Home

Segurança dos Sistemas de Informação

Contents

1. 4 centro de Novas Perda de jun es recupera o instala es cr ticas disponivel disponiveis n o criticas m J criticas O O C ting ncia Recupe a o Regresso empo gn normalidade Declara o de desastre Fig IV 1 Fases de um desastre Planeamento da Recupera o ou Continuidade do Neg cio O projecto de planeamento da recupera o ou continuidade do neg cio visa identificar as actividades a executar em caso de desastre os respons veis pela sua execu o os meios necess rios e o modo de realiza o dessas actividades Este projecto constitu do por cinco fases 1 2 3 4 5 arranque redu o de riscos e avalia o do impacto desenvolvimento do plano implementa o do plano manuten o e actualiza o O sucesso do projecto condicionado por v rios factores estrat gi cos inteiramente dependentes da Empresa que reflectem o modo como as inst ncias decis rias da organiza o assumem ou n o a SEGURAN A FACE AO DESASTRE 137 import ncia das medidas de preven o e protec o Por este motivo o projecto dever ter o empenhamento inequ voco da Admi nistra o que o deve incorporar no plano estrat gico do neg cio Com base neste empenhamento inicial os seguintes factores devem ser
2. 5 Resgate de dados S Alertar coordenador a a a de recupera o 2 Comunicar ao Centro NE de Opera es FIM Fig IV 3 Diagrama de execu o Exemplo 154 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Matriz de Responsabilidades em Conting ncia Respons vel Backup do Incidente Procedimento a executar pela execu o respons vel extens o extens o P001 Procedimento em eutheime Jo o Santos Pego so deinc ndios Pata o 1121 1315 n nda o oba gar a Diogo Oliveira Ricardo Alves N 1261 1422 inunda o i t Falha de nos BERN E Andr Carva Jos Silva Energia lho 1421 1392 energia P004 Procedimento em Gil Tavares Sandra Tumulto caso de tumulto 1132 Nunes 1111 Fig IV 4 Matriz de Responsabilidades Exemplo Plano de Recupera o O plano de recupera o um documento composto pelas descri es das respostas a uma interrup o nas actividades processos e fun es importantes do neg cio que se prolongue para al m das respectivas toler ncias indisponibilidade semelhan a do plano de conting ncia para al m dos procedi mentos para cada processo e actividade cr ticos o plano de recupe ra o dever incluir a estrutura e constitui o das equipas que os ir o executar o plano de ac o e todas as informa es auxiliares que facilitem a implementa o dos procedimentos por e
3. Do ponto de vista funcional os diversos pontos de adop o possi veis de novas tecnologias ao longo do seu ciclo de vida represen tam vantagens e riscos A introdu o de uma tecnologia muito recente permite regra geral colher os louros da inova o cor rendo se contudo o risco da tecnologia se revelar apenas uma pro messa ou at de apostar num fabricante que n o sobreviva a m dio prazo Por outro lado ficar para tr s e adoptar a tecnologia somente quando esta se encontrar consolidada traz nos a seguran a da sua estabilidade e continuidade devido adop o de um standard de facto mas custa das vantagens auferidas pelos nossos competi dores que tenham adoptado essa tecnologia logo no seu in cio Uma vez que funcionalidade e seguran a ter o de ser equaciona das no processo de selec o das tecnologias a adoptar pela Empresa ser necess rio efectuar uma an lise do risco e dos benef cios esperados evitando a todo o custo a tenta o da tec nologia pela tecnologia garantindo a tomada de decis o verdadei ramente adequada Empresa Controlo Avalia o Controlar o andamento do programa e os seus resultados ava liando o seu impacto e os seus custos dever ser uma preocupa o que come a logo na fase de planeamento Para o correcto acompanhamento do programa ser necess rio definir a metodologia de controlo e avalia o de modo a que se consigam comparar os resultados com os objectivos
4. Iremos ver de seguida qual o conte do e fun o de cada um des tes documentos Plano Global de Seguran a O Plano Global de Seguran a o documento principal da segu ran a na Empresa neste documento que se ir encontrar a an lise de risco da Empresa a estrat gia e o plano de ac o para a implementa o das medidas O conte do deste documento ser analisado posteriormente em detalhe em Componentes do Plano Global de Seguran a Pol tica de Seguran a A Pol tica de Seguran a um conjunto reduzido de regras que defi nem em linhas gerais o que considerado pela Empresa como aceit vel ou inaceit vel contendo ainda refer ncias s medidas a impor aos infractores Esta Pol tica dever referenciar todas as outras pol ticas existentes na Empresa que contenham regras de seguran a bem como fazer alus o s Normas de seguran a des critas adiante CRIA O DO PLANO DE SEGURAN A 181 As regras contidas neste documento devem ser suficientemente gen ricas para n o necessitarem de revis o excepto em caso de altera o profunda do contexto do neg cio por exemplo mudan a de ramo de actividade Exemplo Toda a informa o armazenada transmitida ou proces sada pelos sistemas de informa o da lt Empresa gt propriedade dessa empresa Podem se encontrar milhares de exemplos de Pol ticas de Segu ran a com uma simples pesquisa na Internet bem como de pol ticas espec ficas
5. Rela o Custo Benef cio A rela o custo benef cio traduz a necessidade de garantir uma rela o favor vel entre os gastos associados implementa o de medidas de seguran a e o retorno em mat ria de preven o e pro tec o Embora assente no senso comum este princ pio frequentemente esquecido sendo normalmente considerados apenas os custos ou os benef cios isoladamente Mais adiante no cap tulo Gest o do Risco ser o abordadas as f rmulas que permitem realizar o c l culo do benef cio Concentra o Este princ pio defende a concentra o dos bens a proteger em fun o da sua sensibilidade Tem como objectivo melhorar a efici ncia da gest o das medidas de protec o reduzindo as duplica es necess rias quando se tem de proteger diferentes reposit rios de informa o sens vel com requisitos de protec o id nticos A observ ncia deste princ pio implica a classifica o da informa o quanto sua sensibilidade t pico esse que ser detalhado em Seguran a da Informa o no cap tulo reas da Seguran a Empresarial Protec o em Profundidade A protec o em profundidade requer que os bens e respectivas medidas de protec o sejam dispostos de forma f sica ou l gica conc ntrica com os bens mais sens veis no centro e os menos sens veis no per metro Deste modo a protec o concebida sob a 20 SEGURAN A DOS SISTEMAS DE INFORMA O CEN
6. es que necessitem de desenvolver programas espec ficos para dar res posta s suas necessidades particulares REAS DA SEGURAN A EMPRESARIAL 121 O desenvolvimento de software poder dependendo das capacida des da Empresa ser realizado por elementos do quadro da pr pria organiza o ou poder ser contratado a terceiros Ambas as possi bilidades possuem particularidades distintas mas igualmente bas tantes pontos em comum Quando se fala em seguran a no desenvolvimento de software n o nos referimos apenas inclus o de aspectos de seguran a na fase de cria o dos programas resultantes como por exemplo controlo de acessos diferencia o de utilizadores etc mas tamb m e principalmente aos aspectos relacionados com a verifica o da seguran a do c digo O ciclo de vida t pico do desenvolvimento de software consiste tipi camente das seguintes fases especifica o desenvolvimento testes correc o testes de aceita o entrada em produ o O desenvolvimento de programas personalizados inicia se com a fase de especifica es em que definida a funcionalidade que se pretende que o software venha a ter o modo como ser utilizado os resultados que deve produzir etc Nesta fase essencial incor porar todos os controlos de seguran a que se deseja que o pro grama venha a ter Como tal a equipa de desenvolvimento na fase de especifica es dever interagir com me
7. o A informa o a pe a fundamental para o controlo de gest o e dever ser trabalhada desde o momento da aprova o do pro grama Deste modo os fluxos de comunica o formais dever o ser definidos na fase de planeamento do programa devendo ser equa cionadas desde logo as necessidades espec ficas dos seus diver sos intervenientes O fluxo de comunica o definido dever estar integrado no modelo de gest o estabelecido para o programa ver exemplo da Fig VIl 5 de modo a assegurar a correcta distribui o de informa o formal Sponsor do Programa Comunica Informa do directivas andamento do rograma prog Apresenta elementos Chefe do b programa 4 Comit s Aprova A estrat gias Informam 1 Comunica Equipas de projectos Fig VIl 5 Fluxo de comunica o Exemplo GEST O DO PROGRAMA DE SEGURAN A 215 Dever ser igualmente determinado n o s o tipo de informa o a distribuir mas tamb m os seus destinat rios e respectiva calendari za o Para facilitar esta tarefa poder se tamb m incluir nos documentos de planeamento um quadro e ou diagrama com os diversos intervenientes do fluxo de comunica o ver Fig VII 6 Lista de Distribui o Nome E mail ou outro contacto Daniela Silva daniela silva dendere o de mail Raquel Martins raquel martins Dendere o de mail Carolina Antunes carolina antun
8. o de auditorias que poder o ser internas e ou externas consoante o impacto esperado do programa no neg cio Estas auditorias visam aferir tanto o andamento do pro grama como a efic cia das medidas tomadas permitindo controlar por exemplo se os procedimentos criados no papel est o a fun cionar na pr tica Analisando o Programa de Seguran a as suas caracter sticas intr nsecas e transversalidade e os impactos relevantes em caso de incidente facilmente se poder concluir que se trata de um pro grama que dever ser auditado de modo a determinar atempada mente se os seus objectivos est o a ter o resultado esperado Esta auditoria dever incidir tanto sobre os controlos implementados como sobre as quest es t cnicas subjacentes estrutura dos sis 244 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO temas de informa o isto a auditoria dever garantir n o s que os sistemas funcionam no modo previsto mas tamb m que esse modo adequado Empresa Esta avalia o deve verificar igual mente por exemplo a exist ncia de n veis diferenciados de acesso informa o e o cumprimento dos requisitos de seguran a estabe lecidos por lei As quest es anteriormente referidas tamb m devem ser colocadas sob a al ada da auditoria interna da Empresa o que implica a garantia de que a equipa de auditoria conhece os sistemas da Empresa as regras existentes e os procedimentos definidos A
9. SEGURAN A dos ST E M S i INFORMA O Gest o Estrat gica da Seguran a Empresarial Pedro Tavares Silva Hugo Carvalho Catarina Botelho Torres T CNICAS Ea EM 3 20 iz iS a Pode ser fotocopiada Nota de Encomenda TI Total Sem despesas de envio As SIM desejo receber os t tulos que assinalei sem qualquer despesa de envio encomendas directas ao 4 S sa Centro Atl ntico para L Envio cheque Vale n ordem do Centro Atl ntico Portugal n o pagam custos L Prefiro que debitem no meu cart o de cr dito de portes Envios cobran a s o onerados em 2 5 por l encomenda Envios inter nacionais s o onerados em N mero do cart o de cr dito LI Os dados recolhidos s o processados automatica mente sendo o seu forne emen facultativo garantido nos termos da Empresa Lei o direito de acesso e de Nome rectifica o bem como de n o divulga o a terceiros o POE d a Cart o em nome de CENTROATLANTICO PT artado 413 4764 901 V N Famalic o ltimos tr s d gitos nas costas do Cart o I Validade Mastercard American Express os j incluem IVA taxa em vigor cP Je Contribuinte Tel 808 20 22 21 www centroatlantico pt PEDRO T
10. impactos de ve culos terrestres a reos navais Uma vez que o impacto de um incidente varia consoante a vulnera bilidade da Empresa o mesmo incidente poder representar para empresas diferentes um desastre ou apenas uma inconveni ncia Consoante os casos a capacidade de recupera o ou de alta dis ponibilidade pode representar tanto uma garantia de sobreviv ncia como um factor de competitividade Cronologia Nem todos os incidentes resultam num desastre a maioria provoca apenas um pequeno per odo de indisponibilidade ou seja uma emerg ncia Um desastre resulta de um incidente que afecte a capacidade da organiza o em realizar as actividades de suporte aos seus processos cr ticos durante um per odo superior ao limite SEGURAN A FACE AO DESASTRE 135 m ximo tolerado pelas fun es do neg cio Ou seja enquanto as fun es da Empresa suportarem a paragem ou indisponibilidade de alguns processos de suporte o incidente considerado uma emer g ncia Este passar a desastre a partir da declara o de desas tre altura em que a organiza o assume inequivocamente a necessidade de activa o de medidas excepcionais conducentes recupera o dos processos e actividades afectados pelo incidente Em caso de desastre o principal objectivo do neg cio ser ent o o de retomar todas as suas actividades cr ticas o mais rapidamente poss vel o que acontecer no per odo de recupera o S no final deste
11. o ajustes a procedimentos etc Ao dificultar ou at impedir o feedback por parte dos visados pelo programa estar a criar se uma parede de resist ncia a princ pio impercept vel que ir crescendo podendo ser j intranspon vel quando finalmente se tornar vis vel A abertura do canal de comuni ca o conseguida pela realiza o de inqu ritos essencial n o s para avaliar as mudan as e o seu impacto mas tamb m para aferir da realiza o de mais valias concretas Timing para Adop o de Tecnologias A adop o de tecnologias pelas empresas varia consoante as suas caracter sticas e objectivos Em termos de comportamento uma organiza o poder posicionar se tanto como inovadora adop tando a tecnologia assim que esta surge com todos os riscos e benef cios a ela inerentes ou poder ser conservadora adoptando a tecnologia apenas quando esta se encontra j consolidada e aceitando o risco de perder o comboio e ficar para tr s face con corr ncia Apesar de n o existirem receitas para a adop o das tecnologias pois cada caso um caso dever tentar efectuar se uma an lise detalhada considerando as v rias alternativas os benef cios e os GEST O DO PROGRAMA DE SEGURAN A 237 riscos de cada postura Relativamente ao Programa de Seguran a esta an lise ganha ainda maior relev ncia uma vez que uma falha na tecnologia poder ser mais grave do que a sua inexist ncia
12. o deste standard o seu suporte ao n vel aplicacional ainda n o abrangente e n o se prev que o venha a ser no curto prazo Perante o exposto ao considerar a possibilidade de adquirir uma solu o de cifra a Empresa dever obter informa es sobre a robustez do algoritmo utilizado bem como sobre a possibilidade de migra o para algoritmos mais evolu dos e robustos como sejam o AES Por m as solu es que utilizem o 3DES ainda podem ser consideradas atendendo a que este um dos algoritmos mais for tes no mercado IPv6 O IPv6 Internet Protocol version 6 ou IPng Next Generation Inter net Protocol encontra se em fase de desenvolvimento existindo j suporte aplicacional para esta nova vers o do protocolo que suporta a Internet O seu surgimento deve se em grande medida neces sidade de cria o de um novo esquema de atribui o de endere os uma vez que o espa o de endere amento address space ofere cido pelo IPv4 actualmente em utiliza o se encontra quase esgotado tornando se cada vez mais dif cil devido sua escassez a obten o de endere os p blicos oficiais para liga o de novos sistemas Internet Se bem que tenha sido esse o principal impulsionador para o desenvolvimento desta nova vers o da tecnologia os grupos de trabalho envolvidos aproveitaram a ocasi o para aperfei oar o pro tocolo introduzindo entre outras capacidades de regula o da qualidade
13. t o crucial no relat rio final uma vez que ser o as medidas imple mentadas por vezes pouco vis veis que trar o maiores benef cios para a Empresa Para al m dos resultados finais este documento dever tamb m apresentar os resultados dos question rios efec tuados aos formandos e s reas afectadas pelo programa bem como apresentar propostas de melhoria propostas essas que pode r o incluir a altera o dos procedimentos de gest o de programas O relat rio de fim de programa muitas vezes o primeiro passo para a defini o do Programa de Seguran a do per odo seguinte uma vez que se elaborado de forma cuidada poder real ar diver sas quest es que dever o ser enquadradas na an lise de risco que anteceder o planeamento do Programa de Seguran a subse quente Conclus o O Programa de Seguran a pela sua abrang ncia e import ncia para a Empresa tem caracter sticas nicas que devem ser analisa das com muito cuidado Ao tratar se de um programa cujos desvios poder o ser gravosos para a Empresa deve prestar se especial aten o para com todos os desvios encontrados garantindo que se GEST O DO PROGRAMA DE SEGURAN A 247 trata de um processo de aprendizagem para todos os intervenien tes do princ pio ao fim Para o sucesso deste programa transversal conta tamb m de forma significativa a escolha da equipa adequada e a divulga o do programa Empresa o que ir permitir um alinhament
14. 165 165 166 167 169 170 171 173 174 176 177 178 Cap tulo VI Cria o do Plano de Seguran a Os Documentos da Seguran a Plano Global de Seguran a Pol tica de Seguran a Normas de Seguran a Procedimentos Componentes do Plano Global de Seguran a Objectivos An lise de risco Estrat gia Plano de Ac o Como Vender Seguran a Administra o nDice 11 179 180 180 180 181 182 182 183 184 184 185 185 Os Pap is da Administra o e do Respons vel pela Seguran a Linguagem e Enquadramento Obriga es Legais Cen rios Alternativos Equipa de seguran a Dimens o Responsabilidades Enquadramento Perfil Or amento Acordos de N vel de Servi o Classifica o da Informa o Servi os de Seguran a Crit rios de Disponibiliza o Conclus o Cap tulo VII Gest o do Programa de Seguran a Controlo de Gest o Metodologias de Controlo de Gest o Or amento Simples 186 186 189 190 191 192 193 194 195 196 197 197 199 201 202 205 205 206 207 12 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Or amento Flex vel Balanced Scorecard Avalia o de Desempenho Fases da Gest o de Programas Recolha de Informa o Planeamento Calend rio Actividades Afecta o de Recursos Matriz de Responsabilidades An lise de Custos Necessidade de Fundo de Maneio Pre os de Transfer ncia Qualidade Implementa o Gest o da Equipa Gest
15. CENTRO ATL NTICO Yokohama recolheu impress es digitais entre outros em copos de vidro e atrav s de um processo simples e pouco dispendioso criou dedos de gelatina que em 80 dos casos conseguiram enganar os leitores biom tricos Claro que existem sistemas capazes de detectar vida nos objectos que tentam reconhecer Mas mais uma vez os custos associados n o permitem consider los em grande parte dos casos como op o Por m e devido ao enorme n mero de vantagens ofereci das pela biometria ser previs vel uma taxa de penetra o cada vez maior medida que as solu es existentes forem sendo aper fei oadas e os custos se tornem mais acess veis Outras tecnologias que tentam retirar o fardo da Administra o de um conjunto alargado de elementos de autentica o s o o single sign on e as infra estruturas de chaves p blicas A primeira prop e substituir se ao utilizador em todos os processos de autentica o bastando a este fornecer uma nica palavra passe ao sistema Se bem que existam aplica es capazes de integrar esta tecnologia ela ainda n o suportada pela grande maioria dos sistemas Este factor resulta em muitos casos num acr scimo des necess rio de complexidade em sistemas heterog neos incapazes de comunicar entre si as credenciais dos utilizadores A segunda ao propor uma solu o centralizada de gest o de cha ves criptogr ficas p blicas e de certificados digita
16. De um modo geral em Portugal n o se tem acompanhado com muita aten o os aspectos legais da inform tica sendo grande parte da nossa legisla o neste campo transposi es de directivas comunit rias e esfor os avulsos de regulamenta o Esta falta de actividade legislativa pode traduzir a adequabilidade das leis j existentes mas pode tamb m significar a necessidade de um 166 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO esfor o de actualiza o legislativa nacional face s novas realida des do s culo XXI Por m a partir da quinta revis o constitucional de 2001 a Lei Fun damental da Rep blica passou a garantir livre acesso s redes inform ticas de uso p blico e a proibir o tratamento de dados pes soais que violem os direitos liberdades e garantias e que propiciem a discrimina o o que se pode interpretar como sendo um sinal claro da tomada de consci ncia da import ncia exercida pelas novas tecnologias na sociedade Seguran a Nacional A pe a legislativa que talvez se possa considerar o ponto de partida dos esfor os reguladores subsequentes nesta rea remonta a 1990 28 de Fevereiro e traduz se numa Resolu o do Conselho de Ministros Resolu o n 5 90 que aprova as Normas para a Seguran a Nacional Salvaguarda e Defesa das Mat rias Classifi cadas Seguran a Inform tica mais conhecida por SEGNAC 4 Este diploma tenta abarcar todas as reas da seguran a inf
17. O CENTRO ATL NTICO LIPSON H F FISHER D A Survivability A New Technical and Business Perspective on Security in Proceedings of the New Security Paradigms Workshop IEEE Computer Society Press 1999 PARRISH Scott Security Considerations for Enterprise Level Backups SANS Institute 2001 PELTIER Thomas R Information Security Risk Analysis Auerbach USA 2001 PIPKIN Donald L Information Security Prentice Hall USA 2000 S A Whats New in Security for Windows XP Professional and Windows XP Home Edition Microsoft Corporation Julho de 2001 SCHNEIER Bruce Fun with Fingerprint Readers in Crypto Gram Newsletter n 25 s l 15 de Maio de 2002 SCHNEIER Bruce Kerberos and Windows 2000 in Crypto Gram Newsletter s n s l 15 de Mar o de 2000 SCHNEIER Bruce Applied Cryptography Protocols Algortinms and Source Code in C John Wiley amp Sons Nova lorque 1996 2 ed SCHNEIER Bruce Secrets And Lies Digital Security in a Networked World John Wiley amp Sons Nova lorque 2000 SCHUCHART JR Steven J Restoring SANity in Network Computing Janeiro de 1997 SILVA Pedro T e CARVALHO Hugo An lise de Risco e Defini o de Pol ticas de Armazenamento no Ciclo de Vida da Continuidade do Neg cio in Terceiro Encontro de Seguran a dos Sistemas de Informa o IFE International Faculty for Executives Lisboa 2002 THOMPSON Herbert
18. O interesse despertado pelas diversas tecnologias segue uma evo lu o caracter stica e conhecida apresentada na Fig VII 10 Existe uma fase inicial de crescimento acentuado associada ao apareci mento da nova tecnologia repleta de esperan as mas imatura dando in cio a uma fase ascendente na sua popularidade que n o no entanto acompanhada por um amadurecimento significativo A partir do momento em que o mercado separa o trigo do joio h um ajuste da realidade atrav s de uma desinfla o das expectati vas Finalmente a tecnologia entra num processo de amadureci mento sustentado que a caracterizar at ao fim da sua vida Do ponto de vista do investimento tecnol gico e na perspectiva da seguran a a adop o de tecnologias nas duas primeiras fases acarreta necessariamente diversos riscos tais como o desapareci mento do produto ou do fabricante a presen a de uma quantidade inusitada de vulnerabilidades por remover o aparecimento posterior de novos standards incompat veis com a tecnologia adoptada etc Na ptica da seguran a a maturidade certamente prefer vel embora a r pida evolu o do ambiente tecnol gico requeira a intro du o de novos controlos implicando necessariamente a adop o de novas tecnologias Procura Visibilidade Maturidade Inovadoras e a Conservadoras Fig VII 10 Adop o de tecnologias 238 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO
19. O tipo de testes realizados dever ser faseado permitindo a evolu o de exerc cios mais simples e limitados numa fase inicial para testes mais completos e abrangentes numa fase posterior Os tipos mais comuns s o ensaios gerais com todas as equipas em que os procedi mentos s o apenas lidos 162 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO testes modulares realizados numa nica rea e focados numa nica fun o e testes funcionais orientados para uma finalidade espec fica Todos estes tipos de testes podem ser realizados com ou sem pr aviso Nunca ser demais real ar a import ncia da sua exaustivi dade e abrang ncia Um plano se n o for testado tem uma vali dade te rica que em caso de necessidade de aplica o poder revelar se desadequada s circunst ncias Somente atrav s da simula o de situa es de crise se poder aferir a qualidade das medidas planeadas bem como o seu grau de sucesso Sensibiliza o e Forma o As actividades de sensibiliza o permitem assegurar a comunica o do plano de continuidade do neg cio a todos os intervenientes e colaboradores em geral dando lhes a conhecer os componentes do plano aimport ncia da protec o contra o desastre a identidade fun o e contactos dos coordenadores das equipas as formas de obterem informa o por exemplo web publica o interna etc em que situa es a
20. a dever constar a classifica o dos requisitos de confidencialidade de integridade e de disponibilidade da informa o Essa classifica o dever ser feita pelo propriet rio da informa o segundo crit rios uniformes comuns a todos os acordos de servi o estabelecidos A classifica o da confidencialidade da informa o deve reflectir os danos para a Empresa decorrentes da divulga o indevida dessa informa o Esses danos dever o ser estimados qualitativa ou quantitativamente pelo propriet rio da informa o 198 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A tabela seguinte mostra um exemplo poss vel de graus de classifi ca o dos requisitos de confidencialidade a Danos decorrentes Grau Designa o o AI pe p da divulga o n o autorizada 1 P blica Nenhuns 2 Interna Danos insignificantes 3 Confidencial Danos razo veis Danos muito significativos ou 4 Muito Secreto 9 desastrosos Fig VI 1 Classifica o dos requisitos de confidencialidade semelhan a da classifica o da confidencialidade a defini o do requisito de integridade da informa o armazenada e processada ir reflectir os danos para a Empresa decorrentes da corrup o irre cuper vel parcial ou total desta informa o Tal como referido na confidencialidade esses danos dever o ser estimados qualitativa ou quantitativamente pelo propriet rio da informa o A
21. a perda acidental a altera o a difus o ou o acesso n o autorizados nomeadamente quando o tratamento implicar a sua transmiss o por rede e contra qualquer outra forma de tratamento il cito estas medidas devem assegurar atendendo aos conhecimentos t cnicos dispon veis e aos custos resultantes da sua aplica o um n vel de seguran a adequado em rela o aos riscos que o tratamento apresenta e natureza dos dados a proteger Da leitura deste excerto sobressaem imediatamente dois aspectos essenciais qualquer base de dados deve ser protegida por medidas t cnicas e organizativas i e n o basta instalar solu es t cnicas mas s o necess rios procedimentos e orienta es claras e essa protec o deve ser adequada aos riscos existentes o que implica o 16 Coma Declara o Rectificativa n 22 98 de 28 de Novembro 170 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO conhecimento por parte do respons vel pelo tratamento de quais os riscos que podem afectar adversamente os dados quer sejam externos quer internos Nestes ltimos incluem se potenciais erros dos operadores das bases de dados pelo que nalguns casos pode ser necess ria a implementa o de mecanismos de verifica o e autentica o dos dados existentes A entidade que supervisiona o cumprimento desta lei a Comiss o Nacional de Protec o de Dados uma entidade bastante activa e que abordaremos mais adiante jun
22. a uma VPN j existente poder implicar a configura o individual de todos os n s para que sejam poss veis comunica es bidireccionais entre si este facto poder n o ser grave numa rede pequena mas numa rede com por exemplo 100 n s equivale a 200 altera es nas pol ticas existentes As pol ticas de seguran a da VPN definem basicamente os dife rentes privil gios de acesso Estes podem ser configurados de acordo com as necessidades dos utilizadores sendo que as pol ti cas dever o ser suficientemente granulares para permitir a diferen cia o de acordo com as diferentes necessidades n veis de con fian a etc Compete ent o ao administrador da VPN a cria o e manuten o de regras que sejam suficientemente seguras em ter mos de controlo de acesso informa o mas que n o se tornem impeditivas da produtividade Um outro aspecto a ter em linha de conta o de que por se trata rem de dados cifrados estes n o serem verific veis nos pontos de entrada por exemplo pelas firewalls existentes podendo deste modo originar a passagem de conte dos proibidos ou de c digo malicioso atrav s dos mecanismos de protec o implementados no per metro da rede interna Para a escolha da solu o de VPN a implementar o respons vel pela seguran a dever por fim considerar os seguintes pontos Que tipo de clientes v o existir na VPN somente clientes internos da Empresa ou tamb m externos parc
23. deste ao seu Sponsor A informa o dever circular em dois sentidos a equipa reporta ao chefe de programa que por sua vez reporta ao Sponsor e no retorno existir um segundo canal que assegurar o fluir de infor ma o top down e entre os diversos elementos da equipa de modo a garantir que todos est o sintonizados com os objectivos e com o andamento do programa A forma o tem um papel fundamental no sucesso da implementa o de um programa pelo que dever ser definida como mais uma fase no momento de planeamento Este mais um ponto fulcral no sucesso dos programas pois ao ministrar forma o o processo de mudan a facilitado pela apresenta o das novas metodologias e ferramentas garantindo que os diversos colaboradores da Empresa saber o como actuar adequadamente nos momentos chave de implementa o Garantir o conhecimento do que fazer e como o fazer diminui a ansiedade do desconhecido que representa um dos factores de insucesso dos programas de mudan a O controlo da forma o dever identificar se estas actividades se realizaram quem participou e acima de tudo recolher informa o junto dos formandos para aferir se a forma o foi eficaz e se os objectivos propostos foram alcan ados Para tal o chefe de pro grama em conjunto com a rea que controla as ac es de forma o dever elaborar um inqu rito a distribuir a todos os formandos que permita aferir a efic cia da ac
24. dever ser elaborada uma descri o pormenorizada que ser assi nada pelas diversas reas e pela equipa do programa servindo de garante para o cumprimento do estipulado Ao longo de todo o programa essencial garantir o correcto funcio namento do fluxo de informa o como forma de atingir os objecti vos propostos Esta troca de dados ir permitir identificar atrasos indefini es de requisitos impasses e outros problemas Ao fazer fluir a informa o estar o criadas condi es para actuar atempa damente minimizando o potencial impacto dos problemas 218 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Um dos modelos de comunica o de car cter gen rico que dever possuir cerca de quatro ou cinco p ginas servir para fornecer ao Sponsor do programa uma vis o sobre o seu andamento indicando os pr ximos passos e respectivos riscos que poder o ser por exemplo de escassez de recursos de indefini o de requisitos potenciais atrasos em programas relacionados ou at receio de incumprimento dos prazos estabelecidos Este relat rio dever ser elaborado pelo chefe de programa que o entregar ao Sponsor em comit pr prio em sede do Conselho Executivo ou Administrativo ou em reuni es mensais de acompanhamento do programa Para elaborar este documento o seu respons vel dever socorrer se dos relat rios parciais elaborados pelos chefes de projecto num modelo pr prio devendo estes de fo
25. lise de Impacto no Neg cio Michael E Porter um reputado professor da Universidade de Har vard estabeleceu uma cadeia organizacional cuja gest o condi ciona a vantagem competitiva das empresas Nessa cadeia conhe cida por Cadeia de Valor de Porter as fun es de neg cio assen tam em processos actividades prim rias que por sua vez s o sustentadas por actividades de suporte ver Fig Il 5 46 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A an lise de impacto no neg cio visa apurar quais as fun es pro cessos e actividades de suporte tecnol gicas ou n o cr ticas para o funcionamento da Empresa Uma vez que para qualquer colaborador da Empresa as tarefas por si desempenhadas s o essenciais em detrimento das restan tes a identifica o do que realmente cr tico dever seguir uma abordagem top down ou seja de uma vis o mais estrat gica at operacional Assim dever come ar se por identificar as fun es cr ticas do neg cio identificando seguidamente de entre os proces sos que o comp em aqueles que s o essenciais e finalmente quais das actividades de suporte a estes processos s o igualmente vitais para a realiza o do processo em quest o Fun o de Neg cio Processo 1 Processo 2 o o o o O O o o O ES o o ES ks o o o o o e gt 2 E jus gt Spa pe O lt lt lt Fig Il 5 Fun es de Ne
26. ncia hier rquica Contudo nestes casos ser necess rio considerar a liberta o desse pessoal nos momentos em que devem ser afectados ao programa pois frequentemente ap s a concord ncia inicial os recursos n o se encontram dispon veis na altura em que as tarefas s o realizadas implicando inevitavelmente deslizes no planeamento Para garantir que os elementos afectos ao programa o est o na realidade o chefe de programa dever negociar primeiro com os superiores hier rquicos dos recursos a 222 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO afectar identificando claramente qual ir ser a sua participa o ao longo do programa e o objectivo dessa participa o Devido s caracter sticas do Programa de Seguran a este dever ter afectados recursos das diversas reas da Empresa quer do campo das tecnologias de informa o quer das restantes reas n o tecnol gicas Exemplo poderemos entender um pouco melhor esta problem tica da afecta o de recursos considerando a defini o dos procedimentos necess rios para garantir a conti nuidade em caso de desastre que devem ser definidos pelos elementos que executam habitualmente os pro cessos de neg cio cr ticos Assim o chefe de pro grama dever reunir com as diversas hierarquias soli citando por um lado a sua colabora o para o projecto o que servir tamb m como uma forma de sensibiliza o para a problem tica da seguran a
27. o e a opini o geral dos seus frequentadores Estes dados dever o ser coligidos e integrados no reporting do chefe de programa ao Sponsor que poder assim GEST O DO PROGRAMA DE SEGURAN A 243 apresentar as suas considera es sobre a forma o a sua efic cia e adequa o A identifica o de uma linha cr tica constitui um auxiliar an lise da evolu o do programa em que s o destacadas as tarefas cujos desvios ter o implica es directas sobre o mesmo Estes pontos essenciais ao cumprimento atempado dos objectivos propostos dever o ser controlados com maior aten o e rigor pois desvios nestas actividades trar o certamente desvios significativos ao pro grama Assim sendo o chefe de programa dever prestar especial aten o aos pequenos desvios existentes nestas actividades de modo a agir quanto antes de prefer ncia de forma pr activa mini mizando os atrasos As causas dos desvios nesta linha dever o ser sempre analisadas detalhadamente bem como as suas implica es finais Para al m da an lise atenta dos desvios linha cr tica do programa o seu respons vel dever tamb m analisar as tarefas que ter o impacto sobre as actividades da linha cr tica e que embora numa primeira an lise n o sejam essenciais possam vir a ser incorpora das nesta linha caso se registem desvios significativos nas mes mas O controlo e avalia o de um programa poder tamb m ser efec tuado atrav s da realiza
28. optimiza o dessas reuni es A correcta defini o de encargos a base para atrav s de uma an lise custo benef cio simples se perceber se ser oportuno avan ar ou n o com o programa No entanto esta defini o dever ser inicialmente de alto n vel sendo aceit vel um desvio de cerca de 30 de modo a assegurar a celeridade da or amenta o inicial Uma vez ultrapassada esta fase no momento final da decis o de avan ar ou n o com o programa ser ent o necess rio voltar a calcular os custos de modo mais detalhado reduzindo a margem de erro para a ordem dos 5 No caso da seguran a a defini o do benef cio algo por vezes complicado pois estamos perante situa es que poder o nunca acontecer Neste contexto o que se torna relevante saber se a Empresa est ou n o disposta a correr esse risco o que deve ser conseguido atrav s de uma an lise criteriosa ver cap tulo Gest o do Risco que permita identificar os eixos de actua o da segu ran a definindo prioridades para as diferentes actividades Neste processo dever considerar se que os custos incorridos ao longo de todo o programa n o ser o necessariamente lineares Da a obriga o de efectuar uma an lise das necessidades de fundo de maneio do programa de modo a garantir que este n o ser inter rompido por indisponibilidade or amental As necessidades de fundo de maneio representam a disponibilidade or amental necess ria par
29. ou a sua aus ncia n o os afecte negativamente Por m casos h em que a seguran a pode constituir um pr requi sito para a parceria Os parceiros normalmente s o escolhidos ao n vel estrat gico pela Administra o devem ser avaliados tamb m pela sua postura de seguran a atrav s por exemplo da an lise das suas pol ticas e planos de recupera o Nos casos em que tal n o poss vel e apenas nesses casos ser necess rio recorrer contratualiza o expl cita dos aspectos relacionados com a seguran a como forma alternativa de promover a seguran a da Empresa junto dos parcei ros Nas situa es em que a seguran a contratualizada deve se ter especial cuidado para n o se incorrer numa confian a cega no Parceiro sendo necess rio por exemplo verificar se o fornecedor do servi o de recupera o de desastre de que dependemos para sobreviver poder ser afectado pelo mesmo desastre pois nesse caso por melhor contratualizado que o servi o estiver n o teremos garantias do seu fornecimento TEORIA DA SEGURAN A 33 Pessoal Tempor rio O pessoal tempor rio similar aos restantes utilizadores da empresa no seu comportamento embora a sua liga o Empresa seja mais t nue o que requer a introdu o de medidas que impe am a extens o dos privil gios de acesso aos sistemas de informa o para al m do fim do v nculo Empresa e em particular de uma eficiente metodologia de gest o de conta
30. quatro dias homem GEST O DO PROGRAMA DE SEGURAN A 221 vos prazos isto quando e como que o chefe de programa deve reportar ao Sponsor o andamento do mesmo os riscos identificados e os pr ximos passos Seguidamente procede se nomea o do chefe de programa que dever ser sempre que poss vel o respon s vel pela seguran a na Empresa e a defini o da metodologia de reporting Ap s esta defini o o chefe de programa estar preparado para passar a uma fase de maior detalhe No caso do Programa de Seguran a esse detalhe corresponde determina o das princi pais actividades decorrentes da an lise de risco anteriormente efectuada N o deveremos contudo esquecer que o Programa de Seguran a uma actividade da Empresa e como tal dever ser comunicado Empresa por forma a sensibiliz la tanto no seu in cio como nos diversos milestones e sempre que se justificar Estes momentos dever o tamb m ser calendarizados por parte do chefe do programa Afecta o de Recursos A afecta o de recursos a um programa nunca tarefa f cil pois se por um lado necess rio identificar os elementos que melhor se adaptam s necessidades do programa por outro temos de consi derar a sua poss vel indisponibilidade Num programa com a abrang ncia do Programa de Seguran a Empresarial ser necess rio ter em conta as necessidades de afecta o de recursos nas diversas reas independentemente da sua depend
31. que podem inclusivamente ser prefer veis tanto do ponto de vista da seguran a como economicamente TEORIA DA SEGURAN A 31 Uma regra elementar de promo o da seguran a relativamente aos t cnicos a da atribui o de privil gios segundo o princ pio do menor privil gio que dita que n o dever ser permitida a realiza o de ac es que n o sejam necess rias ao desempenho da activi dade por exemplo se suposto um t cnico gerir impressoras numa rede Microsoft ele n o dever poder tamb m adicionar com putadores ou utilizadores ao dom nio Esta preocupa o dever ainda ser complementada com a configura o dos sistemas por forma a gerar um rasto de auditoria algo que iremos abordar mais adiante no cap tulo reas da Seguran a Empresarial Uma vez que a Administra o dos sistemas de informa o uma fun o para a qual necess rio um elevado n vel de confian a a principal forma de promover a seguran a junto destes actores atrav s da defini o de pol ticas normas e procedimentos de ope ra o segura bem como pela promo o de ac es de forma o sobre os aspectos t cnicos da seguran a dos sistemas que admi nistram Clientes Os clientes s o de certa forma quem nos paga os ordenados S o eles os patr es dos patr es ou seja quem dita o que necessita mos fazer como Empresa O cliente t pico n o quer saber o que est por tr s do produto ou servi o qu
32. ria e de representar o ponto de partida para toda a documenta o de apoio subsequente normas e procedi mentos dever servir de orienta o e refer ncia para todos os elementos da organiza o no que concerne seguran a Portanto um dos primeiros e mais essenciais passos a dar no que respeita ao enquadramento dos utilizadores dever ser a adequada divulga o da Pol tica de Seguran a da Empresa Esta medida poder ser iniciada por um memorando interno distri bu do a todos os colaboradores com uma c pia integral da Pol tica de Seguran a da Empresa mas n o dever ficar por a Esta leitura isolada poder em muitos casos ser insuficiente Se uma frase como Toda a informa o armazenada transmitida ou processada pelos sistemas de informa o da lt Empresa gt propriedade da lt Empresa gt poder n o levantar muitas d vidas uma afirma o como A lt Empresa gt envidar todos os esfor os para garantir a privacidade da sua informa o propriet ria ir provavelmente sus citar todo o tipo de interroga es qual a informa o propriet ria da Empresa O que se entende por todos os esfor os Que impacto que esta pol tica tem sobre a minha privacidade Quais s o as minhas garantias O exemplo apresentado chama a aten o para dois aspectos vitais por um lado imperativo que uma pol tica empresarial n o seja sujeita a interpreta es amb guas e que descontextualiza
33. s o de pareceres sobre os mais variados aspectos De facto se primeira vista a actividade desta comiss o se encontra limitada pela Lei n 67 98 uma an lise mais atenta do seu articulado reve lar um campo de ac o bastante alargado Ao incidir sobre a protec o de dados pessoais a referida lei abre as portas a um elevado n mero de reas sobre as quais a CNPD ter uma palavra a dizer a privacidade nos locais de trabalho as quest es de avalia o de cr dito e de solvabilidade o tratamento de decis es de tribunais s o apenas alguns exemplos de temas abordados por este organismo resultantes em orienta es p bli cas A consulta do seu s tio na Internet http www cnpd pt uma acti vidade obrigat ria para qualquer respons vel pela seguran a de qualquer organiza o uma vez que atrav s da leitura das orienta es emanadas poder obter valios ssimos instrumentos de ade qua o da pol tica normas e procedimentos internos que pretenda implementar ou que j existam 2 Uma medida de seguran a f sica que carece igualmente de registo junto da CNPD a utiliza o de c maras de v deo vigil ncia 176 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO O Standard ISO IEC 17799 A norma ISO IEC 17799 um standard internacional dedicado seguran a da informa o reconhecido pela sua abrang ncia e que cont m diversas orienta es mais ou menos complexas que vi
34. ser abrangente na medida em que n o devem existir ex cep es Na sala de servidores da organiza o por exemplo poder o ser registados os acessos de todos os operadores e administradores incluindo as suas horas de entrada e de sa da Casos haver em que para al m de um sistema autom tico de controlo como por exemplo um leitor de cart es magn ticos far sentido a exist ncia de um livro de registo de acessos onde todos dever o inserir a data e hora de entrada e sa da bem como uma rubrica para autentica o do registo Existem igualmente solu es baseadas em tecnologia que permi tem definir de forma automatizada hor rios de acesso a determi nados locais e que podem ser implementadas com um impacto relativamente reduzido sobre o funcionamento normal da organiza o Nenhuma destas medidas por m far sentido sem o devido acom panhamento Quantos s o os casos conhecidos de empresas em que a seguran a no trio de entrada serve apenas de decora o O registo dos acessos dever ser verificado pelo respons vel pela seguran a em particular o dos acessos s zonas mais sens veis da organiza o e quaisquer situa es mais duvidosas dever o ser prontamente questionadas e esclarecidas Para tal ser necess rio sensibilizar os colaboradores da Empresa para que tamb m eles sejam parte do mecanismo de seguran a f sica respons vel pela detec o de intrusos Elimina o de Res duos
35. tempo e recursos poder ser um meio valios ssimo de determina o de acontecimentos e um precioso auxiliar na obten o de pro vas incriminat rias contra um delinquente Por m deve ser dada particular aten o defini o do que deve ser registado Se em certos sistemas conveniente registar toda e qualquer actividade outros por exemplo apenas necessitar o do registo de entradas e sa das no sistema e de acesso aos ficheiros do sistema operativo Esta defini o se n o for cuidadosamente realizada poder criar uma quantidade de dados que simples mente devido ao seu elevado volume se tornam impratic veis de gerir Os registos s o efectivamente a ltima arma na linha de defesa e de reac o a ataques S o essenciais para determinar o que aconteceu quando e como e s o um instrumento fundamental na prossecu o de ac es punitivas Estas podem e devem ser equacionadas sempre que a organiza o considere haver lugar a retribui o pelos danos causados por um atacante quer este seja um mi do com tempo a mais nas m os quer se trate de um concorrente comercial A Sec o Central de Investiga o da Criminalidade Inform tica e Telecomunica es na depend ncia da Direc o Central de Investi ga o da Corrup o e Criminalidade Econ mica e Financeira da Pol cia Judici ria encontra se especificamente dedicada investi ga o de crimes electr nicos Se bem que a legisla o nacion
36. uma oferta de v rios produtos de cifra que recorrem a algoritmos privativos secretos desenvolvidos pelas companhias que os comercializam e cujas especifica es n o s o p blicas Estes produtos costumam normalmente alegar n veis impressionantes de protec o e invulnerabilidade Contudo quanto mais secreto for o processo mais o devemos recear De facto na cifra o importante n o o algoritmo em si mas o modo como fun ciona e como utiliza a chave sendo que os algoritmos que se encontram publicados ou seja que n o s o secretos j foram sujeitos a intensos esfor os de cripto an lise e deram provas da sua robustez ou aus ncia dela Estes s o os mais fi veis e aqueles que devemos considerar sempre que pensemos em utilizar cifra enquanto que os algoritmos propriet rios e n o divulgados podem encerrar graves problemas de seguran a na protec o dos dados Relativamente ao modo como esta solu o utilizada existem fundamentalmente duas possibilidades chave secreta criptogra fia sim trica e chave p blica chave privada criptografia assim trica Enquanto que no primeiro caso utilizada a mesma chave para cifrar e decifrar os dados no segundo utilizado um par de chaves Resumidamente na criptografia assim trica o utilizador cria um par de chaves p blica e privada associadas entre si Para cifrar os dados utilizada a chave p blica que como o nome indica pode s
37. ATL NTICO dores que se esqueceram da sua palavra passe h a quest o das decis es estrat gicas que possuem forte impacto sobre este meca nismo de autentica o O n vel de complexidade a exigir na cria o de palavras passe ou a validade das mesmas por exemplo s o quest es que t m necessariamente de ser enfrentadas muitas vezes no dia a dia E as op es tomadas podem afectar negativa mente o desempenho di rio da organiza o criando obst culos autentica o muitas vezes sem a contrapartida de uma maior garantia de seguran a As palavras passe s o ent o um mal necess rio e por isso mesmo come a se a procurar maneiras de as substituir por formas mais simples e mais seguras Uma dessas formas a utiliza o de cart es inteligentes ou smart cards solu o esta que associa algo que eu sei a algo que eu possuo Um smart card um cart o com um circuito integrado capaz de armazenar dados de forma segura tais como certificados digitais ou chaves criptogr ficas protegido por um PIN esta capacidade que permite para al m da diversifica o dos c digos de autentica o armazenados na mem ria do cart o o isolamento destes elementos de seguran a uma vez que a informa o n o reside nos sistemas Para al m disso ao utilizar um PIN para prote ger os dados que cont m o smart card acrescenta mais um n vel de seguran a relativamente s palavras passe de facto enquanto que uma p
