universidade candido mendes pÓs-graduaÇÃo … eduardo rangel.pdf · polÍtica de seguranÇa da...
TRANSCRIPT
UNIVERSIDADE CANDIDO MENDES
PÓS-GRADUAÇÃO “LATO SENSU”
PROJETO A VEZ DO MESTRE
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO,
IMPORTANTE INSTRUMENTO DA
GESTÃO CORPORATIVA
Por: Paulo Eduardo Rangel
Orientador
Prof. Vilson Sérgio de Carvalho
Rio de Janeiro,
Março 2005
UNIVERSIDADE CANDIDO MENDES
PÓS-GRADUAÇÃO “LATO SENSU”
PROJETO A VEZ DO MESTRE
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO,
IMPORTANTE INSTRUMENTO DA
GESTÃO CORPORATIVA
Apresentação de monografia à Universidade
Candido Mendes como condição prévia para a
conclusão do Curso de Pós-Graduação “Lato
Sensu” em Finanças e Gestão Corporativa.
Por: Paulo Eduardo Rangel
AGRADECIMENTOS
Aos professores César Lima, Ana
Cláudia, Fernando Spreafico e Pedro
Paulo com os quais tive a honra de
conviver e aprender nas disciplinas
da Pós-Graduação, ao Professor
Vilson Sérgio de Carvalho por sua
paciente e eficiente orientação ao
trabalho, e especialmente à empresa
Cobra Tecnologia, que me acolheu
há 26 anos, pela confiança, incentivo
e oportunidade de aprimoramento
profissional.
DEDICATÓRIA
A minha esposa Irene Ribeiro ,
pelo apoio, compreensão, amor e
incentivo incondicional,
A minha mãe Maria Gomes ,
pelas orações e eterna dedicação, e
Ao meu pai,
Professor Darcy Rangel,
pelo exemplo de vida, pela orientação e
por ser a fonte de toda minha
motivação,
Dedico
iv
RESUMO
O tema abordado neste trabalho é denominado Segurança da
Informação e objetiva a conscientização da importância de sua eficaz
implantação nas empresas e instituições, na elaboração de um planejamento
de segurança eficaz para, assim, protegê-las de maiores riscos, uma vez
que a informação é um bem de valor intangível. Apresenta recursos e
medidas relacionadas à proteção da informação e os riscos relativos às
vulnerabilidades. Ressalta a importância de estratégias na identificação das
necessidades adequadas à segurança da informação. Cita as causas de
ameaças à segurança na integridade das informações e meios de
prevenção. Aborda os controles adotados na prevenção de incidentes,
definindo soluções para minimizar os riscos de segurança. Revela os
elementos necessários nos processos confidenciais, mediante atuação
efetiva de todos as pessoas, evitando, assim, falhas que possam afetar o
bom funcionamento da empresa ou instituição.
v
METODOLOGIA
A metodologia utilizada para conclusão deste trabalho foram
pesquisas a bibliografias e conceitos encontrados em livros, artigos e
Internet, correlacionados diretamente a assuntos sobre o tema proposto,
onde, através da análise destas informações, visamos propiciar uma visão
analítica de como estruturar uma Política de Segurança de Informação
adequada a uma gestão corporativa moderna.
Ressaltamos crédito especial a 9ª Pesquisa Nacional de Segurança
da Informação realizada pela empresa Módulo Security Solutions S.A. e a
Norma NBR ISO/IEC 17799 (Código de prática para a gestão da segurança
da informação) da Associação Brasileira de Normas Técnicas.
vi
SUMÁRIO INTRODUÇÃO.......................................................................................................... 7
CAPÍTULO I - SEGURANÇA DA INFORMAÇÃO........................................... 10
CAPÍTULO II - POLÍTICA DE SEGURANÇA E NORMA ISO 17799 .......... 20
CAPÍTULO III - PESQUISA DE SEGURANÇA DA INFORMAÇÃO ............ 26
ANÁLISES E CONCLUSÕES ............................................................................... 38
BIBLIOGRAFIA CONSULTADA ........................................................................ 41
ÍNDICE..................................................................................................................... 42
FOLHA DE AVALIAÇÃO..................................................................................... 43
7
INTRODUÇÃO
A utilização maciça de recursos de processamento e armazenamento
de informações em grandes computadores nas mais diversas áreas de
atividades humanas e nos mais variados tipos de negócios e aplicações
tornou aguda a dependência em relação ao tipo de recurso utilizado.
Porém, mais importante que o aspecto de indisponibilidade dos
equipamentos é a perda, indisponibilidade ou violação das informações que
guardam. É comum aparecerem nos veículos de comunicação notícias
relacionadas com crimes e fraudes cometidos com o uso de recursos
computacionais, e vale a pena lembrar que é apenas uma pequena parte do
que realmente ocorre, pois as empresa preferem preservar sua imagem.
Esses crimes quando são descobertos já causaram prejuízos em
graus variados, dependendo do ativo fraudado e da natureza do negócio.
Hoje a soma anual dos valores fraudados pode chegar à casa dos bilhões de
dólares no mundo todo.
No Brasil, o assunto passou a representar uma preocupação maior
após a publicação do relatório da Comissão Especial de Proteção de dados,
Comissão 21, da extinta SEI e a formação de uma comissão na ABNT,
denominada Comissão Técnica de Segurança em Informática, destinada a
regulamentar a segurança de instalações de informática no final dos anos
80.
Tem aumentado a conscientização entre empresários e profissionais
da área quanto ao grau de dependência e da vulnerabilidade em relação ao
acervo de informações, ainda que em grau muito baixo. Isso tende a
agravar-se à medida que tanto as atividades administrativas dos negócios
como as atividades de controle de processos em indústrias tornam-se mais
dependentes de recursos de informática. Em alguns casos, a dependência
chega a ser total.
