Auditori A

AUTARQUIA EDUCACIONAL DO VALE DO SO FRANCISCO FACULDADE DE CINCIAS APLICADAS E SOCIAIS DE PETROLINA CURSO DE CINCIA DA COMPUTAO
SEGURANA E AUDOTORIA DE SISTEMAS
Prof. Alrio Amorim Nunes

alirionunes@facape.br

EMENTA Auditoria de Sistemas, PED nas empresas, segurana, formao de Departamentos de Auditoria, levantamentos, procedimentos. CONTEDO
1. 2. 3. 4.
Conceito e organizao de Auditoria Segurana nas informaes Auditoria da Tecnologia da Informao Segurana em Redes e Internet.

BIBLIOGRAFIAS BSICAS DIAS, Cludia. Segurana e Auditoria da Tecnologia da Informao. 1. Edio, AXCEL BOOKS, 2000. GIL, Antonio de Loureiro. Auditoria de Computadores. 5. Edio, Atlas, 2000. SMOLA, Marcos. Gesto da Informao: uma viso executiva. Campus, 2003. Segurana da Rio de Janeiro:

BIBLIOGRAFIAS COMPLEMENTARES Autor Annimo. Segurana Mxima, 2. Edio, Editora Campus, 2000. STALLINGS, William. Criptografia e segurana de redes: princpios e prticas. 4 ed. So Paulo: Pearson Prentice Hall, 2008. Tribunal de Contas da Unio. Manual de Auditoria de Sistemas, 1999.

INTRODUO Os requisitos de SEGURANA DA INFORMAO dentro de uma organizao passaram por duas mudanas importantes nas ltimas dcadas:
MUDANA 1) ANTES do uso generalizado de equipamentos de processamento de dados, a segurana da informao considerada valiosa para uma organizao era fornecida por principalmente por meios fsicos e administrativos. Ex.: - Armrios robustos com fechadura com segredo para armazenar documentos confidenciais

INTRODUO HOJE, com a introduo do computador, tornou-se evidente a necessidade de ferramentas automatizadas para proteger arquivos e outras informaes armazenadas em computador, principalmente em sistemas que podem ser acessados por meio de uma rede telefnica pblica, rede de dados ou a internet. O nome genrico para o conjunto de ferramentas projetadas para proteger dados e impedir hackers SEGURANA DE COMPUTADOR.

INTRODUO
MUDANA 2) Introduo de sistemas distribudos e o uso de rede e recursos de comunicao para transmitir dados entre o usurio do terminal e o computador e entre computadores. Segurana inter-rede empresas, governo e organizaes acadmicas interconectam seus equipamentos de processamento de dados com um conjunto de redes.

INTRODUO TENDNCIAS DE SEGURANA Em 1994 o Internet Architecture Board (IAB) emitiu um relatrio intitulado Security in the internet architecture que estabelecia o consenso geral de que a internet precisa de mais e melhor segurana, e identificava as principais reas:
Infra-estrutura de rede contra monitorao e controle no autorizados do trfego da rede; Proteo do trfego de usurio final para usurio final usando mecanismos de autenticao e criptografia.

INTRODUO

INTRODUO

INTRODUO

INTRODUO

INTRODUO

INTRODUO

AUDITORIA E CONCEITOS BSICOS Auditoria: uma atividade que engloba o exame das operaes , processos, sistemas e responsabilidades gerenciais de uma determinada entidade, com o intuito de verificar sua conformidade com certos objetivos e polticas institucionais, oramentos, regras, normas ou padres.
FASES DA AUDITORIA Planejamento Execuo Relatrio

AUDITORIA E CONCEITOS BSICOS 1. CAMPO 1.1 Objeto. Pode ser uma entidade completa (instituio pblica ou privada), uma parte selecionada ou uma funo dessa entidade. 1.2 Perodo. Pode ser de um ano, um ms ou perodo de uma gesto.

AUDITORIA E CONCEITOS BSICOS 1.3 Natureza. Sero apresentados em seguida os tipos mais comuns, classificados sob os aspectos: rgo fiscalizador, forma de abordagem do tema e tipo ou rea envolvida.

AUDITORIA E CONCEITOS BSICOS Natureza da Auditoria
Quanto ao rgo Fiscalizador: Auditoria Interna Auditoria Externa Auditoria Articulada Quanto Forma de Abordagem do Tema: Auditoria Horizontal Auditoria com tema especfico realizada em vrias entidades ou servios paralelamente. Auditoria Orientada Auditoria focada em uma atividade especfica qualquer ou em atividade com fortes indcios de erros ou fraudes.

AUDITORIA E CONCEITOS BSICOS Natureza da Auditoria (cont.)
Quanto ao Tipo ou rea Envolvida: Auditoria de programas de governo Auditoria de planejamento estratgico Auditorias administrativa, contbil, financeira, legalidade Auditoria operacional Auditoria de TI

AUDITORIA E CONCEITOS BSICOS 2. AMBITO Constitui-se da amplitude e exausto dos processos de auditoria, incluindo uma limitao racional dos trabalhos a serem executados. Define ento at que ponto sero aprofundadas as tarefas de auditoria e seu grau de abrangncia. 3. REA DE VERIFICAO o conjunto formado por campo e mbito da auditoria. Delimita de modo preciso os temas da auditoria, em funo da entidade a ser fiscalizada e da natureza da auditoria.
10

Abrangncia de Auditoria
rea de Verificao
mbito
Campo
Objeto
Perodo
Natureza
Sub 1
Sub 2
Sub 3

OUTROS TERMOS IMPORTANTES: 1. CONTROLE. Fiscalizao exercida sobre as atividades de pessoas, rgos, departamentos, ou sobre produtos, para que os mesmos no se desviem das normas preestabelecidas. 1.1 Controles preventivos. Usados para prevenir erros, omisses ou atos fraudulentos. 1.2 Controles detectivos. Usados para detectar erros, omisses ou atos fraudulentos e ainda relatar sua ocorrncia (exemplo: software de controle de acessos e relatrios de tentativas de acesso no autorizados a um determinado sistema.
11

OUTROS TERMOS IMPORTANTES: 1. CONTROLE. Fiscalizao exercida sobre as atividades de pessoas, rgos, departamentos, ou sobre produtos, para que os mesmos no se desviem das normas preestabelecidas. 1.3 Controles corretivos. Usados para reduzir impactos ou corrigir erros uma vez detectados.

OUTROS TERMOS IMPORTANTES: 2. OBJETIVOS DE CONTROLE. So metas de controle a serem alcanadas, ou efeitos negativos a serem evitados, para cada tipo de transao, atividade ou funo fiscalizada. PROCEDIMENTOS DE AUDITORIA. Formam um conjunto de verificaes e averiguaes que permite obter e analisar as informaes necessrias formulao da opinio do Auditor.
3.
12

OUTROS TERMOS IMPORTANTES: 4. ACHADOS DE AUDITORIA. So fatos significativos observados pelo auditor durante a execuo da auditoria. PAPIS DE TRABALHO. So registros que evidenciam atos e fatos observados pelo auditor. Podem estar sob a forma de documentos, tabelas, planilhas, listas de verificaes, arquivos informatizados, etc.
5.

OUTROS TERMOS IMPORTANTES: 6. RECOMENDAES DE AUDITORIA. So recomendaes feitas em relatrios, como medidas corretivas possveis, sugeridas pela instituio fiscalizadora ou pelo auditor em seu relatrio, para corrigir deficincias detectadas durante a auditoria.
13

AUDITORIA DA TECNOLOGIA DA INFORMAO um tipo de auditoria operacional, isto , que analisa a gesto de recursos, enfocando os aspectos de eficincia, eficcia, economia e efetividade.
Pode abranger: O ambiente de informtica como um todo. A organizao do departamento de informtica Controles sobre BDs Redes Diversos aplicativos

Sub-reas de auditoria em ambientes informatizados : 1. Auditoria da segurana de informaes Determina a postura da organizao com relao a segurana. Avalia a poltica de segurana e os controles relacionados com aspectos de segurana institucional mais globais. Faz parte da auditoria da tecnologia da informao.
14
O escopo da auditoria de segurana de informaes envolve:

a) b) c) d) e) Avaliao da poltica de segurana Controles de acesso lgico Controles de acesso fsico Controles ambientais Plano de contingncias e continuidade de servios

Sub-reas de auditoria em ambientes informatizados : 2. Auditoria da tecnologia da informao Alm de todos os aspectos relacionados com a auditoria da segurana da informao, abrange ainda outros controles que podem influenciar a segurana de informaes e o bom funcionamento dos sistemas de toda a organizao, tais como controles:
15
Controles da auditoria da tecnologia da informao: a) b) c) d) e) f) organizacionais de mudanas de operao dos sistemas sobre banco de dados sobre microcomputadores sobre ambientes cliente-servidor

Sub-reas de auditoria em ambientes informatizados : 3. Auditoria de aplicativos: Est voltado para a segurana e controle de aplicativos especficos, incluindo aspectos intrnsecos rea que o mesmo atende. Compreende:
a) Controle sobre o desenvolvimento de aplicativos. b) Controle de entrada, sada e processamento de dados. c) Controle sobre contedo e funcionamento do aplicativo, com relao rea por ele atendida.
16

Equipe de Auditoria Profissionais de alta capacidade tcnica, em constante aperfeioamento, comprometidos com a organizao e com postura adequada. Conhecimentos necessrios: Na rea que atua, com experincias prticas anteriores. Bom nvel em sistemas computacionais para planejar, dirigir, supervisionar e revisar o trabalho executado.

Equipe de Auditoria Conhecimentos necessrios (cont.) Quanto mais complexos os elementos do ambiente computacional e o grau de profundidade esperado dos exames de auditoria, maior a necessidade de especializao da equipe e/ou do auditor. Algumas vezes torna-se necessrio contratao externa.
17

Equipe de Auditoria Conhecimentos necessrios (cont.) Normalmente os conhecimentos bsicos englobam sistemas operacionais, software bsico, bancos de dados, redes LAN/WAN, avanando at softwares de controle de acesso, planos de contingncias e de recuperao e metodologias de desenvolvimento de sistemas.

Equipe de Auditoria
n1
Conhecimentos necessrios (cont.) Segundo o padro internacional de auditoria, o auditor deve ter o conhecimento suficiente de sistemas computacionais para planejar, dirigir, supervisionar e revisar o trabalho executado. Cabe ao auditor avaliar se ser necessrio um nvel de conhecimento mais especializado e aprofundado para a realizao da auditoria.
18
Slide 36 n1 Atualizar material impresso.

notebook; 22/2/2008

Equipe de Auditoria
Composio da Equipe:
Contratao de consultoria externa
Desenvolver habilidades em informtica nos auditores com formao bsica em contabilidade e auditoria
Desenvolver habilidades em auditoria funcionrios com formao em anlise de sistemas, cincia da computao, etc...

Equipe de Auditoria
CONTRATAO DE AUDITORIA EXTERNA Recomendvel para sistemas de alta complexidade e especializao. Anlise minuciosa do custo-benefcio. Extenso do trabalho dos consultores, utilizando externa somente onde no houver disponibilidade na prpria equipe. Em caso de contratao, os acertos financeiros e clusulas contratuais devem ser o mais claros possveis. Deve-se optar por empresas/pessoas j com experincia na atividade e checar seus desempenhos em trabalhos anteriores. A equipe externa deve se envolver desde o incio dos trabalhos. Deve-se estabelecer etapas bem definidas e pontos de controle, com superviso contnua de integrante da organizao contratante.
19

Equipe de Auditoria
CONTRATAO DE AUDITORIA EXTERNA Qual o tipo de consultoria mais adequada?
Deve ter recursos (humanos e tecnolgicos) adequados para atingir os objetivos da auditoria dentro do prazo e com a qualidade esperada. Firmas ou organizaes podem dispor de mais recursos e oferecer uma gama maior de servios ou profissionais para cada tipo de atividade. No entanto isso no garante a qualidade dos seus servios.

Equipe de Auditoria
CONTRATAO DE AUDITORIA EXTERNA
Qual o tipo de consultoria mais adequada? Profissionais autnomos podem atuar no planejamento estratgico da auditoria ou nas verificaes de campo. Podem complementar a equipe interna em todo a verificao ou em determinadas fases do processo. Tanto firmas como especialistas autnomos podem ser de grande utilidade no planejamento da auditoria, na conduo de entrevistas com o auditado, na avaliao de controles, na captao de dados dos sistemas, na reviso dos resultados obtidos e nas recomendaes finais do relatrio de auditoria.
20

Equipe de Auditoria
CONTRATAO DE AUDITORIA EXTERNA Analisando os Candidatos ao Servio de Consultoria Externa Estudar bem as propostas, detalhando os custos do servios, os recursos humanos oferecidos, suas habilidades tcnicas, plano de trabalho, etc... Seleo inicial dos possveis candidatos, identificando consultores que j prestaram servios organizao e reconhecidos no mercado por sua especializao e qualidade dos servios. Definir os critrios para a anlise das propostas dos consultores. A proposta tem que ser compatvel com os requisitos e prazos estabelecidos. Os custos devem ser bem explicitados para que no haja dvidas sobre sua composio.