38. Ainda que se encontre a dar os primeiros passos aguardando o impulso do iSCSI encapsulamento de comandos SCSI em pacotes IP para dar um grande salto esta virtualiza o permite j fazer a gest o da capacidade de armazenamento existente em toda a organiza o a partir de um nico ponto central As caracter sticas desta solu o incluindo ajustes autom ticos do espa o dispon vel notifica es e a possibilidade de gest o de espa o atrav s de estat sticas de meta dados s o aliciantes Por m ao permitir a gest o de v rios supor tes de armazenamento como se de um nico se tratassem a virtua liza o potencia os problemas em caso de desastre pois a recupera o ter obrigatoriamente de incluir todos os sistemas REAS DA SEGURAN A EMPRESARIAL 105 pertencentes ao esquema de armazenamento virtual e n o apenas aqueles verdadeiramente cr ticos Todas as solu es de armazenamento de dados existentes pos suem os seus pr s e contras Todas elas dependem em ltima inst ncia das finalidades que visam servir ou seja dos objectivos do neg cio pelo que dever o ser cuidadosamente seleccionadas Compete ao respons vel pela seguran a o aconselhamento na fase de selec o para que posteriormente a tarefa de protec o das solu es de armazenamento seja conseguida com o menor esfor o poss vel Um aspecto intimamente ligado com os dois temas que acab mos de abordar redund ncia e armazenamento o da
39. EMPRESARIAL 131 Como nota final importa referir que os elementos da seguran a l gica aqui introduzidos tiveram apenas como objectivo proporcionar uma vis o panor mica das possibilidades actualmente existentes A evolu o tecnol gica como j foi repetidamente referido um pro cesso extremamente veloz que se por um lado conduz r pida matura o dos produtos por outro pode levar sua obsolesc ncia Deste modo a introdu o de novas tecnologias na Empresa reveste se de caracter sticas particulares que ser o abordadas mais adiante neste livro ver Implementa o no cap tulo Gest o do Programa de Seguran a n o podendo o respons vel pela seguran a dos SI deixar de ponderar cuidadosamente todas as decis es nesta mat ria Cap tulo IV Seguran a Face ao Desastre A rea de seguran a face ao desastre actualmente um tema quente sobre o qual incide regularmente a aten o dos meios de comunica o desde os tr gicos atentados s torres g meas nova iorquinas a 11 de Setembro de 2001 e com renovado vigor a cada desastre natural ou induzido pelo Homem A protec o face ao desastre requer antecipa o uma vez que quando o desastre bate porta regra geral j demasiado tarde para impedir que a situa o potencialmente calamitosa degenere encontrando se o grau de controlo que detemos sobre o evento directamente relacionado com os meios funcionais materiais hu manos e log stico
40. N A n o apurado Fig Il 6 Tempos Alvo de Recupera o Exemplo Exemplo atendendo s depend ncias existentes entre a fun o os processos e as actividades do exemplo da Fig Il 6 o TAR a implementar para a actividade Emiss o dever ser ajustado de modo a garantir a recupera o da fun o de neg cio em tempo til Ap s considera o das interdepend ncias existentes ser o definidos os seguintes objectivos 1 Actividades com requisito de recupera o inferior a um dia Expedi o 2 Actividades com requisito de recupera o entre um dia e uma semana Emiss o GEST O DO Risco 49 Cobran a 3 Actividades com requisito de recupera o entre uma e duas semanas Nenhuma As restantes actividades do exemplo n o s o conside radas cr ticas uma vez que os seus TAR se encontram para al m do limite definido de 15 dias A an lise de impacto permitiria neste caso ordenar as actividades cr ticas dando prioridade escolha das medidas de controlo a adoptar Estrat gia de Controlo Uma vez conhecida a situa o da Empresa em termos de riscos chegado o momento de definir as medidas que dever o ser postas em pr tica para aumentar a sua seguran a O passo seguinte an lise de risco a identifica o e selec o dos controlos ou seja dos processos ou dispositivos que permitam reduzir o efeito da amea a ou os danos decorrentes da sua concretiza o A gest
41. Os res duos s o o que o pr prio nome indica restos lixo coisas que deixaram de possuir interesse e que como tal s o eliminadas A sua elimina o por m n o frequentemente a mais indicada e acaba por criar potenciais compromissos seguran a da Empresa REAS DA SEGURAN A EMPRESARIAL 69 Tal como todos temos cuidado ao destruir a carta do nosso banco com o c digo de um cart o de d bito tamb m deveremos dedicar igual aten o ao modo como a informa o sens vel eliminada Uma disciplina muito popular entre os hackers conhecida por dumpster diving consiste muito resumidamente em vasculhar os contentores de lixo de uma empresa em busca de informa o E os resultados s o muitas vezes preciosos desde listas de utilizadores com dados pessoais listagens de n meros de telefone directos organigramas funcionais impress es de configura es de equipa mento de tudo se encontra num caixote de lixo E muito desse lixo poder constituir uma valiosa fonte de informa o para um ataque futuro quer inform tico quer f sico atrav s de engenharia social por exemplo Rasto O rasto resumidamente o registo de qualquer actividade monito rizada nas instala es de uma organiza o Este registo pode ser composto pelos mais diversos elementos quer sejam grava es v deo udio registos biom tricos de cart es de acesso de banda magn tica ou smart cards etc o rasto que p
42. a Seguran a Empresarial devem ser balizados por legisla o ou normas aplic veis Existe um corpo legislativo nacional que cont m cl usulas condicio nantes para a implementa o das medidas de protec o referidas ao longo desta obra Atendendo ao facto de alguma dessa legisla o ser abordada no cap tulo Padr es e Legisla o deste livro n o nos iremos alongar a esse respeito nesta sec o Por m importante alertar para o facto de para al m da legisla o existi rem diversas outras condicionantes que t m de ser tomadas em conta pelo respons vel pela seguran a nomeadamente todos os requisitos de grupo ou de sector Dependendo do ramo de activi dade de cada organiza o poder o existir normas espec ficas apli c veis a todas as empresas do mesmo ramo que poder o ter de ser respeitadas Tomemos como exemplo uma empresa do sector de presta o de cuidados de sa de Para al m do dever de registar todas as bases de dados que conte nham dados pessoais junto da Comiss o Nacional de Protec o de Dados a Empresa encontra se obrigada a satisfazer uma s rie de requisitos nomeadamente no que diz respeito ao acesso aos da dos e protec o dos mesmos Este apenas um breve exemplo de uma variedade de possibilida des que n o podem ser esquecidas pelo respons vel pela segu ran a da Empresa sob pena de repres lias legais que poder o ter efeitos devastadores sobre a organiza o Testes e
43. a forma mais simples e eficiente de adicionar capacidade de armazenamento a uma rede com posta por sistemas de hardware dedicados com capacidade nativa de armazenamento e de liga o rede inform tica da empresa A sua capacidade difere existindo actualmente fabricantes que afir mam estar perto de conseguir passar a marca do Petabyte em equipamento NAS Para al m de uma instala o simples a NAS oferece facilidade de gest o abrang ncia de clientes heterog neos capacidade de crescimento e alguma seguran a Por m longe de serem o Santo Graal do armazenamento as NAS levantam algu mas quest es que dever o ser ponderadas tais como a inexist n cia de capacidade nativa para a salvaguarda backup de dados o que poder implicar um acr scimo de tr fego na rede e por outro lado a aus ncia de mecanismos pr prios que protejam os dados da NAS em tr nsito durante as c pias de seguran a A Storage Area Network SAN uma rede dedicada ao armazena mento de dados tendo como principal vantagem a remo o de parte do tr fego que normalmente passaria pela LAN concen trando o numa infra estrutura dedicada de elevado desempenho podendo ser partilhada pelas mais variadas plataformas e sistemas operativos Uma SAN composta por hardware com capacidade de armazenamento e de crescimento ligado por interm dio de fibra fibre channels rede da organiza o 104 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO AT
44. a integridade de um enorme volume de dados e poder acarretar preju zos significativos Como tal dever o existir sistemas de valida o da informa o existente Dependendo do grau de import ncia da informa o estes poder o ser autom ticos como sejam regras autom ticas de vali da o de introdu o ou poder ser necess rio implementar pro cessos manuais de valida o Poder o por exemplo ser institu dos REAS DA SEGURAN A EMPRESARIAL 61 procedimentos de revis o por amostragem da integridade dos dados existentes A integridade igualmente vital para a recupera o de informa o perdida uma vez que o valor das c pias que n o apresentam garantias de integridade praticamente nulo A classifica o da informa o em termos de integridade visa ade quar o custo das medidas de protec o ao impacto das perdas esperadas ou poss veis Disponibilidade O acesso atempado informa o vital e dele depende a prosse cu o dos objectivos da Empresa Possuir a informa o necess ria mas n o a ter dispon vel no momento adequado equivale a n o possuir qualquer informa o As medidas de protec o dos dados dever o contemplar aspectos que facultem o acesso aos mesmos Por m para al m disso deve r o ser capazes de fazer a distin o entre acessos autorizados e acessos n o autorizados Acima de tudo importante conseguir equilibrar a necessidade de acesso informa o com a n
45. acesso f sico ou de outras tecnologias de detec o A estes dados dever ser anexada a informa o dos sistemas existentes tal como a an lise dos dados recolhidos pelos sistemas antiv rus Uma forma de justificar o investimento em seguran a atrav s da recolha de informa o relativa concretiza o de ataques Ap s a recolha de informa o sobre amea as concretizadas registadas na nossa empresa de extrema import ncia dedicar tempo prepara o de relat rios informativos contendo informa o sobre as intru s es e acidentes registados desde os v rus s assinaturas de ata que qual poderemos adicionar dados relativos observa o de incidentes de seguran a relatados pela concorr ncia Tamb m estes relat rios informativos devem ser redigidos na ptica do nesta rea e que em conjunto com o FBI conduz anualmente um inqu rito sobre seguran a inform tica a milhares de empresas nos EUA CRIA O DO PLANO DE SEGURAN A 189 neg cio utilizando uma linguagem adequada transmiss o aos destinat rios nas reas de neg cio da informa o cr tica neles contida Estes elementos dever o servir de suporte s propostas apresentadas Administra o uma vez integradas na an lise de risco subjacente s actividades do Plano Global de Seguran a A informa o facultada Administra o dever ser veiculada na linguagem do neg cio sendo sintetizada a partir dos dados de detec o da
46. adoptados para estruturas extremamente cr ticas e sem qualquer toler ncia de downtime implica um investi mento inicial avultado e custos de manuten o que podem ser igualmente elevados Por este motivo as solu es mais comuns passam pela cria o de clusters de m quinas e pela implementa o de solu es de RAID Redundant Array of Inexpensive Disks com paridade em que a informa o partilhada por v rios discos sendo que a indisponibili dade de um deles n o implica a indisponibilidade dos dados nele contidos Em qualquer dos casos a solu o a adoptar dever ter em conta o valor da informa o a proteger No caso de conte dos est ticos pouco actualizados e de valor referencial bastar talvez a cria o e manuten o de c pias de seguran a No caso de bases de dados din micas com actualiza es e consultas muito frequen tes talvez se justifique equacionar a cria o de um cluster ou de um sistema de armazenamento centralizado com duplica o 102 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Ao n vel da infra estrutura de suporte aos dados existe a possibili dade de criar solu es redundantes a praticamente todos os n veis Para al m dos clusters de m quinas j referidos os pr prios equi pamentos activos da rede de dados router switch hub etc podem ser duplicados criando estruturas redundantes como se ilustra no exemplo da Fig IIl 2 a e H E S Sis
47. apenas activado aquando da indisponibilidade desse mesmo software no site afectado pelo desastre Para al m disso a nica altura em que as c pias do software ser o utilizadas em simult neo no decurso de testes o que poder ser igualmente aceit vel SEGURAN A FACE AO DESASTRE 151 Idealmente a transfer ncia da utiliza o dos meios da Empresa para os do fornecedor em caso de desastre dever ocorrer com o m nimo de impacto e de esfor o Se poss vel as comunica es dever o ser redireccionadas de forma autom tica e transparente tanto para o cliente como para as unidades n o afectadas da Empresa O grau de presen a deste tipo de automatismos nos diversos planos embora se deseje venha a ser elevado pode ser outra forma de equilibrar eficientemente os custos na protec o contra desastres Exemplo caso os equipamentos que ligam as redes locais de dados LAN das ag ncias remotas rede da Empresa WAN n o suportem uma linha de comunica es alternativa para o centro de recupera o existem diversas estrat gias poss veis para ultrapassar esta limita o com graus de automatismo e transpar ncia distintos tais como o upgrade ou a substitui o dos equipamentos ou com um menor custo a introdu o de equipamentos novos de menor capacidade e liga dos exclusivamente ao centro de recupera o que em caso de desastre substituir o a actividade dos equi pamentos existentes Plano de Conting ncia O
48. atingir a equipa ir constituir o ve culo privilegiado de transmiss o de informa o sobre a mudan a n o se podendo esquecer que ser esta informa o veiculada durante o programa que muitas vezes cria uma predispo si o positiva ou negativa para a mudan a Gest o da Mudan a Para que a mudan a associada implementa o do programa se materialize facilmente h que garantir que a necessidade de mudan a sentida na organiza o A verifica o da incorrec o ou da insustentabilidade da situa o actual meio caminho andado para conquistar adeptos da mudan a Caso esta n o seja sentida por todos as modifica es ser o mais dif ceis sendo frequente nesta situa o ouvir frases como para qu mudar este sistema funciona t o bem Sempre que seja este o caso o chefe do programa dever apoiar se por exemplo em ac es de sensibiliza o onde sejam divulga das as diversas vulnerabilidades existentes como forma de demonstrar essa necessidade Para al m dela h que assegurar que a vis o partilhada isto que todos sabemos onde queremos chegar e preferencialmente que todos sabemos o que ir ser feito para l chegar Possuir uma vis o e estrat gias comuns um dos factores cr ticos da mudan a o que dever ser garantido pelo chefe 232 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO de programa tendo especial aten o para com as reas da Empresa que ser o af
49. caminho a seguir Criptografia Para al m de todas as medidas cl ssicas de seguran a l gica que possam ser utilizadas para a protec o dos dados existentes em suportes digitais tais como palavras passe gest o de privil gios etc existe um mecanismo j antigo mas de visibilidade relativa mente reduzida que permite garantir a confidencialidade dos dados armazenados Esse mecanismo a cifra tamb m designada cripto grafia uma adop o literal do termo anglo sax nico cryptography Na sua ess ncia a cifra o processo atrav s do qual se protege encripta um conjunto de dados de modo a que este apenas possa ser desprotegido desencriptado por algu m que conhe a um de terminado segredo Utilizando um algoritmo de cifra e adicionando Ihe uma chave palavra ou frase secretas gera se uma opera o matem tica de substitui o dos dados a proteger por outros ele mentos O algoritmo tanto mais poderoso e eficiente quanto melhor for a utiliza o que faz dessa chave e quanto mais resistente for cripto an lise processo que tenta descobrir o conte do cifrado pelo algo ritmo sem necessitar de qualquer chave 86 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Actualmente existem v rios algoritmos e v rios modos de utiliza o dos mesmos Relativamente aos algoritmos queremos apenas chamar a aten o para a import ncia destes n o serem secretos Existe no mercado
50. clientes desig nado declara o que dever ser assente em t cnicas de rela es p blicas Nestas situa es para evitar especula o por parte dos m dia a Empresa dever assegurar a exist ncia de um porta voz que deve estar por dentro da situa o responder a todas as perguntas n o mentir confirmando o que do conhecimento p blico bem como comunicando dados novos estar suficientemente informado para saber responder a perguntas dif ceis e ser capaz de gerir a situa o N vel funcional Equipa Comando Diamante Equipa Controlo Platina a Equipa Equipa Equipa T p aid TI Log stica a Notifica o Na E e EUDES Cro sa E anra AN A Equipa Equipa Equipa Reac o Conting ncia Conting ncia Conting ncia n 4 n 2 n X Fig IV 6 Diagrama de articula o das equipas SEGURAN A FACE AO DESASTRE 159 Consoante a dimens o e actividade da Empresa poder ser neces s rio contemplar tamb m no plano de comunica o a cria o de um centro de articula o com os familiares que poder para al m de facultar a informa o mais actualizada aos familiares dos colabora dores prestar apoio psicol gico Implementa o do Plano Chegados fase de implementa o do plano de continuidade do neg cio ir proceder se integra o dos meios necess rios ao funcionamento dos procedimentos na Empresa e realizar o con
51. como os objectivos a satisfazer Dever o ser igualmente identificados os benef cios esperados com a realiza o do programa de modo a permitir a sua venda administra o Planeamento Nesta fase efectuado o planeamento de todas as tarefas do programa sendo definida a equipa respons vel pela res pectiva implementa o e a quem ser apresentado o programa nas suas diversas vertentes objectivos tarefas e pap is a desempe nhar tamb m nesta fase que se planeiam os testes a forma o dos utilizadores e os diversos momentos de informa o a toda a Empresa Execu o Durante a fase de execu o s o desenvolvidas as tarefas definidas no planeamento sendo efectuado o seu controlo e sempre que necess rio implementadas medidas correctivas tamb m nesta fase que se efectuam os testes e a forma o dos utilizadores finais Avalia o e Controlo No final do programa ou de cada projecto que o comp e s o efectuadas a avalia o detalhada da equipa e a 214 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO avalia o do programa pela equipa Ap s a realiza o destas apre cia es dever ser elaborado o relat rio final que para al m da an lise dos desvios de custos objectivos e prazos dever apre sentar as best practices desenvolvidas e as propostas de melho rias necessidades identificadas que poder o dar origem a novos programas ou projectos Recolha de Informa
52. complexas No caso da seguran a f sica a resposta a ataques encontra se perfeitamente definida no caso de um assalto todos conhecemos bem os procedimentos a seguir em resposta a esse acontecimento Existem estruturas sociais em funcionamento h muitos anos apoiadas em legisla o que evolui com alguma regularidade que est o especificamente vocacionadas para dar resposta a quest es relacionadas com ataques independentemente da sua natureza ou escala no mundo f sico No mundo l gico esta uma rea ainda cinzenta S o tr s horas da madrugada de um qualquer S bado O sistema de detec o de intrus es nos sistemas inform ticos da Empresa acciona o pager do respons vel pela seguran a Olhando para o c digo enviado pelo sistema rapidamente se constata que a firewall foi comprometida e que nesse preciso momento algu m est a REAS DA SEGURAN A EMPRESARIAL 115 gozar de livre acesso a servidores empresariais Que fazer Como actuar N o basta criar as infra estruturas t cnicas ou humanas de defesa da informa o preciso definir procedimentos claros para reagir a acontecimentos como o descrito O guarda na recep o do edif cio sabe ou espera se que saiba o que fazer se algu m tentar entrar sem autoriza o ou se algum sensor de movimentos detectar uma presen a nas instala es quando n o suposto estar l ningu m Mas os administradores de rede sabem o que fazer se detectarem actividade n
53. complexo e implica a interac o de v rios elementos internos ou externos organiza o Para al m disso obriga igualmente cria o de um ambiente espec fico de desenvolvimento que n o dever nunca ter contacto com o ambiente de produ o existente ou seja toda a infra estrutura de apoio ao desenvolvimento de software dever encontrar se separada da infra estrutura de apoio s opera es da Empresa sob pena de interfer ncias que podem ser danosas Para al m desta particularidade e como vimos deve se prestar particular aten o a todas as fases do desenvolvimento procurando n o s garantir que o produto satisfaz os requisitos que levaram sua cria o mas tamb m que os aspectos relacionados com a seguran a embebida no pr prio software ou relacionada com o seu compor tamento est o de acordo com as especifica es da organiza o Dependendo da complexidade do software em desenvolvimento e tamb m do facto deste ser desenvolvido pela pr pria Empresa ou por terceiros poder inclusivamente surgir a necessidade da nomea o de algu m n o relacionado com o processo de desen volvimento que fa a a auditoria do c digo Este elemento poder pertencer organiza o ou caso n o exista essa capacidade poder ser um elemento externo contratado especificamente para essa fun o 124 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Conformidade Todos os aspectos relacionados com
54. de Conting ncia TerminoLocia 251 Fun o estrat gica do neg cio supor tada por processos e actividades o primeiro n vel da Cadeia de Valor de Porter Exemplos de fun o marketing distribui o etc Respons vel pela defini o manuten o divulga o e teste do Plano de Continuidade do Neg cio Resultado da concretiza o de uma amea a que explore com sucesso uma vulnerabilidade existente Caracter stica conferida por um conjunto de medidas que possibilitam a an lise dos eventos ocorridos Caracter stica da informa o que n o sofreu quebra de confidencialidade ou modifica o Ver Activa o Momentos chave Necessidade de fundo de maneio necessidade de fluxos de caixa por um determinado per odo Business Continuity Plan ver Plano de Continuidade do Neg cio Documento detalhando as actividades de conten o de desastre a realizar durante a fase de conting ncia 252 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Plano de Continuidade do Neg cio Plano de Recupera o de Desastre Prazo alvo para a recu pera o PRD Preven o Probabilidade Processo do neg cio Documento detalhando todos os pro cedimentos a implementar e os recursos humanos t cnicos e materiais necess rios sua concretiza o em caso de desastre por forma a permitir ao neg cio a continua o da sua actividade degrada o graciosa Este documen
55. de gest o de crise tem tipicamente equipas a tr s n veis ver Fig IV 6 que correspondem s capacidades de comando decis o controlo coordena o e opera o execu o O plano de gest o de crise implementa e articula estas equipas atrav s de procedimentos que descrevem o seu processo de acti va o de forma o os pap is dos seus membros e o seu funcio namento estipulando a base das opera es a sua constitui o os meios ao seu dispor quadro marcadores folhas de papel fotoco piadora televis o telefones r dios computadores port teis etc e as suas atribui es incluindo a delega o de autoridade e os registos a fazer durante a crise por exemplo para posterior activa o de seguros tamb m na defini o deste plano que se dever prever o modo de autoriza o das despesas necess rias durante os per odos de conting ncia e recupera o do desastre O plano de comunica es deve contemplar os fluxos de transmis s o de informa o cr tica sobre o desastre incluindo os procedi mentos de escalada activa o das equipas de gest o de crise e 158 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO de declara o comunica o com os parceiros bem como rvores de contacto cada elemento alerta um determinado n mero de cola boradores e assim por diante Para al m destes procedimentos este plano deve contemplar o processo de comunica o com o p blico m dia
56. de instala o Cold site Local onde apenas est dispon vel a infra estrutura Warm site Local onde para al m da infra estrutura s o disponibilizados os sistemas que n o se encontram preparados para entrar em funcionamento sendo necess rio proceder primeiro instala o e configu ra o do software sistemas operativos e aplica es e depois recupera o dos dados Hot site Local onde para al m da infra estrutura s o disponibilizados os sistemas que se encontram pre parados para entrar em funcionamento bastando para tal proceder sua activa o e ou recupera o dos dados mais recentes o que poder ocorrer de forma praticamente instant nea no caso da utiliza o de algumas das tecnologias de armazenamento ou de c pia de seguran a dispon veis A redu o de custos pode ser conseguida atrav s do sub dimensio namento dos sistemas contratados nas instala es de recupera o a troco da assun o de degrada o do desempenho em caso de desastre designando se o modo de funcionamento resultante como modo degradado Por outras palavras a Empresa assume que em caso de desastre o seu desempenho ser inferior ao normal mas nunca inferior ao necess rio para o cabal cumprimento dos seus objectivos Adicionalmente dever ter se em conta o clausulado preciso das licen as do software empregue aproveitando caso poss vel o facto do software utilizado nas instala es de recupera o ser
57. de servi o e de autentica o e privacidade Assim o IPv6 inclui a defini o de extens es que suportam as necessidades de autentica o integridade e confidencialidade das comunica es ao REAS DA SEGURAN A EMPRESARIAL 89 n vel do protocolo i e no n vel que suporta as aplica es podendo ser utilizados v rios algoritmos o algoritmo proposto o DES Data Encryption Standard medida que este protocolo se torne mais comum atrav s da sua adop o por parte dos utilizadores ficar dispon vel mais um mecanismo de protec o de dados Infra Estrutura de Chaves P blicas Na criptografia assim trica apenas necess ria a chave p blica do destinat rio para cifrar dados destinados exclusivamente a esse destinat rio No entanto partida n o h quaisquer garantias de que a chave conhecida de facto a do destinat rio pretendido Um tipo de ataques assente nesta vulnerabilidade envolve um ter ceiro elemento capaz de interceptar as comunica es entre duas partes designado de ataque de homem no meio man in the middle attack Supondo que X quer enviar a Y informa o confi dencial utilizando criptografia assim trica ir solicitar a Y o envio da sua chave p blica para cifrar os dados Se esse pedido for inter ceptado por Z este poder enviar a X uma falsa chave p blica ale gadamente pertencente a Y X ir ent o utilizar essa chave para cifrar a informa o e envi l
58. de utiliza o simples podem ser complexas de instalar e configurar O apoio t cnico revela a sua import ncia na capacidade de aux lio na resolu o dos problemas mais simples Para al m das solu es antivirais baseadas em assinaturas come am a surgir outras mais actuais baseadas em comportamentos Uma solu o antiv rus baseada no comportamento n o procura caracter sticas bin rias identificativas de c digo malicioso mas antes analisa o modo como o software interage com o sistema Se um qualquer programa tentar aceder lista de endere os de correio electr nico por exemplo esse poder ser um sinal de infec o viral A l gica de funcionamento destas solu es inspira se na detec o de intrus es e promete um n vel superior de efic cia na detec o e conten o de infec es Por m esta tecnologia encontra se numa fase ainda incipiente pelo que a sua adop o dever ser gradual e progressiva Em resumo independentemente da tecnologia utilizada n o se deve descurar a actualiza o e acompanhamento constante deste tipo de solu es especialmente nos sistemas inform ticos com liga es a outras redes de comunica es e muito particularmente nos servidores de correio electr nico A detec o de v rus em suma uma necessidade imperiosa de qualquer organiza o 100 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Filtragem de Conte dos Um outro aspecto da seguran a l
59. definidos os alvos para a seguran a nas diversas reas Em seguida o Programa de Seguran a dever lidar com a compo nente humana desta problem tica e com a implementa o das fer ramentas tipicamente tecnol gicas ap s o que dever promover a visibilidade tanto das vulnerabilidades presentes nos sistemas de informa o como dos incidentes registados Por fim a Empresa dever encetar um esfor o de valida o para determinar o grau de conformidade da realidade com os alvos definidos para a sua segu ran a An lise Custo Benef cio Na grande maioria das situa es o retorno sobre o investimento ou Return on Investment ROI directo da seguran a dif cil de deter minar Basta pensar no bug do ano 2000 para perceber que os gastos em seguran a pretendem evitar as despesas decorrentes da 54 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO inac o pelo que a introdu o de controlos mais facilmente anali sada em termos de custo benef cio considerando como benef cio o dano evitado do que em termos de ROI A an lise de custo benef cio de um controlo realizada atrav s da compara o directa do investimento necess rio implementa o e do custo da sua manuten o com o valor do impacto da concreti za o expect vel da amea a associada ao controlo Quando a recomenda o de controlos passa pelo c lculo da ALE Annual Loss Exposure apresentado anteriormente a forma ma
60. determinada a chave todos os dados posteriores ser o cifrados e transmitidos atrav s da infra estrutura p blica sem que possam mesmo que capturados ser entendidos por quaisquer in termedi rios Esta solu o oferece vantagens econ micas bvias relativamente s linhas dedicadas directas uma vez que utiliza a infra estrutura p blica para transac es privadas Apesar de ainda existirem algu mas quest es relativamente aos standards aplic veis nomeada mente ao protocolo IPSec esta tecnologia pela sua conveni ncia foi largamente adoptada pela comunidade suportando actualmente comunica es em todas as reas de actividade A implementa o desta solu o implica a exist ncia em todos os sistemas que devam comunicar entre si de tecnologia VPN ou seja software e ou hardware que permita autenticar os interlocuto res e cifrar as transac es Outro dos requisitos das VPN o de que esta deve ser perfeitamente definida significando que apenas o administrador da rede segura tem a capacidade de adicionar ou remover participantes Estes requisitos significam um esfor o de configura o que pode ser bastante avultado dependendo do n mero de interlocutores Para al m desta configura o inicial a defini o e aplica o de pol ticas de seguran a quem pode aceder 96 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO a qu como e quando um factor a ter em conta A simples adi o de um novo n
61. dos resultados dos testes bem como o m todo de introdu o das altera es identificadas nos testes nos procedimentos O planeamento define o que ir ser testado por quem quando com que finalidade e onde Se poss vel dever incluir ainda um plano de conting ncia para o teste prevendo por exemplo a indisponibili dade de um participante por doen a A coordena o dever garantir a correcta articula o das pessoas envolvidas a gest o dos custos a medi o dos tempos por exem plo de recupera o e o registo dos incidentes ocorridos no teste bem como das altera es aos procedimentos cuja necessidade se constate durante o teste O processo de documenta o ir permitir o registo dos tempos observados bem como das altera es necess rias aos procedi mentos e as contribui es dos diversos participantes fornecedor utilizadores etc A avalia o dever sempre que poss vel quantificar os resultados obtidos face aos Tempos Alvo de Recupera o identificados na an lise de impacto no neg cio A comunica o dos resultados Administra o dever descrever as reas a melhorar e fornecer uma medida da capacidade de prontid o bem como sugest es para a sua melhoria sempre que necess rio Por fim o plano dever detalhar uma metodologia para a introdu o no plano de continuidade do neg cio das altera es identifica das nos testes e para a valida o dessas mesmas altera es
62. dos utilizadores a sua tend ncia para facilitarem os processos que executam se existirem duas maneiras de fazer a mesma coisa por exemplo memorizar uma palavra passe complexa ou escrev la num papel que se cola por baixo do teclado um utilizador que n o esteja especialmente sensibilizado para esse efeito ir invariavelmente adoptar o com portamento mais c modo e deixar a palavra passe acess vel der rotando inconscientemente a seguran a em prol do menor esfor o TEORIA DA SEGURAN A 29 pois necess rio numa aplica o directa da Lei de Murphy defi nir as medidas de preven o partindo do princ pio que se os siste mas de informa o tiverem uma vulnerabilidade esta acabar por ser explorada pelo utilizador A principal forma de ajudar os utilizadores a adoptar a seguran a a sua sensibiliza o tanto por campanhas de divulga o como atrav s de sess es de esclarecimento e forma o mostrando lhes as raz es do que lhes solicitado e a forma segura de realizar as suas actividades quotidianas como por exemplo atrav s da aplica o da pol tica de secret ria limpa e da destrui o sistem tica em equipamento adequado dos documentos sens veis em vez de os deitar simplesmente no lixo Em mat ria de sensibiliza o dos utili zadores dever observar se sempre o princ pio Keep It Short and Simple ou KISS que nos diz que devemos simplificar a linguagem utilizada particularmente
63. e a ajuda na defini o dos recursos mais indicados Dever tam b m apresentar claramente qual a afecta o necess ria e quais os momentos cr ticos de modo a evitar a necessidade de reafecta es posteriores S com a clara identifica o das necessidades de recursos com o acordo expl cito das suas hierarquias e com a correcta motiva o para a participa o no programa que se dispor de uma base s lida para o arranque Assim s a correcta defini o da equipa e a afecta o adequada e cautelosa dos diversos elementos humanos permitir garantir o sucesso do programa uma vez que ser o aqueles o motor da sua concretiza o Matriz de Responsabilidades A matriz de responsabilidades uma pe a fundamental na defini o dos pap is dos v rios intervenientes no programa permitindo esti pular os diversos passos actividades e os respons veis pela deci s o consulta implementa o etc ver Fig VII 8 GEST O DO PROGRAMA DE SEGURAN A 223 A clara defini o dos diversos pap is permite informar todos os par ticipantes no programa das suas responsabilidades da sua forma de articula o e acima de tudo identificar os elementos a quem se dever recorrer em caso de necessidade Esta matriz uma ferramenta til na gest o quotidiana do pro grama bem como de outras tarefas que envolvam v rios recursos Ao definir os diversos passos de um processo associando as tare fas aos respons veis a pes
64. e amea as 36 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO num universo empresarial em constante muta o uma an lise com demasiado detalhe ficar rapidamente desactualizada Amea as As amea as Empresa podem ser identificadas tanto atrav s da produ o de cen rios como pela cria o de listas de tipifica o A listagem das amea as por tipo facilita a obten o de informa o estat stica sobre a sua frequ ncia de ocorr ncia no passado infor ma o essa que importante para o passo posterior de an lise dos riscos colocados por estas amea as A forma cl ssica de tipifica o dos riscos consiste na defini o de categorias e subcategorias de classifica o criando se uma rvore em que os ramos correspondem aos tipos de amea a e as folhas s amea as em si Nesta forma de classifica o algumas das categorias principais mais comuns s o as apresentadas na Fig Il 1 Uma vez completa a rvore de amea as da Empresa poder che gar a ter mais de um milhar de ramos folhas embora a sua dimen s o e composi o dependa naturalmente de muitos factores tais como a rea de actividade servi os ind stria etc dispers o geo gr fica dimens o tipo de actividade etc Para a correcta compreens o deste cap tulo recomendada a consulta dos conceitos RISCO AMEA A VULNERABILIDADE e IMPACTO na lista de terminologia apresentada no final do livro Gest o po R
65. em termos de protec o e integridade da informa o e em segundo proporciona a concreti za o desses requisitos atrav s da sua aplica o consubstanciada em procedimentos e ferramentas adequados O seu conte do dever abordar os prazos de manuten o dos dife rentes tipos de dados o que implicar naturalmente a exist ncia de procedimentos de classifica o da informa o bem como des crever os procedimentos para o arquivo e destrui o Ao falar de dados n o nos referimos apenas a ficheiros electr nicos incluindo correio electr nico mas tamb m a toda a informa o em suporte f sico lembremo nos que um plano de continuidade do neg cio adequado dever identificar os relacionamentos e interdepend n cias entre as informa es nos mais variados suportes sem esque cer o conhecimento humano que as permite processar Por outro lado essencial contemplar medidas que previnam a obsolesc n cia dos suportes mec nicos de leitura de dados quanto tempo mais iremos encontrar drives ZIP no mercado REAS DA SEGURAN A EMPRESARIAL 63 Uma pol tica de dados permitir ainda reduzir a duplica o de dados rentabilizar os investimentos em suportes de armazena mento e realizar poupan as efectivas em termos de custos de ges t o O seu ciclo de vida pode de uma forma resumida ser apre sentado nos seguintes pontos Cria o de uma equipa esta dever conter n o s mem bros do departamento de TI
66. gica que se pode relacionar com a detec o de v rus o da filtragem de conte dos De facto a fil tragem de conte dos est para o corpo das mensagens de correio electr nico ou para os conte dos web como o antiv rus est para os anexos do e mail Efectivamente muitas das solu es de antiv rus existentes utilizam inclusivamente uma qualquer esp cie de filtra gem bloqueando o acesso a conte dos potencialmente nocivos Mas este tipo de protec o n o se esgota no evitar de infec es virais Para al m disso estas solu es podem evitar outro tipo de quebras de seguran a Se por exemplo for utilizado um mecanismo de fil tragem de conte dos no servidor de correio electr nico da organi za o este poder detectar tentativas volunt rias ou n o de transmiss o de informa o confidencial No caso da Empresa optar por uma solu o deste tipo dever certificar se de que os seus colaboradores t m conhecimento da sua exist ncia pois estar a negar lhes o direito privacidade Existe igualmente a possibilidade de bloquear o acesso a determi nados s tios na Internet com base em listas de endere os URL definidas pelo fornecedor da solu o de filtragem e aperfei oadas pela Empresa ou com base em palavras chave relacionadas com quaisquer tem ticas que se pretendam bloquear Estas solu es podem eliminar uma parte consider vel das visitas a conte dos pornogr ficos a reposit rios de software p
67. id nticos para informa o com os mesmos requisitos de segu 60 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO ran a permitindo a sua concentra o o que ir maximizar o efeito dos esfor os de protec o Nos casos em que n o seja poss vel agrupar a informa o com as mesmas necessidades de seguran a a classifica o permite definir padr es de protec o claros e ine qu vocos para as v rias categorias de classifica o Exemplo toda a informa o classificada de vital dever ser objecto de controlo de acessos autorizado superior mente pela Administra o Confidencialidade A vantagem competitiva das empresas assenta muitas vezes na informa o que det m e na capacidade de controlar a sua divulga o os exemplos mais flagrantes poder o ser as empresas de investiga o e desenvolvimento ou as metodologias espec ficas de uma organiza o Dever o por isso existir mecanismos que garantam a confidencialidade da informa o mas que n o impe am o acesso atempado de pessoas autorizadas mesma Os requisitos de confidencialidade s o claramente influenciados sen o mesmo definidos pela classifica o aposta informa o Integridade A integridade um dos aspectos vitais a garantir relativamente aos dados armazenados processados e transmitidos pelos Sl Todo o valor da informa o reside na fiabilidade o erro de uma v r gula ou ponto decimal poder comprometer
68. impedir a insta la o de software pelos utilizadores Procedimentos Um procedimento um documento que descreve uma opera o de forma muito detalhada ou seja indicando todos os seus passos Este tipo de documentos poder sofrer altera es frequentes e tipicamente n o escrito unicamente por causa da seguran a pelo que dever ser feito um trabalho de sensibiliza o junto dos t cni cos da Empresa no sentido de que estes garantam a conformidade dos procedimentos por eles escritos com as Normas de Seguran a Componentes do Plano Global de Seguran a Tal como j referido este o documento principal da seguran a na Empresa descrevendo os objectivos do Programa de Seguran a a forma da sua implementa o e as raz es para a sua realiza o Os principais elementos constituintes do Plano Global de Seguran a s o os objectivos do Programa de Seguran a a situa o actual da seguran a na Empresa a estrat gia o plano de ac o CRIA O DO PLANO DE SEGURAN A 183 os benef cios decorrentes do plano de ac o a estrutura funcional descri o dos pap is dos diversos membros da equipa de seguran a o or amento e os recursos necess rios a terminologia t cnica utilizada Para facilitar a sua leitura por executivos de topo o Plano Global de Seguran a dever incluir no seu in cio um sum rio executivo con tendo um resumo sint tico do documento com os principais val
69. indica pouco mais do que as vendas e os cus tos de diversos elementos ver Fig VII 1 Quando se trata de um projecto de dimens es pequenas ou m dias esta metodologia a mais utilizada sendo apenas apresentados os custos a incorrer em diversas categorias consultoria hardware 208 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO consum veis horas extra etc Trata se de informa o b sica mas suficiente para efectuar uma an lise de alto n vel aos desvios detectados um or amento que pelas suas caracter sticas efectuado em pouco tempo e no caso de projectos de or amento reduzido e de pequena dimens o plenamente suficiente tendo em conta o custo benef cio de um or amento mais detalhado e o tempo adicional necess rio sua elabora o ARTIGO VALOR Consum veis 9 600 Hardware 33 600 Software 16 700 Recursos Humanos 121 500 TOTAL 181 400 Fig VII 1 Or amento Simples Exemplo Or amento Flex vel medida que se evolui para uma metodologia de or amento flex vel o or amento vai sendo mais detalhado permitindo efectuar posteriori an lises mais aprofundadas aos desvios encontrados Este documento inclui n o s as premissas e conclus es mas tam b m os elementos adicionais que espelham o racioc nio que as relaciona Ao elaborar este tipo de or amento ser necess rio ent o especificar as diversas rubricas
70. informa o sobre os ataques e da an lise de risco realizada a partir destes elementos A t tulo de exemplo poder se iam cruzar os dados sobre o n mero de v rus detectados e as caracter sticas desses v rus para determinar o impacto financeiro sobre a Empresa num determinado per odo Mediante esta informa o a Administra o estar habilitada a tomar decis es Independentemente da forma de comunica o empregue o sucesso da interac o entre o respons vel pela seguran a e a Administra o mede se pela taxa de aprova o das medidas apre sentadas a esta ltima ditando n o s os meios que estar o ao dispor da rea de seguran a bem como a for a de que se ir o revestir as suas iniciativas Obriga es Legais Os riscos legais podem justificar a adop o de medidas que de outra forma n o seriam facilmente justificadas Apesar da letra da Lei parecer primeira vista preto no branco uma breve conversa com um advogado rapidamente tornar claro que o mundo feito de cinzentos n o devendo assumir se que todas as leis s o para cumprir a qualquer custo Cabe ao respons vel pela seguran a o dever de veicular Admi nistra o as obriga es legais da Empresa ver Padr es e Legisla o que representem riscos e de incluir no plano de actividades do Plano Global de Seguran a as medidas para a redu o desses riscos baseadas numa an lise de custo benef cio 190 SEGURAN A DOS SISTEMAS DE INF
71. j no mercado solu es que respondem automaticamente a tentativas de ataque baseando se no endere o IP de origem do atacante Ora como vimos o atacante pode n o passar de mais um elo numa cadeia de v timas provocadas pelo verdadeiro malfeitor ao respon der indiscriminadamente contra o endere o IP registado como ori gem do ataque podemos estar sem o saber a provocar outra v tima De facto com a generaliza o deste tipo de sistemas ser f cil imaginar um novo tipo de ataque extremamente eficiente e com riscos muito reduzidos para o seu autor Por exemplo se algu m quiser comprometer ou danificar os sistemas da Empresa XYZ bastaria encenar algumas tentativas de ataque em nome dessa Empresa contra terceiros Estes utilizando software de resposta autom tica retaliariam contra a Empresa XYZ que seria assim alvo de v rios contra ataques sem sequer entender porqu por este motivo que a capacidade de an lise o senso comum e o arb trio humanos s o indispens veis na investiga o Todas as organiza es e indiv duos que possuam sistemas ligados entre si 120 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO nomeadamente na Internet dever o ent o estar vinculados pelo princ pio da inter ajuda fornecendo informa o a terceiros sobre ataques originados nas suas m quinas Este tipo de v nculo permi tir logo partida alcan ar dois resultados se contactarmos algu m relativamente a
72. maior vis o sobre a Empresa e visibilidade na mesma o que um forte catalisador positivo tanto para as ac es de sensibiliza o como para o bom andamento da valida o das pol ticas e normas de seguran a O principal inconveniente deste tipo de enquadramento o afasta mento da realidade da Empresa que poder ocorrer se o respons vel pela seguran a ou a sua equipa n o estiverem dotados das social skills necess rias O outro posicionamento frequentemente encontrado para a fun o de seguran a que consiste na inser o da seguran a no interior de uma rea t cnica visa reduzir o alheamento da realidade que se pode produzir com o enquadramento descrito anteriormente Infe lizmente na pr tica a proximidade de uns resulta frequentemente no distanciamento de todos os outros levando perda da vis o transversal da Empresa e consequente introdu o de medidas de seguran a desproporcionadas predominantemente oriundas da CRIA O DO PLANO DE SEGURAN A 195 rea onde a fun o se encontra enquadrada Um exemplo cl ssico a integra o da fun o de seguran a na rea de redes de onde quase sempre resultam medidas de seguran a fortemente tecnol gicas Na realidade a tecnologia n o a p lula dourada milagrosa apesar de frequentemente as medidas tecnol gicas implementadas assim o sugerirem Exemplo colocando a um t cnico a quest o do comprimento e complexidade da palavra passe m nima d
73. momento de desaten o do guarda que est ocupado a tentar deter o pri meiro intruso S o testes simples e que poder o surtir efeitos surpreendentes Independentemente do tipo de teste ou auditoria que se decida fazer e da altura em que este venha a ser realizado o importante conseguir enquadrar este investimento nos objectivos do Plano Global de Seguran a da Empresa Estas actividades devem ser realizadas com o objectivo de obter vantagens pragm ticas Para tal o respons vel dever calcular cuidadosamente a melhor altura para a realiza o destes exerc cios bem como o processamento e integra o posterior dos respectivos resultados Se existem testes como a detec o de vulnerabilidades que produzem efeitos quase imediatos como a elimina o das vulnerabilidades detectadas outros como os testes de engenharia social implicam esfor os de sensibiliza o pr vios ou posteriores junto da comunidade de colaboradores da Empresa Acima de tudo e independentemente da realiza o dos testes por elementos internos ou externos Empresa trata se de um investi mento de tempo e dinheiro por vezes significativo que dever gerar o maior retorno poss vel para o neg cio Conclus o Este cap tulo abordou diversos aspectos da seguran a indicando as suas principais caracter sticas ou pelo menos alguns dos con ceitos que importar o reter aquando da cria o do Programa de Seguran a REAS DA SEGURAN A
