CURSO DE PÓS-GRADUAÇÃOREDES CORPORATIVAS: GERÊNCIA, SEGURANÇA E CONVERGÊNCIA IP

PLANO DE CONTINUIDADE DE NEGÓCIO

FLAMENGO INC.

DESENVOLVIMENTO

PÓS-SEGURA CONSULTORIA EMPRESARIAL

Fábio Vazquez

Maurício de Alexandrino

VERSÃO MAIO DE 2010

PALHOÇA - SC

Introdução

A empresa a ser analisada provê soluções inovadoras no segmento de administração de ambientes e serviços de TI, sendo, portanto, importantíssimo o correto uso e tratamento de suas informações.

Segundo informado pelo cliente, “proteger o conhecimento e as informações do segmento de negócio FLAMENGO e de seus colaboradores, passou a ser uma necessidade estratégica e fundamental para o seu sucesso”. Portanto, “o projeto de desenvolvimento do SGSI tem como objetivo atender a esta demanda de segurança, estabelecendo um conjunto de controles de segurança adequados e preparados para proteger os ativos de informação e propiciar confiança às partes interessadas”.

Desta forma, esta consultoria irá propor a identificação dos riscos inerentes ao negócio, propiciando um estudo sobre a real necessidade de mitigá-los e reduzi-los através das seguintes etapas:

Uma análise/avaliação do risco; Classificação dos riscos que serão tratados ou não; Desenvolvimento de uma política de segurança Desenvolvimento de um plano de continuidade de negócios

Mapeamento de Processos

A consultoria de processos permite a modelagem e a medição da efetividade dos processos de negócios existentes, o que auxilia na compreensão da forma de operação dos negócios e permite aos tomadores de decisão identificar áreas que precisam de melhorias. Com o mapeamento de processos é possível simular resultados de alterações de processos antes de sua efetiva implementação, através do seguinte estudo:

Levantamento dos macro-processos; Mapeamento da situação atual; Análise crítica; Revisão de processos; Modelagem futura; Implantação das melhorias.

I ANÁLISE DE RISCOS

1 Relatório de Análise de Impacto (BIA)

1.1 Introdução

A Análise de Impacto prevê a inoperância de cada processo crítico dentro de uma organização, levando em consideração alguns critérios de negócio. Para tal, é necessário o conhecimento prévio do funcionamento interno da empresa. Ela permite quantificar o valor das perdas que podem ser causadas por incidentes de segurança da informação, considerando os aspectos de confidencialidade, integridade e disponibilidade.

1.2 Histórico

Não existe um estudo anterior sobre o assunto, ou seja, este será o primeiro levantamento a ser realizado na FLAMENGO INC, englobando os 4 (quatro) macro-processos considerados estratégicos para a organização, listados a seguir:

Administrativo Financeiro Comunicação Outsourcing

1.3 Objetivo

É necessário fazer um levantamento dos principais serviços que a TI deva fornecer para cada área de negócio, a fim de estabelecer quais os pontos a serem observados e protegidos no Plano de Continuidade do Negócio. Os resultados obtidos pela Análise de Impacto dão suporte ao planejamento estratégico de segurança, permitindo priorizar os investimentos nos pontos mais críticos, ou seja, aqueles que podem gerar as maiores perdas para a empresa.

1.4 Abordagem

Será realizado o mapeamento da situação atual, através de entrevistas com os responsáveis de cada macro-processo, a fim de identificar os principais componentes, apresentando aos entrevistados um cenário de desastre que viesse a ocasionar parada total da execução do processo de negócio. A metodologia empregada foi a aplicação de questionários padronizados.

2 Relatório de Análise de Risco

2.1 Apresentação do resultado da análise

Serão relacionados durante a entrevista os sub-processos críticos que compõe cada unidade de negócio, sendo solicitado ao entrevistado que fornece uma nota de 0 a 1,0 para cada questionamento. Ao final da entrevista, deverão receber especial atenção os sub-processos que receberam classificação de nível MÉDIO e ALTO, sendo que as BAIXAS serão desconsideradas. Foi considerado também que cada ameaça possui ou não um controle efetivamente implantado. Nesta análise, considera-se que um controle NÃO está corretamente implementado quando há um iminente risco da ameaça concretizar-se e produzir um efeito negativo sobre o ativo. A análise completa pode ser obtida no ANEXO “Tabela de Análise de Risco”.

