Escolar Documentos
Profissional Documentos
Cultura Documentos
Apostila LAUREANO
Apostila LAUREANO
s
ic
a
T
e
c
n
o
l
g
i
c
a
H
u
m
a
n
a
T
e
c
n
o
l
o
g
i
a
s
F
s
i
c
a
s
H
u
m
a
n
a
s
Negcio
Processos
C
i
c
l
o
d
e
V
i
d
a
Manuseio
Transporte
D
e
s
c
a
r
t
e
A
r
m
a
z
e
n
a
m
e
n
t
o
C
o
n
f
i
d
e
n
c
i
a
l
i
d
a
d
e
Disponibilidade
Informao
Vulnerabilidades
Ativos
Segurana
Legalidade
Autenticidade
A
m
e
a
a
s
A
m
e
a
a
s
Planejamento o fator crtico de sucesso para a iniciativa de gerir a
segurana da informao e o Plano Diretor de Segurana (similar a um Plano
Diretor de Informtica) justamente o elemento especfico para este fim. Este
plano que ir apontar o caminho e os passos (atividades) que iro apontar e
suprir as necessidades de segurana do negcio. Deve ser construdo tendo o
envolvimento de todos os nveis da empresa. Veja a prxima figura:
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
53
Planejar Analisar Implementar Monitorar
Comit Executivo de Segurana da Informao
Security Officer
Percepo de
mudanas
no negcio
Sistema de Gesto de Segurana da Informao
Planejar
Analisar
Monitorar
Implementar
Planejar
Planejar
Analisar
Monitorar
Implementar
Planejar
Planejar
Analisar
Monitorar
Implementar
Planejar
Planejar
Analisar
Monitorar
Implementar
Planejar
Percepo de
mudanas nos
indicadores dos
sistema de
gesto
Percepo de
mudanas
fsicas,
tecnolgicas e
humanas
Nvel
Executivo
Nvel
Ttico
Nvel
Operacional
Ala de re-alimentao do processo de segurana
A prxima figura ilustra as fases do PDCA ao criar-se uma Plano Diretor
de Segurana.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
54
Planejar
Analisar Monitorar
Implementar
Plano
Diretor de
Segurana
Percepo de
mudanas
fsicas,
tecnolgicas e
humanas
realimentao
Situao
Atual
Incio/startup
realimentao
realimentao
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
55
CAPTULO VII
Polticas de Segurana
9
Existe uma antiga piada, contada mais ou menos assim:
Um guarda de segurana que trabalha no turno da noite em uma
fbrica v um homem baixinho sair do prdio, empurrando um
carrinho de mo vazio. O guarda, com uma suspeita repentina,
pra o homem, que pergunta por que est sendo parado. Apenas
quero ter certeza de que voc no est roubando nada, diz o
guarda, forma grosseira. Confira tudo o que quiser, responde o
homem, e o guarda procura, mas no encontra nada suspeito e
permite que o homem v embora. Na noite seguinte, acontece
mesma coisa. Isso se repete por algumas semanas e ento o
baixinho no aparece mais no porto.
Passam vinte anos e o guarda, j aposentado, est
sentado em um bar, quando o baixinho entra. Reconhecendo-o, o
guarda aposentado se aproxima, explica quem e oferece pagar
uma bebida, se o baixinho responder a uma pergunta. O homem
concorda e o guarda diz: Tenho certeza de que voc estava
levando algo, mas nunca consegui descobrir o que voc estava
roubando. O baixinho pegou a bebida e, enquanto levava o copo
boca, disse: Eu estava roubando carrinhos de mo.
A idia dessa piada sugere, claro, que as medidas de segurana nada
representaro se os guardas no souberem o que devero proteger.
Experimente perguntar ao executivo de uma empresa quais so os
objetivos das equipes de segurana e provavelmente receber respostas
parecidas com so eles que nos mantm seguros l. Se pressionadas,
muitas pessoas podero ir um pouco adiante, descrevendo o lado da
segurana fsica: no permitir a entrada de visitas sem autorizao, verificar
se esto trancadas as portas que devem permanecer trancadas e ajudar em
qualquer emergncia. bem pouco provvel que as mesmas pessoas
compreendam para que existe a equipe de segurana dos computadores.
Na melhor das hipteses, provavelmente voc ouvir manter os hackers
fora de nossa rede. Cabe equipe de segurana da rede partir dessa
descrio vaga e mostrar que seu trabalho mais amplo, at o ponto em
que possa fixar prioridades e merecer estar includo nos oramentos.
Se voc perguntar a profissionais de segurana o que poder fazer de
mais importante para proteger sua rede, eles respondero, sem hesitar, que
escrever uma boa poltica de segurana.
9
Captulo baseado em (Wadlow, 2000)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
56
Definindo um Poltica de Segurana de Informaes
A Poltica de Segurana apenas a formalizao dos anseios da
empresa quanto proteo das informaes (Abreu, 2002).
A poltica de segurana um mecanismo preventivo de proteo dos
dados e processos importantes de uma organizao que define um padro
de segurana a ser seguido pelo corpo tcnico e gerencial e pelos usurios,
internos ou externos. Pode ser usada para definir as interfaces entre
usurios, fornecedores e parceiros e para medir a qualidade e a segurana
dos sistemas atuais (Dias, 2000).
Em um pas, temos a legislao que deve ser seguida para que
tenhamos um padro de conduta considerado adequado s necessidades
da nao para garantia de seu progresso e harmonia. No havia como ser
diferente em uma empresa. Nesta, precisamos definir padres de conduta
para garantir o sucesso do negcio.
Ainda fazendo um paralelo com a legislao, temos nesta: leis, decretos,
medidas provisrias entre outras.
Uma poltica de segurana atende a vrios propsitos:
1 Descreve o que est sendo protegido e por qu;
2 Define prioridades sobre o que precisa ser protegido em primeiro
lugar e com qual custo;
3 Permite estabelecer um acordo explcito com vrias partes da
empresa em relao ao valor da segurana;
4 Fornece ao departamento de segurana um motivo vlido para dizer
no quando necessrio;
5 Proporciona ao departamento de segurana a autoridade necessria
para sustentar o no;
6 Impede que o departamento de segurana tenha um desempenho
ftil.
A poltica de segurana de informaes deve estabelecer princpios
institucionais de como a organizao ir proteger, controlar e monitorar seus
recursos computacionais e, conseqentemente, as informaes por eles
manipuladas. importante que a poltica estabelea ainda as
responsabilidades das funes relacionadas com a segurana e discrimine as
principais ameaas, riscos e impactos envolvidos (Dias, 2000).
A poltica de segurana, deve ir alm dos aspectos relacionados com
sistemas de informao ou recursos computacionais, ela deve estar integrada
com as polticas institucionais da empresa, metas de negcio e ao
planejamento estratgico da empresa. A prxima figura mostra o
relacionamento da poltica de segurana de informaes com a estratgia da
organizao, o plano estratgico de informtica e os diversos projetos
relacionados (Dias, 2000).
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
57
Estratgia Geral da Organizao
Plano estratgico
de informtica
Poltica de
segurana
de informaes
Planos de desenvolvimento de sistemas
Plano de continuidade de servios
Planejamento de capacidade
Outros projetos
Estabelece
Especifica Gera impactos
sobre
Define
Contribui para
o atingimento da
Armadilhas
Se uma boa poltica de segurana o recurso mais importante que se
pode criar para tornar uma rede segura, por que a maioria das empresas
considera to difcil criar uma poltica eficiente? Existem vrias razes
principais.
Prioridade: A poltica importante, mas hoje tarde preciso que algum
coloque o servidor da Web on-line. Se for necessrio que as pessoas
deixem de cuidar do que consideram urgentes e usem o tempo para
concordar com a poltica de segurana, ser muito difcil ter sucesso.
Poltica interna: Em qualquer empresa, grande ou pequena, vrios fatores
internos afetam qualquer deciso ou prtica.
Propriedade: De uma maneira bastante estranha, em algumas empresas
existe uma briga entre vrios grupos que desejam ser os donos da poltica
e, em outras empresas, a briga ocorre entre vrios grupos que
explicitamente no querem ser os responsveis pela poltica.
Dificuldade para escrever: Uma boa poltica um documento difcil de se
organizar de maneira precisa, principalmente quando necessrio que seja
abrangente. No possvel prever todos os casos e todos os detalhes.
Algumas sugestes para ajudar a solucionar esses problemas:
Uma boa poltica hoje melhor do que uma excelente poltica no prximo
ano;
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
58
Uma poltica fraca, mas bem-distribuda, melhor do que uma poltica forte
que ningum leu;
Uma poltica simples e facilmente compreendida melhor do que uma
poltica confusa e complicada que ningum se d o trabalho de ler;
Uma poltica cujos detalhes esto ligeiramente errados muito melhor do
que uma poltica sem quaisquer detalhes;
Uma poltica dinmica que atualizada constantemente melhor do que
uma poltica que se torna obsoleta com o passar do tempo;
Costuma ser melhor se desculpar do que pedir permisso.
Como organizar um golpe
Existe uma forma de estabelecer uma poltica decente em sua empresa.
No perfeita nem sem riscos, mas se conseguir administr-la, voc
economizar muito tempo e dificuldades. O processo o seguinte:
1. Escreva uma poltica de segurana para sua empresa. No inclua
nada especfico. Afirme generalidades. Essa poltica no dever ocupar
mais de cinco pginas. Nem sero necessrios mais de dois dias para
escrev-la. Pense em escrev-la durante o fim de semana, assim no
ser perturbado. No pea ajuda. Faa de acordo com suas prprias
idias. No tente torn-la perfeita, procure apenas reunir alguma idias
essenciais. No necessrio que esteja completa e no precisa ser de
uma clareza absoluta.
2. Descubra trs pessoas dispostas a fazer parte do comit de
poltica de segurana. A tarefa dessas pessoas ser criar regras e
emendas para a poltica, sem modific-la. As pessoas do comit
devero estar interessadas na existncia de uma poltica de segurana,
pertencer a partes diferentes da empresa, se possvel, e estar dispostas
a se encontrarem rapidamente uma ou duas vezes por trimestre.
Deixe claro que a aplicao da poltica e a soluo de qualquer
problema relacionado so sua responsabilidade e no delas. O trabalho
do comit ser o de legisladores e no de executores.
3. Crie um site interno sobre a poltica e inclua uma pgina para
entrar em contato com o comit. medida que as emendas forem
escritas e aprovadas, acrescente-as ao site to depressa quanto
possvel.
4. Trate a poltica e as emendas como regras absolutas com fora de
lei. No faa nada que possa violar a poltica e no permita que ocorram
violaes. Em algum momento, a administrao notar o que est
acontecendo. Permita e incentive que administrao se envolva no
processo tanto quanto possvel, a no ser que o pessoal da
administrao pretenda simplesmente eliminar a sua poltica e deix-lo
com nada. Oriente-os para a criao de uma poltica nova e melhor. No
ser possvel engaj-los a menos que realmente o queiram e este um
mtodo excelente para envolv-los. Se eles continuarem interessados,
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
59
voc ser capaz de estabelecer uma poltica com o aval da
administrao. Se eles passarem a se ocupar de outras coisas, sua
poltica seguir no processo em andamento.
5. Se algum tiver algum problema com a poltica, faa com que a
pessoa proponha uma emenda. A emenda poder ter apenas uma
pgina. Dever ser to genrica quanto possvel. Para se tornar uma
emenda, ser necessrio que dois dos trs (ou mais) membros do
comit de poltica concordem.
6. Programe um encontro regular para consolidar a poltica e as
emendas. Esse encontro dever acontecer uma vez por ano e dever
envolver voc e o comit de poltica de segurana. O propsito desse
encontro , considerando a poltica e possveis emendas, combin-los
em uma nova declarao de poltica de cinco pginas. Incentive o
prprio comit a redigi-la, se preferir, mas provavelmente o melhor
procedimento ser dedicar um fim de semana para escrever outro
rascunho da poltica, incluindo todas as emendas.
7. Repita o processo novamente. (item 3 em diante). Exponha a poltica
no site, trate-a como uma lei, envolva as pessoas da administrao, se
desejarem ser envolvidas, acrescente emendas conforme seja
necessrio e revise tudo a cada ano. Continue repetindo esse processo,
enquanto for possvel.
Divises da Poltica
Podemos dividir essa documentao em trs tipos de texto a serem
elaborados. So eles (Abreu, 2002):
Texto em nvel estratgico
H situaes no dia-a-dia em que precisamos tomar decises. E, de vez
em quando, o bom senso a ferramenta usada pelos profissionais para a
tomada de uma deciso. Sim, porque se nunca ningum passou pela situao
antes e no h nenhuma orientao da empresa para o que fazer quando ela
acontece, o talento o responsvel pela definio entre a genialidade da
resoluo do problema ou a loucura de quem tomou a deciso errada.
Vamos a um exemplo:
"A segurana da informao deve ser estabelecida desde que no
inviabilize o negcio da instituio".
A frase no disse muito para aqueles que esto procurando "po, po;
queijo, queijo", mas, em compensao, disse tudo para aquele indivduo que se
encontra na seguinte situao:
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
60
O telefone toca:
- Preciso que voc libere uma regra do firewall para que eu possa
realizar uma operao.
Se ele liberar o acesso ao equipamento, pode ser punido porque tomou
uma deciso que, para todos, obviamente errada. Todos sabem que liberar
aquele acesso abrir uma vulnerabilidade no sistema, mas, se ele no liberar
esse acesso, a empresa deixar de executar uma operao crucial para a
continuidade de um projeto que precisa necessariamente ser terminado hoje.
O que fazer ?
Lendo a frase escrita acima, o funcionrio pode tomar sua deciso
(liberar o acesso, apesar de expor momentaneamente a empresa) com a
conscincia limpa, sabendo que ser parabenizado pela sua competncia e
alinhamento com os valores da empresa. Ento, chegamos palavra chave
quando falamos em nvel estratgico: valores, ou seja, um RUMO a ser
seguido.
Texto em nvel ttico
Analisemos o comentrio:
Minha empresa tem filiais em 3 cidades brasileiras, e as redes desses
trs locais so completamente distintas em funcionamento e padres. Uma vez
precisamos levantar um histrico de um projeto interno, e em uma das filiais
esse histrico no existia. Se fosse na minha filial, existiria. Por que a
diferena?
Simples. Ningum disse ao administrador do banco de dados daquela
filial que a cpia de segurana do banco precisava ser armazenada por 6
meses. O funcionrio daquela cidade achou que era suficiente guardar as fitas
durante 1 ms. Aps esse perodo, as fitas eram reutilizadas para novas cpias
de segurana.
"As cpias de segurana de informaes referentes a projetos devem
permanecer inalteradas durante o perodo de 6 meses aps a sua efetuao."
Concordam que essa frase resolveria o problema ?
A palavra chave para o nvel ttico : padronizao de ambiente.
Equipamentos, software, senhas, utilizao de correio eletrnico, cpias de
segurana, segurana fsica etc. Tudo isso precisa e deve ser padronizado.
Isso faz com que todos os pontos da empresa tenham o mesmo nvel de
segurana e no tenhamos um elo mais fraco na corrente.
Texto em nvel operacional
Na mesma empresa onde tivemos problemas com backup, em uma
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
61
das cidades ningum consegue receber e-mails com planilhas anexadas.
Obviamente, o que deve estar acontecendo nesse estado que o
administrador, sabiamente ou no, colocou um limite para mensagens de e-
mail do tipo: caso ela seja maior do que X, no receba.
Por que temos esse problema, ou soluo, apenas nesse estado?
Porque ningum disse como configurar o equipamento. Nesses casos,
preciso ser minucioso na definio da padronizao, visto que s vezes o
"clicar" de uma "caixinha de configurao" pode ter impacto relevante no
funcionamento do ambiente de TI da empresa e, talvez, nos negcios da
empresa.
A palavra chave nesse caso : detalhamento para garantir perfeio no
atendimento e continuidade dos negcios, independentemente do fator
humano. Se a configurao est no papel, no h como ser realizada de forma
diferente.
A parte operacional da poltica de segurana vem exatamente para
padronizar esses detalhes de configuraes dos ambientes. Podemos ter um
padro nacional ou, quem sabe, um padro por estado. Isso ir depender da
necessidade da empresa. O importante sabermos que precisamos desse
padro. As pessoas possuem conhecimentos diferentes e aposto todas as
minhas fichas que, em qualquer empresa sem uma poltica de segurana (leia-
se qualquer tipo de papel definindo o que e como deve ser feito), a
configurao de uma cidade no ser igual configurao de uma outra.
Contedo da Poltica
Algumas questes cuja incluso em uma poltica de segurana dever
ser levada em considerao:
O que estamos protegendo ?
Se no souber o que e por que est defendendo, no ser possvel
defend-lo
Saber que est sendo atacado representa mais da metade da batalha.
Descreva de forma razoavelmente detalhada os tipos de nveis de
segurana esperados para sua empresa. Por exemplo, caracterize as
mquinas da rede da seguinte maneira:
Vermelho Contm informaes extremamente confidenciais ou fornece
servios essenciais;
Amarelo Contm informaes sensveis ou fornece servios importantes.
Verde Capaz de ter acesso s mquinas vermelhas ou amarelas, mas
no armazena informaes sensveis nem executa funes cruciais de uma
maneira direta.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
62
Branco Sem acesso aos sistemas vermelho, amarelo ou verde e no pode
ser acessado externamente. Sem funes ou informaes sensveis.
Preto Acessvel externamente. Sem acesso aos sistemas vermelho,
amarelo, verde ou branco.
Reunindo essas informaes, voc agora ter um vocabulrio para
descrever todas as mquinas existentes na rede e o nvel de segurana a se
atribudo a cada mquina. As mesma nomenclatura permitir descrever as
redes, alm de exigir, por exemplo, que as mquinas vermelhas estejam
conectadas s redes vermelhas e assim por diante.
Mtodos de proteo
Descrever as prioridades para a proteo da rede. Por exemplo, as
prioridades organizacionais podero ser as seguintes:
1. Sade e segurana humana;
2. Conformidade com a legislao aplicvel local, estadual e federal;
3. Preservao dos interesses da empresa;
4. Preservao dos interesses dos parceiros da empresa;
5. Disseminao gratuita e aberta de informaes no-sensveis.
Descrever qualquer poltica de carter geral para o acesso de cada
categoria do sistema, e ainda criar um ciclo de qualificao que ir descrever
com que freqncia uma mquina de determinado tipo de usurio dever ser
examinada para verificar se ainda est configurada corretamente de acordo
com seu status de segurana.
Responsabilidades
Descrever as responsabilidades (e, em alguns casos, os privilgios) de
cada classe de usurios do sistema.
Geral
o Conhecimento dessa poltica;
o Todas as aes de acordo com essa poltica;
o Informar segurana qualquer violao conhecida a essa poltica;
o Informar segurana qualquer suspeita de problemas com essa
poltica.
Administrador de sistema / Operaes
o Todas as informaes sobre os usurios sero tratadas como
confidenciais;
o No ser permitido acesso no-autorizado a informaes
confidenciais;
o Assegurar todas as aes consistentes com o cdigo de conduta
de um administrador de sistemas.