8
A exemplo de outros países, a legislação deve prever e regulamentar
a responsabilidade dos administradores nas empresas, relacionada com a
preservação da segurança e integridade de informações, não importando o
meio de registro que as contenha. Ainda que não se deva chegar ao exagero
de tratar a segurança de informações como um segredo militar ou
diplomático, também não se deve deixar que a segurança fique dependente
principalmente do fato de a maioria das pessoas ignorar a importância de
informações que diariamente lhes passam pelas mãos. Mais cedo ou mais
tarde, aparece alguém que, além de conhecer os meios técnicos para se
apossar das informações, também sabe como obter lucro com elas.
Por todo o exposto, estabelecer uma eficiente política de Segurança
da Informação é tão importante quanto investir no crescimento operacional
da corporação, proporcionando a empresa nível de confiabilidade que
permita proteção aos diversos tipos de ataque que porventura possa vir a
sofrer.
Muitas são as técnicas e ferramentas para se obter acesso indevido à
informação, esteja ela em formato eletrônico, em papel etc. É preciso saber
que de nada adiantará um alto nível de segurança no correio eletrônico, por
exemplo, se o mesmo for posteriormente impresso, transportado,
armazenado e até mesmo descartado sem o mesmo nível de segurança.
A partir da especificação, configuração e implantação de controles
físicos, tecnológicos e humanos preocupados com o manuseio,
armazenamento, transporte e descarte das informações, consegue-se
reduzir e administrar os riscos. Segurança é adotar controles que visem
administrar os riscos, fazendo-os tender a zero. Por mais que tenha
especificado os melhores controles para reduzir e administrar os riscos de
quebra da confidencialidade, integridade e disponibilidade das informações,
nunca estará totalmente seguro.
O objetivo do processo de Segurança de Informações em uma
organização é alcançar a disponibilidade, confidencialidade, integridade,
9
legalidade e auditabilidade da informação. A segurança das informações é
difícil, talvez até mesmo impossível, porém existe a necessidade da proteção
da informação, fator primordial para própria sobrevivência da empresa,
reduzindo assim, os impactos e os riscos de incidentes de segurança.
É necessário ter uma boa Política de Segurança, composta de regras
claras, praticáveis e sintonizadas com a cultura do ambiente tecnológico da
empresa. Deve não apenas proteger as informações confidenciais, mas
também motivar as pessoas que as manuseiam, mediante a conscientização
e envolvimento de todos.
Para termos uma visão adequada de todos este pontos importantes, o
trabalho foi estruturado da seguinte forma:
No capítulo I, apresentamos a segurança de informação com os seus
principais conceitos, sua real necessidade, avaliação dos riscos, controles
necessários e fatores de sucesso para sua implantação.
No capítulo II abordamos aspectos relativos à importância de
implantação de uma eficiente política de segurança e sua conformidade com
a norma ISO/IEC 17799:2001.
No capítulo III, apresentamos importantes dados sobre segurança de
informação, obtidos através da 9ª Pesquisa Nacional de Segurança da
Informação, realizada pela empresa Módulo Security em outubro de 2003.
Concluímos o trabalho, tendo a convicção de ter demonstrado, que a
Segurança da informação deve ser a mobilização de interesses comuns,
coletivos e difusos em prol da defesa e fortalecimento do patrimônio
intangível – a informação - um dos bens mais valiosos de qualquer
organização.
10
CAPÍTULO I
SEGURANÇA DA INFORMAÇÃO Informação é aquilo que sintetiza a natureza de tudo
o que existe ou ocorre no mundo físico
(Carlos Caruso – Junho 1999).
11
SEGURANÇA DA INFORMAÇÃO
1.1 – Conceitos de segurança da informação
A informação é um ativo, entre outros ativos de extrema importância
nos negócios. A informação deve ser protegida de maneira que não ocorra a
possibilidade de acessos não autorizados, alterações indevidas ou sua
indisponibilidade.
A segurança da informação deve ser implantada em todas as áreas
da organização, pois são encontradas em diversos meios como: impresso ou
escrito em papel, armazenado eletronicamente, enviado pelo correio ou
através de meios eletrônicos.
A segurança da informação, conforme mostrado na figura 1, tem
como objetivo a preservação de três princípios básicos pelos quais se
norteia a implementação desta prática:
Confiabilidade – Toda informação deve ser protegida de acordo com o grau de sigilo de seu conteúdo, visando à limitação de seu acesso e uso apenas às pessoas para quem elas são destinadas. Integridade – Toda a Informação deve ser mantida na mesma condição em que foi disponibilizada pelo seu proprietário, visando protegê-las contra alterações indevidas, intencionais ou acidentais. Disponibilidade – Toda a informação gerada ou adquirida por um individuo ou instituição deve estar disponível aos seus usuários no momento em que os mesmos delas necessitem para qualquer finalidade. (SÊMOLA, 2003, p.45).
12
Figura 1: Conceitos Básicos da Segurança da Informação Informação Conjunto de dados utilizados para a transferência de uma mensagem entre indivíduos e/ou máquinas em processos comunicativos (isto é, baseados em troca de mensagens) ou transacionais (isto é, processos em que sejam realizadas operações que envolvam, por exemplo, a transferência de valores monetários). A informação pode estar presente ou ser manipulada por inúmeros elementos deste processo, chamados ativos, os quais são alvos de proteção da segurança da informação. Ativo Todo elemento que compõe os processos, incluindo o próprio processo, que manipulam e processam a informação, a contar a própria informação, o meio em que ela é armazenada, os equipamentos em que ela é manuseada, transportada e descartada. O termo “ativo” possui esta denominação, oriunda da área financeira, por ser considerado em elemento de valor para o individuo ou organização, e que, por esse motivo, necessita de proteção adequada. Existem muitas formas de dividir e agrupar os ativos para facilitar seu tratamento, um deles é: equipamentos, aplicações, usuários, ambientes, informações e processos. Desta forma, torna-se possível identificar melhor as fronteiras de cada grupo, tratando-os com especificidade e aumentando qualitativamente as atividades de segurança.(SÊMOLA, 2003, p. 45 e 46).