74. n o tem valor pelo que a defini o do Plano Global de Seguran a s termina com a sua aprova o Neste cap tulo iremos debru ar nos sobre este processo que medeia a defini o e a implementa o sendo esta ltima abordada mais adiante no cap tulo Gest o do Programa de Seguran a 186 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Os Pap is da Administra o e do Respons vel pela Seguran a A Administra o da empresa quem define a estrat gia do neg cio e que escolhe as iniciativas a realizar para a sua implementa o Desta forma a este corpo administrativo que compete decidir ao mais alto n vel as actividades que se ir o realizar na empresa sendo a fun o do respons vel pela seguran a dotar a Administra o da informa o necess ria para que esta possa optar A comunica o com o mais alto n vel decis rio depende do posicio namento hier rquico do respons vel pela seguran a da sua visibili dade no interior da organiza o e da postura da sua hierarquia directa Em algumas situa es ser este respons vel a dirigir se directamente Administra o da empresa e noutras poder estar na depend ncia de um superior hier rquico que assumir essa atri bui o Independentemente do posicionamento do respons vel pela seguran a o contacto com a Administra o ser necess rio para obter or amento e para garantir o apoio ao mais alto n vel em medi das de car cte
75. no neg cio Uma vez delineadas essas estrat gias dever o ser analisadas servido esta an lise de base para o processo de selec o levado a cabo pela Administra o Depois de aprovadas estas estrat gias dever o ser consolidadas numa estrat gia global sobre a qual ir o assentar todos os planos necess rios protec o da Empresa Estrat gias de Protec o A cria o de uma estrat gia de protec o inicia se com o levanta mento dos requisitos materiais funcionais infra estruturais e de SEGURAN A FACE AO DESASTRE 147 dados necess rios ao funcionamento das actividades cr ticas tec nol gicas ou n o O passo seguinte ser a identifica o de alternativas estrat gicas para a recupera o de cada fun o e processo As principais alter nativas existentes ao n vel da protec o contra desastre est o rela cionadas com as diversas op es dispon veis relacionadas com a degrada o do funcionamento aceite tecnologia e meios afectos protec o a entidade respons vel pelos servi os de recupera o interna comercial acordos entre empresas ou estrat gia mista otipo de instala es de recupera o hot warm cold site As escolhas realizadas nestes dom nios ir o ditar n o s os custos associados implementa o e manuten o do plano mas tamb m os tempos de resposta em caso de desastre ver Fig IV 2 Alta disponibilidade Custo Hot site Warm site Cold
76. no que diz respeito linguagem t cnica devido disparidade do n vel de conhecimentos existente no uni verso de utilizadores Inform ticos Os equipamentos software e outros recursos redes aplica es etc necessitam de gest o di ria recaindo essa atribui o sobre indiv duos cuja designa o varia consoante a tecnologia em causa por exemplo root administrador e o mbito dos seus poderes administrador de utilizadores de impressoras de armazenamento de antiv rus etc Independentemente da sua designa o estes utilizadores especiais s o regra geral conhecedores das implica es das suas ac es sobre os sistemas que gerem embora pos sam desconhecer em detalhe as vulnerabilidades particulares des ses sistemas 3 Tudo o que pode correr mal ir correr mal Manter tudo curto e simples 30 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Os colaboradores da empresa envolvidos de alguma forma na ges t o dos sistemas de informa o s o apelidados comummente de inform ticos Neste grupo existem desde os meros curiosos aos t cnicos e administradores Atendendo a que os conhecimentos dos curiosos pouco ultrapassam os dos utilizadores m dios vamos debru ar nos sobre os dois ltimos A principal distin o entre t cnico e administrador prende se com a centraliza o dos sistemas Os t cnicos s o os elementos respon s veis por actos de gest o d
77. o autorizada Desligam os servidores Tentam terminar a liga o do atacante E se isso acontecer a meio da noite E depois de resolvido o pro blema Esquecem no Investigam no Comunicam no s autorida des A que autoridades Todas estas quest es devem ser previstas e respondidas mesmo antes da ocorr ncia dos incidentes As caracter sticas actuais das redes de dados tornam estas decis es necess rias como resposta n o quest o se acontecer mas quando acontecer Qualquer organiza o que possua sistemas inform ticos ligados em rede est exposta a ataques quer sejam oriundos de script kiddies pessoas sem grandes conhecimentos t cnicos que se limitam a descarregar software de ataque da Internet e a utiliz lo aleatoria mente contra alvos indiscriminados quer sejam da autoria de ini migos determinados equipados e organizados decididos a provo car estragos avultados ou a roubar informa o confidencial O n mero de tentativas de infec o ou de tentativas de descoberta de vulnerabilidades de um sistema ligado Internet ascende diaria mente s v rias centenas ou mesmo milhares dependendo do perfil do sistema em causa Uma organiza o com bastante projec o na sociedade atrair naturalmente mais aten es do que uma pequena Empresa praticamente desconhecida Mas ningu m est isento desta realidade Como tal torna se necess rio prever o maior n mero poss vel de ocorr ncias bem como a respec
78. o da Mudan a Como Envolver o Neg cio na Seguran a Timing para Adop o de Tecnologias Controlo Avalia o Conclus o Terminologia Bibliografia 208 211 212 213 214 219 219 221 222 224 227 228 230 230 231 233 236 238 246 249 255 Introdu o O livro que tem em m os introduz uma vis o estrat gica que lhe ir permitir encarar de forma integrada a seguran a dos sistemas de informa o da sua Empresa considerando tanto o seu ponto de vista pessoal quer seja t cnico de gest o ou outro como as necessidades do neg cio e a especificidade de todas as reas t c nicas inevitavelmente envolvidas Com esta obra espera se transmitir a mensagem de que a segu ran a mais do que um simples produto ou tecnologia que se pode adquirir aplicar e esquecer mais do que um comprimido tecnol gico ou monet rio supressor de sintomas um processo cont nuo e abrangente com implica es em todas as reas empresariais desde a Administra o aos colaboradores que executam as opera es quotidianas mais elementares um processo em permanente evolu o muta o e transforma o que requer um esfor o cons tante para o seu sucesso e uma forte capacidade para provocar e gerir mudan as tanto nos h bitos institu dos como na infra estru tura de suporte da organiza o Como mat ria transversal que a seguran a deve envolver todos os n veis da Empresa e ser encarada como um facilitador do
79. o de solu es baseadas em SSL Secure Sockets Layer pode ser uma alternativa Contudo dever se o respeitar as recomenda es de seguran a dos produtores do software SSL uma vez que este se n o for devidamente configurado e actuali zado pode padecer de alguns problemas de seguran a Antiv rus Actualmente poucas s o as organiza es que n o utilizam de forma mais ou menos coordenada qualquer mecanismo antiv rus nos seus sistemas De facto com a actual prolifera o de c digo malicioso e de ferramentas destinadas a criar v rus quase suici dio criar uma liga o entre dois sistemas sem pensar em qualquer tipo de protec o contra estas amea as As aplica es existentes para a detec o de v rus baseiam se em assinaturas para cumprir a sua fun o Uma assinatura mais n o 98 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO do que um excerto do c digo bin rio nico de um v rus que permite a identifica o do v rus em quest o por um simples processo de compara o Estas solu es obrigam permanente actualiza o das bases de dados de assinaturas e com menos frequ ncia dos motores de detec o e de remo o bem como dissemina o dessas actuali za es por todos os sistemas a proteger A consequ ncia caso n o exista um cuidadoso planeamento pr vio pode ser um enorme esfor o de actualiza o dos produtos antiv rus existentes que ao ritmo de aparecime
80. o dentro do t pico agendado classifica o de uma amea a espec fica e da dura o predefinida manter a neutralidade e evitar animosidade ouvir mais e falar menos e garantir o registo de todas as contribui es Uma vez que o processo de classifica o ir fazer sobressair as diverg ncias de ponto de vista dos participantes quer devido a tra os particulares de personalidade ou aos seus contextos profissio Gest o DO Risco 45 nais distintos inform ticos administrativos juristas etc ser necess rio adoptar algumas regras para evitar perdas de tempo e at mesmo potenciais conflitos Desta forma o coordenador dever especificar um conjunto de regras para a realiza o das sess es de classifica o das amea as e dos impactos que poder o incluir todos participam n o h exclus es n o sair do t pico todas as ideias s o igualmente v lidas s se debate um tema de cada vez cada ponto discutido num tempo predefinido e por fim os participantes dever o ser sucintos justos e correctos Ap s a conclus o dos processos de classifica o o risco ser cal culado atrav s de uma rela o simples entre a probabilidade e o impacto apurados Exemplo a f rmula Risco Probabilidade Impacto representa uma rela o poss vel para o c lculo do risco que permite uma abordagem equilibrada entre a frequ ncia de concretiza o da amea a e o seu impacto An
81. o leitor olhe para al m da sua rea de conhecimento e reconhe a a necessidade de trabalhar conti nuamente a seguran a onde quer que ela seja precisa de uma forma uniforme Tamb m aqui se pretende que o leitor olhe para al m das medidas de seguran a que tem ao seu dispor encarando as como ferramentas para atingir um objectivo importa ent o con siderar o resultado e n o apenas as medidas A tecnologia serve para um objectivo n o sendo nunca um fim em si mesma A cria o de um programa de seguran a ent o um criterioso alinhamento de prioridades um cuidadoso equilibrar dos mais variados factores um exerc cio de abrang ncia e um processo negocial que garantidamente requer tempo perserveran a bas tante paci ncia e capacidade para atingir compromissos e gerir o n vel de seguran a percebido pelos nossos diversos clientes dos internos aos externos Pretende se aqui apresentar um manual de refer ncia para todos aqueles que independentemente do seu grau de conhecimento t cnico t m de lidar com a seguran a empresarial Este um livro escrito para todos os profissionais das reas das tecnologias e sis temas de informa o respons veis de seguran a directores gesto res ou chefes de departamentos t cnicos ou de outras reas do neg cio de programas ou projectos com componentes TI bem como para consultores de seguran a respons veis por informa o cr tica e para todos os que se encontrem de algum
82. o que dada a determinado sistema Assiste se em muitos casos defini o pouco cuidadosa do que fica registado do respectivo grau de por menor e do que fazer a esses registos De facto muitos s o os sis temas em que a defini o de logging rotativa ou seja ao fim de algum tempo os registos mais recentes s o sobrepostos a outros mais antigos Dever pelo contr rio existir uma pol tica de reten o de logs que defina n o s a dura o volume e n vel de detalhe desses registos mas que estabele a igualmente a sua remo o dos sistemas para locais seguros ou para outros sistemas Afinal a ltima coisa que um atacante tipicamente faz antes de deixar um sistema que aca bou de penetrar eliminar o registo das suas actividades Se este REAS DA SEGURAN A EMPRESARIAL 117 for copiado em tempo real para outro sistema inform tico da Empresa a sua elimina o num sistema n o impedir ao respons vel pela seguran a a reconstitui o dos eventos Com uma regularidade definida esses registos dever o ser retira dos dos sistemas e por exemplo copiados para um suporte digital guardado em local seguro Esta manuten o hist rica poder per mitir por exemplo determinar o in cio das tarefas de explora o que conduziram a uma tentativa de intrus o Ou poder o revelar a partir de quando que um elemento da Empresa come ou a impri mir documenta o confidencial Esta tarefa que consome pouco
83. o res pons vel pela implementa o ficar respons vel pela gest o do sis tema Consoante a dimens o da empresa e da sua infra estrutura assim poder o ou n o ser transferidos estes processos para peritos que ir o fazer a opera o di ria dos mesmos libertando o especia lista em seguran a Pelo car cter transversal da seguran a o seu respons vel dever n o s ser um gestor competente mas tamb m ter conhecimentos t cnicos significativos nas diversas reas descritas anteriormente em reas da Seguran a Empresarial conhecimentos esses que dever o estender se para al m das tecnologias e plataformas Para al m destas caracter sticas de cariz t cnico o respons vel dever ainda possuir uma elevada capacidade de comunica o aliada a uma grande curiosidade persist ncia rigor e perfeccio nismo para al m de ser met dico Para complementar estes tra os de personalidade dever ainda ser flex vel e capaz de procurar e estabelecer compromissos Tudo isto no entanto n o servir de muito sem forma o espec fica em seguran a algo que no passado era dif cil de conseguir na Europa fora do mbito t cnico aplica es tecnologias sistemas etc Or amento O or amento necess rio implementa o de um Programa de Seguran a na Empresa ir depender fortemente do tipo de neg cio e da sua exposi o ao risco bem como do seu parque tecnol gico e do percurso a realizar em mat ria de segura
84. per odo ser o retomadas as restantes actividades n o cr ti cas entrando a Empresa assim na fase de regresso normali dade A Fig IV 1 apresenta esquematicamente o desenrolar cronol gico de um acidente representando as v rias fases perda de fun es cr ticas declara o de desastre recupera o das fun es cr ticas e regresso normalidade O objectivo da cria o de um plano de recupera o ou continuidade do neg cio ent o o de garantir que a recupera o das fun es cr ticas da Empresa ocorra de forma suficientemente r pida de modo a garantir que a sua viabilidade n o comprometida A promo o da seguran a em caso de desastre ter sempre lugar a montante do incidente que o origina apesar de ser composta tanto por ac es de preven o que visam diminuir a probabilidade de ocorr ncia dos incidentes que possam originar um desastre como por medidas de protec o reduzindo neste caso o impacto da ocor r ncia do desastre sobre a Empresa 136 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Capacidade para o desempenho de actividades
85. plano de conting ncia composto pelos planos onde est o defi nidas as respostas iniciais reflexas a um incidente por parte de todas as reas da Empresa quer este ocorra com ou sem aviso pr vio Inclui todos os procedimentos de emerg ncia descri o das equipas que os executam informa o facilitadora da execu o e indica o dos eventos que despoletam os procedimentos 152 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Exemplo os incidentes associados a fen menos meteorol gicos ocorrem muitas vezes ap s aviso pr vio O Plano de Conting ncia da Empresa dever contemplar os pro cedimentos de resposta aos alertas que a possam afectar Uma empresa cujas instala es sejam pass veis de sofrer inunda o em caso de cheias num rio vizinho dever incluir no seu Plano de Conting ncia um proce dimento para a constru o de muralhas de sacos de areia nos seus acessos mais sens veis e para a trans fer ncia de equipamento pass vel de destrui o por gua para os pisos mais elevados Este procedimento ser activado em caso de alerta emitido pela Protec o Civil Estes planos dever o incluir procedimentos para todas as ac es de emerg ncia incluindo evacua o primeiros socorros redu o de danos por exemplo extin o de fogo conten o do incidente por exemplo desactiva o de sistemas avalia o de danos e escalada e activa o do plano de ges
86. prever que esta situa o venha a sofrer altera es a curto m dio prazo atendendo s exig ncias de um mercado comum cada vez mais apoiado nas novas tecnologias Perante esta realidade o enquadramento legal dos esfor os empre sariais nomeadamente na rea da seguran a deve ser encarado como uma necessidade carente de acompanhamento por parte de especialistas Desta forma recomenda se que na elabora o do Programa de Seguran a o seu respons vel recorra ao apoio do departamento jur dico ou de peritos nesta rea como forma de garantir o cumprimento dos requisitos legais aplic veis Esperamos contudo que a abordagem que aqui foi realizada a um n cleo da legisla o existente nesta rea possa servir de refer ncia aos conte dos mais pertinentes lan ando alguma luz sobre o seu conte do Cap tulo VI Cria o do Plano de Seguran a O Programa de Seguran a o processo que visa elevar a segu ran a da Empresa para o n vel requerido pela mesma atrav s da introdu o de medidas que permitam reduzir a exposi o a todos os riscos presentes para um n vel definido Este processo implica a aceita o de determinados riscos reduzidos ou de impacto inferior ao custo das medidas necess rias sua redu o a transfer ncia de outros riscos por exemplo atrav s da contrata o de um seguro e a redu o dos riscos cuja probabilidade de ocorr ncia e ou impacto estejam acima do limite definido Para garan
87. previstos e providenciados os dados cr ticos da Empresa devem ser armazenados em instala es separadas off site os meios de recupera o devem estar dispon veis no prazo necess rio o plano deve ser actualizado regularmente o plano deve ser testado com regularidade o plano deve ser abrangente Cada uma das fases atr s indicadas ser apresentada de seguida sendo identificados os seus principais aspectos Arranque do Projecto A fase de arranque do projecto de recupera o ou de continuidade do neg cio caracterizada pelo respectivo enquadramento pela defini o dos seus objectivos e mbito bem como pela identifica o dos pressupostos e terminologia base Nesta fase tamb m se define um modelo de gest o para todo o projecto Objectivos mbito Pressupostos e Terminologia O principal objectivo de qualquer plano de recupera o de desastre ou de continuidade do neg cio naturalmente reagir a um desas tre de modo a reduzir as suas consequ ncias para um n vel consi derado aceit vel pela Empresa No entanto este importante objec tivo carece de defini o pois o que entendido por redu o consequ ncias desastre e aceit vel varia significativamente 138 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO obrigando deste modo defini o exacta do que se pretende venha a ser o retorno do esfor o associado realiza o do projecto Estas def
88. quanto maior e mais complexa a organiza o maior a necessidade de efectuar um controlo apertado da sua evolu o tentando detectar eventuais desvios e respectivas causas A complexidade do Programa de Seguran a crescente devido necessidade de acompanhamento do progresso da Empresa e tamb m da evolu o das tecnologias e do meio ambiente como um todo Torna se assim essencial garantir que o Programa de Segu ran a correctamente definido e que todos os factores aprovados s o devidamente executados tanto em termos de prazos como de resultados O modo como efectuado o controlo de gest o na Empresa pode variar segundo um modelo mais cl ssico ou mais actual mais sim ples ou mais complexo mas independentemente do modelo utili zado teremos certamente como base uma premissa fundamental somente podemos controlar aquilo que previmos or ament mos e plane mos o que implica que para tal controlo deve existir um ponto de partida uma base que indique se agimos de acordo com o planeado ou se ocorreram desvios e neste caso de que natureza desvios de or amento de prazos de recursos etc Metodologias de Controlo de Gest o As metodologias de controlo de gest o como j afirmado v o das mais simples como a mera cria o de um or amento s mais complexas como o caso dos balanced scorecards Diferentes organiza es usam metodologias distintas Contudo todas elas visam efectuar o acompanhamento
89. recorrer quando h um problema ou seja mesmo que n o saibam o que fazer saber o quem devem contactar para obter instru es Este ltimo ponto fundamental dado que pode representar a diferen a entre um pequeno incidente e uma crise GEST O DO PROGRAMA DE SEGURAN A 217 Exemplo em caso de indisponibilidade do servi o de correio electr nico a principal forma de comunica o da maioria das empresas dever existir um esquema de aviso para toda a organiza o por exemplo por fax informando os utilizadores da situa o existente e da expectativa de resolu o bem como indicando uma forma de acesso a informa o actualizada por parte dos afectados O fluxo de informa o formal dever ser estruturado em tr s fases distintas in cio do programa implementa o do programa e conclus o do programa Numa fase inicial deve se contemplar a informa o necess ria defini o de requisitos o que deve ser implementado pelo pro grama tentando garantir que a recolha seja o mais abrangente poss vel isto que todas as reas relacionadas com o programa s o ouvidas tentando evitar perdas de tempo em discuss es improdutivas Nesse sentido dever o ser definidos fluxos de infor ma o para as reas envolvidas no programa ou que venham a beneficiar directamente com a sua implementa o bem como para a administra o Ap s a defini o dos requisitos e das caracter sticas do programa
90. recupera o de desastres e continuidade de neg cio abordada no cap tulo Seguran a Face ao Desastre Salvaguarda da Informa o J afirm mos mais do que uma vez neste livro que a informa o possivelmente o bem mais precioso das empresas afirma o que partida dever reunir o consenso de todos por existir esta consci ncia da import ncia da informa o cada vez dependente de suportes electr nicos que praticamente todas as organiza es pos suem um qualquer esquema de salvaguarda dos seus dados mais valiosos medida que aumenta a capacidade de armazenamento dispon vel e cresce a complexidade dos sistemas de processamento de infor ma o o volume de dados armazenados segue esta tend ncia atingindo propor es significativas As empresas cada vez mais deparam se com a necessidade de protec o de um conjunto com plexo de informa o disperso por v rios suportes e gerado por dife rentes aplica es Felizmente as solu es de salvaguarda ou bac kup actuais acompanharam esta evolu o e oferecem hoje n veis de desempenho e de protec o amplamente satisfat rios 106 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A solu o mais simples e por isso mais comum para criar c pias de seguran a da informa o consiste na utiliza o de unidades de backup instaladas nos sistemas ou aut nomas que realizam auto maticamente todas as tarefas necess rias c pia do
91. rios proto colos e medidas de seguran a criam canais seguros de comunica o em ambientes p blicos como a Internet Todos os dados transmitidos atrav s destes canais ou t neis s o cifrados e pos suem controlo de integridade o que significa que caso sejam alte rados em tr nsito s o rejeitados pelo destinat rio e retransmitidos pelo emissor O protocolo mais amplamente utilizado nesta tecnologia o IPSec embora existam outros O IPSec IP Security o standard utilizado na Internet para a cria o de t neis para encripta o e para autentica o A protec o do tr fego conseguida atrav s da resolu o na fase de concep o do protocolo de quest es como controlo de acessos REAS DA SEGURAN A EMPRESARIAL 95 integridade da liga o autentica o da origem dos dados protec o contra a reprodu o dos dados confidencialidade do fluxo de tr fego Para a cria o de comunica es seguras na Internet a comunica o entre um cliente e um servidor por exemplo ent o estabele cida com recurso ao protocolo IPSec sendo os dados cifrados e encapsulados dentro dos pacotes IP Para o estabelecimento deste t nel necess rio que ambas as partes se reconhe am mutua mente para o que depois de um contacto inicial os intervenientes na comunica o acordam numa chave criptogr fica que ser utili zada para cifrar o restante conte do da interac o Uma vez
92. site Nenhuma Tempo de Recupera o Fig IV 2 Estrat gias de recupera o TAR vs Custo Depois de identificadas e definidas as estrat gias dever o ser ava liadas considerando 148 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO se permitem cumprir os TAR apurados na an lise de impacto no neg cio os custos e benef cios associados estrat gia as vantagens estrat gicas ou competitivas que possam sobrevir a capacidade de sobreviv ncia conferida e a preserva o de valores intang veis tais como imagem da marca lealdade ou prefer ncia dos clientes etc Esta avalia o dever ser consolidada numa lista com as vantagens e desvantagens das diversas alternativas que servir de base justifica o das propostas apresentadas Administra o para cada rea protec o de dados de sistemas etc De entre os activos da Empresa os seus dados ser o na vasta maioria dos casos um dos bens mais preciosos Sem a preserva o dos dados vitais ou seja do conjunto de dados necess rios s actividades de suporte cr ticas dificilmente o neg cio da Empresa poder prosseguir e esta incorrer na melhor das hip teses em custos significativos para a recria o dessa informa o As estrat gias de recupera o de dados assentes nas tecnologias de c pia de seguran a indicadas anteriormente em Seguran a L gica no cap tulo reas da Seguran a Empres
93. t picos da sua aplica o s o a utiliza o de clusters de firewalls redundantes ou a utiliza o de medidas de controlo de acesso f sico distintas tais como a presen a de um porteiro junto a uma porta com fechadura TEORIA DA SEGURAN A 21 S o estes os princ pios que o respons vel pela seguran a dever dominar e articular na defini o e implementa o do Programa de Seguran a Quanto mais ntimo for o seu conhecimento das carac ter sticas implica es e interac o entre eles maior ser a efic cia e melhores os resultados dos esfor os desenvolvidos Modelos de Seguran a A seguran a dos sistemas de informa o uma disciplina que nas ceu com os t cnicos que criaram esses sistemas e que com a crescente utiliza o dos computadores e redes por todas as reas empresariais transitou para as m os de gestores ocupados com a implementa o e gest o de um conjunto de medidas que se estende da esfera humana ao dom nio tecnol gico Ao longo dos anos assistiu se ao desenvolvimento e afirma o de um modelo de seguran a que hoje omnipresente no tecido empresarial designado Fortaleza da Informa o Esse modelo tem vindo contudo a revelar algumas fraquezas devido r pida evolu o da tecnologia pelo que se encontra j dispon vel uma alternativa para a sua sucess o Fortaleza da Informa o O modelo de protec o tradicional que tem como cone m ximo a firewall frequente
94. termos de software nas empresas assume uma particular import ncia De um modo geral a regra aplic vel a de um programa uma licen a 174 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO sendo que obviamente existem diversas modalidades de licencia mento com encargos diferenciados Mais do que conhecer a legisla o aplic vel importa reconhecer a prem ncia da legaliza o e controlo dos programas em uso na Empresa Para tal podem ser adoptadas v rias medidas t cnicas e processuais que visem garantir o cumprimento n o s da lei mas da pr pria pol tica interna da organiza o Podem por exemplo ser previstas san es reflectidas na pol tica da Empresa para os cola boradores que instalem software n o autorizado nos sistemas inform ticos Por outro lado o recurso a solu es t cnicas para impedir a prolife ra o de c pias piratas pode igualmente ser considerado existem produtos no mercado que inventariam as exist ncias em termos de software dos sistemas ligados em rede outros que centralizam e controlam a distribui o e instala o de programas ou mais sim plesmente existe a possibilidade de cria o de pol ticas ao n vel da infra estrutura da organiza o que limitem e condicionem a adi o de componentes novos de software Comiss o Nacional de Protec o de Dados A Lei de Protec o de Dados Pessoais j anteriormente abordada menciona no seu Ca
95. tipo de conhecimento sobre o que acontece do lado de fora do seu per metro e desconhece o n mero de tentativas de intrus o oriundas do exterior Por outro lado um IDS n o oferece apenas visibilidade ao que sucede no exterior do per metro l gico da Empresa mas revela igualmente o que acontece no seu interior tentativas de acesso a servidores protegidos por parte de funcion 112 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO rios etc Para al m desta capacidade os IDS poder o reconhecer bem como evitar ataques inform ticos Os IDS actualmente dispon veis podem ser divididos em dois gran des grupos baseados em sistemas HIDS host based intrusion detection systems e baseados na rede NIDS network based intrusion detection systems Os primeiros s o programas dedicados a sistemas individuais afinados s suas caracter sticas e que detectam sinais de intrus o nas comunica es de entrada ou de sa da dos sistemas que protegem No caso de se tratar de um ser vidor de base de dados por exemplo o IDS poder analisar para al m das transac es do sistema operativo e do protocolo de comu nica es opera es espec ficas do motor de base de dados em utiliza o Relativamente aos IDS baseados na rede estes assentam em sondas colocadas em pontos estrat gicos da infra estrutura onde analisam todo o tr fego comparando o com uma base de dados de assinaturas de ataques para conseguir i
96. traduzir se num atraso para o cliente necess rio pensar na qualidade de forma abrangente logo desde o in cio pois quanto mais tarde se detecta um erro mais complexa dif cil e onerosa a sua resolu o dificuldade essa que em algu mas reas por exemplo no desenvolvimento de software chega a ser exponencial 230 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Implementa o Implementar um programa n o tarefa f cil Acarreta muita dedica o e compromisso implicando um pulso de ferro e adaptabilidade Acima de tudo necess ria capacidade de lideran a e de motiva o da equipa fazendo as coisas acontecer como planeado e por vezes superando mesmo o planeado Como se liderar uma equipa n o fosse j uma tarefa suficientemente dif cil e consumidora de tempo ser ainda necess rio planear a implementa o mais eficaz do programa no terreno Para al m disso h que contar com a gest o das mudan as o que representa muitas vezes um esfor o mais complexo que a actividade principal e com riscos mais cr ti cos Gest o da Equipa A gest o da equipa do programa dadas as suas particularidades difere em alguns aspectos da gest o de uma equipa de trabalho comum Este um grupo com objectivos bem definidos e delimita dos no tempo muitas vezes agregando pessoas de diferentes reas e que temporariamente dever reportar a um respons vel que se poder encontrar fora da sua hierarq
97. trata de classificar a criticidade da infor ma o a proteger e os respectivos n veis de servi o Contudo a participa o do neg cio n o deve ficar por aqui Toda a Empresa dever ser envolvida na seguran a sendo necess rio para tal que o chefe de programa efectue diversas ac es de sensibiliza o cati vando o empenho de todos os colaboradores da Empresa com vista melhoria da sua seguran a A participa o do neg cio no Programa de Seguran a pode ocorrer a diversos n veis designadamente na identifica o dos processos de neg cio na identifica o dos propriet rios da informa o na classifica o da informa o e w 1 no estabelecimento de acordos de n vel de servi o SLA e 5 na sensibiliza o e na realiza o de question rios 234 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A identifica o dos processos de neg cio e classifica o da sua criticidade requer naturalmente o envolvimento da Empresa como um todo uma vez que s as diversas reas do neg cio possuem as compet ncias necess rias defini o e identifica o dos seus pro cessos destacando os mais cr ticos Nesta ac o essencial garantir a participa o de elementos das diversas reas n o TI da Empresa pois s assim se garantir a exist ncia de um conheci mento profundo desses processos cr ticos A identifica o dos propriet rios da informa o uma quest o cru
98. 27 29 31 32 33 33 34 34 36 38 39 8 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO An lises de Risco e de Impacto An lise de Risco Quantitativa An lise de Risco Qualitativa An lise de Impacto no Neg cio Estrat gia de Controlo Arquitectura Abordagens ao Controlo de Riscos Maturidade An lise Custo Benef cio Conclus o Cap tulo III reas da Seguran a Empresarial Seguran a da Informa o Pol tica Normas e Procedimentos Propriedade da Informa o Classifica o da Informa o Confidencialidade Integridade Disponibilidade Pol tica de Dados Seguran a F sica reas Localiza o dos Centros de Dados Controlo de Acessos Elimina o de Res duos Rasto Seguran a do Pessoal Recrutamento Documenta o Boas Pr ticas Forma o Sensibiliza o Segrega o de Responsabilidades Seguran a L gica 40 40 42 45 49 49 51 52 53 55 57 57 57 58 58 60 60 61 62 64 65 66 67 68 69 70 71 73 74 75 76 79 79 Autentica o e Controlo de Acesso Criptografia IPv6 Infra Estrutura de Chaves P blicas Kerberos VPN Antiv rus Filtragem de Conte dos Redund ncia Armazenamento Salvaguarda da Informa o Detec o de Intrus es Resposta a Ataques Seguran a no Desenvolvimento Conformidade Testes e Auditorias Auditoria Completa aos Sistemas Testes de Intrus o Detec o de Vulnerabilidades Detec o de Pontos de Acess
99. ARIAL 109 mais do que criar c pias de seguran a garanta a duplica o em tempo quase real dos dados processados Nestes casos a comple xidade e custo da infra estrutura necess ria aumenta oferecendo em contrapartida um maior grau de fiabilidade na protec o da informa o Neste campo o mirroring pode ser considerado como a possibili dade mais simples e mais econ mica Consiste na duplica o do espa o de armazenamento utilizando controladores espec ficos que escrevem quase simultaneamente em dois suportes um pri m rio o de produ o e um secund rio de backup Este conceito n o mais do que a expans o das estrat gias de protec o de dados existentes ao n vel dos discos r gidos com a grande dife ren a de oferecer uma fiabilidade e um conjunto de possibilidades mais amplo Um sistema de mirroring ao contr rio do que sucede com os discos r gidos n o tem necessariamente de se encontrar instalado nem na mesma m quina nem no mesmo local Utilizando tecnologias de transmiss o de dados de elevado d bito poss vel criar uma solu o de mirroring com reposit rios de informa o em por exemplo andares diferentes do mesmo edif cio ou em edif cios diferentes S o bvias as vantagens desta possibilidade em termos de protec o contra desastres uma vez que deixa de ser necess ria a ges t o complexa de tapes de backup armazenadas em locais remotos off site bastando apenas transferir as o
100. AVARES SILVA Hugo CARVALHO CATARINA BOTELHO TORRES SEGURAN A DOS SISTEMAS DE INFORMA O Gest o Estrat gica da Seguran a Empresarial CENTROATLANTICO PT Portugal 2003 Reservados todos os direitos por Centro Atl ntico Lda Qualquer reprodu o incluindo fotoc pia s pode ser feita com autoriza o expressa dos editores da obra Seguran a dos Sistemas de Informa o Gest o Estrat gica da Seguran a Empresarial Colec o Sociedade da Informa o Autores Pedro Tavares Silva Hugo Carvalho e Catarina Botelho Torres Direc o gr fica Centro Atl ntico Revis o final Centro Atl ntico Capa Paulo Buchinho Centro Atl ntico Lda 2003 Av Dr Carlos Bacelar 968 Escr 1 A 4764 901 V N Famalic o Rua da Miseric rdia 76 1200 273 Lisboa Portugal Tel 808 20 22 21 geralwcentroatlantico pt www centroatlantico pt Design e Pagina o Centro Atl ntico Impress o e acabamento Rolo amp Filhos 1 edi o Abril de 2003 ISBN 972 8426 66 6 Dep sito legal 193 992 03 Marcas registadas todos os termos mencionados neste livro conhecidos como sendo marcas registadas de produtos e servi os foram apropriadamente capitalizados A utiliza o de um termo neste livro n o deve ser encarada como afectando a validade de alguma marca registada de produto ou servi o O Editor e os Autores n o se responsabilizam por poss veis danos morais ou f sicos causados pelas instru es contidas n
101. Auditorias Actualmente assiste se a uma oferta crescente de servi os de teste e de auditoria de seguran a cujo objectivo o de avaliar o grau de protec o dos sistemas inform ticos das organiza es Quase toda esta oferta sen o mesmo toda pode ser personalizada pelo REAS DA SEGURAN A EMPRESARIAL 125 cliente de modo a responder melhor s suas necessidades de an lise Independentemente da import ncia destas an lises e da pertin ncia dos seus resultados o respons vel pela seguran a inform tica dever escolher cuidadosamente a altura adequada para a sua rea liza o dependendo dos objectivos que pretenda atingir Analise mos algumas possibilidades Aquando da nomea o do respons vel pela seguran a a Empresa contrata ou nomeia algu m para desempenhar as fun es de respons vel pela seguran a Uma das pri meiras tarefas desse elemento poder ser a de realizar uma an lise de risco ou contratar a terceiros uma auditoria de seguran a de modo a obter uma imagem actual do pano rama de seguran a da organiza o Os resultados desta auditoria servir o de ponto de partida para a elabora o de solu es e para a correc o das insufici ncias detectadas Ap s a implementa o de medidas de seguran a Partindo do princ pio de que o respons vel pela seguran a tem um conhecimento mais ou menos aprofundado da situa o da Empresa em termos de seguran a l gica este poder tomar m
102. H e WHITTAKER James A Testing for Software Security in Dr Dobb s Journal n 342 Novembro de 2002 TOIGO Jon William Disaster Recovery Planning Prentice Hall 2000 2 ed TRIMMER Don Tape free backup recovery Requirements and Advantages in Infostor Mar o de 2002 VV AA Model based Risk Management Using UML and UP CORAS Directorate General Informatin Society s l s d WHEATMAN V e PESCATORE J The Information Security Hype Cycle Gartner Research 15 de Novembro de 2001 WROZEK Brian Electronic Data Retention Policy SANS Institute s l 2001 ZIMMERMANN Phil Security Features and Vulnerabilities in PGP INTRO PGP User Manual s l s d
103. L NTICO Se bem que tenha uma aceita o bastante significativa junto do mercado principalmente devido s suas caracter sticas de segu ran a e alta velocidade esta tecnologia tamb m n o trouxe solu o para os problemas associados ao armazenamento por enquanto ainda n o existem standards tecnol gicos comuns adoptados pelos fabricantes que permitam encarar as SAN com facilidade A falta destes padr es comuns torna a op o por estas solu es em potenciais investimentos avultados em plataformas de gest o bem como poder implicar depend ncia tecnol gica relativa a um fabricante retirando ao cliente liberdade de escolha Por outro lado assiste se actualmente ao desenvolvimento acelerado de tec nologias de rede tais como velocidades de 10 Gbps sobre Ether net que far o forte concorr ncia s velocidades do fibre channel e s conveni ncias das SAN Perante a diversidade e eventual dispers o de suportes de armaze namento a Virtualiza o do Armazenamento surge como tentativa de utilizar eficazmente os recursos dispon veis permitindo a sua gest o centralizada Este conceito materializa se em software que cria uma camada de abstrac o entre os dispositivos f sicos de armazenamento e os sistemas operativos dos servidores o que significa que os diversos suportes de dados ligados rede podem ser geridos como se de um nico sistema se tratassem quer sejam sub sistemas discretos de armazenamento NAS ou SAN
104. NTRO ATL NTICO ARTIGO VALOR Fas QUANTIDADE Consum veis e papel 2 500 2 1250 e tinteiros 1 500 30 50 e toner 3 000 30 100 e suportes magn ticos o CDs 500 100 5 o disquetes 100 20 5 o tapes 2 000 50 40 Sub total 9 600 Hardware e monitores 4 500 30 150 e CPUs 9 000 9 1000 e computadores port teis 6 000 4 1500 e impressoras 11 300 10 1130 TA manu 1 2800 2800 Sub total 33 600 Software e produto A 6 500 6500 1 e produto B 7 200 7200 1 e produto C upgrade 3 000 3000 1 Sub total 16 700 Recursos Humanos e internos 30 000 1500 20 GEST O DO PROGRAMA DE SEGURAN A 211 VAL ARTIGO VALOR UNIT QUANTIDADE e externos 90 000 6000 15 e desloca es 1 500 150 10 Sub total 121 500 TOTAL 181 400 Fig VII 2 Or amento Flex vel Exemplo Balanced Scorecard A metodologia balanced scorecard assenta em indicadores que representam os principais eixos de interesse da Empresa com base nos quais efectuada a avalia o dos resultados Esta metodologia tem vindo a ganhar popularidade junto das organiza es e apesar de ser complexa e morosa especialmente na fase de implementa o tem como vantagem permitir avaliar o desempenho da organi za o de uma forma integrada com a sua estrat gia Segundo e
105. ORMA O CENTRO ATL NTICO Cen rios Alternativos Raramente se que alguma vez um problema de gest o ter uma solu o nica pelo que a apresenta o de diversos cen rios uma forma de controlar o desfecho de um processo de valida o admi nistrativo em que a solu o proposta pelo respons vel pela segu ran a seja preterida devido ao seu impacto financeiro ou por outra raz o Estes processos que podem ter um desfecho imprevis vel e potencialmente negativo para a seguran a com a valida o de solu es ad hoc com bom aspecto mas desequilibradas podem ser controlados capitalizando o posicionamento do respons vel pela seguran a como especialista na mat ria atrav s da apresenta o de alternativas nos diversos pontos do espectro econ mico proces sual ou de outro car cter Em mat ria de seguran a os cen rios t picos correspondem aceita o redu o controlo ou transfer ncia do risco cen rios esses que dever o ser preparados e documentados na sua rela o custo benef cio pelo respons vel pela seguran a permitindo Administra o a tomada de uma decis o informada com base nas diversas alternativas propostas Naturalmente por uma quest o de efici ncia s se dever incorrer no esfor o necess rio elabora o dos diversos cen rios alternativos em mat rias mais complexas ou problem ticas ou que impliquem o disp ndio de somas significati vas Exemplo considere os seg
106. RAMA DE SEGURAN A 235 A classifica o do n vel de criticidade da informa o s ser til se tiver como consequ ncia um tratamento diferenciado Isto ser in til classificar o requisito por exemplo de disponibilidade da informa o cr tica se depois em situa es de indisponibilidade isso n o se reflectir em processos de recupera o priorit ria dessa informa o De modo a garantir que os diferentes elementos s o tratados de acordo com a sua criticidade devem ser definidos acordos de n vel de servi o SLA elaborados necessariamente em estreita colabo ra o com os propriet rios da informa o Nestes acordos devem ser identificados os procedimentos a cumprir relacionados com a garantia dos requisitos de protec o da informa o em causa sendo definidas m tricas para o cumprimento dos mesmos por exemplo o tempo necess rio resolu o de indisponibilidades Garantir a seguran a do conhecimento detido pela Empresa n o passa apenas pelos SLA ou pela defini o de regras mas tamb m pela sensibiliza o em mat ria de seguran a Tal pode ser conse guido a diversos n veis devendo ser sempre encarada como uma prioridade uma vez que parte significativa dos ataques registados nas Empresas v m do seu interior A sensibiliza o poder ser efectuada em sess es realizadas pela equipa de seguran a que de uma forma ligeira transmitir as diver sas preocupa es de seguran a apresentando ex
107. ROGRAMA DE SEGURAN A 229 preocupa o procurando a melhor metodologia e a melhor forma de implementar o programa A defini o do modelo de gest o e a necessidade de acompanha mento do programa por parte do Sponsor uma primeira contribui o para a qualidade pois o olhar cr tico de algu m externo ir certamente analisar sem qualquer tipo de influ ncia os m todos e procedimentos escolhidos Ao longo de todo o Programa de Seguran a dever o ser efectuados diversos tipos de testes com objectivos diversos consoante a fase em que o programa se encontre Inicialmente ser o necess rios testes para verificar a conformidade do planeamento com os requi sitos definidos e com os objectivos de neg cio ou n o associados a esses requisitos enquanto que durante a implementa o ser o necess rios testes adicionais de valida o aceita o dos resulta dos Contudo caso se pretenda um projecto de qualidade estas an lises n o se dever o esgotar aqui pelo que se dever o efectuar tamb m testes de impacto do projecto isto identificar as altera es provo cadas aos procedimentos e m todos de trabalho A realiza o deste tipo de testes permite identificar a melhor meto dologia para a implementa o assegurando a qualidade dos pro dutos finais e a sua adequa o s reais necessidades dos benefi ci rios e garantindo que a sua realiza o n o ir por exemplo atrasar a produ o o que poder
108. TRO ATL NTICO forma de an is conc ntricos que constituem barreiras sucessivas gradualmente mais dif ceis de transpor medida que o grau de sensibilidade da informa o aumenta A aplica o deste princ pio evita a exist ncia de um conjunto de medidas de protec o distintas e avulsas transformando as numa sequ ncia de obst culos somados adaptados aos fins a que se destinam Na seguran a f sica por exemplo as reas contendo informa o sens vel n o dever o consequentemente estar fisica mente expostas pela presen a de portas e janelas com abertura directa para a rua Consist ncia O princ pio da consist ncia afirma que as medidas de protec o dos bens com grau de sensibilidade equivalente dever o ser tamb m equivalentes ou seja a protec o dever ser homog nea face sensibilidade dos bens protegidos A sua aplica o implica um grau de protec o id ntico em todos os acessos independentemente da sua natureza o acesso f sico ou o acesso l gico ou grau de utiliza o o que significa por exemplo que dever ser evitada a situa o cl ssica do porteiro e c maras na porta da frente e apenas uma fechadura destrancada na porta das traseiras Redund ncia O princ pio da redund ncia dita a necessidade de empregar mais de uma forma de protec o para o mesmo fim de modo a impedir que a protec o de um bem seja comprometida por uma nica falha ponto nico de falha Exemplos
109. a o acidental de informa o por exemplo da rvore de vulnerabilidades da Empresa pode gerar perdas intang veis na imagem da marca e at mesmo na pre fer ncia demonstrada pelos clientes Neste caso parti cular em que a identifica o dos bens at relativa mente bvia ser dif cil quantificar as perdas ou seja estimar o decr scimo de vendas Uma forma de facilitar a quantifica o do valor dos bens a defini o e utiliza o de escal es permitindo usar aproxima es para evitar c lculos complexos ver exemplo da Fig Il 3 Categorias de valor Escal o Intervalo 0 at 500 1 501 a 5 000 2 5 001 a 50 000 3 mais de 50 000 Fig Il 3 Categorias de valor dos bens Exemplo 40 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO An lises de Risco e de Impacto A an lise de risco o processo que permite usar a informa o existente de forma sistem tica para determinar o grau de exposi o da Empresa aos diversos tipos de acontecimentos perigosos a que se encontra sujeita Ap s a identifica o das amea as vulnerabili dades e bens apresentada anteriormente a an lise de risco ir ocupar se da caracteriza o dos riscos pela quantifica o ou quali fica o da probabilidade das amea as gerarem danos ou alternati vamente dos danos decorrentes da concretiza o das diversas amea as expect veis Esta an lise co
110. a a Y Contudo Z tornar a interceptar a comunica o decifrar os dados com a chave falsa e utilizando a chave leg tima de Y tornar a cifr los para os enviar para este ltimo As comunica es entre X e Y s o assim do pleno conheci mento de Z sem que X e Y disso tenham qualquer consci ncia ver Fig 1 1 90 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO pedido de chave p blica intercep o do pedido p blica de Z p blica de Y mensagem cifrada com a chave de Fig 1ll 1 Ataque man in the middle A infra estrutura de chaves p blicas ou PKI Public Key Infrastruc ture a combina o de software cifra e servi os que permitem a protec o e autentica o de comunica es digitais atrav s da gest o segura de chaves criptogr ficas Esta tecnologia integra cer tificados digitais criptografia de chaves p blicas e autoridades de certifica o numa arquitectura de seguran a abrangente introdu zindo um elemento de garantia na criptografia assim trica Ao utilizar uma solu o PKI associando certificados s chaves criptogr ficas este ataque n o ser poss vel uma vez que o que Y enviaria a X n o seria apenas a sua chave p blica mas um certifi cado contendo para al m da sua chave criptogr fica informa o inequivocamente ligada sua identidade o que permitiria a X vali dar a informa o recebida junto de um terceiro elemento a Autor
111. a fundada em 1974 dedicada seguran a dos computadores e redes sendo respons vel pela realiza o de importantes confer ncias 188 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO EUA Os dados recolhidos nesta pesquisa s o extremamente inte ressantes para os profissionais da seguran a e n o s detalhando o cen rio de ataques e atacantes com n meros recolhidos de forma cient fica e rigorosa O nico problema que esse estudo reali zado nos EUA dificilmente um termo de compara o com uma empresa da Baixa Lisboeta de Faro ou de outra regi o especial mente se tivermos em conta a sua dimens o apenas 7 das em presas consultadas no estudo t m menos de 1 000 funcion rios A utiliza o incorrecta de estat sticas deve se apenas em parte a descuido ocorrendo maioritariamente devido inexist ncia das fontes equivalentes em territ rio nacional Os gestores natural mente n o aceitam com facilidade dados cujo contexto n o seja o seu e poder o n o se dar ao trabalho de separar uns n meros maus dos restantes indicadores descartando o pacote na sua totalidade pelo que preciso ter cuidado com as estat sticas Desta forma ser necess rio dar visibilidade a incidentes reais ocorridos no seio da empresa podendo se para tal proceder recolha desta informa o atrav s da realiza o de pilotos de detec o de intru s o de filtragem de conte dos em gateway da monitoriza o de