Equipe de Auditoria
CONTRATAO DE AUDITORIA EXTERNA Relacionamento com os Consultores Externos Para assegurar a qualidade do trabalho, o entrosamento da equipe essencial, principalmente se membros no fizerem parte do corpo funcional da organizao. Nas auditorias com participao externa, necessrio que os aspectos relevantes estejam sempre sob o controle do coordenador da equipe, necessariamente um funcionrio da organizao. Devem ser estipulados pontos de controle durante a execuo da auditoria para que o coordenador avalie periodicamente o trabalho. recomendvel a transferncia de conhecimentos entre os consultores e os membros internos da equipe, visando a capacitao dos mesmos para auditorias semelhantes no futuro.
21

Equipe de Auditoria
AVALIANDO O TRABALHO REALIZADO
importante analisar os resultados, com a participao da equipe interna, coordenador e gerncia da organizao contratante. Discutir os pontos fortes e fracos, relatar as dificuldades . Comparar resultados esperados com alcanados. Oramento, Prazos, Nveis de qualidade : previsto X real Cooperao entre equipe externa e interna, sugestes para futuras auditorias.

Equipe de Auditoria
COMPOSIO DA EQUIPE Desenvolver habilidades em informtica nos auditores com formao bsica em contabilidade e auditoria A compreenso pode ser mais difcil. A linguagem tcnica e as
evolues constantes podem dificultar um aprendizado adequado. As dificuldades decorrentes da falta de boa vontade dos profissionais de informtica ou o uso excessivo de vocabulrio tcnico. Um bom nvel de especializao s conseguido aps anos de de formao e prticas.
22

Equipe de Auditoria
COMPOSIO DA EQUIPE Desenvolver habilidades em auditoria funcionrios com formao em anlise de sistemas, cincia da computao, etc...
Pode produzir resultados mais satisfatrios e em menor tempo. Normalmente as ferramentas de auditoria so computacionais. O potencial do profissional de informtica que se deseja capacitar e sua capacidade de adaptao devem ser avaliados criteriosamente.

Equipe de Auditoria
COMPOSIO DA EQUIPE Desenvolver habilidades em auditoria funcionrios com formao em anlise de sistemas, cincia da computao, etc... A preparao tem que ser contnua. Participaes em seminrios e
cursos de especializao indispensvel. Participao em fruns e consultas a sites de referncia tambm so vlidos. A equipe deve se preocupar em montar um Manual de Auditoria da TI para a organizao, alm de manter um acervo com livros e revistas especializadas para consultas a qualquer tempo.
23

Equipe de Auditoria
TREINAMENTO A computao est em constante evoluo tecnolgica;
O treinamento constante de auditores imprescindvel para que estejam preparados para realizar auditorias com qualidade e com grau de profundidade tcnica adequado; Os sistemas atuais so muito complexos e exigem conhecimentos que vo desde sistemas operacionais, planos de contingncias, desenvolvimento de aplicativos, segurana de informaes que trafegam pela internet etc.; Devem ser traadas estratgias diferentes de treinamentos a depender do nvel de conhecimento dos auditores.

Equipe de Auditoria
TREINAMENTO
Devem ser estimulados a participar de: . Seminrios . Cursos de especializao . Workshops . Congressos . Grupos de discusso . Boletins . Home pages de organizaes especializadas.
24

Equipe de Auditoria
QUALIFICAO PROFISSIONAL
Em alguns pases existem organizaes que promovem certificaes de qualificao profissional de auditores de sistemas: ISACA (Information Systems Audit and Control Association Certificado de Auditor de Sistemas de Informao (CISA) British Computer Society Exame da Sociedade Britnica de Informtica Institute of Internal Auditors (IIA) Qualificao em Auditoria Computacional
n4

Equipe de Auditoria
QUALIFICAO PROFISSIONAL
O IIA e a ISACA, em especial, desempenham um papel ativo no desenvolvimento de padres de auditoria e controle de sistemas de informao. Sob demanda, provem informaes sobre suas publicaes, padres e qualificao. A certificao de auditor de sistemas sempre atualizada. Algumas organizaes ao contratar servios de auditoria exigem a apresentao de certificados atualizados.
25
Slide 49 n4 Ler artigo sobre metodologia COBIT desenvolvida pelo ISACA

notebook; 22/2/2008

Equipe de Auditoria
MANUAL DE AUDITORIAn5 TECNOLOGIA DA INFORMAO DA
OBJETIVO:
Orientar o trabalho dos auditores Difundir o conhecimento nessa rea
O nvel de detalhamento desse material depender do tamanho da equipe, do tempo disponvel para desenvolver essa documentao e do grau de qualificao tcnica de seus componentes. Caber chefia decidir se sero elaborados documentos especficos ou se sero utilizadas publicaes de outras entidades de fiscalizao e controle em TI.

Equipe de Auditoria
BIBLIOTECA TCNICA
O grupo de auditores dever ter sua disposio uma biblioteca tcnica para consulta. Com isso: Os trabalhos sero orientados de acordo com padres existentes; A equipe estar sempre atualizada; Tero disposio publicaes tcnicas como fonte de pesquisa; Deve manter nessa biblioteca todos os relatrios de auditorias em TI; Dever dispor ainda: legislao e normas, manuais de auditoria e procedimentos, livros de informtica, revistas, manuais de treinamentos, artigos de jornais relacionados etc.
26
Slide 51 n5 Modelo: Manual de Auditoria do Tribunal de Contas da Unio, elaborado com a participao da Auditora Cludia Dias, tambm autora do livro Segurana e Auditoria de Sistemas, adotado como bibliografia bsica.
notebook; 26/2/2008

Equipe de Auditoria
ORGANIZAO DA EQUIPE ESPECIALIZADA
Uma nica pessoa no deter todos os conhecimentos necessrios em TI para uma auditoria; necessrio que uma equipe de auditoria seja formada por auditores com diferentes especializaes; Cabe gerncia desenvolver as especializaes que faltam, atravs de treinamento adequado, e administrar o grupo como um time coeso que se complementa; Formada essa equipe, esta pode atuar em auditorias de tecnologia da informao ou como suporte tcnico a outras equipes de auditoria.

Equipe de Auditoria
ADMINISTRANDO RECURSOS HUMANOS ESCASSOS
Auditores de sistemas so considerados recursos humanos escassos, por isso suas atividades so definidas apenas nos casos em que sua atuao realmente necessria; Uma forma de amenizar essa escassez formando auditores para atuar como suporte bsico de informtica nas equipes de auditoria de carter genrico - AUDITOR GENERALISTA; Normalmente o auditor generalista executa atividades de carter preliminar em ambientes de informtica ou sistemas considerados pouco complexos para determinar a estratgia de auditoria mais adequada.
27

Equipe de Auditoria
ADMINISTRANDO RECURSOS HUMANOS ESCASSOS
necessrio que as atividades de cada auditor sejam bem definidas, bem como o suporte tcnico dado pelos auditores especializados, limites de atuao, relacionamentos entre eles, etc.;
Os planos de auditoria devem ser elaborados levando em conta os recursos humanos disponveis. Devem ser elaborados planos de preferncia anual; A tendncia que no futuro todos os auditores tenham conhecimentos necessrios para realizar auditorias de sistemas; necessrio que a funo de auditoria se adapte aos novos ambientes e necessidades do mercado. Espera-se com o uso cada vez mais intenso do computador que haja um aumento no mercado desse profissionais.

Equipe de Auditoria
PLANEJAMENTO DE ATIVIDADES
Em organizaes de auditoria geralmente as atividades so planejadas em trs nveis, baseados em perodos de tempo diferentes:
Plano Estratgico de Longo Prazo: Normalmente para perodos de 3 a 5 anos; Objetivos mais amplos, atinge toda a organizao e tem que ser aprovado pela gerncia superior; Define metas, forma de atuao, recursos necessrios, necessidades de treinamento etc. aconselhvel revisar a atualizar anualmente.
28

Equipe de Auditoria
Plano Estratgico de Mdio Prazo: Traduz o plano de longo prazo para um programa de atividades para o ano que se inicia; Em geral, procura atender as demandas das auditorias genricas por auditorias mais especializadas; Normalmente aprovada pela gerncia intermediria, define os objetivos macros das auditorias a serem feitas em seguida; Deve ser flexvel para aceitar as alteraes necessrias.

Equipe de Auditoria
Plano Estratgico Operacional: Baseia em auditorias individualizadas Contem detalhes exatos dos objetivos, reas a serem auditadas, recursos necessrios, prazos, objetivos de controle e procedimentos de auditoria a serem seguidos. o plano especfico de uma determinada auditoria; Ser tratado a seguir (planejamento e execuo).
29

PLANEJAMENTO E EXECUO DE AUDITORIA
A fase de planejamento identifica os instrumentos indispensveis sua realizao. Estabelece, entre outras coisas: Recursos necessrios rea de verificao Metodologias Objetivos de controle Procedimentos a serem adotados

Pesquisa de fontes de informao: A maior quantidade possvel de informaes da entidade auditada e
seu ambiente de informtica deve ser levantada. Estas informaes possibilitam uma noo da complexidade dos sistemas e estabelecer os recursos e conhecimentos tcnicos necessrios. Tipos de informaes tcnicas: hardware, SO, sistemas de segurana, aplicativos e os responsveis pelas reas.
30

Definindo Campo, mbito e Sub-reas O campo da auditoria composto por objeto, perodo e natureza. Em auditorias de informtica, a natureza a prpria auditoria de TI. O Objeto pode englobar um sistema computacional, uma ou mais sees do dept de informtica ou toda a organizao em termos de polticas de informtica. O perodo depende do grau de profundidade das verificaes (mbito) e das sub-reas. Tendo definido o conjunto campo e mbito, fixada toda a rea de verificao

Definindo os Recursos Necessrios Recursos humanos Recursos econmicos Recursos tcnicos
31
Planejamento e Execuo de Auditoria

REA DE VERIFICAO DEPARTAMENTO DE INFORMTICA
mbito
Avaliao da eficcia dos controles
Campo
Objeto
Segurana de informaes
Perodo
01/08 a 30/09/2005
Natureza
Audit. TI
Sub 1
Controles de Acesso Fsico
Sub 2
Controles de Acesso Lgico
Sub 3
Backup

METODOLOGIAS Entrevistas Apresentar o plano de auditoria, coletar dados, identificar falhas e apresentar os resultados do trabalho. Entrevista de Apresentao Entrevistas de Coleta de Dados Entrevistas de discusso das deficincias encontradas Entrevistas de encerramento
32

METODOLOGIAS
n3 Uso de Ferramentas de Apoio (CAATs)
Tcnicas de anlise dados Tcnicas para verificao de controles de sistemas Outras ferramentas

METODOLOGIAS Tcnicas de anlise dados Os dados do auditado pode ser coletados e analisados com o auxlio de softwares de extrao de dados, de amostragem, de anlise de logs e mdulos ou trilhas de auditoria embutidas nos prprios sistemas aplicativos da entidade
33
Slide 65 n3 CAAT - Tcnica de Auditoria Assistida por Computador.

notebook; 22/2/2008

METODOLOGIAS Tcnicas para verificao de controles de sistemas Permite testar a efetividade dos controles dos sistemas do auditado. Pode-se analisar sua confiabilidade, e ainda determinar se esto operando corretamente a ponto de garantir a fidedignidade dos dados. Dentre as tcnicas mais utilizadas, pode-se citar: Massa de dados de teste, simulaes, software de comparao de programas, mapeamento e rastreamento de processamento

METODOLOGIAS Outras ferramentas Existem ferramentas que no so necessariamente de apoio auditoria, mas auxilia o auditor durante a execuo da auditoria e na elaborao do relatrio. Se encontram nessa categoria: editores de textos, planilhas eletrnicas, banco de dados e softwares para apresentaes.
34

OBJETIVOS DE CONTROLE E PROCEDIMENTOS DE AUDITORIA
Os objetivos de controle norteiam a auditoria em vrias reas especializadas e organizacionais. Para realizar uma avaliao da atuao de outros profissionais, necessrio que o avaliador tenha um modelo normativo, um conjunto de padres, de como a atividade deveria estar sendo feita. O modelo normativo traduzido em objetivos de controle a serem avaliados pelo auditor em cada rea especfica.

EXEMPLO: Na rea de segurana, um dos objetivos de controle pode ser o estabelecimento de regras para acesso aos recursos computacionais. Alguns procedimentos de auditoria relacionados ao objetivo acima citado pode ser: verificar se h documento formal que justifique a necessidade do usurio para acessar determinados recursos computacionais; ou verificar se existem procedimentos que definem os recursos computacionais que podero ser acessados e os tipos de transaes que podero ser executadas por cada usurio autorizado.
35

ENFOQUES E MOTIVAES: Segurana dados e sistemas em que so essenciais a confidencialidade, a integridade, a disponibilidade de informaes; Atendimento a solicitaes externas verificao de indcios de irregularidades motivados pela imprensa, denuncia, solicitao de rgos superiores; Materialidade valor significativo dos sistemas computacionais, transaes, em termos econmico-financeiro; Altos custos de desenvolvimento sistemas com altos custos de desenvolvimento envolvem riscos mais altos para a organizao.

ENFOQUES E MOTIVAES: Grau de envolvimento dos usurios - sistemas elaborados sem o envolvimento dos usurios em geral no atendem satisfatoriamente s suas necessidades; Outsourcing - efeitos da terceirizao no ambiente de informtica. A partir do momento em que foram definidas a rea de verificao e as subreas a serem auditadas, a equipe seleciona os objetivos de controle mais apropriados e, por fim, utiliza procedimentos de auditoria para testar se os respectivos objetivos de controle esto sendo seguidos pela entidade.
36

Normalmente as organizaes ligadas auditoria da tecnologia da informao publicam manuais de orientao contendo objetivos de controle e procedimentos de auditoria tpicos em um ambiente de informtica.

