Aula7

S

EGURANÇA E

A

UDITORIA DE

S

ISTEMAS

Gestão Corporativa de Segurança

R

ECAPITULANDO

...

Elementos importantes na Segurança da Informação
CID (Confidencialidade, Integridade, Disponibilidade)

Ativos

Ameaças, Vulnerabilidades

Medidas de Segurança: Preventivas, Detectáveis e Corretivas
Riscos

Impacto
Impacto
Incidente

T

EORIA DO

P

ERÍMETRO

Baseada na estratégia militar de segmentar os ambientes

físicos para adotar as medidas de defesa adequadas a cada um

Aplicável ao ambiente de segurança das empresas,

contudo, extrapolando a segmentação também para contudo, extrapolando a segmentação também para ambientes lógicos

Exemplo: Acessos à Internet e sistemas segmentados por

T

EORIA DO

P

ERÍMETRO

Para garantir melhor retorno dos mecanismos que

garantam os níveis de proteção da informação é importante se pensar na segmentação inteligente dos ativos.

Assim é possível se aplicar os controles adequados –
Assim é possível se aplicar os controles adequados –

cada um oferecendo um nível previamente dosado de proteção.

T

EORIA DO

P

ERÍMETRO

Cumpre importante papel de alerta e de

mecanismo de resistência distribuído por áreas

Visa permitir que tentativas de acesso indevido e

invasão gerem sinais de alerta e se deparem com a invasão gerem sinais de alerta e se deparem com a resistência que propiciará tempo para que as

medidas contingenciais sejam tomadas antes da ação avançar ainda mais em direção ao alvo

T

EORIA DO

P

ERÍMETRO

Exemplo:

Auditoria restritiva de acesso à Internet

É necessário que os funcionários sejam logicamente

segmentados na rede. segmentados na rede.

Assim minimiza-se o risco de exceder o nível de

controle para uns ou oferecer-lhes um nível aquém das necessidades.

B

ARREIRAS DE

S

EGURANÇA

Devido à amplitude e complexidade do papel da

segurança, é comum estudarmos os seus desafios em camadas ou fases, dividindo o trabalho para melhor o conquistarmos! A esta divisão damos o nome de barreiras de segurança

As barreiras de segurança têm como principal
As barreiras de segurança têm como principal

objetivo reduzir os riscos, e são dimensionadas adequadamente para proporcionar a mais perfeita interação e integração como se fossem peças de um quebra-cabeça.

B

ARREIRAS DE

S

EGURANÇA

O modelo de barreiras de segurança implementa a

teoria do perímetro, segmentando perímetros físicos ou lógicos, e oferecendo níveis de

resistência e proteção complementares e crescentes

B

ARREIRAS DE

S

EGURANÇA

- D

ESENCORAJAR

Primeira das barreiras e cumpre o papel importante

de desencorajar as ameaças.

As ameaças podem ser desmotivadas ou perder o

estímulo por efeito de mecanismos físicos, tecnológicos ou humanos.

Exemplos
Exemplos

Presença de câmeras de vídeo
Aviso de existência de alarmes

Campanhas de divulgação da Política de Segurança

Treinamento dos funcionários informando as práticas de

B

ARREIRAS DE

S

EGURANÇA

- D

IFICULTAR

O papel desta barreira é complementar à anterior

através da adoção efetiva dos controles que irão dificultar o acesso indevido

Exemplos

Dispositivos de autenticação para acesso físico
Roletas

Detectores de metal

Detectores de metal
Alarmes

Ou acesso lógico

Leitores de cartão magnético

Senhas, Smartcards, Certificados digitais
Criptografia, Firewall

B

ARREIRAS DE

S

EGURANÇA

- D

ISCRIMINAR

Permite identificar e gerir os acessos, definindo

perfis e autorizando permissões

Exemplos

Os sistemas são largamente empregados para

monitorar e estabelecer limites de acesso aos serviços de telefonia, perímetros físicos, aplicações de

de telefonia, perímetros físicos, aplicações de computador e bancos de dados

Os processos de avaliação e gestão do volume de uso

dos recursos, como e-mail, impressora, ou até mesmo o fluxo de acesso físico aos ambientes

B

ARREIRAS DE

S

EGURANÇA

- D

ETECTAR

Adiciona à solução de segurança dispositivos que

sinalizem, alertem e instrumentem os gestores da segurança na detecção de situações de risco

Tentativas de invasão, contaminação por vírus,

descumprimento da Política de Segurança, cópia e envio de informações sigilosas de forma inadequada

Exemplos

Sistemas de monitoramento e auditoria para auxiliar na

identificação de atitudes de exposição, como o antivírus e o sistema de detecção de intrusos

B

ARREIRAS DE

S

EGURANÇA

- D

ETER

Impede que a ameaça atinja os alvos que suportam

o negócio. O acionamento desta barreira, ativando seus mecanismos de controle, é um sinal de que as barreiras anteriores não foram suficientes para conter a ação da ameaça

Exemplos
Exemplos

Medidas de detenção

Ações administrativa e punitivas

Bloqueio de acessos físicos e lógicos,

B

ARREIRAS DE

S

EGURANÇA

- D

IAGNOSTICAR

Apesar de ser a última barreira do diagrama, esta fase

representa continuidade do processo de gestão de segurança da informação.