112. a cada per odo associadas aos diversos fluxos de caixa Comprar ou vender algo hoje n o representa necessariamente uma entrada ou sa da de dinheiro hoje pelo que os prazos de pagamentos e de recebimentos ter o de ser tidos em conta Exemplo suponhamos que no m s de Fevereiro ser necess rio o apoio de recursos externos no valor de 25 000 com um pagamento de 30 no momento da contrata o e o restante a 30 dias e que ser tamb m neces 226 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO s rio adquirir equipamento no valor de 1 000 com pagamento a 45 dias as necessidades de fundo de maneio para Fevereiro e Mar o ser o as indicadas na Fig VII 9 Fundo de Maneio Fevereiro NFM Recursos externos 30 x 25 000 7 500 Mar o Recursos externos 70 x 25 000 17 500 Equipamento 100 x 1 000 1 000 Fig VII 9 Fundo de Maneio Exemplo A an lise criteriosa das despesas associadas ao programa serve tamb m de base ao estabelecimento de acordos de n vel de ser vi o Consegue se desta forma a defini o do n vel de servi o associado classifica o da criticidade do componente sistema aplica o etc relacionando o tempo de indisponibilidade custo de paragem com o custo da interven o preven o Exemplo um n vel de servi o que preveja a reposi o do servi o em duas horas requer que o custo de duas horas de indisponibilidade seja supe
113. a forma envolvi INTRODU O 15 dos na defini o implementa o e gest o de medidas de segu ran a empresarial Nas pr ximas p ginas ir encontrar um canivete su o contendo as ferramentas necess rias para a gest o estrat gica da seguran a um manual de instru es para a resolu o do vasto puzzle que a seguran a empresarial Este livro inicia se com uma base te rica abordando de seguida um conjunto de quest es mais pr ticas que estar o inevitavelmente presentes em qualquer agenda empresarial Assim na primeira parte deste livro s o introduzidos e desenvolvidos temas como a teoria da seguran a gest o do risco ou reas da seguran a que constituem a base sobre a qual constru do um Programa de Segu ran a Empresarial Na segunda parte a abordagem mais prag m tica apresentando se propostas para a cria o implementa o e gest o das v rias facetas da seguran a chamando a aten o para alguns obst culos existentes ao longo do caminho e sempre que poss vel fornecendo indica es para os superar A tarefa de cria o implementa o e gest o de um programa de seguran a n o seguramente f cil primeira vista poder o existir enormes dificuldades oposi es internas ou problemas extrema mente complexos cuja elimina o aparente ser praticamente impos s vel Mas neste elaborado processo de constru o de um novo edif cio chamado seguran a que se encontra o gr
114. a poder o ser bastante volumosos O respons vel pela seguran a dever garantir que por muito exausti vos que sejam os relat rios resultantes sejam teis discut vel a utilidade de dezenas de p ginas com o output n o processado de um qualquer programa de varrimento de portas e servi os de servi dores o cliente dever certificar se de que todos os resultados sejam comentados por quem realiza a auditoria bem como de que o relat rio ir conter recomenda es pragm ticas e claras para a correc o das defici ncias encontradas e para o aperfei oamento das medidas existentes Testes de Intrus o Os testes de intrus o n o s o mais do que tentativas de acesso aos sistemas da Empresa por parte de pessoas n o autorizadas Este tipo de an lise poder ser realizado sem qualquer conhecimento pr vio dos sistemas a testar ou com a indica o das respectivas caracter sticas Ambas as possibilidades t m pontos positivos e negativos no caso da primeira cria se um cen rio mais realista na medida em que assumir o ponto de vista de um hipot tico ata cante no caso da segunda em que existe o conhecimento com pleto das caracter sticas dos sistemas a testar garante se a exaus tividade dos testes pois estes ir o provavelmente deixar menos vulnerabilidades de fora Estes testes podem ser realizados tanto a partir do interior da rede da Empresa como a partir da Internet dependendo a decis o sobre o ponto inicial d
115. a responde rem s reais necessidades da organiza o Exemplo nos casos em que n o sejam disponibilizados servi os FTP a detec o de ataques contra este protocolo poder n o se justificar Deste modo para al m de um sistema mais vocacionado para a realidade da infra estrutura a proteger consegue se evitar a produ 114 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO o maci a de informa o que para al m do ponto de vista acad mico n o possui interesse real Ao lidar com estes dados necess rio confirmar a sua aplicabili dade ou seja verificar se n o se tratam de falsos positivos um falso positivo a identifica o de uma actividade leg tima como sendo um ataque O respons vel pelo IDS dever analisar os dados recolhidos e confirmar se se tratam ou n o de ataques reais Os dados relativos actividade maliciosa registados pelo IDS podem ocasionar v rias reac es alertas administrativos incluindo cha madas para beepers e reac es autom ticas como por exemplo interrup o da sess o ofensiva ou interdi o do IP de origem Estas possibilidades fazem parte de um conjunto mais amplo de reac es que ser o abordadas de seguida Resposta a Ataques Este t pico n o sendo exclusivo da seguran a l gica assume par ticular relevo neste campo na medida em que precisamente nesta rea que o respons vel pela seguran a da Empresa ter de tomar algumas decis es
116. a um Qualidade Outro factor relevante na fase de planeamento a preocupa o com a qualidade No Programa de Seguran a ser o alterados sis temas e processos sendo necess rio garantir que estes ir o fun cionar correctamente com o menor impacto poss vel sobre o tra balho quotidiano dos colaboradores Desta forma o planeamento dever incluir diversas fases que permitam garantir a qualidade satisfat ria dos resultados para al m do produto desenvolvido do processo redefinido e das tarefas efectuadas A garantia da qualidade dever ser conseguida atrav s da defini o da melhor metodologia para atingir os objectivos propostos e para garantir que o resultado do programa adequado aos requisitos predefinidos Actualmente considera se que a qualidade a grande preocupa o das organiza es que procuram uma postura de Qualidade Total Por m olhando para o dia a dia das nossas empresas verificamos que a qualidade por vezes esquecida em procedimentos b sicos mas essenciais Para que tal n o aconte a deve se come ar por tentar incutir a necessidade da qualidade e torn la um dos objecti vos principais de todos os intervenientes na organiza o S depois se poder pensar em Qualidade Total Na fase de planeamento dever o definir se as diversas tarefas a ordem pela qual s o realizadas os fluxos e o relacionamento entre elas Logo a partir desta fase que a qualidade deve constituir uma GEST O DO P
117. ac o com personalidades diferentes De facto e independentemente da dimens o da organiza o em causa dificilmente se encontrar o dois colaboradores iguais No primeiro cap tulo deste livro Teoria da Seguran a foram tipificados e caracterizados genericamente diferentes grupos de intervenientes e destacados os seus aspectos mais distintivos Aqui iremos por outro lado dedicar nos s ac es que poder o ser empreendidas junto dos colaboradores com vista a criar um ambiente de utiliza o dos sistemas de informa o que por si s seja um factor influente na manuten o dos n veis de seguran a pretendidos Recrutamento A fase de recrutamento uma altura cr tica no processo de sensibi liza o do potencial colaborador para a filosofia da Empresa incluindo a componente de seguran a desta Se cargos h em que a seguran a dos SI um componente dis creto quase impercept vel outros existem em que poder constituir o ponto central das fun es a desempenhar Estas diferen as deve r o ser claramente identificadas e comunicadas ao potencial novo colaborador na fase de recrutamento As componentes de segu ran a associadas fun o para a qual concorre dever o ser lhe explicadas mesmo que se resumam pol tica de secret ria limpa pois o candidato dever conhecer todas as cartas com que ter de jogar De uma forma geral mas particularmente no caso de fun es extremamente sens vei
118. ade de retoma das actividades e processos de suporte s fun es do neg cio Caracter stica conferida por um conjunto de medidas que possibilitam uma reac o autom tica a um est mulo externo Rejei o volunt ria da autoria de um determinado acto Exposi o a uma determinada amea a Sistemas de informa o Service Level Agreement acordo de n vel de servi o Strenghts weaknesses opportunities and threats Pontos fortes pontos fra cos oportunidades e amea as Tempo alvo de recupera o 254 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO TI Tecnologias de informa o Vulnerabilidade Caracter stica que potencia o impacto da concretiza o de determinada amea a Bibliografia ATKINSON Anthony A Management Accounting Prentice Hall Nova Jersey 1997 BLAKLEY B The Emperor s Old Armour in Proceedings of the New Security Paradigms Workshop IEEE Computer Society Press 1996 BRINK Derek PKI and Financial Return on Investment in White Paper PKI Forum s Business Working Group Agosto de 2002 Carnegie Mellon Computer Emergency Response Team CERT Advisory CA 2001 Unauthentic Microsoft Corporation Certificates 22 de Mar o de 2001 Carnegie Mellon Computer Emergency Response Team Survivable Systems Analysis Method CERT http Auww cert org archive html analysis method html 2002 Computer Security Institute Federal Bureau of Investig
119. ais etc Este controlo pode ser realizado com a utiliza o de ferramentas mais ou menos elabora das como o Microsoft Project que poder ser disponibilizado em rede aos elementos do programa de modo a que registem a sua afecta o e a concretiza o das diversas tarefas definidas Na escolha da ferramenta a utilizar por equipas de maior dimens o as dificuldades encontradas poder o no entanto n o compensar os benef cios obtidos sendo ent o poss vel optar pela utiliza o de uma base de dados alternativa partilhada para a informa o rele vante Uma vez que o objectivo do controlo deter informa o sobre o n mero de horas realizadas por determinado recurso no programa e a percentagem de concretiza o das diversas tarefas poss vel utilizar uma metodologia mais simplista como a utiliza o de um modelo de reporting composto por folhas de c lculo por exemplo do Microsoft Excel que dever o ser preenchidas e enviadas com uma periodicidade estipulada ao chefe de programa Este por sua vez ir compilar a informa o recebida dos diversos elementos da sua equipa O controlo dos recursos dever ser efectuado de forma simples mas eficaz isto n o se dever o sobrecarregar os recursos com a ela bora o de reportings muito bonitos e complexos desviando os da sua tarefa principal completar adequadamente as actividades do programa mas antes obter com periodicidade regular dependente da dimens o do pro
120. ais como plantas diagramas contratos contactos de fornecedores e outros pode constituir um importante meio auxiliar do processo de recupera o de equipamentos e instala es Plano de Gest o de Crise O plano de gest o de crise activado por uma equipa de contin g ncia que se depare com um desastre durante a execu o do seu plano de conting ncia ver Fig IV 5 Este plano cont m os elemen tos necess rios recupera o da capacidade de gest o durante SEGURAN A FACE AO DESASTRE 157 uma crise permitindo Empresa reter o controlo durante esse acontecimento Este plano composto pela descri o da estrutura de comando e controlo da Empresa durante um desastre e pelo plano de comuni ca es complementados com toda a informa o auxiliar necess ria contratos contactos de fornecedores etc Plano de Continuidade do Neg cio T Plano de Gest o de Crise i Plano de Conting ncia Flano de Actualiza o ialtera ss e testes Flano de Recupera o de Desastre Flano de Actualiza o Plano de Exerc cios e Plano de Regresso Plano de Exerc cios e Sensibiliza o Normalidade Sensibiliza o JD LL LD w1L f i Tempo Cria o do PCN Incidente Notifica o Declara o de Regresso Normalidade desastre normalidade Fig IV 5 Per odo de utiliza o dos planos constituintes do PCN A estrutura
121. al 118 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO actualmente em vigor n o seja abrangente poss vel em termos legais agir em resposta a ataques sendo estes qualificados como infrac es econ mico financeiras cometidas de forma organizada ou com recurso inform tica O processo investigativo poder envolver entre outros uma an lise forense dos sistemas afectados pelo que de extrema import ncia a j referida reten o de logs bem como a preserva o cuidadosa dos sistemas na medida em que estes poder o conter ind cios reveladores da actua o do atacante da extens o dos danos cau sados etc Uma breve pesquisa por inform tica no s tio da Pol cia Judici ria na Internet revelar dezenas de comunicados de investi ga es conclu das sobre crimes inform ticos incluindo v rios casos de deten o de indiv duos acusados de penetra o ou utili za o indevida de sistemas de terceiros No decurso da investiga o criminal ou oficiosa de um ataque ser bastante natural que a Empresa se depare com intermedi rios v timas inocentes do atacante utilizadas como trampolins para aceder aos alvos servindo igualmente para dificultar a tarefa de determina o da origem do atacante Alternativamente tamb m se poder deparar com atacantes ing nuos ou seja terceiros que desconhecem o facto dos seus siste mas estarem a atacar outros As principais categ
122. alavra passe tem de ser comunicada ao sistema podendo ser interceptada em tr nsito a utiliza o de um PIN associado local mente ao cart o diminui esse perigo Se bem que apresentem alguma resist ncia a tentativas de viola o e ou de extrac o de informa o n o s o infelizmente a solu o milagrosa para os problemas da autentica o Um cart o pode ser perdido ou roubado o que levanta s rios problemas se todos os dados de acesso residirem num cart o e esse cart o estiver indis pon vel o que acontece Surge ent o a biometria Teoricamente esta alternativa ao basear se em algo que eu sou trazia consigo a promessa de tornar vir REAS DA SEGURAN A EMPRESARIAL 83 tualmente imposs vel enganar o sistema Na pr tica as coisas n o funcionam t o bem Por ser uma tecnologia numa fase ainda um pouco incipiente a quest o dos falsos negativos adquire uma particular import ncia Os sistemas existentes no mercado dos quais se destacam os leito res de impress es digitais pelo seu pre o relativamente acess vel e n vel de implanta o n o s o ainda suficientemente precisos ao ponto de reconhecer de forma fi vel e consistente os utilizadores autorizados Por outro lado os leitores de ris ocular e de reconhe cimento facial por serem ainda demasiado dispendiosos n o se constituem como alternativa Podem ainda surgir situa es em que com a introdu o de autentica o biom trica
123. amentou a com o argu mento de precisar de configurar v rios par metros e solicitou que a informa o lhe fosse transmitida O gestor de conta argumentou que a informa o era confidencial e que j havia sido enviada para a Empresa mas o contra argumento foi o de que a Empresa estava mal organizada e as altera es eram urgentes Assim solicitava se que os dados de acesso fossem comunicados por correio electr nico para um endere o particular ou por telefone para um n mero de telem vel Ao fim de alguma insist ncia foi dif cil para o gestor de conta obter os dados em quest o e depois de uma troca de mensagens de e mail sempre a partir da conta particular o autor deste livro rece beu por telefone a informa o pretendida 78 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO O telem vel utilizado podia ter sido qualquer um acabado de com prar e n o registado e a conta de e mail poderia ter sido acabada de criar com dados fict cios utilizando um acesso gratuito Internet dispon vel nos supermercados Ou seja com meia d zia de telefo nemas argumentos convincentes e alguma paci ncia foi obtida a informa o necess ria para por exemplo encerrar as comunica es de dados de uma empresa A nsia de ajudar a urg ncia em resolver o problema e a vontade de satisfazer o cliente todas contribu ram para que esta situa o se verificasse Felizmente as inten es por detr s dest
124. ande desafio e o gozo de o superar Esperamos sinceramente que este livro o ajude levar a seguran a sua empresa Os Autores Cap tulo I Teoria da Seguran a A seguran a dos sistemas de informa o Sl engloba um n mero elevado de disciplinas que poder o estar sob a al ada de um ou v rios indiv duos Entre estas disciplinas encontram se as seguintes seguran a de redes seguran a f sica seguran a de computadores seguran a do pessoal seguran a aplicacional criptografia gest o de projectos forma o conformidade Neste primeiro cap tulo iremos abordar alguns conceitos princ pios e modelos elementares da seguran a dos SI por forma a identificar uma base te rica de refer ncia comum s diversas disciplinas que permita a defini o de um programa de preven o e protec o equilibrado Princ pios de Preven o e Protec o A preserva o da confidencialidade integridade e disponibilidade da informa o utilizada nos sistemas de informa o requer medidas de seguran a que por vezes s o tamb m utilizadas como forma de garantir a autenticidade e o n o rep dio 18 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Todas estas medidas independentemente do seu objectivo neces sitam ser implementadas antes da concretiza o do risco ou seja antes do incidente ocorrer As medidas de seguran a podem ser classificadas em fun o da maneira como abordam as amea a
125. aos Sistemas Sem d vida a op o mais completa e abrangente esta tamb m a mais dispendiosa Consiste na an lise exaustiva de todos os sis temas inform ticos da Empresa tanto externos expostos na Inter net como internos Uma auditoria desta natureza poder demorar dependendo do tamanho da Empresa bem como do n mero de sistemas a analisar entre algumas semanas a v rios meses Conv m contudo garantir que a auditoria n o se prolongue por muito mais de um m s pois atendendo ao ritmo da evolu o tecnol gica e ao ritmo de divulga o de vulnerabilidades e medidas correctivas alguns dos dados poder o perder a sua actualidade Este tipo de an lise utiliza uma combina o de processos automati zados por exemplo detectores de vulnerabilidades e de processos humanos Conv m garantir que a realiza o de testes n o seja intrusiva ou seja necess rio ter a certeza de que nenhum teste ir prejudicar as m quinas de produ o Para al m disso o cliente dever poder optar por uma an lise s claras ou s escuras da sua infra estrutura ligada Internet No primeiro tipo de avalia o s o reveladas as caracter sticas endere os IP diagramas de rede tipo de sistema operativos aplica es etc das m quinas a anali REAS DA SEGURAN A EMPRESARIAL 127 sar enquanto que no segundo tipo apenas fornecida a gama de endere os IP detida pela Empresa Os resultados desta auditori
126. ara a resolu o dos diversos aspectos de seguran a por ele tratado Se por um lado este documento pode ser encarado como um ponto de partida para a implementa o da seguran a da informa o por outro poder revelar a car ncia de medidas espec ficas para cum prir os requisitos de algumas empresas O seu objectivo declarado afinal o de fornecer uma base comum para o desenvolvimento de padr es de gest o da seguran a empresarial A sua consulta constitui em resumo uma leitura obrigat ria para o respons vel pela seguran a da Empresa Certifica o A certifica o por esta norma n o tarefa f cil pois devido sua abrang ncia e latitude dos seus requisitos possui implica es na organiza o como um todo Atendendo a este grau de complexi dade existem diversos s tios na Internet que fornecem informa o detalhada e at algum software que pode ser adquirido e que visa guiar o utilizador pelos diversos passos b sicos para estabelecer um n vel de seguran a na organiza o compat vel com os pr requisitos do ISO IEC 17799 A an lise de risco um requisito b sico desta norma sendo referido ao longo de todo o documento pois apenas atrav s desta an lise que ser poss vel identificar o n vel de seguran a actual da organi za o e os passos necess rios para garantir um n vel de seguran a aceit vel As etapas definidas pela organiza o dever o ent o ser consistentes com os requis
127. ara facilitar a implementa o dever o tamb m identificar se alguns elementos chave preferencialmente colaboradores da mesma rea organiza cional dos formandos que ter o forma o intensiva devido sua maior motiva o apet ncia para a novidade com vista a incentivar posteriormente com a sua capacidade de comunica o Chegada a fase de implementa o estes elementos estar o assim acess veis e dispon veis servindo como pontos de acompanhamento e estabi lidade e constituindo se como um primeiro n vel de helpdesk muito informal GEST O DO PROGRAMA DE SEGURAN A 233 Estas s o algumas das quest es que devem ser consideradas de modo a garantir uma mudan a mais suave e com maior percenta gem de sucesso N o sendo nicas nem sendo certamente a receita m gica devem contudo ser tidas em conta uma vez que comunicar ter todos os membros da equipa focados nos objectivos e possuir elementos facilitadores da mudan a foram certamente factores cr ticos para o sucesso de muitas das mudan as j imple mentadas nas organiza es Como Envolver o Neg cio na Seguran a O Programa de Seguran a um programa para o neg cio na medida em que a necessidade de garantir a seguran a e disponibi lidade da informa o acima de tudo uma necessidade do neg cio Assim este dever ser envolvido desde o in cio do programa quer seja na defini o do Plano de Continuidade do Neg cio ou simplesmente quando se
128. arial dever o ser definidas de modo a garantir n o s a recupera o dos dados mas tamb m da informa o e sempre que poss vel do conhecimento deles extra do Exemplo imagine o seguinte caso simplista Ap s um desastre dirige se ao centro de recupera o que contratou ante cipadamente recupera os dados que copiara na v s pera e que expedira para fora da Empresa obtendo assim um ficheiro com milh es de n meros separa dos por v rgulas Estes n meros representam algo mas n o sabe bem o qu Os dados est o l O que falta a informa o que os permitir usar a formata o e significado dos campos SEGURAN A FACE AO DESASTRE 149 Ao definir a estrat gia de protec o dos dados dever se ter parti cular cuidado em garantir a integridade e confidencialidade das c pias protegendo as durante o transporte e armazenamento contra perigos f sicos como o fogo furto desmagnetiza o ou inunda o Para garantir a sua utilidade ser essencial armazenar as c pias longe do local em que se encontram os sistemas de informa o de onde os dados foram retirados Esta precau o reveste se de particular import ncia uma vez que caso contr rio mesmo que as c pias permane am intactas ap s o desastre o acesso aos suportes da c pia poder ser imposs vel durante v rios dias bastando para tal que a estrutura do edif cio ou os meios de acesso sejam comprometidos pelo desastre A recupera o d
129. as medidas propostas no mbito do Plano Global de Seguran a An lise de risco Para que a Administra o aprove um conjunto equilibrado e com pleto de objectivos ser necess rio avaliar a situa o actual da seguran a na Empresa realizando uma an lise de risco A inclus o desta an lise no Plano Global de Seguran a visa sensibilizar a Administra o por forma a obter o seu apoio aumentando a con fian a no equil brio e adequa o do Programa de Seguran a atra v s da justifica o das medidas propostas resultantes da classifica o dos riscos A an lise de risco realizada no mbito do Plano Global de Segu ran a poder basear se numa das metodologias apresentadas ante riormente em Gest o do Risco sendo necess rio incluir no plano a descri o do modelo utilizado na quantifica o bem como os dados recolhidos e as conclus es produzidas Para facilitar a con sulta do documento pela hierarquia dever ser apresentada uma s ntese da an lise de forma preferencialmente gr fica Estrat gia Aprovados os objectivos o respons vel pela seguran a dever definir uma estrat gia para os atingir Esta abordagem dever iden tificar as grandes linhas de actua o que dever o manter se no essencial inalteradas no decorrer dos anos seguintes Para tal dever evitar referenciar tecnologias ou outros elementos opera cionais cuja altera o n o se reflicta no macro contexto Exemplo No mbi
130. as de mitiga o de riscos atrav s da promo o das capa cidades de resist ncia reconhecimento e recupera o de falhas aumentando a seguran a dos sistemas de informa o TEORIA DA SEGURAN A 25 Identificado o modelo considerado adequado para a seguran a da Empresa ser agora necess rio analisar um outro modelo o de maturidade que permite identificar o caminho a percorrer Modelo de Maturidade O Programa de Seguran a de uma empresa passa por v rios est dios de desenvolvimento cuja ultrapassagem representa amadure cimento Esses graus de maturidade correspondem 1 defini o de pol ticas e normas de seguran a 2 defini o da arquitectura e dos processos da seguran a 3 implementa o dos processos de suporte inspec o protec o detec o e reac o 4 realiza o de ac es de sensibiliza o e de forma o em seguran a 5 realiza o peri dica de auditorias e testes seguran a 6 implementa o de processos de resposta reflexa 7 valida o do modelo de protec o e da sua implementa o Para que a maturidade de seguran a esteja num determinado grau segundo este modelo necess rio que a Empresa complete o grau em causa e todos os graus anteriores a esse Por exemplo para atingir o grau 3 no modelo de maturidade ser necess rio primeiro cumprir razoavelmente os requisitos dos graus 1 e 2 Apesar da subjectividade associada implementa o de cada grau es
131. astre n o proporcional ou seja tanto um acidente no primeiro ano como ao fim de cem anos causam a totalidade dos danos pelo que poder ser necess ria a utiliza o de m todos mais elaborados com recurso a distribui es estat sticas complexas como por exemplo a distribui o de Poisson que n o ser o discutidos aqui An lise de Risco Qualitativa A metodologia que se ir abordar visa evitar o perigo de inac o decorrente de um esfor o excessivo de an lise fen meno tamb m GEST O DO Risco 43 designado por paralysis by analysis paralisia pela an lise Para tal a prioritiza o dos riscos efectuada de forma subjectiva estando naturalmente a qualidade dos resultados dependente dos conhecimentos e capacidade da equipa que realiza a an lise e da objectividade de quem a coordena A an lise de risco qualitativa assenta nas seguintes quatro fases 1 Constitui o da equipa 2 Realiza o de sess es de classifica o das amea as 3 Realiza o de sess es de classifica o dos impactos e 4 C lculo dos riscos A composi o da equipa desempenha um papel preponderante no seu resultado final pelo que o respons vel pela seguran a da Empresa dever evitar a tenta o de a realizar sozinho ou apenas com os membros da sua equipa e reunir um grupo com elementos competentes que representem diversas reas integrando propriet rios das aplica es informa o administradores d
132. ation 2002 CSI FBI Computer Crime and Security Survey 2002 Disaster Recovery Institute International Professional Practices for Business Continuity Planners DRII Disaster Recovery Institute International 2001 ELLIS Juanita e SPEED Timothy The Internet Security Guidebook From Planning to Deployment Academic Press USA 2001 ELLISON Carl e SCHNEIER Bruce Ten Risks of PKI What You re not Being Told about Public Key Infrastructure in Computer Security Journal Volume XVI N 1 2000 GOLLMANN Dieter Computer Security Wiley USA 2000 HALLAWELL A PESCATORE J Signature Based Virus Detection at the Desktop Is Dying Gartner Research 31 de Agosto de 2001 HALLIDAY S ADENHORST K Solms R A Business Approach to Effective Information Technology Risk Analysis and Management in Information Management amp Computer Security pp 19 31 MCB University Press 1996 International Standards Organization International Standard ISO IEC 17799 Information Technology Code of practice for information security management s e Genebra 2000 KIRAN Shashi LAREAU Patricia LLOYD Steve PKI Basics A Technical Perspective PKI Forum s Business Working Group Novembro de 2002 KOTTER John P A Force for Change How leadership differs from management The Free Press Nova lorque 1990 KOTTER John P Leading Change Harvard Business School Press 1996 256 SEGURAN A DOS SISTEMAS DE INFORMA
133. auditoria tem duas fun es b sicas no que respeita a este pro grama verificar o seu andamento e o da introdu o dos controlos e validar a efic cia final do programa Uma auditoria anual por parte de uma entidade externa ir assegurar a recolha de informa o independente sobre a efic cia dos controlos introduzidos e em ltima an lise a obten o de indica es sobre os desvios existen tes que possam contribuir para a melhoria da an lise de risco Ao longo do programa a auditoria interna poder actuar como um elo do processo de controlo Isto em caso de necessidade poder se solicitar auditoria uma an lise do andamento do programa das suas diversas actividades dos custos incorridos etc Esta ava lia o poder actuar em caso de desvios graves como uma garantia para o chefe de programa e para o Sponsor de que os desvios s o realmente os j detectados e tamb m como forma de pressionar os elementos da equipa no sentido de cumprirem o que estava defi nido Estas auditorias interm dias poder o ser planeadas logo no in cio do programa para os seus momentos chave ou ent o serem solicitadas pelo chefe do programa ou pelo Sponsor em caso de necessidade No final dever ser sempre efectuada uma auditoria que permita avaliar se os documentos de encerramento do programa s o fide dignos por exemplo se o relat rio de custos est correcto e verifi car tamb m a efic cia das medidas entretanto implementa
134. baseada na leitura de impress es digitais se se verificarem n veis de nega o de acesso a utilizadores leg timos bastante elevados podem surgir n veis de frustra o tamb m demasiado elevados Para al m desta quest o mais t cnica h que ponderar os ele mentos psicol gicos associados a esta tecnologia nomeadamente a potencial falta de aceita o por parte dos utilizadores em que uma organiza o fique com registos das suas caracter sticas f si cas Aqui conv m tornar extremamente claro comunidade de utili zadores destes sistemas que a informa o armazenada se limita a matrizes de coordenadas geom tricas n o revers veis ou seja nem a Empresa guarda uma imagem da caracter stica f sica utili zada para autentica o nem o registo que guardado pode alguma vez ser utilizado para reconstruir essa caracter stica Com o evoluir da tecnologia e com ac es de esclarecimento junto dos utilizadores as quest es acima apresentadas poderiam ser resolvidas Ent o porque que n o se assiste a uma maior implanta o de sistemas biom tricos Por duas ordens de factores Em primeiro lugar os custos associa dos a estas solu es levam a que apenas possam ser consideradas em implementa es limitadas tais como no controlo de acessos a zonas extremamente sens veis Por outro lado existem formas de ludibriar o sistema Um investigador da universidade japonesa de 84 SEGURAN A DOS SISTEMAS DE INFORMA O
135. bugs relaciona dos com a seguran a diferem dos bugs de funcionalidade na medida em que estes ltimos se prendem com algo que o programa n o faz ou faz mal mas deveria fazer enquanto que os bugs de seguran a se manifestam tipicamente em ac es adicionais n o pretendidas na especifica o original nestes comportamentos adicionais que residem os principais riscos de seguran a associa dos ao desenvolvimento pois podem gerar falhas graves no modo como por exemplo interagem com o sistema operativo Para a detec o destes erros a equipa de desenvolvimento dever olhar para al m das especifica es do software e tentar olhar em volta Para este fim dever o utilizar mecanismos de verifica o do funcionamento do programa em desenvolvimento mecanismos estes que devem permitir a indu o volunt ria de erros a an lise de interac es com outros programas etc como forma de obter uma imagem real do comportamento do programa Uma vez detectados os erros existentes na vers o de teste pro cede se sua correc o o que por vezes pode implicar a reescrita REAS DA SEGURAN A EMPRESARIAL 123 de partes do c digo No final desta fase de correc o procedem se a novos testes que caso sejam bem sucedidos servir o como mecanismos de aceita o do produto final Por fim a aplica o colocada em funcionamento no ambiente de produ o da Empresa Todo o processo acima descrito como se constatou
136. ca dever ser pensada em moldes conc ntricos e de profundidade com vista a incrementar os n veis de protec o contra acessos n o autorizados Segundo esta l gica os bens mais preciosos dever o encontrar se mais perto do centro das instala es obrigando passagem por diversos n veis de valida o Pelo contr rio os componentes menos valiosos ou mais facilmente substitu veis poder o ficar em zonas perif ricas menos protegidas mas nunca dispensando por completo um qualquer tipo de salva guarda Os diferentes n veis de valida o devem igualmente ser proporcio nais informa o que protegem Exemplo O acesso a uma sala de processamento de dados protegido por um leitor de cart es magn ticos Dentro dessa sala o acesso zona das consolas de Adminis 66 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO tra o dos sistemas centralizados j requer para al m do cart o magn tico um PIN num rico Por outro lado o acesso sala dos servidores j poder obrigar ao registo num livro de acesso bem como utiliza o do cart o e do PIN Localiza o dos Centros de Dados Segundo a proposi o atr s apresentada a localiza o dos centros de dados ou dos arquivos de informa o cr tica para a Empresa dever ser cuidadosamente considerada Numa situa o em que se est a planear de raiz a constru o de um edif cio existem v rias linhas de orienta o que dever o ser s
137. cada controlo Arquitectura de Seguran a Identidade Cortidencididade Disponibilidade Cortormidade Poltica Preven o Cortra C digo Maliciaso Cortrob de Licen as Cifra encripta o Protec o Contra Desastre Gest o decertificados Gest o de chaves C pia de Seguran a backups or Resist ncia Engenharia Social Sensibiliza o Foma o Puditabilidade Regito Legal Detec o de intrus o Valida o Hasto Notrtica o Cortrolo de Acesso Autoriza o Idertifica o Autentica o Blimina o de vulnerabilidades do software Fig Il 7 Arquitectura de Seguran a dos Sistemas de Informa o Gest o DO Risco 51 Exemplo ap s a defini o da arquitectura alvo de alto n vel para a seguran a dos sistemas de informa o antes de adicionar uma Extranet nova o respons vel pela segu ran a dever desenhar o diagrama correspondente arquitectura alvo para a rede em mat ria de seguran a Esta arquitectura de baixo n vel composta pelo dia grama de liga o dos dispositivos firewalls routers proxies etc pela descri o das suas fun es luz da arquitectura de alto n vel e pela designa o das diver sas zonas da rede Internet Intranet dos parceiros Intranet do grupo rede privada zona desmilitarizada etc A defini o da arquitectura alvo para a seguran a dos sistemas de informa o assente numa estrat gia global ir permiti
138. ccionamos software segundo as funcionalidades ofereci das e o investimento inicial em detrimento da sua robustez maturi dade e dos custos a longo prazo ou indirectos Esta realidade retirou nos a capacidade de resolu o dos proble mas de seguran a de uma forma puramente tecnol gica o que era poss vel na era do mainframe algo que agravado pela vis o redutora frequentemente encontrada nas administra es que enca ram as TI como custos n o envolvendo as reas de neg cio nos problemas encontrados e limitando se ao pagamento da factura de seguran a Sobreviv ncia da Informa o Face grande dispers o do acesso aos dados sistemas e c digo aliada elevada conectividade que o futuro parece ter reservada para n s teremos de aceitar a vis o e controlo limitados que temos sobre a parte da imagem global sob a nossa al ada A este factor juntam se as necessidades de protec o e j n o s das tecnolo gias de suporte aos objectivos da organiza o num contexto hostil em que cada vez mais dif cil isolar per metros ou reas em que se possa confiar Para satisfa o das necessidades supracitadas surgiu um novo modelo designado Modelo de Sobreviv ncia da Informa o que integra o conceito da sobreviv ncia com o da gest o do risco pelo neg cio obrigando utiliza o de estrat gias de gest o do risco baseadas num conhecimento ntimo da miss o a proteger Nesta aborda
139. ciais problemas muitas vezes atrav s de conversas de corredor que o chefe de programa se ir aperceber de diversas situa es cr ticas sobre as quais dever agir de forma a neutralizar potenciais problemas Exemplo o chefe do Programa de Seguran a deve aproveitar as conversas informais tidas com os administradores de sistemas e outros t cnicos para se aperceber se as normas de seguran a est o a ser interpretadas ade quadamente ou seja se as medidas de seguran a decorrentes desses documentos est o a ser imple mentadas N o devemos esquecer que a seguran a uma rea cr tica da Empresa e que dever o ser tomadas medidas logo no momento em que se detecta algum problema Assim sendo dever providenciar se um esquema de dissemina o de alertas assente em sistemas tecnol gicos ou n o tanto para incidentes por exemplo um sis tema respons vel pelo envio de uma mensagem quando um servi dor p ra como para vulnerabilidades pode ser simplesmente o reenvio selectivo de newsletters de vulnerabilidades Desta forma ser assegurado o fluir de informa o no momento em que surge um problema ou em que a situa o se tome cr tica O objectivo destes mecanismos de comunica o ser conferir visibilidade aos problemas existentes e permitir a tomada de medidas adequadas Outro objectivo da defini o de um fluxo de informa o para o Pro grama de Seguran a assegurar que todos os colaboradores sabem a quem
140. cial para o desenvolvimento da seguran a sendo necess rio para tal identificar o respons vel por essa informa o a quem dever o ser reportados os problemas e atribu da a autoridade para facultar acessos Assim h que definir relacionamentos e regras identifi cando os fluxos de comunica o entre os sistemas de informa o e os propriet rios da informa o armazenada e processada por esses sistemas bem como sensibilizar esses mesmos propriet rios para os seus pr prios requisitos de seguran a A classifica o da informa o o processo que ir permitir a pro tec o diferenciada dos diversos suportes de dados permitindo uma eficiente gest o dos recursos necess rios para a protec o dos bens da Empresa Esta actividade dever ser efectuada tendo em conta que a criticidade da informa o pode decorrer tanto das necessidades pr prias do neg cio como de quest es legais Exemplo uma base de dados com informa o pessoal de clien tes necessariamente informa o cr tica em termos de confidencialidade e de integridade com requisitos muito espec ficos de protec o ver Padr es e Legisla o O ponto de partida deste processo dever ser a apresenta o aos diversos propriet rios dos dados das defini es dos diferentes n veis de classifica o se poss vel com m tricas demonstrando a necessidade de segmenta o da informa o com vista sua pro tec o eficiente GEST O DO PROG
141. ctivado o plano e quais os testes que se ir o realizar Para al m da sensibiliza o que se dever estender a todos os colaboradores da Empresa a execu o dos procedimentos inclu dos no plano de continuidade do neg cio ir requerer actividades de forma o espec fica dos intervenientes com responsabilidades o que dever ser tamb m alvo de planeamento e or amenta o ade quados SEGURAN A FACE AO DESASTRE 163 Manuten o e Actualiza o A manuten o e actualiza o do plano de continuidade do neg cio requer o estabelecimento de um programa que suporte a sua comunica o peri dica a todas as pessoas envolvidas tanto para sensibiliza o como para o refor o da informa o j anteriormente veiculada Este programa deve tamb m contemplar a realiza o do conjunto de actividades necess rias introdu o de altera es no plano de modo a garantir permanentemente a capacidade de recupera o de um desastre Plano de Exerc cios e Sensibiliza o O plano de exerc cios e sensibiliza o ir simplesmente repetir ao longo do tempo o processo de realiza o de testes e as actividades de sensibiliza o forma o j abordadas no mbito da implementa o do plano Plano de Actualiza o O plano de actualiza o dever implementar uma metodologia que permita a avalia o peri dica da capacidade de recupera o e a introdu o das altera es necess rias no plano de continuidade d
142. dade associada a um indiv duo ou equipa de indiv duos caso a dimens o e estrutura da Empresa assim o justifique Neste cap tulo iremos analisar diversos aspectos da equipa respon s vel pela seguran a na Empresa aspectos esses que se manter o inalterados quer a responsabilidade da seguran a seja repartida entre os respons veis de diversas outras reas quer sobre um ou mais indiv duos afectos exclusivamente seguran a Antes de avan ar por m importante referir que apesar da reali dade nacional ainda n o revelar muitas empresas com respons veis em seguran a dedicados esse o caminho que se antev no momento Este sentimento refor ado quotidianamente pelo ciclo de viol ncia registado pelo Mundo com a escalada do terrorismo iniciada em 11 de Setembro de 2001 Dimens o A seguran a n o um produto mas sim um processo cont nuo que existe tanto ao n vel estrat gico como t ctico e operacional Da defini o e respectivos requisitos para implementa o e gest o das medidas de seguran a contempladas ir resultar o dimensiona mento da equipa que as ir realizar Existem basicamente tr s modalidades de afecta o de recursos seguran a em dedica o exclusiva ou em dedica o parcial com ou sem responsabilidade global Apesar da primeira destas modali dades n o se encontrar ao alcance de muitas empresas especial mente das PME esta a forma mais eficiente de levar a seguran a ao
143. das GEST O DO PROGRAMA DE SEGURAN A 245 No mbito da auditoria interna ser necess rio garantir a introdu o nos procedimentos regulares de auditoria da verifica o dos controlos de seguran a como modo de garantir que todos os anos se efectua pelo menos uma an lise dos procedimentos de segu ran a da Empresa que detecte os riscos elementares presentes e caso necess rio despolete os processos de correc o dos contro los Exemplo seo Plano de Continuidade do Neg cio da Empresa requer a defini o de um procedimento de conting ncia para cada processo cr tico a auditoria interna dever verificar ao analisar os processos se todos possuem o respectivo procedimento de conting ncia Todas as auditorias efectuadas rea de seguran a dever o envol ver o respons vel pela seguran a da Empresa ou algum elemento chave da sua equipa utilizando assim o conhecimento profundo detido por estes elementos como mais valias necess rias a uma avalia o eficaz No processo de avalia o final o chefe do Programa de Seguran a dever avaliar a sua equipa indicando inclusivamente se esta era adequada Caso seja poss vel esta an lise dever recolher ainda as opini es dos participantes incluindo os elementos de todas as reas da Empresa envolvidos no programa Ao avaliar a equipa e a execu o do programa ser poss vel apren der com o esfor o realizado e com os erros cometidos Um ponto importante da a
144. das pos sam levar a conclus es erradas Por outro a leitura da pol tica de seguran a por parte dos utilizadores deve constituir o in cio e n o o fim da introdu o destes filosofia da Empresa 74 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Depois de divulgada individualmente a pol tica de seguran a poder por exemplo ser apresentada na Intranet contendo comen t rios s suas regras Para al m disso o respons vel pela seguran a empresarial dever estar sempre dispon vel para o esclareci mento de quaisquer d vidas que a pol tica de seguran a ou as normas procedimentos possam levantar O importante apresentar a pol tica da Empresa de uma forma enquadrada e contextualizada N o dever o restar d vidas aos utilizadores sobre qual a atitude da organiza o em rela o seguran a se todo o correio electr nico for sujeito a inspec o de conte do este facto dever ser do conhecimento geral e n o deve nunca ser ocultado aos utilizado res Boas Pr ticas Todas as organiza es possuem em moldes formais ou informais orienta es que podem ser entendidas como as boas pr ticas de utiliza o dos recursos dispon veis Este conjunto de orienta es dever ser comunicado aos colaboradores da Empresa de forma a estabelecer claramente os limites do que ou n o aceit vel sempre prefer vel mesmo nos casos em que n o exista uma orienta o formal comunicar e
145. de acesso remoto uso aceit vel do acesso Internet uso aceit vel do correio electr nico liga o rede etc Para permitir a utiliza o rigorosa das pol ticas as regras inclu das dever o ser numeradas e cada pol tica deve indicar a vers o da sua redac o A Pol tica de Seguran a deve ser do conhecimento de todos os colaboradores da Empresa possivelmente atrav s da edi o de um folheto que dever ser fornecido aos colaboradores no decurso do seu processo de admiss o Normas de Seguran a As Normas de Seguran a s o o documento composto por todas as regras de seguran a da Empresa concretizando em detalhe as linhas orientadoras estabelecidas na Pol tica de Seguran a neste documento que dever o estar referenciadas as tecnologias utiliza das na Empresa e a forma segura de as utilizar 182 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Apesar do grau de detalhe pretendido ser superior ao encontrado na Pol tica de Seguran a as Normas n o dever o conter detalhes de implementa o ou opera o o que confere ao documento alguma intemporalidade Desta forma n o aconselh vel referenciar nas Normas de Seguran a aspectos relativos a marcas modelos ou vers es algo que dever ser deixado para o n vel mais baixo da documenta o de seguran a os procedimentos Exemplo Os sistemas operativos dever o sempre que tal seja poss vel ser configurados por forma a
146. de Pontos de Acesso Telef nico Muitas vezes apelidados de testes de war dialing este teste con siste fundamentalmente na realiza o de varrimentos a todas as linhas telef nicas da Empresa com vista detec o de modems ou servidores de acesso autorizados ou n o Este teste dever ainda incluir tentativas de intrus o nos sistemas ligados a esses pontos de acesso Para al m do varrimento telef nico poder ser realizado um varrimento aos sistemas inform ticos existentes com vista detec o de eventuais pontos de entrada A pertin ncia de um teste deste g nero particularmente elevada no caso de organiza es muito grandes ou geograficamente disper sas em que n o seja poss vel exercer controlo sobre todas as esta es de trabalho existentes O comodismo de muitos utilizadores REAS DA SEGURAN A EMPRESARIAL 129 poder levar instala o de modems ou disponibiliza o de ser vi os que podem constituir pontos de entrada alternativos na rede empresarial Detec o de Pontos de Acesso WLAN Muitas vezes apelidado de war driving este teste consiste na pro cura sistem tica de pontos de acesso wireless piratas eventual mente instalados por utilizadores revelia do departamento de inform tica por exemplo por alunos num campus universit rio Pode tamb m representar a tentativa sistem tica de detec o de pontos de entrada desprotegidos nas redes wireless empresariais A tecnolo
147. de responsabilidades n o o de evitar que algu m venha a deter demasiado poder sobre qualquer aspecto da Empresa mas antes o de criar mecanismos de salvaguarda que evitem situa es que mesmo inocentes possam afectar adversa mente o neg cio requerendo sempre a participa o de pelo menos duas pessoas para completar qualquer processo cr tico para a Empresa Assim dever evitar se a atribui o a uma nica pessoa de fun es vitais para a organiza o devendo sempre tentar distribuir se essas fun es por dois ou mais colaboradores Como seres humanos que somos ningu m est isento de um engano Ao concentrar acti vidades cr ticas numa nica pessoa a Empresa estar a potenciar a possibilidade de falhas ou erros que podem prejudicar o seu funcio namento Como tal dever o ser analisadas as fun es cr ticas e dever o ser criadas solu es de separa o de responsabilidades e de verifica o de ac es Exemplo se um operador insere dados cr ticos num sistema dever existir algu m respons vel pela verifica o da correc o dos dados inseridos se existe algu m res pons vel pela gest o de contas inform ticas de admi nistrador dever haver algu m que valide ac es rea lizadas Seguran a L gica Sem a exist ncia de medidas de seguran a l gica a informa o em suporte digital encontra se exposta a ataques Alguns destes ata ques s o passivos na medida em que apenas capturam os dado