13
1.2 – Por que é necessária a segurança da informação A informação e os processos de apoio, sistemas e redes são
importantes ativos e também, estratégicos para os negócios. Confiabilidade,
integridade e disponibilidade, são características chave para a segurança da
informação, é através dessas características que é possível preservar a
competitividade, o faturamento, a lucratividade, o atendimento aos requisitos
legais e a imagem da organização no mercado.
As organizações estão extremamente preocupadas com a segurança
nos sistemas de informação e redes de computadores, esses tipos de
ameaças à segurança podem acarretar em enormes prejuízos aos negócios,
são utilizadas variedades de fontes como, fraudes eletrônicas, espionagem,
sabotagem, entre outras. É necessário garantir a confiabilidade e segurança
de suas transações e combater os ataques causados por vírus, hackers, e
ataques de “denial of service1”, que estão se tornando cada vez mais
comuns, mais ambiciosos e incrivelmente mais sofisticados.
A dependência nos sistemas de informação e serviços significa que as organizações estão cada vez mais vulneráveis às ameaças de segurança. A interconexão de redes públicas e privadas e o compartilhamento de recursos de informação aumentam a dificuldade de se controlar o acesso. A tendência da computação distribuída dificulta a implementação de um controle de acesso centralizado realmente eficiente.(ISO/IEC 17799, 2001, p. 2).
Muitos sistemas de informação não foram projetados para garantir a
segurança, pelo motivo que esses sistemas foram desenvolvidos em uma
época em que não existia a interconexão das redes de computadores. A
segurança que pode ser alcançada por meios técnicos é limitada e convém
1 Denial of Service: ou DoS é uma técnica que consiste em dificultar ou impedir o bom funcionamento de um serviço de Internet, através de um grande volume de requisições de serviço para esse servidor.
14
que seja apoiada por uma gestão e procedimentos apropriados. É
necessário escolher controles que permitam a implantação da segurança,
mas para que os resultados sejam alcançados é necessária à participação
de todos os funcionários da organização, e possivelmente a participação dos
fornecedores, clientes e acionistas.
Os controles de segurança da informação são consideravelmente
mais baratos e mais eficientes se forem incorporados nos estágios do
projeto e da especificação dos requisitos.
1.3 – Como estabelecer os requisitos de segurança
Toda organização para obter segurança de suas informações deve
estabelecer requisitos, conforme a norma ISO/IEC 17799, pode ser dividido
em três fontes principais:
A primeira fonte é derivada da avaliação de risco dos ativos da organização. Através da avaliação de risco são identificadas as ameaças aos ativos, as vulnerabilidades e sua probabilidade de ocorrência é avaliada, bem como o impacto potencial é estimado. A segunda fonte é a legislação vigente, os estatutos, a regulamentação e as cláusulas contratuais que a organização, seus parceiros, contratados e prestadores de serviço têm que atender. A terceira fonte são as particularidades da organização, objetivos e requisitos para o processamento da informação que uma organização tem que se desenvolver para apoiar suas operações.(ISO/IEC 17799, 2001, p. 2).
1.4 – Avaliando os riscos de segurança
Os requisitos de segurança são identificados através de uma
avaliação sistemática dos riscos de segurança. Os gastos com os
controles necessitam ser balanceado de acordo com os danos
causados aos negócios gerados pelas potenciais falhas de
segurança. As técnicas de avaliação de riscos podem ser aplicadas
em toda a organização ou apenas em parte dela, assim como em
15
um sistema de informações individuais, componentes de um
sistema especifico ou serviços, quando for viável, prático e útil.
(ISO/IEC 17799, 2001, p. 2).
Na visão holística do risco é conceitual considerar os planos e
identificar os desafios e as características especificas do negócio são os
primeiros passos para modelar uma solução de segurança adequada.
Sendo assim, risco é a probabilidade de ameaças explorarem
vulnerabilidades, provocando perdas de confiabilidade, integridade e
disponibilidade, causando possivelmente, impactos para a organização.
Com os resultados obtidos na avaliação de risco é possível direcionar
e determinar as ações gerenciais e prioridades mais adequadas para um
gerenciamento de riscos da segurança da informação e a selecionar os
controles a serem implementados para a proteção contra estes riscos.
É necessário realizar análises críticas periódicas dos riscos de
segurança e dos controles implementados para:
a) considerar as mudanças nos requisitos de negócios e suas prioridades;
b) considerar novas ameaças e vulnerabilidades;
c) confirmar que os controles permanecem eficientes e adequados.
É de grande importância que as análises críticas sejam executadas
em diferentes níveis de profundidade, dependendo dos resultados obtidos
nas avaliações de riscos e das mudanças nos níveis de riscos é verificado
se é aceitável para o negócio.
A seqüência correta para a verificação das vulnerabilidades, deve ser
primeiro a avaliação de riscos em um nível mais geral, como uma forma de
priorizar recursos em áreas de alto risco, e então em um nível mais
detalhado, para solucionar riscos específicos.