Elo de ligação com a primeira barreira, criando um

movimento cíclico e contínuo.

Barreira de maior importância

Análise de riscos (aspectos físicos, tecnológicos e humanos)
Análise de riscos (aspectos físicos, tecnológicos e humanos)
Diagnóstico mal feito pode ocasionar muitas falhas de

E

QUAÇÃO DO

R

ISCO

O risco é a probabilidade de que agentes, que são

ameaças, explorem vulnerabilidades, expondo os ativos a perdas de confidencialidade, integridade e

disponibilidade, e causando impacto nos negócios. Esses impactos são limitados por medidas de segurança que

protegem os ativos, impedindo que as ameaças explorem protegem os ativos, impedindo que as ameaças explorem as vulnerabilidades, diminuindo assim os riscos.

E

QUAÇÃO DO

R

ISCO

Por melhor que estejam protegidos os ativos, novas

tecnologias, mudanças organizacionais e novos

processos de negócio podem criar vulnerabilidades ou identificar e chamar a atenção para as já existentes.

Novas ameaças podem surgirNovas ameaças podem surgir

As medidas de segurança precisam ser reconsideradas.

R

ISCO

T

ENDENDO A

Z

ERO

Não existe segurança total

Devemos, contudo, estar preparados para suportar mudanças

nas variáveis da equação, reagindo com velocidade e

ajustando o risco aos padrões pré-especificados como ideal para o negócio

para o negócio

Não existe um resultado R igual para todos. Será sempre

necessário avaliar o nível de segurança apropriado para cada momento vivido pela empresa.

C

OMITÊ

C

ORPORATIVO DE

S

EGURANÇA DA

I

NFORMAÇÃO

O que já sabemos?

Posicionado hierarquicamente no organograma

Formatado a partir da clara definição de seu objetivo, estrutura,

funções, responsabilidades, etc

Fomentar o Modelo de Gestão Corporativa de Segurança da

Informação Informação

Ação interdepartamental

Interagir com o Comitê Executivo e o Comitê de auditoria

buscando sinergia dos macro objetivos da empresa

Alinhar e definir ações para os Comitês Interdepartamentais

C

OMITÊ

C

ORPORATIVO DE

S

EGURANÇA DA

I

NFORMAÇÃO

Coordenador do CCSI
Security Officer

Estrutura Básica do Comitê

Coordenação Geral de Segurança

Coordenação de Segurança

Coordenação de Segurança
Controle

Planejamento e Avaliação
Execução

E

STRUTURA

, F

UNÇÕES E

R

ESPONSABILIDADES DO

CCSI

Coordenação Geral de Segurança

Mobilizar as áreas associadas

Deliberar medidas e contra-medidas corporativas
Deliberar medidas e contra-medidas corporativas

E

STRUTURA

, F

UNÇÕES E

R

ESPONSABILIDADES DO

CCSI

Coordenação de Segurança

Avaliar os resultados alcançados

Propor mudanças

Propor medias e contra-medidas

E

STRUTURA

, F

UNÇÕES E

R

ESPONSABILIDADES DO

CCSI

Planejamento e Avaliação

Elaborar relatórios gerenciais sobre os resultados

alcançados

Elaborar propostas de projetos específicos de

segurança segurança

Promover palestras de conscientização e manutenção

do conhecimento

E

STRUTURA

, F

UNÇÕES E

R

ESPONSABILIDADES DO

CCSI

Controle

Conduzir ações de auditoria e monitoramento
Analisar métricas dos índices e indicadores
Realizar análise de risco

Treinar a função de Execução no manuseio dos índices

E

STRUTURA

, F

UNÇÕES E

R

ESPONSABILIDADES DO

CCSI

Execução

Cumprir e fazer cumprir a Política de Segurança nos

ambientes associados

Informar à função Controle os resultados dos índices e

indicadores indicadores

Responder às questões de auditoria

Registrar ocorrências de quebra de segurança e

reportando-as à função de controle

P

ERFIL DOS

E

XECUTORES DO

CCSI

Coordenação Geral de Segurança

Security Officer com apoio de diretores e seus

representantes
Coordenação de segurança
Gestor de Segurança
Planejamento e Avaliação
Planejamento e Avaliação
Consultor de Segurança
Consultor de Contingência
Analista de Segurança
Assistente de Segurança

P

ERFIL DOS

E

XECUTORES DO

CCSI

Controle
Auditor de Segurança
Gerente de Risco
Monitor de Segurança
Execução
Execução
Administrador de Rede
Gestor de Desenvolvimento
Gestor de Produção
Gestor de Aplicação

R

EFERÊNCIAS

SÊMOLA, Marcos. Gestão da Segurança da

Informação: Uma visão executiva. Rio de Janeiro: Elsevier Editora, 2003. ISBN: 85-352-1191-8.