Administrador de segurana
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
63
o Mais alto nvel de conduta tica;
o Assegurar todas as aes consistentes com o cdigo de conduta
de um responsvel pela segurana;
Contratado
o Acesso a mquinas especificamente autorizadas na forma
especificamente autorizada;
o Solicitar autorizao prvia por escrito para qualquer ao que
possa ser interpretada como uma questo de segurana.
Convidado
o Nenhum acesso a recursos de computao, a menos que haja
notificao prvia por escrito segurana.
Uso adequado
Como os funcionrios devero ou no usar a rede.
Geral
o Uso pessoal mnimo durante o horrio comercial normal;
o Nenhuma utilizao da rede para atividades comerciais externas;
o Acesso a recursos de Internet consistentes com as polticas de
RH.
Administrador de sistemas
o Acesso responsvel a informaes sensveis ou pessoais na
rede;
o Todo acesso especial justificado por operaes comerciais.
Segurana
o Acesso responsvel a informaes sensveis ou pessoais na
rede;
o Todo acesso especial justificado por operaes comerciais ou
segurana;
o Uso de ferramentas de segurana apenas para objetivos
comerciais legtimos.
Contratado
o Nenhum acesso pessoal a qualquer tempo;
o Uso mnimo da rede e apenas por motivos especficos relativos a
determinados contratos.
Convidado
o Nenhum uso da rede a qualquer tempo
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
64
Conseqncias
Descrever como determinada a importncia de uma violao da
poltica e as categorias de conseqncias.
Penalidades
Descrever quais as penalidades de acordo com o nvel do
descumprimento de um item da poltica de segurana.
Crtica
o Recomendao para demisso;
o Recomendao para abertura de ao legal
Sria
o Recomendao para demisso;
o Recomendao para desconto de salrio
Limitada
o Recomendao para desconto de salrio
o Repreenso formal por escrito
o Suspenso no-remunerada
Para relaxar e refletir
Na Alemanha: tudo proibido, exceto aquilo que permitido.
Na Frana: tudo permitido, exceto aquilo que proibido.
Em Cuba: tudo proibido, inclusive aquilo que permitido.
No Brasil: tudo permitido, inclusive aquilo que proibido.
Estudo de Caso
Como avaliao parcial da disciplina, vamos analisar o estudo de caso.
Quais so as atitudes que sua empresa deve evitar na rea de
informtica.
H menos de uma dcada, bastavam um cadeado,
correntes reforadas no porto e um cachorro feroz para manter a
empresa e seus dados protegidos dos gatunos. Hoje, com a maior
parte das informaes digitalizadas, preciso ir alm. No d
para deixar de investir em softwares de segurana e no
treinamento dos funcionrios para preservar os segredos da
empresa. E no so poucas as ocorrncias de espionagem
industrial. A maioria dos 'piratas' conta com a ajuda dos
funcionrios da rea de informtica. Com bons conhecimentos
tcnicos, facilitam a vida da concorrncia por meio da entrega de
dados confidenciais da casa.
Vejam abaixo quais so os sete pecados capitais da rea
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
65
de tecnologia e confira se sua empresa comete alguns deles:
1. ORGULHO Os administradores de rede acreditam que
apenas os firewalls (softwares que barram a entrada e sada de e-
mails) e os tradicionais antivrus so capazes de garantir total
segurana aos arquivos da empresa. Descartam qualquer outra
ao preventiva.
2. INVEJA Profissionais que baixam programas espies
(spyware), usam brechas de segurana na rede para roubar
dados confidenciais da empresa.
3. GULA Os funcionrios no resistem fartura de banda
e baixam arquivos pesados de vdeo e de msica, possibilitando
que a rede de acesso Internet fique mais lenta.
4. LUXRIA A combinao do acesso a sites de
pornografia, banda larga e rede ponto-a-ponto facilita a
captura de imagem para o computador pessoal. E,
conseqentemente, facilita tambm a troca de arquivos entre os
funcionrios, deixando vulnervel o acesso a informaes
sigilosas.
5. IRA Ceder aos apelos dos momentos de fria e
cometer ataques rede interna pode provocar perdas de dados e
desperdcio de recursos.
6. COBIA A tentao de encher o computador do
trabalho com arquivos em MP3 e DVDs funciona como uma porta
de entrada para vrus e programas espies (spyware).
7. PREGUIA Ficar pendurado nos programas de
mensagens instantneas, jogos interativos e eventos de esportes
ao vivo no ambiente de trabalho gera custos e mau uso do tempo.
90% dos gerentes de tecnologia da informao usam apenas
antivrus para a proteo da rede
QUESTO
1) Escreva polticas de segurana para resolver os problemas
detectados / apontados no texto. Para cada poltica escrita, voc deve justificar
a sua utilizao e ilustrar / descrever uma possvel falha de segurana que
seria evitada se a sua poltica fosse seguida risca. Lembre-se de escrever
uma poltica no nvel estratgico, ttico e operacional.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
66
CAPTULO VIII
Barreiras de Segurana
Conceitualmente, diante da amplitude e complexidade do papel da
segurana, comum estudarmos os desafios em camadas ou fases,
particionando todo o trabalho para tornar mais claro o entendimento de cada
uma delas. Chamamos esta diviso de barreiras.
Cada uma delas tem uma participao importante no objetivo maior de
reduzir os riscos, e por isso, deve ser dimensionada adequadamente para
proporcionar a mais perfeita interao e integrao, como se fossem peas de
um nico quebra-cabea.
Controles
D
E
S
E
N
C
O
R
A
J
A
R
D
I
F
I
C
U
L
T
A
R
D
I
S
C
R
I
M
I
N
A
R
D
E
T
E
C
T
A
R
D
E
T
E
R
D
I
A
G
N
O
S
T
I
C
A
R
Ameaas
NEGCIO
Ativos
Crescimento do Impacto
Barreira 1: Desencorajar Esta a primeira das cinco barreiras de
segurana e cumpre o papel importante de desencorajar as ameaas.
Estas, por sua vez, podem ser desmotivadas ou podem perder o interesse e
o estmulo pela tentativa de quebra de segurana por efeito de mecanismos
fsicos, tecnolgicos ou humanos. A simples presena de uma cmera de
vdeo, mesmo falsa, de um aviso da existncia de alarmes, campanhas de
divulgao da poltica de segurana ou treinamento dos funcionrios
informando as prticas de auditoria e monitoramento de acesso aos
sistemas, j so efetivos nesta fase.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
67
Barreira 2: Dificultar O papel desta barreira complementar anterior
atravs da adoo efetiva dos controles que iro dificultar o acesso
indevido. Como exemplo, podemos citar os dispositivos de autenticao
para acesso fsico, como roletas, detectores de metal e alarmes, ou lgicos,
como leitores de carto magntico, senhas, smartcards e certificados
digitais, alm da criptografia, firewall, etc.
Barreira 3: Discriminar Aqui o importante se cercar de recursos que
permitam identificar e gerir os acessos, definindo perfis e autorizando
permisses. Os sistemas so largamente empregados para monitorar e
estabelecer limites e acesso aos servios de telefonia, permetros fsicos,
aplicaes de computador e bancos de dados. Os processos de avaliao e
gesto do volume de usos dos recursos, como e-mail, impressora, ou at
mesmo o fluxo de acesso fsico aos ambientes, so bons exemplos das
atividades desta barreira.
Barreira 4: Detectar Mais uma vez agindo de forma complementar s
suas antecessoras, esta barreira deve munir a soluo de segurana de
dispositivos que sinalizem, alertem e instrumentam os gestores da
segurana na deteco de situaes de risco. Seja em uma tentativa de
invaso, uma possvel contaminao por vrus, o descumprimento da
poltica de segurana da empresa, ou a cpia e envio de informaes
sigilosas de forma inadequada.
Entram aqui os sistemas de monitoramento e auditoria para auxiliar na
identificao de atitudes de exposio, como o antivrus e os sistema de
deteco de intrusos, que reduziram o tempo de resposta a incidentes.
Barreira 5: Deter Representa o objetivo de impedir que a ameaa atinja
os ativos que suportam o negcio. O acionamento desta barreira, ativando
seus mecanismos de controle, um sinal de que as barreiras anteriores no
foram suficientes para conter a ao da ameaa. Neste momento, medidas
de deteno, como aes administrativas, punitivas e bloqueio de acessos
fsicos e lgicos, respectivamente a ambientes e sistemas, so bons
exemplos.
Barreira 6: Diagnosticar Apesar de representar a ltima barreira no
diagrama, esta fase tem um sentido especial de representar a continuidade
do processo de gesto de segurana. Pode parecer o fim, mas o elo de
ligao com a primeira barreira, criando um movimento cclico e contnuo.
Devido a esses fatores esta a barreira de maior importncia. Deve ser
conduzida por atividades de anlise de riscos que considerem tanto os
aspectos tecnolgicos quanto os fsicos e humanos, sempre orientados s
caractersticas e s necessidades especficas dos processos de negcio da
empresa.
importante notar que um trabalho preliminar de diagnstico mal
conduzido ou executado sem metodologia e instrumentos que confiram maior
preciso ao processo de levantamento e anlise de riscos, poder distorcer o
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
68
entendimento da situao atual de segurana e simultaneamente a situao
desejada. Desta forma, aumenta a probabilidade de se dimensionar
inadequadamente estas barreiras, distribuindo os investimentos de forma
desproporcional, redundante muitas vezes, e pior, de forma ineficaz. O retorno
sobre investimento no corresponder s expectativas e a empresa no
atingir o nvel de segurana adequado natureza de suas atividades.
Ameaas
D
E
S
E
N
C
O
R
A
J
A
R
D
I
F
I
C
U
L
T
A
R
D
I
S
C
R
I
M
I
N
A
R
D
E
T
E
C
T
A
R
D
E
T
E
R
D
I
A
G
N
O
S
T
I
C
A
R
NEGCIO
Ativos
Crescimento do Impacto
Cenrio 1
Tome como exemplo uma grande loja de departamentos e 10 possveis
assaltantes (daqueles bem simples, que roubam somente roupas / perfumes /
etc).
Vamos ver como funcionaria cada barreira. As 5 primeiras barreiras (se
corretamente organizadas), poderia funcionar da seguinte forma:
DESENCORAJAR Ao entrar na loja, os assaltantes percebem um grande
aviso na porta Sorria, voc est sendo filmado !!!. Como este aviso, 2
assaltantes ficaram intimidados e desistiram do furto. Sobraram 8.
DIFICULTAR Nas peas de roupas que seriam roubadas, existe um
dispositivo eletromagntico que impede a sada do produto da loja sem
antes passar pelo caixa. Com isto, 2 assaltantes foram para outra loja.
Sobraram 6.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
69
DISCRIMINAR A loja dispem de cmeras de vdeo posicionadas de
forma a cobrir todos os pontos da loja. Estas cmeras possibilitam a
identificao dos assaltantes. Ao perceberem as cmeras, 2 assaltantes
ficaram receosos e desistiram. Sobraram 4.
DETECTAR Ao passar pela porta, os alarmes identificaram as peas de
roupas com os dispositivos, soando um alarme sonoro. 2 assaltantes
largaram as peas de roupas e fugiram. No perca as contas, ainda
sobraram 2.
DETER O armrio, digo, vigia da loja, prende os 2 ltimos assaltantes.
Estes meliantes to cedo no voltam a agir.
DIAGNOSTICAR Nesta fase, a equipe de segurana da loja ir fazer um
balano sobre eficcia dos mtodos adotados. O ideal, seria que os
assaltantes desistam ao encontrar a barreira DISCRIMINAR. Neste
exemplo, se todos os 4 assaltantes ignorassem a barreira DETECTAR, o
vigia (barreira DETER) teria dificuldades. Ou se os 2 ltimos assaltantes
estivessem armados, o vigia (barreira DETER) poderia no funcionar
adequadamente (poderia haver troca de tiros, ocasionado em possveis
perdas humanas).
Um exemplo de melhoria poderia ser aplicado na barreira
DISCRIMINAR, ao identificar suspeitos, atravs de algum software de
reconhecimento de imagens interligado com o banco de dados da polcia, a
polcia poderia ser chamada de forma a evitar maiores prejuzos para a loja e
seus clientes.
Cenrio 2
Num cenrio bancrio, a porta giratria com identificao de metais,
pode ser classificado como um mtodo de desencorajamento, dificuldade (no
fcil passar uma arma), discriminao (identifica uma arma) , deteco e
deteo (pois o suspeito fica preso na porta).
Estudo de Caso
Rever as polticas de segurana criadas por vocs e verificar se as
barreiras esto sendo aplicadas nas polticas;
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
70
CAPTULO IX
Gerenciamento de Risco
O risco no um novo problema ou uma nova terminologia; os seres
humanos sempre tiveram de enfrentar (ou encarar) os riscos no seu meio
ambiente, embora seu significado tenha mudado, como tem mudado a
sociedade e o prprio meio onde vive. No passado, a grande preocupao
estava centrada nos desastres naturais (geolgicos e climatolgicos) na forma
de inundaes, secas, terremotos e tempestades.
Aps a revoluo industrial, os riscos naturais foram substitudos por
aqueles gerados pelo prprio homem; nos Estados Unidos, os acidentes
originados dos perigos tecnolgicos, representam de 15 a 20% da mortalidade
humana e tem ultrapassado significativamente daqueles naturais, em termos
do impacto perante a sociedade, custo e importncia (Leveson et al, 1997).
Uma das ferramentas mais poderosas no gerenciamento de riscos o
conhecimento. Na era do conhecimento, onde a informao considerada um
dos principais patrimnios de grande parte das organizaes, esta deve ser
tratada como tal, sendo protegida nos seus aspectos de disponibilidade,
integridade, confidencialidade e autenticidade, seguindo a linha adotada pelo
Governo Federal. Neste contexto, o gerenciamento de risco indica os caminhos
e as informaes que devem ser protegidas.
Conceitos Bsicos
Risco
o Uma expectativa de perda expressada como a probabilidade de que
uma ameaa em particular poder explorar uma vulnerabilidade com
um possvel prejuzo;
o Risco pode se definido como uma medida da incerteza associada
aos retornos esperados de investimentos (Duarte Jnior, 2004);
o Subentende-se por risco, o nvel do perigo combinado com: (1) a
probabilidade de o perigo levar a um acidente e, (2) a exposio ou
durao ao perigo (algumas vezes denominado de latente); algumas
vezes, o risco limitado ao relacionamento entre o perigo e o
acidente, ou seja, a probabilidade do perigo conduzir a um acidente,
mas no da probabilidade do perigo ocorrer (Leveson et al, 1997);
o Conforme (Scoy, 1992), risco no ruim por definio, o risco
essencial para o progresso e as falhas decorrentes so parte de um
processo de aprendizado.
Avaliao ou Anlise de Risco Um processo que identifica
sistematicamente recursos valiosos de sistema e ameaas a aqueles
recursos, quantifica as exposies de perda (isto , potencialidade de
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
71
ocorrer uma perda) baseadas em freqncias estimadas e custos de
ocorrncia, e (opcionalmente) recomenda como alocar recursos s
contramedidas no para minimizar a exposio total.
Gerenciamento de Riscos O processo de identificar, de controlar, os
eventos incertos, eliminando ou minimizando os que podem afetar os
recursos de sistema.
O perigo tem duas importantes caractersticas: a gravidade (algumas
vezes denominada de dano) e a probabilidade da ocorrncia. A prxima figura
ilustra o conceito do risco e o seu relacionamento com o perigo (Leveson et al,
1997).
RISCO
Gravidade
do perigo
Propabilidade de
ocorrncia do perigo
Nvel do perigo
Exposio
ao perigo
Probabilidade do perigo
conduzir a um acidente.
A gravidade do perigo definida como o pior acidente possvel de
ocorrer, resultante do perigo dado pelo ambiente na sua condio menos
favorvel. A probabilidade de ocorrncia do perigo pode ser especificada tanto
quantitativamente como qualitativamente; infelizmente, quando o sistema est
sendo projetado e os nveis de perigo estejam sendo avaliados e pontuados,
para a eliminao dos riscos potenciais, as informaes necessrias para a sua
avaliao nem sempre esto disponveis; neste caso, utiliza-se de banco de
dados de alguns projetos que estejam disponveis ou ainda, baseando-se em
avaliaes puramente qualitativas. A combinao da gravidade somada a
probabilidade de ocorrncia freqentemente denominada de nvel do perigo.
A exposio ou durao de um perigo uma componente do risco; desde que
um acidente envolve uma coincidncia de condies, na qual o perigo
justamente um deles, quanto maior o estado de perigo existir maiores so as
chances de que outras condies ocorram, ou seja, a coincidncia de
condies necessrias para um acidente pode ter estatisticamente, uma baixa
probabilidade, mas a probabilidade da coincidncia pode dramaticamente ser
aumentada, caso o perigo esteja presente por longos perodos de tempo.
Importncia da Informao
Para que o processo de classificao possa ser guiado com xito, no
dependendo exclusivamente da avaliao do consultor de segurana, faz-se
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
72
necessrio o envolvimento dos criadores, gestores, curadores e usurios da
informao. Estes devem estar habilitados a responder aos seguintes
questionamentos.
A. Qual a utilidade da informao ?
Aparentemente simples, a resposta para esta pergunta deve ser
consolidada base a uma viso holstica - a informao parte de um todo
muitas vezes indecomponvel. A informao que suporta o departamento
comercial tem diferente utilidade quando confrontada com as informaes
provenientes da engenharia. Quando justificar utilidade, lembre sempre dos
fins: suporte, operao, estratgia, etc.
B. Qual o valor da informao ?
Existem diferentes mtodos para a valorao da informao. So
abordagens qualitativas, quantitativas e mistas; algumas compostas de
clculos e frmulas hermticas - por vezes to confusas que causam suspeita
aos homens de esprito prtico. Acredito que to ou mais eficiente que o
aparato analtico informatizado seja a avaliao pessoal do dono da
informao. Ele saber qualificar sua munio: qual o prejuzo caso esta
informao seja revelada ou comprometida? Caso haja dificuldade em compor
o resultado atravs de um indicador financeiro preciso, vale tambm a
descrio atravs de escalas de classificao.
C. Qual a validade da informao ?
Salvo excees justificadas, toda informao deve possuir um perodo
de validade - manter informaes desatualizadas, redundantes ou de
integridade duvidosa, quando no por imposio legal, significa espao em
disco, leia-se custo adicional.
D. Quem responsvel pela manuteno da classificao da
informao ?
Em algumas organizaes, o criador da informao responsvel pela
sua classificao inicial nos quesitos da trade da segurana -
confidencialidade, integridade e disponibilidade. Esta classificao deve ser
acompanhada pela definio de grupos, perfis ou usurios individuais com
permisso para o acesso.
Na era do conhecimento, onde a informao considerada um dos
principais patrimnios de grande parte das organizaes, esta deve ser tratada
como tal, sendo protegida nos seus aspectos de disponibilidade, integridade,
confidencialidade e autenticidade, seguindo a linha adotada pelo Governo
Federal.
Com a dependncia do negcio aos sistemas de informao e o
surgimento de novas tecnologias e formas de trabalho, como o comrcio
eletrnico, as redes virtuais privadas e os funcionrios mveis, as empresas
comearam a despertar para a necessidade de segurana, uma vez que se
tornaram vulnerveis a um nmero maior de ameaas.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
73
De ataques de hackers a epidemias de vrus, sobrecarga de sistemas a
utilizao indevida por parte dos funcionrios, uma variedade de ameaas
exige uma abordagem sistemtica para identificar, quantificar, tratar e
monitorar os riscos a que o negcio est sujeito.