16
1.5 – Controles para garantir a segurança da informação
Uma vez tendo sido identificado os requisitos de segurança, convêm
que os controles sejam selecionados e implementados para assegurar que
os riscos sejam reduzidos a um nível aceitável. Comumente esta atividade
faz parte de uma orientação obtida pela análise de riscos ou por sugestões
de normas específicas de segurança, como a ISO17799, o CobiT2, o
Technical Report 13335 ou, ainda, normas específicas como a de
cabeamento estruturado EIA/TIA586A.
O universo de controles aplicáveis é enorme, pois estamos falando de
mecanismos destinados à segurança física, tecnológica e humana. Se
pensarmos no “peopleware”, ou seja, no capital humano como um dos elos
mais críticos e relevantes para a redução dos riscos, temos alguns controles
como: Seminários de sensibilização, Cursos de capacitação, Campanhas de
divulgação da política de segurança, Crachás de identificação,
Procedimentos específicos para demissão e admissão de funcionários,
Termo de responsabilidade, Termo de confiabilidade, Softwares de auditoria
de acessos, Softwares de monitoramento e filtragem de conteúdo etc...
Muitos controles humanos citados interferem direta ou indiretamente
no ambiente físico, mas este deve receber a implementação de um outro
conjunto de mecanismos voltados a controlar o acesso e as condições de
ambientes físicos, sinalizando registrando, impedindo e autorizando acessos
e estados, dentre os quais podem ser utilizados: Roletas de controle de
acesso físico, Climatizadores de ambiente, Detectores de fumaça,
Acionadores de água para combater o incêndio, Extintores de incêndio,
Cabeamento estruturado, Salas-cofre, Dispositivos biométricos, Smartcards,
Certificados Digitais de Token, Circuitos internos de televisão, Alarmes e
sirenes, Dispositivos de proteção física de equipamentos, Nobreaks,
2 CobiT (Control Objectives for Information and related Tecnhology), modelo utilizado para verificar a governança de Tecnologia da Informação em uma organização.
17
Dispositivos de armazenamento de mídia magnética, Fragmentadores de
papel, Etc.
Assim como ocorre com os controles físicos e humanos, a lista dos
dispositivos aplicáveis aos ativos tecnológicos é extensa; afinal, além da
diversidade e heterogeneidade de tecnologias, ainda temos que considerar a
velocidade criativa do setor que nos apresenta uma nova ferramenta ou
equipamento praticamente a cada dia.Os instrumentos aplicáveis aos ativos
tecnológicos podem ser divididos em três famílias.
Autenticação e autorização
Destinados a suprir os processos de identificação de pessoas,
equipamentos, sistemas e agentes em geral, os mecanismos de
autenticação mostram-se fundamentais para os atuais padrões de
informação, automação e compartilhamento de informações. Sem identificar
a origem de um acesso e seu agente, torna-se praticamente inviável realizar
autorizações condizentes com os direitos de acesso, podendo levar a
empresa a compartilhar informações valiosas sem controle.
Combate a ataques e invasões
Destinados a suprir a infra-estrutura tecnológica com os dispositivos
de software e hardware de proteção, controle de acesso e conseqüente
combate a ataques e invasões, esta família de mecanismos tem papel
importante no modelo de gestão de segurança, à medida que as conexões
eletrônicas e tentativas de acesso indevido crescem exponencialmente.
Privacidade das comunicações
É inevitável falar de criptografia quando o assunto é privacidade das
comunicações. A criptografia é uma ciência que estuda os princípios, meios
18
e métodos para proteger a confiabilidade das informações através da
codificação ou processo de cifração e que permite a restauração da
informação original através do processo de decifração.Largamente aplicada
na comunicação de dados, esta ciência utiliza algoritmos matemáticos e da
criptoanálise, para conferir maior ou menor proteção de acordo com a sua
complexidade e estrutura de desenvolvimento. Quando vemos software de
criptografia de mensagem ou, por exemplo, aplicações que adotam
criptografia, estamos diante de situações em que a ciência foi empregada e
materializada em forma de programas de computador.
1.6 – Ponto de partida para a segurança da informação
Um número de controles pode ser considerado como princípios
básicos, fornecendo um bom ponto de partida para a implementação da
segurança da informação. São baseados tanto em requisitos legais como
nas melhores práticas de segurança da informação normalmente usadas.
Os controles considerados essenciais para uma organização, sob o
ponto de vista legal, incluem:
a) proteção de dados e privacidade de informações pessoais;
b) salvaguarda de registros organizacionais;
c) direitos de propriedade intelectual.
Os controles considerados como melhores práticas para a segurança
da informação incluem:
a) documento da política de segurança da informação;
b) definição das responsabilidades na segurança da informação;
c) educação e treinamento em segurança da informação;
d) relatório dos incidentes de segurança;
e) gestão da continuidade do negócio.
19
Estes controles se aplicam para a maioria dos ambientes
corporativos, seguindo a Norma ISO/IEC 17799, percebemos que somente é
possível utilizar esses controles, se determinarmos anteriormente a seleção
dos controles (item 5), onde coletando as informações através da avaliação
de riscos, é possível verificar as vulnerabilidades e
garantir sua correção.
1.7 – Fatores críticos de sucesso para a implementação
A experiência tem mostrado que os seguintes fatores são geralmente
críticos para o sucesso da implementação da segurança da informação
dentro de uma organização:
a) política de segurança, objetivos e atividades, que reflitam os
objetivos do negócio;
b) um enfoque para a implementação da segurança que seja
consistente com a cultura organizacional;
c) comprometimento e apoio visível da direção;
d) um bom entendimento dos requisitos de segurança, avaliação de
risco e gerenciamento de risco;
e) divulgação eficiente da segurança para todos os gestores e
funcionários;
f) distribuição das diretrizes sobre as normas e política de segurança
da informação para todos os funcionários e fornecedores;
g) proporcionar educação e treinamento adequados;
h) um abrangente e balanceado sistema de medição, que é usado
para avaliar o desempenho da gestão de segurança da informação e
obtenção de sugestões para a melhoria.