PLANEJAMENTO E EXECUO DE AUDITORIA EXECUO: Na execuo, a equipe deve reunir evidncias confiveis, relevantes e teis para os objetivos da auditoria. TIPOS: Evidncia fsica Evidncia documentria Evidncia fornecida pelo auditado Evidncia analtica Todas essas evidncias devem estar organizadas nos papis de trabalhos, para facilitar a elaborao do relatrio.
37

PLANEJAMENTO E EXECUO DE AUDITORIA RELATRIO A forma como o auditor apresenta seus achados e concluses, com comprovaes, incluindo recomendaes e, conforme o caso, determinaes. Deve ser claro, objetivo, sem uso exagerado de termos tcnicos. Glossrio ao final, caso haja uso de termos e siglas. Bem organizado. Relatrios preliminares podem ser apresentados e discutidos com a parte auditada e/ou com a autoridade contratante. O relatrio final deve ser revisado por todos os membros da equipe, para verificar sua consistncia, omisses como tambm uma reviso gramatical.

PLANEJAMENTO E EXECUO DE AUDITORIA ESTRUTURA DO RELATRIO Dados da entidade auditada. Sntese breve resumo do relatrio Dados da auditoria objetivos, perodo, equipe, metodologia, etc.. Introduo breve histrico, resumo de audit. Anteriores, estrutura hierrquica dos dept auditados, etc... Falhas detectadas Detalhamento das falhas e irregularidades, com comentrios e justificativas e parecer da equipe. Concluso Resumo dos principais pontos e recomendaes finais para correo das falhas e apontar pontos fortes. Pareceres Quando necessrio, de instncias superiores.
38

SEGURANA DE INFORMAES
Poltica de Segurana Informaes tm que estar disponveis no momento e no local estabelecido, tm que ser confiveis, corretas e mantidas fora do alcance de pessoas no autorizadas. Objetivos de Segurana Confidencialidade ou privacidade informaes protegidas de acesso no autorizado. Envolve medidas de controle de acesso e criptografia. (LEITURA) Integridade dos dados Evitar alterao ou excluso indevida de dados. (GRAVAO/ALTERAO/EXCLUSO).

Objetivos de Segurana (cont.) Disponibilidade Garantia que os servios prestados por um sistema esto sempre acessveis a pessoas autorizadas. (BACKUP) Consistncia Garantia de que o sistema atua de acordo com a expectativa. Isolamento ou uso legtimo Regular o acesso ao sistema. Acesso no autorizado sempre um problema, pois tem que se identificar quem, quando, como e os resultados desta ao.
39

Objetivos de Segurana (cont.) Auditoria Proteo contra erros e atos acidentais ou no dos usurios autorizados. Confiabilidade Garantir que, mesmo em condies adversas, o sistema atuar conforme esperado. Dependendo da organizao, um objetivo pode ser mais importante que o outro. Na maioria dos casos, dada maior importncia disponibilidade e integridade.

QUESTES RELEVANTES O que se quer proteger ? Contra que ou quem ? Quais as ameaas mais provveis ? Qual a importncia de cada recurso ? Qual o grau de proteo desejado ? Quanto tempo e recursos para atingir os objetivos de segurana ? Qual a expectativa dos usurios e clientes em relao segurana de informaes ? Quais as conseqncias em caso de roubo ou dano?
40

COMPROMETIMENTO DA GERNCIA SUPERIOR Prioridade menor em relao a outros projetos. Segurana s lembrada depois de um desastre ocorrido. Poltica considerada dispendiosa. Segurana vista como inibidor e no como uma garantia. Rastreamento ou monitoramento de outras gerncias. Uma real poltica de segurana deve ser posta em prtica e encarada com seriedade por todos e ter o total apoio da alta gerncia. O comprometimento deve ser formalizado, de forma clara e objetiva, baseados nos princpios gerais, deixando os detalhes para outros documentos mais especficos.

LEGISLAO BRASILEIRA E INSTITUIES PADRONIZADORAS A segurana da informao, em funo de sua grande importncia para a sociedade moderna, deu origem a diversos grupos de pesquisa, cujos trabalhos muitas vezes so traduzidos em padres de segurana, e a projetos legislativos que visam tratar do assunto sob o aspecto legal, protegendo os direitos da sociedade em relao a suas informaes e prevendo sanes legais aos infratores. Em geral, os padres de segurana so utilizados no mbito internacional, enquanto as leis e normas so normalmente estabelecidas em carter nacional, podendo haver, entretanto, similaridades entre as legislaes de pases diferentes.
41

SEGURANA DE INFORMAES Definindo uma Poltica de Segurana de Informaes Poltica de segurana um mecanismo preventivo de proteo dos dados e processos importantes de uma organizao que define um padro de segurana a ser seguido pelo corpo tcnico e gerencial e usurios. Princpios bsicos Como a organizao ir proteger, controlar e monitorar seus recursos computacionais e suas informaes. Responsabilidades das funes relacionadas com a segurana. Discriminao das principais ameaas, riscos e impactos envolvidos. Poltica de segurana de informaes integrada poltica de segurana em geral.

SEGURANA DE INFORMAES Estratgia geral da organizao Estabelece Plano Estratgico de Informtica Especifica Planos de desenvolvimentos de sistemas Plano de continuidade de servios Planejamento de capacidade Outros projetos Define Poltica de segurana de Informaes Gera Impactos sobre
n2
42
Slide 84 n2 LEITURA COMPLEMENTAR Ler artigo Integrao entre o Planejamento Estratgico da Organizao e o Planejamento Estratgio em Tecnologia da Informao.
notebook; 22/2/2008

SEGURANA DE INFORMAES Envolvimento de todos O Segredo do Sucesso ! Para uma completa e efetiva Poltica de segurana de informaes imprescindvel que sejam envolvidos a alta gerncia, a gerncia de segurana, a de recursos e de finanas, os demais gerentes e sobretudo, os usurios.

SEGURANA DE INFORMAES Poltica de Segurana de Informaes - Tpicos Importantes Contedo bsico: orientaes sobre anlise e gerncia dos riscos, princpios de conformidade dos sistemas com a PSI, classificao das informaes e padres mnimos de qualidade. Princpios legais e ticos: Direito propriedade intelectual. Direitos sobre softwares. Princpios de implementao de segurana. Polticas de controle de acesso a recursos e sistemas. Princpios de superviso das tentativas de violao da SI.
43

SEGURANA DE INFORMAES Poltica de Segurana de Informaes - Tpicos Importantes Esses pontos devem ser claros e detalhados para serem compreendidos. Para um maior aprofundamento, pode-se dispor de outros documentos mais especficos.

PROCESSO DE IMPLANTAO DA PSI
Processo formal e longo; flexvel para permitir ajustes conforme necessidades Fases: Identificao dos recursos crticos. Classificao das informaes. Definio em linhas gerais, dos objetivos de segurana a serem atingidos. Anlise das necessidades de segurana (ameaas, riscos e impactos). Elaborao da proposta inicial.
44

Fases (cont.) Discusses abertas com os envolvidos. Apresentao do documento formal gerncia superior. Aprovao Implementao Avaliao da poltica e identificao das mudanas necessrias Reviso

Identificando os recursos
O que precisa ser protegido? Quais os mais importantes? Hardware Software Dados Pessoas Documentao Suprimentos
45

Classificao das informaes necessidade,
responsabilidade. Pblicas ou de uso irrestrito De uso interno Confidenciais Secretas

PROCESSO DE IMPLANTAO DA PSI Classificao dos Sistemas camadas para facilitar os
controles Aplicativos necessidades especficas. Servios utilizados pelos aplicativos. Sistema Operacional gerenciamento de recursos computacionais. Hardware Anlise individual de cada camada em termos de segurana, configurada e monitoradas de forma compatvel com o nvel de segurana definido.
46

SEGURANA DE INFORMAES Analisando Riscos
Risco = ameaa + vulnerabilidade + impactos. Identifica componentes crticos e custo potencial aos usurios. Ponto chave em qualquer poltica de segurana. Identificar ameaas e impactos, possibilidades de uma ameaa se concretizar e entender os riscos potenciais. Classificar por nvel de importncia, custos envolvidos na preveno/ recuperao.

Analisando Riscos (cont.)
Riscos podem ser apenas reduzidos, nunca eliminados. Medidas mais rgidas tornam os riscos menores, mas no eliminam. Conhecimento prvio das ameaas e seus impactos podem resultar em medidas mais efetivas para reduzir as ameaas, vulnerabilidades e impactos. sempre melhor (e mais barato!) prevenir do que remediar.
47

SEGURANA DE INFORMAES Analisando ameaas Contra quem proteger ?
Custo pode ser mais alto do que os danos provocados. Conceitos Bsicos: Recurso componente de um sistema computacional. Ameaa evento ou atitude indesejvel que pode remover, desabilitar, danificar ou destruir um recurso. Vulnerabilidade fraqueza ou deficincia que pode ser explorada por uma ameaa.

SEGURANA DE INFORMAES Analisando ameaas Contra quem proteger ? Conceitos Bsicos (cont.)
Ataque ameaa concretizada. Impacto conseqncia de uma vulnerabilidade ter sido explorada por uma ameaa. Probabilidade chance de uma ameaa atacar com sucesso. Risco medida da exposio a qual o sistema est sujeito. Depende de uma ameaa atacar e do impacto resultante. Envolve esses componentes mais as vulnerabilidades.
48

SEGURANA DE INFORMAES Analisando ameaas Ameaa tudo aquilo que pode comprometer a segurana de um sistema, podendo ser acidental (falha de hardware, erros de programao/usurios, etc...), ou deliberada (roubo, espionagem, sabotagem, invaso, etc...). Pode ser uma pessoa, uma coisa, um evento, uma idia capaz de causar dano. Ameaas deliberadas: Passivas envolvem invaso e/ou monitoramento, sem alterao de informaes. Ativas Envolvem alterao nos dados. A magnitude de uma ameaa deliberada est relacionada com a oportunidade, motivao e forma de deteco e punio de quebras de segurana.

SEGURANA DE INFORMAES Analisando ameaas tipos
Vazamento de informaes - informaes desprotegidas/reveladas Violao de integridade comprometimento da consistncia Indisponibilidade de servios impedimento ao acesso aos recursos Acesso e uso no autorizado pessoa ou uso no autorizado.
49

Aps as ameaas se efetivarem em um ataque: Mascaramento uma entidade ou pessoa se passa por outra Desvio de controles falhas nos controles permitem acessos Violao autorizada usurio autorizado com propsitos no autorizados Ameaas Programadas cdigos de softwares embutidos nos sistemas para violar segurana, alterar ou destruir dados. Ameaas Impactos Vulnerabilidades ou Fragilidades
LISTA DE AMEAAS RECURSOS IMPACTADOS OBJETIVOS AFETADOS GRAU DE IMPACTO

Bugs de Software
Bug - erro num programa de computador que o faz executar incorretamente. Bugs trazem aborrecimentos e muitas vezes prejuzo. Back doors Bugs propositalmente inseridos nos programas para permitir acesso no autorizado (brechas de segurana). Hackers esto sempre em busca de back doors para invadir sistemas.
50

Ameaas programadas
Programas podem passar a ter comportamentos estranho, pela execuo de cdigos gerados para danificar ou adulterar o comportamento normal dos softwares. Podem ser confundidos ou identificados como vrus. Mais freqentes em microcomputadores.

Vrus Perigo real, imediato e crescente. Surgimento de novas pragas, cada vez mais eficientes e desastrosas e de longo alcance. Ambiente Internet contribui para disseminao. Atualizao do antivrus no acontece na mesma freqncia. Diferentes Nomenclaturas para ameaas programadas Vrus Worms Bactria Bomba Lgica Cavalo de Tria etc.
51

SEGURANA DE INFORMAES Vrus Pequenos programas projetados para se replicarem e se espalharem de um computador a outro, atacando programas ou o setor de boot de um disco rgido. So seqncias de cdigos inseridas em outro cdigo executvel, de forma que, quando esses programas so ativados, os vrus tambm so executados. So variaes com um mecanismo de ativao (evento ou data), com uma misso (apagar arquivos, enviar dados etc.), se propagam (anexando-se a arquivos e programas).

SEGURANA DE INFORMAES Worms Programas que se propagam de um computador a outro em uma rede, sem necessariamente modificar programas nas mquinas de destino. So programas que pode rodar independentemente e trafegam de uma mquina a outra atravs das conexes de rede, podendo ter pedaos de si mesmos rodando em vrias mquinas. No modificam programas, embora possam carregar outros programas que o faa. Exemplos: VBS/LoveLetter e variantes
52

SEGURANA DE INFORMAES Bactria Programas que geram cpias de si mesmos com o intuito de sobrecarregar um sistema de computador. No causa danos a arquivos. Seu nico propsito a replicao. A reproduo exponencial Pela forma como se replica pode consumir toda a capacidade do processador, memria, espao em disco etc. impedindo o acesso de pessoas autorizadas a esse recurso.

SEGURANA DE INFORMAES Bomba Lgica Ameaa programada, camuflada em programas, que ativada quando certas condies so satisfeitas. Uma vez ativada executam funes que alteram o comportamento do software hospedeiro. Condies ativadoras: um dia da semana ou do ano, a presena ou ausncia de certos arquivos, determinado usurio rodando uma aplicao etc. Pode destruir ou alterar dados, travar o computador ou danificar o sistema.
53

SEGURANA DE INFORMAES Cavalo de Tria Programa que parece ter uma funo mas que, na realidade, executa outras funes. Se parecem com programas que o usurio gostaria de rodar (jogo, planilha, editor etc.). Enquanto parece estar executando uma coisa, est fazendo algo totalmente diferente: apagando arquivos, reformatando discos, alterando dados etc. Tudo o que o usurio v apenas uma interface adulterada do programa que queria utilizar. Quando percebido j tarde demais.