Como analisar riscos sem estudar minuciosamente os processos de
negcio que sustentam sua organizao? Como classificar o risco destes
processos sem antes avaliar as vulnerabilidades dos componentes de
tecnologia relacionados a cada processo? Quais so os seus processos
crticos? Aqueles que sustentam a rea comercial, a rea financeira ou a
produo? Voc saberia avaliar quantitativamente qual a importncia do seu
servidor de web? Para cada pergunta, uma mesma resposta: conhecer para
proteger.
Vale a pena proteger tudo ?
Partindo do pressuposto que segurana da informao requer
investimentos, deve ser estimado o valor da informao a ser protegida, de
forma que seja maximizado o retorno dos investimentos. um jogo que no
pra. A cada novo investimento as empresas devem tornar os resultados
palpveis, expressando-os em nmeros.
Mas como fazer isso? Uma das tcnicas disponveis no mercado o
ROI, do ingls Return on Investment. Entretanto, no existe um modelo
unificado para clculo de ROI, nem o modelo ideal. Esta uma ferramenta que
parte do princpio que a empresa capaz de mensurar todos os seus ativos e
respectivos custos, com base no comportamento histrico.
preciso conhecimento do negcio para definir o modelo que melhor se
adapte a cada situao. Conhecimento do negcio este o ponto chave de
qualquer Gerenciamento de Riscos.
Proteger contra o qu ?
O objetivo da segurana da informao proteg-la contra riscos. Em
linhas gerais, riscos so eventos ou condies que podem ocorrer e, caso
realmente ocorram, podem trazer impactos negativos para um determinado
ativo (no caso, a informao).
Como pode ser percebida atravs da leitura da afirmao acima, a
incerteza a questo central do risco. Estamos trabalhando com hipteses: a
probabilidade de ocorrncia de uma situao e o grau do dano (severidade)
decorrente de sua concretizao.
Mas vamos a questes mais prticas: uma vez quantificado o valor de
uma informao, devem ser levantados os meios em que esta se encontra,
tanto armazenado quanto em trnsito, e delimitado o escopo de atuao.
Escopos infinitos caracterizam um dos erros mais comuns cometidos durante
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
74
um Gerenciamento de Riscos.
Cabe aqui a ressalva de que nosso objetivo proteger a informao,
no o ativo que a contm. De que adianta investir na proteo de um servidor
de rede, por exemplo, que no armazena nenhuma informao crtica ao
negcio? Os esforos devem ser concentrados no que realmente significativo
para a empresa.
Riscos Financeiros
Riscos Fiscais Riscos de Incidente
NEGCIO
Riscos da
Informao
Riscos de
Pessoal
Riscos Jurdicos
Riscos da
Cadeia Produtiva
Riscos de
crdito
Mas como proteger uma informao ?
Inicialmente, faz-se necessrio uma definio do que seja
Gerenciamento de Riscos propriamente dito. Este um processo que objetiva
identificar os riscos ao negcio de uma empresa e, a partir de critrios de
priorizao, tomar aes que minimizem seus efeitos. caracterizado,
sobretudo, por ter uma abordagem mais estruturada e cientfica. dividido em 4
(quatro) etapas bsicas:
1. Identificao dos Riscos: Como o prprio nome j diz, nessa etapa
so identificados os riscos a que o negcio (o foco sempre deve ser este) est
sujeito.
O primeiro passo a realizao de uma Anlise de Riscos, que pode ser
tanto quantitativa baseada em estatsticas, numa anlise histrica dos
registros de incidentes de segurana quanto qualitativa baseada em know-
how, geralmente realizada por especialistas, que tm profundos conhecimentos
sobre o assunto.
Devido a sua agilidade, geralmente as empresas tendem a adotar os
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
75
modelos qualitativos, que no requer clculos complexos. Independentemente
do mtodo adotado, uma Anlise de Riscos deve contemplar algumas
atividades, como o levantamento de ativos a serem analisadas, definies de
uma lista de ameaas e identificao de vulnerabilidades nos ativos.
2. Quantificao dos Riscos: Nessa etapa mensurado o impacto que
um determinado risco pode causar ao negcio.
Como praticamente impossvel oferecer proteo total contra todas as
ameaas existentes, preciso identificar os ativos e as vulnerabilidades mais
crticas, possibilitando a priorizao dos esforos e os gastos com segurana.
Uma das ferramentas existentes no mercado o BIA, do ingls Business
Impact Analysys. Esta tcnica consiste, basicamente, da estimativa de
prejuzos financeiros decorrentes da paralisao de um servio.
Voc capaz de responder quanto sua empresa deixaria de arrecadar
caso um sistema estivesse indisponvel durante 2 horas? O objetivo do BIA
responder questes desse tipo.
3. Tratamento dos Riscos: Uma vez que os riscos foram identificados e
a organizao definiu quais sero tratados, as medidas de segurana devem
ser de fato implementadas.
Definies de quais riscos sero tratadas ? Isso mesmo. O ROI e o BIA
servem justamente para auxiliar nesta tarefa. Alguns riscos podem ser
eliminados, outros reduzidos ou at mesmo aceitos pela empresa, tendo
sempre a situao escolhida documentada. S no permitido ignor-los.
Nessa etapa ainda podem ser definidas medidas adicionais de
segurana, como os Planos de Continuidade dos Negcios que visam manter
em funcionamento os servios de misso-crtica, essenciais ao negcio da
empresa, em situaes emergenciais e Response Teams que possibilitam
a deteco e avaliao dos riscos em tempo real, permitindo que as
providncias cabveis sejam tomadas rapidamente.
4. Monitorao dos Riscos: O Gerenciamento de Riscos um
processo contnuo, que no termina com a implementao de uma medida de
segurana. Atravs de uma monitorao constante, possvel identificar quais
reas foram bem sucedidas e quais precisam de revises e ajustes.
Mas como realizar uma monitorao de segurana? O ideal que este
trabalho seja norteado por um modelo de Gesto de Segurana, que defina
atribuies, responsabilidades e fluxos de comunicao interdepartamentais.
S que a realidade costuma ser bem diferente... No so todas as empresas
que possuem uma estrutura prpria para tratar a segurana de suas
informaes.
Ento a monitorao de riscos pode ocorrer numa forma mais light,
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
76
digamos. No necessrio todo o formalismo de uma estrutura especfica, mas
devem ser realizadas algumas atividades importantes, tais como:
Elaborao de uma poltica de segurana, composta por diretrizes, normas,
procedimentos e instrues, indicando como deve ser realizado o trabalho,
e
Auditoria de segurana, a fim de assegurar o cumprimento dos padres
definidos e, conseqentemente, medir a eficcia da estratgia de segurana
adotada.
Um efetivo gerenciamento de riscos necessita de alguns requisitos
bsicos que devem ser de conhecimento de todos os envolvidos nesse
assunto. Esse conhecimento, inclusive, uma outra dificuldade a ser vencida.
Normalmente apenas algumas pessoas ficam sabendo do processo de
gerenciamento de riscos. O desejvel que todos os envolvidos tenham
acesso s informaes desse gerenciamento, considerando, evidentemente, a
questo da confidencialidade da informao: acesso parcial, acesso somente
de leitura, acesso para atualizao, etc... Neste caso o uso de uma ferramenta
adequada e com inteligncia para tratar todas as informaes geradas
fundamental.
Como requisitos bsicos para o gerenciamento de riscos, consideramos
que devam existir:
Objetivos de negcio Antes de qualquer anlise de riscos, devem
existir os objetivos de negcio relativos organizao ou rea organizacional
em estudo. Somente podemos falar em riscos, se existem os objetivos de
negcio. Cada objetivo deve ser o mais explcito possvel. "Crescer o
faturamento em 15% em relao ao ano passado" muito melhor do que um
genrico "aumentar o faturamento". "Garantir um tempo de resposta no
ambiente computacional de no mximo trs segundos" muito melhor do que
"ter um tempo de resposta que deixe o usurio satisfeito".
Riscos Para cada objetivo de negcio definido, devem ser
identificados os riscos que podem impedir que esse objetivo seja alcanado.
Em uma primeira anlise pode se fazer uma listagem completa de todos os
riscos possveis e imaginveis. Depois podem ser selecionados os riscos mais
significativos para que o trabalho de gerenciamento de risco tenha um custo /
benefcio adequado.
Aes Para cada risco selecionado e definido como significante para o
processo de gerenciamento de riscos, devemos identificar aes que possam
minimizar a ocorrncia desse risco. Essas aes podem j existir ou no.
Na medida em que esses elementos forem sendo identificados em um
nmero crescente, temos a necessidade de avaliar a prioridade e importncia
de todo esse material. Mas, que parmetros devemos tomar por base ? Quais
as avaliaes que devemos fazer ? Para cada um dos elementos sugerimos
que sejam analisados:
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
77
Importncia para o negcio Cada objetivo deve ser avaliado sobre a sua
importncia para o negcio da organizao.
Probabilidade de ocorrncia Os riscos devem ser analisados sob a
probabilidade de sua ocorrncia. Impacto no negcio Cada ocorrncia de
risco traz impactos diferentes para o negcio da organizao. Identificar o
grau desse impacto ser um dado importante para a priorizao desse
processo.
Grau de minimizao do risco As aes definidas para minimizar um risco
possuem um grau de eficcia. Quanto mais eficazes forem, maior o poder
de minimizao do risco.
Esforo a ser gasto O esforo associado para que a ao possua uma
boa eficcia um parmetro a ser considerado. Muito esforo em aes
que minimizem riscos de pequeno impacto no negcio significa um ponto de
ateno.
Para se chegar aos valores desses parmetros a serem julgadas, as
organizaes necessita de um processo que expresse verdadeiramente a
avaliao das pessoas envolvidas. Este processo pode ser desde um simples
questionrio at sesses de trabalho conduzidas por facilitadores e com apoio
de softwares de deciso de grupo.
Muitos erros podem ser cometidos nesse processo de gerenciamento de
riscos. Uma forma de minimizar esses erros considerar como fatores crticos
de sucesso:
A definio do escopo da rea a ser trabalhada;
A definio explcita dos objetivos de negcio;
A existncia de uma abordagem metodolgica;
O acesso informao por todos os envolvidos.
A Anlise
A anlise de risco consiste em um processo de identificao e avaliao
dos fatores de risco presentes e de forma antecipada no Ambiente
Organizacional, possibilitando uma viso do impacto negativo causado aos
negcios.
Atravs da aplicao deste processo, possvel determinar as
prioridades de ao em funo do risco identificado, para que seja atingido o
nvel de segurana desejado pela organizao. Proporciona tambm
informaes para que se possa identificar o tamanho e o tipo de investimento
necessrio de forma antecipada aos impactos na Organizao causados pela
perda ou indisponibilidade dos recursos fundamentais para o negcio. Sem um
processo como este no so possveis identificar a origem das
vulnerabilidades, nem visualizar os riscos.
Utiliza-se como mtrica as melhores prticas de segurana da
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
78
informao do mercado, apontadas na norma ISO/IEC 17799. A partir destas
informaes faz-se possvel elaborao do perfil de risco, que segue a
frmula: (Ameaa) x (Vulnerabilidade) x (Valor do Ativo) = RISCO. Ateno: a
ISO/IEC 17799 no ensina a analisar o risco, serve apenas como referncia
normativa.
RISCO =
Probabilidade
De um evento
Ameaas Vulnerabilidades
X
Conseqncia
do evento
Danos Materiais
Interrupes
Imagem
Multas
A - Por que fazer uma anlise de risco ?
Durante o planejamento do futuro da empresa, a Alta Administrao
deve garantir que todos os cuidados foram tomados para que seus planos se
concretizem. A formalizao de uma Anlise de Risco prov um documento
indicador de que este cuidado foi observado. O resultado da Anlise de Risco
d organizao o controle sobre seu prprio destino atravs do relatrio
final, pode-se identificar quais controles devem ser implementados em curto,
mdio e longo prazo. H ento uma relao de valor; ativos sero protegidos
com investimentos adequados ao seu valor e ao seu risco.
B - Quando fazer uma anlise de riscos ?
Uma anlise de riscos deve ser realizada sempre antecedendo um
investimento. Antes de a organizao iniciar um projeto, um novo processo de
negcio, o desenvolvimento de uma ferramenta ou at mesmo uma relao de
parceria, deve-se mapear, identificar e assegurar os requisitos do negcio. Em
situaes onde a organizao nunca realizou uma Anlise de Risco,
recomendamos uma validao de toda a estrutura.
C - Quem deve participar da anlise de riscos ?
O processo de anlise de riscos deve envolver especialistas em anlise
de riscos e especialistas no negcio da empresa esta sinergia possibilita o
foco e a qualidade do projeto. Um projeto de Anlise de Risco sem o
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
79
envolvimento da equipe da empresa, muito dificilmente retratar a real situao
da operao.
D - Quanto tempo o projeto deve levar ?
A execuo do projeto deve ser realizada em tempo mnimo. Em
ambientes dinmicos a tecnologia muda muito rapidamente. Um projeto com
mais de um ms em determinados ambientes , ao final, pode estar
desatualizado e no corresponder ao estado atual da organizao.
Conforme (Stoneburner, 2001), a forma para descobrir se existe algum
risco em um projeto e se o mesmo aceitvel, apresentada na prxima
figura:
Projeto de
Sistema
Projeto de
Sistema
Falha ou
Fraqueza ?
Falha ou
Fraqueza ?
Pode ser
explorado ?
Pode ser
explorado ?
No existe risco
No existe risco
No existe risco
No existe risco
Existe uma
vulnerabilidade
para um ataque
Existe uma
vulnerabilidade
para um ataque
&
& Inteno
Inteno
Existe Ameaa !
Existe Ameaa !
Custo do
Ataque <
Ganho
Custo do
Ataque <
Ganho
Risco aceitvel
Risco aceitvel
SIM
SIM
SIM
SIM
NO
NO
NO
NO
Perda >
Custo da
defesa
Perda >
Custo da
defesa
Risco aceitvel
Risco aceitvel
RISCO INACEITVEL
RISCO INACEITVEL
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
80
Projeto de
Sistema
Projeto de
Sistema
Falha ou
Fraqueza ?
Falha ou
Fraqueza ?
Crtico para
Segurana?
Crtico para
Segurana?
No existe risco
No existe risco
No existe risco
No existe risco
Existe uma
vulnerabilidade
explorar a
fraqueza
Existe uma
vulnerabilidade
explorar a
fraqueza
SIM
SIM
NO
NO
Existe Ameaa !
Existe Ameaa !
SIM
NO
Perda >
Custo da
defesa
Perda >
Custo da
defesa
Risco aceitvel
Risco aceitvel
RISCO INACEITVEL
RISCO INACEITVEL
Estudo de Caso
Descrio:
O desenho acima mostra o site de uma empresa que abrigar um novo CPD.
O terreno cercado por grades ( aprox. 2 metros), com 4 portes:
Porto A: entrada para o bloco A
Porto B: entrada de funcionrios e de caminhes para carga e descarga
Porto C: atualmente desativado (porto grande)
Porto D: entrada de pedestres(porto pequeno)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
81
O terreno contm 4 construes:
Bloco A:
No subsolo, h 3 depsitos distintos:
1. papelaria e material de expediente;
2. mveis usados;
3. equipamentos de informtica reutilizvel.
No trreo funcionam uma grfica, um estoque de atacado e a rampa de carga e
descarga.
No primeiro andar funcionar o CPD e um novo setor com um grande volume
de cheques. Separados do CPD por uma parede corta-fogo estaro a grfica
plana, o escritrio e o laboratrio da grfica, que contm materiais altamente
inflamveis.
Existem 2 entradas para o CPD. A principal, pelo porto A e uma outra pela
rea de carga e descarga.
Pavilho 1: documentos de microfilmagem e papis
Pavilho 2: Setorial de transporte, estoque de papel da grfica e lanchonete
Pavilho 3: mveis e equipamentos obsoletos
Tendo em vista a segurana fsica:
1. Quais so os riscos com relao a acesso, incndio, inundao, etc?
2. Quais aes/solues vocs recomendariam?
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
82
CAPTULO X
Contingncia ou Plano de Continuidade de Negcios
Num mundo de negcios competitivo como o de hoje, as empresas
simplesmente no podem mais ficar indisponvel para seus clientes mesmo que
tenham problemas com seus processos de negcios, recursos e / ou dados e
informaes. Velocidade de processamento e de decises, altssima
disponibilidade, flexibilidade e foco em produtos de acordo com o mercado so
requisitos fundamentais para "sobrevivncia e sucesso". Porm, se no houver
Planejamento para Segurana e Contingncia adequados, alguns ou at todos
requisitos estaro ameaados e, conseqentemente, a empresa ameaada.
Definies
Plano de Contingncia Um plano para a resposta de emergncia,
operaes backup, e recuperao de aps um desastre em um sistema
como a parte de um programa da segurana para assegurar a
disponibilidade de recursos de sistema crticos e para facilitar a
continuidade das operaes durante uma crise.
Disponibilidade A propriedade que e um sistema ou um recurso de
sistema de estarem acessveis e utilizveis sob demanda por uma entidade
autorizada pelo o sistema, de acordo com especificaes de desempenho
projetadas para o sistema; isto , um sistema que est disponvel para
fornecer servios de acordo com o projeto do sistema sempre que pedido
por seu usurio.
Confiabilidade A habilidade de um sistema de executar uma funo
requerida sob condies indicadas por um perodo de tempo especificado.
Sobrevivncia - A habilidade de um sistema de continuar em operao ou
existindo apesar das condies adversas, inclui as ocorrncias naturais,
aes acidentais, e ataques ao sistema.
Conceitos
10
Diferentemente do que se pensava h alguns anos sobre definio de
Continuidade de Negcio, quando o conceito estava associado sobrevivncia
das empresas principalmente atravs das suas estratgias comerciais,
reduo de custos com produtividade e fortalecimento da marca , observa-se
atualmente uma mudana que cria um novo conceito associado a um modelo
de gesto mais abrangente, onde todos os componentes e processos
essenciais ao negcio tenham os seus risco de inoperncia ou paralisao
minimizadas por Planos de Continuidade de Negcios atualizados,
10
(Plachta, 2001)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
83
documentados e divulgados corretamente.
Na poca em que o antigo conceito era usado, todas as preocupaes
referentes a inoperabilidade dos componentes (sejam estes de suporte
tecnologia ou aos processos) eram tratadas isoladamente por cada gestor ou
tcnico responsvel que, como no possuam uma visualizao necessria de
todas as interdependncias existentes, no orientavam a implementao s
atividades fins da empresa.
Em um primeiro momento imagina-se que Planos de Continuidade visam
permitir que os negcios sejam mantidos da mesma forma durante o regime de
contingncia. Este tipo de raciocnio restrito. O que devemos levar em conta
"o que que nossos clientes precisam ?" E assim considerar "a continuidade
de que servios (ou da oferta de que produtos) nossos clientes esperam de ns
?".
Seria necessrio ento criar uma soluo onde todas as reas
pudessem ter uma viso global dos seus inter-relacionamentos e, com isto
seria possvel definir critrios referentes ao custo de recuperao, de
inoperncia ou de impacto refletidos na atividade fim da empresa.