A obtenção de informações a respeito de ativos críticos se deu através das entrevistas citadas. Com base na Matriz de Risco, descrita a seguir, estabelecemos o cruzamento do grau de probabilidade da ocorrência do desastre com o impacto que ele poderá causar, obtendo desta maneira o grau de risco:

ProbabilidadeImpacto

Baixo (10) Médio (50) Alto (100)

Alto (1,0)BAIXO

10 x 1,0 = 10

MÉDIO50 x 1,0 =

50

ALTO100 x 1,0 = 100

Médio (0,5)BAIXO

10 x 0,5 = 5

MÉDIO50 x 0,5 =

25

MÉDIO100 x 0,5 = 50

Baixo (0,1)BAIXO

10 x 0,1 = 1

BAIXO50 x 0,1 =

5

BAIXO100 x 0,1 = 10

2.2 Metodologia da pesquisa

A técnica utilizada inicialmente foi a previsão de cenários de ameaças (vulnerabilidades), prevendo prejuízos e recursos envolvidos para evitar a concretização de cada cenário. Esta previsão inicial foi qualificada subjetivamente, através de processo “brainstorming”.

Foram também consultadas entidades externas que pudessem fornecer estatísticas de eventos, como por exemplo, Defesa Civil a respeito de desastres naturais, órgãos responsáveis pela normatização da Segurança da Informação a respeito de estatísticas de invasões e pragas virtuais.

Com base nestas informações, aplicando a matriz de risco descrita anteriormente, obtemos o nível de risco referente àquela ameaça (ver anexo), sendo que serão considerados na formulação de Estratégias de Continuidade apenas os que obterem classificação de nível MÉDIO e ALTO (em destaque na matriz de risco).

II PLANO DE SEGURANÇA

1 Plano de Contingência

1.1 Necessidade de estabelecer controles

Falhas que atinjam diretamente os ativos podem ser naturais ou causadas pelo homem, e impactam a execução efetiva dos principais processos de uma organização. Um plano para a resposta de emergência e recuperação de ativos atingidos por uma falha ou desastre é o objetivo central deste Plano de Segurança.

Após realizada a etapa de análise de risco e estabelecida a prioridade no tratamento dos ativos críticos, iremos propor a implementação de controles para minimizar a possibilidade de que a ameaça em questão possa explorar a vulnerabilidade apontada no estudo.

Nesta etapa, iremos abordar os controles que deverão ser implementados e qual a resposta esperada para que o mesmo exerça sobre o ativo uma função de CONTINGÊNCIA, permitindo um funcionamento temporário ou de emergência para que o serviço de TI forneça o funcionamento durante o desastre, a fim de evitar a parada do processo de negócio.

1.2 Controles a serem implementados

De acordo com a NBR/ISSO 27002, iremos relacionar os controles que deverão ser implementados para cada um dos ativos, para que possamos proporcionar a contingência e posteriormente estabelecermos os critérios que definirão o Plano de Continuidade.

Ativo Vulnerabilidade Controle proposto

Servidor de banco de dados Falha na leitura/gravação dos dados Cópias de segurança

Switch de borda Defeito físico no equipamento Segregar redes

Estações de trabalhoSistema operacional obsoleto ou descontinuado

Controle de vulnerabilidade técnica

Central telefônica IP Falta de redundância de operadoras Controle de rede

Servidor de e-malEngenharia social (funcionários insatisfeitos)

Política de uso dos serviços de rede

Servidor de gravação Falta de controle físico Controle de entrada física

Servidor de aplicação (NFe)Queda de conexão com banco de dados

Controle de roteamento de redes

StorageFalta de replicação dos dados

Instalação e proteção do equipamento

UPS (No-break)Tempo de disponibilidade das baterias

Gerenciamento de serviços terceirizados

Sistema CRMFalha no acesso ao banco de dados

Verificação da conformidade técnica

Profissionais terceirizadosFalha na execução do projeto

Termos e condições de contratação

Controle de acesso biométricoFalha no cadastro de acesso

Segurança em escritórios, salas e instalações

1.2.1 Ativo: Servidor de banco de dados

Vulnerabilidade a ser controlada – Falha de leitura/gravação dos dados

Uma vez detectada a falha física no equipamento, convém que o serviço seja transferido para outro e o mesmo seja devidamente substituído.

Contingência – Cópias de segurança

As cópias de segurança das informações devem ser efetuadas e testadas regularmente conforme a política definida. Recursos adequados devem ser disponibilizados para garantir que dados possam ser recuperados após um desastre ou falha de mídia.