148. definidos ini cialmente analisando e quantificando os desvios e identificando as suas causas de modo a retirar conclus es para melhorar progra mas futuros Uma vez que a Empresa uma entidade em constante muta o e aprendizagem o controlo e avalia o dos seus progra mas dever ser um dos motores dessa evolu o aprendendo se com os erros cometidos e divulgando e reutilizando as best practi ces identificadas GEST O DO PROGRAMA DE SEGURAN A 239 O controlo e avalia o do Programa de Seguran a um elemento essencial uma vez que o impacto de potenciais erros ou do incum primento dos objectivos predefinidos poder ter um custo muito ele vado para a Empresa Exemplo a ocorr ncia de um desastre ap s o incumprimento do objectivo de cria o do plano de recupera o de desastre n o ser encarado certamente com bons olhos em qualquer Empresa O controlo do programa dever ser constante e formal devendo ser predefinidos os momentos em que o programa ser avaliado e os par metros dessa avalia o Contudo esta defini o pode ser revista caso necess rio com a introdu o de novos momentos de controlo S com um acompanhamento pr ximo e atento que ser o identificados atempadamente os desvios ocorridos permi tindo uma actua o no sentido de minimizar os danos efectivos ou potenciais por eles causados O pre o a pagar por falhas no acom panhamento poder ser a detec o tardia de desvios possive
149. dentificar actividades sus peitas Muitos dos sistemas existentes no mercado combinam estas duas fontes de informa o conseguindo deste modo uma vis o muito mais abrangente da actividade dos Sl O nico problema com a grande maioria da oferta o facto desta se basear um pouco como os sistemas antiv rus em bases de dados de assinaturas de ata ques se os ataques j conhecidos s o detectados as tentativas originais podem passar impunemente Esta quest o est a tentar ser solucionada atrav s do desenvolvimento de sistemas inteli gentes com a capacidade de cruzamento de dados e de aprendi zagem baseada no historial de actividade detectada Por m ainda n o existem solu es comerciais com estas caracter sticas e pode se presumir que a sua implementa o ainda venha a demorar Outra quest o potencialmente problem tica tem a ver com o volume de dados gerado Numa rede com elevados ndices de actividade os dados registados pelas sondas IDS podem atingir propor es significativas o que implica dificuldades de capacidade de detec o REAS DA SEGURAN A EMPRESARIAL 113 e de gest o De facto estes sistemas requerem acompanhamento em tempo til por parte do respectivo administrador como forma de valida o das ocorr ncias registadas Se considerarmos ainda que para al m destes existem registos dos servidores dos routers das firewalls dos sistemas antiv rus etc a carga administrativa asso ciada s
150. der de vista os reais objectivos da organiza o Os t picos da confidencialidade integridade e disponibilidade encontram se intimamente ligados no que concerne a protec o da informa o quer esta seja f sica ou l gica Uma falha num destes elementos compromete os restantes pelo que os controlos a implementar no Plano Global de Seguran a dever o ter em conta o ntimo relacionamento destes aspectos bem como a complexidade de gest o a eles associada Assim atrav s da correcta aplica o das solu es apropriadas estes tr s vectores ser o garantidos Os mecanismos a utilizar dever o basear se na filosofia de segu ran a vigente na Empresa consubstanciada na pol tica nas normas e nos procedimentos definidos para a seguran a bem como nos requisitos definidos pelos propriet rios da informa o Estes con trolos enquadrados desta forma poder o materializar se por exemplo sob a forma de acordos de n vel de servi o para a segu ran a abordados mais adiante neste livro ver Acordos de N vel de Servi o no cap tulo Cria o do Plano de Seguran a Todos os controlos que possam vir a ser introduzidos para a garan tia das necessidades citadas dever o dar resposta s particularida des das v rias reas da seguran a empresarial Os cap tulos que se seguem apresentam essas reas e respectivas caracter sticas Seguran a F sica O ambiente f sico no qual a Empresa opera pode constituir
151. do a introdu o do controlo representaria uma redu o da exposi o perda de seis mil para tr s mil e novecentos Euros por ano Conclus o Neste cap tulo foram abordadas formas alternativas de analisar o grau de exposi o da Empresa aos riscos e de selec o das medi das necess rias para os reduzir ou eliminar em fun o do resultado dessa an lise Nos pr ximos cap tulos ser o descritas algumas dessas medidas designadas por controlos bem como a sua implementa o e ges t o Cap tulo III reas da Seguran a Empresarial Este cap tulo pretende descrever as principais reas em que se inserem os controlos de seguran a Cont m uma listagem dos prin cipais aspectos a que qualquer respons vel ter de se dedicar durante a implementa o de um Programa de Seguran a sob pena deste n o ser compreensivo nas suas medidas de preven o e protec o Pretende se com este cap tulo listar as caracter sticas dessas reas e chamar a aten o do leitor para as suas particulari dades Seguran a da Informa o O respons vel pela implementa o da seguran a dos sistemas de informa o Sl na Empresa tem como primeira miss o e mais importante a garantia da seguran a da informa o que protege Esta garantia conseguida mediante a utiliza o de v rios instru mentos que dever o abarcar as diversas reas apresentadas em seguida Pol tica Normas e Procedimentos Estes s o os mecanismos
152. e adquire assumindo que t o seguro quanto o valor que reconhece marca Este capital de confian a que a Empresa det m junto do cliente vol til e pode desaparecer bastando para tal algo t o simples como a aten o inusitada dos media sendo ent o dif cil recuper lo semelhan a dos utilizadores os clientes contornar o a seguran a em prol da comodidade se lhes for dada oportunidade para tal algo que potenciado pela inexist ncia de um v nculo forte Empresa Desta forma dificilmente se poder contar com eles para promover a seguran a 32 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Apesar disso a Empresa pode impor lhes regras na utiliza o dos seus produtos e servi os Estas regras devem no entanto ser cla ramente justific veis de forma compreens vel para o cliente Outra forma de reduzir o risco na interac o com os clientes a introdu o de formas de monitoriza o nos casos em que n o for poss vel introduzir uma utiliza o segura Parceiros Os parceiros da Empresa s o as entidades externas que participam de m ltiplas formas nos processos de neg cio tanto ao n vel dos canais de distribui o como na produ o Estes actores podem assumir uma parte ou mesmo a totalidade dos processos de seguran a da Empresa ou constituir apenas uma componente dos processos de neg cio Regra geral os parceiros n o t m interesse na nossa seguran a desde que esta
153. e apre goada numa frase que nos habitu mos a ouvir a seguran a como uma corrente t o forte quanto o seu elo mais fraco Cada vez mais constatamos que a informa o reside em sistemas sem seguran a significativa por exemplo em PCs de secret ria ou port teis e as fortalezas existentes v em comprometida a sua estanquecidade com por exemplo a abertura de portas VPN ou pior do ponto de vista da seguran a anexando aos sistemas pequenos pacotes de c digo produzidos por desconhecidos add ins snap ins applets etc Uma das consequ ncias da utiliza o deste modelo a perpetua o de solu es tamb m desajustadas que consistem frequentemente em atirar tecnologia ao problema Este acto serve o nosso sentimento de posse aquela caixa pro tege nos mas n o nos torna mais seguros Segundo uma an lise conjunta do CSI FBI realizada em 2002 a percentagem dos ataques registados em redes inform ticas empresariais com origem no interior das mesmas situou se nos 33 TEORIA DA SEGURAN A 23 Os ltimos anos assistiram evolu o das aplica es de neg cio que passaram de sistemas isolados stand alone fechados sobre os quais as organiza es detinham total controlo para sistemas abertos distribu dos baseados em componentes off the shelf COTS dos quais as organiza es t m um conhecimento e con trolo limitados Frequentemente se n o na quase totalidade dos casos sele
154. e as diversas metodologias utilizadas encontram se a transfer ncia dos custos dos departamentos de suporte por exemplo Sl Contabilidade etc para os departamen tos principais por exemplo comerciais com base em per centagens predefinidas a transfer ncia total dos custos na propor o da sua utiliza o pelos diversos departamentos ou a ptica de micro empresas em que s o estipulados pre os de venda dos servi os superiores ao custo real entre departamentos A escolha da metodologia a adoptar ir naturalmente depender do modelo organizativo dos custos benef cios da montagem do sis tema de suporte e dos seus valores de manuten o No Programa de Seguran a poder ser utilizada uma destas meto dologias uma vez que devido sua abrang ncia a seguran a n o dever ser encarada como um custo exclusivo de um nico depar tamento tradicionalmente o de Sistemas de Informa o uma vez 228 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO que beneficia a Empresa como um todo Assim o programa poder adoptar uma l gica de pre os de transfer ncia permitindo a deslo ca o dos custos para os seus reais benefici rios Exemplo considerando a implementa o de ferramentas de seguran a l gica nos port teis da Empresa o custo da sua implementa o poder ser repartido pelos depar tamentos beneficiados de acordo com a percentagem do n mero total de port teis afectos a cad
155. e de criar promover e gerir o Plano Global de Segu ran a tendo para tal de efectuar uma an lise de risco capaz de identificar os principais riscos bem como definir as estrat gias de preven o e de protec o No mbito das actividades do Plano Global de Seguran a o res pons vel dever escrever validar e promover pol ticas e normas de seguran a sensibilizar e formar a hierarquia restantes colaborado res e terceiros bem como envolver se de raiz em projectos novos 194 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Por fim compete ao respons vel pela seguran a da Empresa ser o interlocutor interno em mat rias de seguran a servindo de consul tor e de conselheiro Enquadramento O enquadramento do respons vel e da sua eventual equipa de seguran a na estrutura da Empresa reflecte se sobre a sua capaci dade alcance e for a no interior da mesma Existem duas formas principais de posicionamento para esta fun o num departamento transversal ou no interior de uma rea t c nica tipicamente nos sistemas de informa o Cada uma destas formas tem as suas vantagens e desvantagens como veremos de seguida Comecemos por abordar as situa es em que a hierarquia da empresa entende a fun o de respons vel pela seguran a como estando enquadrada num departamento transversal Este enqua dramento tem a vantagem de conferir isen o e independ ncia fun o da seguran a conferindo lhe uma
156. e exemplo eram leg timas mas o autor aproveitou a situa o para ver at que ponto seria pos s vel obter este tipo de informa o extremamente sens vel sem ter de apresentar qualquer prova E conseguiu o Casos como este sucedem se diariamente em todo o mundo Se nalguns casos tudo pode n o passar de uma situa o leg tima outros casos haver em que algu m se queira aproveitar da boa vontade alheia para fins menos apropriados Como responder a situa es como esta N o bastar definir um procedimento bem expl cito sobre como lidar com pedidos de infor ma o externos se bem que este deva existir e deva ser o mais exaustivo poss vel importante alertar os utilizadores particular mente aqueles que lidam diariamente com elementos externos Empresa para este tipo de ataques e para as formas de os reco nhecer e de lidar com eles Se o procedimento deve conter instru es claras para a verifica o da identidade dos interlocutores locais ou remotos a sensibiliza o dos utilizadores para esta quest o levar a que estes exer am o seu sentido cr tico tentando detectar atitudes suspeitas ou pedidos inusitados REAS DA SEGURAN A EMPRESARIAL 79 Segrega o de Responsabilidades Tal como o velho ad gio nos indica nunca bom colocar todos os ovos no mesmo cesto Esta frase feita tem aplica o em todos os aspectos da nossa vida e igualmente no campo da seguran a O objectivo da segrega o
157. e rede entre suponhamos a obrigatoriedade de um comprimento m nimo de 6 caracteres independentemente da sua natureza e a obrigatoriedade de utiliza o de uma palavra passe m nima com 8 caracteres que inclua n meros s mbolos e letras este poder optar pela segunda Apesar desta solu o parecer adequada do ponto de vista do t cnico considerando um ponto de vista mais abrangente que englobe a popula o dos utilizadores da Empresa podemos concluir no entanto que tal medida pode resultar num decr scimo do n vel real de seguran a uma vez que uma parte dos utiliza dores que n o conseguiria gerir mentalmente uma palavra passe t o complexa a iria apontar num papel que manteria acess vel colada no monitor ou debaixo do teclado Perfil Quais s o as principais caracter sticas necess rias ao bom desem penho da fun o de seguran a Em primeiro lugar devemos considerar as duas componentes dis tintas do Programa de Seguran a a cria o e gest o do programa e a Administra o no dia a dia das medidas que este implementa Se por um lado necess rio um especialista em seguran a para a defini o e gest o do Programa de Seguran a da empresa por outro lado para a Administra o no dia a dia tipicamente t cnica 196 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO bastar um especialista na tecnologia ou mat ria relevante Por exemplo ao definir um sistema de controlo de acesso dever
158. e sistemas aplica es bases de dados etc especialistas nas diversas reas tecnol gicas utilizadores programadores analistas gestores de produ o e opera o representante do departamento jur dico e se necess rio consultores Adicionalmente a representatividade conferida por uma lista abran gente de participantes ir garantir que os controlos recomendados na sequ ncia da an lise de risco produzida ser o bem aceites pelas reas afectadas 44 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Ap s a constitui o da equipa de an lise de risco qualitativa ser o organizadas sess es para discuss o e posterior preenchimento da ficha de classifica o das amea as ver exemplo da Fig Il 4 atra v s da atribui o de valores para o grau de probabilidade e de impacto de cada uma delas Esta classifica o poder ser efec tuada quer por consenso quer pela m dia das classifica es indivi duais atribu das pelos diversos membros Amea a Probabilidade Impacto Risco Inc ndio 1 5 Inunda o 2 1 Furto 2 2 Fig Il 4 Ficha de classifica o das amea as Exemplo Nestas sess es o papel do coordenador da an lise preponde rante pelo que este elemento dever observar o seguinte conjunto de regras para facilitar o processo e garantir a sua concretiza o fomentar a participa o n o preleccionar manter a discuss
159. e sistemas com impacto exclusiva mente local enquanto que os administradores gerem os sistemas centrais Esta defini o algo prec ria no entanto face centrali za o descentraliza o c clica que afecta regularmente os sistemas de informa o Ao n vel da implementa o os administradores inform ticos desempenham o papel mais importante na seguran a abaixo do n vel estrat gico decis rio uma vez que as medidas que imple mentam atingem uma popula o alargada Por outro lado os t cni cos ao implementarem em massa ac es junto dos utilizadores por exemplo instalando o sistema operativo nas esta es de tra balho replicam por um n mero significativo de sistemas quaisquer vulnerabilidades que possam existir Na realidade a designa o inform tico descreve mais uma forma de pensar e o comportamento associado do que uma fun o Uma gra a que ilustra esta forma de pensar o ditado 99 dos proble mas de um sistema encontram se entre o teclado e a cadeira o que indicia incompreens o dos aspectos humanos e da compo nente de intelig ncia emocional existente nos processos que assentam na tecnologia por eles suportada Por sua vez a esta incompreens o encontra se associada uma postura tecnol gica quase evangelizadora na resolu o dos problemas que se expressa na promo o recorrente de solu es tecnol gicas em detrimento de outros tipos por exemplo a altera o do procedi mento
160. e sistemas pressup e a exist ncia do hardware software e infra estrutura necess rios utiliza o dos mesmos onde se inclui o espa o f sico o fornecimento de energia el ctrica e de comunica es dados e voz locais e remotas ventila o aquecimento ilumina o instala es sanit rias e dispositivos de controlo de acesso f sico podendo a contrata o incluir ainda os recursos t cnicos humanos necess rios ao suporte dos sistemas a recuperar Em termos de alternativas estrat gicas a recupera o de sistemas poder ocorrer noutras instala es da Empresa em instala es de um fornecedor ou nas instala es de um parceiro de neg cio atra v s de acordos de permuta de servi os embora esta seja uma quest o delicada a abordar com precau o Neste caso dever considerar que garantias de disponibiliza o dos recursos necess rios recupera o dos dados da sua Empresa lhe oferece um parceiro essa recupera o implica interfer ncia nas opera es do seu parceiro Se sim que implica es poder o existir para a sua Empresa quais as implica es se o seu parceiro tamb m for atingido pelo desastre mesmo que marginalmente 150 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A designa o dada ao local onde efectuada a recupera o dos sistemas est associada disponibilidade do hardware e software e ao seu estado de prontid o Desta forma temos os seguintes tipos
161. ecessidade de preserva o da confi dencialidade da mesma As medidas de protec o utilizadas n o dever o expor os dados permitir o acesso indevido nem impedir ou dificultar significativamente o acesso devido a esses dados Por m podem surgir situa es em que a posse e o acesso infor ma o mais importante do que a manuten o da sua seguran a Exemplo em caso de uma emerg ncia m dica durante uma cat strofe natural poder ser necess rio fornecer acesso a informa o cl nica ao pessoal m dico deslo cado para o local do desastre sem que este seja sub metido s formalidades de seguran a estabelecidas 62 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Pol tica de Dados Uma pol tica de salvaguarda backup e recupera o de dados ade quadamente elaborada e executada proteger a organiza o contra a perda de informa o devida a falhas de hardware defeitos de software erros humanos intrusos sabotagem e desastres naturais podendo igualmente ser utilizada para suporte ao arquivo hist rico de dados Para que esta solu o cumpra com os seus objectivos necess rio que seja suportada por mecanismos organizacionais procedimentos processos e outros que se ocupem com a infor ma o sendo pois fundamental desenvolver uma pol tica formal de gest o de dados Esta pol tica permite obter dois resultados significativos em primeiro lugar define os requisitos da organiza o
162. ecreto Regulamentar n 16 00 de 2 de Outubro que define as condi es e requisitos de utiliza o da factura ou documento equivalente transmitidos por via electr nica 19 Nesta Directiva no seu Artigo 7 surge o direito ao registo de op o negativa opt out para comunica es comerciais n o solicitadas conhecidas como spam 172 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Consciente da permanente evolu o tecnol gica o legislador tentou fazer com que este diploma fosse gil antecipando a sua poss vel aplica o a outras modalidades de assinatura electr nica que satisfa am os requisitos de seguran a da assinatura digital Assim um documento electr nico desde que devidamente assi nado com uma assinatura digital certificada por uma entidade cre denciada passa a ter o mesmo valor que um documento de papel devidamente assinado o que significa que as empresas podem realizar neg cios por via electr nica com a validade de contratos f sicos de papel Caso a assinatura electr nica n o seja certificada por uma entidade oficial o valor do documento submete se aos termos gerais do direito Portanto para que haja validade oficialmente reconhecida torna se necess rio obter um certificado digital junto de uma enti dade reconhecida Em Portugal e como j vimos no cap tulo reas da Seguran a Empresarial deste livro no cap tulo dedicado Public Key Infrastruc
163. ectadas Como foi referido anteriormente outro factor chave da mudan a a comunica o Assim de extrema import ncia dar a conhecer o programa pois se este for partilhado se motivar interesses e adeptos constituir certamente um factor facilitador da evolu o uma vez que ao ser conhecido suscitar curiosidade e levar os diversos elementos da Empresa a envolverem se questionando a situa o actual e considerando a sua modifica o Nada se consegue sem a motiva o adequada Para tal ao efec tuar o planeamento do programa o seu respons vel deve tentar garantir pequenas vit rias a curto prazo isto identificar clara mente milestones momentos chave que ao serem atingidas pos sam ser celebradas Estas pequenas celebra es motivam para a mudan a estimulando a continuidade do processo e incentivando a equipa a trabalhar nesse sentido Outro elemento a considerar em termos de altera es ao status quo o seu impacto sobre o modo como os diversos colaboradores realizam as suas fun es e efectuam determinado procedimento Estas altera es maiores ou menores ter o impacto no dia a dia dos colaboradores pelo que a defini o do plano de forma o deve ser efectuada com algum cuidado Garantir uma forma o e acom panhamento correctos s o essenciais para derrubar algumas barrei ras de resist ncia mudan a pois mudar sempre um salto para o desconhecido e sempre bastante mais dif cil P
164. edidas preventivas e ou correctivas no mbito do Plano Global de Seguran a Neste caso os testes ou audi torias de seguran a t m como objectivo avaliar a efic cia das medidas introduzidas e validar as decis es tomadas Com regularidade temporal Em paralelo ao desenvolvi mento e implementa o do Plano Global de Seguran a o respons vel por esta poder optar por um acompanha mento das medidas implementadas atrav s de testes ou auditorias regulares seguran a Poder deste modo ter uma imagem mais real das consequ ncias dos mecanismos adoptados e adequar a introdu o de novas solu es a estes resultados Por outro lado a obrigatoriedade deste tipo de auditorias regulares pode ser um requisito da pr pria organiza o 126 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Para al m destas possibilidades muitas outras existir o tais como testes pontuais a aspectos espec ficos da seguran a l gica planos estruturados de auditorias parciais aos v rios sistemas inform ticos existentes e por a adiante A decis o de realizar um teste ou uma auditoria aos sistemas bem como a altura adequada para a sua execu o dependem das cir cunst ncias espec ficas da Empresa bem como do or amento dis pon vel pois estes servi os quando contratados n o s o propria mente baratos Existem v rias possibilidades de testes e auditorias das quais abordaremos algumas de seguida Auditoria Completa
165. efini es que devem ser feitas antes do in cio da classifica o servir o para evitar a acu mula o de documentos sobre classificados gerando uma enorme sobrecarga em termos de gest o Por outro lado tamb m dever o ser determinadas as condi es de desclassifica o da informa o ou seja as condi es segundo as quais a informa o descer na escala de classifica o Esta descida pode ser motivada pela passagem do tempo ou poder estar relacionada com outros factores tais como o lan amento de produtos ou servi os entre outros Para que este processo seja vi vel importante perceber quais as consequ ncias para a organiza o da divulga o altera o ou eli mina o n o autorizadas dos dados classificados Somente atrav s da interac o com as pessoas directamente respons veis pela informa o da Empresa se poder o estabelecer estas consequ n cias e criar graus apropriados de classifica o Obviamente este esfor o de nada servir se n o for seguido de medidas de protec o adequadas aos n veis de classifica o atri bu dos Como tal dever o aplicar se os princ pios apresentados anteriormente no cap tulo Teoria da Seguran a nomeadamente de protec o conc ntrica e em profundidade criando deste modo v rias camadas de seguran a que mesmo com falhas parciais continuem a proteger os dados Este esfor o de classifica o permite desenvolver n veis de protec o
166. eguidas para a correcta loca liza o e configura o de um centro de processamento de dados CPD De seguida apresentam se algumas O CPD n o dever ficar nem no piso t rreo nem no ltimo piso do edif cio No caso de edif cios t rreos o centro dever ficar localizado na zona mais resguardada poss vel i e longe de vias de circula o p blica N o dever o existir quaisquer acessos directos do exterior janelas portas respiradouros etc Os acessos existentes dever o poder ser facilmente monitorizados N o dever o existir condutas de guas ou de esgotos nas imedia es nem por cima nem por baixo dos centros de dados As instala es dever o ser dotadas de ch o e tecto falsos para a passagem das condutas necess rias alimenta o energ tica e processamento de atmosfera REAS DA SEGURAN A EMPRESARIAL 67 Dever o existir sistemas de alimenta o el ctrica redundan tes Os sistemas de detec o e combate a inc ndios dever o ser apropriados ou seja n o devem ser instalados sprinklers de gua mas antes sistemas de supress o por g s inerte Estas orienta es se seguidas permitem a cria o de um centro de TI conforme com as mais exigentes normas de seguran a nacio nais e internacionais e deixaria qualquer respons vel pela segu ran a perfeitamente realizado Por m nem todas as situa es permitem o cumprimento das orienta es apresentadas No caso de in
167. eiros clientes etc Esta decis o pode ter impacto sobre o tipo de tecnologia a seleccionar podendo ser prefer vel optar por uma solu o que n o implique grandes esfor os de configura o dos clientes Que tipo de gest o oferecida pelo produto Dependendo das circunst ncias poder ser suficiente uma gest o des centralizada mas no caso de implementa es volumosas a escolha dever recair sobre uma plataforma de gest o cen tralizada REAS DA SEGURAN A EMPRESARIAL 97 Que tipo de autentica o oferecido Existem v rias hip teses desde nome de utilizador palavra passe certifi cados ou palavras passe de utiliza o nica one time password A potencial complexidade de gest o destes elementos um ponto a considerar na escolha Que tipo de algoritmo criptogr fico suportado pelo proto colo da VPN Relativamente a este componente h que optar pela robustez e efic cia comprovadas TripleDES ou AES considerando a compatibilidade com os nossos par ceiros Qual a capacidade de integra o na infra estrutura exis tente A VPN dever poder ser integrada nas solu es j utilizadas pela Empresa como por exemplo PKI Considerando os elementos atr s expostos a Empresa dever ainda equacionar a eventual cria o e manuten o de VPNs de acordo com as aplica es que pretende ver suportadas Caso estas sejam fundamentalmente baseadas em tecnologia Web a possibili dade de cria
168. emplos reais de perigos como o caso da engenharia social Outro meio de sensi biliza o acess vel ao Programa de Seguran a s o os mecanismos de comunica o formal da Empresa newsletters e mail Intranet etc atrav s dos quais se podem apresentar as regras de segu ran a mais simples por exemplo regras alusivas constitui o e altera o peri dica das palavras passe n o esquecendo sempre de dar a conhecer as raz es por tr s da exist ncia de tais orienta es e os seus principais objectivos No final do programa e nos seus momentos chave dever ser sempre avaliada a efic cia e receptividade das medidas implemen 236 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO tadas at data analisando o sucesso verificado na adop o das mudan as No Programa de Seguran a o envolvimento uma quest o essen cial pois a seguran a da Empresa come a nos seus colaboradores Assim sendo o impacto das medidas introduzidas dever ser ava liado analisando a sua receptividade e adequa o aos processos de trabalho afectados uma vez que s assim ser poss vel retirar conclus es quanto ao cumprimento dos objectivos delineados Desta forma dever o ser elaborados question rios que permitam ao chefe de programa percepcionar o resultado das implementa es que efectuou para que possa caso necess rio promover as medidas que permitam melhorar esses resultados tais como ses s es de forma
169. endo um canal de comunica es seguro Os problemas com este protocolo residem nas diferentes formas de implementa o Estas s o influenciadas pela topologia de rede pelos protocolos utilizados para a autentica o por exemplo um servidor POP Post Office Protocol que valide uma palavra passe junto de um servidor Kerberos n o seguro e pelo tipo de integra 94 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO o do protocolo de autentica o de rede por parte da aplica o que afirme suport lo Por outro lado a implementa o deste mecanismo feita pela Micro soft que o integra nos seus sistemas operativos mais recentes levanta quest es ao n vel da conformidade com o standard definido Se num ambiente puramente Microsoft este factor n o problem tico quando se pretendem criar interac es com outros sistemas Unix por exemplo necess rio um esfor o consider vel de inte gra o e de media o Independentemente destas quest es o Kerberos afigura se como uma possibilidade a ter em conta para transac es seguras em ambientes controlados ou seja sob o controlo exclusivo da organi za o e precisamente devido sua integra o com os sistemas operativos SOs da Microsoft poder ser uma op o vi vel para quem utilize exclusivamente estes SOs VPN As redes privadas virtuais ou Virtual Private Networks VPN assentam em tecnologias que atrav s da utiliza o de v
170. ente da metodologia utilizada necess rio garantir o cumprimento dos objectivos e certificar que os controlos por exemplo software desenvolvido novos procedimentos a imple mentar etc s o consistentes e n o representam na realidade grandes perturba es que possam trazer preju zos Empresa Para tal ser necess rio simular a inser o do controlo com a finalidade de tentar garantir que este poder ser implementado sem grandes surpresas A equipa de testes pode ser externa Empresa e contratada para o efeito embora a situa o mais comum seja pertencer equipa do programa composta em parte pelos utilizadores da rea afectada pelo programa Independentemente da sua origem esta equipa dever ter um planeamento detalhado dos testes a realizar os res pectivos prazos e deve perceber quais os seus objectivos de modo a actuar como uma primeira frente de controlo podendo sugerir 242 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO melhorias aos testes ou at mesmo ao desenvolvimento imple menta o do programa O controlo da execu o e dos resultados dos testes planeados dever permitir atrav s do reporting ao chefe de programa e ao Sponsor a adop o das medidas necess rias correc o de des vios s especifica es Assim ser necess rio garantir que ao longo do programa o reporting definido cumprido quer se trate de reporting dos elementos da equipa ao chefe de programa quer
171. entos internos Empresa a perfeitos estranhos de clientes a parceiros passando obviamente pelos funcion rios todos podem ter um impacto positivo ou negativo sobre a seguran a da mesma Em seguida ir o considerar se os personagens mais comuns e identificar a forma como podem ser auxiliados a cumprir os seus pap is na seguran a da Empresa Administra o da Empresa A Administra o bem como os agentes por esta nomeados s o os propriet rios da informa o usada pela Empresa na sua rela o com os clientes e na produ o e comercializa o dos seus bens ela quem decide o que ir ser feito o que invariavelmente tem repercuss es na seguran a uma vez que esta se encontra depen TEORIA DA SEGURAN A 27 dente tanto das suas decis es nesta mat ria como do comporta mento mais ou menos seguro dos utilizadores Por outro lado este rg o ainda respons vel perante o Governo e outras institui es nacionais e internacionais pelo cumprimento de leis e demais disposi es o que pode ser lido como entre outros um factor de responsabilidade no que diz respeito seguran a interna e externa da organiza o Para o Neg cio a seguran a afigura se paradoxalmente como um custo e uma necessidade para a sua sobreviv ncia Se por um lado fazer um produto ou Empresa com maior seguran a raramente visto como uma mais valia significativa por outro o perigo de um desastre n o ignorado de todo sendo para
172. er livremente distribu da para os decifrar utilizada a chave pri vada que do exclusivo conhecimento do seu detentor A vanta gem deste ltimo m todo relativamente ao primeiro a de que se evita a necessidade de possuir um canal seguro para a transmiss o da chave secreta bastando somente garantir a seguran a da chave privada Atrav s da distribui o da chave p blica qualquer remetente pode cifrar dados com essa chave tendo a garantia de que apenas o detentor da correspondente chave privada ter acesso aos mesmos Adicionalmente o possuidor da chave privada REAS DA SEGURAN A EMPRESARIAL 87 pode utiliz la para cifrar dados que poder o ser decifrados com a sua chave p blica conseguindo desta forma comprovar a origem desses mesmos dados a decifragem de dados com a chave p blica de algu m implica obrigatoriamente que eles tenham sido cifrados com a chave privada correspondente Existem igualmente solu es que utilizam ambas as t cnicas a criptografia assim trica usada para o estabelecimento da comuni ca o segura inicial e para a troca de uma chave sim trica que ser utilizada na restante comunica o A vantagem desta solu o reside na diminui o da carga computacional uma vez que a crip tografia assim trica requer um maior esfor o computacional relati vamente criptografia de chave sim trica ganhando se assim em termos de desempenho Relativamente aos algoritmos mais conhec
173. erir Empresa o n vel de seguran a pretendido pela sua Administra o Este processo faz parte integrante do Programa de Seguran a da Empresa e composto por uma sequ ncia de fases em que os riscos s o determinados e classificados sendo depois especificado um conjunto equilibrado de medidas de seguran a designadas por controlos que permitir o reduzir ou eliminar os riscos a que a Empresa se encontra sujeita As etapas do processo de gest o do risco s o 1 Identifica o dos riscos 2 An lise de risco 3 Identifica o de controlos 4 Selec o de controlos Neste cap tulo ser o analisadas estas diversas fases com excep o da identifica o de controlos uma vasta rea abordada mais adiante neste livro Em seguida ser detalhada a primeira fase da gest o do risco sendo identificado o contexto da Empresa em termos de risco Identifica o dos Riscos A gest o do risco inicia se com a sua identifica o que conse guida atrav s do levantamento do contexto de risco em que a Empresa existe e actua GEST O DO Risco 35 Para contextualizar a Empresa poder o ser empregues diversos modelos SWOT strengths weaknesses opportunities and threats defini o da rela o entre a Empresa e o ambiente atrav s da identifica o dos pontos fortes fracos oportunidades e amea as sua seguran a Contexto descri o da Empresa das suas capacidades metas objectivos e estrat gias imp
174. ermite reconstituir um qualquer evento revelando quem fez o qu quando e como Como tal todos os registos gera dos pelas medidas de protec o f sica devem ser arquivados por um determinado per odo permitindo reconstituir nesse espa o de tempo o rasto de todos os indiv duos presentes nas instala es e dessa forma detectar actividades n o autorizadas quebras de seguran a ou mais simplesmente ac es suspeitas Somente atrav s do cruzamento dos v rios rastos criados pelas diversas formas de seguran a f sica conseguir o respons vel ou a equipa de seguran a investigar e eventualmente evitar potenciais compromissos de confidencialidade integridade ou disponibilidade da informa o 70 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Seguran a do Pessoal A seguran a tende na grande parte dos casos a ocupar se princi palmente com as facetas f sica e tecnol gica dos problemas devo tando particular aten o s solu es t cnicas para as fragilidades inerentes tecnologia A mitiga o das vulnerabilidades e das amea as tende por seu lado a reflectir a utiliza o de meios tec nol gicos melhor ou pior enquadrados nas necessidades do neg cio nestas reas que os especialistas em seguran a investem mais tempo e dinheiro especializando se nesta disciplina restrita e altamente especializada da seguran a dos sistemas de informa o Como consequ ncia constata se frequente
175. es Dendere o de mail Fig VII 6 Lista de Distribui o Exemplo No Programa de Seguran a a preocupa o com a recolha de infor ma o dever estar sempre presente n o s para obter dados que possibilitem a preven o de lacunas na seguran a ou de indisponi bilidades nos sistemas como tamb m elementos que permitam avaliar se a implementa o dos procedimentos definidos foi a cor recta Dado tratar se de um programa transversal o primeiro interlocutor ser a pr pria Administra o da Empresa A informa o neste caso ser predominantemente formal e dever ser recolhida atra v s de actas das diversas reuni es efectuadas De forma a optimi zar as reuni es o chefe do Programa de Seguran a dever apre sentar antecipadamente uma agenda e os diversos documentos que ir o ser discutidos No final dever elaborar uma acta que n o sendo contestada servir como base de trabalho futuro Independentemente do modo como recolhida a informa o o objectivo da Empresa obter informa o para informar elementos sobre as diversas situa es que podem requerer medidas correcti 216 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO vas com o intuito de adapta o da organiza o ao meio envol vente Assim a recolha n o se deve restringir informa o formal A infor ma o informal muitas vezes mais rica e permite ter uma atitude pr activa em rela o aos poten
176. factura electr nica factura de papel Tamb m se pode interpretar como fazendo parte deste esfor o a transposi o para a lei nacional decreto lei n 58 00 de 18 de Abril da Directiva Comunit ria n 98 48 CE que estabelece os procedimentos administrativos a que obedece a troca de informa o relativa aos servi os da sociedade de informa o Por fim uma refer ncia Directiva 2000 31 CE de 8 de Junho justamente intitulada Directiva sobre o com rcio electr nico que regulamenta alguns aspectos legais relacionados com os servi os da sociedade da informa o contratos electr nicos internacionais colabora o entre Estados membros resolu o de lit gios ac es judiciais entre outros Todos estes diplomas t m como objectivo criar as bases sobre as quais se possam construir rela es comerciais electr nicas juridi camente v lidas Contudo um elemento essencial deste esfor o o reconhecimento das partes e a n o repudia o dos contratos firma dos raz o pela qual se desenvolveram leis no campo das assinatu ras digitais Assinaturas Digitais O j citado decreto lei n 290 D 99 resultante da Iniciativa Nacional para o Com rcio Electr nico para al m de equiparar um documento electr nico a um documento de papel vai mais longe introduzindo a validade das assinaturas digitais e a sua for a probat ria i e O seu valor como prova 18 ver tamb m o D
177. formais que definem os objectivos da organiza o em termos de seguran a bem como as ac es a empreender com vista concretiza o dos mesmos Encontram se mais desenvolvidos em Os Documentos da Seguran a no cap tulo Cria o do Plano de Seguran a mas como pe as centrais que efectivamente s o ser o aqui abordados 58 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Em si este corpo doutrin rio encerra os grandes objectivos de seguran a da organiza o e define os principais eixos em torno dos quais se desenvolver o todas as actividades de preven o e pro tec o Estes documentos incluem os grandes objectivos a conse guir atrav s do Plano Global de Seguran a influenciando desta forma a defini o das linhas de conduta a desenvolver e imple mentar para os atingir O respons vel pela seguran a dos SI dever por um lado garantir o cumprimento dos preceitos contidos neste conjunto de documen ta o e por outro certificar se de que existe uma correcta e conti nuada actualiza o destes documentos sob pena de poder estar a realizar esfor os inadequados Para al m disso a tarefa de actuali za o evitar a obsolesc ncia dos documentos evitando a sua perda de valor afinal uma m pol tica poder ser pior do que n o ter pol tica Propriedade da Informa o Um passo essencial na defini o e implementa o de medidas efi cazes de salvaguarda a exist ncia de u
178. g cio Processos e Actividades de Suporte Seguindo esta abordagem ser garantido o funcionamento de todas as fun es cr ticas sem o nus da identifica o de processos ou de actividades de suporte que n o contribuem para a viabilidade da Empresa em caso de desastre Por m n o existem fun es processos ou actividades n o cr ticos uma vez que a sua pr pria exist ncia denota a necessidade do seu funcionamento por parte da Empresa O que se verifica que cada um contribui de forma maior ou menor para o seu correcto funcio namento e que algumas acabam por afectar a pr pria viabilidade da Gest o DO Risco 47 organiza o caso estejam indispon veis durante um determinado per odo que poder ser mais breve ou mais longo Ao classificar uma fun o como cr tica estaremos na realidade a indicar que a toler ncia da Empresa sua indisponibilidade ou sua disponibili dade sem informa o completa e actualizada menor que o tempo necess rio recupera o dessa fun o sem recurso a mecanismos de protec o contra desastre Desta forma a an lise de impacto de neg cio dever determinar simultaneamente o per odo de indisponibilidade tolerada e o impacto resultante de uma indisponibilidade para al m desse prazo A cada prazo de indisponibilidade tolerada e de impacto associado dever fazer se equivaler um tempo alvo de recupera o TAR que poder ser ajustado posteriormente durante o process
179. g vel de uma ac o bem como uma forma certificada de protec o de dados A CA n cleo central de todo este processo pode ser uma entidade oficial de conhecimento p blico ou poder ser simplesmente uma componente da Empresa no caso de se implementar uma solu o PKI interna Com estes certificados e com a integra o desta tec nologia nos sistemas inform ticos a autentica o e verifica o de utilizadores grandemente facilitada Para al m disso em transac es formais entre empresas os certificados digitais oficiais ou Em Portugal a autoridade credenciadora de entidades certificadoras o Instituto das Tecnologias da Informa o na Justi a assistido pelo Conselho T cnico de Credencia o 92 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO seja emitidos por uma CA reconhecida possuem a validade de assinaturas e s o suficientes para firmar transac es Uma quest o pertinente no que toca aos certificados digitais prende se com a sua validade De facto estes possuem uma vali dade definida ap s a qual deixam de poder ser utilizados Adicio nalmente quando uma chave comprometida torna se necess rio proceder sua invalida o ou seja revogar a chave Compete CA emitir listas de certificados inv lidos e divulgar ou disponibilizar essas listas a toda a comunidade de utilizadores Esta tarefa como se depreender facilmente corre o risco de assumir propor es avu
180. gem o neg cio que aceita transfere ou controla os riscos 24 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Este modelo tem como princ pios envolvimento exposi o emerg ncia diversidade contexto O primeiro destes princ pios o envolvimento torna a seguran a num problema de toda a organiza o pelo que a viabiliza o de algumas solu es s pode ser avaliada no contexto do neg cio permitindo transcender solu es puramente t cnicas por exemplo recorrendo a advogados para introduzir cl usulas de des responsa biliza o nos contratos A exposi o nega a qualquer componente imunidade a ataques acidentes ou falhas ou seja segundo este princ pio n o existem santu rios O terceiro princ pio afirma que as propriedades globais de sobrevi v ncia surgem emergem da combina o de componentes que isoladamente n o s o sobreviventes A diversidade de h longa data a melhor amiga da seguran a introduz o bom senso de n o colocar os ovos todos no mesmo cesto Por fim o contexto refere que as solu es t cnicas dever o ser baseadas no verdadeiro ambiente em que os sistemas operam e n o nas funcionalidades dispon veis no sistema ou na forma cor recta de os usar um assentar dos p s na terra para os inform ti cos A implementa o deste modelo assenta na an lise da capacidade de sobreviv ncia dos sistemas e na posterior identifica o de estrat gi
181. gia actualmente existente permite realizar estas ac es de uma forma relativamente simples e discreta o que obrigar as organiza es a ter especial cuidado na configura o dos aspectos e funcionalidades de seguran a destas redes Engenharia Social Este teste tem como objectivo detectar o grau de vulnerabilidade da organiza o a ataques sociais Poder ser realizado pelo respon s vel pela seguran a por outros elementos da Empresa ou por prestadores deste tipo de servi os existem empresas no mercado que os oferecem como pacotes isolados ou como parte de audito rias mais amplas Pode ser composto por um conjunto simples de tentativas de obten o de informa o atrav s por exemplo do telefone ou poder incluir ac es mais complexas como tentativas de entrada nas ins tala es Exemplo Bom dia Sou o engenheiro do lt fornecedor de servi os de telecomunica es da Empresa alvo gt e estou a fazer testes na central da vossa zona Preciso que me indique se existem modems ligados s vossas linhas e quais os respectivos n meros 130 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Na entrada do edif cio caso exista guarda um ele mento da equipa de testes poder entrar em veloci dade acelerada sem parar para se identificar Caso o seguran a se levante e o tente deter entrar outro elemento que por sua vez tentar aceder ao interior das instala es aproveitando o
182. grama e das suas diversas fases a informa o necess ria para apurar o andamento das actividades e possibilitar a actua o nos momentos cr ticos A garantia de que o programa corre conforme planeado s poss vel se forem inclu dos diversos testes no planeamento de modo a GEST O DO PROGRAMA DE SEGURAN A 241 verificar se os controlos introduzidos pelas actividades funcionam realmente e se os objectivos s o verdadeiramente atingidos As metodologias de teste variam sendo a mais comum a realiza o de testes no final do programa embora em algumas reas tais como o desenvolvimento de software tamb m seja comum a realiza o de testes ao longo do desenvolvimento Um factor a considerar neste planeamento que existem estudos que revelam que quanto mais tarde descoberto um problema mais cara fica a sua resolu o pelo que os testes dever o ser efectuados o mais cedo poss vel e persistir ao longo de todo o ciclo de vida do programa Segundo esta metodologia estas an lises dever o ser efectuadas logo aos resultados da especifica o de requisitos pois neste momento que se verifica se o que pro posto realizar se satisfaz plenamente os objectivos Caso isso n o se verifique devem se efectuar correc es caso fossem realizadas mais tarde implicariam certamente custos de adapta o muito superiores uma vez que este tipo de erros pode implicar a redefini o da abordagem aos problemas Independentem
183. i dade Certificadora REAS DA SEGURAN A EMPRESARIAL 91 Uma solu o PKI depende das Autoridades Certificadoras Certifi cation Authorities ou CA Esta a unidade fundamental de qual quer infra estrutura deste tipo uma vez que a nica detentora do poder de emiss o e revoga o de certificados de chaves p blicas Estes certificados s o assinados digitalmente pela CA e deste modo associam indelevelmente a chave emitida ao seu detentor Quando um utilizador final pretende obter um certificado de chave p blica gerada em simult neo com a chave privada tem de se registar junto da CA que requer para tal comprovativos oficiais Este processo pode ser realizado directa ou indirectamente atrav s de intermedi rios de acordo com as exig ncias da certifica o em causa Uma vez registado o utilizador recebe informa o exclusiva que autenticando o inequivocamente lhe permitir continuar o pro cesso O processo continua com a cria o de um par de chaves p blica privada podendo esta acontecer no momento do registo ou como consequ ncia deste Finalmente o utilizador faz um pedido formal de um certificado digital que nesta fase de certifica o associa ao seu par de chaves criptogr ficas a informa o requerida pela CA de identifica o do utilizador No final deste processo o utilizador passa a deter um instrumento de autentica o garantido e n o repudi vel na medida em que constitui uma prova ine