Quando se enumerava os grandes viles responsveis pela
indisponibilidade e o caos nas empresas, pensava-se em desastres como as
ameaas naturais, terremotos, inundaes e outros similares. Porm, estes
fatores perderam terreno para as vulnerabilidades herdadas pelas empresas
em decorrncia do aumento desenfreado, e necessrias, das novas
tecnologias.
Com isso, o conceito de desastre, antes atrelado ao caos gerado por
fatores naturais, vem sendo substitudo pelo conceito de evento, que a
concretizao de uma ameaa previamente identificada, podendo ser seguido
ou no de um desastre.
Por exemplo, o recebimento de um vrus por um usurio de e-mail
identifica-se como um evento at que o programa seja executado, resultando
na perda de dados, o que seria um desastre, considerando o valor das
informaes atingidas.
Nos dias de hoje, aps os atentados nos Estados Unidos, intensifica-se
um conceito de estado de alerta para o Plano de Continuidade de Negcios
denominado Plano de Administrao de Crise, onde todas as medidas para o
estado de vigilncia e aes de resposta emergenciais devem estar
documentadas e destinadas s equipes de planto responsveis pela sua
execuo.
Atravs destas medidas, observamos cada vez mais que a continuidade
dos processos e negcios est atrelada no somente recuperao ou ao
contingenciamento dos processos vitais, mas tambm vigilncia contnua dos
eventos.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
84
Sendo assim, quando possvel a identificao imediata da
probabilidade da ocorrncia de um evento que ocasionar a indisponibilidade
de um processo crtico ou vital, este dever ser tratado como uma situao de
crise aplicando-se o plano de controle e administrao para a reduo do
risco desta ocorrncia.
Justificando
Mesmo sem ter planos formais de contingncia, atravs dos
questionamentos abaixo um alto executivo pode saber se a sua organizao
est preparada para o inevitvel:
Quais so os principais negcios da minha empresa ?
Quais so os fatores de risco operacionais que podem afetar seriamente os
negcios da empresa ?
Qual seria o impacto nas receitas geradas pelo negcios da empresa se um
ou mais fatores de risco se manifestasse ?
Como a empresa est preparada para lidar com o inevitvel ou o
inesperado ?
Para cada questo no respondida ou respondida insatisfatoriamente,
cresce a vulnerabilidade da empresa frente a fatos cuja ocorrncia esteja fora
de seu controle, sendo a ponderao dessa vulnerabilidade maior quanto maior
a ordem da questo no respondida.
Estratgias de Contingncia
11
Estratgia de Contingncia Host-site Recebe este nome por ser uma
estratgia quente ou pronta para entrar em operao assim que uma
situao de risco ocorrer. O tempo de operacionalizao desta estratgia
est diretamente ligado ao tempo de tolerncia a falhas do objeto. Se a
aplicssemos em um equipamento tecnolgico, um servidor de banco de
dados, por exemplo, estaramos falando de milessegundos de tolerncia
para garantir a disponibilidade do servio mantido pelo equipamento.
Estratgia de Contingncia Warm-site Esta se aplica a objetos com
maior tolerncia paralisao, podendo se sujeitar indisponibilidade por
mais tempo, at o retorno operacional da atividade. Tomemos, como
exemplo, o servio de e-mail dependente de uma conexo. Vemos que o
processo de envio e recebimento de mensagens mais tolerante que o
exemplo usado na estratgia anterior, pois poderia ficar indisponvel por
minutos, sem, no entanto, comprometer o servio ou gerar impactos
significativos.
Estratgia de Contingncia Cold-site Dentro do modelo de classificao
11
(Smola, 2003)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
85
nas estratgias anteriores, esta prope uma alternativa de contingncia a
partir de um ambiente com os recursos mnimos de infra-estrutura e
telecomunicaes, desprovido de recursos de processamento de dados.
Portanto, aplicvel situao com tolerncia de indisponibilidade ainda
maior.
Estratgia de Contingncia de Realocao de Operao Como o
prprio nome denuncia, esta estratgia objetiva desviar a atividade atingida
pelo evento que provocou a quebra de segurana, para outro ambiente
fsico, equipamento ou link, pertencentes mesma empresa. Esta
estratgia s possvel com a existncia de folgas de recursos que
podem ser alocados em situaes de crise. Muito comum essa estratgia
pode ser entendida pelo exemplo que se redireciona o trfego de dados de
um roteador ou servidos com problemas para outro que possua folga de
processamento e suporte o acmulo de tarefas.
Estratgia de Contingncia Bureau de Servios Considera a
possibilidade de transferir a operacionalizao da atividade atingida para
um ambiente terceirizado; portanto, fora dos domnios da empresa. Por sua
prpria natureza, em que requer um tempo de tolerncia maior em funo
do tempo de reativao operacional da atividade, torna-se restrita a poucas
situaes. O fato de ter suas informaes manuseadas por terceiros e em
um ambiente fora de seu controle, requer ateno na adoo de
procedimentos, critrios e mecanismos de controle que garantam condies
de segurana adequadas relevncia e criticidade da atividade
contingenciada.
Estratgia de Contingncia Acordo de Reciprocidade Muito
conveniente para atividades que demandariam investimentos de
contingncia inviveis ou incompatveis com a importncia da mesma, esta
estratgia prope a aproximao e um acordo formal com empresas que
mantm caractersticas fsicas, tecnolgicas ou humanas semelhantes a
sua, e que estejam igualmente dispostas a possuir uma alternativa de
continuidade operacional. Estabelecem em conjunto as situaes de
contingncia e definem os procedimentos de compartilhamento de recursos
para alocar a atividade atingida no ambiente da outra empresa. Desta
forma, ambas obtm reduo significativa dos investimentos. Apesar do
notrio benefcio, todas as empresas envolvidas precisam adotar
procedimentos personalizados e mecanismos que reduzam a exposio das
informaes que, temporariamente, estaro circulando em ambiente de
terceiros. Este risco se agrava quando a reciprocidade ocorre entre
empresas pseudoconcorrentes que se unem exclusivamente com o
propsito de reduzir investimentos, precisando faz-lo pela especificidade
de suas atividades, como por exemplo, no processo de impresso de
jornais.
Estratgia de Contingncia Auto-suficincia Aparentemente uma
estratgia impensada, a auto-suficincia , muitas vezes, a melhor ou nica
estratgia possvel para determinada atividade. Isso ocorre quando
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
86
nenhuma outra estratgia aplicvel, quando os impactos possveis no
so significativos ou quando estas so inviveis, seja financeiramente,
tecnicamente ou estrategicamente. A escolha de qualquer uma das
estratgias estudadas at o momento depende diretamente do nvel de
tolerncia que a empresa pode suportar e ainda depende do nvel de risco
que seu executivo est disposto a correr. Esta deciso pressupe a
orientao obtida por uma anlise de riscos e impactos que gere subsdios
para apoiar a escolha mais acertada.
Planos de Contingncia
So desenvolvidos para cada ameaa considerada em cada um dos
processos do negcio pertencentes ao escopo, definindo em detalhes os
procedimentos a serem executados em estado de contingncia.
acertadamente subdividido em trs mdulos distintos e complementares que
tratam especificamente de cada momento vivido pela empresa.
Plano de Administrao de Crise Este documento tem o propsito de
definir passo-a-passo o funcionamento das equipes envolvidas com o
acionamento da contingncia antes, durante e depois da ocorrncia do
incidente. Alm disso, tem que definir os procedimentos a serem
executados pela mesma equipe no perodo de retorno normalidade. O
comportamento da empresa na comunicao do fato imprensa um
exemplo tpico de tratamento dado pelo plano.
Plano de Continuidade Operacional Tem o propsito de definir os
procedimentos para contingenciamento dos ativos que suportam cada
processo de negcio, objetivando reduzir o tempo de indisponibilidade e,
conseqentemente, os impactos potenciais ao negcio. Orientar as aes
diante da queda de uma conexo Internet, exemplificam os desafios
organizados pelo plano.
Plano de Recuperao de Desastres Tem o propsito de definir um
plano de recuperao e restaurao das funcionalidades dos ativos
afetados que suportam os processo de negcio, a fim de restabelecer o
ambiente e as condies originais de operao.
fator crtico de sucesso estabelecer adequadamente os gatilhos de
acionamento para cada plano de contingncia. Estes gatilhos de so
parmetros de tolerncia usados para sinalizar o incio da operacionalizao da
contingncia, evitando acionamentos prematuros ou tardios. Dependendo das
caractersticas do objeto da contingncia, os parmetros podem ser: percentual
de recurso afetado, quantidade de recursos afetados, tempo de
indisponibilidade, impactos financeiros, etc.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
87
Principais fases de elaborao do Plano de Contingncia
Corporativo
O Plano de Contingncia Corporativo prov a avaliao de todas as
funes de negcio, juntamente com a anlise do ambiente de negcios em
que a empresa se insere, ganhando-se uma viso objetiva dos riscos que
ameaam a organizao. Com o Plano de Contingncia, ela poder se
assegurar de que possui o instrumental e treinamento necessrios para evitar
que interrupes mais srias em sua infra-estrutura operacional possam afetar
sua sade financeira.
A metodologia do Programa do Plano de Contingncia consiste de 6
passos:
1 Avaliao do projeto: escopo e aplicabilidade;
2 Anlise de risco;
3 Anlise de impacto em negcios;
4 Desenvolvimento dos planos de recuperao de desastres;
5 Treinamento e teste dos planos;
6 Implementao e manuteno;
Riscos Envolvidos
So vrios os riscos envolvidos na criao e anlise de um Plano de
Contingncia. Observe a figura abaixo.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
88
Mais Informaes
O NIST National Institute of Standards and Technology
(http://www.nist.gov/) criou um documento intitulado Contingency Planning
Guide for Information Technology Systems que demonstra os conceitos j
explicados aqui e mtodos / exemplos de como aplicar e realizar um Plano de
Continuidade de Negcios.
Estudo de Caso
Os desastres acontecidos no envolvem computao. Entretanto, eles
testaram o gerenciamento e ambos os negcios teriam se convertido em
grandes perdas caso os mesmos no tivessem sido administrados
efetivamente.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
89
Caso Tylenol:estudo de caso.
A nica coisa necessria para que o mal triunfe a de que homens de bem no faam nada.
Edmund Burke
A humanidade no consegue tolerar muito a realidade.
T. S. Eliot
ADULTERAO, O MAL VINDO DE FORA: O CASO TYLENOL
Talvez, nem um outro caso recente tenha um impacto to grande como
a grande tragdia ocorrida com os eventos associados ao Tylenol. Um artigo
publicado na conhecida revista de negcios Forbes revela um lado sinistro do
caso como um todo. Uma premonio funesta estava no ar antes que os atos
hediondos que logo seriam associados ao Tylenol tivessem ocorrido. No
comeo de setembro de 1982, no retiro estratgico de planejamento de trs
dias da Johnson e Johnson, a empresa controladora da McNeil, o Presidente
da J & J's James Burke meditou sobre como tinham sorte em estarem numa
indstria que tinha tantas marcas extremamente lucrativas. Entretanto, ele
refletiu em voz alta, "E se algo acontecesse a um deles [aos seus principais
produtos], como o Tylenol?" "Nada," ele observou, " impenetrvel." Ningum
poderia aparecer com algo que poderia diminuir o mpeto do que parecia ser
um negcio extremamente bem sucedido, mas Burke "riu de si mesmo...por
estar se preocupando com coisas as quais ele no tinha por que se preocupar."
Ento o impensvel aconteceu.
No dia 29 de setembro de 1982, dois irmos, Adam e Steven Janus, e
Mary Kelleran, de dois diferentes subrbios fora de Chicago, morreram por
terem tomado cpsulas de Tylenol Extra-Forte. Um veneno mortal, cianeto,
havia sido injetado nas cpsulas. Um dia depois, Mary Reiner e Mary
McFarland , tambm dos subrbios de Chicago, morreriam de envenenamento
por cianeto. Tylenol fora identificado como o culpado em todos os casos. Mais
especificamente, as cpsulas venenosas foram rastreadas at o nmero do
lote 1910 MD e MC 2738. O pior havia acontecido. No s Tylenol havia sido
envenenado mas o desastre tinha sido ampliado a diversos lotes. Ningum
sabia como diversos lotes diferentes haviam sido infectados.
J & J reagiu prontamente. Todos os 93.400 frascos do lote nmero MC
2880 foram imediamente recolhidos. Um dia depois todos os 171.000 frascos
do lote nmero 1910 MD foram tambm recolhidos.
Em 4 de outubro de 1982, o FDA (Federal Drug Administration, o rgo
americano responsvel pelo controle de remdios) ordenou que seus 19
laboratrios comeassem a testar as cpsulas de Tylenol Extra-Forte. As
cpsulas foram recolhidas numa amostra aleatria das prateleiras em todo o
pas.
Naquele mesmo dia, a viuva de Adam Janus entrou com uma ao de
$15 milhes de dlares por danos contra a J & J. Duas outras aes foram
movidas mais tarde no valor de $ 35 milhes. Porm a mais grave de todas,
uma quarta ao estava para ser movida exigindo a restituio a qualquer
pessoa no pas que houvesse comprado Tylenol naquele ano! As estimativas
de custos potenciais daquela ao chegavam a $ 600 milhes.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
90
Em 5 de outubro, no dia seguinte, o envenenamento havia se espalhado
por toda a nao. Trs frascos de Tylenol Extra-Forte contendo uma
quantidade de estriquinina foram achados em Oroville, Califrnia.
Em 6 de outubro, J & J enviou mensagens via telex para
aproximadamente 15,000 revendedores e distribuidores. As mensagens
pediam para que eles removessem todos os 11 milhes de frascos do Tylenol
normal e do Extra-Forte de suas prateleiras.
O custo inicial para a J & J foi calculado em mais do que dlares
simplesmente. A tragdia cobrou o seu preo em impacto psicolgico do
mesmo modo que o fizera em dlares. Isto afetou a confiana e a segurana
que os executivos da J & J tinham em seus prprios produtos do mesmo modo
que afetou o pblico. A melhor analogia a de que para os executivos da J & J
e da McNeil fora como se algum da famlia houvesse morrido. A essncia, o
alicerce, do negcio de analgsicos foram construdos sobre uma palavra
chave: confiana. As pessoas tomavam Tylenol porque era recomendado por
mdicos ou porque lhes fora dado em hospitais. Elas o tomavam porque, nas
palavras de Burke, "elas no estavam bem e estavam num estado altamente
emotivo." As perguntas agora, segundo o autor do artigo publicado na Forbes,
Thomas More, colocara, eram: se a emotividade fora responsvel pela ingesto
inicial de Tylenol e a subsequente identificao da marca com este fato,
aquelas mesmas emoes se voltariam contra Tylenol porque as pessoas no
arriscariam com um produto cujo nome fora carregado emocionalmente de
maneira negativa? Se o nome Tylenol fora inicialmente associado com a
eptome da desconfiana e do mal? Quem culparia o pblico por no estar
disposto a dar uma nova chance?
Mesmo que o dlar no fosse suficiente para calcular o impacto total de
tal tragdia, a quantidade era impressionante de qualquer modo. Esta
quantidade era tudo menos desprezvel ou trivial. Em 1975, a McNeil comeou
a promover o Tylenol agressivamente como uma alternativa de analgsico para
aqueles que sofriam do estmago ou de outros efeitos colaterais da aspirina.
Em 1982, Tylenol tinha 35% do mercado de $ 1 bilho de dlares do
analgsico. Como uma prova da significncia de Tylenol para a J & J, ele
representava uma estimativa de 7% das vendas mundiais e algo em 15% ou
20% de seus lucros totais em 1981. Antes dos envenenamentos, os executivos
da McNeil previam confiantemente que Tylenol obteria 50% do mercado, ou
mais, at 1986.
Em suma, J & J recolheu uns 31 milhes de frascos com um valor de
revenda de mais de $ 100 milhes. Como resultado, os seus ganhos do
terceiro quadrimestre caram de 78 centavos a ao em 1981 para 51 centavos
em 1982. Os analistas de segurana projetaram uma queda de 70% em $ 100
milhes em vendas de balco dos produtos Tylenol no quarto quadrimestre.
Em 1983, previa-se que o Tylenol obteria meio bilho de dlares em vendas.
Depois da tragdia, os analistas previram que J & J teria sorte se ganhasse
metade disto.
A tragdia do Tylenol o nosso primeiro e talvez mais proeminente
exemplo do tipo de ato trgico impensvel que pode acontecer a qualquer
organizao. Um produto (ou servio) central, de suporte do qual a organizao
obtm uma quantia significante de sua renda e razo pela qual o pblico tem
um reconhecimento e lealdade considerveis em relao marca, foi criado
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
91
para fazer o bem. As propriedades do produto (servio) ento so alteradas, de
maneira drstica, pela injeo de substncias estranhas. O produto (servio)
ento convertido em um agente para se fazer mal a seus consumidores
insuspeitos. Como resultado, tanto os consumidores como os fabricantes do
produto (servio) sofrem uma perda considervel. Toda organizao agora est
vulnervel a este tipo de perda, tragdia, e ameaa.
Quando dizemos que este tipo de coisa impensvel, ns o fazemos em
dois sentidos distintos. Um, inacreditvel -totalmente impensvel- que algum
poderia de fato perpetrar tal ato contra outros seres humanos. A maioria de ns
acha difcil imaginar que tipo de mente realmente poderia fazer tais coisas. No
est alm de nossa imaginao pensar em atos violentos. Na verdade ns o
fazemos a todo o momento sem estar plenamente consciente. Porm estaria
alm da normalidade se nossos impulsos violentos cruzassem a barreira, no
importando quo frgil que ela possa ser, da mera fantasia para a sua atuao
de fato.
Dois, alm de medidas preventivas de embalagem, difcil se no
impossvel saber-se o que algum poderia ter feito anteriormente para prever
tais tragdias. Numa nao de aproximadamente 226.500.000 de pessoas,
parece ser claramente impossvel prever quais indivduos fariam tal coisa a
ponto de se poder isol-los e determinar sua exata localizao e momento de
atacar.
Em ambos relatos ns nos sentimos totalmente bloqueados. Nos
sentimos desamparados, merc de um ambiente incontrolvel e imprevisvel.
Como um autor escrevera comentando sobre o que a tragdia do Tylenol
significou para ele: "Um homem na Califrnia ameaou envenenar potes de
picles nas lojas Safeway (modo seguro, em ingls) a menos que recebesse
uma enorme quantia de dinheiro.
Na verdade, a mim parece um pouco assustador viver num mundo onde
sequer potes de picles sejam seguros...."
A crise do Tylenol em 1982 vista como um caso clssico de
neutralizao eficiente de crise. O sucesso da Johnson e Johnson
principalmente atribudo a sua resposta rpida e as suas aes, sua
agressividade, suas extensas e eficientes relaes pblicas e campanha na
mdia, sua abertura, e sua disposio em divulgar informaes relacionadas
crise para o pblico. A repetio da crise em fevereiro de 1986 certamente no
mudou a sua imagem. A experincia de 1986 foi caracterizada pelas mesmas
qualidades bsicas; J&J foi rpida, agressiva, e aberta.