SEGURANA DE INFORMAES Tipos de Vrus Vrus de Boot - move ou altera o contedo original do boot, ocupando aquele espao e passando atuar como se fosse o prprio boot do sistema. Vrus parasita utilizam arquivos executveis (.com, .exe) como hospedeiros, inserindo cdigos de desvio para o cdigo do vrus. Vrus camuflados para dificultar o seu reconhecimento pelos anti-vrus. Vrus polimrficos mudam seu aspecto cada vez que infectam um novo programa. Vrus de macro macros so pequenos programas embutidos em planilhas e arquivos de texto. Como esses arquivos so os mais comuns, tratam-se de excelente meio de propagao.
54
Vrus de Macro - Atuao
NORMAL.DOT
MACROS
TEXTO
TEXTO
Macro com vrus
Macro com vrus
Doc1.doc
Doc2.doc

SEGURANA DE INFORMAES Fontes de infeco por Vrus Disquetes Redes Cd-Roms de revistas E-mails Softwares Anti-Vrus Preveno Deteco Remoo
55

SEGURANA DE INFORMAES Analisando impactos e calculando riscos Em funo do tempo em que um impacto, causado por uma ameaa, permanece afetando a instituio: curto ou longo prazo. Escala de Classificao: 0 - Impacto irrelevante. 1 Pouco significativo, sem afetara a maioria dos processos. 2 Sistemas no disponveis por um perodo de tempo, pequenas perdas financeiras e de credibilidade. 3 Perdas financeiras de maior vulto e de clientes. 4 Efeitos desastrosos, sem comprometer a sobrevivncia da instituio. 5 Efeitos desastrosos, comprometendo a sobrevivncia da instituio.

Analisando impactos e calculando riscos Alm do nvel do impacto, temos tambm os tipos de impacto, definidos a critrio de cada instituio. Exemplos de tipos de impactos: 01 Modificao dados. 02 Sistemas vitais no disponveis 03 Divulgao de informaes no confidenciais 04 Fraudes. 05 Perda de credibilidade 06 Possibilidade de processo contra a instituio 07 Perda de clientes para a concorrncia
56

SEGURANA DE INFORMAES Analisando impactos e calculando riscos Assim como os impactos, as probabilidades de ameaas podem ser distribudas em uma escala Escala de Classificao: 0 Ameaa completamente improvvel de acontecer. 1 Probabilidade de ocorrer mais de uma vez por ano. 2 Probabilidade de ocorrer pelo menos uma vez por ano. 3 Probabilidade de ocorrer pelo menos uma vez por ms. 4 Probabilidade de ocorrer pelo menos uma vez por semana. 5 Probabilidade de ocorrer diariamente.
Matriz de Relacionamento entre Ameaas, Impactos e Probabilidades

Ameaas Genricas Erros Humanos Ameaas associadas identificao Cavalos de Tria Ameaas associadas disponibilidade Desastres Naturais Ameaas associadas confidencialidade Monitoramento trfego rede interna Ameaas associadas integridade Modificaes deliberadas das informaes Ameaas associadas ao controles de Acesso Acesso a arquivos de senhas Tipo Impacto Impacto 0-5 Probabilidade 0-5
57

SEGURANA DE INFORMAES Controles de Segurana Uma vez identificados os impactos e ameaas e calculados os riscos, so desenvolvidas estratgias para controlar o ambiente vulnervel: Para cada risco tentar implementar as seguintes linhas de ao: Eliminar o risco. Reduzir o risco a um nvel aceitvel. Limitar o dano, reduzindo o impacto. Compensar o dano, por meio de seguros. Controle em camadas estratgia eficiente, pois distribui a segurana em nveis, se um falhar ainda existem outros para proteger o recurso. (APLICATIVOS, SERVIOS, S.O. E HW.)

SEGURANA DE INFORMAES Definindo Servios de Segurana Servios de segurana so medidas preventivas escolhidas para combater ameaas identificadas (ISO 7498/2). Modelo para redes, porm aplicados a sistemas computacionais em geral. Categorias de servios: Autenticao verifica a identidade de quem est solicitando o acesso ao recurso. Controle de acesso proteo contra uso no autorizado de recursos. Confidencialidade dos dados proteo contra leitura no autorizada.
58

SEGURANA DE INFORMAES Categorias de servios: Integridade dos dados proteo contra ameaas validade e consistncia dos dados. Disponibilidade garantia que os recursos estaro disponveis. No repdio em comunicaes, tenta evitar que remetente ou destinatrio neguem que enviaram ou receberam dados

Servios de Segurana Servios de segurana so uma classe especial de medidas preventivas relacionadas com o ambiente lgico. No geral existem outras medidas importantes como: Segurana Fsica. Segurana dos recursos computacionais Segurana administrativa Segurana de meios magnticos Controles de desenvolvimentos de aplicativos.
59

Definindo Mecanismos de Segurana Mecanismo de segurana o meio utilizado para atender um servio de segurana. Por exemplo, a criptografia um mecanismo que garante a confidencialidade dos dados. Principais mecanismos de segurana: Sistemas criptogrficos - utilizam criptografia ou algoritmos criptogrficos para proporcionar confidencialidade s informaes. Mesmo que outros mtodos falhem (controle de acesso, senhas, etc...) os dados permanecem inviolveis ao invasor.
SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA SEGURANA
ALGORTIMO
XYSKOKQE03393 * ** 7 &5 %#&6 6% %& *Hn BNe r4123478 *7542## &Um (O p_=)(*& %$ #@!

SEGURANA DE INFORMAES Criptografia algoritmo formam uma seqncia de operaes para transformar texto em claro em texto cifrado. Mais conhecidos: DES (Data Encryption Standard IBM 1970) desenvolvido na dcada de 70 pela IBM; Treli DES variao do DES que utiliza trs chaves criptogrficas diferentes; IDEA(International Data Encryption Algorithm) desenvolvido em 1990 pelo Instituto Federal Suco de Tecnologia e considerado um dos mais rpidos algoritmo disponveis no mercado.
60

SEGURANA DE INFORMAES Criptografia Mais conhecidos (cont.): RSA(Rivest, Shamir e Adleman desenvolvedores) capaz de implementar tamanhos variveis de chaves; Famlia RC Conjunto de algoritmos que utilizachaves de tamanho varivel; Famlia MD(Message Digest) conjunto de algoritmos utilizado para garantir a integridade de dados, atualmente padro para correio eletrnico, firewalls e redes VPN.

SEGURANA DE INFORMAES Criptografia A concepo do sistema criptogrfico de que apenas as pessoas que conhecem a chave secreta so capazes de decifrar um texto criptografado. A criptografia atende a mais de um mecanismo de segurana, pois alm de ocultar a informao (confidencialidade), mantm o contedo inalterado (integridade) desde a cifragem at a decifragem.
61

SEGURANA DE INFORMAES Criptografia Produtos populares que usam a criptografia: PGP (Pretty Good Privacy) software de proteo muito comum. Usa os algoritmos IDEA e RSA. SSL (Secure Socket Layer) desenvolvido pela Netscape, oferece autenticao, verificao de integridade, compresso e criptografia. Chaves de at 128 bits. SET (Security Electronics Transations) Desenvolvido pelas principais administradoras de Carto de Crdito, para proteger transaes eletrnicas.

SEGURANA DE INFORMAES Outros mecanismos de segurana Assinatura Digital conjunto de mecanismos que podem prover servios de no repdio, de autenticao de origem ou de integridade. Um procedimento para a assinatura e outro para verificao da mesma. Mecanismos de controles de acesso o proprietrio decide quem e como poder ser acessado o recurso. Podem ser listas de direitos de acesso, perfis, etc... Mecanismos de integridade de dados proteo contra modificao de dados.
62

SEGURANA DE INFORMAES Outros mecanismos de segurana Mecanismos de disponibilidade dispositivos como unidades de backup e recuperao de dados, equipamentos de controle de temperatura, no-breaks e equipamentos redundantes que garantam a disponibilidade dos sistemas. Trocas de autenticaes atendem ao servio de autenticao da entidade que solicita o recurso. Enchimento de trfego usado em conjunto com sistemas criptogrficos para prover confidencialidade no fluxo de dados, impedindo anlise de trfego. Controles de roteamento preveno do trfego de dados crticos em canais de comunicao inseguros.

Ataques Passivos no interferem no contedo do recurso atacado. Ativos Afetam e prejudicam o contedo do recurso atacado. Hackers X Crackers Funcionrios e Ex-funcionrios Consultores Externos
63

SEGURANA DE INFORMAES Implantando Gerncia de Segurana Dependendo do tamanho e do grau de vulnerabilidade da organizao, a responsabilidade de segurana de informaes deve ser desempenhada por pessoa ou grupo especialmente dedicado a esta finalidade. Gerente de Segurana auxiliar no desenvolvimento da poltica de segurana e cuidar da divulgao e aplicao correta da mesma. Deve ter linha direta com a direo. Princpios bsicos: Prevenir o acesso no autorizado. Impedir que aqueles que conseguirem acesso danifiquem ou adulterem qualquer coisa. Uma vez ocorrido o ataque, identificar suas causas, recuperar sistemas e dados e modificar os controles para evitar novas ocorrncias.

SEGURANA DE INFORMAES Implantando Gerncia de Segurana As funes de uma gerncia de segurana podem ser subdividas em 04 gerncias: Gerncia de segurana de sistemas Gerncia dos servios de segurana Gerncia dos mecanismos de segurana Gerncia de auditoria de segurana Grupos de pessoas com responsabilidades em SI: Proprietrios do sistema Gerente do sistema Usurio
64

SEGURANA DE INFORMAES Implantando Gerncia de Segurana Gerncia de segurana de sistemas Responsvel pela segurana institucional, isto , engloba todos os aspectos de segurana de sistemas (administrao da poltica de segurana, auditoria de segurana, procedimentos de recuperao aps ataque etc.). importante que essa gerncia esteja sempre atualizada em relao aos problemas, riscos e solues de segurana mais recentes.

SEGURANA DE INFORMAES Implantando Gerncia de Segurana Gerncia dos servios de segurana Administrao de servios de segurana especficos (como confidencialidade e autenticao), incluindo a seleo dos mecanismos de segurana mais adequados para atend-los.
65

SEGURANA DE INFORMAES Implantando Gerncia de Segurana Gerncia dos mecanismos de segurana Administrao individualizada dos mecanismos de segurana. Gerncia de auditoria de segurana Reviso e verificao de registros e atividades de segurana com intuito de testar a adequao dos controles do sistema, garantir sua aderncia poltica de segurana estabelecida e recomendar mudanas necessrias nos controles, procedimentos ou na prpria poltica adotada. recomendvel que o mesmo seja independente (no esteja envolvido na administrao da segurana) para que possa opinar de forma isenta.

O QUE FAZER EM CASO DE VIOLAO DA POLTICA DE SEGURANA
Detectar sua razo negligncia, acidente ou erro, desconhecimento da poltica de segurana ou por ao deliberada. recomendvel que a poltica de segurana contenha os passos a serem seguidos para cada tipo de violao, de acordo com a sua severidade, visando a ao corretiva e a punio. Dependendo do dano a ao pode ser desde uma advertncia verbal at um processo judicial. Para se tomar qualquer medida punitiva sobre usurios autorizados, este deve ter sido esclarecido sobre a poltica de segurana da organizao.
66

O QUE FAZER EM CASO DE VIOLAO DA POLTICA DE SEGURANA
O programa de treinamento em segurana deve fazer parte da formao de novos funcionrios e de reciclagem dos funcionrios mais antigos. O treinamento em segurana deve ser uma atividade continuada. Sempre h uma novidade a ser transmitida, uma nova ameaa etc. Devem ser utilizados diferentes meios para divulgao: aulas, boletins informativos, vdeos, teatro etc.

IMPLEMENTANDO E AUDITANDO POLTICAS DE SEGURANA
Os aspectos de segurana apresentados a seguir podem ser usados como uma lista de verificaes, tanto pela gerncia de segurana de sistemas, como pela equipe de auditoria. Gerncia: conjunto de tarefas a serem realizadas na implementao de uma poltica de segurana; Auditoria: procedimentos de auditoria relacionados poltica de segurana da organizao auditada.
67

Lista de Verificaes: Elaborar, divulgar e manter atualizado documentos que descreva a poltica de segurana de informaes; A alta gerncia deve estar comprometida com a poltica de segurana de informaes, a qual deve ser implantada de acordo com o documento formal por ela aprovado. Definir uma estrutura organizacional responsvel pela segurana, a qual deve aprovar e revisar as polticas de segurana, designar funes de segurana e coordenar a implantao da poltica.

Lista de Verificaes (cont) : Estabelecer procedimentos de segurana de pessoal, com o intuito de reduzir ou evitar erros humanos, mal uso de recursos computacionais, fraude ou roubo, por meio de um processo rigoroso de recrutamento de pessoal e de controle sobre acesso a dados confidenciais. Todos os funcionrios devem ter conhecimento dos riscos de segurana de informaes e de suas responsabilidades com relao a esse assunto. aconselhvel que haja um treinamento de segurana para difuso de boas prticas e padres de segurana, promovendo uma cultura de segurana na organizao.
68

Lista de Verificaes (cont) : Controlar e classificar os recursos computacionais de acordo com seu grau de confidencialidade, prioridade e importncia para a organizao. Todos os recursos (hardware, software, dados, documentao, etc.) devem ser administrados por um responsvel designado seu proprietrio. Definir padres adequados de segurana fsica para prevenir acessos no autorizados, danos ou interferncia em atividades crticas. Devem ser estabelecidos limites de acesso ou reas de segurana com dispositivos de controle de entrada. Todos os equipamentos e cabeamentos de energia eltrica e de telecomunicaes devem ser protegidos contra interceptao, dano, falha de energia, picos de luz e outros problemas eltricos.