1.2.2 Ativo: Switch de borda

Vulnerabilidade a ser controlada – Defeito físico no equipamento

Deve-se assegurar que os equipamentos de rede sejam devidamente monitorados e qualquer anormalidade seja reportada aos responsáveis do setor, evitando que o ativo fique inoperante.

Contingência – Segregação de redes

Os grupos de usuários e sistemas devem ser segregados, ou seja, deverá haver a divisão em diferentes domínios de redes lógicas, separando redes internas e ativos críticos e possibilitando o restabelecimento do serviço através de meios alternativos de conexão.

1.2.3 Ativo: Estações de trabalho

Vulnerabilidade a ser controlada – Sistema operacional obsoleto

As aplicações críticas de negócio (ERP) devem ser analisadas e testadas quando sistemas operacionais são atualizados. Convém que seja delegada responsabilidade a um indivíduo para monitorar vulnerabilidades e divulgar correções dos fornecedores de software.

Contingência – Controle de vulnerabilidade técnica

Estabelecer um inventário completo e atualizado do sistema operacional em uso na organização, solicitando que patches sejam testados e avaliados antes de serem instalados.

1.2.4 Ativo: Central telefônica IP

Vulnerabilidade a ser controlada – Falta de redundância de operadora

A rede deve ser adequadamente gerenciada e controlada, em especial no que diz respeito à disponibilidade dos serviços de rede.

Contingência – Controle de rede

O provedor do serviço de rede deve gerenciar os serviços acordados e monitorá-los regularmente. Na iminência da indisponibilidade, deve-se providenciar o fornecimento do serviço de rede através de outra operadora, restabelecendo a plena utilização do ativo.

1.2.5 Ativo: Servidor de e-mail

Vulnerabilidade a ser controlada – Engenharia social

O acesso à informação deve ser restrito de acordo com a política de controle de acesso, baseadas nos requisitos do negócio, garantindo que informações sensíveis sejam acessadas apenas em locais ou por pessoas devidamente autorizadas

Contingência – Política de uso dos serviços de rede

Os usuários devem receber somente acesso aos serviços que tenham sido especificamente autorizados a usar, devendo ser implementado um procedimento de autorização para tal.

1.2.6 Ativo: Servidor de gravação

Vulnerabilidade a ser controlada – Falta de controle físico

As áreas devem ser protegidas por controles apropriados de entrada, permitindo apenas acesso de pessoas autorizadas.

Contingência – Controle de entrada física

O acesso às áreas de armazenamento de informações sensíveis deve ser controlado através de cartões de controle de acesso e senha pessoal e intransferível, permitindo registros de acesso para fins de auditoria. Fornecedores terceirizados que realizarem serviços de suporte somente terão acesso mediante autorização e monitoramento especial.

1.2.7 Ativo: Servidor de aplicação

Vulnerabilidade a ser controlada – Queda de conexão com o banco de dados

Eventualmente poderá ocorrer falha na comunicação com outros ativos, como por exemplo o servidor de banco de dados da rede local.

Contingência – Controle de roteamento de redes

Deverá ser implementado um controle para o roteamento da rede, assegurando que as conexões e fluxos de informação sejam contínuos, com a utilização de gateways de segurança (rede externa).

1.2.8 Ativo: Storage

Vulnerabilidade a ser controlada – Falta de replicação dos dados

O ativo em questão poderá sofrer um dano físico causado por interferências oriundas de sistemas elétricos mal distribuídos.

Contingência – Instalação e proteção do equipamento

Deverão ser adotados os controles para minimizar ameaças físicas potenciais, como neste caso específico, interferências eletromagnéticas. Sugere-se a transferência do equipamento para área adequada.

1.2.9 Ativo: UPS (No-break)

Vulnerabilidade a ser controlada – Tempo de disponibilidade das baterias

Em caso de falha no fornecimento do serviço da concessionária, deve-se possuir formas para monitorar níveis de desempenho do serviço e outras alternativas para resolver e gerenciar quaisquer problemas identificados.

Contingência – Gerenciamento de serviços terceirizados

Verificar a implementação de acordos e gerenciar as mudanças para garantir que os serviços entregues atendam a todos os requisitos acordados com terceiros. Convém que a organização garanta que o terceiro mantenha capacidade de serviço suficiente, juntamente com planos viáveis projetados para garantir que os níveis de continuidade de serviços acordados sejam mantidos após falhas ou desastres.