Uma crise uma situao fora da situao normal. As condies da
crise podem evocar uma deciso de se fazer uma substituio total da diretoria
por uma nova equipe, que poderia trazer uma nova perspectiva e um novo
quadro. O argumento o de que os executivos atuais so arquitetos das
prticas e polticas existentes, defensores do status quo, e conseqentemente
relutantes em iniciar e instituir o tipo de mudanas necessrias para o controle
efetivo da crise. Obviamente, solues extremas talvez no sejam necessrias.
No entanto, uma crise cria uma nova situao que no pode ser trabalhada
com normas antigas.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
92
A urgncia de uma resposta rpida tambm uma caracterstica da
maioria das situaes crticas. Uma crise uma situao crtica e sensvel que
uma vez sendo negligenciada ou tratada inadequadamente, pode causar o
colapso de toda a organizao, pois o tempo disponvel para formular e
implantar uma resposta geralmente limitado. Uma situao de crise
apresenta um dilema. A resposta tem de ser sonora e efetiva bem como rpida
e vigorosa. No caso do Tylenol contaminado, acredita-se que a resposta rpida
e agressiva da J&J tenha sido significante para a soluo da crise, para se re-
adquirir o mercado perdido, e para o fortalecimento da credibilidade da
companhia junto aos consumidores. Diferentemente, em setembro de 1985
quando a rede estatal canadense de rdio e TV (Canadian Broadcasting
Corporation) acusou a subsidiria canadense da Star-Kist Foods, Inc. de enviar
exportar um milho de latas de atum "ranoso e em decomposio", a
companhia preferiu fazer pouco e se manter de boca fechada, assumindo que
o tempo automaticamente tomaria conta do problema. As semanas seguintes a
esta inatividade, causou uma queda de 90% na receita canadense da Star-
Kists, prejudicou seriamente a credibilidade do pblico na Star-Kist Foods e na
sua firma controladora H.J. Heinz Co, e colocou seriamente o futuro da Star-
Kist Foods Inc em dvida no Canad.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
93
Western Petroleum Transportation Inc. :Estudo de Caso
Os nomes desta companhia e dos funcionrios foram mudados neste
estudo de caso:estudo de caso.
PROJETO DE ORGANIZAO PARA ACIDENTES QUMICOS PERIGOSOS
A temperatura estava em uns 20 graus negativos em West City, fora do
escritrio central da Western Petroleum Transportations, Inc. A western
Petroleum (WPT) opera um sistema extenso de oleodutos que transporta mais
de 50 tipos de produtos petroqumicos (hidrocarbonos lquidos) dos centros de
produo de West City para os mercados do leste. Em 1984, mais de 200.000
metros cbicos por dia de hidrocarbonos foram despejados no sistema.
A WPT tem sido uma operao lucrativa, com uma renda descontada de
impostos de mais de $ 100 milhes de dlares. Os dados sobre segurana da
WPT tambm so invejveis; em 40 anos, a WPT teve apenas um grande
acidente fatal.
Nesta manh em particular, vrios membros da Equipe de Manuteno
de Oleodutos da WPT estavam pintando, inspecionando equipamentos, e
fazendo um inventrio do terminal central da WPT na "Refinary Row" nos
arredores de West City. Trs membros foram enviados para a rea de Three
Creeks, 100 km distante do trabalho de rotina em uma estao bombeadora.
Estas tarefas eram condizentes com os deveres da equipe, as quais incluam a
manuteno do oleoduto, a localizao de vazamentos e de problemas, a
reparao da linha, e o transporte de equipamento tanto de ida para como de
vinda dos locais de trabalho.
O piloto da companhia estava no ar em um vo de inspeo de rotina
sobre a linha preferencial do oleoduto. Nesta manh, nenhum problema fora
observado e o oleoduto parecia estar intacto.
Ao meio dia, a sala de controle no terminal recebeu uma ligao
telefnica de um fazendeiro de Three Creeks avisando sobre um provvel
vazamento de gs na rea. Embora os instrumentos da controle no
indicassem quaisquer irregularidades na linha, at mesmo grandes vazamentos
de substncias como gases liquefeitos naturais (GNLs) no so detectados
pelos instrumentos da sala de controle. Mesmo assim todos os oleodutos
paralelos da WPT foram imediatamente fechados.
O terminal ligou para Mel Ginter, o chefe de seo da equipe de
manuteno para avis-lo do vazamento suspeito. O Gerente Assistente do
Distrito recebeu a ligao e notificou o Gerente do Distrito. Simultaneamente, o
chefe de seo da Equipe de Manuteno chegou no escritrio j sabendo da
situao. Depois de informar outros membros da equipe para ficarem
aguardando por outras instrues no rdio. Ginter e um membro da equipe
partiu imediatamente para o local na camionete equipada com rdio de Ginter.
O Gerente e seu assistente argumentaram sobre o vazamento, ligaram
para a polcia para solicitar segurana para a rea do vazamento, e enviaram
um avio da companhia para monitorar o vazamento. Os trabalhadores da
WPT foram dirigidos para assegurar que uma vlvula de fechamento corrente
acima tivesse sido ativada para parar o fluxo do vazamento de produtos
qumicos para o segmento de linha. E o Gerente Assistente foi enviado para
supervisionar o local de vazamento.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
94
A polcia ergueu barreiras no norte e no sul, e em seguida foi dispensada
pelos membros da equipe de manuteno na barreira do sul. O chefe de seo
chegou na barreira do norte s 14:30 e observou que a rea de vazamento era
no campo de um fazendeiro, a um quilmetro da residncia mais prxima e
muitos quilmetros distante da cidade mais prxima.
O chefe de seo (Mr. Ginter) e um membro da equipe inspecionaram a
rea de vazamento. Caminhando prximo a uma coluna de gs, eles
confirmaram um vazamento de gs liquefeito natural e usaram um detetor de
gs para estabelecer uma localizao aproximada. A localizao exata seria
difcil de determinar; o vazamento de gs toma o caminho de menor resistncia
para chegar superfcie, portanto o gs pode aparecer com uma certa
distncia da origem do vazamento.
De volta camionete, Ginter se comunicou via rdio para West City para
consertar o equipamento e avisou ao Gerente que uma linha estava vazando
gases liquefeitos naturais. As outras duas (intactas) foram reabertas.
O Gerente Assistente chegou barreira do norte e ento comearam os
contatos via rdio entre o Gerente em West City , o Assistente e o Chefe de
Seo no local. A polcia fora dispensada na barreira do norte assim que os
membros da equipe e equipamentos comearam a chegar mais ou menos s
15:30. A rea de vazamento foi inspecionada repetidamente.
s 16:00 o Gerente Assistente e o Chefe de Seo concordaram que
eles estavam enfrentando um grande vazamento de gases liquefeitos naturais.
Os gases liquefeitos naturais so uma mistura de propano, butano, e
condensados levados sob presso temperaturas muito aqum de zero. Com
uma volatilidade alta, os GLNs podem ser inflamados com uma centelha, e
podem ter efeitos intoxicantes quando inalados. "A Ignio controlada" ou
ignio controlada um procedimento comum para vazamentos de GNLs e
efetuado para se evitar uma ignio no planejada de nuvens errticas de gs
durante os esforos.
O Gerente Assistente e o Chefe de Seo disseram ao gerente que "ns
temos de considerar seriamente a operao de efetuar a ignio controlada". O
Gerente endossou a deciso pela ignio controlada "apenas se fosse 100%
segura," e propiciou a instalao de uma vlvula-rolha 300 metros corrente
acima do vazamento para isolar uma seo pequena da linha. Uma vez que
GLNs em pouco mais de um quilmetro e meio de linha poderia valer milhes
de dlares, a ignio controlada seria cara; o fogo poderia queimar por 36
horas, atrasando os reparos e destruindo condensados que poderiam ser
recuperados mais tarde.
s 17:30 o assistente e o chefe de seo concordaram em no efetuar a
ignio controlada: estava escuro agora e a ignio controlada poderia ser
muito perigosa devido as dificuldades de monitoramento visual da coluna de
gs.
Mais membros da equipe chegaram, trazendo um sistema de iluminao
usado para iluminar locais de trabalho noite. Dois detetores de gs estavam
no local, embora as suas baterias estivessem se acabando. Um trailer com o
grosso do equipamento de reparo e suprimentos estava a caminho, incluindo
detetores de gs, e roupas prprias para a proteo contra o efeito congelante
de GNLs. A roupa protetora contra fogo no estava disponvel, apesar do
perigo de uma ignio no planejada.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
95
s 19:15, o Gerente Assistente estava s na barreira do norte e um
membro da equipe estava assegurando a barreira do sul. O sistema de
iluminao a diesel no dava partida na barreira do sul. Ele foi rebocado com
outro equipamento para um local a umas poucas centenas de metros contra o
vento a partir do vazamento onde o chefe de seo, quatro outros membros da
equipe de manuteno e um funcionrio contratado estavam localizados.
O sistema de iluminao finalmente "deu partida", apenas para voltar a
parar. Os odores de gs e as nuvens de gs que chegavam altura dos
joelhos se moviam pela rea e fizeram com que os membros da equipe
ficassem mais preocupados, e s 20:20 dois trabalhadores foram desligar as
mquinas de seu equipamento. De repente uma chama que tinha o tamanho
de vrios campos de futebol irrompeu. Um membro da equipe correu para o
campo e escutou gritos dos funcionrios a medida que o fogo os queimava.
O Gerente Assistente viu o fogo e tentou inutilmente estabelecer contato
via rdio com a equipe. Um fazendeiro que se dirigia para a barreira do norte
foi deixado para compor a barreira enquanto o assistente seguiu ao local de
trabalho. Logo em seguida, o caminho de equipamento de West City chegou
barreira do norte.
O membro da equipe que havia escapado do fogo retornou para o local
de trabalho e achou outros companheiros seriamente queimados, gritando em
agonia e dor. Ele correu em direo barreira do norte e relatou os ferimentos
causados ao Gerente Assistente. Eles enviaram esta mensagem via rdio para
os quartis da WPT, e ento se dirigiram para ajudar os homens feridos.
Os executivos da companhia a caminho do vazamento escutaram o
relatrio e chamaram uma ambulncia para levar os feridos a um pequeno
hospital local. O fogo no oleoduto queimou descontroladamente por trs dias.
Os homens feridos foram mais tarde transferidos para a unidade de
queimados de um hospital importante onde o chefe de seo e um trabalhador
morreram duas semanas depois. Trs outros trabalhadores permaneceram
hospitalizados por diversos meses.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
96
CAPTULO XI
Auditoria em Informtica
Introduo
O crescente uso dos computadores nas empresas bem como a sua
importncia estratgica, vem fazendo com que as empresas se preocupem em
aumentar o controle sobre os departamentos de processamento de dados, j
que estes controlam informaes vitais empresa.
Este controle feito atravs de um processo de Auditoria, que visa
descobrir as irregularidades em tais departamentos (caso seja feito em
microcomputadores) ou nos centros de processamento da empresa. A
Auditoria tambm identifica os pontos que iro desagradar a alta administrao
para que estes possam ser corrigidos.
Como no passado, a base da investigao era restrita ao setor da
finanas, as empresas no viam o porqu de manter um departamento
somente de auditores, preferindo contratar empresas prestadoras deste
servio. Atualmente com a proliferao do comutador, j necessrio manter
um departamento de auditoria interna.
A prtica deste tipo de auditoria iniciou-se nos Estados Unidos e na
Europa na dcada de 80. Como as tcnicas de processamentos e as maneiras
de burlar os controles vem evoluindo de maneira rpida, os auditores devem
estar sempre atentos a tais mudanas.
A Auditoria de processamento de dados deve abranger todas as reas
de um departamento de processamento de dados:
Coordenao de Problemas
Coordenao de Mudanas
Sistemas em Processamento Batch (em srie)
Recuperao de desastre
Capacidade dos Sistemas
Desempenho dos Sistemas
Desenvolvimento de Sistemas
Sistemas em Processamento On-Line (linha por linha)
Sistemas Financeiros
Rede de Telecomunicaes
Segurana de informao
Centro de computao
Microcomputador
Distribuio dos Custos
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
97
Perfil do Profissional Auditor em Informtica
O auditor aquela pessoa, ou departamento, que foi designado pela alta
administrao da empresa para avaliar, examinar e descobrir os pontos falhos
e a devida eficcia dos departamentos por ela vistoriados. Logicamente
auditado aquela pessoas ou setor que sofre a investigao da auditoria.
O auditor deve ser um profissional de grande conhecimento da rea de
processamento de dados e todas as suas fases. Deve ter objetividade,
discrio, raciocnio lgico e principalmente um sentimento real de
independncia, ou seja, em seus relatrios sejam eles intermedirios ou finais,
devem possuir personalidade e at mesmo os fatos incorretos na
administrao do auditado.
Posicionamento da Auditoria dentro da organizao
Este setor deve ser totalmente independente dos outros setores a fim de
que no tenha influncias no seu desempenho. Deve estar ligado diretamente
alta administrao da empresa.
Outro ponto importante a existncia de um planejamento prvio, no
nvel de datas, de quando e como iro ocorrer as auditorias. O sigilo deste
planejamento importante para que no hajam acertos de ltima hora que iro
resultar em relatrios no condizentes com a realidade, prejudicando o
desempenho da organizao.
Importncia da Auditoria e suas fases
Como j foi dito a auditoria dentro de um departamento, principalmente
na rea de processamento de dados, de vital importncia para empresa, j
que atravs desta a alta administrao dever ditar os rumos da empresa, alm
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
98
de evitar fraudes e garantir o bom desempenho dos setores auditados. Este
processo composto de: Pr-Auditoria, Auditoria e Ps-Auditoria.
Pr-Auditoria
Nesta fase enviado ao departamento a ser auditado um anncio,
atravs de um notificao formal do setor de auditoria ou pelo setor de Controle
Interno da empresa. Este anncio deve ser feito com at duas semanas de
antecedncia e dever especificar quais sero as reas a ser auditadas, com
seus respectivos planos de trabalho.
Ainda destro desta fase, sero feitas as primeiras reunies da alta
administrao com os auditores visando esclarecer os pontos e planos de
trabalho.
Nesta fase o grupo Auditor deve preparar as atividades administrativas
necessrias para a realizao da auditoria, definir as reas a auditar, orientar o
grupo de auditores quanto a estratgia a ser adotada, preparar o documento de
anncio e anunciar o setor da Auditoria.
O setor a ser auditado deve preparar as atividades administrativas de
apoio ao Grupo Auditor, educar o pessoal do setor quanto ao processo que
ser utilizado, deliberar (resolver aps examinar) quais informaes so
necessrias ao processo e fazer uma reviso final no setor.
Auditoria
Terminadas as reunies iniciais e aps definir as aes que sero
tomadas, inicia-se a auditoria. O Auditor-chefe far as solicitaes por escrito e
com data de retorno do representante do setor auditado.
De acordo com as datas preestabelecidas (na pr-auditoria) sero feitas
reunies onde os fatos identificados sero expostos e entregue um relatrio
destes fatos ao representante do setor auditado para que este emita, por meio
de outro relatrio as razes de estar em desacordo.
Se tais razes no forem aceitas pelo grupo Auditor, elas faro parte do
relatrio denominado Sumrio Executivo, que apresentado alta diretoria da
empresa. Dentro deste mesmo relatrio constar uma Avaliao Global da
situao da rea de informtica que est sendo auditada. Geralmente a
auditoria dura cerca de seis semanas.
Nesta fase, o Grupo Auditor deve avaliar os Controles (ou seja, como a
rea auditada funciona); documentar os desvios encontrados (falhas); validar
as solues, preparar o relatrio final e apresent-lo para a Presidncia.
O Setor auditado deve prover as informaes necessrias ao trabalho da
auditoria, analisar a exposio dos desvios encontrados, entender os desvios
encontrados, desenvolver planos de ao que solucionaro os desvios
encontrados, corrigir as exposies e revisar o Sumrio Executivo.
Ps-Auditoria
Terminada a auditoria, o grupo auditor emite um relatrio final
detalhando as suas atividades. Este relatrio conter o objetivo da Auditoria, as
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
99
reas cobertas por ela, os fatos identificados, as aes corretivas
recomendadas e a avaliao global do ambiente auditado.
Este relatrio enviado a todas as linhas administrativas, comeando
pela presidncia e terminando no representante do setor auditado.
Nesta fase, o Setor Auditado deve solucionar os desvios encontrados
pela auditoria, preparar resposta ao Relatrio Final e apresentar para a
Presidncia, administrar concluso dos desvios e manter o controle para que
os erros no se repitam e a eficcia seja mantida.
O Grupo Auditor deve distribuir o Relatrio Final, revisar resposta
recebida (solues e justificativas apresentadas), assegurar o cumprimento do
compromissado e analisar a tendncia de correo.
Inter-Relao entre auditoria e segurana em informtica
Resumindo, podemos dizer que a segurana e a auditoria so
interdependentes, ou seja, uma depende da outra para produzirem os efeitos
desejveis alta administrao.
Enquanto a segurana tem a funo de garantir a integridade dos dados,
a auditoria vem garantir que estes dados estejam realmente ntegros
propiciando um perfeito processamento, obtendo os resultados esperados.
Com isso, conclumos que para que uma empresa continue competitiva
no mercado, ela deve manter um controle efetivo sobre as suas reas e isso
feito atravs do processo de auditoria.
A atividade de auditoria em segurana de informao
A auditoria tem como verificar se os requisitos para segurana da
informao esto implementados satisfatoriamente, mantendo a segurana nos
dados da empresa e verificando se os seus bens esto sendo protegidos
adequadamente.
Inicialmente o auditor deve revisar o plano aprovado, ou seja, verificar se
o mtodo utilizado para proteo de informaes o melhor ou se precisa
sofrer alguma atualizao, sempre relacionado com o esquema de trabalho a
seguir dentro da rea que est sendo auditada.
Depois de terminado o estudo do plano, o auditor solicita os
procedimentos necessrios para descrever as diversas atividades que exige
uma Segurana em Informtica. Esses procedimentos sero confrontados com
a realidade do dia-a-dia dentro do departamento, ou seja, verificando se todos
os procedimentos necessrios Segurana em Informtica so corretamente
utilizados no departamento que est sendo auditado.
Na investigao o Auditor dever revisar os seguintes itens, verificando
se:
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
100
O proprietrio (aquele que tem permisso para acessar um certo conjunto
de informaes), periodicamente faz uma reviso em todos os dados que
ele possui acesso para verificar se houver perdas, alteraes, ou outras
problemas de qualquer natureza. O Centro de Computao deve ser
avisado sobre os resultados obtidos atravs da reviso tanto quando eles
forem favorveis (os dados esto corretos) ou quando for encontrado
alguma irregularidade.