20
CAPÍTULO II
POLÍTICA DE SEGURANÇA E NORMA ISO 17799 A ISO 17799 estabelece uma base comum para o
desenvolvimento de normas de segurança
organizacional e das práticas efetivas
da gestão da segurança.
(Alberto Bastos – Janeiro 2002).
21
POLÍTICA DE SEGURANÇA E NORMA ISO 17799 2.1 – Histórico A evolução tecnológica proporciona para as organizações maiores
negócios com seus clientes, fornecedores e colaboradores, onde a
conectividade tem um papel fundamental para alcançar o sucesso.
Com o crescimento do sistema de informações colaborativas, é cada
vez mais crucial manter essas informações seguras e suas fontes confiáveis.
Mas para que essas informações sejam armazenadas e transmitidas de uma
maneira segura, é preciso que sejam estabelecidos controles que garantam
a qualidade e integridade da informação.
Por esse motivo várias organizações começaram a se preocupar com
a segurança da informação, mas não possuíam nenhum tipo de metodologia
e controles que atendessem suas necessidades, pelo motivo de que cada
organização trabalha de uma maneira e suas prioridades entre os níveis de
segurança podem variar de uma organização para a outra.
Com isso a International Organization for Standardization (ISO), onde
seu objetivo é criar normas e padrões universalmente aceitos, criou a Norma
ISO 17799, sendo no Brasil controlada pela Associação Brasileira de Norma
Técnicas (ABNT), como NBR ISO/IEC 17799, que tem como nome
Tecnologia da Informação – Código de prática para a gestão da segurança
da informação, onde proporciona para as organizações os controles
necessários para a segurança da informação.
2.2 – A NBR ISO/IEC 17799 A NBR (Norma Brasileira) ISO/IEC 17799 - Tecnologia da Informação
– Código de prática para a gestão da segurança da informação, é originada
da Norma Britânica BS7799 Parte 13, desenvolvida pela British Standards
3 É a primeira parte da norma, já homologada. Contém uma introdução, definição de extensão e condições principais de uso da norma. Disponibiliza 148 controles divididos em dez partes distintas. É planejado como um documento de referência para implementar "boas práticas" de segurança na empresa.
22
Institute (BSI), com inicio em 1995, e depois padronizada pela International
Organization for Standardization (ISO) em 2000, como ISO/IEC 17799.
Esta norma tem como objetivo fornecer recomendações para a gestão
da segurança da informação para uso dos departamentos responsáveis pela
introdução, implementação ou manutenção da segurança em suas
organizações. Proporcionando uma base comum para o desenvolvimento
das normas de segurança organizacional e das práticas efetivas de gestão
da segurança, e prover confiança nos relacionamentos entre as
organizações. É importante observar que essas recomendações descritas na
norma estejam de acordo com a legislação e regulamentação vigente.
A NBR ISO/IEC 17799, abrange ao todo 10 domínios, reunidos em 36
grupos que se totalizam em 127 controles, sendo seus domínios, a Política
de Segurança, a Segurança Organizacional, a Classificação e Controle dos
Ativos de Informação, a Segurança de Pessoas, a Segurança Física e do
Ambiente, o Gerenciamento das Operações e Comunicações, o Controle de
Acesso, o Desenvolvimento e Manutenção de Sistemas, a Gestão da
Continuidade do Negócio e a Conformidade.
2.3 – Framework e controles de segurança da Norma BS7799 O Framework e os controles de segurança da informação estão
descritos na parte 2 da Norma Britânica BS77994, onde estabelece o
Sistema de Gestão de Segurança da Informação (SGSI), que somados ao
conjunto de controles sugeridos na parte 1 da norma, torna possível a
certificação.
As empresas podem conduzir as ações de segurança sob a orientação de uma base comum proposta pela norma, além de se prepararem indiretamente para o reconhecimento de conformidade
4 A segunda parte da norma, ainda não homologada, cujo objetivo é proporcionar uma base para gerenciar a segurança da informação dos sistemas das empresas.
23
aferido por órgãos credenciados. A certificação da segurança, similar aos reflexos obtidos pela conquista da certificação de qualidade ISO9000, promove melhorias nas relações business-to- business e business-to-consumer, além de adicionar valor à empresa por representar um diferencial competitivo e uma demonstração pública do compromisso com a segurança das informações de seus clientes. As seis fases principais para que se possa alcançar a certificação, se iniciam na: - Definição das diretrizes da política de segurança - Definição do SGSI – Sistema de Gestão de Segurança da Informação - Execução de análise de riscos - Definição de uma estrutura para gerenciamento de risco - Seleção dos objetos de controles e os controles aplicáveis - Preparação da declaração de aplicabilidade dos controles.(SÊMOLA, 2003, p.141).
2.4 – Política de segurança da informação O objetivo da política de segurança da informação é prover à direção
uma orientação e apoio para a segurança da informação. A política de
segurança representa a formalização das ações que devem ser realizadas
para garantir a segurança corporativa. A criação, implementação e
manutenção de uma política de segurança consistem em esforço,
participação e colaboração de todas áreas da empresa. A política de
segurança deve seguir controles internacionais, de modo a facilitar a
auditoria e permitindo que a empresa esteja de acordo com os órgãos que
regem o controle de qualidade.
Segundo a NBR ISO/IEC 17799 (2001, p. 4) “Convém que a direção
estabeleça uma política clara e demonstre apoio e comprometimento com a
segurança da informação através da emissão e manutenção de uma política
de segurança da informação para toda a organização”.
