Auditoria e Segurança de Sistemas – Cód. 30135

1. Auditoria e Segurança de Sistemas – Cód. 30135 Prof. MSc. Ronnison Reges Vidal

2. Segurança das Informações – Aula 8 Politica de segurança das informações

3. Políticas de Segurança das Informações • Introdução • Objetivos de Segurança • Definindo uma política de segurança de informações • Identificando os recursos • Controles de segurança • Implementando e auditando políticas de segurança Sumário

4. Políticas de Segurança das Informações Introdução

5. Informação é considerada o principal patrimônio de uma organização – recursos críticos • Estão sob constante risco • A segurança das informações tornou se crucial para a sobrevivência das instituições • Evolução da segurança de informações • Informações em papel -> a segurança era simples • Restrição do acesso físico • Computadores de grande porte -> segurança sofisticada • acesso lógico, entretanto centralizada • Computadores pessoais e redes computadores -> segurança de grande complexidade • Necessidade de equipe de implementação e gerência Introdução

6. Importância das informações para a sociedade • Concretização de negócios • Tomada de decisões • Governamentais • Sociais – bem estar social • Educativas • Um erro pode comprometer • Instituições do mercado • Financeiro, industrial, sistemas de telecomunicações, assistência médica Introdução

7. Expectativas • Usuário – Não interessa saber se o dado foi perdido ou apagado por conta de um ex-funcionário ou vírus, importa é que o dado foi adulterado ou perdido • Consciência da integridade, disponibilidade e privacidade – Qualidade • Departamento de informática – segurança está relacionada com teste de hardware, software e prevenção de erros cometidos pelos usuários • Atender as necessidades do usuário e proteger as informações contra ameaças - Eficiência Introdução

8. Outros aspectos considerados pela gerência • Operação de forma adequada e garantias de segurança • Necessidade de ambientes controlados • Proteção contra desastres naturais (incêndios, terremotos, enchentes) • Falhas estruturais (interrupção do fornecimento de energia elétrica, sobrecargas elétricas) • Sabotagem • Fraudes • Acessos não autorizados (hackers, espionagem digital, venda de informações confidenciais para a concorrência) Introdução

9. Segurança é: • Proteção de informações, sistemas, recursos e serviços contra desastres, erros e manipulação não autorizada, de forma a reduzir a probabilidade e o impacto de incidentes de segurança Introdução

10. Políticas de Segurança das Informações Objetivos de Segurança

11. Confidencialidade ou privacidade – proteger as informações contra o acesso de qualquer pessoa não explicitamente autorizada • Integridade de dados - evitar que os dados sejam apagados sem permissão • Disponibilidade – proteger os serviços de tal forma que não sejam degradados ou tornados indisponíveis sem a devida autorização Objetivos de Segurança

12. Consistência – certificar-se que o sistema está de acordo com as expectativas do usuário • Isolamento ou uso legítimo – regular o acesso ao sistema • Auditoria – proteger os sistemas contra os erros e atos maliciosos cometidos pelos usuários autorizados • Confiabilidade – garantir que, mesmo em condições adversas, o sistema atue conforme o esperado. Ex: sistemas de energia nuclear, de controle de tráfego aéreo e de controle de vôo. Objetivos de Segurança

13. Apesar de todos os objetivos citados serem importantes, dependendo do tipo de organização, alguns são mais importantes do que outros • Antes da implementação de um programa de segurança de informações é aconselhável responder alguns questões Objetivos de Segurança

14. O que quer se proteger? • Contra o que ou quem? • Quais são as ameaças mais prováveis? • Qual a importância de cada recurso? • Qual o grau de proteção desejado? • Quanto tempo, recursos financeiros e humanos se pretende gastar para atingir os objetivos de segurança desejados? • Quais as expectativas dos usuários e clientes em relação à segurança de informações? • Quais as consequências para a instituição se seus sistemas e informações forem corrompidos ou roubados? Objetivos de Segurança

15. Políticas de Segurança das Informações Definindo uma política de segurança de informações

16. Estratégia geral da organização Estabelece Contribui para atingir a Plano estratégico De informática Política de Segurança De informações Define Gera impactos sobre Especifica Planos de desenvolvimento de sistemas Plano de continuidade de serviços Planejamento de capacidades Outros projetos Definindo uma política de segurança de informações

17. Definindo uma política de segurança de informações Tópicos importantes

18. Processo de implantação • É aconselhável que esse processo seja flexível • Para permitir atualizações conforme as necessidades • Ocorre em um determinado número de fases Definindo uma política de segurança de informações

19. Identificação dos recursos críticos • Classificação das informações • Definição, em linhas gerais, dos objetivos de segurança a serem atingidos • Análise das necessidades de segurança (identificação das possíveis ameaças, análise de riscos e impactos) • Elaboração de projeto de política Definindo uma política de segurança de informações