Todos os proprietrios esto identificados, ou seja, os que possuem acesso
a um conjunto de informaes especficas;
Os inventrios so realizados conforme requerido, padronizados e
periodicamente;
Os dados possuem a proteo necessria para garantir sua integridade,
protegendo-os contra acessos e alteraes indevidas;
As documentaes necessrias devem ser avaliadas pelas reas
competentes, garantindo que estas demonstrem o que realmente ocorre
dentro da rea a que se est referindo as documentaes;
Quando ocorrem desastres desde um erro de digitao at a perda total dos
dados de um banco de dados, existe um plano de recuperao em caso de
desastre que so testados conforme requerido. Por exemplo, existem os
sistemas de backup e recovery, isto , os dados mais importantes devem
possuir cpias evitando transtorno em caso de acontecimentos
inesperados, verificando sempre se essas cpias esto seguras evitando
problemas;
Os programas crticos, ou seja, os programas de sobrevivncia da empresa
mais importantes, so seguros o suficiente que qualquer tentativa de fraude
no consiga alterar o sistema;
Um terminal tem acesso somente as informaes inerente queles que iro
manipul-lo, ou seja, um terminal no setor de Finanas s prover
informaes ligadas a este setor e seus processos, no ter acesso s
informaes relacionadas ao setor de Recurso Humanos. Por sua vez,
estes terminais podem possuir senhas prprias, podendo ser acessado
somente pelos envolvidos a este setor que estejam autorizados a
possurem tais informaes, estando protegido assim, contra acessos no
autorizados, ou utilizado outros mtodos, pois depende de que rea encara
como segurana da informao;
As senhas devem possuir suas trocas automticas garantidas, pois muito
arriscado para uma empresa, principalmente empresas de grande porte,
manter uma mesma senha por um grande perodo;
O processo de auto-avaliao desta rea foi feito e concludo com sucesso;
Todos os usurios esto autorizados para o uso do computador, isto ,
qualquer pessoa no autorizada a manipular dados dentro do sistema
possa obter informaes sem influenciar o sistema. Ex.: alteraes.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
101
A auditoria no serve somente para apontar os defeitos e problemas
encontrados dentro de uma organizao, o processo de auditoria deve ser
considerada uma forma de ajuda aos negcios da empresa.
Outro documento importante sobre o processo de auditoria em sistemas
de informao o A Guide to Understanding Audit in Trusted Systems
publicado pela National Computer Security Center (hoje o atual NIST).
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
102
CAPTULO XII
Legislao
Legislao Brasileira e Instituies Padronizadoras
A segurana de informaes, em funo de sua grande importncia para
a sociedade modera, deu origem a diversos grupos de pesquisa, cujos
trabalhos muitas vezes so traduzidos em padres de segurana, e a projetos
legislativos que visam tratar do assunto sob o aspecto legal, protegendo os
direitos da sociedade em relao a suas informaes e prevendo sanes
legais aos infratores.
Em geral, os padres de segurana so utilizados no mbito
internacional, enquanto as leis e normas so normalmente estabelecidas em
carter nacional, podendo haver, entretanto, similaridade entre as legislaes
de pases diferentes.
Para implantar segurana de informaes, recomendvel, portanto,
que a instituio pesquise e sempre se mantenha atualizada quanto
legislao aplicvel e aos padres de segurana estabelecida por organismos
nacionais e internacionais.
A nossa legislao, com relao segurana de informaes, no est
to consolidada como a legislao americana, porm j existem alguns
dispositivos legais sobre assuntos relativos informtica, direitos autorais e
sigilo de informaes:
Projeto de lei do Senador Renan Calheiros, de 2000 define e tipifica os
delitos informticos;
Projeto de lei n 84, de 1999 dispe sobre os crimes cometidos na rea de
informtica e suas penalidades;
Lei n 9.609, de 19 de fevereiro de 1998 dispe sobre a proteo da
propriedade intelectual de programa de computador e sua comercializao
no pas;
Lei n 9.610, de 19 de fevereiro de 1998 altera, atualiza e consolida a
legislao sobre direitos autorais;
Lei n 9.296, de 24 de julho de 1996 regulamenta o inciso XII, parte final,
do artigo 5, da Constituio Federal. O disposto nessa lei aplica-se a
interceptao do fluxo de comunicaes em sistemas de informtica e
telemtica;
Projeto de Lei do Senado n 234, de 1996 dispe sobre crime contra a
inviolabilidade de comunicao de dados de computador;
Projeto de Lei da Cmara dos Deputados n 1.713, de 1996 dispe sobre
o acesso, a responsabilidade e os crimes cometidos nas redes integradas
de computadores;
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
103
Decreto n 96.036, de 12 de maio de 1988 regulamenta a Lei n 7.646, de
18 de dezembro de 1987, revogada pela Lei n 9.609, de 19 de fevereiro de
1998;
Decreto n 79.099, de 06 de janeiro de 1977 aprova o regulamento para
salvaguarda de assuntos sigilosos.
Voc pode acompanhar todas as leis referentes a internet no site Internet
Legal (http://www.internetlegal.com.br/legis/) mantido pelo advogado Omar
Kaminski. Garanto que vale a pena a visita ao site. Outro site com artigos
interessantes sobre a legitimidade dos documentos digitais o do advogado
Aldemario Arajo Castro (http://www.aldemario.adv.br/dinformatica.htm),
mantido pelo prprio. Esta referncia
(http://www.estig.ipbeja.pt/~ac_direito/dinfhome.html) veio l de Portugal,
oferecido pelo amigo e professor Manuel David Masseno.
Consideraes
12
A Internet a mdia mais segura, e a mais insegura, que existe. J ,
estatisticamente, onde ocorre a maioria das fraudes, invases de privacidade, e
outros ilcitos cveis e criminais. Por outro lado, tecnicamente, a que oferece
maiores condies de garantia de integridade, procedncia e autenticidade nas
comunicaes. Como se situa a lei, entre esses dois plos ?
Em primeiro lugar, cabe lembrar que bem antes da Internet, essa
questo j se apresentava, em face da armazenagem eletrnica, das
transmisses de dados em redes fechadas, do intercmbio eletrnico de dados
(EDI), etc., sem que existissem leis de assinatura digital, contratos eletrnicos,
e semelhantes. Como, ento, o Direito dava conta dessas situaes ?
Simples: fazendo uso de dois princpios fundamentais, o da autonomia
da vontade ("o contrato lei entre as partes") e o da responsabilidade civil
("quem causa um dano ilicitamente, deve repar-lo"). Por exemplo, em
contratos de EDI se estipulava obrigao de sigilo em relao a senhas, e
reconhecimento da validade de mensagens eletrnicas para fins de prova
documental. E o fabricante de computadores ficava sujeito a consertar ou
indenizar qualquer defeito.
Porm, havia, e continua a haver, um detalhe. que a alta sofisticao
da informtica, e a dependncia que ela gera, so associadas as maiores
responsabilidades, tanto para os fornecedores de solues de informtica,
quanto para os que dela se utilizam para oferecer bens ou servios a terceiros.
Nos EUA, chegaram at a tentar criar a expresso computer malpractice,
para elevar o nvel de responsabilidade do setor equiparando-o severidade
dos erros mdicos, denominados medical malpractice. No mundo inteiro, os
prejuzos da informtica geram indenizaes maiores, e o uso de
computadores costuma ser classificado como agravante no julgamento de
crimes.
12
(Almeida, 2001)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
104
Assim, como minimizar essa responsabilizao mais grave? Resposta
bsica: atentando no dever de escolher um bom fornecedor ou funcionrio
(culpa in eligendo), no de exercer um mnimo de vigilncia (culpa in
vigilando), no de no omitir informaes relevantes (culpa in omittendo) e no
de contratar em termos adequados (culpa in contraendo). Resumindo, trata-
se de contratar um fornecedor bem reputado e que possua o estado da arte,
acompanhar seu trabalho, assegurar as informaes importantes, e fazer um
contrato bem estruturado. Isto significa haver tomado as precaues
esperveis no limite das possibilidades, o que isenta de maiores
responsabilidades, na medida em que ningum culpado pelo impossvel.
Lgico, as leis que esto vindo para regular a Internet, nas reas de
privacidade (cookies e spam), assinatura digital, concorrncia, consumidor,
e outras, reforaro as protees asseguradas pelo Direito. Mas como o ritmo
do Legislativo, em qualquer pas, mais lento que a evoluo contnua da
Internet, sempre haver dficit legislativo, portanto os princpios tradicionais do
Direito continuaro necessrios.
A que a lei e a tcnica se juntam, transformando a responsabilidade
em oportunidade. que o conhecimento especializado de ambas permite tirar
o melhor partido da aplicao dos princpios antigos, atualizando-os frente a
novas realidades. Alm de diferencial competitivo, este know-how propicia,
para os que o utilizam, que a Internet seja, de fato e de direito, a mais segura
das mdias.
Crime digital
13
O crime digital em todas as suas formas um Crime de Meio, um crime
corriqueiro que cometido atravs do uso do computador, e no uma nova
modalidade de crime nunca visto antes. Logo, a questo de se punir os
criminosos digitais no tanto pela falta de leis que o permitam, mas tambm
pelo despreparo do poder de polcia em lidar contra os atos ilegais com as
ferramentas que se encontram disponveis na jurisdio brasileira.
um fato conhecido de que a justia brasileira lenta tanto em
processar quanto legislar, porm com a existncia da tipificao dos crimes j
na legislao, e apenas a necessidade de se utilizar os ditos tipos de crimes no
mbito da informtica ajuda a agilizar eventuais processos contra criminosos
digitais.
Os crimes que podemos analisar ento so aqueles cujo fim est
coberto pelo mbito da legislao j vigente, divididos entre crimes contra a
pessoa, crimes contra o patrimnio, crimes contra a propriedade imaterial,
crime contra os costumes, crimes contra a incolumidade pblica, crimes contra
a paz pblica e outros crimes menos comuns. Ser exemplificado, a seguir,
formas digitais da ocorrncia destes crimes.
13
Fonte: (Ravanello, Hijazi e Mazzorana, 2004)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
105
Crimes contra a pessoa
So crimes que visam a vida e a integridade fsica dos seres humanos:
Homicdio: Ticio invade um sistema de controle de semforos,
deixando o sinal no estado "verde" tanto para o pedestre quanto para
o veculo que vem no sentido contrrio, causando o atropelamento
do pedestre; neste caso, respondem tanto o motorista e o invasor por
homicdio, o motorista responde por homicdio culposo por no ter
pretendido matar um pedestre e o invasor por homicdio doloso, por
ter deliberadamente causado um evento capaz de tirar vidas.
Crimes contra a honra: Uma pessoa mal intencionada publica em
uma pgina web informaes de cunho calunioso ou informaes
que no se pode provar; Uma pessoa envia para mais de uma
pessoa um e-mail expondo a sua opinio negativa acerca de outra
pessoa de maneira caluniosa, com informaes acerca da pessoa
que quem enviou o e-mail no consegue provar a veracidade.
Induo, Estmulo ou Auxlio ao Suicdio: Ticio encontra Mvio em
uma sala de bate-papo, onde Mvio revela Ticio seu desejo de
extinguir a sua vida. Ento Ticio passa a estimular Mvio a cometer o
suicdio, e caso Mvio venha a ter sucesso neste ato, a prova
material da influncia de Ticio na morte de Mvio exatamente o
computador e os eventuais logs de conversas entre Ticio e Mvio. A
ttulo de exemplo, na data de 18/03/1999, o jornal "O Tempo", de
Belo Horizonte, publicou o endereo de um site americano que
encorajava o suicdio como soluo final dos problemas, e pedia que
os suicidas publicassem suas cartas de despedida no site. Pelo
menos 3 pessoas das que postaram suas cartas de despedida no
site foram encontradas mortas e uma quarta no teve sucesso na
tentativa de suicdio e foi internada para tratamento psicolgico;
Crimes contra o patrimnio
Furto: Ticio entra em um site de algum operador financeiro e passa a
manipular os centavos de diversas contas, transferindo-os para uma
conta prpria.
Estelionato: Ticio envia e-mails fazendo correntes e pedindo que
sejam efetuados depsitos monetrios em uma conta corrente
especfica; ou ainda: a mesma pessoa utiliza um software criado para
gerar nmeros falsos de carto de crdito e de CPF, fazendo
compras ento com estes nmeros falsos. O crime de estelionato o
mais comum pela Internet, e o que mais gera processos criminais.
Crimes contra a propriedade imaterial
Violao de Direito Autoral: Ticio cria um site que permite que
outras pessoas faam download de programas completos ou
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
106
msicas sem pagar nada por isso.
Concorrncia Desleal: o dono da Empresa MevioTronic publica em
um site que o produto produzido pela sua concorrente, a empresa
TicioTronic, altamente nocivo para a sade, segundo uma pesquisa
americana.
Usurpao de nome ou pseudnimo alheio: Ticio invade o site de
um famoso escritor Mvio e l publica um conto de sua autoria, e um
comentrio assinado pelo escritor dizendo que nele baseou alguma
obra qualquer.
Crimes contra os costumes
Pedofilia: Publicar, gerar, transmitir ou acessar imagens de crianas
e adolescentes mantendo relaes sexuais.
Favorecimento prostituio: Ticio constri um site que contm
links para fotos e nmeros de telefone de prostitutas, ou ainda uma
Mvio que envia mensagens (e-mail, celular, torpedo), convidando
mulheres a se cadastrarem e oferecerem seus servios em dado site.
Rufianismo: no mesmo site acima, uma opo para se contratar as
mulheres e se pagar com o carto de crdito diretamente no site.
Crimes contra a incolumidade pblica
Trfico de Drogas e de Armas com ou sem Associao para:
Ticio anuncia em um leilo pela Internet drogas ou armas com
entrega em domiclio.
Crimes contra a paz pblica
Incitao ao Crime: Ticio, preconceituosa faz um site com
comentrios racistas e com a possibilidade de outras pessoas
tambm "expressarem sua opinio".
Formao de Quadrilha ou bando: Ticio, Mvio e Licio combinam,
em um chat pela Internet a invaso de um site de um grande banco,
com o objetivo de dividir os esplios entre suas contas.
Outros crimes menos comuns
Ultraje a culto ou prtica religiosa: Ticio constri um site apenas
para maldizer uma prtica religiosa e todos os seus seguidores.
Crime eleitoral: Ex-candidato Ticio, desprovido de direitos eleitorais
por ter sido caado anteriormente, envia mensagens s pessoas,
pedindo votos para seu aliado, o candidato Mvio.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
107
Legislao especfica para o meio digital
14
A lei 9.296/96 a primeira lei especfica para o meio digital e trata,
basicamente do sigilo das transmisses de dados, segundo a qual vedado a
qualquer pessoa ou entidade o direito de interceptao de mensagens digitais
ou telefnicas, bem como quaisquer comunicaes entre 2 computadores por
meios telefnicos, telemticos ou digitais.
A interpretao mais recente desta lei observa exatamente esta ultima
parte da lei, "comunicao entre 2 computadores" e a aplica a furto de dados
de bancos de dados, invaso e espionagem ou sniffing da rede e outros delitos
que envolvam a manipulao de um terceiro um conjunto de dados
pertencente a outros computadores.
Ainda a lei 9.983/00 prev como crime a ao de divulgao de segredo,
inclusive por meio da Internet tanto a sua transmisso quanto sua descoberta,
sendo considerado como segredo, para efeitos da lei, senhas, dados de
clientes ou quaisquer outras informaes que no possam ser obtidas seno
atravs da invaso do site. Esta lei tambm inclui como crime aes que
englobam mas no se limitam insero proposital de dados invlidos em
bancos de dados e da construo e modificao de sistemas sem a
autorizao do proprietrio.
Ainda circula pela cmara dos deputados um Projeto de lei, de nmero
89/04 que prev condutas tipicamente do meio digital, como disseminao de
vrus, invaso e pichao de sites, entre outros.
Prova de autoria e dificuldades tcnicas que atrapalham a
captura de criminosos virtuais
15
Visto que h legislao capaz de atender muitas das ocorrncias de
crimes digitais, podemos afirmar que no apenas a incapacidade de se
processar um crime digital que impede que o Brasil tenha um nmero to
grande de ocorrncias de invases sem punio.
A principal dificuldade encontra-se em efetuar a prova da autoria de um
crime digital, prova esta que a evidncia irrefutvel de que uma pessoa
utilizou um computador para efetuar um crime.
A legislao brasileira compara o computador, nos casos de crime
digital, uma ferramenta, arma do crime. Se em um homicdio ns temos a
figura da vtima, o ato (perfuraes por arma de fogo) e a arma que foi usada,
em um crime digital existe a mesma estrutura, que a vtima que teve sua
perda moral ou material, o ato (modificao de dados, excluso, cpia
indevida) e a arma que foi usada para tal, no caso o computador.
Em um crime real, no entanto, existe a necessidade em se ligar a arma
14
Fonte: (Ravanello, Hijazi e Mazzorana, 2004)
15
Fonte: (Ravanello, Hijazi e Mazzorana, 2004)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
108
de um crime a uma pessoa que o tenha cometido. Esta ligao pode ser
efetuada por testemunhos, por anlises forenses laboratoriais ou por provas
materiais como fotos e filmagens, por exemplo.
No mundo digital, no entanto, h uma complicao a isso: como garantir
que uma pessoa realmente utilizou tal computador para efetuar um crime? As
tcnicas forenses so utilizadas para determinar com exatido qual computador
foi utilizado e quais as aes do criminoso digital, porm difcil de se ligar
uma pessoa ao ato criminoso. Esta exatamente a maior dificuldade em se
reprimir o crime digital. Para poder autuar um criminoso digital, necessrio
um conjunto muito grande de provas circunstanciais ou ento de uma autuao
em flagrante delito; dadas s dimenses da Internet, onde o crime pode ser
cometido em qualquer lugar do mundo e a partir de qualquer outro lugar do
mundo, o flagrante instantneo de mostra difcil de se obter, logo necessria
sempre uma investigao profunda na qual se permite que o delito seja
praticado s vezes at mais de uma vez, para que se possa obter uma
autuao em flagrante.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
109
CAPTULO XIII
Segregao de Ambiente e Funes
Introduo
Um dos muitos itens que constam na norma a segregao de funo.
A segregao de funo pode ser explicada com um exemplo simples: um DBA
cria a base dados, um programador ir criar os programas que trabalham com
esta base, mas ser o usurio que ir popular a base. Nem o DBA e nem o
programador poder ter permisses para alterar as informaes cadastradas
pelo usurio do sistema.
A segregao de ambientes, consiste em trabalhar com pelo menos 3
ambientes idnticos em termos de configurao de mquina (ou no mnimo, em
termos de funcionalidade) e software, estes ambientes so chamados
popularmente de Desenvolvimento, Homologao e Produo. Teoricamente, o
programador somente tem acesso total no ambiente de desenvolvimento. O
processo de transferncia de software de um ambiente para outro, deve ser
realizada por uma pessoa ou rea especfica e deve estar o mais bem
documentado possvel.
A proteo destes ambientes simples, o desenvolvedor somente tem
acesso ao ambiente de desenvolvimento (baseando em autenticao do
prprio sistema operacional, com login e senha) e ele no pode ter o domnio
de nenhuma chave de acesso aos ambientes de homologao e produo (no
pode ter acesso ao sistema operacional e nem ao banco de dados destes
ambientes). Caso exista a necessidade de um acesso, deve ser criada uma
chave temporria de acesso e todas as informaes (comandos de sistema
operacional e banco de dados) devem ser registradas.
A empresa deve ter uma norma rgida para tentativas de acesso
indevidas e detectadas. Deve-se estabelecer uma poltica clara e que deve ser
cumprida. Uma sugesto de punio uma multa para o funcionrio infrator
com possvel demisso no caso de re-incidncia.
Vamos ver os conceitos a seguir, extrados diretamente da norma.
