Seg Informação

Crispina Fontes de Andrade
Poltica de Segurana da Informao Estudo de Caso: Assembleia Nacional
Universidade Jean Piaget de Cabo Verde Campus Universitrio da Cidade da Praia Caixa Postal 775, Palmarejo Grande Cidade da Praia, Santiago Cabo Verde 12.12.09
Crispina Fontes de Andrade
Poltica de Segurana da Informao Estudo de Caso: Assembleia Nacional
Universidade Jean Piaget de Cabo Verde Campus Universitrio da Cidade da Praia Caixa Postal 775, Palmarejo Grande Cidade da Praia, Santiago Cabo Verde 12.12.09
Crispina Fontes de Andrade autora da monografia intitulada Poltica de Segurana da Informao declara que, salvo fontes devidamente citadas e referidas, o presente documento fruto do seu trabalho pessoal, individual e original.
Cidade da Praia ao 30 de Setembro de 2009 Crispina Fontes de Andrade
Memria Monogrfica apresentada Universidade Jean Piaget de Cabo Verde como parte dos requisitos para a obteno do grau de Licenciatura em Informtica de Gesto.
Sumrio
O trabalho de memria que ora se apresenta incide sobre a temtica da Poltica de Segurana da Informao. O objectivo Analisar as Polticas de Segurana da Informao da Assembleia Nacional de cabo Verde e a partir de ento elaborar um estudo do caso sobre politica de segurana da informao da Assembleia Nacional de Cabo Verde.
A poltica de segurana da informao tem muita Importncia no mundo de hoje, porque mesmos que as empresas ainda no possuem uma poltica de segurana, em determinado momento reconhecem a necessidade de elaborao e implementao de uma poltica formal, sugere-se que a poltica de segurana da informao uma ferramenta essencial na segurana de uma organizao.
A escolha do tema surgiu da necessidade de investigar e conhecer as polticas de segurana, da Assembleia Nacional de Cabo Verde de forma a garantir melhor desempenho e gesto dos recursos disponibilizados, e garantir melhor a segurana da instituio.
O presente trabalho aborda um estudo sobre poltica de segurana da informao que um dos mtodos adoptados pelas organizaes com o objectivo de garantir a segurana da informao. Actualmente existem algumas metodologias e melhores prticas em segurana da informao, dentre elas est a NBR ISSO/IEC 17799, que a traduo da BS7799, esta norma foi usada durante este estudo e, por meio dela, ser possvel verificar o que deve-se seguir para a elaborao de uma poltica de segurana da informao.
O objectivo deste trabalho apresentar algumas directrizes bsicas de uma Poltica de Segurana para uma empresa, utilizando como base os conceitos adquiridos pelo estudo na reviso bibliogrfica.
Agradecimentos
A Deus, pela vida e em quem muitas vezes busquei foras para superar os obstculos e os desafios, e que me concedeu a oportunidade de concluir mais uma etapa em minha vida no decorrer dessa caminhada.
Agradeo aos meus pais que sempre me apoiaram e incentivaram para ultrapassar os obstculos da vida.
Um especial agradecimento ao professor Carlos Luz pela, sua orientao, pela sua disponibilidade e pela sua motivao na realizao desta monografia.
A todos os colegas de curso, obrigado pela vossa ajuda e camaradagem.
Dedicatria
Aos meus pais e aos meus irmos e orientador Por todo o apoio que me prestaram, Especialmente nos momentos mais difceis
Contedo
Captulo 1: Introduo.........................................................................................................12 1.1 Estrutura de Trabalho .................................................................................................15 Captulo 2: Segurana da Informao .................................................................................17 2.1 Classificao da Informao ......................................................................................19 2.1.1 2.1.2 2.1.3 2.1.4 2.2 2.2.1 2.2.2 2.2.3 2.2.4 2.3 2.4 2.5 Secreta ..........................................................................................................19 Confidencial .................................................................................................20 Interna...........................................................................................................20 Pblicas.........................................................................................................20 Princpios da Segurana da Informao .....................................................................21 Autenticidade................................................................................................21 Confidencialidade.........................................................................................21 Integridade ....................................................................................................22 Disponibilidade.............................................................................................22 Ameaas segurana e vulnerabilidades ...................................................................23 Aspecto de segurana .................................................................................................23 Mecanismo de segurana............................................................................................24
Captulo 3: Politica de Segurana .......................................................................................31 3.1 Poltica de segurana da informao ..........................................................................31 3.2 3.2.1 3.3 3.4 3.5 3.5.1 3.5.2 3.5.3 3.6 3.6.1 3.6.2 3.6.3 3.6.4 3.6.5 3.6.6 3.6.7 3.6.8 3.7 3.7.1 3.7.2 3.7.3 3.7.4 3.8 Controles de segurana da informao.......................................................................34 Politica..........................................................................................................34 Caractersticas de uma poltica...................................................................................37 Importncia de uma poltica de segurana .................................................................39 Tipos de Polticas .......................................................................................................40 Refutatria ....................................................................................................40 Consultiva.....................................................................................................40 Informativa ...................................................................................................41 Modelos ......................................................................................................................41 Bell-Lapadula ...............................................................................................42 Harrison-Ruzzo-Ullman ...............................................................................43 Chinese-Wall ............................................................................................44 Biba...............................................................................................................45 Goguen Meseguer ................................................................................45 Sutherland..................................................................................................46 Clark Wilson..........................................................................................47 Outros Modelos........................................................................................48 Segurana Fsica.........................................................................................................49 Segurana do pessoal, das instalaes e dos equipamentos. ........................50 Segurana do pessoal....................................................................................50 Segurana das Instalaes ............................................................................52 Segurana do Equipamento ..........................................................................52 Segurana Lgica .......................................................................................................54
3.9 3.10
Princpios para as polticas de segurana da informao ...........................................55 Processo de implementao de segurana..................................................................55 Politica de segurana da informao (Estudo de caso na Assembleia Nacional) ...57 Caracterizao Geral ..................................................................................................57 Estrutura Organizacional............................................................................................59 Infra-estrutura de Rede...............................................................................................60 Princpios de Segurana da Assembleia Nacional de Cabo Verde ............................61 Politicas de Segurana da Informao Corporativas para (ANCV) ...........................62
Captulo 4: 4.1 4.2 4.3 4.4 4.5
4.5.1 Politica de Segurana Corporativa ...............................................................63 4.5.2 Segurana Organizacional ............................................................................65 4.5.3 Classificao e controlo dos activos de Informao.....................................65 4.5.4 Segurana dos Recursos Humanos ...............................................................67 4.5.5 Segurana fsica e Ambiental .......................................................................69 4.5.6 Gesto de Comunicaes e operaes ..........................................................73 4.5.7 Controlo de Acesso Informao ................................................................83 4.5.8 Aquisio, Desenvolvimento e Manuteno de Sistemas de Informao ....93 4.5.9 Gesto da continuidade do negocio ..............................................................97 4.5.10 Conformidade ...............................................................................................98 4.5.11 Medidas se segurana implentadas na ANCV............................................104 Captulo 5: Concluso .......................................................................................................107 Bibliografia.............................................................................................................................110 A A.1 Guio: .............................................................................................................112 Guio de entrevista:..................................................................................................112
Figuras
Figura 1: Poltica de segurana e seus relacionamentos...........................................................34 Figura 2: Controles de segurana da informao .....................................................................35 Figura 3: Segurana fsica ........................................................................................................49 Figura 4: Segurana lgica .......................................................................................................54 Figura 5: Ciclo de segurana ....................................................................................................55 Figura 7: Estrutura da organizao...........................................................................................59 Figura 8: Desenho da rede implementado no Parlamento........................................................62
Poltica de Segurana da Informao
Siglas e Abriaturas:
ANCV Assembleia Nacional de Cabo Verde ACL Listas de Controle de Acessos BS British Standard BLP Bell-LaPadula CDI Elementos de Dados Constrangidos DMZ Zona Desmilitarizada HRU Harrison-Ruzzo-Ullman IDS Sistema de Deteco de Intrusos IVP Procedimentos de Verificao da Integridade ISSO Internacional Standards Organization NAS Superstor Apllinace NAC Cisco Network Admission Control NBR ISSO Norma Brasileira homologada em Setembro de 2001 pela ABNT para Gesto da Segurana da Informao PSI Politica de Segurana da Informao PDSI Plano de Desenvolvimento do Sistema Informtico RSA Royal Sun Alliance SIs Sistema de Informao TP Procedimentos de Transformao TI Tecnologias de Informao UDI Elementos de Dados no Constrangidos VPN Rede Privada Virtual
11/113
Captulo 1: Introduo
Vivemos numa poca em que a conscincia de que o mundo passa por transformaes profundas cada dia mais forte. A globalizao veio permitir a mundializao das novas tecnologias dando assim oportunidades a todos, com o espao geogrfico fragmentado, porm fortemente articulado pelas redes, onde a informao, independente do seu formato, um dos maiores patrimnios de uma organizao moderna, sendo fundamental para quaisquer nveis hierrquicos e dentro de qualquer instituio que deseja manter-se competitiva no mercado.
Nos tempos actuais a informao tornou-se activo o mais valioso das grandes empresas, ao mesmo tempo, que passou a exigir uma proteco adequada. De forma assustadoramente crescente, as organizaes, seus sistemas de informaes e suas redes de computadores apresentam-se diante de uma srie de ameaas, sendo que, algumas vezes, estas ameaas podem resultar em prejuzos para as empresas Spanceski (2004).
Actualmente as tecnologias de informao e comunicao est a desenvolver-se de forma rpida, fazendo com que as organizaes tenham maior eficincia e rapidez nas tomadas de deciso, por isso a Assembleia Nacional de Cabo Verde da importncia a segurana das informaes, que essencial para a sobrevivncia e competitividade da instituio.
12/113
A segurana da informao visa ajudar grandes nmeros de ameaas para assegurar a continuidade do negcio. Esta segurana obtida a partir da implementao de uma srie de controlos, que podem ser polticas, prticas e procedimentos, os quais precisam ser estabelecidos para garantir que os objectivos de segurana especficos da organizao sejam atendidos Siewert (s/d).
A poltica de segurana pode trazer ao ambiente de uma instituio, regras e procedimentos que devem ser seguidos para a garantia da segurana da informao. importante que as informaes da poltica de segurana sejam divulgadas para todos os membros da instituio, funcionrios, colaboradores ou estagirios, e que todos estejam conscientes da importncia do seguimento desta poltica Spanceski (2004).
Partindo destes pressupostos delineia-se, a seguinte hiptese geral:
Existem Polticas de Segurana da Informao adequadas e formalmente aprovadas pela Assembleia Nacional?
A escolha desse tema prende-se com o facto de ser um assunto bastante actual que assume uma grande importncia para as organizaes porque com a complexidade e novas tecnologias surgindo a todo o momento, faz-se necessrio para qualquer organizao a criao de uma poltica de segurana formal, clara e objectiva, visando a segurana da informao com foco nas informaes trocadas pela mesma. Considerando que esse o ambiente globalizado actual, de extrema importncia a segurana da informao, para que as informaes privilegiadas no sejam libertadas de forma segura, o que pode ajudar de forma significante nos negcios da organizao.
A Assembleia Nacional de Cabo Verde uma empresa que promove fiscalizao das actividades do Governo e a discusso e aprovao de Diplomas propostos pelos Deputados e Governo e por essa razo surge a necessidade de criar condies e politicas de segurana para facilitar a informao de forma mais rpida e segura internamente e entre a casa parlamentar e o mundo. Partindo da hiptese geral houve a necessidade de formular umas hipteses especficas:
13/113
Existem polticas formais de segurana corporativas, implementadas e aplicadas a ANCV e aos sistemas de informao;
Existe algum documento formal que expresse as preocupaes e estabelea as linhas mestras para a gesto de segurana da informao, aprovada pela administrao da ANCV, publicado e comunicado de forma adequada a todos colaboradores;
Existem um conjunto de procedimentos e polticas de segurana formais adequados, ligadas aos sistemas de informao e presentes na plataforma tecnolgica da organizao, que tentem assegurar a segurana da informao;
Existe um gestor que seja exclusivamente responsvel pela manuteno e anlise crtica da poltica de segurana da informao, de acordo com um processo da anlise crtica definido, e que resulte como decorrncia de qualquer mudana que venha afectar a avaliao de risco original, tais como incidentes de segurana significativos, nova vulnerabilidades ou mudanas organizacionais.
Com a realizao deste trabalho pretende se atingir o seguinte objectivo geral:
Analisar as Polticas de Segurana da Informao da Assembleia Nacional de Cabo Verde
Deste objectivo, outros mais especficos se depreendem:
Definir Polticas de Segurana da Informao Caracterizar os modelos de Poltica de Segurana da Informao Identificar os benefcios da adopo de Polticas de Segurana da Informao Analisar as Polticas de Segurana da Informao de Assembleia Nacional de Cabo Verde
Em termos metodolgicos, este trabalho enquadra-se dentro da tipologia de estudo de caso onde, a partir da descrio/interpretao de caso particular, procuramos responder os objectivos traados. De acordo com Lessard (1990) o estudo de caso caracteriza-se pelo facto de que rene informaes to numerosas e to pormenorizadas quanto possvel com vista a
14/113
abranger a totalidade da situao. Neste sentido, este estudo recai sobretudo na Assembleia Nacional.
A recolha de dados baseou-se, num primeiro momento, numa reviso da literatura que focaliza a temtica em estudo, donde analisamos os conceitos chaves e fundamentais para compreenso do tema para, com este embasamento, formular o instrumento de colecta de dados.
Finalmente, realiza-se uma pesquisa emprica fundamentada na seguinte tcnica:
Entrevista direccionado ao responsvel pela rea das redes de comunicaes e segurana da segurana de Informao informao.
1.1
Estrutura de Trabalho
Inicia-se o trabalho com primeiro captulo, Introduo onde faz referncia ao tema, definio objectivos gerais e especficos, s hipteses, metodologia utilizada e por fim uma breve explicao da estrutura do trabalho.
No segundo captulo, ocupa-se da questo da, segurana da informao, classificao da informao, princpios de segurana da informao, ameaas a seguranas e vulnerabilidades, aspectos e mecanismo de segurana.
No terceiro captulo, apresenta-se a questo da Politica da segurana. Nesta perspectiva, aborda-se a poltica de segurana da informao, controles de segurana da informao, caracterstica e importncia de uma poltica, tipos de politica, modelos, segurana fsica e lgica, princpios para uma poltica de segurana e por fim processo de implementao de segurana.
No quarto captulo dedicado apresentao do estudo prtico efectuado sobre a poltica de segurana da informao na Assembleia Nacional de Cabo Verde onde caracteriza-se a instituio em estudo, sua estrutura organizacional, infra-estrutura da rede, princpios de
15/113
segurana da Assembleia Nacional de Cabo Verde de seguida passou-se a apresentar politica de segurana da informao corporativas para ANCV, bem como os resultados chegados.
No quinto captulo so apresentadas as concluses deste estudo sobre assuntos anteriormente levantadas a etapa introdutria.
Como parte integrante deste trabalho tende-se ainda a bibliografia de apoio, os apndices para um melhor esclarecimento dos dados.
16/113
Captulo 2: Segurana da Informao