1.2.10 Ativo: Sistema CRM

Vulnerabilidade a ser controlada – Falha no acesso aos dados

Poderá ocorrer falha no acesso aos dados do sistema, armazenados em locais físicos distintos ou por incompatibilidade de sistemas. Esta falha poderá imputar em relatórios gerenciais incompletos.

Contingência – Verificação da conformidade técnica

Deverá ser executada uma verificação (manual ou com auxílio de ferramentas de software apropriadas) de compatibilidade ou avaliações de vulnerabilidades. Os testes devem ser planejados, documentados e repetidos, sendo realizados por pessoas autorizadas e competentes.

1.2.11 Ativo: Suporte ao gerenciamento de projetos

Vulnerabilidade a ser controlada – Falha na execução do projeto

Pode-se ter dificuldade na contratação de profissionais especializados e motivados para o desenvolvimento do projeto.

Contingência – Termos e condições de contratação

Para ter um gerenciamento correto no projeto, convém que na contratação de terceiros seja entregue e que seja devidamente assinado os termos de contratação para o trabalho.

1.2.12 Ativo: Controle de acesso biométrico

Vulnerabilidade a ser controlada – Falha no cadastro de acesso

É importante a contratação e treinamento devidos ao profissional que irá trabalhar no cadastramento dos funcionários que terão acessos restritos.

Contingência – Segurança em escritórios, salas e instalações

Deve ser devidamente cadastrados os funcionários com acessos restritos dentro e fora da empresa com rastreamento via sistema de localização e acessos.

2 Definir a equipe de contingência

2.1 Apoio Administrativo

Assegurar a disponibilidade de recursos necessários, serviços administrativos e comunicações para os demais setores imediatamente após a ocorrência do desastre e da decisão de ativar a Contingência. Assegurar que as instalações onde serão recuperados os serviços, estejam prontas para receber pessoas e equipamentos quando necessário.

2.2 Equipe Executiva / Coordenação

Garantir que a restauração do processamento ocorra dentro do prazo estipulado no Plano de Contingência conforme criticidade de cada sistema. Exercer a coordenação geral do Plano.

2.3 Equipe de Planejamento

Assegurar que os setores críticos possam ser retomados logo, os equipamentos e as comunicações necessárias estejam disponíveis rapidamente.

2.4 Equipe de Apoio

Apoiar as demais equipes para que todas as aplicações consideradas críticas sejam recuperadas dentro do prazo estabelecido, sem perda de dados / informações e de acordo com suas especificações.

2.5 Diretrizes para criação do Plano de Continuidade do Negócio

Segundo a NBR ISO/IEC 27002 a segurança de um ambiente é caracterizada pela manutenção de três fatores primordiais: a Confidencialidade, a Integridade e a Disponibilidade das Informações.

- Confidencialidade, é definida pela NBR como sendo: a garantia de que a informação só pode ser acessada e manipulada por pessoas autorizadas;

- Integridade implica que toda vez que uma informação é manipulada ela está consistente, ou seja, que não foi alterada ou adulterada;

- Disponibilidade é a garantia de que uma informação sempre poderá ser acessada, pelas pessoas e processos autorizados.

Elaborar uma metodologia para desenvolvimento, contendo:

- Definição das etapas de cada projeto e/ou subprojeto ou Programa;- Definição das atividades de cada etapa;- Definição das responsabilidades de cada usuário.

III PLANO DE CONTINUIDADE DE NEGÓCIOS

1 Introdução

Este Plano de Continuidade de Negócio tem como objetivo assegurar a disponibilidade de processos de negócio críticos, recuperando um ambiente avariado e promovendo o retorno à sua normalidade, através da ativação dos serviços de TI necessários para tal.

1.1 Propósito

O Plano de Contingência tem por finalidade dar a providência imediata, invocando os procedimentos de recuperação dos sistemas corporativos, softwares, hardwares, servidores e infraestrutura, considerando o tempo de espera previsto para restabelecimento das atividades, definidos pelos gestores.

Para cada sistema, hierarquicamente definido, segundo o grau de criticidade e processados na sala de TI, são previstos o tempo de paralisação possível e ações subseqüentes para seu restabelecimento. O plano será ativado e desativado pelos responsáveis de TI.

Neste relatório, iremos analisar o processo de negócio considerado extremamente crítico – COMUNICAÇÃO, pois sem o seu pleno funcionamento, as demais áreas de negócio da organização serão diretamente afetadas.