Para que seja possível a implantação da política é necessário que a
alta direção tenha aprovado, comunicado e publicado, de maneira adequada
para os funcionários. É necessário que a alta direção esteja sempre
preocupada com o processo e estabeleça as linhas mestras para a gestão
24
da segurança da informação. Onde devem ser estabelecidas no mínimo as
seguintes orientações:
a) Definição de segurança da informação, resumo das metas e
escopo e a importância da segurança como um mecanismo que habilita o
compartilhamento da informação;
b) Declaração do comprometimento da alta direção, apoiando as
metas e princípios da segurança da informação;
c) Breve explanação das políticas, princípios, padrões, e requisitos de
conformidade de importância específica para a organização, por exemplo:
1) Conformidade com a legislação e cláusulas contratuais;
2) Requisitos na educação de segurança;
3) Prevenção e detecção de vírus e software maliciosos;
4) Gestão da continuidade no negócio;
5) Conseqüências das violações na política de segurança da
informação;
d) Definição das responsabilidades gerais e específicas na gestão da
segurança da informação, incluindo o registro dos incidentes de segurança;
e) Referencias à documentação que possam apoiar a política, por
exemplo, políticas e procedimentos de segurança mais detalhados de
sistemas de informação específicos ou regras de segurança que convém
que os usuários sigam. (ISO/IEC 17799, 2001, p. 4).
Apesar de a maioria dos executivos das Empresas estarem
conscientes da necessidade da criação e cumprimento de uma Política de
Segurança da Informação, faz-se necessário um esforço grande para que as
Unidades de Segurança possam lançar mão dos recursos necessários para
esta criação e manutenção. Portanto, cumpre identificar as soluções
existentes voltadas a esta necessidade.
25
Uma política de segurança é um conjunto de regras e práticas que
regulam como uma organização gerencia, protege e distribui suas
informações e recursos.
A política de segurança deve incluir regras detalhadas, definindo
como as informações e os recursos da organização devem ser manipulados.
Deve definir, também, o que é e o que não é permitido em termos de
segurança, durante a operação de um dado sistema.
Existem dois tipos de políticas:
Política baseada em regras: as regras deste tipo de política utilizam
os rótulos dos recursos e processos para determinar o tipo de acesso que
pode ser efetuado. No caso de uma rede de computadores, os dispositivos
que implementam os canais de comunicação, quando é permitido transmitir
dados nesses canais, etc.
Política baseada em segurança: o objetivo deste tipo de política é
permitir a implementação de um esquema de controle de acesso que
possibilite especificar o que cada indivíduo pode ler, modificar ou usar para
desempenhar suas funções na organização.
26
CAPÍTULO III
PESQUISA DE SEGURANÇA DA INFORMAÇÃO
Um dos mais importantes resultados desta pesquisa é o que
trata da adequação das equipes de segurança das
empresas com legislação, regulamentação
e normas.
(Fernando Nery – Outubro 2003).
27
PESQUISA DE SEGURANÇA DA INFORMAÇÃO
3.1 – Introdução
A empresa Módulo Security apresentou em outubro de 2003 a 9ª
edição da Pesquisa Nacional de Segurança da Informação. Este estudo, é
considerado um dos importantes norteadores do segmento no Brasil, e
apresentou um panorama das principais tendências do mercado nacional,
indicadores e melhores práticas.
Os resultados reforçaram a importância de capacitação e
conscientização como pontos fundamentais para proteção das informações
corporativas.
3.2 – Metodologia
A coleta de dados contou com respostas presenciais e on–line. A
pesquisa quantitativa teve uma amostra de 682 questionários, coletados
entre março e agosto de 2003, junto a profissionais ligados às áreas de
tecnologia e segurança da Informação.
3.3 – Perfil da empresas pesquisadas
28
3.4 – Adequação a legislações, normas e regulamentações
29
3.5 – Principais ameaças à segurança da informação
3.6 – Incidência de ataques e invasões
3.7 – Perdas financeiras por ataques ou invasões
30
3.8 – Principais responsáveis por ataques e invasões
3.9 – Principais pontos de invasão
3.10 – Existência de plano de ação para invasões e ataques
31
3.11 – Principais obstáculos para implementação da segurança
3.12 – Existência de política de segurança
3.13 – Campanha interna de divulgação da política de segurança
32
3.14 – Existência de plano de continuidade de negócios
3.15 – Top 10 medidas de segurança já implementadas
3.16 – Responsáveis pela segurança da informação nas empresas
33
3.17 – Número de profissionais dedicados à segurança
3.18 – Interação no dia-a-dia com a segurança da informação
3.19 – Forma de acesso remoto
34
3.20 – Principais aplicações para Internet
3.21 – Tendência dos investimentos em segurança
3.22 – Orçamento de TI destinado à segurança da informação
35
3.23 – Previsão de top 10 medidas para próximo ano
3.24 – Resumo dos principais destaques da pesquisa
Ü Para 78% dos entrevistados, as ameaças, os riscos e os ataques
deverão aumentar em 2004/2005.
Ü 42% das empresas tiveram problemas com a Segurança da
Informação nos seis meses anteriores à pesquisa.
Ü 35% das empresas reconhecem que tiveram perdas financeiras.
Já o percentual de empresas que não conseguiram quantificar
essas perdas diminuiu de 72%, em 2002, para 65%, em 2003.
Ü Vírus (66%), funcionários insatisfeitos (53%), divulgação de
senhas (51%), acessos indevidos (49%) e vazamento de
informações (47%) foram apontados como as cinco principais
ameaças à segurança das informações nas empresas.