184. idade An lise de Risco Atendendo a que o grau de risco efectivo determinado pela pro babilidade de concretiza o de um ataque e pela vulnerabilidade existente a esse ataque ver An lises de Risco e de Impacto em Gest o do Risco e considerando que a probabilidade de ocorr n cia dos ataques se encontra regra geral fora do controlo da Empresa as medidas de preven o destinadas a reduzir riscos ir o actuar fundamentalmente junto das vulnerabilidades Para tal ser necess rio realizar uma an lise de risco empregando uma das metodologias anteriormente expostas A an lise de risco realizada no mbito do planeamento da continui dade do neg cio visa ent o identificar as amea as que podem estar na origem de desastres ou seja que podem afectar as principais activi dades determinar as vulnerabilidades existentes que aumentam a probabilidade de concretiza o dessas amea as e calcular a probabilidade de ocorr ncia das amea as identifi cadas face s vulnerabilidades detectadas Ap s a obten o destes elementos os riscos podem ser ordenados permitindo assim a defini o de prioridades para as medidas de preven o a implementar Nesta fase pretende se que a an lise seja realista ou seja que n o tente abarcar todos os riscos poss veis Caso o tente para al m de se transformar numa tarefa virtualmente intermin vel perder a sua validade uma vez que os seus resultados apena
185. idos e utilizados gosta r amos de abordar apenas dois devido sua enorme popularidade import ncia e presen a no mercado o DES e o AES O DES Data Encryption Standard foi adoptado pelo governo norte americano em 1981 como o standard para a protec o de informa o electr nica Como consequ ncia a sua utiliza o foi ampla mente adoptada por v rios sectores da sociedade americana e n o s Depois de sucessivas revis es do algoritmo tentou se obter um n vel superior de protec o e em 1999 surgiu o TripleDES ou 3SDES como evolu o do standard O funcionamento deste ltimo algoritmo de um modo simples composto por tr s opera es sequenciais de cifra utilizando o DES o que proporcionou um n vel de seguran a bastante superior Em 1997 a ag ncia de normas americana lan ou um concurso p blico para a cria o de um algoritmo mais robusto Ap s uma exaustiva an lise dos v rios concorrentes a 26 de Maio de 2002 entrou em vigor um novo standard de cifra o AES ou Advanced De notar que n o poss vel decifrar com a chave p blica informa o cifrada com essa mesma chave 88 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Encryption Standard baseado num algoritmo chamado Rijndael Este actualmente o algoritmo obrigat rio nos Estados Unidos para as opera es governamentais e para algumas civis por exem plo nos mercados financeiros Devido recente adop
186. ilizados As palavras passe s o actualmente a norma no que toca autenti ca o de qualquer utilizador perante um sistema Esta solu o baseada em algo que eu sei se bem que amplamente implantada levanta v rios problemas muitos deles de extrema gravidade Para come ar a gest o das palavras passe pode facilmente tornar se num quebra cabe as para o utilizador necess ria uma pala vra passe para aceder ao sistema e ou rede outra para o correio electr nico outra para a conta de webmail outra para o sistema de instant messaging outra para a consulta da base de dados outra para outro recurso e por a adiante A juntar a estes elementos ainda temos todos os outros n meros e c digos de que necessita mos no dia a dia tais como PINs dos v rios cart es de d bito e ou cr dito que possu mos os n meros de telefone que utilizamos com mais frequ ncia os n meros de identifica o pessoal etc ent o natural que em grande parte dos casos os utilizadores optem pela solu o mais f cil que no caso das palavras passe poder ser a utiliza o da mesma para todos os recursos ou mais simplesmente a manuten o de uma lista escrita qual muitas vezes n o se d grande import ncia e que por isso vulner vel Do lado dos administradores de sistemas o panorama n o menos complicado para al m dos pedidos frequentes de ajuda dos utiliza 82 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO
187. ini es dever o ser transpostas para um documento que possa servir de refer ncia a todos potencialmente muitos os elementos envolvidos deste modo toda a organiza o desde a Administra o aos t cnicos possuir refer ncias comuns em sede de defini o de objectivos e mais precisamente na defi ni o das consequ ncias a mitigar que se devem identificar os requisitos nas mais diversas mat rias temporais de imagem comercial legais regulamentares etc a cumprir que permitem prevenir as consequ ncias identificadas Exemplo em caso de desastre uma empresa de presta o de servi os de sa de tem como requisito salvaguardar todas as bases de dados com informa o cl nica dos seus clientes mantendo o cumprimento das obriga es legais relativas protec o de dados pessoais Lei n 67 98 de 26 de Outubro Para al m disso tem de conseguir comunicar aos seus parceiros e clientes e ao p blico em geral que capaz de garantir a pro tec o e recupera o desses mesmos dados igualmente necess rio identificar o que se pretende obter em ter mos de redu o quer da probabilidade da ocorr ncia do desastre preven o como do seu impacto protec o Exemplo dever o ser criados mecanismos de detec o e extin o de inc ndios preven o bem como criadas zonas com portas corta fogo para armazenamento de informa o cr tica protec o defini o dos objectivos do
188. irata a filmes copiados ilegalmente etc Em termos de produtividade estas ferramentas de filtragem podem produzir resultados imediatos Ao permitir definir no ponto de acesso Internet quais os conte dos que n o s o admitidos na Empresa como por exemplo ficheiros de som determinado for mato de imagens etc uma solu o de filtragem pode economizar os recursos existentes evitando o seu consumo em actividades n o relacionadas com o neg cio quer se trate do interc mbio de con REAS DA SEGURAN A EMPRESARIAL 101 te dos proibidos por correio quer da consulta a s tios na Internet com informa o de utilidade duvidosa Redund ncia J no campo da protec o a redund ncia surge como a forma mais bvia de evitar a indisponibilidade da informa o Tal como guardamos duplicados das chaves das portas de nossa casa para o caso de perdermos o original existem mecanismos de complexidade vari vel que permitem criar duplicados da informa o contida nos sistemas inform ticos A redund ncia pode ser obtida de v rias formas quer atrav s de c pias manuais de dados quer atrav s de sistemas automatizados de protec o da informa o Na sua express o mais complexa estes mecanismos de protec o podem assumir a duplica o total da infra estrutura inform tica existente numa localiza o remota com transfer ncia automatizada de dados entre locais Este tipo de solu es normalmente
189. is simples de determinar o benef cio decorrente da introdu o de um determinado controlo atrav s do c lculo da redu o da exposi o anual perda ou seja do c lculo do ALE utilizando para o efeito a seguinte varia o das duas f rmulas apresentadas anteriormente Ro V V x P ALE Valor x R Onde R redu o da probabilidade de concretiza o da amea a na Empresa no per odo de um ano decor rente da introdu o do controlo expressa em ocor r ncias por ano V n mero que representa a vulnerabilidade da Empresa amea a sem unidade V n mero que representa a redu o da vulnerabili dade da Empresa amea a ap s a introdu o do controlo sem unidade P probabilidade correspondente ao n mero m dio esperado de vezes que a amea a se ir concretizar por ano expresso em ocorr ncias por ano ALE redu o na perda monet ria m dia expect vel num ano decorrente da introdu o do controlo expressa numa unidade monet ria Gest o po Risco 55 Exemplo considerando o exemplo apresentado anteriormente em An lise de Risco Quantitativa o benef cio da introdu o de um sistema de supress o de fogo por CO que permita a extin o de um fogo no datacenter sem danificar os equipamentos poderia resultar no seguinte valor novo para V V 1 0 normal 0 5 da cantina 0 2 do sistema de extin o R 0 01 x 1 3 0 013 ALE 300 000 x 0 013 3 900 Deste mo
190. is tenta alcan ar o mesmo objectivo Contudo a evolu o de solu es baseadas nesta tecnologia tem sido lenta e complexa A adop o de padr es stan dards tecnol gicos n o uniforme o que atrasa a cria o de mecanismos homog neos por outro lado a gest o das chaves e dos certificados coloca quest es de extrema complexidade como por exemplo as de quem autentica quem quem respons vel pela revoga o dos certificados etc Como vimos a autentica o e o controlo de acessos constituem um tema quente da seguran a digital e n o existe uma resposta sim ples e un voca para a quest o de qual a melhor forma de autenti car utilizadores e controlar o acesso aos recursos REAS DA SEGURAN A EMPRESARIAL 85 Mais uma vez esta resposta depender das caracter sticas parti culares de cada ambiente e dever ser ponderada tendo em linha de conta as necessidades e possibilidades espec ficas das tecnolo gias empregues pelo neg cio Se as palavras passe s o suficientes para muitos casos outros haver em que se justifica a sobreposi o de elementos de autentica o uma palavra passe e um smart card ou um cart o e um leitor biom trico S depois de uma an lise cuidada das necessidades de seguran a da organiza o e do confronto destas com os recursos dispon veis e com a capacidade de integra o e gest o de novas tecnologias que o respons vel pela seguran a da Empresa poder decidir sobre o
191. isco 37 rvore de Amea as Desastres ou perigos m de causa natural gt gt provocados por gua cheias inunda es provocados por fogo inc ndios florestais x provocados por fen menos s smicos provocados por vento tempestades provocados por electricidade rel mpagos descargas de energia provocados por agentes biol gicos ou virais Q epidemias desabamentos com origem humana gt acidental fogo inunda es derrames de subst ncias qu micas ou biol gicas explos es queda despiste de ve culos carros comboios avi es barcos etc introdu o incorrecta de dados nos sistemas configura o incorrecta dos sistemas intencional quebras contratuais terrorismo tumultos greves e furto fraude sabotagem Fig Il 1 rvore de amea as Exemplo Para criar esta rvore o respons vel pela seguran a da Empresa poder utilizar como ponto de partida as muitas listas de amea as existentes na Internet e na literatura que servir o de base para a 38 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO realiza o de entrevistas que permitir o colmatar a informa o requerida ao processo de defini o da lista final Vulnerabilidades A identifica o das vulnerabilidades visa permitir aproximar o c l culo da probabilidade de concretiza o das amea as inerentes realidade da Empresa Exemplo qual
192. itir o desenvolvimento de ofertas nesta rea por parte de v rios fabricantes que adiram ao padr o Os produtos baseados na tecnologia LTO s o designados Ultrium e encontram se actualmente na sua segunda gera o de um total de quatro gera es previstas A capacidade dos suportes de REAS DA SEGURAN A EMPRESARIAL 107 segunda gera o de 200 GB por tape sem compress o visando a meta de 800 GB na ltima gera o um corte com a tecnologia DLT A op o por uma destas duas possibilidades nem sempre pac fica existindo defensores e detractores de ambas A selec o dever tomar em conta a infra estrutura j existente a necessidade de retrocompatibilidade a capacidade de armazenamento preten dida a m dio longo prazo e o tipo de suporte oferecido pelo fabri cante Independentemente da capacidade dos suportes e sistemas e da complexidade das solu es de backup adoptadas um ponto que dever ser observado por todas as organiza es tem a ver com a gest o di ria dos suportes de backup Uma das primeiras quest es a considerar tem a ver com o local onde s o armazenadas as c pias de seguran a bvio que a coloca o de tapes na mesma sala onde se encontram os sistemas cujos dados elas protegem n o uma atitude muito inteligente Dependo da dura o pretendida do prazo de reten o que aborda remos de seguida as c pias de seguran a podem ser armazena das no mesmo edif cio on site num
193. itos da norma de modo a garantir que se est a caminhar no sentido da certifica o ou pelo menos no sen tido de uma melhora significativa da seguran a da Empresa ver cap tulo Gest o do Risco Garantir a adequa o da seguran a da informa o aos n veis pre tendidos definindo e implementando planos de ac o que permi 178 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO tam de forma abrangente ter uma organiza o segura n o tarefa f cil por m cada vez mais se torna uma tarefa necess ria dada a complexidade das organiza es a quantidade de informa o reco lhida e a facilidade de acesso e partilha dessa mesma informa o A certifica o pretende fundamentalmente demonstrar e garantir que a Empresa tem assegurados n veis de seguran a b sicos Contudo mesmo que a Empresa n o opte pela certifica o as dez reas referidas no ISO IEC 17799 s o um bom come o para uma an lise cuidada e abrangente da seguran a da organiza o onde nos encontramos e para onde caminhamos Conclus o O corpo legislativo existente como vimos apesar de poder n o acompanhar permanentemente a evolu o da tecnologia conse gue regra geral responder s necessidades mais prementes em termos de regulamenta o e orienta o pol tica de mercado etc Com os esfor os reguladores da Comunidade Europeia e a trans posi o das suas directivas para a ordem interna dos Estados membros de
194. junto de medidas necess rias divulga o do plano ao seu teste e nomea o das equipas Aquisi o de Meios O processo de aquisi o dos meios necess rios concretiza o do plano de continuidade do neg cio assenta na produ o dos cader nos de encargos que servir o de base consulta do mercado ap s a qual as diferentes propostas apresentadas pelos v rios fornecedo res ser o analisadas e comparadas com vista contrata o Este processo uma pr tica comum das empresas pelo que a sua realiza o no mbito do planeamento da continuidade do neg cio apenas ir implicar algumas considera es relacionadas com a particularidade do servi o ser solicitado ao fornecedor numa cir cunst ncia de desastre que potencialmente o poder afectar tam b m por exemplo num sismo Esta particularidade implica ent o alguns cuidados na elabora o dos documentos de consulta nome adamente o requisito de acordos de n veis de servi o tempos de resposta etc com cl usulas de penaliza o por incumprimento e da solicita o de garantias de sobreviv ncia a um desastre atrav s por exemplo da disponibilidade de centros noutras regi es 160 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO No caso particular da contrata o de instala es de recupera o dever ter se em conta um conjunto de aspectos com impacto directo sobre a utilidade do servi o como sejam a dist ncia at s i
195. l mente tarde demais para permitir a correc o do problema o que poder at p r em causa o pr prio programa Assim h que estar atento recolher a informa o de forma atempada e agir sempre que necess rio Nesta rea mais uma vez a fun o do chefe do pro grama essencial pois este dever estar alerta e pr ximo dos acontecimentos para garantir que a informa o recolhida tanto fidedigna como relevante Sendo afectados recursos de todas as reas da Empresa que reportam ao chefe de programa e simultaneamente ao seu supe rior hier rquico a tarefa de controlo torna se mais complexa mais exigente e crucial Uma vez que os recursos est o na base de sus tenta o do programa o seu controlo essencial sendo aqui tam b m que se registam os maiores desvios Por outro lado este tamb m o factor que mais facilmente pode ser ajustado para sal var os prazos do programa e muitas vezes pelo empenho e dedi ca o dos recursos que se conseguem atingir os objectivos deli neados sendo eles afinal quem faz a maior diferen a 240 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO A afecta o dos recursos dever ser controlada e avaliada ao longo do programa tanto em termos de horas alocadas como atrav s da verifica o da percentagem de objectivos atingidos tarefas concreti zadas O controlo dos recursos poder ser efectuado com diversas periodi cidades relat rios semanais mens
196. lementadas para os alcan ar Alvo descri o das metas e objectivos estrat gias mbito e par metros da gest o do risco Bens descri o dos bens da Empresa e das suas interdepend ncias Uma vez contextualizado o cen rio de risco em que a Empresa est presente poder iniciar se a identifica o dos elementos necess rios an lise de risco as amea as e vulnerabilidades existentes e os bens que poder o estar em perigo Um ponto importante a reter ao realizar qualquer levantamento o facto do levantamento e posterior an lise de risco n o constitu rem um fim por si s uma vez que o objectivo do levantamento permi tir a an lise e o da an lise permitir a implementa o consistente das medidas de protec o ent o por isso que todo o processo n o dever consumir uma quantidade inusitada de recursos o que requer alguma reflex o e esp rito pr tico na escolha do m todo de an lise qualitativa ou quantitativa que dever ter em conta o esfor o requerido para a recolha da informa o necess ria Apesar de teoricamente ser prefer vel realizar uma an lise quantitativa os recursos que esta requer poder o n o ser justificados sendo prefe r vel optar pela realiza o de uma an lise qualitativa Em qualquer caso O processo de recolha preliminar de informa o e posterior an lise n o dever o nunca levar mais de alguns dias uma vez que Pontos fortes pontos fracos oportunidades
197. ltadas pelo que pode constituir um problema de gest o acres centado Para al m desta quest o relacionada com a gest o existe ainda o tema da seguran a e da confian a se a CA constitui o n cleo cen tral de todo o processo necess rio que exista um grau de con fian a absoluto nesta entidade pois os certificados por ela emitidos obrigam os seus detentores A quest o que se coloca ent o a de quem certifica a CA No caso de existir uma autoridade formal ofi cial essa quest o n o ser muito pertinente mas nos casos em que n o exista at que ponto se pode realmente confiar nos certifi cados emitidos por esta ou por aquela CA comercial ou empresa rial Por outro lado no processo de registo e emiss o do certificado quais s o as medidas tomadas pela CA para verificar a identidade de quem solicita o certificado Podem revestir se de grande forma lidade com por exemplo assinaturas presenciais mas poder ser muito mais simples Em Janeiro de 2001 e devido a uma falha humana no processo de verifica o de identidade a Empresa Veri Sign respons vel pela emiss o de certificados digitais emitiu dois certificados a algu m que se apresentou como representante da Microsoft Como consequ ncia esse atacante passou a deter um 1 Cert Advisory CA 2001 Unauthentic Microsoft Corporation Certifica tes 22 de Mar o de 2001 REAS DA SEGURAN A EMPRESARIAL 93 instrumento que lhe permitiria entre o
198. m praticamente todas as reas da seguran a referidas anteriormente em reas da Seguran a Empresarial A t tulo de exemplo num acordo poder o estar presentes os seguintes servi os 200 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO rea seguran a l gica gt impermeabiliza o do S O gt impermeabiliza o aplicacional controlo de acessos gt protec o antiv rus detec o de intrus o gt medidas de dissimula o c pia de seguran a de dados backup rea seguran a f sica controlo de acessos protec o de suportes de c pia rea protec o de desastre cria o e manuten o do Plano de Conting ncia cria o e manuten o do Plano de Continuidade do Neg cio Estes servi os poder o ser detalhados em maior ou menor grau em fun o da maturidade da presta o de servi os podendo se incluir servi os com maior especificidade No exemplo anterior tal especi fica o adicional poderia reflectir se da seguinte forma sobre o ser vi o de controlo de acessos da seguran a l gica rea seguran a l gica Controlo de Acessos e acesso ao sistema operativo e acesso remoto atrav s da Intranet atrav s de outra Extranet CRIA O DO PLANO DE SEGURAN A 201 atrav s da Internet atrav s de rede privada virtual VPN por modem e acesso aplicacional Tal como o exemplo acima exposto os restantes servi os ta
199. m do outro mas n o necessariamente no mesmo local a uma dist ncia que n o provoque lat ncia nos tempos de escrita A replica o entre estes dois suportes s ncrona encontrando se ambos permanentemente actualizados De seguida cria se um pro cesso de mirroring ass ncrono ou diferido entre o segundo e o ter ceiro suporte podendo a velocidade de transmiss o de dados ser menos elevada Esta uma possibilidade complexa e potencial mente muito dispendiosa apenas justific vel quando os requisitos de disponibilidade da Empresa s o extremamente elevados Na escolha da solu o que melhor se adapte s suas necessida des o respons vel pela seguran a deve equacionar todos os ele mentos dispon veis incluindo o tipo de gest o poss vel centralizada ou n o o grau de automatiza o desejado os n veis de disponibili dade necess rios os ambientes a proteger etc Ao n vel da selec o de uma tecnologia de salvaguarda de dados dever o ser colo cadas entre outras as seguintes quest es Que tipos de ambiente podem ser protegidos Que tipo de gest o oferecida individualizada dos sistemas centralizada a partir de uma consola de Administra o Qual o grau de facilidade de identifica o dos suportes utilizados REAS DA SEGURAN A EMPRESARIAL 111 Qualograu de facilidade na recupera o dos dados Mais do que estas considera es t cnicas dever igualmente ser implementada uma
200. m uma l gica particular e pressupostos muito espec ficos poder dificultar mais do que ajudar numa situa o de desastre Neste caso ao esfor o de tentar fazer funcionar o plano inflex vel desadequado acresce a necessidade de cria o durante o desastre de um plano alternativo Adicionalmente um plano com pontos nicos de falha por exemplo dependente de uma nica pessoa ser mais facilmente inviabilizado em circuns t ncias reais 13 O conceito hot e cold site ser desenvolvido mais adiante neste mesmo cap tulo 146 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO O plano de continuidade do neg cio deve englobar planos de conting ncia recupera o e regresso normalidade con tendo gt procedimentos para cada processo e actividade cr ticos gt estrutura e constitui o das equipas que os ir o execu tar plano de ac o diagrama de execu o informa es auxiliares por exemplo contratos listas de contactos etc gest o de crise descrevendo o funcionamento do centro de opera es quem coordena centro de comando quem decide testes exerc cios actualiza o do plano Antes de se iniciar o desenvolvimento dos diversos planos neces s rio proceder identifica o de estrat gias alternativas que per mitam cumprir os requisitos de recupera o das fun es processos e actividades cr ticos apurados na an lise de impacto
201. ma clara identifica o dos propriet rios da informa o da organiza o Ao determinar os res pons veis pelos dados existentes nos SI da Empresa o respons vel pela seguran a ter interlocutores claramente identificados com quem poder definir as necessidades reais de seguran a evitando aplicar medidas gen ricas a toda a informa o da Empresa medi das essas muitas vezes desajustadas da realidade Classifica o da Informa o Uma vez identificados os respons veis pela informa o existente nos Sl esta poder mais facilmente ser classificada de acordo com a sua sensibilidade e posteriormente protegida de acordo com essa classifica o Deve se notar que a classifica o n o constitui um fim em si mesmo mas antes um meio que permite definir proce REAS DA SEGURAN A EMPRESARIAL 59 dimentos para a gest o da informa o como por exemplo a sua destrui o armazenamento ou transporte A classifica o poder ser t o simples como a separa o dos dados em p blicos e privados ou poder conter um maior grau de complexidade dividindo a informa o em v rios n veis ver tam b m Acordos de N vel de Servi o no cap tulo Cria o do Plano de Seguran a Este processo dever ser orientado por defini es claras dos diferentes graus de sensibilidade da informa o reco nhecidos pela Empresa bem como pela determina o exacta dos respons veis pela classifica o Estas d
202. mas tamb m utilizadores juristas e representantes de todas as partes envolvidas Inventaria o de recursos e da respectiva utiliza o a infra estrutura dever ser analisada e classificada assumindo que nenhum sistema imune a ataques acidentes ou falhas Levantamento de padr es de utiliza o dever olhar se para o modo como as tarefas s o efectivamente realizadas e n o como em teoria deveriam ser feitas de modo a iden tificar os padr es reais de utiliza o dos sistemas Estabelecimento dos fundamentos da pol tica as regras iso ladas que forem definidas n o podem ser encaradas como garantias efectivas de sobreviv ncia decorrendo a protec o eficaz da sua combina o Teste de ferramentas Storage Resource Management SRM e an lise de suportes de armazenamento procurar solu es que permitam aplicar a pol tica da forma mais efi caz e racional poss vel Defini o da pol tica cria o formal e aprova o ao n vel da Administra o Divulga o da pol tica dever o ser comunicadas aos desti nat rios as raz es que levaram sua adop o as conse qu ncias da sua entrada em vigor os comportamentos a adoptar etc Entrada em vigor da pol tica implementa o dos mecanis mos seleccionados 64 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Manuten o da pol tica monitoriza o e aperfei oamento da solu o em funcionamento sem nunca per
203. mb m poder o ser detalhados em fun o da infra estrutura de seguran a disponibilizada Crit rios de Disponibiliza o Os servi os de seguran a a prestar no mbito de um acordo deve r o ter por base de refer ncia a classifica o realizada pelo cliente quer esta seja efectuada nos moldes descritos anteriormente quer em quaisquer outros que se escolha Esta classifica o dever nortear o cliente na selec o das op es de servi o contratadas garantindo a consist ncia dessa modalidade com a natureza da informa o que ser disponibilizada Exemplo o cliente n o dever poder optar por um backup sema nal para uma informa o classificada com um requisito elevado de integridade nem prescindir de antiv rus num sistema de suporte a informa o classificada secreto em termos de confidencialidade Pelo exposto dever depreender se que os servi os facultados em mat rias de seguran a dever o ser disponibilizados ao cliente com limites que podem ser representados numa matriz tal como o exemplo da tabela seguinte 202 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Classifica o permitida Prazo para N vel d lui fidenciali WE Oi CON On iandae Disponibilidade servi o a ac o dade id requerida 4 2 3 4 14 2 3 4 1 2 3 4 5 Muito Baixo Um m s XIXIX XIX Baixo puas xIx x semanas M dio uma x
204. mbros da equipa de seguran a com vista incorpora o fluida dos controlos de segu ran a desejados De notar que sempre mais f cil e mais vanta joso do ponto de vista funcional e monet rio incorporar estas fun cionalidades na fase de defini o em vez de posteriormente ter de adaptar o c digo final 122 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Uma vez definidos os par metros que dever o reger o programa inicia se a fase de desenvolvimento Nesta fase e dependendo da complexidade do software que poder ir de uma base de dados relativamente simples a um complexo sistema de por exemplo gest o de com rcio electr nico dever o ser realizadas auditorias ao c digo gerado Estas an lises ter o como objectivo garantir a inocuidade do programa tanto do ponto de vista da funcionalidade o programa faz o que se pretende como do ponto de vista da seguran a o programa n o faz algo indesejado Finalmente atinge se um ponto do desenvolvimento em que surge uma vers o funcional do programa Nesta fase procede se ao teste inicial da aplica o com a utiliza o de dados fict cios e com a simula o das v rias possibilidades de funcionamento Este o momento decisivo para garantir a seguran a do software desenvol vido Ao procurar as falhas bugs existentes muitas vezes apenas se tentam detectar aquelas directamente relacionadas com o fun cionamento do programa Acontece por m que os
205. mente designado Fortaleza de Informa o numa analogia de car cter militar Este modelo baseado num monitor de refer ncia central que aplica uma pol tica de seguran a assenta em tr s princ pios pol tica integridade do monitor secretismo 22 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Infelizmente nenhum destes princ pios s lido As pol ticas deixam de ser ger veis quando o n mero de objectos e a complexidade das regras aumentam como confirma a dificuldade registada na gest o mundana de algo t o simples como as palavras passe especial mente ap s o Ver o A integridade do sistema monitor de refer n cia exige apenas a perfei o uma vez que qualquer falha na muralha de protec o deixa entrar o inimigo isto caso se consiga definir o per metro situa o agravada pela dificuldade deste mode lo em se degradar de forma graciosa uma nica falha suficiente para comprometer toda a zona a defender Por fim o secretismo extremamente dif cil e dispendioso sendo regra geral apenas vi vel quando aplicado a algumas chaves criptogr ficas Este modelo faz sentido num mundo em que o per metro se encon trava perfeitamente definido como no tempo dos computadores centralizados e monol ticos que se distancia mais a cada nova fun cionalidade introduzida pelas novas gera es de tecnologia A fragi lidade do Modelo Fortaleza de Informa o frequentement
206. mente que muito pouca relev ncia conferida a um dos elos mais importantes da cadeia a componente humana S o as pessoas que interagem diariamente com os sistemas que t m acesso informa o neles contida que condicionam o proces samento dessa mesma informa o que a gerem E tamb m muitas vezes s o as pr prias pessoas a principal amea a a esses mes mos sistemas As estat sticas realizadas na rea da seguran a dos SI t m reve lado uma tend ncia continuada se n o mesmo crescente para a exist ncia de um grande n mero de ataques consumados por insi ders ou seja por elementos internos pr pria organiza o Esses ataques podem ser ac es deliberadas e planeadas com antecipa o e com o objectivo de provocar grandes preju zos organiza o ou simplesmente podem ser o resultado de ac es mal executa das de erros humanos Mas apesar destas evid ncias a nfase continua a ser dada tecnologia e s solu es que esta pode pro porcionar em detrimento de ac es de sensibiliza o e forma o junto dos utilizadores a esta ac o pedag gica que nos iremos dedicar de seguida A pedagogia da seguran a provavelmente uma das tarefas mais sens veis sob a al ada do respons vel pela seguran a da Empresa REAS DA SEGURAN A EMPRESARIAL 71 N o por se tratar de um tema extraordinariamente complexo mas por implicar a gest o de sensibilidades e percep es distintas e a inter
207. meros exemplos de ataques compostos principal ou exclusivamente por actividades de engenharia social Faz parte da natureza humana o esp rito de entreajuda e essa ten d ncia por vezes agravada em ambientes laborais Se por exem plo algu m telefonar a um utilizador identificando se como um REAS DA SEGURAN A EMPRESARIAL 77 colega de outro departamento que precisa urgentemente de aceder a determinada informa o sob pena de ser despedido a tend ncia instintiva do utilizador ser ajudar Alternativamente o ataque pode assumir a forma de algu m que se identifica como um elemento do departamento de SI que necessita validar os dados de autentica o dos utilizadores do departamento financeiro Ou ent o um contacto do fornecedor de acesso Internet que precisa de qualquer ele mento Ou ent o as possibilidades s o in meras Eis um exemplo real Recentemente um dos autores deste livro teve a necessidade de obter os dados nome de utilizador e palavra passe da conta de gest o de um acesso dedicado Internet de uma empresa Ligou para o operador de telecomunica es da Empresa em causa e em pouco tempo ficou a saber quem era o respectivo gestor de conta bem como os seus contactos O passo seguinte naturalmente foi contactar o gestor junto de quem se identificou como sendo um novo elemento da Empresa respons vel pela gest o de redes de comunica es Informou o agente comercial da sua necessidade fund
208. n a diferen a entre o n vel actual no modelo de maturidade e o n vel pretendido Como linha orientadora no planeamento do Plano Global de Seguran a pode considerar se um or amento para a seguran a na ordem dos 5 do or amento dos sistemas de informa o CRIA O DO PLANO DE SEGURAN A 197 Acordos de N vel de Servi o Uma metodologia poss vel para a implementa o do Plano Global de Seguran a passa pela inclus o de servi os de seguran a no processo de defini o de acordos de servi o sendo necess rio para tal contemplar ainda a implementa o de uma infra estrutura de suporte a estes servi os Estes acordos s o contratos internos ou com terceiros estabeleci dos entre um propriet rio de informa o e o respons vel pela pres ta o do servi o que a disponibiliza que visam limitar o mbito e n vel dessa presta o possivelmente atrav s da associa o de um custo Uma parte importante dos acordos precisamente o acordo de n vel de servi o ou SLA Service Level Agreement que discrimina os servi os a prestar no mbito do acordo e os moldes em que ser o prestados Como iremos ver em seguida os SLA podem assentar na classifi ca o da informa o como meio de garantir uma defini o equili brada conferindo um n vel de protec o e preven o similares informa o com sensibilidade equivalente Classifica o da Informa o No cap tulo do acordo de servi o sobre seguran
209. n lise final ent o a identifica o das best practi ces encontradas isto metodologias de implementa o com bons resultados e que contribu ram para o sucesso do projecto Ap s a identifica o das best practices estas dever o ser divulgadas no seio da Empresa para que a organiza o possa evoluir com base nelas Para que tal aconte a o chefe do programa dever efectuar um relat rio simples que apresente as best practices de forma sucinta que possa ser facilmente divulgado e assimilado pela Empresa por exemplo atrav s da sua Intranet para que todos pos sam ter acesso a essa informa o e saibam a quem recorrer caso 246 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO pretendam aprofundar alguma quest o Desta forma este relat rio dever ser elaborado com o cuidado de n o possuir um conte do demasiado t cnico Como anteriormente referido o finalizar de um programa dever caracterizar se n o s pela comemora o e pelos elogios habituais equipa quando o programa corre bem naturalmente mas tam b m por uma fase de avalia o an lise e elabora o de relat rios pelo chefe de programa e pelos seus colaboradores O relat rio final deve apresentar os principais desvios registados no programa e resumir as suas causas real ando tamb m os princi pais feitos do programa ou seja as principais actividades realiza das e os resultados pr ticos para a organiza o Esta uma ques
210. na base da sua constru o Desta forma ao encontrar um desvio nas conclus es o or amento flex vel inclui detalhe suficiente para se apurar quais as premissas correspondentes a essas conclus es as respons veis pelo desvio GEST O DO PROGRAMA DE SEGURAN A 209 O or amento flex vel permite analisar se um determinado desvio foi provocado por um erro resultante das quantidades definidas devido a falhas de an lise ou improdutividade ou se devido a diferen as n o antecipadas por exemplo nos pre os dos produtos adquiri dos Exemplo supondo que prevista a aquisi o de 100 tapes para efectuar backups ao longo do ano a um custo total de 5 000 e que no final do ano o custo das tapes registado foi de 7 500 um or amento flex vel permi tir identificar se esse desvio se deveu a um aumento do pre o estimado das tapes ou a um acr scimo da quantidade de tapes adquiridas e neste ltimo caso se tal se ficou a dever a um erro de c lculo ou a uma falha de optimiza o dos backups Trata se de um or amento mais detalhado que implica um maior consumo de tempo na sua elabora o mas que permite efectuar uma an lise mais pormenorizada dos desvios e das suas causas ver Fig VII 2 Este tipo de documento ser partida o mais indicado no caso de projectos de maior dimens o ou com maior or amento como normalmente o caso do Programa de Seguran a 210 SEGURAN A DOS SISTEMAS DE INFORMA O CE
211. nada actividade TI ao desastre n o implicar necessariamente a garantia da sobreviv ncia de qualquer um dos processos que sobre ela assentam Na reali dade considera se frequentemente que os Sl s o a pedra basilar que sustenta a recupera o do desastre sendo igualmente encara dos regra geral como um primeiro n vel de protec o Natural mente a protec o acrescida oferecida pela continuidade do neg cio tem um custo como contrapartida o esfor o extra associado ao planeamento da recupera o de um conjunto mais alargado de sectores da Empresa Para al m da defini o do mbito do projecto a identifica o dos pressupostos sobre os quais este assenta representa uma forma 11 Uma vez que o projecto de recupera o de desastre um subconjunto focado nos sistemas de informa o do projecto de continuidade do neg cio no resto deste cap tulo ser tratado explicitamente o planeamento da continuidade do neg cio por uma quest o de simplicidade e abran g ncia 140 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO adicional de conter o seu alcance os pressupostos devem definir o cen rio de desastre para o qual o plano ser concebido bem como especificar a amplitude geogr fica do desastre e a dimens o ou impacto previstos sobre a Empresa e sobre a infra estrutura que a suporta linhas de comunica o de voz e dados fontes de energia acessos pessoal etc Uma vez delineado o contorno do
212. ncretiza o do risco muito RE Ca o alto an a o a 2 A AEE IAEE LIR E EEIE AEO EE NA m dio g1 q Impacto Impacto Fig Il 8 Regras baseadas no mapa de risco Maturidade A l gica subjacente implementa o dos controlos deve garantir tanto quanto poss vel a evolu o da seguran a da Empresa sendo necess rio para tal assegurar que a introdu o de controlos b sicos precede a introdu o dos controlos mais sofisticados Tal cuidado requer por sua vez a utiliza o de um modelo de maturidade em que s o definidos n veis de complexidade semelhan a dos GEST O DO Risco 53 degraus de uma escada que dever o ser percorridos sequencial mente O modelo de maturidade anteriormente proposto assenta nas seguintes etapas 1 defini o de pol ticas e normas de seguran a 2 defini o da arquitectura e dos processos da seguran a 3 implementa o dos processos de suporte inspec o protec o detec o e reac o 4 realiza o de ac es de sensibiliza o e de forma o em seguran a 5 realiza o peri dica de auditorias e testes seguran a 6 implementa o de processos de resposta reflexa 7 valida o do modelo de protec o e da sua implementa o Segundo este modelo as primeiras actividades do Programa de Seguran a dever o ser dirigidas cria o de um corpo normativo onde ser o definidas as regras de seguran a a implementar na Empresa e
213. nexos volumo sos Ser aceit vel enviar e receber mensagens pessoais de cariz sexual Ser aceit vel a transmiss o de mensagens contendo informa o propriet ria da Empresa O correio electr nico dever ser exclusivamente utilizado sem excep es para o desempenho das fun es profissionais do utilizador Estas quest es dever o obter resposta no desenvolvimento de um conjunto de regras mais alargado que constituir o as boas pr ticas da Empresa Forma o Com a regularidade que venha a ser definida como necess ria dependendo do tamanho da Empresa do n mero de colaborado res da quantidade de pessoal dedicado seguran a etc dever o ser preparadas em estreita coordena o com o Departamento de Recursos Humanos ac es de forma o sobre a seguran a Longe de semin rios exaustivos e demasiado t cnicos sobre segu ran a dos Sl estas dever o ser ac es em que se instruam os utili zadores sobre como realizar as tarefas quotidianas que lhes com petem de modo a n o afectar a seguran a dos Sl Dever o ser apresentadas de forma gen rica as tecnologias em utiliza o na Empresa os seus objectivos eventualmente a forma como os atin gem e as implica es que essas medidas de protec o t m para quem as utiliza Idealmente a seguran a dever ser tamb m incor 76 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO porada nos conte dos program ticos das ac es de forma o de
214. norme esfor o associado e sua fraca visibili dade a cria o de medidas de seguran a face ao desastre ser um garante da viabilidade da organiza o caso o pior se concretize Cap tulo V Padr es e Legisla o N o objectivo dos autores com este cap tulo analisar detalhada mente todas as quest es legais relacionadas com os sistemas de informa o para tal existem outros t tulos no mercado escritos por especialistas Contudo este livro ficaria incompleto sem uma refe r ncia a alguma legisla o nacional e ao grande padr o internacio nal que se ocupa desta mat ria A n vel legislativo em Portugal tem se assistido a um esfor o rela tivamente recente de cria o de pe as legais que visam enquadrar as novas tecnologias e as actividades por elas suportadas O pr prio Estado tem tentado dar o exemplo atrav s de uma s rie de orienta es que obrigam os servi os p blicos a ter presen a na Internet presen a esta avaliada periodicamente bem como atra v s de v rias iniciativas enquadradas juridicamente Este cap tulo pretende ent o dar a conhecer algumas das leis nacionais relacionadas com as novas tecnologias que os autores consideram mais pertinentes Para al m disso olharemos para o ISO IEC 17799 o standard internacional dedicado seguran a da informa o e que de leitura obrigat ria para qualquer respons vel pela seguran a da informa o empresarial Legisla o nacional
215. nstala es a proteger os meios de acesso a quantidade e tipo de equipamento dispon vel a infra estrutura de suporte o hor rio de funcionamento o per odo durante o qual ser disponibilizado o cen tro em caso de desastre e as garantias de seguran a e confidencia lidade N o se dever tamb m esquecer a quest o de como proce der o fornecedor na eventualidade de um desastre que afecte v rios clientes seus tem capacidade para todos em simult neo Que crit rios de resposta utilizar Plano de Testes A realiza o de testes visa garantir que os procedimentos contidos no plano de continuidade do neg cio englobam todas as actividades necess rias conting ncia recupera o e retorno normalidade da Empresa em caso de desastre e que esses procedimentos fun cionam correctamente Pretende igualmente familiarizar os interve nientes com esses procedimentos de modo a reduzir o n mero de decis es a tomar durante um desastre real diminuindo a confus o aumentando o controlo sobre a situa o e diminuindo os custos do desastre este processo que permite que os intervenientes fiquem a conhecer a l gica de tomada de decis es durante um desastre obrigatoriamente diferente de decis es tomadas em circunst ncias normais O plano de testes documenta o processo de planeamento o m todo de coordena o o m todo de documenta o SEGURAN A FACE ao DESASTRE 161 o processo de avalia o e comunica o
216. nstitui a base do processo de selec o e recomen da o das medidas identificadas para redu o das vulnerabilidades ver Estrat gia de Controlo mais adiante neste cap tulo O outro tipo de an lise aqui apresentado ser a de impacto no neg cio atrav s da qual s o determinadas as actividades cr ticas para a sobreviv ncia da Empresa em caso de desastre servindo tamb m esta an lise como base ao processo de cria o do plano de continuidade do neg cio ver Seguran a Face ao Desastre An lise de Risco Quantitativa A Exposi o Anual Perda ou Anual Loss Exposure ALE uma metodologia de an lise de risco quantitativa que permite estimar o risco atrav s do c lculo do valor da perda expect vel decorrente de uma determinada amea a Esta an lise de risco assenta nas duas f rmulas seguintes ALE Valor x R R VxP Onde ALE perda monet ria m dia expect vel num ano expressa numa unidade monet ria Gest o DO Risco 41 Valor valor acumulado dos danos provocados pela concretiza o da amea a expresso numa unidade monet ria R probabilidade de concretiza o da amea a na Empresa no per odo de um ano expresso em ocor r ncias por ano V n mero que representa a vulnerabilidade da Empresa amea a sem unidade Exemplo V 0 Empresa invulner vel amea a V 1 Empresa com exposi o normal amea a V gt 1 Empresa com uma exposi o amea a superior
217. nticamo nos por interm dio da nossa assinatura que dever ser id ntica que consta da base de dados do nosso banco Ao utilizarmos uma caixa ATM o acesso controlado por interm dio de um cart o e de um PIN a ele associado Inconscientemente impomos estas medi das de controlo no nosso relacionamento di rio quer seja ao aten der um telefone autenticando o interlocutor por interm dio da sua voz quer seja abrindo a porta de nossa casa controlando quem pode entrar atrav s da utiliza o de uma chave Nos Sl a autentica o e o controlo de acesso s o igualmente importantes S o eles quem assegura que n s somos quem dize REAS DA SEGURAN A EMPRESARIAL 81 mos ser e quem nos permite aceder quilo a que temos direito quer ao n vel da infra estrutura redes de comunica es quer ao n vel aplicacional atrav s do fornecimento de credenciais do nosso conhecimento exclusivo A discuss o sobre os melhores m todos de autentica o e de con trolo de acessos n o tem sido pac fica e tem assistido introdu o regular de novos elementos tais como cart es inteligentes smart cards ou dispositivos de autentica o biom trica bem como evolu o de outros como os sistemas de gest o de palavras passe A grande quest o que se coloca neste debate fundamentalmente a de descobrir qual a melhor forma de autenticar algu m e de garantir que apenas as pessoas autorizadas t m acesso aos recur sos disponib
218. nto de novos v rus pode tornar se uma batalha perdida Felizmente existem solu es centralizadas que permitem realizar automaticamente todas estas tarefas a partir de um nico ponto Para as seleccionar o respons vel pela seguran a dever avaliar as caracter sticas de cada uma bem como as necessidades da Empresa devendo ter em conta os seguintes aspectos Qual o grau de facilidade na obten o de actualiza es da base de dados de assinaturas Este processo dever ser simples autom tico e n o deve causar quaisquer proble mas ao administrador Qual o grau de facilidade na dissemina o das actualiza es pelos clientes O processo dever ser o mais escor reito e fi vel poss vel Qual o tempo de resposta do produtor do antiv rus a v rus novos Esta resposta nunca dever exceder algumas horas Que possibilidades existem para a gest o dos clientes podem ser agrupados em tipos de utilizadores podem ser criados grupos priorit rios para a actualiza o Que possibilidades existem para a gest o do antiv rus As regras podem ser definidas centralmente REAS DA SEGURAN A EMPRESARIAL 99 Podem ser impedidas altera es locais Que tipo de alertas e de relat rios s o produzidos Os relat rios devem indicar as actualiza es de vers es as detec es de v rus e as ac es realizadas Como o suporte t cnico do fabricante Muitas destas solu es se bem que
219. o neg cio Dever igualmente promover a introdu o no ciclo de vida de todos os projectos da Empresa de uma fase de avalia o do impacto desses mesmos projectos sobre o Plano de Continuidade do Neg cio PCN Esta avalia o dever sempre que necess rio despoletar um processo de altera o ao plano Outro aspecto que deve estar previsto no plano de actualiza o a reformula o das equipas em caso de sa da de um dos seus mem bros da Empresa e a contextualiza o e forma o dos rec m che gados 164 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO O Plano de Actualiza es deve prever a incorpora o dos conheci mentos adquiridos durante a reac o a um desastre as li es aprendidas e dever tamb m prever medidas para evitar a repeti o de eventuais erros que tenham sido cometidos ou acidentes que tenham ocorrido na aplica o pr tica dos planos Conclus o A reac o face a um desastre sempre algo de imprevis vel e de consequ ncias muitas vezes incalcul veis O modo como a Empresa reage a estes eventos determina a sua capacidade de sobreviv ncia mas demonstra igualmente o tipo de prepara o e de aten o pr via que dedicou a esta quest o A cria o de um plano de reac o a desastres com todas as suas componentes n o uma tarefa linear e requer a participa o empenhada de todos os escal es da organiza o Se bem que possa parecer uma tarefa ingl ria devido ao e
220. o Telef nico Detec o de Pontos de Acesso WLAN Engenharia Social Conclus o Cap tulo IV Seguran a Face ao Desastre Anatomia de um Desastre Tipos de Desastre Cronologia Planeamento da Recupera o ou Continuidade do Neg cio Arranque do Projecto Objectivos Ambito Pressupostos e Terminologia Modelo de Gest o do Projecto Redu o de riscos e avalia o do impacto npice 9 80 85 88 89 93 94 97 100 101 102 105 111 114 120 124 124 126 127 128 128 129 129 130 133 133 134 134 136 137 137 140 142 10 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO An lise de Risco Controlo de Riscos An lise de Impacto no Neg cio Desenvolvimento do Plano Estrat gias de Protec o Plano de Conting ncia Plano de Recupera o Plano de Regresso Normalidade Plano de Gest o de Crise Implementa o do Plano Aquisi o de Meios Plano de Testes Sensibiliza o e Forma o Manuten o e Actualiza o Plano de Exerc cios e Sensibiliza o Plano de Actualiza o Conclus o Cap tulo V Padr es e Legisla o Legisla o nacional Seguran a Nacional Criminalidade Inform tica Protec o de Dados Pessoais Com rcio Electr nico Assinaturas Digitais Licenciamento de Software Comiss o Nacional de Protec o de Dados O Standard ISO IEC 17799 Certifica o Conclus o 143 144 144 145 146 151 154 155 156 159 159 160 162 163 163 163 164