1.2 Metodologia

A realização de entrevista com o responsável do processo de negócio COMUNICAÇÃO permite distinguir as restrições do setor, o que desenvolve e quais as necessidades tecnológicas para um melhor proveito no mesmo.

Será gerado um relatório a partir do final do levantamento, informando o RTO (tempo aceitável de recuperação do serviço de TI), auxiliando com segurança esses setores e fornecendo subsídio para a melhoria continuada.

1.3 Análise de Impacto no Negócio (BIA)

Processo de Negócio Ativo Impacto

RTO (em

horas)

Percentual mínimo de atividade

Tempo de retomada (em

horas)

ComunicaçãoCentral telefônica 1 1 50% 2Servidor de e-mail 0,5 2 10% 4

Servidor de gravação 0,5 4 15% 8

2 Gerenciamento da Continuidade do Negócio

2.1 Contextualização

Com o número crescente de roubos de dados e ataques à infraestrutura de TI, a segurança da informação tem-se tornado um problema, requerendo atenção por parte de todos os envolvidos. A grande quantidade de ferramentas e tutoriais disponíveis na Internet permite a qualquer pessoa, mesmo sem conhecimentos avançados a realizar ataques na rede.

Alguns ataques permitem ao invasor ter acesso, adulterar ou destruir informações importantes. Como a rede mundial de computadores é uma estrutura amplamente utilizada, torna-se necessário definir processos para assegurar o uso da infraestrutura de TI.

2.2 Plano de Recuperação de Desastre

Central telefônica IP

Ativar o link da operadora redundante no caso de inoperância do link principal (em caso de descumprimento da SLA). Redução de danos causados por eventuais ocorrências. Se mesmo com medidas preventivas, algum tipo de ocorrência danosa ocorrer, os danos resultantes devem ser minimizados ou eliminados. Estas variam em relação à função dos ativos e dos riscos envolvidos.

Servidor de e-mail

Transferir para um site remoto (terceirizado) as operações de envio e recebimento de e-mails, bem como promover o rastreamento dos logs para apurar o usuário responsável pela ocorrência de inoperância do serviço de envio de mensagens eletrônicas. Descredenciar o usuário responsável, evitando que o mesmo prossiga com as atividades ilícitas.

Servidor de gravação

Restabelecer o serviço com o uso de gravações provisórias (uso de gravadores digitais portáteis) e posterior restauração dos dados, averiguando os logs do servidor e promover o bloqueio da conta de acesso à área restrita do usuário causador do incidente.

3. Resposta à emergência

Proceder com a ativação do Plano quando necessário, de acordo com a tabela de Impacto (BIA), evitando que o ativo permaneça inoperante além do período estipulado como aceitável.

Acionar a equipe de incidentes e proceder com a recuperação do ativo dentro do período estipulado em contrato como sendo o tempo máximo aceitável para efetivar o plano.

3.1 Estratégias de continuidade

3.1.1 Datacenter

Considera a probabilidade de transferir a operacionalização da atividade atingida para um ambiente terceirizado; portanto, fora dos domínios da empresa. Por sua própria natureza, em que requer um tempo de indisponibilidade menor em função do tempo de reativação operacional da atividade, torna-se restrita a poucas organizações, devido ao seu alto custo. O fato de ter suas informações manuseadas por terceiros e em um ambiente fora de seu controle, requer atenção na adoção de procedimentos, critérios e mecanismos de controle que garantam condições de segurança adequadas à relevância e criticidade da atividade contingenciada.

3.1.2 Hot-site

Recebe este nome por ser uma estratégia pronta para entrar em operação assim que uma situação de risco ocorrer. O tempo de operacionalização desta estratégia está diretamente ligado ao tempo de tolerância a falhas do objeto. Se a aplicássemos em um equipamento tecnológico, um servidor de e-mail, por exemplo, estaríamos falando de milessegundos de tolerância para garantir a disponibilidade do serviço mantido pelo equipamento.

3.1.3 Warm-site

Esta se aplica a objetos com maior tolerância à paralisação, podendo se sujeitar à indisponibilidade por mais tempo, até o retorno operacional da atividade, como exemplo, o serviço de e-mail dependente de uma conexão. Vemos que o processo de envio e recebimento de mensagens é mais tolerante que o exemplo usado na estratégia anterior, pois poderia ficar indisponível por minutos, sem, no entanto, comprometer o serviço ou gerar impactos significativos.