CONTROLE DE ACESSO Requisitos de cada aplicação Identificação de todas as informações Políticas de disseminação e autorização de informações - Saber apenas.

Apresentação em tema: "CONTROLE DE ACESSO Requisitos de cada aplicação Identificação de todas as informações Políticas de disseminação e autorização de informações - Saber apenas."— Transcrição da apresentação:

1 CONTROLE DE ACESSO Requisitos de cada aplicação Identificação de todas as informações Políticas de disseminação e autorização de informações - Saber apenas o necessário - Níveis de segurança - Classificação das informações Controle de acesso e políticas de classificação Legislação e obrigações contratuais Padronização e perfis de usuários Gerenciamento de direitos de acesso

2 REGRAS PARA CONTROLE DE ACESSO Discriminar regras gerais e opcionais (ou condicionais) Premissa: “Tudo é proibido a menos que seja expressamente permitido” Mudanças administradas pelo responsável e não pelo sistema Regras de permissão distinguidas entre aprovadas pelo administrador e não aprovadas

3 CADASTRAMENTO DE USUÁRIOS IDs exclusivas de usuários x IDs de grupos - responsabilização Adequação entre níveis de acesso, objetivos do negócio e política de segurança Informar ao usuário formalmente os seus direitos de acesso Colher assinatura dos usuários em declarações de níveis de acesso Acessos somente concedidos após termino dos procedimentos de autorização Manter registro de concessões Remover acesso de demitidos ou mudados de função Verificar e remover redundâncias Cláusulas contratuais contendo punições para violação destas regras

4 GERENCIAMENTO DE PRIVILÉGIOS Identificação de privilégios de cada produto Privilégios por necessidade de uso e para cada evento

5 SENHAS DE USUÁRIOS Declaração de usuários em manter confidencial as senhas pessoais Fornecimento de senha temporária que deve ser trocada imediatamente Exigência que o fornecimento de senha seja feio de maneira segura Guarda de senhas em sistemas seguros Considerar a tecnologia mais adequada para controle de acesso Algo que o usuário sabe/tem/é

6 REVISÃO DOS DIREITOS DE ACESSO Direitos revisados periodicamente Privilégios revisados com maior freqüência Revisar frequentemente a lista completa de privilégios

7 USO DE SENHAS Manter confidenciais as senhas Evitar manter anotação das senhas em papel Alterar senha a qualquer sinal de comprometimento Senhas de qualidade com tamanho mínimo de 6 caracteres Alterar senhas periodicamente de acordo com classificação Alterar imediatamente senhas temporárias Não automatizar senhas em qualquer processo Não compartilhar senhas individuais

8 EQUIPAMENTO DE USUÁRIOS DESASSISTIDOS Quando terminar uma sessão ativa, encerrar Utilizar Key lock ou controles equivalentes

9 Política de uso de Serviços em rede, deve cobrir: As redes e serviços cujo acesso é permitido Os procedimentos de autorização Controles e procedimentos administrativos PATH obrigatório Não permitir desvios de rotas no processo de acesso a dados Autenticação de usuário para conexões externas Autenticação de nodo Proteção de portas de diagnóstico remoto Controles de conexões de rede Controle de roteamento da rede

10 Sistema de gerenciamento de senhas Obrigar o uso de senhas individuais Permitir ao usuário selecionar a própria senha Procedimentos para uso de senhas Obrigar escolha de senhas de qualidade Manter registro de senhas anteriores Armazenar arquivos de senhas criptografados Não exibir senhas nas telas a digitá-las Alterar senhas default após instalação Armazenar arquivos de senhas separadamente dos dados

11 Uso de utilitários do sistema Utilitários geralmente sobrepujam as aplicações Uso de autenticação para utilitários Limitar ao mínimo praticável Autorização para uso ad-hoc Limitação da disponibilidades dos utilitários Registro em log Definir e documentar níveis de utilização Remover os desnecessários

12 CONTROLE DE ACESSO AS APLICAÇÕES Controlar acessos Fornecer proteção contra acesso não autorizado Não comprometer a segurança de sistemas compartilhados Ter capacidade de fornecer acesso seletivo

13 CONTROLE DE ACESSO ÀS APLICAÇÃO Restrições de acesso às informações Restringir conhecimento dos usuários Controlar os direitos de acesso Garantir saídas seletivas (relatórios) Isolamento de sistemas sensíveis Identificação e documentação explícitas Controle de compartilhamento