Lista de Verificaes (cont) : Implantar controle de acesso lgico aos sistemas de forma a prevenir acessos no autorizados. Esse controle pode ser feito via processo seguro de logon, senhas fortemente seguras, registro formal de usurios, monitoramento por trilhas de auditoria etc. Administrar os recursos computacionais e as redes seguindo requisitos de segurana previamente definidos.
69

Lista de Verificaes (cont.) : Definir procedimentos de backup e de restaurao dos sistemas computacionais para garantir a integridade e a disponibilidade de dados o software. A freqncia de backup deve ser apropriada e pelo menos uma cpia do backup deve ser guardada em local seguro. Os procedimentos de restaurao devem ser periodicamente testados para garantir sua efetividade quando forem necessrios. Antes da incluso de qualquer programa nos sistemas computacionais da organizao, tomar as medidas de segurana exigidas na poltica de segurana.

Lista de Verificaes (cont.) : Investigar qualquer incidente que comprometa a segurana dos sistemas. Os registros desses incidentes devem ser mantidos e periodicamente analisados para detectar vulnerabilidades na poltica de segurana adotada. Aps uma violao da poltica de segurana, tomar as medidas necessrias para identificao de suas causas e agentes, correo das vulnerabilidades e punio aos infratores. Auditar regularmente todos os aspectos de segurana a fim de determinar se as polticas esto sendo efetivamente cumpridas ou se so necessrias modificaes.
70

CONTROLE DE ACESSO LGICO Controles de Acesso Lgico Os dispositivos e sistemas computacionais no podem ser facilmente controlados com dispositivos fsicos como alarmes, guardas, etc... Acesso lgico:
Usurio ou Processo Arquivos ou Equipamentos
Controles de acesso lgico so um conjunto de medidas e procedimentos, adotados pela organizao ou intrnsecos aos softwares utilizados, para proteger dados e sistemas contra tentativas de acesso no autorizadas. O usurio pea importante nesse controle (senhas fracas ou compartilhadas, descuidos na proteo de informaes, etc...)

CONTROLE DE ACESSO LGICO Recursos e informaes a serem protegidos Aplicativos Programas fonte e objeto. O acesso no autorizado pode alteraras funes dos programas. Arquivos de dados Bases de dados podem ser alteradas ou apagadas sem a autorizao adequada. Utilitrios e Sistema Operacional O acesso tambm deve ser restrito, pois podem provocar alteraes nas configuraes e nos arquivos em geral ou podem permitir a cpia dos mesmos.
71

CONTROLE DE ACESSO LGICO Recursos e informaes a serem protegidos (cont.) Arquivos de Senhas A falta de proteo a esses arquivos pode comprometer toda a segurana, j que se forem descobertos e decifrados, a vulnerabilidade total. Arquivos de Log Os logs so usados para registra as aes dos usurios, sendo timas informaes para auditorias e anlise de quebras de segurana. Se no houver proteo a esses arquivos, o usurio ou invasor pode apagar as pistas de suas aes.

CONTROLE DE ACESSO LGICO Elementos Bsicos de Controle de Acesso Lgico Dois pontos distintos de controle: o recurso computacional que se pretende proteger e o usurio a quem se pretende conceder os privilgios e acesso aos recursos. Objetivos dos controles: Apenas usurios autorizados tenham acesso aos recursos. os usurios tenham acesso aos recursos necessrios a execuo de suas tarefas. O acesso a recursos crticos seja monitorado e restrito. Os usurios sejam impedidos de executar transaes incompatveis com sua funo ou responsabilidades. IDENTIFICAO AUTENTICAO DE USURIOS ALOCAO, GERNCIA E MONITORAMENTO DE PRIVILGIOS LIMITAO, MONITORAMENTO E DESABILITAO DE ACESSOS PREVENO DE ACESSOS NO AUTORIZADOS
72

CONTROLE DE ACESSO LGICO Processo de Logon Obteno de acesso aos aplicativos, dados e sistema computacional. Requer um userid (conta ou logon) identificao, e uma senha - autenticao. Usurios habilitados j devem conhecer o processo e o formato. No necessrio ajudas toda vez que ele for logar. recomendvel limitar o nmero de tentativas frustradas de logon, bloqueando a conta do usurio e desfazendo a conexo.

CONTROLE DE ACESSO LGICO Processo de Logon Identificao do usurio deve ser nica. Regras de formao tambm so importantes que permitem rpida identificao. Autenticao do usurio a confirmao do usurio perante o sistema. Pode ser por senha, cartes ou caractersticas fsicas, como o formato da mo, da retina ou do rosto, impresso digital ou reconhecimento da voz.
73

CONTROLE DE ACESSO LGICO Senhas A poltica de senhas imprescindvel. Uma m administrao destes procedimentos expe a organizao a riscos. Repetio de senhas para vrios sistemas prtica comum, mas reprovvel. Senhas com elementos facilmente identificados: Nome ou nome da conta Nomes de membros da famlia ou amigos ntimos Nome do SO ou da mquina Datas

CONTROLE DE ACESSO LGICO
Senhas Senhas com elementos facilmente identificados(cont.): N de telefone, carto de crdito, Identidade ou docs pessoais Placas ou marcas de carro Nomes prprios Letras ou nmeros repetidos Qualquer senha com menos de 06 caracteres
74

CONTROLE DE ACESSO LGICO Senhas Alguns softwares so capazes de quebrar senhas frgeis. Podem ser usados tambm para bloquear o uso delas. Como escolher uma boa senha: Compostas por letras (maisculas e minsculas), nmeros e smbolos embaralhados. De fcil memorizao, para no ser preciso anotar. De digitao rpida. Iniciais de Frases de conhecimento do usurio, mesclando simbolos (@, #,$, %) entre os caracteres. Evitar usar as mesmas senhas para vrios sistemas, pois se um deles no for protegido, o risco grande. Forar ou criar um hbito de troca peridica.

CONTROLE DE ACESSO LGICO Tokens Token um objeto que o usurio possui que o diferencia das outras pessoas e o habilita a acessar alguma coisa. Chaves, cartes, objetos especiais so exemplos comuns de tokens. A desvantagem que podem ser perdidos, roubados ou reproduzidos com facilidade. Os cartes inteligentes esto sendo muito usados e aperfeioados para uso cada vez mais abrangente.
75

CONTROLE DE ACESSO LGICO Sistemas Biomtricos So sistemas de verificao de identidade baseados em caractersticas fsicas dos usurios. So mais difceis de serem burlados, mas ainda tm o fator custo proibitivo. So a evoluo dos sistemas manuais de reconhecimento, como anlise grafolgica e de impresses digitais. A tecnologia de medir e avaliar determinada caracterstica de tal forma que o indivduo seja realmente nico. Um dos problemas ainda a taxa de erros, pois determinada caracterstica pode mudar em uma pessoa, com o passar dos anos ou por outra interveno.

CONTROLE DE ACESSO LGICO Sistemas Biomtricos Impresses Digitais So caractersticas nicas e consistentes. So armazenados de 40 a 60 pontos para verificar a identidade. Voz Sistemas de reconhecimento de voz so usados para controle de acesso. No so to confiveis em funo dos erros causados por rudos no ambiente ou problemas na voz do usurio. Geometria da Mo usada em sistemas de controle acesso, porm essa caracterstica pode ser alterada por aumento ou diminuio do peso ou artrite. Configurao da ris ou da retina so mais confiveis que as de impresso digital, atravs de direcionamento de feixes de luz nos olhos das pessoas. Reconhecimento Facial por meio de um termograma Atravs de imagem tirada por cmera infravermelha que mostra os padres trmicos de uma face. 19.000 pontos de identificao!
76

CONTROLE DE ACESSO LGICO Proteo aos recursos O fato do usurio ter sido identificado e autenticado no quer dizer que ele poder acessar qualquer informao ou aplicativo sem restrio. necessrio o controle especfico, restringindo o acesso apenas s aplicaes, arquivos e utilitrios imprescindveis s suas funes. Controles de menus, disponibilizando somente opes compatveis com o usurio. Definio de perfis de cada usurio (ou grupo de usurios).

Diretos e permisses de Acesso A segurana lgica garantida atravs de dois tipos de controle: O que um sujeito pode fazer. O que pode ser feito com um objeto. Podemos definir individualmente os direitos de acesso para cada sujeito ou objeto. Mais trabalhosa para grandes quantidades.
77

CONTROLE DE ACESSO LGICO Diretos e permisses de Acesso Matriz de Controle de Acesso:
Relato.doc Fernando Lcia Cludio Leitura/gravao Leitura Audit.exe Execuo Execuo

CONTROLE DE ACESSO LGICO Monitoramento Registros de logs, trilhas de auditoria ou outros mecanismos de deteco de invaso so essenciais. Na ocorrncia de uma invaso, erro ou atividade no autorizada, imprescindvel reunir evidncias para se tomar medidas corretivas necessrias.
78

CONTROLE DE ACESSO LGICO Monitoramento Os logs funcionam tambm como trilhas de auditorias, registrando cronologicamente as atividades do sistema. Possibilitam a reconstruo, reviso ou anlise dos ambientes e atividades relativas a uma operao, procedimento ou evento. Por conterem informaes essenciais para a segurana, os arquivos de logs devem ser protegidos contra destruio ou alterao por usurios ou invasores. O uso em excesso tambm pode degradar o sistema, sendo necessrio balancear a necessidade de registro de atividades criticas e os custos em termos de desempenhos.

Controles de Acesso Lgico ao Sistema Operacional Controles so implementados pelo fabricante do SO. As vezes, temos que instalar pacotes adicionais para incrementar a segurana do SO.
79

CONTROLE DE ACESSO LGICO Outros Controles de Acesso Lgico Time-out automtico. Limitao de horrio de utilizao de recursos. Evitar uso de sesses concorrentes. Se usurio estiver conectado, o invasor no poder logar com sua identificao/autenticao. Se o invasor tiver logado, o usurio ter seu acesso negado por sua conta est sendo usada e poder notificar segurana.

CONTROLE DE ACESSO LGICO Gerncia de Controle de Acesso Lgico Responsvel por garantir controles adequados aos riscos, previamente identificados e analisados. Deve determinar que tipo de controle deve ter cada caso. Deve sempre se basear nas condies estabelecidas na poltica de segurana, tais como: Propriedade de cada sistema e arquivos de dados relacionados. Classificao dos sistemas em termos de importncia quanto a disponibilidade, integridade e confidencialidade. Necessidade de acesso a dados e compatibilidades com cada usurio. Responsabilidade de cada usurio.
80

CONTROLE DE ACESSO LGICO Riscos Inerentes a Controles de Acesso Lgico Inadequados Principais impactos: divulgao no autorizada de informaes, alterao no autorizada de dados e aplicativos e comprometimento da integridade do sistema. Impactos maiores em aplicativos que manipulam dados confidenciais e financeiros. A inexistncia de controles de acesso a arquivos de dados permite que um indivduo faa mudanas no autorizadas para permitir vantagem pessoal, por exemplo: Alterar nmero da conta de um pagamento, desviando dinheiro para si mesmo. Alterar inventrio da empresa, para esconder furtos. Aumentar seu salrio na folha de pagamento. Obter informaes confidenciais a respeito de transaes ou indivduos, visando futura extorso ou chantagens.

CONTROLE DE ACESSO LGICO Riscos Inerentes a Controles de Acesso Lgico Inadequados O acesso irrestrito a aplicativos pode permitir o acesso aos dados, resultando nas mesmas alteraes. A falta de controle de acesso sobre meios magnticos, impressos ou de telecomunicaes pode gerar os mesmos problemas. Conseqncias mais graves: Perdas financeiras e fraudes. Extorses. Custo de restaurao ao estado inicial de programas e dados. Perda de credibilidade. Perda de mercado para a concorrncia. Inviabilidade para a continuidade do negcio. Processos judiciais por divulgao de informaes.
81

Conceder acesso, aos usurios, apenas aos recursos realmente necessrios para execuo de suas tarefas. Restringir e monitorar o acesso a recursos crticos. Utilizar softwares de controle de acesso lgico. Utilizar criptografia. Revisar periodicamente as listas de controle de acesso. Evitar dar orientaes ao usurio durante o processo de logon. Bloquear a conta do usurio aps um certo nmero de tentativas frustradas de logon. Restringir acesso a determinados perifricos.

Fornecer contas apenas a pessoas autorizadas. No fornecer a mesma conta para mais de um usurio. Ao conceder a conta ao usurio, inform-lo sobre as polticas de senha da organizao. Bloquear, se possvel, a escolha de senhas consideradas frgeis e orientar o usurio na escolha de senhas mais seguras, Orientar os usurios para no armazenarem senhas em arquivos ou envi-las por e-mail. Armazenar as senhas no sistema sob a forma criptografada. Prevenir o uso freqente de senhas j utilizadas pelo mesmo usurio anteriormente. Estabelecer um prazo mximo de utilizao de uma mesma senha.
82

Informar os usurios quanto aos perigos de divulgao de senhas. Impedir que os usurios sejam capazes de ler os arquivos de senha, identificar e trocar senhas de outros usurios. Desabilitar contas inativas, sem senhas ou com senhas padronizadas. Desabilitar as senhas de ex-funcionrios. No armazenar senhas em logs. Manter e analisar trilhas de auditoria e logs. Limitar o nmero de sesses concorrentes e o horrio de uso dos recursos computacionais.