A informao um activo que, como qualquer activo importante para os negcios, tem um valor para a organizao e consequentemente necessita ser adequadamente protegida. Para muitas empresas a informao o maior patrimnio e protege la no uma actividade simples, sendo que pode abranger vrias situaes, como: erro, displicncia, ignorncia do valor da informao, fraude, sabotagem, etc. Spanceski (2004).
A informao se produz, processa, transmite e se armazena nos sistemas informticos do Grupo um elemento fundamental para conseguir uma ptima gesto e controlo do seu negcio. 1
Definem dados como um conjunto de bits armazenados como: nomes, endereos, datas de nascimentos, histricos acadmico, etc. A informao um dado que tenha sentido, como por exemplo, as notas ou informaes acadmicas de um aluno. O conhecimento um conjunto de informaes que agrega valor a organizao Spanceski (2004).
Politica de segurana da informao, (2006), [em linha] <http://www.bancopopular.pt/NR/rdonlyres/66378D57-409B-4E5D-BABE C21F42D5CECD/3306/politicadeseguran%C3%A7a_A07.pdf> [consultado em 28/05/09].
disponvel
em
17/113
Poltica de Segurana da Informao A informao pode existir de diversas formas, ela pode ser impressa ou escrita em papel, armazenada electronicamente, transmitida pelo correio ou atravs de meio electrnico, mostrada em filmes ou falada em conversas. Seja qual for a forma apresentada ou meio atravs do qual a informao compartilhada ou armazenada, recomendado que seja sempre protegida adequadamente NBR ISO/IEC 17799 (2001) citado por Spanceski (2004).
De acordo com a NBR ISO 17799 2 , independente da forma que a informao se apresenta ela deve ser protegida de maneira adequada. A segurana deve ser considerada um dos assuntos mais importantes dentre as preocupaes das organizaes. Deve-se entender que segurana da informao no uma tecnologia. No possvel comprar um dispositivo que torne a rede segura ou um software capaz de tornar seu computador seguro. Segurana da informao no um estado que se pode alcanar.
Na ptica de Amaral & Varajo (2000) citado por Silva (2005) informao um conjunto de dados que, quando fornecido de forma e a tempo adequado, melhora o conhecimento da pessoa que o recebe, ficando ela mais habilitada a desenvolver determinada actividade ou a tomar determinada deciso.
Referindo ao mesmo autor a informao tida actualmente como uma das armas de sucesso para as organizaes como tambm um passo essencial na definio e implementao de medidas eficazes de salvaguarda a existncia de uma clara identificao dos proprietrios da informao na organizao Amaral & Varajo (2000) apud Silva (2005).
A segurana da Informao se refere proteco existente sobre as informaes de uma determinada empresa ou pessoa, isto , aplica-se tanto as informaes corporativas quanto as pessoais. Entende-se por informao todo e qualquer contedo ou lado que tenha valor para alguma organizao ou pessoa, ela pode estar guardada para uso restrito ou exposta ao pblico para consulta ou aquisio. 3
2 3
Norma Brasileira homologada em setembro de 2001 pela ABNT para Gesto da Segurana da Informao Wikipdia (2008), Segurana da Informao: a enciclopdia livre. Disponvel em: <http://pt.wikipedia.org/wiki/seguran%c3%A7a_da_informa%c3%A7%c3%A30>,[consultado em 15/05/2009] 18/113
2.1
Classificao da Informao
A classificao da informao na perspectiva de Silva, Carvalho et al, (2003) citado por Silva (2005) dever ser orientada por definies claras os diferentes graus de sensibilidade da informao, reconhecidos pela empresa, bem como pela determinao exacta dos responsveis pela classificao.
Referindo a mesma obra citado por Silva (2005) () para que o processo da classificao seja vivel, muito importante perceber quais as consequncias da divulgao, alterao ou eliminao no autorizada dos dados classificados para a organizao. Este esforo de nada servir se no for seguido de medidas de proteco adequadas aos nveis de classificao atribudos ().
O objectivo da Classificao da Informao assegurar que os activos da informao recebam um nvel adequado de proteco. A informao deve ser classificada para indicar a importncia, a prioridade e o nvel de proteco. A informao possui vrios nveis de sensibilidade e criticidade. Alguns itens podem necessitar um nvel adicional de proteco ou tratamento especial. Um sistema de classificao da informao deve ser usado para definir um conjunto apropriado de nveis de proteco e determinar a necessidade de medidas especiais de tratamento Silva, Carvalho et al, (2003) citado por Silva (2005).
A classificao da informao importante para que as organizaes possam determinar o nvel de proteco das informaes, de modo que a segurana das informaes nas organizaes possa ser assegurada Dias (2000) citado por Spanceski (2004).
A classificao mais comum nos dias de hoje aquela que divide em quatro nveis: secreta, confidencial, interna e pblica Dias (2000) citado por Spanceski (2004).
2.1.1
Secreta
Estas informaes devem ser acessadas por um nmero restrito de pessoas e o controle sobre o uso destas informaes deve ser total, so informaes essenciais para a empresa, portanto, sua integridade deve ser preservada. O acesso interno ou externo por pessoas no autorizadas a esse tipo de informao extremamente crtico para a instituio Spanceski (2004).
19/113
A informao crtica para as actividades da empresa, cuja integridade deve ser preservada a qualquer custo e cujo acesso deve ser restrito a um nmero bastante reduzido de pessoas. A manipulao desse tipo de informao vital para a companhia Wadlow (2000) Abreu (2001) Boran (1996) apud Laureano (2005).
2.1.2
Confidencial
Estas informaes devem ficar restritas ao ambiente da empresa, o acesso a esses sistemas e informaes feito de acordo com a sua estrita necessidade, ou seja, os utilizadores s podem acess-las se estes forem fundamentais para o desempenho satisfatrio de suas funes na instituio. O acesso no autorizado h estas informaes podem causar danos financeiros ou perdas de fatia de mercado para o concorrente Spanceski (2004).
A informao restrita aos limites da empresa, cuja divulgao ou perda pode levar a desequilbrio operacional, e eventualmente, perdas financeiras, ou de confiabilidade perante o cliente externo, alm de permitir vantagem expressiva ao concorrente Wadlow (2000) Abreu (2001) Boran (1996) apud Laureano (2005).
2.1.3
Interna
Essas informaes no devem sair do mbito da instituio. Porm, se isto ocorrer as consequncias no sero crticas, no entanto, podem denegrir a imagem da instituio ou causar prejuzos indirectos no desejveis Spanceski (2004).
No entender de Wadlow (2000) Abreu (2001) Boran (1996) citado por Laureano (2005) o acesso a esse tipo de informao deve ser evitado, embora as consequncias do uso no autorizado no sejam por demais srias. Sua integridade importante, mesmo que no seja vital.
2.1.4
Pblicas
Informaes que podem ser divulgadas para o pblico em geral, incluindo clientes, fornecedores, imprensa, no possuem restries para divulgao Spanceski (2004).
20/113
A informao que pode vir a pblico sem maiores consequncias danosas ao funcionamento normal da empresa, e cuja integridade no vital Wadlow (2000) Abreu (2001) Boran (1996) apud Laureano (2005).
2.2
Princpios da Segurana da Informao