Ü O percentual de empresas que afirmam ter sofrido ataques e
invasões subiu de 43%, em 2002, para 77%, em 2003.
36
Ü 32% dos entrevistados apontam os hackers como os principais
responsáveis por ataques e invasões de sistemas corporativos.
Ü 26% das empresas não conseguem sequer identificar os
responsáveis pelos ataques.
Ü 48% não possuem nenhum plano de ação formalizado em caso de
invasões e ataques.
Ü 60% indicam a internet como principal ponto de invasão em seus
sistemas.
Ü 58% dos entrevistados sentem-se inseguros para comprar em
sites de comércio eletrônico por causa da sensação de falta de
segurança.
Ü A falta de consciência dos executivos é apontada por 23% dos
entrevistados como o principal obstáculo para implementação da
segurança.
Ü 63,5% dos entrevistados adotam a ISO 17799 como a principal
norma que norteia suas empresas.
Ü Política de Segurança formalizada já é realidade em 68% das
organizações.
Ü Apenas 21% das empresas afirmaram possuir um Plano de
Continuidade de Negócios (PCN) atualizado e testado.
Ü 60% das empresas fazem Planejamento de Segurança, sendo que
27% possuem Planejamento para até 1 ano.
37
Ü A área de Tecnologia (49,5%) continua sendo a principal
responsável pelo gerenciamento da Segurança da Informação nas
empresas, seguida pela área específica, Security Office, com
25,5%.
Ü Pelo terceiro ano consecutivo, antivírus (90%), sistemas de backup
(76,5%) e firewall (75,5%) foram apontados como as três medidas
de segurança mais implementadas nas empresas.
Ü 60% afirmam que os investimentos de suas empresas em
Segurança para 2004 vão aumentar.
Ü Em relação ao ano anterior, a pesquisa de 2003 apresenta uma
novidade: 29% dos entrevistados apontaram as fraudes por e-mail
como uma das principais ameaças. Para se ter uma idéia, esse
tipo de ameaça foi um dos incidentes mais registrados pelos
principais grupos de resposta a incidentes de segurança do país
nos últimos meses.
38
ANÁLISES E CONCLUSÕES
Na elaboração desse trabalho constatou-se que a Segurança de
Informações é o elemento chave dentro da organização: envolve aspectos
técnicos, humanos e organizacionais, sendo fundamental a definição e
existência de uma Política para efetiva proteção das informações. O objetivo
da segurança da informação é proteger a empresa contra riscos, apoiada em
um Plano de Cultura de Segurança e uma estrutura de Planejamento de
Segurança, onde se podem identificar as vulnerabilidades e ações pró-ativas
para a proteção das informações.
A pesquisa evidenciou que, na era do conhecimento, a informação é
considerada um dos principais patrimônios de grande parte das
organizações, devendo ser tratada como tal, e protegida nos seus aspectos
de disponibilidade, integridade, confidencialidade e autenticidade. Segurança
é responsabilidade e dever de todos e, como tal, deve ser de conhecimento
de cada profissional da empresa o cumprimento e conscientização de
medidas de proteção dos recursos da informação, pois se trata de questão
de alta prioridade.
A Segurança da Informação tornou-se fator prioritário na tomada de
decisões e nos investimentos das organizações no país. Essa afirmação é
uma das principais conclusões apontadas pelos índices obtidos pela 9ª
Pesquisa Nacional de Segurança da Informação.
Esses dados ficam evidentes quando observamos que 73% das
empresas destinam orçamento específico para área de TI e que, deste total,
28,5% alocam mais de 5% para área de Segurança. Além disso, 60% dos
entrevistados acreditam que os investimentos de suas empresas para 2004
/2005 vão aumentar.
39
A pesquisa traz ainda importantes avanços relacionados com os três
principais aspectos dentro de um projeto de Segurança: Tecnologia
(recursos físicos e lógicos), Pessoas (cultura, capacitação e
conscientização) e Processos (metodologia, normas e procedimentos).
Em termos de Tecnologia, constata-se a consolidação das soluções
técnicas e pontuais (antivírus e firewall, por exemplo) como as principais
medidas de segurança implementadas. Além disso, os profissionais
apontaram como satisfatória a oferta dessas ferramentas e soluções no
mercado.
Em relação a Processos, é preciso ressaltar que as novas exigências
legais (como o Novo Código Civil, a regulamentação Sarbanes e Oxley,
Publicações do Conselho Federal de Medicina, entre outros) tornaram a
Segurança da Informação prioridade entre os requisitos de negócios de
executivos e empresas.
Ainda nessa área, a 9ª Pesquisa revela o fortalecimento da NBR
ISO/IEC 17799 como a principal norma para implementação da Gestão em
Segurança da Informação, complementando outras normas, legislações e
regulamentações que já vinham sendo utilizadas pelas organizações.
Se analisarmos as principais ameaças (vírus, divulgação de senhas e
vazamento de informações) e obstáculos para implementação da Segurança
da Informação (falta de consciência de executivos e usuários) apontados
neste ano, verifica-se a necessidade de um contínuo investimento em
programas de formação, capacitação e conscientização.
O fator positivo é que as organizações já enxergam a necessidade de
reverter esse cenário: Política de Segurança e Capacitação Técnica estão
entre as cinco principais medidas de Segurança a serem implementadas em
2004/2005.
40
Percebe-se que a tarefa de implementação das principais práticas de
segurança da informação na corporação não é uma tarefa fácil, mesmo
quando se trata de uma empresa de pequeno porte. Envolve fatores
objetivos e subjetivos que, ao se somarem, representam um caso
diferenciado, impossível de ser traduzido em uma fórmula. Todavia, o ato de
uma conscientização ampla da necessidade da adoção das práticas de
segurança já é um grande passo tomado pela organização.