Configurar time-out automtico. Revisar e incorporar as listas de verificaes propostas na poltica de segurana e nos outros tpicos de carter mais especfico, de acordo com a rea ou plataforma a ser auditada.
83

CONTROLE DE ACESSO FSICO
Controles de Acesso Fsico - Proteger equipamentos e informaes
Segurana de Acesso
Segurana Ambiental
Recursos a serem protegidos Equipamentos, Documentao, suprimentos e os prprios usurios. A proteo fsica complementa a proteo lgica.

Controles Administrativos Crachs de identificao Devoluo de bens da instituio do funcionrio demitido. Controle de entrada e sada de visitantes. Controle sobre prestadores de servios ou funcionrios fora do horrio normal. Princpio da mesa limpa.
84

CONTROLE DE ACESSO FSICO Controles Explcitos Fechaduras ou cadeados comuns. Fechaduras codificadas acopladas a mecanismo eltrico. Fechaduras eletrnicas, cujas chaves so cartes magnticos. Fechaduras biomtricas, programadas para reconhecer caractersticas fsicas. Cmera de vdeo e alarmes, como controle preventivo e detectivo. Guardas de segurana.

CONTROLE DE ACESSO FSICO Definio dos Controles Fsicos A gerncia deve proceder uma anlise dos riscos, ameaas e vulnerabilidades dos componentes do sistema. As medidas preventivas (contidas na poltica de segurana) devem reduzir os riscos, balanceando custo X benefcio.
85

CONTROLE DE ACESSO FSICO Controles Ambientais diretamente relacionados com a disponibilidade e integridade das informaes. Visam proteger os recursos computacionais contra danos provocados por desastres naturais, falhas em estruturas ou instalaes. Incndios Controles Preventivos e/ou Supressivos. Energia Eltrica e Descargas Eltricas Naturais Afetam a disponibilidade e a integridade dos sistemas. Uso efetivo de estabilizadores, no-breaks, geradores alternativos, pra-raios. Instalaes eltricas aterradas.

CONTROLE DE ACESSO FSICO Controles Ambientais diretamente relacionados com a disponibilidade e integridade das informaes. (cont.) Enchentes ou ameaas que envolvam gua equipamentos eletrnicos no combinam com gua. Providncias: verificao de possveis entradas de gua nos ambientes. Teto, tubulaes de gua estouradas, ralos e esgotos, aparelhos de refrigerao. O cpd pode ficar em um andar superior, se existem possibilidades de enchentes ou inundaes.
86

Controles Ambientais Temperatura, Umidade e Ventilao Necessidade de ambientes de temperatura, umidade e ventilao controlada. Temperaturas entre 10 e 32 C so recomendadas (para os usurios tambm). Ambientes secos demais geram eletricidade esttica e mido demais podem provocar oxidao e condensao nos equipamentos.

Controles Ambientais (cont.) As canaletas de ventilao dos equipamentos devem estar desobstrudas. Manuteno e limpeza nos equipamentos de ar condicionado. Limpeza e conservao As salas dos equipamentos devem ser mantidas limpas, sem acmulo de materiais de fcil combusto. Proibio de consumo de cigarros, lquidos e alimentos prximo aos equipamentos
87

CONTROLE DE ACESSO FSICO Riscos Inerentes a Controles Ambientais Inadequados Danos nos equipamentos, causados por desastres naturais ou falhas ou falta de fornecimento de energia. Indisponibilidade dos sistemas e integridade dos dados podem trazer conseqncias srias para a empresa. Riscos Inerentes a Controles Fsicos Inadequados Danos intencionais ou acidentais provocados por funcionrios, prestadores de servio, equipe de vigilncia ou limpeza pode variar desde roubo de equipamentos e componentes at alterao, cpia ou divulgao de informaes confidenciais e atos de vandalismo. A falta de controle de acesso fsico podem facilitar a ao de invasores na tentativa de burlar os controles lgicos.
PLANO DE CONTINGNCIA
88

PLANO DE CONTINGNCIAS Plano de Contingncias e Continuidade dos Servios de Informtica. Dependncia extrema de computadores de muitas organizaes. No deixa de ser um risco, por isso merece muita ateno. Por causa das vulnerabilidades, necessrio adotar um plano de recuperao aps desastres. Instituies bancrias e financeiras so mais rgidas no estabelecimento de planos de contingncias. Fatos como o bug do milnio fez com que as empresas despertassem da necessidade de planos. Atentados terroristas tambm provocaram maiores atenes para mecanismos de reestruturao dos ambientes computacionais.

PLANO DE CONTINGNCIAS
Plano de Contingncias e Continuidade dos Servios de Informtica. A grande maioria das empresas nacionais ainda no despertou para esse fato, pensando que isso s acontece com os outros. Um plano de recuperao na rea de informtica deve fazer parte de uma estratgia ou poltica de continuidade de negcios mais abrangente da empresa. o conjunto de procedimentos para permitir que os servios continuem a operar, ou que tenham condies de serem restabelecidos em menor tempo possvel.
89

PLANO DE CONTINGNCIAS Plano de Contingncias e Continuidade dos Servios de Informtica. Porque necessrio ? Os servios de processamento de dados devem estar preparados para imprevistos. No problema apenas do departamento de informtica e sim da organizao. As decises so de negcios e no tcnicas apenas do DI. A organizao vai analisar cada recurso e atividades e definir sua importncia para a continuidade dos negcios. O Plano deve ter o objetivo de manter a integridade dos dados, a disponibilidade dos servios ou mesmo prover servios temporrios ou com certas restries at que os servios normais sejam restaurados.

PLANO DE CONTINGNCIAS
Plano de Contingncias e Continuidade dos Servios de Informtica. Porque necessrio ? Quanto mais tempo os servios estiverem indisponveis, maiores os impactos nos negcios. Minimizar o tempo de parada dos sistemas para reduzir os prejuzos. Como medida preventiva, muita vezes colocada em segundo plano na empresa, principalmente pelos custos envolvidos. O PLANO NO PARA DAR LUCRO E SIM EVITAR PREJUZOS.
90

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias importante definir aspectos administrativos como objetivos, oramentos, prazos, recursos humanos, materiais e equipamentos necessrios. Fases do plano: Atividades preliminares conscientizao, identificao dos rcs, anlise de custos, definio de prazos e aprovao do projeto inicial. Anlise de impacto identificao dos impactos da interrupo de cada sistema computacional.

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias Fases do plano (cont.): Anlise das alternativas de recuperao estudo detalhado de cada alternativa de recuperao, balanceando custos e benefcios. Desenvolvimento do plano definio dos detalhes e dos recursos para sua consecuo. Treinamento para garantir a eficincia do plano, pois os funcionrios devem ter conhecimento do mesmo.
91

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias Fases do plano: Testes para provar a exeqibilidade. Aps os testes, avalia-se o resultado, implementando as mudanas necessrias. Atividades preliminares Comprometimento da alta gerncia Estudo preliminar Anlise de Impactos Tipos diretos e indiretos Identificao dos recursos, funes e sistemas crticos Definio do tempo limite para recuperao Relatrio de anlise de impacto

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Anlise das Diversas Alternativas de Recuperao Preveno de acidentes Backup Armazenamento de dados Recuperao de dados Procedimentos manuais Seguros Acordos comerciais Acordos de Reciprocidade Solues internas
92

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Desenvolvimento do Plano de Contingncias Aps as anlises, discusses e obteno da viso geral dos sistemas, recursos e funes, o prximo passo colocar todas as estratgias em um documento. Um plano deve cobrir duas fases: Resposta Imediata envolve decises gerenciais, como levar o plano adiante e tomar medidas corretivas. Processo de Restaurao define os passos a serem seguido no local escolhido como instalao reserva. Designao do Grupo de Recuperao de Contingncias Para colocar em prtica o plano.

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Desenvolvimento do Plano de Contingncias (cont.) Resposta imediata a um desastre o conhecimento prvio evita confuso e hesitao na hora do incidente.
Identificar e compreender o problema. Conter os danos, limitando ou parando o problema. Determinar os danos causados. Restaurar os sistemas. Eliminar as causas. Comunicar o problema e as solues aos interessados, seguradoras, etc...
Escolha da instalao reserva deve ser adequada para que possa dar condies para operaes dos sistemas. Identificao de Aplicativos crticos aqueles que tm prioridade na restaurao e retorno s atividades.
93

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Treinamento Cada funcionrio deve estar consciente de suas responsabilidades em caso de emergncia, sabendo exatamente o que fazer. Para isso, o treinamento terico e prtico fundamental. necessrio tambm revises ou reavaliaes peridicas do grau de habilitao dos envolvidos no Plano.

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Teste Assim como a organizao testa seu sistema contra incndios, deve testar seu plano de contingncias. a nica maneira de garantir a eficincia do plano de contingncias. Teste integral situao prxima da realidade Teste parcial algumas partes do plano ou determinadas atividades. Teste simulado envolve representaes da situao emergencial.
94

PLANO DE CONTINGNCIAS Fases do Plano de Contingncias (cont.) Atualizao do plano Um plano ter pouca ou nenhuma utilidade se for colocado em uma gaveta e nunca for testado ou avaliado. As mudanas de sistemas e funes so freqentes, assim como ocorrem mudanas administrativas e do ambiente computacional. O plano tem que sempre refletir as mudanas feitas nos negcios e sistemas. Lista de verificaes
AUDITORIA DE TECNOLOGIA DA INFORMAO

Introduo Auditoria de TI = Auditoria de Sistemas Nesse tipo de auditoria analisado um conjunto de controles gerenciais e procedimentos que afetam o ambiente de informtica. Itens de verificao: Padres e polticas adotadas pela organizao. Operaes sobre sistemas e dados. Disponibilidade e manuteno do ambiente computacional. Utilizao dos recursos computacionais. Gerncia de banco de dados e rede. Aspectos relacionados segurana de informaes.
95

Controles Organizacionais So polticas, procedimentos e estrutura organizacional estabelecidos para definir as responsabilidades dos envolvidos nas atividades relacionadas rea de informtica. So o ponto de partida das auditorias de sistemas. O auditor, na fase de planejamento, deve analisar a estrutura adotada pela entidade auditada, seus componentes e relacionamentos com outros setores da organizao. Responsabilidades Organizacionais o Dept Informtica deve ter uma estrutura organizacional bem definida. Importncia em relao a outros setores. No quer dizer que deva se considerar superior. As descries dos cargos e as habilidades tcnicas para exerclos devem estar estabelecidas e documentadas.

Controles Organizacionais Responsabilidades Organizacionais Deve existir um canal de relacionamento entre a alta gerncia, sobretudo para assegurar os recursos necessrios implantao e manuteno da segurana, alm do prprio comprometimento do desempenho do dept. Polticas, Padres e Procedimentos So a base para o planejamento gerencial, o controle e a avaliao do DI. Polticas e padres implementados pela alta gerncia so mais considerados na prtica. A partir das polticas, so estabelecidos padres, por exemplo, para aquisio de recursos (humanos ou computacionais), projetos, desenvolvimentos, etc.. Procedimentos descrevem a forma como as atividades devero ser executadas. Podem ser definidas pelo DI e aprovados pela gerncia.
96

Controles Organizacionais Estratgia de Informtica um documento tambm conhecido como Plano Diretor de Informtica ou PDTI. Serve como base para qualquer investimento na rea de informtica, traando os objetivos e projetos futuros da organizao. O maior risco associado falta de uma estratgia de informtica o desenvolvimento de sistemas que no satisfaam os objetivos do negcio da organizao. Na auditoria, tambm so verificados se os objetivos da Estratgia da Informtica esto sendo seguidos, onde esto sendo com modificaes e onde no h nenhuma correspondncia entre o proposto e o real. Poltica sobre documentao Define padres de qualidade e classificao dos documentos. Para a equipe de auditoria e segurana, a documentao serve de fonte primria de informaes sobre sistemas auditados e o ambiente computacional.

Controles Organizacionais Gerncia de RH As causas mais freqentes de acesso no autorizado, perdas de dados ou pane dos sistemas, so erros, omisses, sabotagem ou invases feitas por pessoas contratadas pela prpria organizao. Funcionrios mal intencionados tm tempo disponvel e liberdade para vasculhar mesas, ler e copiar documentos e informaes. Sabem tambm como a organizao funciona e que tipo de informao poderia ser valiosa para a concorrncia. Ex-funcionrios so igualmente interessantes para a concorrncia, pois podem servir como fontes de informaes. Para reduzir esses riscos, a organizao tem que adotar polticas, controles e critrios para a contratao de pessoal. Aps a contratao, as atividades do funcionrio devem ser monitoradas e supervisionadas.
97

Controles Organizacionais Plano de Contratao e Desenvolvimento de Pessoal Visa manter a equipe tecnicamente preparada, para operar o ambiente computacional atual e acompanhar os avanos tecnolgicos. O desenvolvimento tcnico motiva desempenho de suas atividades. os funcionrios para o
Seleo de pessoal As polticas de seleo devem ser definidas de tal maneira que a equipe seja composta de pessoas confiveis, com nvel tcnico compatvel e de preferncia, satisfeitas profissionalmente. Isso garante uma qualidade no trabalho e reduz os riscos. Muitas vezes, como o caso de rgos pblicos, o processo se torna mais rgido, com a aplicao de concursos pblicos e da apresentao de documentao comprobatria de escolaridade. A anlise de referncias profissionais, experincias profissionais, antecedentes, etc.. tambm so importantes na seleo.

