OLÁ SEJAM BEM-VINDOS AULA DE HOJE SEGURANÇA DA INFORMAÇÃO

Segurança da Informação – Profº Laurelli Objetivo É garantir proteção da informação de acordo com seus requisitos Sigilo: proteção contra a divulgação indevida de informações, Integridade: proteção contra a modificação não autorizada de informação, Autenticidade: garantia de que a informação seja proveniente da fonte à qual ela é atribuída, Disponibilidade: garantia de que as informações e serviços importantes estejam disponíveis para os usuários quando requisitados, Irretratabilidade da Comunicação: proteção contra a alegação por parte de um dos participantes de uma comunicação de que a mesma não ocorreu Sigilo: proteção contra a divulgação indevida de informações, Integridade: proteção contra a modificação não autorizada de informação, Autenticidade: garantia de que a informação seja proveniente da fonte à qual ela é atribuída, Disponibilidade: garantia de que as informações e serviços importantes estejam disponíveis para os usuários quando requisitados, Irretratabilidade da Comunicação: proteção contra a alegação por parte de um dos participantes de uma comunicação de que a mesma não ocorreu Requisitos

Segurança da Informação – Profº Laurelli Principais elementos da gestão da segurança da informação Políticas de informação e de segurança da informação Análise de Riscos Requisitos de segurança Ameaças e vulnerabilidade Impactos do negócio Controles Informações e Sistemas de Informação Subsidiam Define Definem Protegem Estão sujeitos a São avaliadas Podem causar

Segurança da Informação – Profº Laurelli Exemplo de esquema de classificação da informação quanto aos requisitos de sigilo TipoCaracterísticasExemplo Sigilosa A divulgação para pessoas não autorizadas pode causar danos graves à organização. Numa operadora de telefonia, as informações pessoais e sobre cobrança dos clientes estão sujeitas a normas de privacidade e de restrição de uso cujo descumprimento pode levar a prejuízos financeiros e penalidades. ReservadaInformações que no interesse da organização devam ser de conhecimento restrito e cuja revelação não autorizada pode frustrar o alcance de objetivos e metas. Detalhes de lançamento de um novo produto podem atrapalhar os planos de uma empresa caso cheguem ao conhecimento da concorrência antes do momento oportuno Pública Informação de livre acesso Informações institucionais publicadas no site da organização

Segurança da Informação – Profº Laurelli Exemplo de esquema de classificação de dados e informações quanto aos requisitos de integridade TipoCaracterísticasExemplo Alta exigência de integridade A criação com erro ou alteração indevida pode comprometer as operações ou os objetivos organizacionais, acarretar descumprimento de normas legais ou trazer prejuízos à organização, a seus integrantes ou à sociedade No governo, informações que dão origem à concessão de benefícios pela Previdência Social(a fragilidade dos mecanismos de proteção da integridade dos dados pode levar à ocorrência de fraudes e ao pagamento indevido de benefícios). Numa operadora de telefonia, a falta de cobrança dos clientes pode causar problemas graves(além da insatisfação dos clientes, penalizações pelo não- cumprimento das metas previstas pela Anatel em relação ao limite de reclamações permitidas a cada contas) Média exigência de integridade A criação com erro ou alteração indevida não compromete as operações nem traz impactos exagerados, mas pode causar algum prejuízo Preços de mercadorias vendidas a serem publicados num anúncio(um erro no preço pode implicar a venda da quantidade anunciada do produto com prejuízo Baixa exigência de integridade A criação com erro ou alteração indevida pode ser facilmente detectada e/ou oferece riscos desprezíveis para a organização. Preços de insumos coletados dos fornecedores(um erro no preço registrado será facilmente descoberto durante o processo de negociação e compras)

Segurança da Informação – Profº Laurelli Exemplo de esquema de classificação da informação quanto aos requisitos de autenticidade TipoCaracterísticasExemplo Informação com exigência de comprovação de autenticidade Informação cujo uso ou divulgação está sujeito a prévia confirmação de procedência Pedido de criação de senha de acesso para um usuário de sistema, comunicados públicos em nome da organização, informações relativas a transações financeiras, etc... Informação sem exigência de comprovação de autenticidade Informação cuja confirmação da procedência não é necessária(por estar implícita ou ser irrelevante) ou cujo custo/benefício de comprovação não compensa o esforço Mensagens de rotineiras trocadas entre funcionários, relatórios extraídos de sistemas, “boatos” sobre a concorrência.

Segurança da Informação – Profº Laurelli Definições dos Controles Os controles de segurança podem ser classificados nas seguintes categorias: TiposExplicação Físicos Projetados para proteger o ambiente informacional contra ameaças físicas, como incêndio, inundações, raios, etc.., manter um ambiente adequado de operação de sistemas em termos de temperatura, umidade, limpeza e qualidade do fornecimento de energia elétrica, e proteger a organização de incidentes resultantes do acesso físico, tais como furto e danos propositais a equipamentos Técnicos (ou lógicos) Implementados por software, são usados para restringir o acesso e o uso do sistema operacional, redes, programas utilitários e aplicativos Manuais Implementados sem o auxílio de máquinas (por exemplo, colocação de um guarda na entrada para impedir que estranhos tenham acesso às instalações computacionais, ou checagem manual dos dados apresentados em um relatório extraído de sistema informatizado antes de sua distribuição)

Segurança da Informação – Profº Laurelli Atuação dos Controles para proteção TipoExplicação Eliminando uma ameaça A manutenção de informações altamente confidenciais fora da rede corporativa, num computador isolado, elimina a ameaça de acesso remoto não autorizado a essas informações. Reduzindo uma vulnerabilidade Um edifício construindo com materiais resistentes a fogo será menos vulnerável à ameaça de incêndio que um prédio sem esse tipo de proteção. Reduzindo o impacto O isolamento de um segmento da rede interna para mantê-la inacessível por usuários externos pode reduzir o impacto de uma eventual invasão do sistema via internet Detectando incidentes Alarmes contra incêndio, vazamentos, e invasão física, ou alertas gerados pelo sistema em caso de repetidas tentativas de acesso não autorizado a uma informação permitem detectar situações de risco. Recuperando o impacto Procedimentos de backup e de recuperação de desastres são necessários para recuperar sistemas e serviços após um incidente de segurança.

Segurança da Informação – Profº Laurelli Informação de um caso Divulgação não intencional de dados sigilosos traz prejuízos à organização A GlobalHealthtrax, empresa que vende produtos relacionados à saúde pela internet, divulgou por acidente nomes de milhares de clientes, seus números de telefone e informações sobre contas bancárias e cartões de crédito em seu website. Além dos prejuízos à imagem, a organização teve que enfrentar a ameaça de possíveis processos na Justiça de clientes cujas contas bancárias ou cartões de crédito apresentaram movimentações suspeitas, atribuídas à divulgação indevida dos dados.

PESSOAL! Grato por participarem desta aula PARA REFLETIR “Se você não energizar seu entusiasmo, será mais um na multidão” Profº Cleber Machado Conferencista