20. Discussões abertas com os envolvidos • Apresentação de documento formal à gerência superior • Aprovação • Implementação • Avaliação da política e identificação das mudanças necessárias • revisão Definindo uma política de segurança de informações

21. Políticas de Segurança das Informações Identificando recursos

22. Hardware • Software • Dados • Pessoas • Documentação • Suprimentos Identificando recursos

23. Classificação das informações • Públicas ou de uso irrestrito • Internas ou de uso interno • Confidenciais • Secretas Identificando recursos

24. Classificação dos sistemas • Programas aplicativos • Serviços • Sistema operacional • Hardware Identificando recursos

25. Políticas de Segurança das Informações Controles de Segurança

26. Eliminar os riscos • Reduzir os riscos a um nível aceitável • Limitar o dano, reduzindo o impacto • Compensar o dano, por meio de seguros Controles de Segurança

27. Definindo serviços de segurança • Categorias básicas • Autenticação • Controle de acesso • Confidencialidade de dados • Integridades de dados • Disponibilidade • Não repúdio Controles de Segurança

28. Definindo serviços de segurança • Medidas preventivas importantes • Segurança física • Segurança dos recursos computacionais • Segurança administrativa • Segurança de meios magnéticos • Controles de desenvolvimento de apĺicativos Controles de Segurança

29. XXXXXXXXXX XXXXXXXXXX XXXXXXXXXX XXXXXXXXXX XXXXXXXXXX Algoritmo Chave Texto cifrrado Texto em claro • Definindo mecanismos de segurança • Sistemas criptográficos Controles de Segurança

30. Definindo mecanismos de segurança • Assinatura digital • Mecanismos de controle de acesso • Mecanismos de integridade de dados • Mecanismos de disponibilidade • Trocas de autenticações • Enchimento de tráfego • Controles de roteamento Controles de Segurança

31. Políticas de Segurança das Informações Implementando e auditando políticas de segurança

32. Elaborar, divulgar e manter atualizado documento que descreva a política de segurança das informações • A alta gerência deve estar comprometida coma a política de segurança de informações, a qual deve ser implantada de acordo com o documento formal por ela aprovado • Definir uma estrutura organizacional responsável pela segurança, a qual deve aprovar e recisar as políticas de segurança, designar funções de segurança e coordenar a implantação da política Lista de verificação

33. Estabelecer procedimentos de segurança de pessoal, com intuito de reduzir ou evitar erros humanos, mal uso de recursos computacionais, fraude ou roubo, por meio de um processo rigoroso de recrutamento de pessoal e de controle sobre acesso a dados confidenciais • Todos os funcionários devem ter conhecimento dos riscos de segurança de informações e de suas responsabilidades com relação a esse assunto. É a conselhavel que haja um treinamento de segurança para difusão de boas práticas e padrões de segurança, promovendo uma cultura de segurança na organização Lista de verificação

34. Controlar e classificar os recursos computacionais de acordo com seu grau de confidencialidade, prioridade e importância para a orgenização. Todos os recursos (hardware, software, dados, documentação, etc) devem ser administrados por um responsável designado seu proprietário • Definir padrões adequados de segurança física para previr acessos não autorizados, danos ou interferência em atividades críticas. Devem ser estabelecidos limites de acesso ou áreas de segurança com dispositivos de controle de entrada. Todos os equipamentos e cabeamentos de energia elétrica e de telecomunicações devem ser protegidos contra interceptação, dano, falha de energia, picos de luz, e outros problemas elétricos Lista de verificação

35. Implantar controle de acesso lógico aos sistemas de forma a precenir acessos não autorizados. Esse controle pode ser feito via processo seguro de logon, senhas fortemente seguras, registro formal de usuários, monitoramento por trilhas de auditoria, etc • Administrar os recursos computacionais e as redes seguindo requisitos de segurança previamente definidos • Definir procedimentos de backup e de restauração dos sistemas computacionais para garantir a integridade e a desponivilidades de dados e software. A frequencia de backup deve ser apropriada e pelo menos uma cópia do backup de ser guardada em local seguro. Os procedimentos de restauração devem ser periodicamente testados para garantir sua efetividade quando forem necessários Lista de verificação

36. Antes da inclusão de qualquer programa nos sistemas computacionais da organização, tomar as medidas de segurança exigidas na política da organização • Investigar qualquer incidente que comprometa a segurança dos sistemas. Os registros desses incidentes devem ser mantidos e periodicamente analisados para detectar vulnerabilidades na política de segurança adotada • Após uma violação da política de segurança, tomar as medidas necessárias para identificação de susas causas e agentes, correção das vulnerabilidades e punição aos infratores • Auditar regularmente todos os aspectos de segurança a fim de determinar se as políticas estão sendo efetivamente cumpridas ou se são necessárias modificações Lista de verificação

37. Ler capítulo II – Segurança de Informações • Política de Segurança de informações • Livro – Segurança e auditoria da Tecnologia da Informação, Cláudia Dias exercícios