221. o de identifica o de depend ncias Consideremos os tempos alvo de recupera o indicados no exem plo da Fig Il 6 recolhidos numa an lise fict cia de impacto no neg cio em que cada fun o processo ou actividade caracterizado por um TAR pr prio que representa o per odo durante o qual esse elemento pode estar indispon vel sem gerar por si s um impacto negativo desastroso Apesar dessa an lise determinar o tempo alvo para a recupera o de cada processo e actividade que suporta a fun o do neg cio esses valores n o entram em linha de conta com as interdepend n cias existentes Para tal ser necess rio determinar o menor TAR registado em todas as ocorr ncias da actividade ou processo e aplicar esse valor a todas Seguidamente dever proceder se aos ajustes dos restantes TAR afectados pelas substitui es encon trando se desta forma os objectivos de recupera o efectivos para toda a Empresa 48 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Cr tico TAR lt 15 dias Vendas O io 64 S Cr tica u TAR 3 dias Promo o de o Factura o Log stica produtos 8 Cr tico Cr tico N o TAR 7 dias TAR 1 dia cr tico TAR 60 dias Emiss o Balan o Cobran Emiss o Expedi o Linha azul CRM D a 8 E Cr tica N o cr tica N o cr tica Cr tica N A N A g TAR 7 TAR 1 m s Cr tica TAR 1 TAR 2h dias TAR 3 m s dias
222. o de objecti vos entre todos os participantes O controlo efectivo das diversas actividades ao longo de todo o pro grama permitir por um lado agir de forma pr activa na resolu o dos problemas e dificuldades que poder o surgir e por outro medir a efic cia e efici ncia de todas as metodologias implementadas Terminologia Activa o do Plano Actividade de suporte ALE Amea a An lise de Impacto no Neg cio Best practices Centro de Recupera o Confidencialidade Conten o In cio da implementa o dos procedi mentos de recupera o Este processo despoletado pela Declara o de Desastre ver Declara o Actividades de produ o tecnol gicas que suportam os processos do neg cio o terceiro e ltimo n vel da Cadeia de Valor de Porter Annual Loss Exposure exposi o anual perda Indica o de um dano iminente Business Impact Analisys BIA An lise efectuada ao n vel da gest o por forma a identificar o impacto da perda de recursos Melhores pr ticas processos ptimos para a realiza o de determinada tarefa Instala es alternativas onde s o arma zenadas c pias de seguran a dos dados da empresa e onde poder o ser realizadas as tarefas de recupera o de fun es cr ticas em caso de desastre Caracter stica da manuten o do segredo de determinada informa o Actividades de limita o do impacto de um desastre realizadas duran
223. o estrat gica da seguran a da Empresa implica uma aten o muito particular ao processo de selec o dos controlos que dever garantir uma abordagem consistente e abrangente assente nos princ pios da seguran a j apresentados ver Princ pios de Preven o e Protec o no cap tulo Teoria da Seguran a Arquitectura Muito raramente a defini o dos sistemas de informa o da Empresa feita tendo por base uma estrat gia global para a sua seguran a Na vasta maioria dos casos o respons vel pela segu ran a contratado quando os sistemas j se encontram em produ o pelo que as oportunidades de revolu o s o bem menores do 50 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO que as de evolu o A introdu o de controlos ser provavelmente realizada em interven es mais ou menos pontuais correndo se o risco de perda de consist ncia atrav s da introdu o de controlos desconexos e n o abrangentes Para lidar com este problema a equipa de seguran a dever juntamente com especialistas internos e externos Empresa definir um plano de constru o da infra estrutura da seguran a ou seja definir a arquitectura alvo para a seguran a dos sistemas de informa o A defini o da arquitectura dever come ar pela identifica o de um objectivo de alto n vel como o apresentado na Fig Il 7 que poder ser detalhado progressivamente em antecipa o introdu o de
224. o livro nem por endere os Internet que n o correspondam s Home Pages pretendidas Agradecimentos Este e qualquer outro trabalho meu ser sempre dedicado Paula ao Kukas e ao Kikas pela extraordin ria generosidade dela que criou todo o tempo empregue neste projecto e pela permanente e infinita compreens o afecto e apoio de todos eles Pedro Filipa e ao Gugas por tudo ao Pedro pela energia e incentivo e ao Fernando Almeida pela inspira o Hugo Ao Nuno minha M e amiga Odete e em especial ao Diogo o meu pequenote por todo o apoio e carinho que me permitiram participar neste projecto t o aliciante Catarina Ao Rui S o Pedro Lisete Figueiredo Manuel Lopes Rocha Carlos Tomaz Sandra Raimundo e Frederico Martins muito obrigado por toda a disponibilidade e empenho demonstrados Os Autores Agradecimentos Introdu o Cap tulo I Teoria da Seguran a Princ pios de Preven o e Protec o Rela o Custo Benef cio Concentra o Protec o em Profundidade Consist ncia Redund ncia Modelos de Seguran a Fortaleza da Informa o Sobreviv ncia da Informa o Modelo de Maturidade Os Actores da Seguran a Administra o da Empresa Utilizadores Inform ticos Clientes Parceiros Pessoal Tempor rio Conclus o Cap tulo Il Gest o do Risco Identifica o dos Riscos Amea as Vulnerabilidades Bens NDICE 17 17 19 19 19 20 20 21 21 23 25 26 26
225. o n o alterado desde a aposi o da assinatura Se este ltimo aspecto se consegue garantir atrav s de mecanis mos de chave p blica chave privada j abordados neste livro as duas outras quest es merecem alguma reflex o Com as actuais fragilidades existentes nos sistemas e redes inform ticos n o ser dif cil imaginar cen rios em que algu m assina sem o saber um documento digital ou em que um intruso acede ao sistema onde se encontra o certificado e o utiliza ilegitimamente Estes aspectos sublinham a import ncia de ao aderir aos certifica dos digitais oficiais serem criadas medidas de seguran a adequa das para evitar a sua utiliza o n o autorizada Licenciamento de Software Atendendo a que o software como qualquer outra cria o industrial n o se refere em termos legais unicamente sua rea exclusiva a lista de legisla o que controla a sua utiliza o fundamentalmente em termos de protec o contra c pias extensa Dela fazem parte o C digo do Direito de Autor e dos Direitos Cone xos Lei n 114 91 o Regime de Protec o Jur dica dos Progra mas de Computador Lei n 252 94 e a Lei n 122 00 relativa Protec o Jur dica das Bases de Dados entre outros Como tam b m vimos a pr pria lei da Criminalidade Inform tica prev a repro du o ileg tima de programa protegido como crime pass vel de puni o por este motivo que o controlo das exist ncias em
226. o n vel apresentada dever o ser defini dos os respectivos objectivos metas mbito e riscos de desvio ao planeamento tanto or amentais como ao calend rio Esta defini o de pormenor pode ser traduzida numa lista em que deve ser inserido o maior n mero poss vel de elementos relaciona dos com a actividade em quest o Exemplo ACTIVIDADE Levantamento de Fun es Cr ticas TAREFAS 1 Identifica o das reas de neg cio da empresa 2 Identifica o dos interlocutores respons veis por cada rea 3 Cria o de um modelo quantitativo qualitativo unificado de classifica o das fun es 4 Cria o de question rios uniformes para recolha de informa o 5 Reuni es com os interlocutores identificados em 2 com aplica o do modelo de classifica o e dos question rios 6 Valida o das respostas obtidas 7 Cruzamento dos dados levantados durante as reuni es 8 Prioritiza o das fun es de neg cio de acordo com o seu grau de criticidade 142 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Nota este exemplo pretende apenas ilustrar o tipo de tarefas associadas a uma actividade de alto n vel n o pretendendo ser exaustivo Esta lis tagem deveria ainda incluir a indica o das pessoas respons veis por cada tarefa e se poss vel o calend rio previsto Este processo de gest o que ser abordado em maior profundi dade em Gest o do Programa de Seguran a sob ou
227. o teste das caracter sticas da organiza o n mero de sistemas n mero de funcion rios tipo de aplica es e dos pro veitos que possam ser obtidos da an lise Em qualquer dos casos conv m mais uma vez garantir que os testes n o sejam intrusivos e que os resultados sejam teis e n o apenas descri es de ataques 128 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Detec o de Vulnerabilidades Este um teste de simples execu o constando do confronto dos sistemas e aplica es existentes com listas de vulnerabilidades conhecidas Atendendo ao enorme n mero de vulnerabilidades existentes estes testes s o normalmente realizados com progra mas autom ticos de detec o contendo bases de dados de vulne rabilidades actuais Caso o respons vel pela seguran a da Empresa opte pela contrata o de um servi o deste tipo ou pela aquisi o de um scanner de vulnerabilidades dever ter em conta as especificidades da sua organiza o devendo certificar se da utilidade do teste Se apenas existem sistemas Unix na Empresa um teste destes cujas caracte r sticas apontem fundamentalmente para sistemas operativos da Microsoft poder n o ser muito til Um extra que um servi o ou aplica o destes dever conter a correc o automatizada e ou manual no caso de servi o contra tado das vulnerabilidades detectadas bem como um registo por menorizado das ac es realizadas Detec o
228. ol tica de Uso Aceit vel formal na Empresa esta dever ser lida pelo novo elemento que a dever assinar assina lando deste modo a sua aceita o Caso n o exista documenta o formal mas antes orienta es informais sobre o que constitui ou n o o uso aceit vel dos Sl da Empresa estas dever o ser comuni cadas ao novo elemento que dever assinar uma declara o em como foi instru do sobre o que pode ou n o pode fazer Esta acei ta o inicial das regras do jogo leva a que mais tarde n o possam surgir afirma es de alegado desconhecimento que poder o con duzir a situa es no m nimo complicadas Como vimos as quest es levantadas levam ent o necessidade de colabora o entre o Departamento de Recursos Humanos ou a pessoa respons vel pela contrata o de novos colaboradores e o respons vel pela seguran a da Empresa que em certos casos poder inclusivamente participar activamente no processo de selec o de novos funcion rios REAS DA SEGURAN A EMPRESARIAL 73 Documenta o Pol tica normas e procedimentos Nunca demais frisar a impor t ncia de um corpo documental coeso actual e apropriado Ao criar uma pol tica de seguran a clara e expl cita a Empresa est a fixar os seus objectivos nesta rea sem idealmente margem para d vidas Esta pol tica para al m de constituir juntamente com o Plano Global de Seguran a o fio condutor da actua o da Empresa nesta mat
229. ompleto dos siste mas realizado na ltima sexta feira de cada m s e retido durante trinta dias ou mais C pia de seguran a pai backup completo dos siste mas realizado todas as sextas feiras e retido durante quinze dias C pia de seguran a filho backup completo de todos os sistemas realizado diariamente e retido durante sete dias Dependendo do prazo de reten o das c pias de seguran a dever ent o ser delineado um esquema de armazenamento on site e off site como forma de garantir a seguran a e disponibilidade dos suportes Nos casos em que exista um grande n mero de suportes com prazos de reten o diferenciados e v rios locais remotos de armazenamento a gest o da rotatividade dos backups pode ser complexa para solucionar esta quest o que foi desenvolvida uma tecnologia conhecida como vaulting electr nico que consiste simplesmente na liga o das instala es da Empresa a um local remoto com biblio tecas de backups de elevada capacidade atrav s de linhas dedica das preferencialmente de alto d bito Esta solu o retira grande parte da complexidade gest o do armazenamento local e remoto dos suportes de backup uma vez que as c pias de seguran a s o realizadas directamente nos locais onde ficar o guardadas Dependendo dos requisitos de disponibilidade dos dados a organi za o poder sentir a necessidade de possuir uma solu o que REAS DA SEGURAN A EMPRES
230. ores e conclus es existentes bem como refer ncias aos n meros das p ginas onde o leitor poder obter informa o adicional sobre cada elemento referido no sum rio Neste sub cap tulo iremos abordar os elementos do Plano Global de Seguran a a montante da defini o do plano de ac o sendo os elementos que o suportam abordados nos sub cap tulos seguintes Objectivos A defini o do Plano Global de Seguran a deve iniciar se com a determina o dos objectivos a atingir pelo Programa de Seguran a da Empresa Estes objectivos dever o ser perenes sendo a alma do Programa de Seguran a e o compromisso assumido pelo seu respons vel reflectindo ainda a postura da Administra o em mat rias de seguran a Exemplo O Plano Global de Seguran a visa garantir a protec o das pessoas informa o e instala es contra as amea as quotidianas bem como a continuidade do neg cio da lt Empresa gt face a desastres de impacto re gional ou mais reduzido Uma vez que o Programa de Seguran a visa elevar o n vel de segu ran a da Empresa para o n vel requerido pela mesma importante que estes objectivos estabele am esse n vel preferencialmente de forma assente em m tricas baseadas em padr es ver Acordos de 184 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO N vel de Servi o Essas m tricas dever o permitir aferir o grau de cumprimento dos objectivos ou o enquadramento nos mesmos d
231. orias de origens de ataques s o ent o as seguintes Zombies sistemas inform ticos infectados com programas espec ficos de controlo remoto que s o utilizados por ter ceiros para realizar ataques coordenados contra um alvo o exemplo mais conhecido s o os DDoS ou ataques distri bu dos de nega o de servi os em que grandes n meros de sistemas atacam simultaneamente um alvo com o objec tivo de estrangular a sua liga o Internet REAS DA SEGURAN A EMPRESARIAL 119 Vermes worms sistemas infectados com programas espec ficos que tentam infectar automaticamente outros sistemas aos quais tenham acesso Intermedi rios sistemas comprometidos pelo atacante que a partir deles monta ac es contra outras v timas com o fim de dificultar a sua detec o Claro que existem muitas outras possibilidades incluindo atacantes ing nuos que tentam comprometer sistemas directamente a partir das suas m quinas pessoais em casa o que equivale a deixar uma assinatura e um cart o de visita nos sistemas atacados No meio de todas estas possibilidades h que conseguir distinguir na fase de rescaldo de um ataque os pe es e os vil es Nor malmente esta tarefa n o simples e sem o sabermos mesmo os nossos sistemas poder o ser utilizados num ataque contra tercei ros Esta realidade faz questionar algumas op es que actualmente se come am a colocar em termos de resposta a ataques Existem
232. orm tica desde as caracter sticas f sicas dos centros de processamento de dados passando pela defini o de c pias de seguran a at destrui o segura de suportes inform ticos Se bem que se dedique essencialmente a sistemas que processem armazenem ou trans mitam dados classificados n o deixa de possuir interesse para o respons vel pela seguran a uma vez que cont m princ pios v lidos para implementa es mais seguras Para al m disso pode servir de ponto de partida para uma aborda gem mais estruturada de uma descri o pormenorizada da pol tica de seguran a da organiza o este diploma cont m sen o todos pelo menos a maioria dos t picos que dever o constar de um documento de orienta o empresarial PADR ES E LEGISLA O 167 Criminalidade Inform tica Remonta a 1991 a lei que categoriza e pune os il citos criminais na rea da inform tica A Lei n 109 91 de 17 de Agosto respon dendo s necessidades sentidas poca vem ent o definir seis categorias de crimes inform ticos pun veis por lei com penas que podem ir de multas passando por pris o at ao encerramento defi nitivo de estabelecimentos De notar que as tentativas de concreti za o dos il citos definidos nesta lei tamb m s o punidas As categorias de crimes inform ticos em vigor em Portugal s o Falsidade inform tica introdu o altera o ou elimina o ileg timas de dados ou programas inform ticos que
233. os problemas ou preocupa es da equipa que poder o originar novos programas para al m de tecer considera es finais Este relat rio dever ser elaborado em colabora o com todos os elementos da equipa que dever o dar o seu feedback em reuni es de encerra mento do programa de modo a permitir a compila o de toda a informa o relevante pelo respons vel Planeamento As organiza es s o entidades em constante muta o pois t m de se adaptar s diversas altera es do meio envolvente Assim sur gem constantemente desafios projectos ou programas mais sim ples ou mais complexos mas sempre com uma necessidade comum a necessidade de planeamento de defini o de objectivos e de afecta o de recursos Esta uma fase cr tica no ciclo de vida de qualquer programa pois um bom planeamento constitui a base sobre a qual se ir o desenvolver as actividades posteriores Num programa transversal a toda a Empresa como o caso do Programa de Seguran a o planeamento fundamental para con seguirmos no final avaliar a efic cia das medidas tomadas Calend rio Actividades O planeamento de qualquer programa requer detalhe cujo n vel deve ser ponderado dado que esta actividade demora tempo e consome recursos sendo no entanto essencial a um bom pro grama Ao definir os objectivos a atingir ter se o pois de identifi 220 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO car as diversas ta
234. os corpos gerentes uma quest o de efectuar investimentos em medidas de preven o e protec o para evitar potenciais perdas Perante a sociedade e em mat ria de seguran a a Administra o tem a necessidade de mostrar due diligence ou seja de mostrar que fizeram o que considerado razo vel pelo senso comum e no cumprimento da legalidade Naturalmente a principal motiva o da Administra o para com a satisfa o dos accionistas e como tal dos clientes implicando fre quentemente um elevado grau de disponibiliza o de informa o o que poder n o ser facilmente compatibilizado com uma boa segu ran a O papel do respons vel pela seguran a na Empresa junto deste rg o mostrar as principais alternativas presentes e as suas implica es facultando lhe a informa o que esta necessita para tomar decis es informadas contribuindo desse modo para a melhoria do n vel de seguran a Utilizadores Utilizadores s o todos aqueles que usam os sistemas de informa o independentemente dos privil gios que detenham Os conhe cimentos t cnicos do utilizador t pico variam muito dependendo tanto da actividade desenvolvida como da faixa et ria predomi 28 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO nante sendo os n veis m dios mais elevados em empresas tecno l gicas ou em que os colaboradores se encontrem predominante mente numa faixa et ria mais jovem Os utilizadores
235. outras reas Sensibiliza o Para al m das ac es de forma o dedicadas a aspectos espec fi cos da seguran a dos Sl com impacto sobre os utilizadores deve r o realizar se ac es de sensibiliza o sobre quest es concretas Os temas poder o ser propostos pelos pr prios utilizadores atrav s de um sistema de sugest es por exemplo atrav s da Intranet a ades o poder ser surpreendente poder o resultar da observa o directa dos problemas quotidianos mais preponderantes na Empresa por exemplo v rus ou spam ou poder o estar relacio nados com as quest es fundamentais da seguran a na organiza o Um exemplo flagrante e provavelmente o mais t pico o das pala vras passe Uma ac o de sensibiliza o poder dedicar se a estes mecanismos de autentica o explicando qual o comprimento necess rio a respectiva validade e a import ncia da sua salva guarda Poder o igualmente ser apresentadas formas simples de criar e memorizar palavras passe eficazes e exemplificar as m s escolhas datas de nascimento etc Uma outra quest o importante que dever ser abordada a da engenharia social A engenharia social social engineering pode ser definida de forma simples como o conjunto de ac es que unicamente atrav s da interac o humana levam ao compromisso de informa o confi dencial A interac o pode ser levada a cabo local ou remotamente Infelizmente existem in
236. p tulo IV e seguintes uma organiza o com poderes para verificar o cabal cumprimento da lei Essa organiza o a Comiss o Nacional de Protec o de Dados CNPD fun ciona junto da Assembleia da Rep blica e det m um vasto leque de compet ncias desde a emiss o de pareceres at delibera o sobre a aplica o de coimas podendo a sua actividade verificadora ser accionada mediante den ncias ou queixas de particulares 1 A Lein 68 98 de 26 de Outubro atribui mesmo CNPD as fun es de inst ncia nacional de controlo junto da inst ncia comunit ria de controlo que cria um servi o europeu de pol cia EUROPOL PADR ES E LEGISLA O 175 Ainda de acordo com a lei todas as entidades p blicas e privadas t m a obriga o de colaborar com a CNPD facultando lhe acesso a todas as informa es necess rias incluindo claro est aos con te dos de bases de dados Os poderes desta comiss o s o bastante latos podendo inclusiva mente para al m das puni es legais que podem ir de coimas a penas de pris o obrigar as organiza es a eliminar registos exis tentes nos seus sistemas ou mesmo bases de dados inteiras As suas decis es s o segundo a lei obrigat rias se bem que passi veis de recurso A CNPD uma entidade bastante activa uma r pida leitura dos seus relat rios anuais revela um n mero significativo de interven es quer de autoriza o quer de fiscaliza o bem como de emis
237. pera es para o suporte secund rio Para que esta solu o possa ser considerada neces s rio que o suporte secund rio se encontre a uma dist ncia segura do prim rio Contudo medida que as dist ncias aumentam tam b m cresce o risco de cria o de pequenos atrasos na escrita do suporte de apoio originada pelos tempos de transmiss o ou seja podem surgir situa es em que os dados do suporte secund rio n o s o precisamente iguais aos do prim rio Para al m disso a escrita simult nea em dois suportes gera alguma lat ncia nos tempos de processamento uma vez que o controlador tem de esperar pela conclus o de dois processos de escrita 110 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Esta lat ncia pode ser eliminada aumentando para tal a complexi dade da estrutura a utilizar Se no caso apresentado dois suportes o processo de escrita das c pias de seguran a s ncrono na medida em que os dados s o escritos em simult neo em dois suportes a introdu o de um terceiro suporte e de um esquema de escrita ass ncrona permitir ter por um lado um desempenho ade quado dos sistemas e por outro a replica o dos dados para loca liza es remotas sem que tal interfira na produ o Este mirroring ass ncrono consegue se como referido atrav s da introdu o de um terceiro suporte dos dados Nesta configura o os suportes prim rio e secund rio s o instalados relativamente perto u
238. piso diferente e protegidas por cofres ign fugos podem ser transferidas para outro edif cio da orga niza o ou podem ser armazenadas por prestadores de servi os off site A rota o destes suportes igualmente um factor de extrema import ncia para a implementa o de um esquema de salvaguarda eficaz Deve existir um plano de entregas e de recolhas ajustado s necessidades da Empresa e ao esquema de reten o adoptado Durante o trajecto dos suportes de backup estes devem ser devi damente protegidos contra todas as eventualidades acidentes furto entre outras Caso se opte pela contrata o dos servi os de armazenamento de terceiros o contrato dever especificar clara mente o calend rio de recolha e devolu o dos suportes bem como o prazo m ximo de resposta em caso de emerg ncia i e sempre que a Empresa necessitar de recuperar dados perdidos 108 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Regra geral os esquemas de backup mais comuns enquadram se na cl ssica defini o de tr s ciclos Av Pai e Filho O que diferen cia estas tr s gera es de backups precisamente a dura o do seu prazo de reten o e eventualmente o seu local de armazena mento A c pia de seguran a da gera o av tipicamente a que mais tempo retida enquanto que o filho constitui normalmente um backup de rota o r pida Exemplo C pia de seguran a av backup c
239. pol tica de gest o de dados j abordada com vista selec o da informa o realmente importante evitando por um lado o desperd cio de recursos de armazenamento e salva guarda e por outro o tratamento indiferenciado dos dados existen tes Detec o de Intrus es Uma fonte valiosa de informa o sobre o que se passa na infra estrutura inform tica da Empresa s o os chamados sistemas de detec o de intrus es ou Intrusion Detection Systems IDS Estes sistemas nasceram com os computadores no in cio podiam n o passar de um administrador a acompanhar a actividade da sua rede tentando descobrir ind cios de comportamentos fora do nor mal Com o crescimento explosivo das capacidades e possibilidades associadas s tecnologias de informa o este tipo de detec o rapidamente se tornou impratic vel e houve que desenvolver novas formas de acompanhar a actividade inform tica No in cio dos anos 90 do s culo passado come aram a surgir como resposta a esta necessidade sistemas autom ticos que em tempo real analisam o tr fego e detectam ou procuram detectar tentati vas n o autorizadas de acesso infra estrutura l gica O grande objectivo destes sistemas o de proporcionar uma vis o sobre o que acontece na rede Uma organiza o que possua fire walls e routers devidamente configurados poder evitar a grande maioria dos ataques inform ticos contra os seus sistemas Por m n o possui qualquer
240. possam servir de meios de prova em rela es jur dicas com a inten o de produzir documentos falsos Dano relativo a dados ou programas inform ticos introdu o altera o ou elimina o ileg timas de dados ou programas inform ticos com o objectivo de causar preju zos a terceiros ou proveitos pr prios Sabotagem inform tica introdu o altera o elimina o ou interfer ncia ileg timas em dados programas ou sistemas inform ticos com o objectivo de perturbar ou interromper o seu funcionamento ou a sua transmiss o Acesso ileg timo acesso ileg timo a um sistema ou rede inform tica Intercep o ileg tima intercep o n o autorizada de comunica es num sistema ou rede inform tica Reprodu o ileg tima de programa protegido reprodu o divulga o ou comunica o p blica n o autorizadas de um programa inform tico protegido por lei 15 De notar que esta protec o definida pelo C digo do Direito de Autor e dos Direitos Conexos 168 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Devido sua defini o suficientemente gen rica estas categorias abarcam a quase totalidade das actividades criminais inform ticas e s o utilizadas na investiga o e puni o de il citos criminais O respons vel pela seguran a dever tanto na elabora o da pol tica e normas de seguran a da organiza o como na implementa o de solu es t cnicas de p
241. projecto importa acrescentar a defini o do respectivo mbito Este ltimo destina se a limitar o alcance do projecto impedindo que este se atole em detalhe excessivo ou entre em pormenores que dificilmente se venham a verificar justifi cados ao n vel do custo final Esta defini o tamb m dever incluir a SEGURAN A FACE AO DESASTRE 139 defini o do que cr tico atrav s do recurso a m tricas quantitati vas sempre que poss vel Outro dos aspectos importantes na defini o do mbito prende se com a selec o do tipo de protec o pre tendida pela Administra o da Empresa As express es plano de recupera o e plano de continuidade se bem que possam primeira vista parecer sin nimos reflectem duas posturas distintas perante o desastre A principal diferen a entre estas duas formas de protec o recupera o continuidade consiste no foco da an lise de risco e impacto que realizada no mbito da protec o Quando a vis o empregue tecnol gica o que iremos proteger s o os sistemas pelo que o impacto dos riscos avaliado com base na premissa que um determinado sistema pode ficar indispon vel Quando a vis o funcional o que iremos analisar o impacto da indisponibilidade de uma actividade de suporte sobre uma fun o cr tica podendo essa actividade ser tec nol gica ou n o Um factor que deve ser considerado o facto da capacidade de sobreviv ncia de uma determi
242. projecto resta proceder defini o inequ voca da terminologia a empregar uma vez que o signifi cado dos v rios termos relacionados com mat rias de protec o de desastre n o consensual Um exemplo desta disparidade de sig nificados poss veis o termo recupera o de desastre que empregue em meios diferentes com o significado de recupera o de desastre TI continuidade do neg cio e continuidade do neg cio com alta disponibilidade No final deste livro encontra se uma lista de terminologia que pode ser utilizada como base para esta componente da fase do projecto de continuidade do neg cio infor ma o essa que pode ser complementada por uma pesquisa nos gloss rios existentes na Internet Modelo de Gest o do Projecto A gest o do projecto de continuidade do neg cio deve ser efec tuada segundo uma metodologia comprovada com a qual os v rios membros da equipa se sintam confort veis e que seja suportada por um documento que contenha a descri o da situa o actual da Empresa em mat ria de protec o de desastre os objectivos mbito pressupostos e terminologia aborda dos anteriormente os benef cios que se pretendem obter com o projecto o planeamento das actividades de alto n vel a descri o da equipa que o ir executar SEGURAN A FACE AO DESASTRE 141 os produtos finais osriscos e o or amento do projecto Para cada actividade de alt
243. que inclui a possibilidade de extradi o de infractores No tratado da conven o prev em se igualmente medidas para a monitoriza o fiscaliza o apreens o armazenamento etc de dados das inves tiga es ou resultantes destas PADR ES E LecisLa o 169 Protec o de Dados Pessoais Em 1998 d se a transposi o para a ordem jur dica portuguesa de uma directiva comunit ria relativa protec o dos dados pessoais O diploma da resultante Lei n 67 98 de 26 de Outubro vem regulamentar a forma como devem ser tratados os dados pessoais das pessoas singulares bem como a sua transmiss o A preocupa o essencial desta lei a protec o dos direitos liber dades e garantias fundamentais dos cidad os ao longo dos seus 52 artigos a Lei 67 98 aborda os diferentes tipos de bases de dados de acordo com os seus conte dos estabelecendo sempre que necess rio medidas espec ficas para o seu tratamento e atri buindo responsabilidades por quaisquer m s pr ticas detectadas Parecem nos de particular significado as disposi es relativas seguran a que trazem inquestionavelmente implica es para as empresas que possuam bases de dados por exemplo de clientes Dada a sua relev ncia citemos aqui o N mero 1 do Artigo 14 O respons vel pelo tratamento deve p r em pr tica as medidas t cni cas e organizativas adequadas para proteger os dados pessoais contra a destrui o acidental ou il cita
244. quer empresa est sujeita ao terrorismo embora uma organiza o ligada a uma fac o num conflito quente tenha de encarar este risco como real semelhan a do que se verifica no processo de levantamento das amea as a identifica o das vulnerabilidades pode ser suportada pela cria o de uma rvore tipol gica cujas folhas ser o natural mente vulnerabilidades em vez de amea as ver Fig Il 2 rvore de Vulnerabilidades Origem m localiza o dispers o geogr fica gt das instala es instala es em locais inacess veis a meios de socorro instala es em locais densamente povoados m pol tica gt postura pol tica do pa s da Sede Fig Il 2 rvore de vulnerabilidades Exemplo Por fim relativamente identifica o das vulnerabilidades da Empresa conv m referir que o trabalho realizado nesta mat ria dever ser sempre classificado de Confidencial ou equivalente dada a sua natureza particularmente sens vel GEST O DO Risco 39 Bens A identifica o dos bens necess ria apenas na an lise quantita tiva do risco em que o risco medido pelo impacto resultante da concretiza o da amea a A principal dificuldade na identifica o dos bens bem como na estimativa dos danos regista se relativamente aos bens intang veis uma vez que o seu car cter subjectivo dificulta a defini o de modelos e m tricas Exemplo a amea a de quebra de confidencialidade pela divulg
245. quer seja de projec tos de programas ou da evolu o da Empresa como um todo GEST O DO PROGRAMA DE SEGURAN A 207 O ponto de partida para o controlo de gest o ser sempre em qual quer dos casos a defini o de objectivos ou seja de onde se pre tende chegar bem como das implica es deste processo isto dos custos em que a incorrer do disp ndio de tempo recursos a afectar etc Todos estes elementos visam identificar o ponto de partida para o controlo na medida em que tentam prever o que esperamos que aconte a permitindo verificar posteriormente o que correu mal o que correu bem e quais as raz es para os diversos desvios Permitindo evitar no futuro alguns desses erros agora cometidos Como metodologias mais utilizadas poderemos referir as seguintes O or amento simples o or amento flex vel e os balanced scorecards Em seguida iremos abordar cada uma destas metodologias Or amento Simples A primeira das metodologias de controlo de gest o apresentadas consiste na defini o no in cio do per odo econ mico em an lise de um or amento uma previs o do que se espera gastar para atin gir determinado objectivo e do que se espera receber em retorno vendas benef cios etc No final desse per odo verifica se se os objectivos foram ou n o atingidos ap s o que efectuada uma an lise dos desvios O or amento simples caracterizado pelo seu alto n vel isto em termos da Empresa
246. r que as diversas interven es mesmo que pontuais sejam consistentes com os objectivos definidos da seguran a e contribuam para au mentar a sua maturidade Abordagens ao Controlo de Riscos A selec o do tipo de controlo apropriado ao tratamento dos diver sos riscos que amea am a Empresa pode ser auxiliada pela produ o de um mapa de riscos ou seja pela representa o dos riscos num gr fico bidimensional em fun o da sua frequ ncia de concre tiza o num dos eixos e impacto no outro eixo A partir do mapa de risco assim criado ser poss vel implementar uma estrat gia para a seguran a ordenando os riscos por priori dade e identificando o controlo adequado a cada um pela aplica o de regras baseadas nas reas do mapa Exemplo na Fig Il 8 s o representadas duas estrat gias distin tas baseadas em mapas de risco A estrat gia indicada no mapa do lado esquerdo cor responde prioridade conferida aos controlos pela 52 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO rea correspondente ao grau de risco de muito alto at baixo risco A estrat gia representada no mapa do lado direito define uma abordagem ao risco evas o redu o aceita o ou transfer ncia em fun o do quadrante do mapa em que este se encontre Q1 Aceita o Q2 Transfer ncia por exemplo seguro Q3 Redu o da frequ ncia e impacto do risco Q4 Evas o redu o da frequ ncia de co
247. r transversal que se estendam fora do mbito t cnico dos sistemas de informa o entrando pelos dom nios do Neg cio tais como a defini o de pol ticas de seguran a A interac o com a Administra o necess ria tanto para a sensi bilizar relativamente necessidade de empreender uma determi nada actividade como para a apresenta o e justifica o de pro postas e sua posterior aprova o ou ainda para demonstrar o sucesso e a necessidade de desenvolvimento das mesmas Nestes contactos necess rio utilizar uma linguagem n o t cnica por forma a facilitar a transmiss o da mensagem que se pretende fazer passar Linguagem e Enquadramento Para obter aprova o para uma iniciativa o respons vel pela segu ran a necessita primeiramente de conseguir justific la Adminis CRIA O DO PLANO DE SEGURAN A 187 tra o Para tal ter necessariamente de lhe conseguir fazer chegar uma mensagem n o deturpada o que implica a utiliza o de lin guagem adequada e de rigor como forma de conseguir transmitir a informa o pretendida e deste modo conseguir alcan ar os objec tivos propostos Ser importante tamb m notar que necess rio muni la de informa o de gest o em detrimento de opini es uma vez que estas ltimas n o s o justific veis Uma vez que a seguran a dos sistemas de informa o e o Neg cio s o reas de conhecimento distintas existe a tend ncia para os especialistas des
248. rama desde a recolha de informa o de gest o pas sando pelo reporting pelo controlo e pela avalia o Pretendemos chamar a aten o do leitor para alguns dos factores cr ticos de sucesso do Programa de Seguran a como o caso de um planeamento bem efectuado um controlo eficaz fluxos de comunica o eficientes e a correcta gest o da mudan a entre outros O Programa de Seguran a pela sua abrang ncia e complexidade dever ter uma gest o eficaz e atenta uma supervis o forte e dever acima de tudo envolver a Empresa como um todo Se assim for e os factores cr ticos de sucesso forem devidamente acautelados conseguiremos um programa eficiente capaz de atin gir com sucesso os objectivos predefinidos Controlo de Gest o O desempenho de uma Empresa depende de diversos factores sendo apenas alguns dos quais control veis Altera es inespera das no meio envolvente por exemplo s o elementos fora do con trolo da organiza o logo factores que n o s o reflectidos de forma antecipada no seu planeamento A Empresa deve ent o 206 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO controlar o desempenho dos seus colaboradores de forma a reco nhecer quais as causas do seu sucesso organizacional que resul tam do planeamento dos objectivos e da an lise do meio envol vente e quais resultam de factores inesperados A necessidade de controlar proporcional dimens o da Empresa ou seja
249. refas a realizar determinar a altura da sua execu o e estimar o n mero de dias homem que estas ir o consumir A calendariza o das tarefas de alto n vel ver Fig VIl 7 constitui a base de trabalho para a afecta o dos recursos e para a defini o das milestones do programa Calend rio do Programa Ano Task Name Jan Feb Mar apr May Jun Jul Aug Sep Oct Nov Dec Programa Seguran a Grupo de Tarefas 1 SO 0 j N gt 0 milestone 1 Grupo de Tarefas 2 Grupo de Tarefas 3 Grupo de Tarefas 4 milestone 2 Fig VII 7 Gantt de alto n vel Microsoft Project Na fase de planeamento dever tamb m ser definido o modelo de gest o composto essencialmente pela identifica o dos seus diver sos intervenientes do modo como se relacionam da sua hierarquia das suas fun es e da calendariza o dos momentos de avalia o do andamento do programa Num programa com a transversalidade e abrang ncia do Programa de Seguran a o modelo de gest o uma pe a fundamental sendo recomendada a defini o de um Sponsor patrocinador ao mais alto n vel da Empresa que dever assegurar o correcto andamento do programa impondo a sua for a sempre que surjam obst culos Dever tamb m ser definida a metodologia de reporting e respecti 2 N mero de dias completos de trabalho multiplicado pelo n mero de recursos alocados por exemplo dois dias completos x dois recursos
250. registada na m dia do universo do estudo para o c lculo da probabilidade P P probabilidade correspondente ao n mero m dio esperado de vezes que a amea a se ir concretizar por ano expresso em ocorr ncias por ano Exemplo P 1 A amea a concretiza se uma vez por ano P 0 1 a amea a concretiza se uma vez por d cada P 12 a amea a concretiza se uma vez por m s 42 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Exemplo considerando uma empresa com um datacenter ava liado em 300 000 situado por baixo de uma cantina num edif cio equipado com sistemas de extin o por gua qual ALE do risco de perda do equipamento do datacenter devido a um inc ndio Considerando que em m dia poder ocorrer um inc n dio grave a cada cem anos que o tipo de mecanismo de extin o provocar a destrui o dos equipamentos em caso de activa o e que a presen a da cantina aumenta em 50 o risco de inc ndio P 1 100 0 01 V 1 0 normal 0 5 da cantina 0 2 do sistema de extin o R 0 01 x 2 0 0 02 ALE 300 000 x 0 02 6 000 Segundo esta metodologia o risco de perda do equi pamento em causa corresponde a uma exposi o da ordem dos seis mil Euros por ano podendo se ent o justificar a introdu o de controlos com um custo anual abaixo deste valor Um problema que n o considerado directamente nesta metodolo gia que a distribui o das perdas em caso de des
251. rido anteriormente em An lises de Risco e de Impacto no cap tulo Gest o do Risco a an lise de impacto no 12 No s culo XIX a introdu o maci a de sprinklers em f bricas de t xteis deveu se precisamente ao facto das empresas seguradoras terem conclu do que as f bricas assim protegidas corriam menos riscos e como tal deveriam ser beneficiadas em termos de pr mios de seguros SEGURAN A FACE AO DESASTRE 145 neg cio visa apurar quais as actividades tecnol gicas ou n o cr ti cas para o funcionamento da Empresa O cumprimento dos Tempos Alvo de Recupera o TAR das fun es cr ticas para o neg cio requer a utiliza o de estrat gias dis tintas para cada grupo de TAR definido No exemplo utilizado estas estrat gias seriam por exemplo alta disponibilidade para o primeiro grupo a utiliza o de um hot site para o segundo e de um cold site para o terceiro As diversas estrat gias de recupera o ser o abordadas de seguida Desenvolvimento do Plano O plano de continuidade do neg cio um documento nico com posto por um conjunto de outros documentos dependendo a sua composi o exacta dos objectivos e mbito definidos bem como da estrutura precisa da Empresa e da distribui o das fun es cr ticas no seu seio Uma caracter stica importante do plano ou procedimento dever ser a sua flexibilidade e independ ncia uma vez que um plano dif cil de alterar ou seja co
252. rior ao valor necess rio para assegurar a reposi o do servi o nesse per odo O estabelecimento dos acordos de n vel de servi o requer assim a avalia o da criticidade da informa o ver Seguran a da Informa o no cap tulo reas da Seguran a Empresarial e a correcta an lise dos custos que v o desde os relacionados com material aos dos recursos internos integrando o factor escassez que decorre da disponibilidade limitada dos recursos GEST O DO PROGRAMA DE SEGURAN A 227 Pre os de Transfer ncia A tend ncia actual na gest o das organiza es passa pelo controlo efectivo dos custos benef cios dos diversos departamentos assente em pre os de transfer ncia entre os mesmos Esta an lise dos diversos custos e da sua rela o causal visa a correcta transfer n cia dos encargos entre os diversos departamentos associados aos servi os prestados afectando a sua avalia o de desempenho Esta metodologia traduz se em diversos benef cios para a Empresa pois para al m de permitir a correcta avalia o da capacidade de execu o dos seus departamentos promove uma utiliza o inter departamental optimizada dos recursos particularmente no que respeita aos departamentos de suporte como o caso do departa mento de Sistemas de Informa o O grande inconveniente desta metodologia prende se com os encargos associados montagem e manuten o do sistema de suporte transfer ncia de custos Entr
253. rma mais detalhada efectuar uma an lise do andamento do programa identificando as suas prin cipais preocupa es e sucessos No final do programa dever o ser consideradas diversas fontes de informa o de igual import ncia com o objectivo de recolher dados abrangentes que permitam a elabora o adequada do relat rio final de programa Uma vez que tanto os objectivos de um projecto como os seus benefici rios directos dever o ser conhecidos priori dever consi derar se que o projecto s se encontra oficialmente encerrado ap s a realiza o de inqu ritos aos utilizadores ou seja ap s recolha de informa o sobre o impacto da implementa o e da opini o de todos os seus benefici rios Exemplo ao definir uma pol tica de backups os benefici rios aqueles que produzem a informa o que passou a estar protegida n o sentem diferen a a menos que necessitem desse backup e ele n o exista Neste caso poder o considerar se os respons veis pela imple menta o dos backups como os benefici rios a aus cultar uma vez que passaram a dispor de um meio para responder s solicita es de reposi o de dados perdidos GEST O DO PROGRAMA DE SEGURAN A 219 O relat rio final de programa dever como afirmado ser elaborado pelo chefe de programa identificando os milestones momentos chave atingidos os desvios encontrados a justifica o para os desvios as best practices desenvolvidas ao longo do programa
254. rotec o ter em mente estas defini es e o modo como elas podem influenciar as suas decis es Exemplo se existir a inten o de instalar um sniffer na rede empresarial como forma de registar todo o tr fego existente esta op o poder ter implica es se n o for devidamente enquadrada para todos os efeitos a instala o de software que registe toda a actividade de uma rede de comunica o de dados pode ser enten dida como intercep o ileg tima Neste exemplo o melhor ser procurar o conselho do departamento jur dico da organiza o e determinar se caso se opte por uma solu o destas os utilizadores n o ter o de ser devidamente informados Por outro lado neste caso tamb m dever o ser tidos em linha de conta os pare ceres da Comiss o Nacional de Protec o de Dados entidade a abordar mais adiante Como nota final relativamente criminalidade inform tica importa referir que Portugal um dos 47 pa ses signat rios da Conven o sobre Cibercrime assinada a 23 de Novembro de 2001 em Buda peste O objectivo desta Conven o uma vez ratificada pelos sig nat rios o de harmonizar as legisla es nacionais relativas a cri mes inform ticos incluindo conte dos ilegais tais como pornografia infantil ou viola es de copyright entre outros adoptar medidas legais e outras para a investiga o de crimes inform ticos e pro mover a coopera o internacional no campo investigativo o
255. ru dos no desastre que afectou a organiza o Nenhum dos respons veis possu a duplicados das c pias 156 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Este plano composto pelos mesmos quatro elementos encontra dos nos dois tipos de planos j apresentados nomeadamente um conjunto de procedimentos a descri o das equipas que os ir o executar o plano de ac o baseado nas prioridades do neg cio e informa es auxiliares No mbito deste plano ser o definidos os procedimentos de resgate de equipamentos incluindo se necess rio repara es e instala es obras de aquisi o de equipamento de substitui o com car cter definitivo e de prepara o das mudan as para as instala es definitivas Dever estar ainda prevista dependendo das cir cunst ncias a utiliza o de instala es tempor rias caso as defini tivas n o estejam dispon veis ap s o per odo contratado para as instala es de recupera o do fornecedor Finalmente tamb m dever ser produzida informa o para declara o de sinistro junto das seguradoras Outra rea de interven o do plano de regresso normalidade a reconstitui o de dados perdidos que poder ser conseguida caso necess rio atrav s de procedimentos de recupera o dos mesmos junto de terceiros por exemplo clientes e fornecedores A preserva o de informa es atrav s da sua anexa o aos pla nos etc t
256. s em duas grandes categorias preven o e protec o A preven o o conjunto das medidas que visam reduzir a probabi lidade de concretiza o das amea as existentes O efeito destas medidas extingue se quando uma amea a se transforma num inci dente A protec o por seu lado o conjunto das medidas que visam dotar os sistemas de informa o com capacidade de inspec o detec o reac o e reflexo permitindo reduzir e limitar o impacto das amea as quando estas se concretizam Naturalmente estas medidas s actuam quando ocorre um incidente Exemplo a vasta maioria das empresas implementa algumas actividades de preven o contra inc ndio tais como a proibi o de fumar em locais de risco por exemplo locais onde s o armazenadas mat rias inflam veis e actividades de protec o tais como a disponibiliza o de extintores para o caso de se iniciar um inc ndio Um Programa de Seguran a bem estruturado dever reduzir as vulnerabilidades dos sistemas de informa o e fazer evoluir as suas capacidades de inspec o detec o reac o e reflexo assentando num conjunto universal de princ pios que garanta o seu equil brio e efici ncia Os princ pios da seguran a s o ent o os seguintes rela o custo benef cio concentra o protec o em profundidade consist ncia do plano redund ncia TEORIA DA SEGURAN A 19 Procuraremos em seguida descrever estes princ pios
257. s sem os alterar enquanto que outros s o activos afectando a infor 80 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO ma o com o intuito de a corromper ou destruir O cat logo de ata ques poss veis por demais volumoso e a tend ncia para piorar com a crescente introdu o de tecnologias baseadas na comunica o directa entre aplica es na transfer ncia automatizada de estruturas de dados potencialmente execut veis o panorama tende a adensar se Esta provavelmente a rea mais rica mais complexa e prova velmente mais dif cil de gerir da seguran a empresarial O ritmo a que se sucedem as gera es tecnol gicas bem como a crescente complexidade das mesmas faz com que qualquer esfor o de adapta o e manuten o da actualidade das tecnologias empre gues seja quase sempre infrut fero O n mero alargado de discipli nas abarcadas pela seguran a l gica torna a tarefa do respons vel pela seguran a uma actividade fren tica e muitas vezes frustrante Tr s grandes reas se destacam no campo da seguran a abar cando a totalidade dos temas desta disciplina preven o protec o e reac o Dentro de cada uma destas reas encontramos sub t pi cos que dever o ser considerados alguns dos quais abordaremos de seguida Autentica o e Controlo de Acesso A autentica o e o controlo de acesso s o dois aspectos omnipre sentes na vida quotidiana Ao passarmos um cheque aute
