança;

Segregação de tarefas, para reduzir o risco de má utilização acidental ou deliberada do sistema;

Separação do desenvolvimento de software em relação a produção do mesmo;

DEFINA UM PLANO DE OPERACIONALIZAÇÃO, DIVIDIDA EM ETAPAS E COM RESPONSÁVEIS Separação da gestão da execução de

determinada tarefa (evitando fraudes, por exemplo);

Planejamento dos sistemas a fim de minimizar falhas;

Planejamento de capacidade, fazendo projeções para o futuro, para que a capacidade de hardware atenda a demanda de software;

Proteção e prevenção contra softwares maliciosos (precauções contra vírus);

DEFINA UM PLANO DE OPERACIONALIZAÇÃO, DIVIDIDA EM ETAPAS E COM RESPONSÁVEIS

Logs de operadores e de falhas, para que o administrador do sistema tenha todas as informações sobre o uso da rede e dos softwares e arquivos acessados;

Gerenciamento e controle da rede; Procedimentos operacionais para proteger

mídias e descarte de mídias; Procedimentos de manuseio de informações; Política de segurança para comércio

eletrônico; Política de segurança para correio eletrônico;

EXEMPLO DE ESTRUTURA ORGANIZACIONAL

SUGESTÃO DE HARDWARE Processador: Processador Intel® Xeon® Quad-Core E3-

1220V2 (3.10GHz, 8M Cache, Turbo, QUAD CORE/4T

Memória de 2GB, 1333MHz (1x2Gb) 2 Disco Rígido de 500GB SATA, 7.2K RPM, 3Gbps,

configurado em RAID Drive DVD 16x

Custo aproximado do servidor R$2.300,00