Controles Organizacionais Treinamento Visa manter a equipe tecnicamente preparada, para operar o ambiente computacional atual e acompanhar os avanos tecnolgicos. Estmulo a troca de experincias com os demais membros da equipe, como forma de multiplicar o conhecimento. Avaliao de desempenho os funcionrios devem ser regularmente avaliados de acordo com padres estabelecidos e o cargo ocupado. Como pode envolver aspectos emotivos e de relacionamento entre avaliador e avaliado, o processo de avaliao deve ser mais objetivo possvel. Rodzios de Cargos e Frias podem servir como controles preventivos de fraudes ou atividades no autorizadas. Um funcionrio, sabendo que outra pessoa pode exercer suas funes, ficar inclinado a no praticar atos desautorizados.
98

Controles Organizacionais Segregao de Funes Visa evitar que um indivduo detenha todo o controle de todas as fases do processo e caia na tentao de praticar algum ato ilcito. Segregao significa que os estgios de uma transao ou processo so distribudos a pessoas diferentes, para que um no tenha todo o controle do incio ao fim. Provoca tambm um controle mtuo das atividades, ao mesmo tempo que, para ocorrer algum problema, tem que haver a conivncia de mais pessoas. A deteco de erros pode ser mais freqente, pois quem os comete, normalmente no os percebe. A limitao de pessoal pode ser fator proibitivo segregao, cabendo organizao adaptar-se ou buscar outros controles, para compensar a falta de segregao.

Controles Organizacionais Interrupo do Contrato de Trabalho to importantes quanto a contratao o procedimento para desligar funcionrios. Polticas que estabeleam medidas no caso de afastamento, como devoluo de crachs, desativar contas e rotinas de pagamento, etc...
99

Controles sobre Banco de Dados Os dados corporativos so os maiores patrimnios de uma organizao. Como so armazenados e manipulados por softwares de banco de dados, os controles sobre eles de importncia vital. SGBD Vrios modelos e padres disponveis no mercado. Independente de qual seja, h a necessidade de auditagem e monitoramento. Auditores especializados com cada SGBD, conhecendo seus pontos fracos em termos de segurana. Software de Banco de Dados Controles gerais iguais aos de pacotes de softwares: Instalao, Configurao, Manuteno, Utilitrios.

Controles sobre Banco de Dados Software de Banco de Dados (cont.) Instalao - verificar se foi feito de acordo com as recomendaes do fonecedor e se foram instaladas as correes e alteraes de segurana mais atualizadas. Configurao - comparar os parmetros de configurao com as recomendaes de segurana conhecidas para SGDB em exame. Manuteno e documentao verificar se os procedimentos de atualizao de verses, instalao de correes e de documentao so adequados. Utilitrios - alguns SGDB possuem software utilitrios associados a sua implementao que permitem acesso direto a dados, sem passar pelos controles normais de segurana de acesso. A equipe deve verificar a existncia desses utilitrios e garantir que seu uso seja feito por um nmero restrito de pessoas e controlado por mecanismos de segurana.
100

Controles sobre Banco de Dados Disponibilidade Caracterstica fundamental do BD. Mecanismos de recuperao devem garantir a a recuperao rpida de dados, em caso de perda ou corrupo. Backup Bases e logs devem ser copiados diariamente. Devido a custos de armazenamento, esse perodo pode ser avaliado pela equipe. Toda rotina de backup deve ser testada para comprovar sua eficincia. Logs e dados devem estar em unidades diferentes. Replicao e redundncia Distribuio e espelhamento de dados entre servidores, para uma maior disponibilidade de dados.

Controles sobre Banco de Dados Integridade Garantia que os dados esto completos e corretos.
Restrio a atualizao simultnea - apenas um usurio de cada vez obtm acesso para atualizao de um determinado registro. Restabelecimento dos ponteiros e ndices para as estruturas de dados grande parte dos SGDB possuem mecanismos internos de deteco, anlise e recuperao dos ponteiros e ndices para as estruturas de dados. Controle de atualizao de dados em ambientes de banco de dados distribudos necessrio que haja mecanismos de controle e atualizao de dados nesse ambiente. Mecanismos de reorganizao de tempos em tempos, aps vrias atualizaes, a base de dados precisa ser reorganizada para que a integridade dos dados seja mantida. Mecanismos de verificao de integridade e correo necessrio existir mecanismos que analisem e corrigem a integridade caso detectem algum problema
101

Controles sobre Banco de Dados Confidencialidade Nem todos os usurios precisam ter acesso a todos os dados. Controles de Acesso O acesso deve restringir aos dados necessrios para o desempenho das funes. Controle de Uso - O registro de uso atravs de logs garante o controle das alteraes.

Controles sobre Banco de Dados Lista de verificaes til tanto para a Gerncia de Segurana de Sistemas quanto para a equipe de auditoria. Definir claramente e documentar as responsabilidades relacionadas administrao de Banco de Dados. Utilizar dispositivos de segurana e procedimentos de autorizao de acesso aos dados da base. Manter controles sobre as mudanas realizadas na base de dados e analisar o desempenho do banco de dados. Monitorar o sistema e registrar em logs todas as atividades de administrao de dados para posterior anlise.
102

Controles sobre Banco de Dados Lista de verificaes (cont.) til tanto para a Gerncia de Segurana de Sistemas quanto para a equipe de auditoria. Verificar se o processo de instalao e configurao do sistema gerenciador de banco de dados foi feito de acordo com as recomendaes de segurana conhecidas no mercado. Manter atualizado o SGBD com as ltimas correes distribudas pelo fornecedor. Estabelecer procedimentos de backup e restaurao do banco de dados. Analisar a possibilidade de instituir redundncia.

Controles sobre Banco de Dados Lista de verificaes (cont.) til tanto para a Gerncia de Segurana de Sistemas quanto para a equipe de auditoria. Estabelecer padres de nomenclatura de arquivos e descrio de dados. Manter atualizada a documentao referente ao software de banco de dados, utilitrios e outros programas relacionados. Implementar mecanismos que limitem o acesso configurao do SGBD e seus utilitrios, assim como a dados especficos da base. Revisar e incorporar as listas de verificaes propostas nos outros tpicos de carter genrico, tais como controles organizacionais, segurana de informaes, controles de acesso, planejamento de contingncias e continuidade de servios etc.
103

Controles sobre Microcomputadores A proliferao do uso de microcomputadores fez com que esses ambientes cada vez mais passassem a ser alvos de auditorias. Caractersticas: Configurao de HW e SW mais simples. Maior interao entre usurio e computador. Tarefas como boot, localizar e copiar arquivos, deletar, etc., tornaram-se tarefas simples para usurios. Menor controle fsico e ambiental sobre equipamentos. Mesmo assim, as polticas de segurana e auditoria no podem deixar de ser aplicadas ao ambiente de microinformtica.

Controles sobre Microcomputadores Riscos e Controles Especficos O risco vem da prpria falta de controle do ambiente. Os usurios vem os micros em suas mesas como propriedades, sobre as quais exercem seus prprios controles e agem da forma como acharem melhor.
104

Controles sobre Microcomputadores Riscos e Controles Especficos H uma dificuldade de conscientizao de usurios de micros quanto importncia de segurana. Programas educativos, treinamentos e boletins ajudam a quebrar resistncias. No faz sentido os micros estarem ilhados, como forma de controle e preveno, mas a conexo destes equipamentos rede da empresa requer cuidados e alguns procedimentos padres, em virtude da segurana.

Controles sobre Microcomputadores
Conformidade com a Legislao Usurios de micro tm sempre a tentao de instalar e usar softwares estranhos organizao. Posturas desses usurios: Ningum vai ficar sabendo. Ningum me disse que no podia. Eu no sabia que era proibido por lei.
105

Conformidade com a Legislao
Os usurios devem conhecer previamente as normas da empresa em relao instalao de softwares, para que se respeitem direitos autorais e que tambm saibam como proteger as informaes confidenciais da empresa.

Pirataria Formas comuns: Comprar uma licena e copi-la para vrios computadores. Alugar software sem permisso do detentor de copyright. Fazer, distribuir ou vender cpias de SW como se fosse seu proprietrio. Baixar pela Internet sem anuncia do detentor do copyright. Prtica condenada em instituies, por razes de legalidade, tica e riscos de perdas e danos. Verificao de SW pirata prtica comum em qualquer auditoria.
106

Controles sobre Microcomputadores Controles de Acesso Fsico e Lgico O acesso fsico menos controlado nos micros. Essa facilidade representa uma porta de entrada ou uma tentao para burlar os controles. Os dados tambm podem ser copiados, apagados ou alterados por usurios no autorizados. Interfaces amigveis ao mesmo tempo que ajudam o usurio com inmeras ferramentas, facilitam tambm o acesso a arquivos e programas. A instalao de pacotes de segurana, senhas, criptografia e armazenamento de dados importantes somente em servidores, prov um grau de proteo maior contra acesso no autorizado. Estabilizadores e no-breaks podem garantir a disponibilidade dos micros.

Controles sobre Microcomputadores Proteo Contra Vrus Os micros se tornaram principal alvo dessa ameaa, pois onde esto as maiores falhas na preveno e sobretudo pela alta conectividade destes equipamentos. Existem alguns controles para a empresa reduzir os riscos de vrus, alguns tcnicos, outros administrativos. Uso de Anti-Vrus Necessrio no apenas a instalao, mais uma correta configurao e atualizao peridica. Participao em listas ou fruns para tomar conhecimento de novas pragas e como prevenir do seu ataque. Cuidado com mensagens falsas. Disseminao entre todos os usurios da existncia de novos vrus, suas formas de ataque e, caso disponvel, sua vacina;
107

Lista de Verificaes til tanto para a Gerncia de Sistemas quanto para a equipe de auditoria. Manter um inventrio dos equipamentos de microinformtica. Instituir controles de entrada e sada de peas e equipamentos, com o objetivo de evitar ou minimizar a perda ou roubo de equipamentos. Instruir os usurios de laptops para no armazenarem nesses equipamentos senhas que possibilitem acessos a sistemas internos ou informaes confidenciais no criptografadas. Manter, se possvel, padronizao de produtos de hardware e software. Utilizar somente softwares contratados.

Lista de Verificaes (cont.) til tanto para a Gerncia de Sistemas quanto para a equipe de auditoria. Utilizar estabilizadores de energia ou equipamentos similares de proteo aos microcomputadores. Manter um registro das licenas de software, identificando em que mquinas esto sendo processadas. Cadastrar os pacotes de software em demonstrao em registros separados no inventrio, para que possam ser tomadas as providncias necessrias para sua contratao ou sua eliminao da mquina ao trmino do perodo de demonstrao. Cadastrar os pacotes de software adquiridos sem nus (freeware) em registros separados no inventrio.
108

Lista de Verificaes (cont.) til tanto para a Gerncia de Sistemas quanto para a equipe de auditoria. Permitir a carga de novos softwares apenas ao administrador do sistema ou pessoas por ele autorizados. Verificar periodicamente os contedos dos discos rgidos dos microcomputadores e eliminar os softwares que no corresponderem aos registros do inventrio. Estabelecer uma poltica contra pirataria de software, prevendo inclusive punies aos infratores. Utilizar sempre senhas ou outros mecanismos de identificao e autenticao dos usurios.

Lista de Verificaes (cont.) til tanto para a Gerncia de Sistemas quanto para a equipe de auditoria. Utilizar softwares de segurana, com intuito de assegurar que apenas pessoas autorizadas tero acesso a arquivos e dados crticos. Manter atualizados os anti-vrus em todos os micros da instituio. Carregar no computador apenas software e dados a partir de fontes confiveis, submetendo todos os disquetes e arquivos externos ao antivrus, antes de serem carregados. Promover programa de treinamento e conscientizao dos usurios quanto segurana de informaes. Utilizar proteo automtica de tela, com senha.
109

Lista de Verificaes (cont.) til tanto para a Gerncia de Sistemas quanto para a equipe de auditoria. Utilizar criptografia. Realizar backup regularmente. Revisar e incorporar as listas de verificaes propostas nos outros tpicos de carter genrico, tais como controles organizacionais, segurana de informaes, controles de acesso, planejamento de contingncias e continuidade de servios etc.

Controles sobre Ambientes Cliente-Servidor Caracterizao do Ambiente Compartilhamento de recursos de forma a racionar e otimizar o uso de equipamentos e softwares. Servidores e Workstations. Segurana um desafio, por conta da arquitetura da rede, heterogeneidade, perfil de usurios, etc. A auditoria pode concentrar-se no host central, nos mltiplos servidores ou estaes. Os servios de comunicaes podem ser alvo de verificaes.
110

Controles sobre Ambientes Cliente-Servidor Conceitos Bsicos Configurao do Sistema Operacional A configurao default no tem objetivos de segurana. Habilita servios e componentes mais populares. Contas de usurio Informaes para que o usurio possa ser reconhecido na rede (nome, senha, perfil). Direitos e permisses. Contas sem senha ou guest. Contas default Conta do Administrador. Grupos Conjunto de permisses e direitos de acesso, que pode ser acessado por vrios usurios. Facilita a gerncia de acesso aos recursos. Usurios logam com a sua senha, no com a do grupo. Permisses de Arquivo e Diretrio O usurio proprietrio estabelece qual usurio e qual grupo pode acessar e como se dar esse acesso.