258. s dever equacionar se a possibilidade de se realizar um background check este poder ser t o simples 7 Existem inclusivamente empresas de recursos humanos no mercado que realizam o servi o de verifica o de curr culos e das refer ncias apresentadas pelo candidato 72 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO quanto o pedido de apresenta o de comprovativos da forma o e cargos existentes no curriculum vitae ou poder incluir contactos com antigos empregadores Esta verifica o de antecedentes ter de ser cuidadosamente equi librada com a fun o em causa de modo a evitar situa es desa grad veis tanto para o potencial empregador como para o potencial empregado Por outro lado caso n o exista qualquer tipo de verifi ca o a Empresa estar a confiar somente na palavra do candi dato se na maioria dos casos esse facto pode n o representar qualquer problema noutros h a hip tese real de surgirem surpre sas desagrad veis Aquando da contrata o de um novo colaborador e na fase inicial de introdu o deste s suas fun es dever ser dedicado algum esfor o integra o do novo elemento na filosofia de seguran a da Empresa Este enquadramento dever ser realizado atrav s da explica o da pol tica de seguran a devendo igualmente ser lhe comunicadas quais as ac es aceit veis ou seja quais as boas pr ticas em vigor na organiza o Se existir uma P
259. s o quem executa as actividades tecnol gicas ou n o de suporte aos processos do neg cio Do ponto de vista da seguran a fazem toda a diferen a podendo ser um elo fraco ou pelo contr rio um catalisador que fortalece a cadeia sendo uma pe a essencial no processo da seguran a Em qualquer grupo de utilizadores de dimens o significativa ir encontrar se sempre uma percentagem mais ou menos reduzida de tecnof bicos e de curiosos Enquanto que os primeiros raramente representam uma amea a significativa excepto para o seu desem penho naturalmente os ltimos s o frequentemente um problema Os curiosos s o indiv duos com uma forte motiva o para efectuar tarefas de elevada complexidade t cnica sem que possuam os conhecimentos necess rios correcta execu o das mesmas O resultado que frequentemente s o apanhados pelas consequ n cias das suas ac es que regra geral afectam os que os rodeiam Um sub grupo particularmente perigoso dos curiosos o dos designados script kiddies que s o indiv duos que consideram a no o de hacker rom ntica sonhando com feitos fant sticos e medi ticos Infelizmente os script kiddies s o famosos por experi mentarem receitas de hacking dispon veis na Internet sem terem no o das implica es reais das mesmas receitas essas pass veis de causar tantos danos como um ataque verdadeiramente sofisti cado A principal caracter stica comportamental
260. s dados para tapes ou fitas magn ticas de armazenamento Devido ao seu incompar vel grau de penetra o no mercado estas solu es h muito que deixaram de ser lineares passando a oferecer uma ampla gama de possibilidades Desde as simples unidades indivi duais de tapes com capacidade para algumas dezenas de Gigaby tes passando por sistemas de backup com capacidade para algu mas centenas de Gigabytes at bibliotecas de tapes robotizadas complexas e aut nomas podendo albergar v rios Terabytes a oferta existente suprir certamente as necessidades mais diversas oferecendo a solu o para v rios problemas a v rios n veis Recentemente come aram a verificar se algumas evolu es tecno l gicas dignas de refer ncia e que se prendem com a capacidade individual de cada tape Super DLT Digital Linear Tape esta a nova gera o da plataforma DLT que pode ser considerada a norma do mercado devido sua antiguidade Baseando se na expe r ncia de v rios anos adquirida no desenvolvimento deste tipo de produtos de c pia de seguran a os fabricantes aumentaram a capacidade destas tapes que actualmente atinge os 110 GB sem compress o Sendo uma evolu o da DLT a Super SDLT garante retrocompatibilidade com as gera es anteriores LTO Linear Tape Open technology Tecnologia resultante de um cons rcio de v rias marcas caracteriza se pelo facto de ser um formato tecnol gico aberto que visa perm
261. s e privil gios face sa da da empresa Outro aspecto importante diz respeito adapta o dos processos de sensibiliza o para a seguran a dura o do ciclo de vida do v nculo o que pode ser acautelado por exemplo atrav s de forma o inicial e da assinatura de um acordo de confidencialidade e de aceita o da pol tica de seguran a da Empresa Conclus o Este cap tulo apresentou de forma resumida os elementos que o respons vel pela seguran a dever equacionar no desempenho da sua fun o Face diversidade da composi o das empresas e sua muta o com o passar do tempo existir o naturalmente muitas varia es ao que foi exposto pelo que uma boa dose de flexibilidade e mesmo de capacidade de improvisa o altamente recomend vel A realidade raramente espelha a teoria e a mir ade de situa es poss veis quase infinita Assim ao seleccionar um modelo de seguran a e ao interagir com os v rios actores o respons vel pela seguran a dever sempre contar com a possibilidade de desvios ao plano No pr ximo cap tulo iremos abordar um conjunto de metodologias que permitir o identificar as reas de interven o sobre as quais as medidas de seguran a dever o incidir bem como o equil brio des sas medidas com o respectivo impacto sobre a organiza o Cap tulo Il Gest o do Risco A gest o do risco o processo de identifica o de um conjunto de medidas que permitam conf
262. s possuir o inte resse de um ponto de vista meramente acad mico 144 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Controlo de Riscos As medidas de preven o contra os riscos s o designadas contro los sendo necess rio introduzi los durante o planeamento da con tinuidade do neg cio como forma de reduzir antecipadamente o potencial de concretiza o de perdas Para al m disso acarretam o benef cio adicional de permitir a redu o dos pr mios pagos em seguros contra desastre A introdu o de controlos deve ser efectuada com base na prioriti za o conseguida atrav s da an lise de risco j referida e deve privilegiar os princ pios da seguran a apresentados anteriormente em Princ pios de Preven o e Protec o no cap tulo Teoria da Seguran a dos quais decorre a necessidade de realizar uma an lise de custo benef cio Esta introdu o pode ser realizada no mbito mais alargado do Programa de Seguran a da Empresa ou enquadrada unicamente pelo projecto de continuidade do neg cio antes da fase de cria o dos planos Exemplo entre os controlos enquadrados pelo projecto de conti nuidade do neg cio encontra se a introdu o de pol ti cas planos e procedimentos de redu o de riscos de sistemas de extin o de fogo de fontes de alimenta o ininterrupta e de procedimentos de controlo de acesso f sico entre outros An lise de Impacto no Neg cio Conforme refe
263. s pro cessos e como forma de aumentar os n veis de confian a internos e externos este o grande argumento sobre o qual qualquer organi za o poder capitalizar o seu investimento nesta rea Ao imple mentar este programa estar a transmitir uma imagem de preocu pa o nesta mat ria cada vez mais importante e com maior visibili dade conseguindo simultaneamente gerir o risco a que se encontra sujeita O programa de seguran a serve deste modo v rios objec tivos a cria o de uma base de protec o e confian a sobre a qual desenvolvida uma actividade um sinal claro e inequ voco de que a organiza o tem preocupa es fundamentais com a integridade e preserva o dos seus activos quer sejam processos produtos 14 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO informa o ou outros a afirma o p blica de dedica o de um cuidado particular aos interesses de parceiros clientes ou fornece dores S o estes os resultados vis veis de quaisquer esfor os neste campo igualmente nestes factores que reside a for a do argumento da seguran a como op o estrat gica e n o apenas t cnica ou tecno l gica com impacto positivo e ineg vel sobre a Empresa Este livro pretende introduzir esta disciplina como um acto de gest o a curto m dio e longo prazo no qual tem origem a altera o de processos e meios de forma apontada s necessidades do neg cio Deste modo o que se pretende que
264. s que foram garantidos antecipadamente A forma mais f cil de responder quest o porqu investir na pro tec o contra desastre vem de um estudo realizado nos Estados Unidos pela Federal Emergency Management Agency que refere que consoante a natureza do desastre 25 a 40 das empresas n o volta actividade ap s um acidente de grandes propor es Neste cap tulo iremos abordar as diversas fases do desastre e dis cutir v rias estrat gias para a protec o dos sistemas de informa o e restantes componentes do neg cio Anatomia de um Desastre Um desastre consiste num acontecimento imprevisto que origina perdas e dificuldades organiza o afectando significativamente de forma negativa a sua capacidade para executar servi os essen ciais A quantidade de possibilidade de concretiza o destes acon tecimentos apenas encontra paralelo na variedade das formas como s o produzidos danos 134 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Tipos de Desastre Os desastres podem ter as mais diversas origens embora estas se enquadrem tipicamente no seguinte conjunto fen menos ou outras causas naturais ventos cicl nicos terramotos inunda es etc inc ndios explos es falhas de energia falhas mec nicas falhas infra estruturais dist rbios sociais tumultos manifesta es guerras etc erros humanos crimes acidentes biol gicos ou qu micos
265. sam contribuir para a defini o e manuten o de um determinado n vel de seguran a das organiza es dos seus colaboradores instala es e sistemas de informa o O pr prio t tulo deste standard per mite ter uma ideia do seu objectivo Tecnologias da Informa o C digo de pr tica para a gest o da seguran a da informa o O ISO IEC 17799 est organizado em dez cap tulos que visam cobrir diferentes t picos ou reas da seguran a 1 Pol tica de Seguran a Seguran a Organizacional Controlo e Classifica o de Bens Seguran a do Pessoal Seguran a F sica e Ambiental Gest o das Comunica es e das Opera es Controlo de Acessos Desenvolvimento e Manuten o de Sistemas So o E E O o RR EO Gest o da Continuidade do Neg cio 10 Conformidade Cada um destes cap tulos pormenoriza no seu interior os v rios aspectos relacionados com o respectivo tema sugerindo medidas que visam possibilitar a obten o do n vel de seguran a pretendido pelo standard De facto a leitura deste documento dever ser reali zada luz das reais necessidades da organiza o pois as suges t es que ele preconiza apontam para n veis de seguran a extre mamente elevados os quais se contrastados com as caracter sti PADR ES E LEGISLA O 177 cas das organiza es poder o ser descabidos ou mesmo impos s veis de atingir Este standard visa ent o transmitir abordagens comuns p
266. semana Elevado Tr s dias Permanente 24 horas Servi o dispon vel X Servi o indispon vel Fig VI 4 Matriz de disponibilidade de um servi o Exemplo Exemplo considerando a tabela da Fig VI 4 se o cliente tiver classificado o requisito de confidencialidade da infor ma o com grau 4 ent o n o poder contratar o ser vi o de n vel m dio Tabelas similares poder o ser criadas e usadas para cada servi o de seguran a por forma a permitir ao cliente do acordo escolher o n vel desejado de acordo com a sensibilidade da informa o Conclus o Neste cap tulo foi analisada a primeira fase do Programa de Segu ran a que consiste na sua defini o materializada no Plano Global de Seguran a e foi abordado o problema da complexa articula o CRIA O DO PLANO DE SEGURAN A 203 do Respons vel pela seguran a com a Administra o da Empresa necess ria conclus o deste processo Em seguida ser o abordadas as restantes fases do programa em que este ser implementado e gerido Cap tulo VII Gest o do Programa de Seguran a Ap s a defini o aprova o e implementa o do Programa de Seguran a empresarial o seu respons vel ter de o gerir o que poder eventualmente incluir a administra o da respectiva infra estrutura dos sistemas consoante a dimens o da equipa a ele afecta Neste cap tulo iremos abordar os problemas associados gest o deste prog
267. seu neg cio N o existe uma f rmula para calcular o n mero de colaboradores da Empresa que dever o estar afectos seguran a No entanto existem tr s factores que dever o ser considerados O primeiro factor a rela o entre o neg cio Empresa e o risco Quanto maiores os riscos a que o neg cio e a Empresa est o CRIA O DO PLANO DE SEGURAN A 193 sujeitos maior aten o dever ser prestada seguran a aten o essa que se dever reflectir no n mero e perfil dos elementos afec tos equipa bem como no or amento ao seu dispor Exemplo pequenas empresas de pesquisa laboratorial cujas f rmulas ou produtos sejam extremamente valiosos A complexidade da Empresa o segundo elemento a ter em conta no dimensionamento da equipa de seguran a Neste aspecto quanto maior o n mero de colaboradores ou o n mero de proces sos por exemplo maior a necessidade de afectar recursos pre ven o e protec o Exemplo empresas com grande dispers o geogr fica Por fim no dimensionamento da equipa de seguran a dever ter se em conta o modelo de confian a existente e aquele que preten dido e considerar os recursos necess rios gest o dessa mudan a Exemplo empresas com uma percentagem muito significativa de pessoal tempor rio Responsabilidades O respons vel pela seguran a tem como incumb ncia a cria o e gest o do Programa de Seguran a da Empresa Para tanto ter a responsabilidad
268. soas que possam de algum modo colaborar em caso de necessidade e a elementos que em ltima an lise detenham poder de decis o garante se o fluir do processo Matriz de Responsabilidades Recursos Ac o A B c Tarefa 1 F A D Tarefa 2 F E Tarefa 3 F A Legenda F Efectua E Acompanha Evolu o A Apoia caso necess rio D Decide Fig VII 8 Matriz de responsabilidades Exemplo O Programa de Seguran a s tem a beneficiar com a constru o de uma matriz de compet ncias pois ao tratar se de um programa abrangente que envolve recursos de todas ou pelo menos de diversas reas da Empresa natural que surjam muitas vezes quest es relacionadas com compet ncias quem faz o qu e com responsabilidades quem o respons vel Estas d vidas 224 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO poder o provocar paragens no processo implicando certamente atrasos na concretiza o dos objectivos definidos Para evitar estes percal os dever o ser definidos logo partida de forma inequ voca os diversos pap is para as diversas fases do Programa de Seguran a Exemplo voltando ao exemplo anterior na defini o de procedi mentos de continuidade do neg cio dever o ser identi ficados os diversos recursos das reas envolvidas Estes elementos poder o contar com a consultoria dos chefes dos sub projectos e em caso de impasse com a in
269. ssas balizas de comportamento aos utilizadores em vez de deixar as decis es desse campo ao crit rio individual de cada um Se essas linhas de conduta existirem num documento formal esse dever ser lido e assinado pelos colaboradores o mais cedo possi vel de prefer ncia no acto da contrata o Caso sejam um conjunto de regras informais partes integrantes da cultura da Empresa o respons vel pela seguran a dever envidar esfor os no sentido de esclarecer essas regras e de as manter actualizadas Esta quest o tem particular import ncia no que concerne a utiliza o do correio electr nico De facto este meio de comunica o claramente o ve culo de transmiss o de dados com maior visibili dade no panorama actual Caso n o sejam definidas as boas pr ti REAS DA SEGURAN A EMPRESARIAL 75 cas de utiliza o deste meio a Empresa corre s rios riscos de se deparar com um consumo desmedido dos seus recursos de trans miss o de dados largura de banda etc na comunica o de men sagens de cariz puramente pessoal e por vezes arriscando se transmiss o de informa es confidenciais N o se pretende aqui defender uma pol tica rigorosa de restri o da utiliza o do correio electr nico essa decis o depender sempre das circunst ncias funcionais da Empresa mas antes alertar para a necessidade imperiosa de estabelecimento de limites ser acei t vel enviar e receber mensagens pessoais com a
270. sta metodologia s o definidos indicadores sendo atri bu do um peso a cada por forma a perfazer 100 Estes variam de acordo com os eixos de interesse de cada Empresa podendo ser por exemplo indicadores de vendas ou de forma o dos colabora dores sendo acima de tudo indicadores congruentes com a estrat gia e partilhados por toda a organiza o Os balanced scorecards para al m de serem uma metodologia de controlo s o um novo marco da gest o estrat gica das organiza es reflectindo a estrat gia da Empresa constituindo se como um processo de aprendizagem dado permitirem a comunica o da 212 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO estrat gia a todos os colaboradores reflectindo ao longo do tempo as varia es fundamentais da Empresa A necessidade de implementa o de um Programa de Seguran a e a dota o de recursos e or amento ao mesmo com vista obten o de um patamar de seguran a considerado necess rio dever tamb m ser reflectida pela introdu o dos objectivos deste pro grama no balanced scorecard reflectindo as suas preocupa es com a seguran a Quota de Mer Introdu o de E Forma o cado novos produtos 15 7 59 o 0 Vendas 24 Si 40 Novos Recursos Marketing Seguran a 10 Humanos 10 9 5 Fig VII 3 Balanced Scorecard Exemplo Como visto o controlo de gest o pode ter por base diversas me
271. stala es j existentes ou de quaisquer outros condicionalismos surge a necessidade de fazer o melhor poss vel com o que j existe Nesses casos uma boa dose de bom senso e de sensibilidade para os factores que podem afec tar adversamente a informa o ser o suficientes para realizar os ajustes necess rios e para conseguir elevar a qualidade das condi es de localiza o do CPD Poder nalguns casos ser suficiente instalar cofres ign fugos em salas de acesso mais restrito para pro tec o de dados mais sens veis Controlo de Acessos O controlo de quem entra e de quem sai das instala es um aspecto particularmente importante da seguran a f sica N o basta ter um guarda entrada e obrigar todos os visitantes a registarem se fundamental ter a certeza por exemplo de que os visitantes n o levam material da Empresa sem autoriza o expressa do res pons vel por esse equipamento Para al m disso s o necess rias medidas adicionais para garantir que as solu es de controlo n o s o ultrapassadas evitando situa es em que por comodismo uma porta encravada aberta por exemplo Mas o controlo de acessos n o se resume a uma portaria com guardas e eventualmente um sistema de v deo em circuito fecha do Este controlo deve ser alargado a todas as reas sens veis 68 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO nomeadamente aos centros de dados e aos arquivos centrais e dever
272. t o de crise O plano de conting ncia deve descrever as equipas respons veis pela execu o de cada um destes procedimentos indicando para cada equipa a sua designa o oficial constitui o estrutura hier r quica a lista dos meios de que disp e diagramas contactos pro cedimentos etc e planos de testes e exerc cios bem como de contactos para comunica o com outras equipas e centros de coor dena o Para al m destes elementos o plano de conting ncia dever incluir um plano de ac o composto por um diagrama de execu o ver Fig IV 3 e uma matriz de responsabilidades que SEGURAN A FACE AO DESASTRE 153 permita identificar os procedimentos a usar quem os executa e quando ver exemplo da Fig IV 4 Para al m dos elementos referidos o plano de conting ncia dever incluir todas as informa es auxiliares que possam ser necess rias como por exemplo contactos de servi os de emerg ncia de for necedores contratados com cl usulas de suporte r pido etc Para permitir a sua utiliza o pronta em caso de incidente o plano dever ser distribu do por todos os intervenientes e respons veis e ser guardado nas instala es a proteger para que se encontre rapi damente acess vel em qualquer eventualidade mesmo em caso de falha de energia por exemplo Evento Inc ndio a 9 x Evacua o o sistema N funcional 5 gt FIM N m wW 5 Avalia o de danos
273. tabela seguinte mostra um exemplo poss vel de graus de classifi ca o dos requisitos de integridade Grau Desiqnac o Danos decorrentes gnag da corrup o dos dados 1 Nulo Nenhuns 2 M nimo Danos insignificantes 3 M dio Danos razo veis 4 pivade Danos muito significativos ou desastrosos Fig VI 2 Classifica o dos requisitos de integridade CRIA O DO PLANO DE SEGURAN A 199 Da mesma forma que o propriet rio da informa o procedeu clas sifica o da confidencialidade e requisitos de integridade dessa informa o ele dever classificar o seu requisito de disponibilidade reflectindo nessa classifica o as consequ ncias para a Empresa decorrentes da indisponibilidade dessa informa o em fun o do tempo Tal como nos casos anteriores estas consequ ncias podem ser estimadas de forma qualitativa ou quantitativa A tabela seguinte mostra um exemplo poss vel de graus de classifi ca o dos requisitos de disponibilidade E Dura o total da indisponibilidade Grau Designa o a tolerada por m s 1 Muito Baixa Inferior a uma semana 2 Baixa Inferior a 2 dias 3 M dia Inferior a 7 horas 4 Elevada Inferior a uma hora N o s o tolerados per odos de indis 5 Permanente Ra ponibilidade Fig VI 3 Classifica o dos requisitos de disponibilidade Servi os de Seguran a Num acordo de servi os podem ser disponibilizados servi os e
274. te modelo ser a medida mais realista dispon vel para determinar a maturidade do Programa de Seguran a A situa o registada numa empresa em mat ria de seguran a regra geral corresponde ao preenchimento parcial em simult neo de diversos graus o que n o por si s preocupante Tal facto reflecte apenas alguma preocupa o desconexa com a seguran a que ter sido implementada de forma n o orientada tipicamente 26 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO sem o fio condutor conferido por uma pol tica e um plano global de seguran a Ao definir o Plano Global de Seguran a que ser abordado em Cria o do Plano de Seguran a o respons vel por esta rea dever procurar preencher cada grau de maturidade do modelo dentro das limita es presentes antes de introduzir medidas cor respondentes aos n veis de maturidade superiores A seguran a um processo complexo com componentes tecnol gicas e humanas envolvendo metodologias e comportamentos Para permitir a implementa o dos modelos desejados necessita mos conhecer os aspectos humanos da organiza o sendo neces s rio tra ar o perfil na medida do poss vel dos intervenientes directos e indirectos na seguran a da Empresa ou seja dos actores da seguran a analisando os seus pap is comportamentos e moti va es Os Actores da Seguran a Os actores da seguran a s o infinitos pelo menos potencialmente De elem
275. te a con ting ncia Exemplo evacua o de pes soal durante um inc ndio 250 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Conting ncia Continuidade do neg cio Controlo de risco Declara o de desastre Desastre Detec o capacidade de Disponibilidade Emerg ncia Per odo entre o in cio do incidente e a declara o de desastre pela Administra o Disciplina de protec o contra desastre que tem como objectivo a manuten o do funcionamento das fun es cr ticas da Empresa Medidas de preven o contra os riscos que visam a sua evas o redu o aceita o ou transfer ncia Reconhecimento formal da exist ncia de um desastre na Companhia Acontece quando um incidente se prolonga para al m de um per odo predefinido Acontecimento imprevisto e calamitoso que origina perdas e dificuldades tota lidade ou a parte da Empresa com um impacto negativo significativo sobre a sua capacidade para executar servi os essenciais por um determinado per odo de tempo Visibilidade sobre a concretiza o das amea as Acessibilidade a um determinado ele mento informa o instala es siste mas etc Per odo normalmente reduzido em que decorre um acontecimento imprevisto e calamitoso Fun o de neg cio Gestor da Continuidade do Neg cio Impacto Inspec o capacidade de Integridade Invoca o Milestones NFM PCN Plano
276. tema A Sistema B Sistema C Fig Ill 2 Infra estrutura redundante Exemplo A protec o atrav s da redund ncia encontra se intimamente ligada com a quest o do armazenamento que ser abordada de seguida Armazenamento De uma poca em que a capacidade de armazenamento se con centrava num volumoso mainframe pass mos para uma fase em que se assistiu acelerada descentraliza o de plataformas e res pectivos suportes de dados e estamos cada vez mais a contem plar um cen rio de reconcentra o da informa o desta feita tradu zido em redes dedicadas ao armazenamento acompanhado pela crescente descentraliza o do acesso aos mesmos A realidade certamente mais preponderante no entanto um misto destas v rias tend ncias mant m se o mainframe pelas suas REAS DA SEGURAN A EMPRESARIAL 103 caracter sticas e capacidade gerem se servidores aplicacionais dispersos pela sua adaptabilidade e come a se a assistir com fre qu ncia introdu o de network attached storage ou de storage area networks como meio de optimizar investimentos e facilitar a gest o As estrat gias de protec o da organiza o perante esta realidade comp sita e frequentemente dif cil de abarcar em toda a sua com plexidade det m se muitas vezes perante a dif cil tarefa de detectar todas as possibilidades existentes Destaquemos algumas das ten d ncias mais comuns Network Attached Storage NAS
277. terven o do chefe de programa Assim garanti do o conhecimento dos respectivos pap is por parte de todos os intervenientes e assegura se a exist ncia de um elemento claramente identificado respons vel pe la tomada de decis es em caso de impasse A constru o da matriz dever ser feita de forma cautelosa pois se por um lado nela dever o estar identificados os diversos passos do Programa de Seguran a por outro dever ser exposta aos diversos intervenientes e ter a sua concord ncia relativamente aos pap is a definidos Ap s a aprova o da matriz pelo Sponsor do programa esta dever ser apresentada e publicitada junto de todos os intervenientes no programa An lise de Custos Necessidade de Fundo de Maneio Ao efectuar o planeamento os diversos custos relacionados com o programa dever o ser projectados pois s assim se poder ter a no o real do valor associado ao benef cio esperado do programa Nesta mat ria h que considerar diversos custos desde recursos afectados directamente ao programa internos e externos at aos materiais utilizados desloca es etc Todos estes valores dever o ser calculados na fase de planeamento de modo a identificar o custo total Para tal n o dever o ser esquecidos nenhuns encargos GEST O DO PROGRAMA DE SEGURAN A 225 ocultos por exemplo o custo das reuni es de acompanhamento do programa uma vez que o seu c lculo promove a optimiza o no caso do exemplo
278. tes dom nios n o terem conhecimentos significati vos do outro Desta forma existe algum desconhecimento do Neg cio por parte dos especialistas dos sistemas de informa o sendo o inverso igualmente verdadeiro A maneira tradicional do respons vel pela seguran a dos sistemas de informa o ultrapassar esta bar reira atrav s da utiliza o de estat sticas imediatas de cariz medi tico empregando uma linguagem simples ao alcance de todos Esta utiliza o algo abusiva de estat sticas acarreta alguns problemas Mark Twain o escritor e jornalista americano dizia haver tr s tipos de mentiras as mentiras as malditas mentiras e as estat sticas Na seguran a as estat sticas podem revelar se uma forma de mentira insensibilizando a m dio longo prazo a Adminis tra o atrav s da habitua o desta a cen rios apocal pticos que n o se concretizam A raz o desta afirma o prende se com o contexto das estat sticas apresentadas ser frequentemente errado para o uso que feito das mesmas O enquadramento adequado de extrema import ncia ao fornecer este tipo de dados Adminis tra o como fundamento dos pedidos O que muitos outros fazem ou declaram nem sempre adequado nossa situa o particular e espec fica Um exemplo cl ssico a utiliza o generalizada das estat sticas das pesquisas realizadas anualmente pelo CSI nos 2 O Computer Security Institute uma organiza o norte americana de refer nci
279. tir que este programa se encontra de acordo com os objectivos do neg cio necess rio identificar antecipadamente o n vel de seguran a pretendido pela Administra o Uma vez defi nido o n vel alvo chegada a hora de definir a estrat gia para levar a seguran a Empresa estrat gia essa que dever reflectir os princ pios apresentados anteriormente ver Princ pios de Preven o e Protec o no cap tulo Teoria da Seguran a e os objectivos do neg cio de uma forma que permane a inalterada enquanto a pr pria estrat gia do neg cio o permanecer Ap s a defini o da estrat gia necess rio identificar e analisar os riscos existentes ver Gest o do Risco e determinar as diversas ac es de preven o e protec o que poder o diminuir esses ris cos prioritizando as segundo a estrat gia escolhida Neste cap tulo ser o listados e descritos os principais componentes do Plano Global de Seguran a bem como as respectivas metodo logias de defini o e factores de sucesso na sua promo o junto da Administra o da Empresa 180 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Os Documentos da Seguran a A seguran a empresarial norteada por um conjunto de documen tos que conferem consist ncia e exequibilidade s medidas imple mentadas Estes documentos s o o Plano Global de Seguran a a Pol tica de Seguran a as Normas de Seguran a e os Procedimentos
280. tiva resposta 116 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO Esta reac o ir claramente variar dependendo dos recursos ao dispor da organiza o No caso de uma empresa com um n cleo de seguran a inform tica poder existir uma clara defini o de ac es e de responsabilidades que entrar o em vigor sempre que se detecte um ataque No caso de uma organiza o com poucos recursos humanos dever se igualmente definir numa outra escala o que fazer nestes casos Existem v rias possibilidades desde a cria o de redes inform ti cas fict cias honey pots com o fim de atrair eventuais atacantes e de a recolher o m ximo de provas incriminat rias at simples utiliza o de programas que interrompem a liga o ofensiva e a inserem numa lista negra de endere os aos quais negado acesso Mas um aspecto de suma import ncia quer se trate de uma organiza o grande ou pequena a manuten o de rastos de auditoria adequados Esta quest o j foi abordada no in cio deste cap tulo relativamente seguran a f sica No caso da seguran a l gica nunca suficiente real ar a import ncia da manuten o de registos de auditoria Hoje em dia praticamente todos os sistemas inform ticos fornecem uma qualquer forma de registar a utiliza o que deles feita Estes registos ou ogs constituem os elementos que permitem reconsti tuir acontecimentos e ter uma vis o da utiliza
281. to dologias sempre com o objectivo de avaliar o desempenho da Empresa identificando o que resultado do desempenho dos seus colaboradores e o que se deve a factores inesperados do meio envolvente Avalia o de Desempenho Algumas organiza es avaliam os seus programas e departamentos com base em indicadores financeiros como sejam a rela o entre o resultado operacional e o investimento ou Return on Investment ROI ou o valor actual l quido VAL que corresponde actualiza o de cash flows futuros esperados ou ent o a avalia o dos resultados finais e sua compara o com o or amento e objectivos inicialmente propostos Em qualquer dos casos dever ser prestada especial aten o determina o das causas dos desvios sem pro curar imputar culpas aos gestores por factores fora do seu controlo GEST O DO PROGRAMA DE SEGURAN A 213 Fases da Gest o de Programas As diversas fases do Programa de Seguran a s o caracterizadas pelos objectivos indicados na Fig VII 4 Avalia o e Controlo Defini o Planeamento Execu o Defini o dos Definigaa A a E da equipa sa requisitos do EE planeado do relat rio Programa timinos controlo e de fim de testes projecto Fig VII 4 Fases do Programa Defini o do programa Nesta fase inicial as necessidades s o identificadas de forma estruturada e definidos os requisitos do pro grama a desenvolver bem
282. to pode ser sub dividido em planos de conting ncia de recupera o e de ges t o de crise Documento detalhando o processo de recupera o da capacidade de realiza o das fun es cr ticas a realizar durante o per odo de recupera o de desastre Recovery Time Objective RTO o prazo pretendido para a recupera o de determinada fun o processo ou activi dade de neg cio Plano de Recupera o de Desastre ver Plano de Recupera o de Desastre Conjunto de actividades destinadas a reduzir a probabilidade de ocorr ncia de um desastre N mero m dio expect vel de vezes que uma determinada amea a se possa concretizar num determinado per odo Componente de uma fun o de neg cio constitu do por diversas actividades de suporte o segundo n vel da Cadeia de Valor de Porter Programa Projecto Protec o Reac o capacidade de Recupera o Reflexo capacidade de Rep dio Risco SI SLA SWOT TAR TermNoLOGIA 253 Conjunto de projectos e outras activida des que visam atingir determinado objectivo concreto possui um mbito mais alargado e uma complexidade e dura o superiores a um projecto Conjunto de actividades que visam um objectivo concreto com uma dura o limitada e finita Actividades destinadas a reduzir o impacto de um desastre Caracter stica conferida por um conjunto de medidas que permitem responder activamente a eventos Capacid
283. to desta entidade que todas as bases de dados contendo informa o de cariz pessoal t m obriga toriamente de ser registadas Ainda sobre este tema resta referir que existe igualmente legisla o que regulamenta a recolha processamento e transmiss o de dados pessoais relacionados com as telecomunica es o que depen dendo da rea de actividade da organiza o pode ser pertinente Com rcio Electr nico Foi preciso chegar a 1998 para que Portugal assumisse a import n cia do com rcio electr nico e o tentasse enquadrar legalmente Este esfor o foi oficialmente iniciado pela Resolu o de Conselho de Ministros n 94 99 de 25 de Agosto que cria a Iniciativa Nacional para o Com rcio Electr nico e define os seus objectivos no campo da legisla o da sensibiliza o e da promo o A partir deste momento assistiu se a um esfor o de enquadramento de v rios actos electr nicos com vista ao seu reconhecimento como elemen tos v lidos de transac es comerciais Neste sentido foram aprovados o decreto lei n 290 D 99 de 2 de Agosto que define o regime jur dico dos documentos electr nicos e 17 Ver Lei n 69 98 de 28 de Outubro Regula o tratamento dos dados pessoais e a protec o da privacidade no sector das telecomunica es revogada pela Directiva 2002 58 de 12 de Julho PADR ES E LeeisLa o 171 da assinatura digital e o decreto lei n 375 99 de 18 de Setembro que equipara a
284. to do Programa de Seguran a a lt Empresa gt ir implementar uma infra estrutura de seguran a capaz de proteger os sistemas de informa o ele vando anualmente o grau de maturidade da seguran a CRIA O DO PLANO DE SEGURAN A 185 e implementando uma estrutura de recolha de dados capaz de permitir determinar a identidade e metodolo gia dos atacantes A estrat gia definida dever reflectir os princ pios apresentados anteriormente em Princ pios de Preven o e Protec o e os objectivos estrat gicos do neg cio intimamente ligados segu ran a Plano de Ac o O plano de ac o o componente do Plano Global de Seguran a que transp e para a pr tica a estrat gia definida detalhando as actividades que ser o realizadas num determinado per odo Este plano composto pelo macro planeamento das actividades lista de actividades e calend rio pelo or amento pela lista dos recursos humanos e materiais necess rios e pela discrimina o dos benef cios esperados pela implementa o de cada uma das activi dades Uma vez que a cria o de planos de ac o se insere num contexto mais alargado do que o da seguran a n o iremos alongar nos sobre este tema embora seja importante referir a utilidade de assentar o plano proposto numa an lise de custo benef cio ver Estrat gia de Controlo no cap tulo Gest o do Risco Como Vender Seguran a Administra o Um documento sem utilidade
285. tra ptica dever detalhar e estruturar o trabalho identificando processos de aprova o pela Administra o de defini o e gest o de equipas metodologias de reporting quem o qu a quem e de atribui o de tarefas O modelo de gest o utilizado dever ainda estabelecer o processo de identifica o de desvios ao planeamento quer pela verifica o da conclus o das tarefas como pela realiza o de avalia es inter calares devendo tamb m prever a introdu o dos ajustes necess rios tais como a altera o da sequ ncia das tarefas ou a redu o amplia o do seu mbito O modelo empregue dever ainda contemplar a avalia o das actividades executadas e permitir o aproveitamento dos ensinamentos recolhidos nas v rias tarefas Redu o de riscos e avalia o do impacto A seguran a face ao desastre conseguida custa de medidas que evitam tanto a ocorr ncia do desastre como danos significativos da resultantes A primeira consiste num acto de preven o que toma lugar antes de ocorrer o incidente que origina o desastre A segunda ocorre tanto antes como depois do incidente requerendo o posicionamento antecipado de mecanismos e procedimentos que permitam limitar o seu impacto Estas medidas s o tomadas quer durante a conting n cia quer nas fases de recupera o e regresso normalidade nos SEGURAN A FACE AO DESASTRE 143 casos em que o incidente provoque mais do que uma mera indispo nibil
286. ture PKI a autoridade credenciadora o Ins tituto das Tecnologias da Informa o na Justi a assistido pelo Con selho T cnico de Credencia o Este instituto atrav s de uma unidade intitulada Gabinete de Credencia o Auditoria e Segu ran a tem como incumb ncia assegurar o completo exerc cio das fun es de entidade credenciadora Esta defini o como facil mente se percebe suficientemente vaga para n o nos esclarecer sobre quais s o precisamente os requisitos para o reconhecimento das entidades emissoras de certificados digitais Mas independen temente desta circunst ncia j existem em Portugal v rias empre sas dedicadas em exclusividade ou n o emiss o de certificados digitais Ou seja j poss vel realizar transac es oficiais atrav s de meios electr nicos 20 O Conselho T cnico de Credencia o constitu do por cinco elementos um rg o consultivo que emite pareceres ou recomenda es relativamente s entidades certificadoras reconhecidas criado pelo decreto lei n 234 2000 de 25 de Setembro PADR ES E LeGisLA O 173 Existe ainda um aspecto que merece realce no decreto lei em an lise e que se prende com a presun o de que a partir do momento em que um documento electr nico digitalmente assinado foi o titular ou representante autorizado da assinatura a ap la no documento com a inten o de o assinar Mais a lei ainda presume que o document
287. ua gest o pode ser gigantesca Nos casos em que se pre tenda fazer uma gest o adequada da informa o gerada pelos mecanismos de defesa da organiza o todos estes dados dever o ser cruzados com vista detec o de padr es e recolha de informa es sobre potenciais ataques A instala o de um IDS deve ser meticulosamente ponderada Regra geral n o s o sistemas baratos e o seu pre o sobe propor cionalmente s capacidades desejadas Por outro lado todo o tempo dedicado a um cuidadoso planeamento de instala o de um IDS ir de futuro poupar tempo precioso na gest o da informa o gerada Assim os sensores de rede dever o ser instalados em m quinas dedicadas nos pontos de entrada da infra estrutura de comunica o de dados e os sensores de sistema logicamente nos sistemas que se pretendem proteger Todos estes sensores comu nicam com uma esta o de Administra o central onde s o arma zenados todos os dados registados Esta esta o que tamb m dever ser dedicada a esta tarefa o ponto a partir do qual se faz a gest o centralizada dos recursos IDS dispon veis Idealmente toda a infra estrutura IDS dever pertencer a uma rede privativa sepa rada da rede de produ o da Empresa n o devendo os computado res com sondas de rede naturalmente ser vis veis nesta ltima ou seja as suas placas de rede n o devem possuir qualquer endere o Por outro lado as regras devem ser afinadas de modo
288. uia definida A equipa do pro grama dever iniciar os seus trabalhos logo ap s a negocia o dos recursos com o respectivo superior hier rquico Para tal deve ser realizada uma reuni o de lan amento do programa em que ser o apresentados os objectivos globais e individuais o papel de cada interveniente e os prazos dispon veis Esta reuni o dever servir para apresentar o programa equipa e tamb m para lhes vender a ideia sendo este o in cio do arranque de um processo de motiva o que s dever terminar na conclus o do projecto Um dos factores de sucesso precisamente a motiva o das equipas n o s pela dedica o aos objectivos pela sua disponibili za o para reportar a um novo chefe mas tamb m por serem um factor decisivo no processo de mudan a que todos os programas GEST O DO PROGRAMA DE SEGURAN A 231 acarretam Desta forma a motiva o e envolvimento da equipa ter uma import ncia extraordin ria Um programa traduz se inevitavelmente numa mudan a que deve ser cautelosamente introduzida na Empresa Assim desde o momento em que surge o sentido de urg ncia da necessidade de mudan a esta dever ser difundida pela organiza o transmitindo uma vis o clara de onde se pretende chegar com determinado pro grama Esta vis o dever ent o ser traduzida em estrat gias ou seja em diversas componentes do Programa de Seguran a Uma vez definidos os objectivos e a forma de os
289. uintes quatro cen rios simples para resolu o do problema de infec es virais nos compu tadores da Empresa 1 aceita o do risco incorrendo em preju zos da ordem estimada 2 controlo do risco incorrendo nos custos do sistema antiv rus e eco nomizando o valor dos preju zos da ordem esti mada CRIA O DO PLANO DE SEGURAN A 191 3 redu o do risco limitando as comunica es autorizadas asso ciadas a vectores de pro paga o viral por exem plo impedindo o acesso a determinados conte dos Web ou execu o de determinados anexos a mensagens de correio electr nico incorrendo em parte dos preju zos da ordem estimada e incor rendo nos custos de con figura o generalizada dos sistemas 4 transfer ncia do risco optando por utilizar cai xas de correio electr nico num fornecedor externo a quem atribu da a obriga o de detectar v rus incorrendo nos custos do servi o benefi ciando das economias de escala realizadas pelo ISP e economizando o valor dos preju zos da ordem estimada Equipa de seguran a A seguran a eficaz requer a uniformiza o dos crit rios de classifi ca o e das medidas de redu o dos riscos algo que se pode entender como a necessidade de dotar a Empresa com um pensa mento global de seguran a Para tal necess rio que a seguran a 192 SEGURAN A DOS SISTEMAS DE INFORMA O CENTRO ATL NTICO seja materializada como uma responsabili
290. um ataque oriundo de um sistema sob a sua al ada estaremos a alert lo para o facto de ter uma ou mais m quinas potencialmente comprometidas e poderemos com base nos dados que nos forem fornecidos prosseguir com a nossa investiga o Claro que as coisas nem sempre s o t o simples h quem n o queira colaborar h quem n o saiba como ajudar enfim existe uma s rie de vari veis que podem surgir complicando todo o pro cesso particularmente se este envolver como muitas vezes o caso sistemas alojados noutros pa ses Para lidar com estas situa es portanto essencial estabelecer normas e procedimentos claros e espec ficos que tracem as linhas condutoras da Empresa N o sendo poss vel prever todo o tipo de ataques que possam ocorrer nem todas as formas de que estes se podem revestir fundamental que a organiza o saiba o que fazer Poder ser suficiente enviar uma mensagem de correio electr nico ao administrador do sistema atacante alertando o para esse facto ou a reac o pode chegar ao ponto de uma comunica o pol cia A decis o deve ser tomada caso a caso auxiliada por um procedi mento e fundamentada na realidade da ocorr ncia sempre bem enquadrada nas linhas mestras da seguran a empresarial ou seja no Plano de Seguran a da Empresa Seguran a no Desenvolvimento Este ltimo t pico a abordar no campo da seguran a l gica reveste se de particular import ncia para todas as organiza
291. um dos mais importantes elementos no que diz respeito salvaguarda da informa o Muita da tecnologia que vimos em filmes futuristas ainda n o realmente pratic vel apesar de j existir a possibilidade de capturar indevidamente dados dist ncia com relativa facilidade a partir das radia es emanadas pelos monitores dos computadores atra REAS DA SEGURAN A EMPRESARIAL 65 v s dos cabos de alimenta o el ctrica ou das placas de rede WLAN Para a grande maioria das empresas estes perigos n o ser o realistas mas existem outros riscos f sicos para os quais as organiza es devem estar alertadas reas Em zonas densamente povoadas como sejam os centros urbanos a quest o da escolha da localiza o da Empresa pode estar alta mente condicionada Por m a import ncia da defini o de reas no seio da pr pria Empresa contribui decisivamente para a cons tru o de ambientes seguros Existem erros que fruto de condicio namentos de espa o podem efectivamente fragilizar a capacidade de protec o da informa o Os componentes cr ticos de armazenamento processamento ou transmiss o n o dever o encontrar se demasiado expostos nem dever o ser de acesso demasiado f cil N o necess rio criar bun kers mas por exemplo poder bastar evitar a instala o de compo nentes sens veis como sejam arquivos ou bastidores de dados em zonas de acesso p blico como corredores A seguran a f si
292. utros assinar c digo como sendo produzido pela Microsoft enganando potencialmente os des tinat rios desse software e levando os a confiar em algo que n o era o que afirmava ser Em suma uma solu o PKI envolve pormenores que podem causar falhas do sistema se n o forem devidamente verificados e implica uma carga de gest o que pode assumir propor es indesejadas Contudo para algumas necessidades como por exemplo para o relacionamento com fornecedores ou parceiros a PKI pode cons tituir uma solu o vi vel e mesmo a n vel interno em organiza es de grande dimens o pode representar uma enorme mais valia no que diz respeito ao correio electr nico Kerberos Kerberos um protocolo de autentica o de rede desenvolvido pelo Massachussetts Institute of Technology MIT que utiliza crip tografia forte partindo do princ pio de que todas as transac es entre clientes e servidores se ir o realizar em redes n o seguras O princ pio deste protocolo bastantes simples sempre que um cliente deseja aceder a recursos dispon veis na rede autentica se junto de um servidor seguro designado Kerberos que constitui o Centro de Distribui o de Chaves Key Distribution Center para a rede Uma vez autenticado o cliente recebe um bilhete ticket do servidor que lhe permitir autenticar se criptograficamente junto dos detentores dos recursos a que pretende aceder garantindo desta forma ser quem e estabelec
293. xemplo contratos e listas de contactos englobando a recupera o de SEGURAN A FACE AO DESASTRE 155 sistemas dados comunica es de dados e de voz processos TI e n o tecnol gicos log stica de mat ria prima etc e postos de trabalho Para al m destes dever o ser elaborados ainda procedimentos para o processo de comunica o externa designada notifica o interna designada de activa o e de declara o do desastre aos fornecedores de servi os de recupera o e de suporte desloca o de pessoal e equipamento apoio psicol gico etc Ao definir os procedimentos do plano de recupera o dever ser prestada uma grande aten o ao detalhe de forma a garantir um sequenciamento em conformidade com os Tempos Alvo de Recupe ra o TAR dos processos e actividades cr ticos Finalmente para garantir a sua sobreviv ncia ao desastre e a sua utiliza o pronta ap s um incidente o plano dever ser distribu do por todos os intervenientes e respons veis devendo ser guardadas c pias tanto nas instala es a proteger como fora delas Plano de Regresso Normalidade O plano de regresso normalidade um documento onde se defi nem os moldes como se ir processar a transi o de instala es de recupera o de desastre para instala es definitivas 14 Existem casos reais de empresas que n o conseguiram activar os seus planos de recupera o por estes terem sido dest

Download Pdf Manuals

Related Search

Related Contents

Paper digital switch package  Maxell Portable Wireless Hard Drive, 500GB  Instruction Pose Structure Kameleon (LU) - v4.1  MEDI-THERM® III  TANDBERG 770 MXP User's Manual  

Copyright © All rights reserved. Failed to retrieve file