Quando se pensa em segurana da informao, a primeira ideia que nos vem mente a proteco das informaes, no importando onde estas informaes estejam armazenadas. Um computador ou sistema computacional considerado seguro se houver uma garantia de que capaz de actuar exactamente como o esperado. Porm a segurana no apenas isto. A expectativa de todo o usurio que as informaes armazenadas hoje em seu computador, l permaneam, mesmo depois de algumas semanas, sem que pessoas no autorizadas tenham tido qualquer acesso a seu contedo Dias (2000) apud Spanceski (2004).
2.2.1 Autenticidade De acordo com Spanceski (2004) o controle de autenticidade est associado com identificao de um utilizador ou computador. O servio de autenticao em um sistema deve assegurar ao receptor que a mensagem realmente procedente da origem informada em seu contedo. Normalmente, isso implementado a partir de um mecanismo de senhas ou de assinatura digital.
A verificao de autenticidade necessria aps todo processo de identificao seja de um usurio para um sistema ou de um sistema para outro sistema. A autenticidade a medida de proteco de um servio/informao contra a personificao por intrusos Spanceski (2004).
2.2.2 Confidencialidade Na perspectiva do mesmo autor Spanceski (2004) confidencialidade proteger informaes contra acesso por algum no autorizado - interna ou externamente. Consiste em proteger a informao contra leitura e/ou cpia por algum que no tenha sido explicitamente autorizado pelo proprietrio daquela informao.
Ainda referindo ao mesmo autor a informao deve ser protegida qualquer que seja a mdia que a contenha, como por exemplo, mdia impressa ou mdia digital. O objectivo da
21/113
confidencialidade proteger informao privada (cidados, indstrias, governo, militar) Spanceski (2004).
Caminhando na ideia de Dias (2000) citado por Siewert (s/d) a confidencialidade deve proteger as informaes contra o acesso de qualquer pessoa no explicitamente autorizada pelo dono da informao, isto , as informaes e processos so liberados apenas a pessoas autorizadas, segundo seu nvel de acesso.
2.2.3 Integridade A integridade consiste em evitar que os dados sejam apagados ou de alguma forma alterada, sem a permisso do proprietrio da informao. O conceito de dados nesse objectivo mais amplo, englobando dados, programas, documentao, registros, fitas magnticas, etc. Dias (2000) citado por Siewert (s/d).
Segundo Carneiro (2002), defende que a integridade passa pela proteco dos dados com o objectivo de no serem alteradas ou apagadas sem que se tenha a autorizao do proprietrio da informao
2.2.4 Disponibilidade A disponibilidade consiste na proteco dos servios prestados pelo sistema de forma que eles no sejam degradados ou se tornem indisponveis sem autorizao, assegurando ao utilizador o acesso aos dados sempre que deles precisar () Spanceski (2004).
Segundo Dias (2000) citado por Siewert (s/d) a disponibilidade protege os servios de informtica de tal forma que no sejam degradados ou fiquem indisponveis sem a devida autorizao. Para um utilizador autorizado, um sistema no disponvel quando se necessita dele, pode ser to ruim quanto um sistema inexistente ou destrudo.
As medidas relacionadas a esse objectivo, podem ser a duplicao de equipamentos ou backup, disponibilidade pode ser definida como a garantia de que os servios prestados por
22/113
um sistema so acessveis, sob demanda, aos utilizadores autorizados Dias (2000) citado por Siewert (s/d).
2.3
Ameaas segurana e vulnerabilidades
Segundo Puttini (s/d), as ameaas segurana e vulnerabilidades so:
Interrupo componente do sistema destruda ou torna-se indisponvel. Exemplo:
rompimento de uma linha de comunicao;
Intercepo componente do sistema acessado por partes no autorizado. Exemplo:
cpia ilcita de um sinal de Tv. que trfega via satlite
Modificao componente do sistema acessado e sofre alteraes por partes no
autorizadas. Exemplo: modificao do valor de um pagamento por carto de crdito durante o trnsito pela rede
Fabricao parte no autorizada insere objectos esprios em um componente do
sistema. Exemplo: insero de mensagens espria, como no caso de gerao de um depsito durante a madrugada partir de uma agncia bancria fechada.
2.4
Aspecto de segurana
Segundo Monteiro e Boavida, (2000) o aspecto de seguranas mais relevantes so os seguintes: autenticao, controlo de acesso, no repudiao.
A autenticao um dos aspectos fundamentais da segurana. Em muitos casos, antes de fazer sentido qualquer tipo de comunicao ou qualquer tipo de mecanismo para garantia de outros aspectos de segurana, h que, previamente, garantir que as entidades intervenientes so quem afirmam ser Monteiro e Boavida (2000).
A capacidade de impedir o acesso no autorizado a um recurso , genericamente, designada por controlo de acesso. Por vezes so includas na categoria de controlo de acesso as funes
23/113
que limitam a quantidade de recursos a utilizar, o que correcto de um ponto de vista de segurana Monteiro e Boavida (2000).
Em muitas interaces sobretudo em aplicaes de comrcio electrnico e aplicaes bancrias de extrema importncia que uma entidade envolvida numa transaco no possa negar a sua participao nesse evento. As funes que impedem que uma dada entidade negue a sua execuo de determinada aco so designadas funes de no repudiao Monteiro e Boavida (2000).
2.5
Mecanismo de segurana
No entender de Monteiro e Boavida (2000) A correspondente funcionalidades de segurana suportada por uma grande gama de mecanismo de segurana, que se referem seguidamente.
Segundo os mesmos autores, os mecanismos de encriptao (ou mecanismo de cifragem) permitem a transformao reversvel da informao de forma a torn-la ininteligvel a terceiros, estando na base dos aspectos de confidencialidade, autenticao e integridade.
Utilizam geralmente, um determinado algoritmo (uma chave matemtica) e uma chave secreta para, a partir de um conjunto dados no cifrados, produzir uma sequncia de dados cifrados. A operao inversa designa-se por questes relacionadas com a encriptao Monteiro e Boavida (2000).
No ponto de vista dos mesmos autores referidos, uma assinatura digital consiste num conjunto de dados encriptados associados a um documento do qual so funo. A encriptao feita usando mecanismos de encriptao assimtricos Monteiro e Boavida (2000).
Ainda consideram que o controlo de acesso pode ser levado a cabo por um conjunto muito diversificado de mecanismo, normalmente enquadrados numa das seguintes trs situaes: algo que se conhece (por exemplo, passowords); algo que se possui (por exemplo, smart cards); algo que se (por exemplo, scanning de retina ou outros sistemas biomtricos).
24/113
Os mecanismos de certificao permitem atestar a validade de um documento normalmente, a validade de uma chave de uma entidade recorrendo a uma autoridade de certificao (Certificate Authority ou Trusted Third party) da confiana do emissor e do receptor Monteiro e Boavida (2000).
Na perspectiva de Laureano (2005) os mecanismos para controlos de segurana so: autenticao e autorizao, combate a ataques e invases, firewall, detector de intrusos e privacidade das comunicaes.
Autenticao e autorizao
Segundo Laureano (2005) a autorizao o processo de conceder ou negar direitos a usurios ou sistemas, por meio das chamadas listas de controle de acessos (Acess Control Lists ACL), definindo quais actividades podero ser realizadas, desta forma gerando os chamados perfis de acesso.
Na ptica de Costa (s/d) a autorizao quando uma entidade precisa provar a sua entidade.
No que diz respeito aos processos de autenticao Laureano (2005) considera que actualmente esto baseados em trs mtodos distintos:
Identificao positiva (o que voc sabe) Na qual o requerente demonstra conhecimento de alguma informao utilizada no processo de autenticao, por exemplo uma senha; Identificao proprietria (o que voc tem) Na qual o requerente demonstra possuir algo a ser utilizado no processo de autenticao, como um carto magntico; Identificao biomtrica (o que voc ) Na qual o requerente exibe alguma caracterstica prpria, tal como a sua impresso digital.
Combate a ataques e invases
Na perspectiva do mesmo autor () a infra-estrutura tecnolgica com dispositivos de software e hardware de proteco, controle de acesso e consequentemente combate a ataques e invases, esta famlia de mecanismos tem papel importante no modelo de gesto de
25/113
segurana, medida que as conexes electrnicas e tentativas de acesso indevido crescem exponencialmente Laureano (2005).
No ponto de vista do mesmo autor existem dispositivos destinados ao monitoramento, filtragem e registro de acessos lgicos, bem como dispositivos voltados para a segmentao de permetros, identificao e tratamento de tentativas de ataque.
Firewall
Segundo Costa (s/d) os Firewalls so sistemas ou programas que barram conexes indesejadas na Internet. Assim, se algum hacker ou programa suspeito tenta fazer uma conexo ao seu computador o firewall ir bloquear. No entender do mesmo autor quando um firewall est instalado em seu computador, grande parte dos cavalos de tria sero barrados mesmo se j estiverem instalados em seu computador Enquanto, no ponto de vista de Laureano (2005) considera que firewall um sistema (ou grupo de sistemas) que reforam a norma de segurana entre uma rede interna segura e uma rede no-confivel como a Internet.
Na ptica do mesmo autor os firewalls podem ser divididos em duas grandes classes: Filtros de pacote e servidores proxy:
O Filtros de Pacotes um dos principais mecanismos que, mediante regras definidas pelo administrador em um firewall, permite ou no a passagem de datagramas IP em uma rede. Poderamos filtrar pacotes para impedir o acesso a um servio de Telnet, um chat ou mesmo um site na Internet Laureano (2005).
Enquanto que o Servidores Proxy permite executar a conexo ou no a servios em uma rede modo indirecto. Normalmente os proxies so utilizados como caches de conexo para servios Web. Um proxy utilizado em muitos casos como elemento de acelerao de conexo em links lentos Laureano (2005).
26/113
Detector de Intrusos
A maneira mais comum para descobrir intruses a utilizao dos dados das auditorias gerados pelos sistemas operacionais e ordenados em ordem cronolgica de acontecimento, sendo possvel inspeco manual destes registros, o que no uma prtica vivel, pois estes arquivos de logs apresentam tamanhos considerveis Laureano (2005).
Referindo o mesmo autor, nos ltimos anos, a tecnologia de deteco de intruso (Intrusion Detection System IDS) tem se mostrado uma grande aliada dos administradores de segurana. Basicamente, o que tais sistemas fazem tentar reconhecer um comportamento ou uma aco intrusiva, atravs da anlise das informaes disponveis em um sistema de computao ou rede, para alertar um administrador e / ou automaticamente disparar contramedidas Laureano (2005).
Classificao de Detectores de Intruso
No ponto de vista de Laureano (2005) O IDS tem como principal objectivo detectar se algum est tentando entrar em um sistema ou se algum utilizador legtimo est fazendo mau uso do mesmo. Esta ferramenta executada constantemente em background e somente gera uma notificao quando detecta alguma ocorrncia que seja suspeita ou ilegal.
O mesmo autor considera que os sistemas em uso podem ser classificados com relao a sua forma de monitorao (origem dos dados) e aos mecanismos (algoritmos) de deteco utilizados.
No que se refere origem dos dados existem basicamente dois tipos de implementao de ferramentas IDS:
Host Based IDS (HIDS) so instalados em servidores para alertar e identificar ataques e tentativas de acesso indevido prpria mquina, sendo mais empregados nos casos em que a segurana est focada em informaes contidas em um servidor; Network Based IDS (NIDS) so instalados em mquinas responsveis por identificar ataques direccionados a toda a rede, monitorando o contedo dos pacotes de rede e seus detalhes como informaes de cabealhos e protocolos Laureano (2005).
27/113
Quanto Forma de Deteco Segundo Laureano, (2005) afirma que muitas ferramentas de IDS realizam suas operaes a partir da anlise de padres do sistema operacional e da rede tais como: utilizao de CPU, E/S de disco, uso de memria, actividades dos utilizadores, nmero de tentativas de login, nmero de conexes, volume de dados trafegando no segmento de rede entre outros.
Enquanto que as tcnicas usadas para detectar intruses podem ser classificadas em:
Deteco por assinatura os dados colectados comparada com uma base de registros de ataques conhecidos (assinaturas). Por exemplo, o sistema pode vasculhar os pacotes de rede procurando sequncias de bytes que caracterizem um ataque de buffer overflow contra o servidorWWW Apache; Deteco por anomalia os dados colectados comparada com registros histricos da actividade considerada normal do sistema. Desvios da normalidade so sinalizados como ameaas; Deteco Hbrida o mecanismo de anlise combina as duas abordagens anteriores, buscando detectar ataques conhecidos e comportamentos anormais Laureano (2005).
Privacidade das Comunicaes
A privacidade das comunicaes classificam em: criptografia, simtrica ou de chave privada, assimtrica ou de chave pblica, assinatura digital, Virtual Private Network, , Public Key Infrastructure e esteganografia.
A Criptografia to antiga quanto a prpria escrita, consiste na cincia e na arte de se comunicar secretamente. Tem por objectivo bsico tornar uma mensagem ininteligvel para um adversrio, que possa vir intercept-la Costa (s/d).
Na ptica de Laureano (2005) a criptografia representa um conjunto de tcnicas que so usadas para manter a informao segura. Estas tcnicas consistem na utilizao de chaves e algoritmos de criptografia. Tendo conhecimento da chave e do algoritmo usado possvel desembaralhar a mensagem recebida.
Para Tadano (2002), A criptografia a arte ou cincia de escrever em cifra ou em cdigos, utilizando um conjunto de tcnicas que torna uma mensagem ilegvel, chamado de texto cifrado, de forma a permitir que apenas o destinatrio desejado consiga decodificar e ler a mensagem com clareza ().
28/113
No que se refere a chave pblica considera que um chave matemtica que pode ser compartilhada com segurana, de modo que outra possam lhe enviar informaes criptografados, e que somente sua chave privativa pode descodificar, a chave publica pode tambm confirmar a veracidade de assinaturas criadas com suas chaves privativas correspondente Costa (s/d).
Segundo Laureano (2005) os algoritmos assimtricos utilizam-se de duas chaves diferentes, uma em cada extremidade do processo. As duas chaves so associadas atravs de um relacionamento matemtico, pertencendo a apenas um participante, que as utilizar para se comunicar com todos os outros de modo seguro.
No ponto de vista Costa (s/d) a assinatura digital um mtodo baseado na criptografia assimtrica visando garantir que determinada mensagem que no seja alterada durante o seu trajecto.
No entender de Laureano (2005) o conceito de assinatura um processo que apenas o signatrio possa realizar, garantindo dessa maneira sua participao pessoal no processo. Como a chave secreta de posse e uso exclusivo de seu detentor, um processo de cifragem usando a chave privada do signatrio se encaixa nesse conceito, permitindo, assim, a gerao de uma assinatura por um processo digital.
A ideia de utilizar uma rede pblica como a Internet em vez de linhas privativas para implementar redes corporativas denominada de Virtual Private Network (VPN) ou Rede Privada Virtual Laureano (2005). As VPNs so tneis de criptografia entre pontos autorizados, criados atravs da Internet ou outras redes pblicas e/ou privadas para transferncia de informaes, de modo seguro, entre redes corporativas ou usurios remotos.
No perceber do mesmo autor a segurana a primeira e mais importante funo da VPN. Uma vez que dados privados sero transmitidos pela Internet, que um meio de transmisso
29/113
inseguro, eles devem ser protegidos de forma a no permitir que sejam modificados ou interceptados Laureano (2005).
Public Key Infrastructure tambm denominado de Infra-estrutura de chaves pblicas (ICP) um sistema de segurana baseado em tecnologia para estabelecer e garantir a confiabilidade de chaves pblicas de criptografia Laureano (2005).
Ainda o mesmo autor salienta que a criptografia de chaves pblicas tem se apresentado como um importante mecanismo de segurana para o fornecimento de servios de autenticao, gerao de provas, integridade de dados e confidencialidade para operaes internas e externas de e-business Laureano (2005).
No ponto de vista do mesmo a infra-estrutura de chaves pblicas atrela as chaves pblicas s suas entidades, possibilitando que outras entidades verifiquem a validade das chaves pblicas e disponibilize os servios necessrios para o gerenciamento das chaves que trafegam em um sistema distribudo Laureano (2005).
Segundo Laureano (2005) a esteganografia origina o grego "escrita coberta". O autor afirma que no ramo particular da criptologia que consiste, no em fazer com que uma mensagem seja ininteligvel, mas em camufl-la, mascarando a sua presena. Ao contrrio da criptografia, que procura esconder a informao da mensagem, a Esteganografia procura esconder a existncia da mensagem.
Contrariamente criptografia, que cifra as mensagens de modo a torn-las incompreensveis, a Esteganografia esconde as mensagens atravs de artifcios, por exemplo imagens ou um texto que tenha sentido mas que sirva apenas de suporte (como o alfabeto bilateral de Francis Bacon ou as famosas cartas de George Sand) Laureano (2005).
30/113
Captulo 3: Politica de Segurana

3.1 Poltica de segurana da informao
Poltica de segurana uma declarao formal das regras que devem ser obedecidas pelas pessoas que tem acesso tecnologia e s informaes da empresa Security HandBook (RFC2196). Uma poltica de segurana essencialmente um documento que resume como a corporao usar e proteger seus recursos computacionais e de rede 4
Uma poltica de segurana a formalizao de todos os aspectos considerados relevantes por uma organizao para a proteco, controle e monitoramento de seus recursos computacionais e, consequentemente, das informaes por eles manipuladas. Em outras palavras, uma forma mais prtica, a poltica de segurana deve contemplar, de forma genrica, todos os aspectos importantes para a proteco lgica e fsica das informaes e dos recursos computacionais. 5
A poltica de segurana apenas a formalizao dos anseios da empresa quanto proteco das informaes Abreu (2002) citado por Laureano (2005).
4 5
Segurana computacional (s/d), disponvel em <www.4shared.com>, [consultado em 30/05/09] Segurana computacional (s/d), disponvel em <www.4shared.com>, [consultado em 30/05/09]
31/113
Segundo Sousa (2006) o desenvolvimento de uma poltica de segurana a base de segurana de informao em uma empresa. Alguns padres e normas internacionais de segurana foram desenvolvidos por organizaes normalizadoras como ISSO (Internacional Standards Organization) e a BS (British Standard), como ISSO 17799 e a BS 7799.
Na perspectiva de Marciano (2006) uma poltica de segurana da informao um conjunto de regras, normas e procedimentos que regulam como deve ser gerenciada e protegida a informao sensvel, assim classificada pela organizao ou pelo estado, alm dos recursos e utilizadores que com ela interagem. Todo o ciclo de vida da informao deve ser objecto da poltica.
Conforme Campos (2006) citado por Sierwert (s/d) uma poltica de segurana no um grande livro informando tudo o pode existir de segurana da informao dentro de uma corporao ou instituio, nem mesmo so poucas regras gerais que se aplicam a qualquer aspecto da segurana da informao. Ainda que essas duas hipteses no possam ser descartadas, nenhuma delas define exactamente o que uma poltica de segurana da informao.
Mas afinal de contas o que significa a palavra poltica, que actualmente est sendo to utilizada pelas corporaes e instituies? Actualmente comum ouvir frases do tipo a poltica da nossa empresa a qualidade total de nossos produtos, ou ento a poltica de recursos humanos no tolera funcionrios que tenham registro policial. Esses so dois exemplos, mas que ajudam a entender o que significa a palavra poltica. A primeira frase bastante abrangente e qualquer procedimento, aco ou deciso visando como objectivo a qualidade dos produtos fabricados, est de acordo com a poltica estabelecida pela empresa. J a segunda frase mais especfica e deve ser considerada no processo de seleco e recrutamento de funcionrios da empresa, conforme estabelecido na poltica de recursos humanos da empresa Campos (2006) citado por Sierwert (s/d).
Com a poltica de segurana no diferente, ou seja, ela deve indicar como as coisas devem acontecer na organizao ao que se refere a segurana da informao, sendo assim, na perspectiva de Sierwert, (s/d) uma poltica nada mais do que um conjunto de regras que determina como deve ser o comportamento de pessoas que tem qualquer tipo de relacionamento com a organizao no que diz respeito as informaes que so trocadas, enviadas ou recebidas.
32/113
Poltica de Segurana da Informao No que diz respeito s polticas de segurana da informao, existe ainda um requisito a mais a ser cumprido: prover o equilbrio entre funcionalidade e segurana, motivo pelo qual torna-se essencial uma anlise da situao operacional da organizao em foco. Esta anlise, que no contexto da segurana da informao conhecida como anlise de vulnerabilidades, deve se restringir, como de hbito, a uma busca por eventuais brechas de segurana nos sistemas de informao sobre os quais se aplica. Antes, devese conhecer a fundo os fluxos de informao aplicados (formais e informais) a fim de mapear-se de modo consistente e dinmico a realidade, em termos da informao e dos actores que com ela interagem Marciano (2006).
A poltica de segurana de informaes deve estabelecer princpios institucionais de como a organizao ir proteger, controlar e monitorar seus recursos computacionais e, consequentemente, as informaes por eles manipuladas. importante que a poltica estabelea ainda as responsabilidades das funes relacionadas com a segurana e discrimine as principais ameaas, riscos e impactos envolvidos Dias (2000) citado por Laureano (2005).
Ainda referindo ao mesmo autor Dias (2000) citado por Laureano (2005) salienta que a poltica de segurana, deve ir alm dos aspectos relacionados com sistemas de informao ou recursos computacionais, ela deve estar integrada as polticas institucionais da empresa, metas de negcio e ao planejamento estratgico da empresa.
A figura mostra o relacionamento da poltica de segurana de informaes com a estratgia da organizao, o plano estratgico de informtica e os diversos projectos relacionados Dias (2000) citado por Laureano (2005).
33/113
Figura 1: Poltica de segurana e seus relacionamentos Fonte: Laureano (2005)
3.2
3.2.1
Controles de segurana da informao

Politica
No ponto de vista de Campos (s/d) a poltica de segurana da informao (PSI) deve estar alinhada com os objectivos de negcio da organizao. Ela estruturada em directrizes, normas e procedimentos.
34/113
Figura 2: Controles de segurana da informao Fonte: Campos (s/d)
Poltica de Segurana um conjunto de directrizes destinadas a definir a proteco adequada dos activos produzidos pelos Sistemas de Informao Laureano (2005).
Segundo Dias (2000) citado por Siewert (s/d) uma poltica de segurana consiste num conjunto formal de regras que devem ser seguidas pelos utilizador dos recursos de uma organizao.
Ainda Dias (2000) citado por Siewert (s/d) as polticas de segurana devem ter uma implementao realista e definir claramente as reas de responsabilidade dos utilizador, do pessoal de gesto de sistemas e redes e da direco. Devem tambm adaptar-se a alteraes na organizao.
As polticas de segurana fornecem um enquadramento para as implementaes de mecanismos de segurana, definem procedimentos de segurana adequados, processos de auditoria segurana e estabelecem uma base para procedimentos legais na sequncia de ataques Dias (2000) citado por Siewert (s/d).
A poltica normalmente contm princpios legais e ticos a serem atendidos no que diz respeito informtica: direitos de propriedade de produo intelectual; direitos sobre softwares e normas legais correlatas aos sistemas desenvolvidos; princpios de implementao da segurana de informaes; polticas de controlo de acesso a recursos e sistemas computacionais; e princpios de superviso constante das tentativas de violao da segurana da informao. Alm disso, a poltica pode conter ainda os 35/113
Poltica de Segurana da Informao princpios de continuidade de negcios, procedimentos a serem adoptados aps a violao de normas de segurana estabelecidas na poltica, como investigaes, julgamento e punies aos infractores da poltica e plano de treinamento em segurana de informaes. importante que a poltica estabelea responsabilidades das funes relacionadas com a segurana e discrimine as principais ameaas, riscos e impactos envolvidos Dias (2000) citado por Siewert (s/d).
De acordo com o RFC 2196 (The Site Security Handbook), citado por Monteiro e Boavida (2000) uma politica de segurana um conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos se uma organizao.
As polticas de segurana fornecem um enquadramento para a implementao dos mecanismos de segurana, definem procedimentos de segurana adequados, definem processos de auditoria segurana e estabelece uma base para procedimentos legais na sequncia de ataques Monteiro e Boavida (2000).
No entender de Monteiro e Boavida (2000) podem resumir-se as principais regras para a definio de uma boa poltica de segurana:
Ser facilmente acessvel a todos membros de organizao; Definir os objectivos de segurana; Definir objectivamente todos os aspectos abortados; Definir a posio da organizao em cada questo; Justificar as opes tomadas; Definir as circunstncias em que aplicada cada uma das regras; Definir os papis dos diversos agentes da organizao; Especificar as consequncias do no cumprimento das regras definidas; Definir o nvel de privacidade garantindo aos utilizadores; Identificar os contactos para esclarecimento de questes duvidosos; Definir o tratamento das situaes de omisso.
Segundo Wadlow (2000) citado por Spanceski (2004) uma poltica de segurana atende a vrios propsitos:
Descreve o que est sendo protegido e por qu; Define prioridades sobre o que precisa ser protegido em primeiro lugar e com qual custo; Permite estabelecer um acordo explcito com vrias partes da empresa em relao ao valor da segurana; Fornece ao departamento de segurana um motivo vlido para dizer no quando necessrio; Proporciona ao departamento de segurana a autoridade necessria para sustentar o no; Impede que o departamento de segurana tenha um desempenho ftil. 36/113
No entender Monteiro e Boavida (2000) o documento que define a politica de segurana devera deixar de fora todo e qualquer aspecto tcnico de implementao dos mecanismos de segurana, dado que essa implementao poder variar ao longo do tempo. Para alm disso deve ser um documento sucinto, de fcil com preenso e leitura.
Ainda Monteiro e Boavida (2000) afirmam que dever ser dada especial ateno aos aspectos procedimentais, para que toda e qualquer aco relevante sejam mantidas em histrico, de modo a possibilitar a realizao de auditorias de segurana. Outros aspectos como o registo e certificao de todo o equipamento e software em utilizao na rede ou, ainda, a realizao de cpias de segurana so, tambm, de grande importncia.
Referindo ainda ao mesmo autor um dos maiores problemas de segurana nas organizaes a falta de conscincia, por parte dos agentes da organizao, das ameaas que o sistema e redes esto sujeitos. A poltica de segurana dever alertar em termos plausveis e objectivos os utilizadores para as questes de segurana Monteiro e Boavida (2000).
3.3
Caractersticas de uma poltica
Na ptica de Siewert (s/d) uma poltica e segurana da informao no deve ser elaborada se no tiver as seguintes caractersticas:
Simples de fcil leitura e entendimento; Objectiva deve explanar os objectos que a poltica trata e estabelecer normas
pontuais sobre os mesmos, sendo assim, no pode ser um documento muito extenso, pois dificulta a leitura;
Consistente como as organizaes obedecem a regulamentos e poltica internas e
tem que obedecer e seguir as legislaes do governo, sejam elas municipais, estaduais ou federais, a poltica de segurana deve estar em conformidade com essas outras normas;
Definio de metas metas so objectivos que podem ter pesos, ou seja, no devem
simplesmente definir expectativas, mas sim deixar claro o quanto dessas expectativas sero realizadas, dentro de determinado perodo de tempo. Sendo assim a poltica de segurana deve estabelecer metas especficas de segurana;
37/113
Poltica de Segurana da Informao Definio de responsabilidades como a poltica define e regulamenta o uso da
informao em diversos nveis e meios, sempre que for aplicado deve-se definir quem o responsvel pela informao e pela sua correcta utilizao;
Definio de penalidades a poltica deve mencionar alguma forma de punio, caso
a mesma seja desrespeitada, caso contrrio, provavelmente ser simplesmente ignorada.
Na perspectiva de Gorissen (s/d) uma das normas e padres mais utilizados e normalmente implementada pela CompuStream Security a ISO 17799, uma compilao de recomendaes para melhores prticas de segurana, que podem ser aplicadas por empresas, independentemente do seu porte ou sector.
Ela foi criada com a inteno de ser um padro flexvel, nunca guiando seu utilizador a seguirem uma soluo de segurana especfica em detrimento de outra. As recomendaes da ISO 17799 so neutras com relao tecnologia e no fornecem nenhuma ajuda na avaliao ou entendimento de medidas de segurana j existentes Gorissen (s/d).
Segundo Spanceski (2004) os controles considerados como melhores prticas para a segurana da informao incluem: [NBR ISO 17799].
Documentao da poltica de segurana da informao; Definio das responsabilidades na segurana da informao; Educao e treinamento em segurana da informao; Relatrio de incidentes de segurana; Gesto de continuidade do negcio.
38/113
3.4 Importncia de uma poltica de segurana

Segundo Siewert (s/d) () a poltica de segurana da informao adoptada por empresas no mundo inteiro. Mesmo as empresas que ainda no possuem uma poltica de segurana, em determinado momento reconhecem a necessidade de elaborao e implementao de uma poltica formal.
As normas BS: 7799 e ISO/IEC 17799, ambas especficas sobre segurana da informao, sugerem que a poltica de segurana da informao uma ferramenta essencial na segurana de uma organizao Siewert (s/d).
Na perspectiva do mesmo autor a poltica de segurana da informao tem como principal objectivo definir padres de comportamento que sejam largamente informados e conhecidos por todos na organizao e que sirva de base para a alta administrao em decises relacionados a segurana da informao, proporcionando coerncia e menos complexidade, reflectindo tambm em decises mais justas e mais facilmente aceitas, j que se baseiam em uma poltica largamente difundida, e no apenas no critrio pessoal de quem toma a deciso. Siewert (s/d).
Conforme Campos (2006) citado por Siewert (s/d), contribui no somente para a reduo de incidentes de segurana da informao, mas tambm para o aumento da produtividade, j que a busca de orientaes sobre o comportamento ser menor e cada um poder se concentrar mais em suas actividades em vez de procurar as possibilidades de uso ou acesso s informaes, fazendo com que as pessoas se sintam mais confortveis conhecendo os limites.
Um impacto considervel que qualquer funcionrio, cliente, fornecedor, ou parceiro, pode conhecer a poltica de segurana da informao e no apenas determinado grupo de pessoas na organizao. Isso reflecte na democratizao da informao, o que contribui para um maior comprometimento das pessoas para com a organizao Siewert (s/d)
39/113
3.5 Tipos de Polticas

Segundo Spanceski (2004) existem trs tipos de polticas entres quais a refutatria, consultiva e a informativa.
3.5.1
Refutatria
Na ptica de Ferreira (2003) citado por Spanceski (2004) () afirma que polticas refutatrias so implementadas devido s necessidades legais que so impostas organizao. Normalmente so muito especficas para um tipo de ramo de actividade.
Em relao ao mesmo autor uma poltica refutatria definida como se fosse uma srie de especificaes legais. Descreve, com grande riqueza de detalhes, o que deve ser feito, quem deve fazer e fornecer algum tipo de parecer, relatando qual aco importante Ferreira (2003) citado por Spanceski (2004).
3.5.2
Consultiva
Segundo Spanceski (2004) polticas consultivas no so obrigatrias, mas muito recomendadas. As organizaes devem conscientizar seus funcionrios a considerar este tipo de poltica como se fosse obrigatria.
A poltica consultiva apenas sugere quais aces ou mtodos devem ser utilizados para a realizao de uma tarefa. A ideia principal esclarecer as actividades quotidianas do dia-a-dia da empresa de maneira bastante directa Spanceski (2004).
No entender de Ferreira (2003) citado por Spanceski (2004) deve-se considerar que importante que os utilizador conheam essas aces para realizao de suas tarefas para que possam ser evitados riscos do no cumprimento das mesmas, tais como:
Possibilidade de omisso de informaes importantes para tomada de decises crticas aos negcios da organizao;
Falhas no processo de comunicao com a alta administrao;

40/113
Perda de prazos de compromissos importantes para os negcios da organizao.
3.5.3
Informativa
Este tipo de poltica possui carcter apenas informativo, nenhuma aco desejada e no existem riscos, caso no seja cumprida. Porm, tambm pode contemplar uma srie de observaes importantes, bem como advertncias severas Ferreira (2003) citado por Spanceski (2004).
Por exemplo, a poltica pode ressaltar que o uso de um determinado sistema restrito a pessoas autorizadas e qualquer funcionrio que realizar algum tipo de violao ser penalizado. Nesta sentena no so informados quais funcionrios esto autorizados, mas este determinando severas consequncias para quem desrespeit la Ferreira (2003) citado por Spanceski (2004).
Na ptica de Ortalo (1996) citado por Marciano (2006) Os elementos principais de uma poltica de segurana da informao so os seguintes:
Elementos bsicos, os quais descrevem os diferentes indivduos, objectos, direitos de acesso e atributos presentes na organizao ou no sistema, e que definem o vocabulrio segundo o qual a poltica construda;
Os objectivos da segurana, ou seja, as propriedades desejadas do sistema com respeito segurana, definida em termos dos atributos desta (confidencialidade, integridade e disponibilidade);
Um esquema de autorizao, na forma de um conjunto de regras descrevendo os mecanismos do sistema relevantes segurana, com a descrio das eventuais modificaes no estado da segurana.
3.6 Modelos
Segundo Mamede (2006) um modelo de segurana constitui um meio de formalizao de polticas de segurana [Denning & Denning, 1998], ou seja, para a completa formulao de
41/113
uma poltica de segurana, recorre-se a modelos onde so descritas as entidades controladas pela poltica e as regras que a constituem.
Ainda Mamede (2006) os modelos de segurana podem ser tipificados [Summers 1997] segundo o seu enfoque principal, da seguinte forma:
Confidencialidade; Integridade; Hbridos; Composio e no-interferncia; Baseados em critrios de senso comum.
No mesmo contexto Mamede (2006) apresenta uma descrio resumida dos principais modelos de segurana:
3.6.1 Bell-Lapadula Na ptica de Mamede (2006) o modelo Bell-LaPadula (BLP) baseia-se numa mquina de estados, capturando os aspectos da confidencialidade do controlo de acessos [Bell & LaPadula 1976]. As permisses de acesso so definidas atravs de uma matriz de controlo de acessos e de nveis de segurana. O modelo considera que um fluxo de informao ocorre quando um indivduo observa ou altera um objecto. As polticas de segurana previnem o fluxo de informao de um determinado nvel de segurana para um nvel de segurana inferior.
Em relao ao mesmo autor Mamede (2006) os elementos de um modelo Bell-LaPadula so:
por S
;
Sujeitos entidades activas, como utilizadores ou processos. So representados Objectos entidades passivas, como sejam dados, ficheiros, directrios. So
representados por O;
42/113
Atributos de acesso read, edil, read e write, wrte sem read
append, execute,
search. So representados por A; Nveis de segurana reflectem informao anexa aos sujeitos e objectos que so utilizados para tomar decises mandatrias de controlo de acesso.
Mamede (2006) afirma que o nvel de segurana de um sujeito reflecte as autorizaes que esse sujeito tem relativamente informao. O nvel de segurana de um objecto reflecte os requisitos de proteco desse objecto. Os nveis de segurana para os sujeitos e os objectos formam um conjunto nico.
Como referido, este modelo recorre utilizao de uma matriz de controlo de acessos para descrever controlos de acesso discricionrios, segundo a propriedade (ds-property), que estabelece que para cada acesso (s, o, a) b com b a representar o conjunto de todos os acessos, temos que a e Mso Mamede (2006).
3.6.2 Harrison-Ruzzo-Ullman Segundo Mamede (2006) o modelo BLP, apresentado anteriormente, no define polticas para a alterao de direitos de acesso, nem para a criao e eliminao de indivduos e objectos. O presente modelo Harrison-Ruzzo-Ullman (HRU) define sistemas de autorizao que endeream essas lacunas [Harrison & Russo & Ullman, 1976]. Na mesma perspectiva Mamede (2006) considera que este modelo HRU opera num conjunto de sujeitos S, num conjunto de objectos O, num l conjunto de permisses A e numa matriz de controlo de acessos M. O modelo define l sistemas de autorizao recorrendo utilizao de uma linguagem de comandos, em que l cada comando envolve condies e operaes primitivas. Estas so: Criar sujeito s permite a introduo de um novo sujeito no sistema; Criar objecto o permite a introduo de um novo objecto no sistema; Destruir sujeito s permite ao controlador de um sujeito elimin-lo do sistema; Destruir objecto o permite ao dono de um objecto a sua eliminao do sistema;
43/113
Dar permisso a a M [s, o] permite ao dono de um objecto estabelecer permisses a outros sujeitos sobre aquele objecto; Eliminar permisso a de M [S, O] permite a um sujeito retirar permisso de outro sujeito sobre um objecto, desde que o ltimo sujeito no seja o dono do objecto ou controle o sujeito a quem se pretende retirar a permisso. 3.6.3 Chinese-Wall O modelo Chinese-Wall apresenta como principal caracterstica a modelao das regras de acesso, orientada para negcios virados para a consultadoria, em que h necessidade de garantir que conflitos de interesse no surgem quando se lida com diferentes clientes. Assim, a regra bsica deste modelo que no pode existir nenhum fluxo de informao que provoque um conflito de interesses Brewer & Nash (1989) citado por Mamede (2006).
Referindo ao mesmo autor Brewer e Nash citado por Mamede (2006) definem uma poltica de segurana que reflecte, pois, certas necessidades comerciais para proteco no acesso informao, tomando por base os profissionais das reas do Direito, Medicina e Financeira. Basicamente, um conflito de interesses existe quando uma pessoa pode obter informao sensvel sobre empresas ou grupos rivais.
Segundo Mamede (2006) este modelo estabelece uma poltica que comea pela construo de trs nveis de abstraco:
Objectos elementos do nvel mais baixa, como por exemplo ficheiros de dados, Grupo de empresa (do ingls, company groups) nvel intermdio, com o
com cada ficheiro a conter informao relativa a uma entidade;
agrupamento de todos os objectos que respeitam a uma empresa num dataset de empresa;
Classes de conflito de interesses (do ingls, conflict classes) no nvel mais
elevado os datasets de todas as empresas concorrentes so agrupados.
44/113
3.6.4
Biba
O modelo Biba [Biba 1977] citado por Mamede (2006) enderea, principalmente, a integridade em termos de acesso por indivduos a objectos, baseando-se numa mquina de estados, de forma muito semelhante ao modelo Bell LaPadula. Este foi mesmo o primeiro modelo a enderear a integridade em sistemas computacionais, baseado num esquema hierrquico de nveis, tendo sido definido por Biba em 1977.
O modelo de integridade Biba similar ao modelo BLP para confidencialidade, na medida em que tambm recorre utilizao de sujeitos e objectos. Adicionalmente, enderea tambm o controlo de modificao de objectos, da mesma forma que o modelo BLP controla a divulgao Mamede (2006).
Segundo Mamede (2006) no entanto, contrariamente ao modelo referido no ponto anterior, ao invs de definir apenas uma poltica de integridade de alto nvel, define uma srie de aproximaes possveis.
A poltica de integridade do modelo consiste de trs partes: a primeira especifica que um sujeito no pode executar objectos que possuam um nvel de integridade inferior ao do prprio sujeito; a segunda especfica que um sujeito no pode modificar objectos que possuam um nvel de integridade superior ao seu; a terceira especifica que um sujeito no pode pedir servios de outros sujeitos que possuam um nvel de integridade superior Mamede (2006).
3.6.5 Goguen Meseguer Segundo Mamede (2006) o modelo Goguen-Meseguer [Goguen & Meseguer, 1982], publicado originalmente em 1982, baseia-se nos princpios matemticos que governam os autmatos, um mecanismo de controlo concebido para seguir de forma automtica uma sequncia predeterminada de operaes, ou respondera instrues devidamente codificadas. O modelo inclui, ainda, a separao de domnios.
45/113
Neste contexto, Mamede (2006) afirma que um domnio a lista de objectos a que um sujeito pode aceder. Os sujeitos podem ser agrupados de acordo com os seus domnios definidos. A separao de sujeitos por diferentes domnios assegura que uns no interferem com as actividades dos outros. Toda a informao sobre as actividades que os sujeitos esto autorizados a executar includa na tabela de capacidades.
Adicionalmente, o sistema contm informao no relacionada com permisses, como sejam programas do utilizador, dados e mensagens. combinao de toda esta informao d-se o nome de estado do sistema. A teoria dos autmatos, utilizada como base para este modelo, pr--define todos os estados e transies entre os mesmos, o que previne utilizadores no autorizados de executarem alteraes ou modificaes em dados ou programas Mamede (2006).
3.6.6
Sutherland
Segundo Mamede (2006) o modelo Sutherland foi publicado originalmente em 1986 [Sutherland, 1986] e enderea a problemtica da integridade focando-se no problema da inferncia, ou seja, a utilizao de canais dissimulados para influenciar os resultados de um processo.
Em relao ao mesmo autor este modelo baseado numa mquina de estados e, como tal, consiste num conjunto de estados, um outro conjunto de estados iniciais possveis e uma funo de transformao que mapeia os estados do estado inicial para o estado actual Mamede (2006).
Ainda afirma que no obstante o facto deste modelo no invocar directamente um mecanismo de proteco, contm restries de acesso relacionadas com os sujeitos e restries de fluxo de informao entre objectos. Assim, o modelo previne que utilizadores no autorizados possam modificar dados ou programas Mamede (2006).
46/113
3.6.7
Clark Wilson
O modelo Clark-Wilson, publicado em 1987 e actualizado em 1989, orientado para a resoluo de questes de requisitos de segurana colocados pelas aplicaes comerciais. Os autores deste modelo, em contraste com o BLP, focaram-se na integridade onde o modelo BLP enderea as questes da confidencial idade Mamede (2006).
No entender de Mamede (2006) o modelo [Clark & Wilson, 1987], entende-se que os requisitos de segurana, colocados pelas aplicaes comerciais, so predominantemente incidentes na integridade dos dados, ou seja, na preveno da alterao no autorizada, fraude e erros. So mesmo includos temas como controlo concorrente para aplicaes distribudas.
Segundo Mamede (2006) Clark e Wilson propem uma viso alargada da integridade, da seguinte forma:
Consistncia interna propriedade do sistema, garantida pelo sistema; Consistncia externa relao do sistema com o mundo real, sendo garantida
externamente. Referindo ainda ao mesmo autor Mamede (2006) afirma que existe dois mecanismos para a garantia de integridade:
Transaces bem formadas garantem que os dados so acedidos apenas por programas especficos, assegurando a consistncia interna dos mesmos. Este conceito muito semelhante ao que se pode encontrar na programao orientada a objectos; Separao de funes () previne que utilizadores autorizados possam efectuar alteraes inadequadas. Os utilizadores tm de colaborar de forma a manipularem os dados. Este segundo mecanismo tambm muito conhecido e utilizado como, por exemplo, recorrendo a diferentes pessoas para implementar, testar e certificar um sistema ().
Ainda em relao ao mesmo autor Mamede (2006) diz que os elementos de dados controlados pela poltica de segurana so elementos de dados constrangidos ou CDI (do ingls, Constrained Data Items). As entradas no sistema so elementos de dados no constrangidos ou UDI (do ingls, Unconstrained Data Items).
47/113
No mesmo contexto Mamede (2006) afirma que os CDI so manipulados exclusivamente por procedimentos de transformao ou TP (do ingls, Transformation Procedure). A integridade verificada por procedimentos de verificao da integridade ou IVP (do ingls, integiifr Verifcatlon Procedure). Existem cinco regras de certificao:
Os IVP asseguram que os CDI so vlidos; Os TP preservam a validade dos CDI; A separao de funes assegurada; O TP mantm um jornal de alteraes; Um TP que tome um UDI converte-o para um CDI, ou no faz nada.
Segundo Mamede (2006) para alm destas regras de certificao, existem ainda quatro regras de aplicao:
Listas de regras de acesso so mantidas para TP e CDI; Listas de regras de acesso so mantidas para sujeitos e TP; Cada utilizador que requisite uma TP autenticado; Apenas um sujeito que possa certificar uma regra de acesso a uma TP pode
modificar as listas de regras de acesso.
3.6.8
Outros Modelos
Segundo Mamede (2006) existem outros modelos de segurana [Blyth & K.ovacich. 2001] e podem-se classificar como seguidamente se descreve.
Na ptica de Mamede (2006) os modelos de fluxo de informao (do ingls, InformationFlow Mudeis) so modelos em que so tomados em considerao todos os possveis fluxos de informao.
Ainda diz que um sistema considerado seguro se no existir nenhum fluxo ilegal de informao. Como vantagem, apresenta o facto de que cobre todos os tipos de fluxos de informao. Como desvantagem est a maior dificuldade em desenhar sistemas seguros e a
48/113
obrigao de distino entre aplicao esttica e dinmica da poltica de segurana Mamede (2006).
Os modelos de no-interferncia (do ingls, Non-lnterference Models) constituem-se como uma alternativa aos modelos do tipo anterior. Disponibilizam um diferente formalismo para a descrio do que um sujeito sabe acerca do estado do sistema. Sujeito s1 no interfere com sujeito s2, se as aces de s1 no tiverem influncia na viso que s2 tem do sistema Mamede (2006).
3.7 Segurana Fsica

A politica de segurana desenvolvida considerando-se aspectos fsicos e lgicos. A segurana fsica aquela que envolve aspectos como preveno contra falhas de equipamentos incndios, acesso de pessoas a locais restritos, enchentes, desastres naturais, acidentes, roubo e demais aspectos fsicos Sousa (2006).
S E G U R A N A D O E Q U IP A M E N TO
IM P R ES SO R A
Laptop
SEGURANA DAS C O M U N IC A E S
S E R VID O R
S W IT C H /H U B
SEGURANA DAS IN S T A LA E S
IN T R AN ET
EN E R G IA ELE C T R IC A IN C N D IO
CONEXO REDE C O M U N IC A E S S IS T E M A IN FO R M A O IN S T A LA E S
U T ILIZA D O R E S
FU N C IO N A R IO S T E R C E IR O S
SEGURANA DO PESSOAL
Figura 3: Segurana fsica Fonte: Compta (2008)
49/113
A Segurana fsica consiste na aplicao de barreiras fsicas e procedimentos de controlo, como medidas de preveno e contra medidas perante ameaas aos recursos e informao confidencial. Refere-se aos procedimentos de controlo e aos mecanismos de segurana dentro e em volta do Centro de Processamento de Dados, assim como os meios de acesso remoto implementados para proteger o hardware e os meios de armazenamento de dados Silva Carvalho et al (2003) citado por Silva (2006).
No domnio da informtica, a segurana fsica dos sistemas refere-se principalmente proteco de equipamentos e instalaes contra riscos por perdas, extravios ou por danos fsicos () inclui componentes como controlos de acesso, servios contra incndios e dispositivos para a deteco de infiltraes de gua que ponha em perigo o funcionamento do S.I. Carneiro (2002) citado por Barros (2006).
Segundo silva (2006) o principal objectivo da segurana fsica garantir a proteco dos SIs quanto s suas dimenses fsicas e no que se refere a todos os seus componentes, nomeadamente hardware, software, documentao e meios magnticos. Esta proteco relaciona-se com riscos por divulgao, perda, extravios ou por danos fsicos. Pode-se ter segurana fsica a trs nveis:
3.7.1 Segurana do pessoal, das instalaes e dos equipamentos. A segurana do pessoal tem como objectivo, reduzir os riscos devido a erros humanos, roubo, fraudes e/ou m utilizao dos recursos existentes. A do equipamento tem por objectivo, proteger o hardware computacional e outros equipamentos, as suas interligaes e o fornecimento de energia. Por ltimo a segurana das instalaes, que trata dos requisitos de localizao e a estrutura dos edifcios destinados aos centros de informtica de forma a garantir um nvel de segurana adequado Silva (2006).
3.7.2 Segurana do pessoal Segundo Silva (2006) a segurana do pessoal um aspecto muito importante dado que so as pessoas que Interagem diariamente com os sistemas, que tem acesso s informaes contidas no sistema, por isso, muitas vezes so as principais ameaas a esses sistemas.
50/113
Silva, Carvalho et al (2003) citado por Silva (2006) defendem que se deve ter muito cuidado no recrutamento de pessoas, porque estas podem ser possveis perigos segurana nas organizaes.
Segundo Silva, Carvalho et al (2003) citado por Silva (2006) dentro da Segurana do Pessoal pode destacar:
Segurana nos Contedos Funcionais e no Recrutamento
A Segurana nos Contedos Funcionais e no Recrutamento, tem como objectivo reduzir os riscos de erros humanos na utilizao do sistema, roubo, bem como a m utilizao dos recursos das tecnologias de informao e comunicao disponibilizados. No que tange segurana nos contedos funcionais e de recrutamento, estes defendem a segurana desde o recrutamento at postura que os utilizadores devem ter na utilizao do sistema.
Formao dos Utilizadores
Na Formao dos Utilizadores, defendem que os utilizadores devem receber formao em segurana e numa correcta utilizao das TI (Tecnologias de Informao) para um normal funcionamento dos sistemas e da poltica de segurana implementada. A sensibilizao dos utilizadores garante que estes tenham mais conscincia das ameaas e preocupaes respeitantes segurana da informao e estejam mais dispostos em apoiar na implementao do programa da poltica de segurana organizacional
Resposta a Incidentes
Um incidente de segurana qualquer acontecimento que pode originar perda ou dano dos recursos da organizao, ou uma aco que afecte os procedimentos de segurana na organizao.
Segundo Silva, Carvalho et al, (2003) citado por Silva (2006) defende que o conhecimento desses incidentes por parte dos utilizadores do sistema fundamente para minimizar as
51/113
consequncias que advm destes incidentes, por isso, muito importante que estes saibam a forma mais fcil e rpida para comunicar estes incidentes. Neste caso a formao de utilizadores neste aspecto fundamental para solucionar problemas, quando acontecer qualquer incidente.
3.7.3 Segurana das Instalaes A localizao e a estrutura das instalaes de um centro de informtica deve respeitar um conjunto de requisitos fsicos e ambientais, que permita garantir a sua segurana Silva (2006).
Existem normas estipuladas internacionalmente para a localizao de uma instalao informtica, estes devem ficar em lugares adequados para ir em consonncia com a prpria palavra segurana. Dentro da segurana das instalaes pode-se falar da Localizao e Estrutura dos Centros de Informtica e reas de Segurana Silva (2006).
3.7.4 Segurana do Equipamento Segundo Silva (2006) a segurana do equipamento um outro ponto da segurana fsica que impede a perda, dano e acesso no autorizados aos equipamentos duma organizao, implementando medidas de segurana desde a sua instalao, manuteno at a sua destruio.
Ainda refere-se que a segurana do equipamento, deve impedir acessos no autorizados mas, nunca deve por em causa a disponibilidade e a integridade do mesmo. Isto porque a concepo de mecanismos de segurana no pode pr em causa o acesso dos utilizados, nem a validade da informao Silva (2006).
As polticas de segurana fsica devem proteger os activos de informao que sustentam os negcios da organizao. Actualmente a informao est distribuda fisicamente em equipamentos mveis, tais como laptops, celulares, PDAs, memory keys, estaes de trabalho, impressoras, telefones, FAXs, entre outros. Campos (s/d)
52/113
Segundo Campos (s/d), A segurana fsica precisa garantir a segurana da informao para todos estes activos. Esta segurana deve ser aplicada para as seguintes categorias de activos:
Sistemas estticos, que so instalaes em estruturas fixadas no espao; Sistemas mveis, que so aqueles instalados em veculos ou mecanismos mveis; Sistemas portteis, que so aqueles que podem ser operados em qualquer lugar.
A segurana fsica requer que a rea seja protegida, e uma forma simples de enxergar a segurana fsica definindo permetro de segurana, ou camadas de acesso Campos (s/d).
Segundo Campos (s/d) as seguintes polticas de segurana fsica devem ser consideradas da seguinte forma:
Controle de entrada fsica; Segurana em escritrios, salas e instalaes; Proteco contra ameaas externas e naturais; Proteco das reas crticas; Acesso de pessoas externas; Instalao e proteco dos equipamentos; Equipamentos fora da organizao; Estrutura de rede; Manuteno dos equipamentos; Reutilizao e alienao de equipamentos; Remoo de propriedade
Na ptica Campos (s/d) h diversas ameaas que podem explorar vulnerabilidades fsicas, tais como:
Naturais Enchentes, tempestades, erupes vulcnicas, temperaturas extremas, alta humidade... Sistema de apoio Comunicao interrompida, falta de energia, estouro em tubulaes...
53/113
Humanas Exploses, invases fsicas, sabotagens, contaminao qumica... Eventos polticos Ataque terrorista, espionagem, greves...
3.8 Segurana Lgica
CERTIFICAO AUTENTICAO ENCRIPTAO
POLICIAMENTO AUDITORIA RESTRIES TERMINAIS DE ACESSO RESTRITOS
ACESSOS CONTROLADOS UTILIZADOR SISTEMA DE INFORMAO
APLICAO INTEGRIDADE SERVIOS
Firewall ACESSO EXTERNO PROTOCOLO ACESSO REMOTO
Figura 4: Segurana lgica Fonte: Compta (2008)
A segurana lgica envolve aspectos de preveno contra interceptao e modificao de informaes, sigilo no trfego dos dados na rede, alteraes de softwares, invases em sistema, acessos no a autorizados a informao e demais aspectos relacionados ao aceso e manipulao dos dados da empresa Sousa (2006).
Segundo Carneiro (2002) citado por Barros (2006) no estiver errado, a segurana lgica associa-se proteco dos dados, dos processos e dos programas, segurana da utilizao dos programas ao acesso autorizado dos utilizadores.
A segurana lgica baseia-se na gesto das autorizaes de acesso aos recursos informticos, na identificao e na autenticao, na medida em que a gesto abarca no processo de pedido, acompanhamento e encerramento das contas dos utilizadores, no processo de reviso
54/113
peridica das contas dos utilizadores e autorizaes estabelecidas Carneiro (2002) apud Silva (2006).
3.9
Princpios para as polticas de segurana da informao
A correcta gesto da segurana da informao atingida com o compromisso de todos os utilizador quanto aplicao das normas e procedimentos estabelecidos visando padronizao das aces de planeamento, implementao e avaliao das actividades voltadas segurana Wiliiams (2001) citado por Marciano, (2006).
Estas diferentes actividades podem ser agrupadas conforme a seguinte disposio ISACF, (2001) citado por Marciano (2006):
Desenvolvimento de polticas, com os objectivos da segurana como fundamentos em torno dos quais elas so desenvolvidas; Papis e autoridades, assegurando que cada responsabilidade seja claramente entendida por todos; Delineamento, desenvolvendo um modelo que consista em padres, medidas, prticas e procedimentos; Implementao, em um tempo hbil e com capacidade de manuteno; Monitoramento, com o estabelecimento de medidas capazes de detectar e garantir correces s falhas de segurana, com a pronta identificao e actuao sobre falhas reais e suspeitas com plena aderncia poltica, aos padres e s prticas aceitveis; Vigilncia, treinamento e educao relativos proteco, operao e prtica das medidas voltadas segurana.
3.10 Processo de implementao de segurana
Figura 5: Ciclo de segurana Fonte: Campos (s/d)
55/113
Segundo Campos (s/d), o ciclo de segurana trata-se de um esforo contnuo e iterativo da empresa para proteger seus bens mais importantes da maneira mais econmica possvel, reduzindo a um nvel aceitvel, existe quatro tipos: Proteco, monitoramento, teste e aperfeioamento
Proteco: Proteger os dados corporativos no nvel necessrio. Nesse estgio normalmente as empresas implementam tecnologias e processos que permitem o aumento de segurana (ex: Firewalls e sistemas de autenticao) Campos (s/d).
Monitoramento: Observar a actividade em pontos crticos de acesso a rede, sejam eles internos ou externos. Em seguida as redes devem ser monitoradas continuamente para verificar se h invases e utilizao imprpria, fornecendo mecanismos de respostas automticos em tempo real a fim de eliminar actividade no autorizada Campos (s/d).
Teste: verifique se as medidas de segurana sejam suficientes para resistira crescente sofisticao e frequncia de ataques dos Hackers. Alm disso como as redes so muito dinmicas e mudam com frequncia, necessrio testar sua postura de segurana e desenvolver avaliaes abrangentes das vulnerabilidades de segurana Campos (s/d).
Aperfeioamento: adicione ou actualize as medidas de segurana conforme necessrio. Voc precisar gerir centralmente todos os produtos e polticas de segurana para atingir o mximo de eficincia operacional e implementar rapidamente os aperfeioamentos Campos (s/d).
56/113
Captulo 4: Politica de segurana da informao (Estudo de caso na Assembleia Nacional)

4.1 Caracterizao Geral
A histria politica de Cabo Verde independente teve como palco principal a Assembleia Nacional. O Parlamento cabo-verdiano, durante os 33 anos da sua existncia, foi actor de vrias transformaes que marcaram para sempre a nossa Nao.
Assembleia Nacional constituda por rgos de Administrao da Assembleia Nacional que so Presidente da Assembleia Nacional, Mesa, Conselho de Administrao e tambm constituda por a Secretaria-Geral tem a seguinte estrutura Direco de Servio Parlamentares, Direco de Servios de Documentao e Informao Parlamentar, Direco de Servios Administrativos e Financeiros, Gabinete de Relaes Pblicas e Internacionais e oramento.
Actualmente, uma das principais actividades do parlamento a fiscalizao das actividades do Governo e a discusso e aprovao de Diplomas propostos pelos Deputados e Governo. Por essa razo, cada vez mais, surge a necessidade de criar condies para facilitar os processos de produo, tratamento e disseminao de informao de forma rpida e segura internamente e entre a casa parlamentar e mundo.
57/113
Segundo responsvel pela rea das redes de comunicaes e segurana da informao da ANCV, actualmente em muitas organizaes as decises de TI so tomadas de forma isolada, por diferentes motivos e pessoas dentro de sua estrutura. O planeamento estratgico e tctico integrado do ambiente de TI normalmente colocado em segundo plano, ou nem mesmo realizado.
No ponto de vista do mesmo responsvel pela rea das redes de comunicaes e segurana da informao da ANCV, tem apostado e dever continuar a faz-lo na implementao de uma infra-estrutura de rede de comunicaes, que lhe permita acompanhar o avano constante das tecnologias de informao e que como efeito traga vantagens tais como facilitar aos Deputados e Funcionrios o acesso informao de forma rpida e segura.
Para isto, foi necessrio elaborar um Plano de Desenvolvimento do Sistema Informtico (PDSI), que possibilite tomar decises informadas, com maior certeza possvel sobre as infraestruturas de TI. O objectivo da elaborao deste PDSI fornecer uma viso completa do ambiente actual de Tecnologia de Informao e ao mesmo tempo compar-lo a cenrios alternativos que possam optimizar o retorno dos investimentos j realizados e dos ainda a serem concretizados. A este respeito, foi necessrio reafirmar uma partilha alargada de objectivos internos, tendo em conta que a Assembleia Nacional deve ter o seu prprio alinhamento tecnolgico que engloba a criao de uma infra-estrutura fsica de comunicaes, o acesso a informao actualizada, a criao de capacidades internas, etc.
Sist. udio Visual
INTERNET
Assembleia Nacional de Cabo Verde

Votao Electrnica FORMAO
INFRA ESTRUTURA
Plataformas para Produo e Tratamento e Disseminao de Infor.
Segurana de Infor.
Figura 6: Alinhamento tecnolgico ANCV Fonte: Assembleia Nacional (2008) 58/113
4.2 Estrutura Organizacional

Os servios de telecomunicaes e informtica expandiram-se internamente, aps a instalao das redes de computadores e de um novo sistema de telefonia VoIP.
Os servios a serem prestados pelo Gabinete de Informtica aumentaram significativamente e a qualidade da prestao dos mesmos , sem dvida, uma das maiores preocupaes deste departamento.
Sendo assim, a estruturao interna do Gabinete de Informtica, mesmo sem a aprovao da nova Lei Orgnica, foi um processo to importante como os investimentos realizados na implementao de uma infra-estrutura de comunicao, porque permitiu uma maior organizao, identificar as dificuldades existente em cada rea de trabalho e ao mesmo tempo propor solues para a sua resoluo em menor tempo possvel.
Figura 7: Estrutura da organizao Fonte: Assembleia Nacional (2008)
59/113
No ano de 2008 foram contratados 5 tcnicos informticos para reforar a equipa, sendo 3 deles com grau de licenciaturas e 2 com grau de tcnico profissional, formando um total de 7 tcnicos.
O rcio de Informticos por utilizadores actualmente de aproximadamente 1 tcnicas X 23 utilizadores. O aumento de quadros permitiu ao Gabinete de Informtica maior facilidade na planificao e distribuio das tarefas, assim como no desenvolvimento e implementao de novos projectos.
4.3 Infra-estrutura de Rede

A Assembleia Nacional possui uma Intranet em CAT 6 (UTP) com um backbone a Fibra ptica que garante uma alta taxa de velocidade de transmisso entre os diferentes edifcios do palcio. Todos os postos de servio esto ligados a 100 Mbps. Existem aproximadamente 190 postos de rede instalados em todo o Palcio e 7 pontos de acesso (Access Points) rede sem fios nas diferentes salas de reunies e biblioteca.
A Assembleia Nacional possui um parque informtico com aproximadamente 185 computadoras de mesa e 85 Portteis, cada um, atribudo aos seus respectivos utilizadores cujo perfil esto adequados as suas necessidades especficas (perfil administrador de rede e user com privilegio de administrador do PC).
Todos os computadores de mesa esto configurados no domnio parlamento.cv, que est registado pela Assembleia Nacional de Cabo Verde e que os servidores que respondem pelo mesmo esto instalados no prprio palcio. Existem um total de 7 servidores a funcionarem 24 horas por dia, cuja funes so:
1 DC (Controlador de Domnio Principal) Mail Server (Exchange Server) DC, DNS Server; SuperStor Appliance (Servidor de Backups) Proxy Server (ISA server 2006) WebSense Server (Filtragem de acessos a Internet)
60/113
Outras funes: DNS Server, Radius Server, Antivirus Server, WSUS Server, File Server

2 Servidores DNS externos (DMZ)
Em termos de equipamentos de rede, existem ainda:

12 Switches Cisco Catalyst 2950 2 Switches Cisco Catalyst 2960 com PoE 1 Switches Cisco Catalyst 3750 com PoE (Router, Uplinks, DHCP) 1 Switches Cisco Catalyst 3550 1 Firewall PIX 515E (Servidores) 1 Router Cisco 1800 series (Ligao ao modem NOKIA da CVTelecom para acesso a 1 Router 1751 Series (Este equipamento era utilizado para a ligao rede do Estado) 1 Bridges. 10 Power Design (Alimentao aos Telefones)
Internet)

4.4 Princpios de Segurana da Assembleia Nacional de Cabo Verde

Segundo responsvel pela rea das redes de comunicaes e segurana da informao da ANCV, uma Poltica de Segurana voltada para Instituies deve ser criada de forma a estabelecer regras a serem seguidas por todos os utilizador dos recursos de informtica de maneira que todos sejam envolvidos e conscientizados da importncia da segurana das informaes da Instituio.
Segundo responsvel pela rea das redes de comunicaes e segurana da informao da ANCV para o Parlamento, a segurana est a tornar-se uma prioridade absoluta, dado que as comunicaes e a informao se tornaram um factor essencial no desenvolvimento econmico e social do prprio pas.
A infra-estrutura de rede implementada aproximadamente 5 anos atrs serve actualmente de suporte a todas as Direces de Servios e transportam dados numa escala que ainda h poucos anos era impossvel.
61/113
Inicialmente a rede do Parlamento esteve ligada a Rede do Estado e aproximadamente 3 anos atrs decidiu-se que, o Parlamento como rgo de Soberania, dever ter uma infraestrutura de comunicaes autnoma e com os seu prprios mecanismos de segurana.
Sendo assim, muitos foram os investimentos realizados nestes ltimos anos na implementao de polticas e solues tecnolgicos, com o objectivo de garantir que os recursos de informtica e a informao sejam usados de maneira adequada.
Nessa ptica, a rede da Assembleia Nacional foi redesenhada baseando-se num modelo bsico de rede segura, onde foram implementados 2 Firewall de diferentes tecnologias, criando entre eles uma pequena rede denominada de DMZ.
Figura 8: Desenho da rede implementado no Parlamento Fonte: Assembleia Nacional (2008)
4.5 Politicas de Segurana da Informao Corporativas para (ANCV)

Segundo NBR ISSO/IEC 17799, tem como principal caracterstica descrever controles preventivos, em sua grande maioria, evitando a ocorrncia de incidentes envolvendo as informaes corporativas, visando reduzir o tempo de exposio ao risco, que permitem detectar, de maneira mais rpida e efectiva, eventuais violaes s regras do Sistema. A ISSO 17799 uma das normas utilizadas nas empresas independentemente do seu porte ou sector para segurana da informao, ela foi criada com a inteno de ser um padro flexvel, nunca guiando seus utilizadores a seguirem uma soluo de segurana especfica em prejuzo de outra.
62/113
4.5.1 Politica de Segurana Corporativa