Controles sobre Ambientes Cliente-Servidor Conceitos Bsicos (cont.)
Direitos e permisses. DIREITO: uma autorizao para o usurio executar certas operaes no sistema como um todo. Ex.: backup de arquivos e diretrios etc. PERMISSO: uma regra associada a um determinado objeto, que define quais usurios podem acessar aquele objeto e de que maneira.
111

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Apresenta fortes caractersticas de segurana, com domnios, grupos de usurios, permisses e direitos de acesso, facilitando a implementao de boa poltica de segurana. Componentes Bsicos: LSA (Local Security Authority) SAM ( Security Account Manager) SRM ( Security Reference Monitor)

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Componentes de Segurana
112

Controles sobre Ambientes Cliente-Servidor
Ambiente Windows NT LSA (Local Security Authority) Principal componente de segurana. Criao de Tokens de acesso durante o processo de logon. Validao do usurio de acordo com seu tipo de acesso. Controle e gerncia de segurana e auditoria. Manuteno de log de mensagens de auditorias geradas pelo SRM. O LSA para realizar seus objetivos, utiliza os servios providos pelos outros componentes do sistema.

Ambiente Windows NT SAM (Security Account Manager) Gerenciador de informaes de segurana. Base de dados com informaes de todas as contas de grupos e usurios. Validao do usurio para o LSA. Pode ter mais de uma base SAM, uma para cada domnio ou estao, podendo a validao no Servidor ou na estao.
113

Ambiente Windows NT SRM (Security Reference Monitor) Monitor de segurana. Funo principal de garantir o cumprimento das polticas de validao e acesso e de gerao de logs de auditoria estabelecidas pelo LSA. Valida o acesso a arquivos e diretrios, testa os privilgios e gera mensagens de auditoria.

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Processo de Logon CRTL + ALT + DEL Tem uma funo maior do que simplesmente aparecer a tela de Logon. Esta ao detecta aplicativos rodando em segundo plano. Este artifcio de rodar em background usado por cavalos de tria para capturar informaes do usurio no logon. Tela de autorizao, com informaes do usurio e domnio. Se uma das informaes for incorreta, enviada uma mensagem de falha de autenticao de usurio, sem indicar qual (id ou pwd). Autenticao do Usurio Informaes digitadas so repassadas pelo LSA ao SAM, que compara com a informaes do usurio na base de dados das contas.
114

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Processo de Logon O LSA constri um token de acesso para o usurio, com nome, id, grupos de usurios a que pertence e seus privilgios de acesso. Toda e qualquer ao do usurio associada a esse token. O subsistema Win32 cria um processo para o usurio, associando-o token e ao final do procedimento do logon, apresentada a tela do gerenciador de programas.

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Processo de Logon
115

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Listas de Controles Forma de controle adicional ao controle de acesso a recursos. O proprietrio decide quem pode e o que pode ser feito. As permisses so definidas nas Entradas de Controle de Acesso (ACE). ACE so associadas a lista de controles de acesso ao objeto em questo. Na figura seguinte, foram criadas trs entradas, definidas para um usurio, todos ou um grupo. As listas de controle de acesso podem ser administradas, dependendo do objeto, no gerenciador de arquivos, de impresso ou de usurios do NT.

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Listas de Controles
116

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Controles de Acesso Discricionrio Permitem aos proprietrios dos recursos, aos administradores e demais usurios com autorizao para controlar os recursos do sistema, especificar quem pode acessar seus recursos e que tipo de aes podem realizar. Controles associados a usurios especficos, grupos, nenhum ou a todos conectados. Gerenciador de usurios em domnios. Gerenciador de Arquivos Gerenciador de Impresso Painel de Controle (limites de compartilhamento, ativao/desativao de recursos)

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Ferramentas de Segurana e Auditoria Gerenciador de Usurios e Domnios administra a segurana nos domnios e computadores associados ao NT. Cria-se usurios e grupos, polticas de definio de contas, direitos de acesso. Atribuies de segurana para cada conta. Normalmente apenas o administrador tem acesso o gerenciador. Domnios e Relacionamentos de Confiana Um domnio um conjunto de computadores agrupados por motivos administrativos, que compartilham uma base de dados de usurios e ima poltica de segurana. Esse agrupamento facilita a gerncia e o controle de segurana. Cada conta de usurio d acesso rede a partir de qualquer computador do domnio. As polticas de segurana podem ser definidas para o domnio.
117

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Ferramentas de Segurana e Auditoria Domnios e Relacionamentos de Confiana Em redes mais complexas, com vrios domnios, a segurana estabelecida a partir de relacionamentos de confiana. RC so ligaes entre domnios para permitir que um usurio com uma conta em um domnio possa acessar recursos de outros domnios na rede. Esses RC apresenta duas vantagens: em relao ao usurio, necessria uma nica conta, do ponto de vista gerencial, o administrador pode controlar vrios domnios de forma centralizada. Requer um bom planejamento e conhecimento detalhado da rede.

Controles sobre Ambientes Cliente-Servidor Ambiente Windows NT Ferramentas de Segurana e Auditoria Gerenciador de Arquivos e Diretrios O NT suporta alguns tipos de sistemas de arquivos, e, relao a aspectos de segurana h algumas observaes. NTFS Exclusivo NT, prov recuperao de dados. o recomendado na instalao pela MS. Atravs do menu de segurana pode-se definir as permisses de arquivos e diretrios como ler, alterar, gravar, apagar. FAT Usado em estaes. Pode ser lido por Estao ou servidor, inclusive com outros SO com OS/2, Mac. No prov segurana de arquivos, pois no permite definir permisses individuais. HPFS Criado para o OS/2. No suportado por verses acima do NT 4.0. Tambm no permite permisses individuais.
118

Ambiente Windows NT Ferramentas de Segurana e Auditoria Logs O NT registra em logs uma srie de eventos importantes para a gerncia, segurana e auditoria da rede. Log de sistema grava erros, alertas ou informaes geradas pelo sistema. Log de aplicativo grava erros, alertas ou informaes geradas pelo aplicativo. Log de segurana grava tentativas de logon vlidas e invlidas e eventos relacionados com uso de recursos (administrador).

Ambiente Windows NT Ferramentas de Segurana e Auditoria Logs Eventos gravados nos logs Eventos de sistema tentativas de logon e logoff, alteraes na poltica de segurana, criao e manuteno de contas e grupos. Eventos relacionados com arquivos, diretrios, configurao dos prprios logs, nveis de acesso a impressoras e acesso remoto.
119

Controles sobre Ambientes Cliente-Servidor Ambiente Unix Caractersticas Bastante popular em ambiente cliente-servidor. Servidores conectados internet. Sistema aberto, flexvel e com inmeras verses. Reputao de inseguro, mas devido a sua popularidade, as falhas so amplamente divulgadas, proporcionando uma correo mais rpida (e barata!). Poltica de segurana baseada nos direitos de acesso de usurios e grupos.

Controles sobre Ambientes Cliente-Servidor Ambiente Unix - Contas de Usurios Todo usurio Unix tem que ter um conta com username e senha. Senhas gravadas criptografadas em um arquivo etc/psswd. Pode ser configurado o ambiente para bloquear contas com tentativas frustradas de logon. Ambiente Unix Usurios Especiais Contas sem vinculao com uma pessoa, para executar funes de sistema. Root ou superusurio Usado pelo prprio sistema e pelo administrador. Tem acesso irrestrito a todos os recursos. Ambiente Unix - Grupos Todo usurio tambm tem que pertencer a um grupo, designado pelo adm na criao da conta.
120

Controles sobre Ambientes Cliente-Servidor Ambiente Unix Tcnicas de Administrao de Contas de Usurios Programas para quebrar segurana de suas prprias senhas. Geradores automticos de senhas pelo prprio sistema. Controle de data de expirao de senhas tempo de vida da senha. Bloqueio de contas no usadas por um perodo de tempo. Nomes de contas no bvios ou uso de alias.

Controles sobre Ambientes Cliente-Servidor Ambiente Unix Ferramentas de segurana e auditoria Procedimentos elementares instalao de patches, backup, desabilitao de servios de rede desnecessrios, definies criteriosas de contas, grupos e permisses de acesso. Programas do tipo security scanners, que testam o sistema em busca de brechas de segurana e fragilidades de configurao. (COPS ,SATAN e ISS Todos Free). Ambiente Unix Logs O sistema mantm diversos logs, para detectar mau funcionamento ou uso no autorizado. Filtros podem ser configurados para refinar e reduzir o volume de registros dos logs. Os logs tm que ser revisados e analisados periodicamente.
121

Firewall
So dispositivos utilizados na proteo de redes de computadores contra ataques externos, dificultando o trnsito de invasores entre as redes. O acesso ao mundo externo, e vice-versa, hoje a partir de redes de computadores so atividades normais nas organizaes. Essa conexo e uso em grande escala expe as organizaes a situaes de fragilidades uma vez que desperta para invases e atos ilcitos. A existncia de um nico computador sem proteo pode comprometer todo o aparato de segurana da rede.

Firewall
O acesso a um computador em uma rede suficiente para se capturar senhas, alterar arquivos, aplicativos etc. O firewall hoje a alternativa vivel na proteo de rede institucional, ao invs de tentar proteger cada uma das mquinas ligadas rede interna. Firewall so normalmente configurados para permitir certas operaes e limitar ou impedir outras. A instalao correta de um firewall pode reduzir em 20 % os riscos de invaso. O firewall constitudo de 2 partes:
122

Firewall
O firewall pode ser constitudo de 2 partes: 1. Roteadores com filtros: o roteador atua como uma ligao entre as redes interna e externa, sendo responsvel pelo bloqueio de todos os pacotes de dados entre as duas redes. 2. Gateway: todo o trfego de pacotes entre a rede interna e a externa passa primeiro pelo gateway, cujo software decide se o trfego ser permitido ou rejeitado. Uma configurao adequada refora os cuidados com segurana, como por exemplo a autenticao de usurios.

Firewall
Alguns aspectos de segurana a serem considerados: 1. No manter no gateway contas de usurios, programas utilitrios, arquivos de senhas e servios de nomes, pois podem facilitar o trabalho de possveis invasores rede interna. 2. Configurar o gateway de tal forma que todas as suas atividades sejam gravadas no log para posterior anlise pela equipe de segurana e auditoria. 3. Monitorar as atividades do gateway. 4. Desabilitar todos os servios de rede considerados desnecessrios.
123

Firewall

Firewall
importante que a equipe de segurana tenha em mente que todo programa, protocolo ou servio de rede liberado pelo gateway pode representar uma ameaa segurana de toda a rede. Independentemente do tipo de firewall utilizado, a segurana da rede interna depende da segurana do servidor de firewall. Vale ressaltar que o fato de ter um firewall no quer dizer que os outros controles e verificaes de segurana possam ser abandonados. Um firewall bem configurado consegue minimizar alguns riscos, mas no todos.
124

CONTROLE SOBRE AMBIENTES CLIENTE-SERVIDOR
LISTA DE VERIFICAES: Participar de fruns de segurana disponveis na Internet. Utilizar as verses mais atualizadas dos patches (correes) divulgados e distribudos pelos fornecedores de softwares. Utilizar softwares de auditoria de segurana, tais como COPS, SATAN, etc. Utilizar criptografia. Na configurao do sistema operacional, desabilitar as features desnecessrias.

LISTA DE VERIFICAES (CONT.): Utilizar o menor nmero possvel de contas de usurio. Verificar as definies de domnios e relacionamentos de confiana. Verificar a definio dos grupos de usurios (usurios que fazem parte dos grupos e seus direitos de acesso). Verificar as permisses de acesso, principalmente a arquivos de configurao do sistema operacional e a arquivos considerados confidenciais, de forma a restringir acessos desnecessrios. Utilizar mecanismos ou pacotes de verificao de senhas, com Crack, para testar senha frgeis escolhidas pelos usurios.
125

LISTA DE VERIFICAES (CONT.): Eliminar contas inativas, dormentes ou sem senhas. Auditar com certa freqncia os arquivos de senha (inclusive shadow) com o objetivo de identificar inconsistncias, adies no autorizadas, criao de novas contas, contas sem senha ou alteraes de identificao de usurio. Evitar utilizar contas guest ou default. Se forem necessrias, utilizlas apenas em ambiente controlado. A senha do administrador ou root deve ser de conhecimento altamente restrito, sendo recomendado utilizar o acesso como root o menor tempo possvel.

LISTA DE VERIFICAES (CONT.): Evitar entrar no sistema a partir de contas com privilgios acima dos estritamente necessrios. Eliminar os servios de rede desnecessrios, especialmente aqueles considerados como mais suscetveis ao de invasores. Monitorar o sistema e analisar os logs regularmente. Realizar backup regularmente e manter pelo menos uma cpia em outra localidade (off-site). Se possvel, implementar redundncia (espelhamento, RAID, etc.).
126

LISTA DE VERIFICAES (CONT.): Implementar mecanismos de controle de acesso via modem, de tal forma que a conexo seja desfeita sempre que a ligao ou o processo de login for interrompido ou terminado. Utilizar modems com senhas. Bloquear a reprogramao do modem por usurios no autorizados.
127

Auditori A

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Auditori A

Enviado por

Direitos autorais:

Formatos disponíveis

AUTARQUIA EDUCACIONAL DO VALE DO SO FRANCISCO FACULDADE DE CINCIAS APLICADAS E SOCIAIS DE PETROLINA CURSO DE CINCIA DA COMPUTAO

SEGURANA E AUDOTORIA DE SISTEMAS

Prof. Alrio Amorim Nunes

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

FASES DA AUDITORIA Planejamento Execuo Relatrio

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

O escopo da auditoria de segurana de informaes envolve:

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

Slide 36 n1 Atualizar material impresso.

SEGURANA E AUDOTORIA DE SISTEMAS

Contratao de consultoria externa

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

Slide 49 n4 Ler artigo sobre metodologia COBIT desenvolvida pelo ISACA

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS

SEGURANA E AUDOTORIA DE SISTEMAS