Segregao de Funes
A segregao de funes um mtodo para reduo do risco de mau
uso acidental ou deliberado dos sistemas. Convm que a separao da
administrao ou execuo de certas funes, ou reas de responsabilidade, a
fim de reduzir oportunidades para modificao no autorizada ou mau uso das
informaes ou dos servios, seja considerada.
As pequenas organizaes podem considerar esse mtodo de controle
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
110
difcil de ser implantado, mas o seu princpio deve ser aplicado to logo quanto
possvel e praticvel. Onde for difcil a segregao, convm que outros
controles, como a monitorao das atividades, trilhas de auditoria e o
acompanhamento gerencial sejam considerados. importante que a auditoria
da segurana permanea como uma atividade independente.
Convm que sejam tomados certos cuidados para que as reas nas
quais a responsabilidade seja apenas de uma pessoa no venha a ser alvo de
fraudes que no possam ser detectadas. Recomenda-se que o incio de um
evento seja separado de sua autorizao. Recomenda-se que os seguintes
controles sejam considerados:
importante segregar atividades que requeiram cumplicidade para a
concretizao de uma fraude, por exemplo, a emisso de um pedido de
compra e a confirmao do recebimento da compra.
Se existir o perigo de conluios, ento necessrio o planejamento de
controles de modo que duas ou mais pessoas necessitem estar envolvidas,
diminuindo dessa forma a possibilidade de conspiraes.
Separao dos ambientes de desenvolvimento e de produo
A separao dos ambientes de desenvolvimento, teste (homologao) e
produo so importantes para se alcanar segregao de funes
envolvidas. Convm que as regras para a transferncia de software de
desenvolvimento para produo sejam bem definidas e documentadas.
As atividades de desenvolvimento e teste podem causar srios
problemas, como, por exemplo, modificaes no autorizadas total ou
parcialmente de arquivos ou do sistema. Convm que seja avaliado o nvel de
separao necessrio entre o ambiente de produo e os ambientes de teste e
de desenvolvimento, para prevenir problemas operacionais. Convm que uma
separao semelhante tambm seja implementada entre as funes de
desenvolvimento e de teste. Nesse caso, necessria a existncia de um
ambiente confivel e estvel, no qual possam ser executados os testes e que
seja capaz de prevenir o acesso indevido do pessoal de desenvolvimento.
Quando o pessoal de desenvolvimento e teste possui acesso ao
ambiente de produo, eles podem introduzir cdigos no testados ou
autorizados, ou mesmo alterar os dados reais do sistema. Em alguns sistemas
essa capacidade pode ser mal utilizada para a execuo de fraudes, ou
introduo de cdigos maliciosos ou no testados. Esse tipo de cdigo pode
causar srios problemas operacionais. O pessoal de desenvolvimento e os
encarregados dos testes tambm representam uma ameaa a
confidencialidade das informaes de produo.
As atividades de desenvolvimento e teste podem causar modificaes
no intencionais no software e a informao se eles compartilham o mesmo
ambiente computacional. A separao dos recursos de desenvolvimento, de
teste e operacionais dessa forma bastante desejvel para a reduo do risco
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
111
de modificao acidental ou acesso no autorizado ao software operacional e
dados dos negcios. Recomenda-se que os seguintes controles sejam
considerados:
Convm que o software de desenvolvimento e o software de produo
sejam, sempre que possvel, executados em diferentes processadores, ou
diferentes domnios ou diretrios.
Convm que as atividades de desenvolvimento e teste ocorram de forma
separada, tanto quanto possvel.
Convm que compiladores, editores e outros programas utilitrios no
sejam acessveis a partir do ambiente de produo, quando isso no for
uma necessidade.
Convm que o processo de acesso ao ambiente de produo seja diferente
do acesso de desenvolvimento para reduzir a possibilidade de erro.
Convm que os usurios sejam incentivados a usar diferentes senhas para
esses ambientes e as telas de abertura exibam mensagens de identificao
apropriadas.
Convm que o pessoal de desenvolvimento receba senhas para acesso ao
ambiente de produo, e de forma controlada e apenas para suporte a
sistemas no ambiente de produo. Convm que sejam utilizados controles
que garantam que tais senhas seja alteradas aps o uso.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
112
CAPTULO XIV
A Questo Humana na Segurana da Informao
Os avanos tecnolgicos, principalmente na rea dos computadores,
tm permitido a automao de muitos processos e trabalhos antes manuais,
em uma variedade de aplicaes, em geral com foco no aspecto econmico e
relacionado ao aumento da produtividade, na reduo dos custos, alm de
outros objetivos como a reduo da fadiga e de tempo em processos
repetitivos, preciso no manuseio de informaes, etc. Contudo, os
equipamentos de automao agregam um alto valor monetrio no processo,
como os custos dos equipamentos, dos custos decorrentes da prpria
operao, manuteno e de treinamento aos operadores; por outro lado, em
determinadas aplicaes, necessrio aplicao da redundncia nos
equipamentos para que os nveis de confiabilidade sejam garantidos (Leveson
et al, 1997).
De que adianta toda a proteo tecnolgica ?
Algumas tarefas realizadas por humanos necessitam de preciso de
uma mquina eletrnica, mas so os homens que criam as especificaes para
estas mquinas e muitas destas especificaes contm inconsistncias e
indefinies (Martin, 1991). Antigamente, a ateno sobre a segurana da
informao estava focada para a tecnologia. Hoje, o desafio construir uma
relao de confiabilidade com clientes e parceiros.
Conforme (Rezende e Abreu, 2000), as empresas esto procurando dar
mais ateno ao ser humano, pois ele que faz com que as engrenagens
empresariais funcionem perfeitas e harmonicamente, buscando um
relacionamento cooperativo e satisfatrio para ambas as partes, com objetivos
comuns.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
113
Atualmente, os negcios de uma empresa esto atrelados a 3 itens
importantes:
Processos Conjunto de atividades que produzem um resultado til para o
cliente interno ou externo.
Pessoas Grupos que visam alcanar seus objetivos e atender as suas
necessidades (Rezende e Abreu, 2000). Na realidade, so as pessoas que
projetam e executam os diversos processos dentro de uma empresa.
Tecnologia Toda e qualquer ferramenta utilizada pelas pessoas da
empresa para que seja realizada.
Conforme a figura abaixo demonstra, os processos, as pessoas e
tecnologias devem atender a uma estratgia da empresa, pode-se afirmar que
a estratgia da empresa obter o lucro para seus administradores e acionistas.
Para que a estratgia seja alcanada, necessria a conscientizao de todas
as partes envolvidas.
Estratgia
Tecnologia
Processo
Pessoas
Conscientizao
Polticas
Comportamento
Cultura Estrutura
Papeis
Firewall
PKI
IDS
Relao dos componentes de uma empresa.
Conforme (DeMarco e Lister, 1990), os principais problemas de uma
empresa no so de natureza tecnolgica, mas sim sociolgica. Partindo deste
princpio, pode-se afirmar que o elo mais fraco de um processo de segurana
a pessoa (ou grupos de pessoas).
No planejamento estratgico das informaes, vital a participao do
Analista ou Gestor do Negcio, pois somente ele pode mensurar a importncia
da informao (Feliciano Neto, Furlan e Higo, 1988). Se um processo no
funciona adequadamente, por que alguma pessoa a projetou errada ou
escolheu a tecnologia inadequada. Caso alguma das tecnologias venha a
falhar ou no atender as necessidades da empresa, a culpa da pessoa que
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
114
configurou ou mesmo definiu aquela tecnologia. Vale lembrar que falhas da
tecnologia por outros fatores, como por exemplo, a ausncia de eletricidade,
tambm pode ser atribuda pessoa. Afinal, ela deveria ter-se preocupado em
garantir a continuidade das operaes da empresa.
Os fatores de sucesso crticos para empresa so decompostos em
fatores de sucesso crticos para os departamentos e ento relacionados s
motivaes dos executivos (Martin, 1991). Os produtos e servios so criados
dentro de um ambiente extremamente dinmico. O desafio est em inovar,
ousar, agilizar e controlar, identificando e gerenciando os riscos para as partes
envolvidas.
A divulgao das informaes pelas pessoas que participam da
organizao constitui-se em uma falta tica e moral grave. Semelhantemente,
na economia do conhecimento a divulgao de dados ou informaes
organizacionais pode acarretar em perdas econmicas ou danos quanto a
possibilidades de insero privilegiada para a organizao ou seus produtos e /
ou servios no mercado (danos estratgicos). Conforme a prxima figura
demonstra (baseando-se na tradicional pirmide de nveis dentro de uma
empresa), o nvel operacional caracterizado por 2 lados: Quem precisa
implantar a segurana e as pessoas que precisam utilizar os recursos da
empresa.
Ttico
Estratgico
Operacional
Usurios
Tcnicos ou
Pessoal de
segurana
Neste contexto, alguns cuidados devem ser tomados com relao s
pessoas, processos e tecnologias de uma empresa (DeMarco e Lister, 1990):
Ensinar aos seus funcionrios a ler sobre o desenvolvimento do seu
trabalho;
possvel obter qualidade sem ferramentas maravilhosas;
No existe tcnicos ou ferramentas que tragam a qualidade de uma hora
para outra;
Constantes modificaes so inimigas da qualidade;
No construa sistemas que querem prever e tratar todas as possibilidades
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
115
altere somente quando o caso rarssimo ocorrer;
Uma metodologia funciona, quando toda a equipe conhece, entende e
compreende o significado da mesma;
Os melhores testes so feitos por outros tcnicos que no participaram na
confeco do software. Mais importante, os tcnicos que realizam os testes
conhecem tanto da rea de negcios como da rea tecnolgica;
Todas informaes (ou quase) tm a interferncia de um ser humano no
processo ou tecnologia, neste caso necessrio garantir a confiabilidade
humana nas partes envolvidas.No contexto da engenharia, a confiabilidade
humana a probabilidade de que um humano execute corretamente uma
tarefa designada em um tempo especificado, durante um perodo de tempo
definido em um ambiente tambm especificado (Lasala, 1998).
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
116
CAPTULO XV
Um modelo para Implantao da Segurana
Conforme (Stoneburner, 2001), o modelo de segurana descrito na
prxima figura que mostra os servios preliminares e os elementos usados
para suportar e executar a segurana da tecnologia de informao, junto com
seus relacionamentos preliminares. O modelo classifica tambm os servios
de acordo com sua finalidade preliminar como segue:
Suporte Servios genricos para a maioria das atividades na
segurana da informao.
Preveno Estes servios focalizam em impedir que ocorra uma falha
na segurana.
Deteco e Recuperao Focalizam na deteco e recuperao no
caso de uma falha na segurana.
Usurio
ou
Processo
Usurio
ou
Processo
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Identificao
Identificao
Gerenciamento de Chaves de Criptografia
Gerenciamento de Chaves de Criptografia
Administrao da Segurana
Administrao da Segurana
Sistemas de Proteo
(privilgios, reuso de objetos, separao de processos, etc)
Sistemas de Proteo
(privilgios, reuso de objetos, separao de processos, etc)
Transaes Privadas
Transaes Privadas
Autenticao
Autenticao
Autorizao
Autorizao
Controle de Acesso
Controle de Acesso
No repdio
No repdio
Deteco de Intrusos
e Confinamento
Deteco de Intrusos
e Confinamento
Auditoria
Auditoria
Verificador de
Integridade
Verificador de
Integridade
Retorno a um
Estado Seguro
Retorno a um
Estado Seguro
Recurso
Recurso
Preveno
Recuperao
Suporte
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
117
Definio dos Servios ou Mecanismos
Os servios de suporte so, por sua natureza, persuasivos e inter-
relacionados com muitos outros servios:
Identificao Para que sejam executados outros servios, necessrio
que os assuntos e objetos sejam identificados. Este servio fornece a
capacidade para identificar usurios, processos e recursos.
Gerenciamento de Chaves de Criptografia As chaves de criptografia
devem ser seguramente gerenciadas, para prover funes criptogrficas
implementadas em outros servios.
Administrao da Segurana As diversas camadas de segurana
precisam de administradores para instalaes especficas e controles do
ambiente operacional.
Sistemas de Proteo Representam a qualidade das implementaes de
segurana adotadas. So base de confiana do sistema de segurana.
Os servios de preveno, visam impedir que ocorram quebras na
segurana:
Proteo das Comunicaes Em sistemas distribudos, os objetivos de
segurana somente so obtidos se os sistemas de comunicao so
altamente confiveis. A proteo das comunicaes garante os servios de
integridade, disponibilidade e confidencialidade das informaes em
trnsito.
Autenticao Este servio provm os meios para verificar a identidade de
um sujeito ou objeto.
Autorizao Especifica e habilita o gerenciamento das aes que podem
ser realizadas dentro de um sistema.
Controle de Acesso Verificar as permisses que um determinado sujeito
ou objeto tm sobre o sistema.
No repdio Este servio executado tipicamente no ponto da
transmisso ou da recepo, pois o objetivo assegurar de que os
remetentes no possam negar de ter emitido a informao e os receptores
no podem negar a de ter recebido-as.
Transao Privada Protege contra a perda da privacidade no que diz
respeito s transaes que esto sendo executadas por um indivduo.
Como nenhum conjunto de medidas de preveno perfeito,
necessrio que falhas de segurana sejam identificadas e possam ser tomadas
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
118
aes reduzir seu impacto:
Auditoria A auditoria importante para a segurana, pois atravs dela
que ser possvel detectar e recuperar as informaes aps a realizao de
algum ato indesejado.
Deteco de Intruso e Confinamento A deteco de situaes
inseguras essencial para respostas oportunas. Se uma falha de
segurana no for detectada, no ser possvel iniciar os procedimentos de
resposta e confinamento de forma eficaz.
Verificador de Integridade Essencial para identificar uma potencial
corrupo da informao ou sistema.
Retorno a um estado seguro Capacidade do sistema retornar (rollback)
a um estado salvo caso tenha havido uma falha de segurana.
O modelo conforme os princpios da segurana
A implementao da disponibilidade e da integridade so obtidas
atravs do controle e identificao das pessoas e alteraes no autorizadas, e
a capacidade do sistema ser recuperado.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
119
Usurio
ou
Processo
Usurio
ou
Processo
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Identificao
Identificao
Gerenciamento de Chaves de Criptografia
Gerenciamento de Chaves de Criptografia
Autorizao
Autorizao
Controle de Acesso
Controle de Acesso
Deteco de Intrusos
e Confinamento
Deteco de Intrusos
e Confinamento
Verificador de
Integridade
Verificador de
Integridade
Retorno a um
Estado Seguro
Retorno a um
Estado Seguro
Recurso
Recurso
Preveno
Recuperao
Suporte
A confidencialidade obtida atravs da proteo das comunicaes,
do controle de acesso e do uso eficaz dos mecanismos de privacidade (de
forma a manter a confidencialidade).
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
120
Usurio
ou
Processo
Usurio
ou
Processo
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Identificao
Identificao
Gerenciamento de Chaves de Criptografia
Gerenciamento de Chaves de Criptografia
Transaes Privadas
Transaes Privadas
Autorizao
Autorizao
Controle de Acesso
Controle de Acesso Recurso
Recurso
Preveno
Recuperao
Suporte
A auditoria do sistema necessria para manter a rastreabilidade das
aes e o no-repdio das transaes efetuadas no sistema.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
121
Usurio
ou
Processo
Usurio
ou
Processo
Identificao
Identificao
Gerenciamento de Chaves de Criptografia
Gerenciamento de Chaves de Criptografia
Controle de Acesso
Controle de Acesso
No repdio
No repdio
Auditoria
Auditoria
Recurso
Recurso
Preveno
Recuperao
Suporte
E finalmente, possvel obter a garantia (qualidade) segurana de um
sistema de informao, se alguns dos servios citados forem implementados.
Esta garantia dependente da forma e dos objetivos do sistema.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
122
Usurio
ou
Processo
Usurio
ou
Processo
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Proteo das Comunicaes
(visualizao, substituio, modificao e re-envio)
Identificao
Identificao
Sistemas de Proteo
(privilgios, reuso de objetos, separao de processos, etc)
Sistemas de Proteo
(privilgios, reuso de objetos, separao de processos, etc)
Autenticao
Autenticao
Controle de Acesso
Controle de Acesso
Deteco de Intrusos
e Confinamento
Deteco de Intrusos
e Confinamento
Auditoria
Auditoria
Verificador de
Integridade
Verificador de
Integridade
Retorno a um
Estado Seguro
Retorno a um
Estado Seguro
Recurso
Recurso
Preveno
Recuperao
Suporte
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
123
CAPTULO XVI
Instituies Padronizadoras e Normas de Segurana
Pequeno histrico sobre o surgimento das Normas de
Segurana
16
Desde o incio da civilizao humana h uma preocupao com as
informaes e com os conhecimentos atrelados a elas. Inicialmente, esta
ateno especial pode ser observada no processo de escrita de alguns povos,
como o caso da antiga civilizao egpcia, na qual somente as castas
"superiores" da sociedade tinham acesso aos manuscritos da poca, e menos
pessoas ainda ao processo de escrita dos mesmos. Assim a escrita, por meio
de hierglifos do Egito antigo, representa uma das vrias formas utilizadas
pelos antigos de protegerem e, ao mesmo tempo, perpetuarem o seu
conhecimento.
Contudo, somente na sociedade moderna, com o advento do surgimento
dos primeiros computadores, houve uma maior ateno para a questo da
segurana das informaes. De incio, esta preocupao era ainda muito
rudimentar, porm com o passar do tempo este processo mudou.
A questo da segurana no mbito dos computadores ganhou fora com
o surgimento das mquinas de tempo compartilhado, tambm conhecidas
como computadores "time-sharing", ou seja, que permitiam que mais de uma
pessoa, ou usurio, fizesse uso do computador ao mesmo tempo, processo
comum na atualidade, mas que at ento no era possvel.
O "time-sharing" permitiu que vrios usurios pudessem acessar as
mesmas informaes, contudo este acesso no gerenciado poderia gerar
efeitos indesejveis, tal como: um estagirio pode ter acesso aos dados do
presidente da firma. Logo, nasce necessidade da implementao de
ferramentas que implementem o fornecimento de mecanismos para minimizar o
problema do compartilhamento de recursos e informaes de forma insegura.
Neste perodo foi ento caracterizado o que ficara conhecido como o
"problema clssico de computadores", o qual pode ser resumido na seguinte
questo: "Como fazer com que usurios autorizados possam ter acesso a
determinadas informaes, ao mesmo tempo em que os usurios no
autorizados no possam acess-las ?".
Todavia, a resposta para a pergunta acima no era, e ainda no ,
trivial. A primeira resposta, sugerida na poca para solucionar o problema foi
construo de um Sistema Operacional (S.O.) melhor, mais aprimorado.
16
(Gonalves, 2003)
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
124
Contudo, a sociedade ainda no possua o conhecimento de como constru-lo.
Assim, em outubro de 1967, nasceu nos Estados Unidos o primeiro
esforo para solucionar tal situao. Isto se deu com a criao de uma "fora
tarefa", que resultou em um documento intitulado "Security Control for
Computer System: Report of Defense Science Boad Task Force on computer
Security" [este documento foi editado por W. H. Ware], e representou o incio
do processo oficial de criao de um conjunto de regras para segurana de
computadores, que mais tarde chegaria ao seu cume com a publicao da uma
norma internacional de segurana da informao no ano de 2000, que como o
nome afirma de mbito mundial.