Sempre lembrando que o melhor caminho não é a implantação
compulsória, e sim a disseminação da cultura entre cada um dos ambientes
da empresa. Afinal, nem todos os colaboradores e funcionários entendem a
necessidade de mecanismos de controle e de gerenciamento da segurança
da informação.
Esse foi o objetivo principal deste trabalho: demonstrar que a
Segurança da informação deve ser a mobilização de interesses comuns,
coletivos e difusos em prol da defesa e fortalecimento do patrimônio
intangível – a informação -, um dos bens mais valiosos de qualquer
organização.
41
BIBLIOGRAFIA CONSULTADA
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBRISO/IEC17799:
Tecnologia da informação - Código de prática para a gestão da
segurança da informação. Rio de Janeiro, 2001. 56p.
COLTRO, RENATA. Segurança: prioridade coorporativa. Computerworld,
São Paulo, p. 26, 13 mar 2002.
MÓDULO SECURITY SOLUTIONS S/A. 9ª PESQUISA nacional sobre
segurança da informação. 2003. Disponível em:
<http://www.modulo.com.br>. Acesso em: 13 fev. 2005.
MOREIRA, STRINGASCI NILTON. Segurança mínima: uma visão
coorporativa da segurança de informações. Rio de Janeiro: Axcel Books,
2001. 240p.
CARUSO, CARLOS A.A.; STEFFEN, FLÁVIO DENY. Segurança em
informática e de informações. São Paulo: SENAC, 1999. 366p.
SÊMOLA, MARCOS. Gestão da segurança da informação: uma visão
executiva. Rio de Janeiro: Campus, 2003. 160p.
GIL, ANTÔNIO DE LOUREIRO. Auditoria de computadores. São Paulo:
Atlas, 2000. 236p.
SILVA JÚNIOR, JOSÉ BARBOSA . Auditoria em ambiente de Internet. São
Paulo : Atlas, 2001. 178p.
DE SORDI, J.O. Tecnologia da Informação Aplicada aos Negócios. 1.
Ed. São Paulo: Atlas, 2003. 185p.
42
ÍNDICE
INTRODUÇÃO.......................................................................................................... 7
CAPÍTULO I - SEGURANÇA DA INFORMAÇÃO........................................... 10
1.1 – Conceitos de segurança da informação..................................................... 11 1.2 – Por que é necessária a segurança da informação..................................... 13 1.3 – Como estabelecer os requisitos de segurança........................................... 14 1.4 – Avaliando os riscos de segurança .............................................................. 14 1.5 – Controles para garantir a segurança da informação .............................. 16 1.6 – Ponto de partida para a segurança da informação.................................. 18 1.7 – Fatores críticos de sucesso para a implementação................................... 19
CAPÍTULO II - POLÍTICA DE SEGURANÇA E NORMA ISO 17799 .......... 20
2.1 – Histórico....................................................................................................... 21 2.2 – A NBR ISO/IEC 17799 ............................................................................... 21 2.3 – Framework e controles de segurança da Norma BS7799 ....................... 22 2.4 – Política de segurança da informação ........................................................ 23
CAPÍTULO III - PESQUISA DE SEGURANÇA DA INFORMAÇÃO ............ 26
3.1 – Introdução ................................................................................................... 27 3.2 – Metodologia ................................................................................................. 27 3.3 – Perfil da empresas pesquisadas ................................................................ 27 3.4 – Adequação a legislações, normas e regulamentações .............................. 28 3.5 – Principais ameaças à segurança da informação....................................... 29 3.6 – Incidência de ataques e invasões................................................................ 29 3.7 – Perdas financeiras por ataques ou invasões ............................................. 29 3.8 – Principais responsáveis por ataques e invasões ....................................... 30 3.9 – Principais pontos de invasão ...................................................................... 30 3.10 – Existência de plano de ação para invasões e ataques ............................ 30 3.11 – Principais obstáculos para implementação da segurança..................... 31 3.12 – Existência de política de segurança ......................................................... 31 3.13 – Campanha interna de divulgação da política de segurança ................. 31 3.14 – Existência de plano de continuidade de negócios................................... 32 3.15 – Top 10 medidas de segurança já implementadas................................... 32 3.16 – Responsáveis pela segurança da informação nas empresas.................. 32 3.17 – Número de profissionais dedicados à segurança.................................... 33 3.18 – Interação no dia-a-dia com a segurança da informação ....................... 33 3.19 – Forma de acesso remoto ........................................................................... 33 3.20 – Principais aplicações para Internet......................................................... 34 3.21 – Tendência dos investimentos em segurança ........................................... 34 3.22 – Orçamento de TI destinado à segurança da informação ...................... 34 3.23 – Previsão de top 10 medidas para próximo ano ...................................... 35 3.24 – Resumo dos principais destaques da pesquisa ....................................... 35
ANÁLISES E CONCLUSÕES ............................................................................... 38
BIBLIOGRAFIA CONSULTADA ........................................................................ 41
ÍNDICE..................................................................................................................... 42
FOLHA DE AVALIAÇÃO..................................................................................... 43
43
FOLHA DE AVALIAÇÃO
UNIVERSIDADE CANDIDO MENDES
PÓS-GRADUAÇÃO “LATO SENSU”
PROJETO A VEZ DO MESTRE
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO,
IMPORTANTE INSTRUMENTO DA
GESTÃO CORPORATIVA
Por : Paulo Eduardo Rangel
Data da entrega: 31 / 03 / 2005
Avaliado por: Conceito:
Avaliado por: Conceito:
Avaliado por: Conceito:
Conceito Final: