Faculdade de Tecnologia SENAC Pelotas Tecnólogo em Redes de Computadores Segurança de Sistemas Aula 1 - Introdução Prof. Dartagnan Farias ddfarias@gmail.com

Introdução Conhecer conceitos da segurança da Informação; Entender os objetivos da segurança da Informação; Entendimento da importância de estratégias de segurança, principalmente em ambientes corporativos.

Informação – Ambiente Corporativo Recurso essencial para qualquer tipo de empresa: Independente de mercado; Independente de poder econômico. Atinge todos os níveis organizacionais: Operacional; Estratégico; Tático. Ferramenta necessária para empresa atingir os objetivos.

Informação – Ambiente Corporativo Consequências da quebra da segurança em uma estrutura: Falhas que impossibilitam comunicações e transações; Direcionamento errado e perda de fundos pessoais ou comerciais;

Informação – Ambiente Corporativo Roubo e uso por concorrentes de propriedade intelectual da empresa (ideias de pesquisa, projetos, etc...); Revelação de detalhes de contratos com clientes a concorrentes ou ao público em geral, resultando na perda de confiança no mercado; Exposição de conteúdo íntimo.

Segurança - Preocupações Há dois tipos de preocupações com a segurança da rede que devem ser abordadas para prevenir consequências sérias: Segurança da Infraestrutura; Segurança de Conteúdo.

Segurança - Preocupações Segurança da Infraestrutura: Segurança física dos dispositivos; Acessos autorizados: Salas de servidores; Armários ou hacks; Softwares de gerenciamento ou acesso remoto.

Segurança - Preocupações Segurança de conteúdo: Segurança das informações trafegadas na rede; Segurança das informações armazenadas nos dispositivos;

Objetivos em segurança da informação Garantir uma informação confiável; Prevenir a divulgação não autorizada da informação; Prevenir a negação de serviços.

Objetivos em segurança da informação Como!?

Oferecendo segurança As formas de alcançar os objetivos da segurança da informação incluem: Assegurar a Confidencialidade da informação; Manter a Integridade da informação; Garantir a Disponibilidade da informação.

Oferecendo segurança Confidencialidade: A confidencialidade dos dados é mantida quando se permite que somente receptores desejados tenham acesso aos dados. Exemplo: áreas restritas de sistemas. Sistemas com tratamentos de senhas fortes e exigências de trocas periódicas.

Oferecendo segurança Integridade: Mensagem com valor original; Garantias que a mensagem não tenha nenhum tipo de alteração durante a transmissão da origem até o destino Exemplo: mensagens corrompidas. Criptografia; Infraestrutura.

Oferecendo segurança Disponibilidade: Informação disponível quando necessitada; Se trata e assegurar o acesso pontual e confiável a serviços; Exemplo1: servidores parados por falta de energia. Exemplo2: servidores sofrendo ataques DDoS.

Oferecendo segurança Outros aspectos: Autenticidade: Legalidade: Auditoria: Privacidade; Não-repúdio.

Oferecendo segurança Pesquisar o significado dos pilares citados e apresentar para turma com suas palavras um breve resumo.

Segurança da Informação Quando se fala em segurança da informação, refere-se a sistemas que são pensados e desenvolvidos de forma que garantam a confidencialidade, integridade, disponibilidade e demais aspectos de segurança. Garantindo sempre a continuidade do negócio.

Segurança da Informação Para definir um planejamento de segurança é importante conhecer os elementos básicos para o gerenciamento de riscos de segurança da Informação tais como: Ativo de Informação Ameaça Risco Vulnerabilidade Incidente Problema Impacto

Segurança da Informação Ativo de Informação: É qualquer componente (humano ou tecnológico) que sustenta um ou mais processos do negócio de uma unidade ou área de uma empresa.

Segurança da Informação Ameaça: É um evento que tem o potencial de comprometer ativos; Podem ser de origem humana ou natural e podem ser acidentais ou intencionais; Estão em constante mudança, logo precisam ser sempre reavaliadas.

Segurança da Informação Ameaça: Exemplos: Roubo de informação; Perda de pen drive com dados confidenciais; Acessos não autorizados; Indisponibilidade das pessoas chegarem ao trabalho por causa da chuva; Falta de energia elétrica.

Segurança da Informação Vulnerabilidade: Ponto fraco de um ativo; Pode ser explorada ou não; Ativos possuem vulnerabilidades que podem gerar, intencionalmente ou não, a quebra da confidencialidade, integridade e disponibilidade da informação.

Segurança da Informação Vulnerabilidade: Exemplos: Sistemas desatualizados; Portas de servidores desprotegidas; Usuários que não têm cuidado com informações pessoais (confidenciais) tais como senha.

Segurança da Informação Risco: É a probabilidade ou a possibilidade de uma determinada ameaça explorar uma vulnerabilidade de um ativo de forma que prejudique a organização; A identificação dessa probabilidade pode ser realizada por duas metodologias: Qualitativa Quantitativa

Segurança da Informação Risco: Qualitativa: Utiliza uma escala de atributos que descrevem a magnitude das consequências potenciais (pequena, média e grande) e a probabilidade destas consequências ocorrerem. Quantitativa: Utiliza uma escala com valores numéricos tanto pra as consequências quanto para a probabilidade.

Segurança da Informação Incidente: Ocorrência de um evento que possa causar interrupções nos processos de um negócio em virtude da violação de algum dos aspectos de um sistema de informação; Incidentes ocorrem em função de problemas. Exemplo: Servidor indisponível no momento do acesso.

Segurança da Informação Problema: Causa raiz da falha de segurança da informação responsável pela ocorrência do incidente. Exemplo: Entradas de ar do servidor obstruídas por acúmulo de sujeira.

Segurança da Informação Impacto: É a maneira de medir a consequência que um incidente de segurança pode causar; Varia de acordo com o valor que o ativo possui; Pode ser avaliado qualitativamente ou quantitativamente; Deve ser avaliado independente da probabilidade da ameaça se concretizar; Se esta ameaça acontecer, qual será o impacto no recurso de informação?

Segurança da Informação

Segurança da Informação

Segurança da Informação

Segurança da Informação Conclusão: O gerenciamento de risco demanda na identificação das ameaças, controle dos riscos, minimizando as vulnerabilidades de forma que os problemas sejam eliminados reduzindo ao máximo os impactos de segurança da informação. Deve-se sempre junto com o gerenciamento de risco definir contramedidas que minimizem os impactos causados.

Segurança da Informação

Segurança da Informação Atividade: Realizar uma breve pesquisa sobre incidentes de segurança em grandes empresas; Elaborar um resumo explicando o incidente de segurança escolhido; Apresentar o incidente para a turma e as contramedidas realizadas para contornar os impactos causados.