Porm, este esforo no se deu somente por parte do Departamento de
Defesa dos Estados Unidos (United States Department of Defese - DoD); a
Agncia Central de Inteligncia (Central Inteligency Agency) tambm comprou
esta briga, e iniciou o desenvolvimento do primeiro Sistema Operacional que
implementava as polticas de segurana do DoD, que foi o ADEPT-50.
Em outubro de 1972, J. P. Anderson escreve um relatrio tcnico
denominado: "Computer Security Technologs Planning Study", no qual ele
descreve "todos" os problemas envolvidos no processo de se fornecer os
mecanismos necessrios para salvaguardar a segurana de computadores.
Este documento, combinado com os materiais produzidos por D.E. Bell e
por L. J. La Padula, e denominados "Secure Computer Systens: Mathematical
Fundations", "Mathemathical Model" e "Refinament of Mathematical Model",
deram origem ao que ficou conhecido como "Doctrine", esta por sua vez seria a
base de vrios trabalhos posteriores na rea de segurana.
Paralelamente o Coronel Roger R. Schell, da Fora Area americana,
que na poca trabalhava na Diviso de Sistemas Eletrnicos - EDS (Eletronic
System Division - Air Force Systems Command) iniciou o desenvolvimento de
vrias tcnicas e experimentaes que levariam ao surgimento do que ficou
conhecido como "Security Kernels", que nada mais do que os componentes
principais para o desenvolvimento de um Sistema Operacional "Seguro".
Em 1977, o Departamento de Defesa dos Estados Unidos formulou um
plano sistemtico para tratar do Problema Clssico de Segurana, o qual daria
origem ao "DoD Computer Security Initiative", que, por sua vez, desenvolveria
a um "centro" para avaliar o quo seguro eram as solues disponibilizadas.
A construo do "Centro" gerou a necessidade da criao de um
conjunto de regras a serem utilizadas no processo de avaliao. Este conjunto
de regras ficaria conhecido informalmente como "The Orange Book", devido a
cor da capa deste manual de segurana, e o Coronel Roger Shell foi o primeiro
diretor deste centro.
O processo de escrita do "Orange Book", conhecido oficialmente como
"Trusted Computer Evaluation Criteria DoD 5200.28-STD", teve o seu incio
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
125
ainda no ano de 1978. No mesmo ano, a publicao da primeira verso "Draft",
ou rascunho, deste manual, entretanto somente no dia 26 de dezembro de
1985 foi publicada a verso final e atual deste documento.
Graas s operaes e ao processo de criao do Centro de Avaliao e
do "Orange Book" foi possvel a produo de uma larga quantidade de
documento "tcnicos", que representaram o primeiro passo na formao de
uma norma coesa e completa sobre a segurana de computadores. A srie de
documentos originados pelo esforo conjunto dos membros do centro
reconhecida pelo nome de "The Rainbow Serie", cujos documentos continuam
sendo atualizados largamente, tais documentos so distribudos gratuitamente
pela internet.
Mesmo que o "Orange Book" seja considerado, atualmente, um
documento "ultrapassado", podemos consider-lo como o marco inicial de um
processo mundial e contnuo de busca de um conjunto de medidas que
permitam a um ambiente computacional ser qualificado como seguro.
Esta norma de segurana permitiu e continua permitindo a classificao,
por exemplo, do nvel de segurana fornecido pelos sistemas operacionais
atualmente utilizados, como so os casos do OpenBSD, do FreeBSD, do
NetBSD, do Solaris, do AIX, do QNX, dos vrios "sabores" de Linux e at
mesmo das vrias verses do Windows. Com a classificao realizada pelo
"Centro" ficou mais fcil comparar as solues fornecidas pela indstria, pelo
mercado e pelo meio acadmico de uma forma geral, o que no era possvel
at ento.
Outro fator a ser lembrado que o "Orange Book", dentro de sua
"formalidade", permite, de uma maneira simples e coesa, especificar o que
deve ser implementado e fornecido por um software, para que ele seja
classificado em um dos nveis de "segurana" pr-estipulados, permitindo
assim que este tambm seja utilizado como fonte de referncia para o
desenvolvimento de novas aplicaes e para o processo de atualizao ou
refinamento de aplicaes j existentes e em uso.
Logicamente podemos concluir que o processo de busca de solues
para os problemas de segurana em ambientes computacionais envolve a
necessidade do desenvolvimento de padres, os quais sero tanto utilizados
no apoio construo de sistemas computacionais "seguros" como para a
avaliao dos mesmos. A existncia de uma "Norma" permite o usurio tomar
conhecimento do quo protegidas e seguras estaro as suas informaes,
possibilitando ao mesmo uma ferramenta que ir auxiliar a escolha de uma
soluo. Do ponto de vista dos profissionais tcnicos, eles passaro a possuir
uma ferramenta comum de trabalho, evitando assim que cada equipe tenha
para si um padro desconexo das demais equipes, dificultando aos clientes a
melhor escolha.
O "The Orange Book" representou o marco "zero", do qual nasceram
vrios padres de segurana, cada qual com a sua filosofia e mtodos
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
126
proprietrios, contudo visando uma padronizao mundial. Houve um esforo
para a construo de uma nova norma, mais atual e que no se detivesse
somente na questo da segurana de computadores, mas sim na segurana de
toda e qualquer forma de informao.
Este esforo foi liderado pela "International Organization for
Standardization (ISO). No final do ano de 2000, o primeiro resultado desse
esforo foi apresentado, que a norma internacional de Segurana da
Informao ISO/IEC-17799:2000, a qual j possui uma verso aplicada aos
pases de lngua portuguesa, denominada NBR ISO/IEC-17799.
Normas Existentes sobre Segurana
A segurana dos sistemas e informaes foi um dos primeiros itens a ter
padres definidos. Esta necessidade de segurana particularmente verdade
nas transaes via Internet. A gerncia de segurana da informao visa
identificar os riscos e implantar medidas que de forma efetiva tornem estes
riscos gerenciveis.
Uma das primeiras normas definidas foi a BS7799 - Code of Practice for
Information Security Management. Aps um trabalho intenso de consulta
pblica e internacionalizao, em primeiro de dezembro de 2000 a norma foi
aceita como um padro internacional ISO/IEC 17799:2000.
A aderncia ao ISO/IEC 17799 permite que as empresas demonstrem
publicamente que foi feito um investimento no sentido de proteger a
Confidencialidade, Integridade e Disponibilidade das informaes. O padro
define 127 controles que permitem identificar as necessidades de segurana
apropriadas para o ambiente definido como escopo do sistema de gerncia de
segurana a ser implantado. A norma ISO/IEC 17799 apresenta controles de
segurana para implantao e administrao de sistemas e redes, guias para
implantao de Polticas de Segurana, planos de continuidade de negcio e
aderncia legislao.
A origem da ISO/IEC 17799 remonta ao final da dcada de 80. Em 1987,
no Reino Unido, o DTI (Department Of Trade Centre) criou o CCSC (Comercial
Computer Security Centre) com o objetivo de auxiliar as companhias britnicas
que comercializavam produtos para segurana de Tecnologia da Informao
atravs da criao de critrios para avaliao da segurana.
Outro objetivo do CCSC era a criao de um cdigo de segurana para
os usurios das informaes. Com base nesse segundo objetivo, em 1989 foi
publicado a primeira verso do cdigo se segurana, denominado PD0003 -
Cdigo para Gerenciamento da Segurana da Informao.
Em 1995 esse cdigo foi revisado e publicado como uma norma
britnica (BS), a BS7799:1995. Em 1996, essa norma foi proposta ao ISO para
homologao mas essa foi rejeitada. Uma segunda parte desse documento foi
criada posteriormente e publicada novembro de 1997 para consulta pblica e
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
127
avaliao.
Em 1998 esse documento foi publicado como BS7799-2:1998. Nesse
ano, a lei britnica, denominada Ato de Proteo de Dados, recomendou a
aplicao da norma na Inglaterra, o que viria a ser efetivado em 1o de maro
de 2000.
Em maio de 2000 o BSI homologou a primeira parte da BS7799. Em
outubro do mesmo ano, na reunio do comit da ISO em Tquio, a norma foi
votada e aprovada pela maioria dos representantes. Os representantes dos
pases ricos, excetuando a Inglaterra, foram todos contra a homologao, mas,
sob votao, venceu a maioria e a norma foi homologada em 1o. de dezembro
como ISO/IEC 17799:2000.
Em abril de 2001 a verso brasileira da norma ISO foi posta em consulta
pblica. Em setembro de 2001, a ABNT homologou a verso brasileira da
norma, denominada NBR ISO/IEC 17799.
A atual norma inglesa BS7799 no se limita a aspectos meramente
tcnicos de processamento, IT e redes, mas abrange todos os aspectos de
segurana da organizao. Os itens so:
1 Poltica de Segurana;
2 Organizao da Segurana;
3 Gesto de Ativos;
4 Segurana de Pessoal;
5 Gesto da Segurana Fsica;
6 Procedimentos de Operao de Processamento de Dados e de Rede;
7 Controle de Acesso;
8 Procedimentos de Desenvolvimento e Manuteno de Sistemas;
9 Gesto da Continuidade de Negcios;
10 Aderncia Legislao.
COBIT
O CobiT (Control Objectives for Information and related Technology)
pode ser traduzido como Objetivos de Controle para a Informao e Tecnologia
relacionada. Publicado pela ISACA (Information Systems Audit and Control
Foundation) em 1996, o CobiT est em sua terceira edio, marcando sua
transferncia para o IT Governance Institute, e acrescentando em sua estrutura
as guias de gerenciamento requeridas pela governana corporativa.
O CobiT foi desenvolvido com base no consenso de especialistas de
todo o mundo no que concerne as melhores prticas e metodologias, tais como
cdigos de conduta (Conselho Europeu, OECD, ISACA etc.) critrios de
qualificao para os sistemas e processos de TI (ITSEC, TCSEC, ISO 9000,
SPICE, TickIT, Common Criteria etc.), padres profissionais para controle
interno e auditoria (COSO, IFAC, AICPA, CICA, ISACA, IIA, PCIE, GAO etc.),
prticas de mercado e requerimentos legais, governamentais e especficos dos
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
128
mercados que dependem fortemente de tecnologia, tais como os setores
financeiro e de telecomunicaes.
O grande diferencial do CobiT sua orientao para negcios, o que
vem atender as seguintes demandas:
1 Da administrao e gerncia, visando equilibrar os riscos e os
investimentos em controles no ambiente dinmico de TI.
2 Dos usurios, que dependem dos servios de TI e seus respectivos
controles e mecanismos de segurana para realizar suas atividades.
3 Dos auditores, que podem utiliz-lo para validar suas opinies ou para
recomendar melhorias dos controles internos administrao.
As atividades de TI so apresentadas pelo CobiT de forma lgica e
estruturada, relacionando riscos de negcios, necessidades de controles e
questes tcnicas. O CobiT pode ser usado independentemente da plataforma
tecnolgica adotada pela organizao e se aplica tambm a qualquer
segmento de indstria.
O CobiT agrupa os processos de TI em 4 domnios abrangentes:
1 Planejamento e Organizao
2 Aquisio e Implementao
3 Entrega e Suporte
4 Monitoramento
O CobiT contm 34 Objetivos de Controle de alto nvel e 318 objetivos
detalhados para os processos de TI. Esses Objetivos de Controle so
suportados pelos Guias de Auditoria que possibilitam aos auditores e gerentes
revisarem os processos especficos de TI assegurando que os controles sejam
suficientes ou que necessitam de melhorias. O terceiro principal componente
do CobiT so os Guias de Gerenciamento.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
129
TESTES E EXERCCIOS
Relacione os dez recursos de informtica mais importantes de sua
organizao e as dez ameaas de maior gravidade e justifique.
Estruture um check list, com as dez questes principais que, em sua
opinio, devam ser contempladas para auditoria da segurana de um sistema
aplicativo.
QUESTES A CONSIDERAR
Quais os eventos determinantes do ciclo administrativo (planejamento,
execuo, controle, auditoria), em cada nvel administrativo (operacional, ttico,
estratgico), da segurana em informtica de sua organizao ?
Por que segurana em informtica um elemento bsico da qualidade
em informtica ?
Quais as prticas de gesto estratgica e ttica vigentes em sua
organizao ?
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
130
Referncias Bibliogrficas
REZENDE, Denis Alcides e ABREU, Aline Frana. Tecnologia da Informao
Aplicada a Sistemas de Informao Empresariais. Editora Atlas. So Paulo,
2000.
-------. NBR ISO/IEC 17799 Tecnologia da Informao. Cdigo de Prtica
para Gesto da Segurana da Informao. Associao Brasileira de Normas
Tcnicas. Rio de Janeiro, 2003.
DIAS, Cludia. Segurana e Auditoria da Tecnologia da Informao. Axcel
Books. Rio de Janeiro, 2000.
WADLOW, Thomas. Segurana de Redes. Editora Campus. Rio de Janeiro,
2000.
ABREU, Dimitri. Melhores Prticas para Classificar as Informaes. Mdulo
e-Security Magazine. So Paulo, agosto 2001. Disponvel em
www.modulo.com.br. Acessado em: 17/03/2004.
DeMARCO, Tom e LISTER Timothy. Peopleware Como Gerenciar Equipes
e Projetos Tornados-os mais Produtivos. Editora McGraw-Hill. So Paulo,
1990.
SHIREY, R. RFC 2828 Internet Security Glossary. The Internet Society,
2000. Disponvel em: http://www.ietf.org/rfc/rfc2828.txt?number=2828.
Acessado em: 08/04/2004.
KRAUSE, Micki e TIPTON, Harold F. Handbook of Information Security
Management. Auerbach Publications, 1999.
LAUREANO, Marcos Aurelio Pchek. Uma Abordagem Para a Proteo de
Detectores de Intruso Baseadas em Mquinas Virtuais. Dissertao de
Mestrado apresentado ao Programa de Ps-Graduao em Informtica
Aplicada da Pontifcia Universidade Catlica do Paran, 2004.
KATZAM JR, Harry. Segurana de em Computao. Editora LTC. Rio de
Janeiro, 1977.
MARTIN, James. Engenharia da Informao Introduo. Editora Campus.
Rio de Janeiro, 1991.
SYNNATT, William R. The Information Weapon Winning Customers and
Markets with Tecnhonology. Editora John Wiley & Sons, 1987.
FELICIANO NETO, Accio; FURLAN, Jos Davi e HIGO, Wilson. Engenharia
da Informao Metodologia, Tcnicas e Ferramentas. Editora McGraw-
Hill. So Paulo, 1988.
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
131
BORAN, Sean. IT Security Cookbook, 1996. Disponvel em
http://www.boran.com/security/. Acessado em: 17/03/2004.
STONEBURNER, Gary. Underlying Technical Models for Information
Technology Security. NIST Special Publication 800-33, 2001.
ALBUQUERQUE, Ricardo e RIBEIRO, Bruno. Segurana no
Desenvolvimento de Software Como desenvolver sistemas seguros e
avaliar a segurana de aplicaes desenvolvidas com base na ISO 15.408.
Editora Campus. Rio de Janeiro, 2002.
SMOLA, Marcos. Gesto da Segurana da Informao Uma viso
Executiva. Editora Campus. Rio de Janeiro, 2003.
CROSBY, Philip B. Qualidade Investimento. Jos Olympio Editora. 5
Edio, Rio de Janeiro, 1992.
SANDHU, Ravi S. e SAMARATI, Pierangela. Authentication, Acess Control,
and Intrusion Detection. IEEE Communications, 1994.
DUARTE Jnior, Antonio Marcos. A importncia do Gerenciamento de
Riscos Corporativos. UNIBANCO Global Risk Management. Disponvel em:
http://www.risktech.com.br/. Acessado em: 11/04/2004.
LEVESON, Nancy G. et al. Analyzing Software Specifications for Mode
Confusion Potential. Workshop on Human Error and System Development,
1997.
LASALA, Kenneth P. Human Performance Reliability: A Historical
Perspective. IEEE Transactions on Reliability, vol 47, 1998.
------. BS 7799-2 Code of Practice for Information Security Management
Part 2: Specification for Information Security Management Systems. British
Standards Institute, Londres UK, 2002.
SCOY, Roger. L. Software Development Risk: Opportunity, Not Problem.
Technical Report CMU/SEI-92-TR-30. Carnegi Melon University, 1992.
AHMAD, David R. Mirza e RUSSEL, Ryan. REDE SEGURA NETWORK. Alta
Books, 2002.
CULP, Scott. 10 Immutable Laws of Security. Microsoft TechNet. Disponvel
em:
http://www.microsoft.com/technet/archive/community/columns/security/essays/1
0imlaws.mspx. Acessado em 20/09/2004.
ABREU, Dimitri. Poltica de Segurana - Definir para implementar. Mdulo
Security Magazine, 2002. Disponvel em:
Gesto de Segurana da Informao
Marcos Aurelio Pchek Laureano
laureano@ppgia.pucpr.br
01/06/2005
132
http://www.modulo.com.br/pt/page_i.jsp?page=3&catid=2&objid=287&pagecou
nter=0&idiom=0. Acessado em: 21/09/2004
LAUDON, Kenneth C. e LAUDON, Jane P. Sistemas de Informao
Gerenciais. Prentice Hall; So Paulo, 2004.
LAUREANO, Marcos Aurelio Pchek. Firewall com IPTABLES no LINUX,
2002. Disponvel em:
http://www.ppgia.pucpr.br/~laureano/guias/GuiaFirewallIptables.htm. Acessado
em: 24/09/2004.
ALMEIDA, Gilberto Martins de. Internet, segurana e leis Como o Direito lida
com questes de informtica ?, 2001. Disponvel em:
http://www.radiobras.gov.br/ct/artigos/2001/artigo_220601.htm. Acessado em:
30/09/2004.
RAVANELLO, Anderson Luiz; HIJAZI, Houssan Ali; MAZZORANA, Sidney
Miguel. Honeypots e Aspectos Legais, 2004. Dissertao de Especializao
em Redes e Segurana Pontifcia Universidade Catlica do Paran.
Programa de Ps-Graduao em Informtica Aplicada. Curitiba - PR.
PLACHTA, Claudio. Plano de Continuidade de Negcios - Garantindo a
sobrevivncia, 2001. Mdulo Security Magazine. Disponvel em:
http://www.modulo.com.br/pt/page_i.jsp?page=3&catid=2&objid=249&pagecou
nter=0&idiom=0. Acessado em: 01/02/2004.
GONALVES, Lus Rodrigo de Oliveira. Pequeno histrico sobre o
surgimento das Normas de Segurana, 2003. Mdulo Security Magazine.
Disponvel em:
http://www.modulo.com.br/pt/page_i.jsp?page=3&catid=2&objid=344&pagenum
ber=0&idiom=0. Acessado em: 30/03/2004.
CHIN, Liou Kuo. Rede Privada Virtual - VPN, 1998. Boletim bimestral sobre
tecnologia de redes. RNP Rede Nacional de Ensino e Pesquisa, 1998. Vol. 2,
N 8. Disponvel em: http://www.rnp.br/newsgen/9811/vpn.html. Acessado em:
16/10/2004.