4.5.1.1 Documento da Politica de Segurana da Informao
Na Assembleia Nacional no existe nenhum documento da poltica aprovada pela Administrao, mas h algumas politicas implementadas e medidas de seguranas.
Segundo NBR ISSO/IEC 17799,convm ter um documento da poltica seja aprovado pela Administrao, publicado e comunicado, de forma adequada, para todos os funcionrios, que este expresse as preocupaes da direco e estabelea as linhas-mestras para a gesto da segurana da informao. No mnimo, que satisfaz as seguintes orientaes sejam includas:
Definio de segurana da informao, resumo das metas e escopo e a importncia da segurana como um mecanismo que habilita o compartilhamento da informao;
Declarao do comprometimento da alta direco, apoiando as metas e princpios da segurana da informao;
Breve explanao das polticas, princpios, padres e requisitos de conformidade de importncia especfica para a organizao, por exemplo:
Conformidade com a legislao e clusulas contratuais; Requisitos na educao de segurana; Preveno e deteco de vrus e software maliciosos; Gesto da continuidade do negcio; Consequncias das violaes na poltica de segurana da informao;
Definio das responsabilidades gerais e especficas na gesto da segurana da informao, incluindo o registro dos incidentes de segurana;
63/113
Referncia documentao que possam apoiar a poltica, por exemplo, polticas e procedimentos de segurana mais detalhados de sistemas de informao especficos ou regras de segurana que os usurios sigam.
As polticas devem ser comunicada por toda a organizao para o utilizador na forma que seja relevante, acessvel e compreensvel para o leitor em foco.
4.5.1.2 Analise Crtica da Politica de Segurana da Informao Ainda na ANCV no existe um gestor responsvel para manuteno e anlise crtica, todos os funcionrios que trabalham no departamento Informtico responsveis pelos seus trabalhos.
Segundo NBR ISSO/IEC 17799, a poltica deve ter um gestor que seja responsvel por sua manuteno e anlise crtica, de acordo com um processo de anlise crtica definido e que este processo garanta que a anlise crtica ocorra como decorrncia de qualquer mudana que venha a afectar a avaliao de risco original, tais como um incidente de segurana significativo, novas vulnerabilidades ou mudanas organizacionais ou na infra-estrutura tcnica.
Recomendaria essa poltica a ANCV porque permite fazer as seguintes anlises crticas peridicas:
Efectividade da poltica, demonstrada pelo tipo, volume e impacto dos incidentes de segurana registrados;
Custo e impacto dos controles na eficincia do negcio; Efeitos das mudanas na tecnologia.
64/113
4.5.2 Segurana Organizacional

4.5.2.1 Infra-estrutura da Segurana da Informao
Na Assembleia Nacional esto a pensar em adaptar essa politica porque permite controlar a implementao da segurana da informao. Por isso recomenda-se essa poltica a ANCV.
Segundo NBR ISSO/IEC 17799 tem como objectivo gerenciar a segurana da informao na organizao. Que uma estrutura de gerenciamento seja estabelecida para iniciar e controlar a implementao da segurana da informao dentro da organizao, que fruns apropriados de gerenciamento com liderana da direco sejam estabelecidos para aprovar a poltica de segurana da informao, atribuir as funes da segurana e coordenar a implementao da segurana atravs da organizao.
Se necessrio, convm que uma fonte especializada em segurana da informao seja estabelecida e disponibilizada dentro da organizao, que contactos com especialistas de segurana externos sejam feitos para se manter actualizado com as tendncias do mercado, monitorar normas e mtodos de avaliao, alm de fornecer o principal apoio durante os incidentes de segurana, que um enfoque multidisciplinar na segurana da informao seja incentivado, tais como o envolvimento, cooperao e colaborao de gestores, utilizador, administradores, projectista de aplicaes, auditores, equipes de segurana e especialistas em reas como seguro e gerenciamento de risco. Segundo NBR ISSO/IEC 17799
4.5.3 Classificao e controlo dos activos de Informao

4.5.3.1 Inventrio dos activos de informao
Segundo NBR ISSO/IEC 17799, o inventrio dos activos ajuda a assegurar que as proteces esto sendo feitas de forma efectiva e tambm pode ser requerido para outras finalidades de negcio, como sade e segurana, seguro ou financeira (gerenciamento patrimonial).
Segundo NBR ISSO/IEC 17799 o processo de compilao de um inventrio de activos um aspecto importante no gerenciamento de risco. Uma organizao precisa ser capaz de
65/113
identificar seus activos e seus respectivos valores e importncia. Baseada nesta informao, uma organizao pode ento fornecer nveis de proteco proporcionais ao valor e importncia desses activos. Convm que um inventrio dos principais activos associados com cada sistema de informao seja estruturado e mantido. Que cada activo e seu respectivo proprietrio sejam claramente identificados e a classificao de segurana seja acordada e documentada, juntamente com a sua localizao actual (importante quando se tenta recuperar perdas ou danos). Exemplos de activos associados com sistemas de informao so:
Activos de informao: base de dados e arquivos, documentao de sistema, manuais de utilizador, material de treinamento, procedimentos de suporte ou operao, planos de continuidade, procedimentos de recuperao, informaes armazenadas;
Activos de software: aplicativos, sistemas, ferramentas de desenvolvimento e utilitrios;
Activos fsicos: equipamentos computacionais (processadores, monitores, laptops, modems), equipamentos de comunicao (roteadores, PABXs, fax, secretrias electrnicas), mdia magntica (fitas e discos), outros equipamentos tcnicos (nobreaks, ar-condicionado), moblia, acomodaes;
Servios: computao e servios de comunicao, utilidades gerais, por exemplo aquecimento, iluminao, electricidade, refrigerao.
4.5.3.2 Classificao da Informao Segundo NBR ISSO/IEC 17799, tem como objectivo assegurar que os activos de informao recebam um nvel adequado de proteco.
Que a informao seja classificada para indicar a importncia, a prioridade e o nvel de proteco. A informao possui vrios nveis de sensibilidade e criticidade. Alguns itens podem necessitar um nvel adicional de proteco ou tratamento especial. Tem que ter um sistema de classificao da informao que seja usado para definir um conjunto apropriado de nveis de proteco e determinar a necessidade de medidas especiais de tratamento.
66/113
4.5.3.3 Recomendaes para classificao
Assembleia Nacional de Cabo verde um lugar onde se preocupa bastante com a informao porque circulam informaes confidncias por isso deve ser implementadas seus respectivos controles de proteco levem em considerao as necessidades de negcios para compartilhamento ou restrio de informaes e os respectivos impactos nos negcios como, por exemplo, o acesso no autorizado ou danos informao. Em geral, a classificao dada a uma informao o caminho mais curto para determinar como ela tratada e protegida.
As informaes e resultados de sistemas que processam dados classificados sejam rotulados de acordo com seu valor e sua sensibilidade para a organizao. Tambm pode ser apropriado rotular a informao em termos de crtica, ela para a organizao como, por exemplo, em termos de integridade e disponibilidade. A informao frequentemente deixa de ser sensvel ou crtica aps um certo perodo de tempo, por exemplo quando a informao se torna pblica. Convm que estes aspectos sejam levados em considerao, pois uma classificao super estimada pode levar a custos adicionais desnecessrios. As regras de classificao previnam e alertem para o facto de que um determinado item de informao no tem necessariamente uma classificao fixa, podendo sofrer modificao de acordo com alguma poltica determinada, que cuidados sejam tomados com a quantidade de categorias de classificao e com os benefcios obtidos pelo seu uso. Segundo NBR ISSO/IEC 17799
A responsabilidade pela definio da classificao de um item de informao, tais como um documento, registro de dado, arquivo de dados ou disquete, e a anlise crtica peridica desta classificao fiquem com o autor ou com o proprietrio responsvel pela informao.
4.5.4 Segurana dos Recursos Humanos

4.5.4.1 Segurana de Recursos Humanos e Desempenho de Funes Segundo NBR ISSO/IEC 17799, tem como objectivo reduzir os riscos de erro humano, roubo, fraude ou uso indevido das instalaes. Convm que responsabilidades de segurana sejam atribudas na fase de recrutamento, includas em contratos e monitoradas durante a vigncia de cada contrato de trabalho.
67/113
Convm que candidatos potenciais sejam devidamente analisados, especialmente para trabalhos sensveis, que todos os funcionrios e prestadores de servio, utilizador das instalaes de processamento da informao, assinem um acordo de sigilo.
4.5.4.2 Segurana de Recursos Humanos na ANCV Apesar de existirem algumas polticas de segurana implementado na rede do parlamento, no existe nenhum documento devidamente aprovado, pelo qual os Deputados, Funcionrios e recm contratados devem se orientar, para melhor utilizarem os recursos disponibilizados em rede.
Neste momento est-se a proceder com a definio e implementao de algumas polticas de segurana da informao, usando como fonte a 2 Edio publicada das boas prticas em segurana da informao, que comenta tambm a norma NBR ISSO/IEC 17799.
4.5.4.3 Treinamento dos utilizadores
Segundo NBR ISSO/IEC 17799, o treinamento dos utilizadores tem como objectivo assegurar que os utilizadores esto cientes das ameaas e das preocupaes de segurana da informao e esto equipados para apoiar a poltica de segurana da organizao durante a execuo normal do seu trabalho, que utilizadores sejam treinados nos procedimentos de segurana e no uso correcto das instalaes de processamento da informao, de forma a minimizar possveis riscos de segurana.
Regras implementadas ANCV
Os utilizadores antes de serem enquadrados na ANCV tm que receber formao especfica, na rea em que sero enquadrados assim coma na rea de segurana para que possam estar mais habilitado nas actividades que desempenharo no sistema.
Tem que constar no plano de actividades anual da ANCV o perodo de realizao das formaes, a durao da formao e quem ir para a formao.
68/113
4.5.4.4 Resciso ou Alterao dos Termos de Contratao
ANCV no adaptou essa politica mas faz se algumas recomendaes:
Segundo NBR ISSO/IEC 17799, Convm que os termos e condies de trabalho determinem as responsabilidades dos funcionrios pela segurana da informao. Quando apropriado, que estas responsabilidades continuem por um perodo de tempo definido, aps o trmino do contrato de trabalho, que as aces que podem ser tomadas nos casos de desrespeito ao acordo tambm sejam includas no contrato.
As responsabilidades e direitos legais dos funcionrios, tais como leis de direitos autorias ou de proteco de dados, sejam esclarecidos e includos dentro dos termos e condies de trabalho, que responsabilidade pela classificao e gesto dos dados do empregador tambm sejam includas. Sempre que apropriado, convm que os termos e condies de trabalho determinem se estas responsabilidades so estendidas fora das dependncias da organizao e fora do horrio normal de trabalho como, por exemplo, nos casos de execuo de actividades de trabalho em casa. Segundo NBR ISSO/IEC 17799
4.5.5 Segurana fsica e Ambiental

Segundo NBR ISSO/IEC 17799 O objectivo desta poltica prevenir o acesso no autorizado, dano e interferncia s informaes e instalaes fsicas da organizao. A segurana fsica dos equipamentos de informtica e das informaes da empresa deve ser protegidas de possveis danos, que os recursos e instalaes de processamento de informaes crticas ou sensveis do negcio sejam mantidos em reas seguras, protegidas por um permetro de segurana definido, com barreiras de segurana apropriadas e controle de acesso, que estas reas sejam fisicamente protegidas de acesso no autorizado, dano ou interferncia.
Que a proteco fornecida seja proporcional aos riscos identificados. Polticas de mesa limpa e tela limpa so recomendadas para reduzir o risco de acesso no autorizado ou danos a papis, mdias, recursos e instalaes de processamento de informaes. Segundo NBR ISSO/IEC 17799
69/113
4.5.5.1 Garantir a Segurana das Instalaes na ANCV
O gabinete de informtica est dotado de um sistema de Alarme, cujo cdigo de activao/desactivao somente est no poder dos tcnicos afecto a este departamento.
Todas as janelas da sala dos servidores tem gradeamento e a porta de entrada foi reforada, para impedir qualquer tipo de tentativa de arrombamento.
O acesso a Sala dos Servidores limitado somente ao pessoal devidamente autorizado. Existem agentes de seguranas encarregados de reportar todo e qualquer tentativa de violao a entrada do Gabinete de Informtica.
Vai ser implementado brevemente um sistema de Vdeo vigilncia
4.5.5.2 Segurana de Equipamentos da ANCV O objectivo prevenir perda, dano ou comprometimento dos activos, e a interrupo das actividades do negcio.
Todos os Deputados e Funcionrios tem gabinete prprio, o que garante que somente tem acesso aos PCs o Deputado ou Funcionrio a quem lhe foi atribudo.
Todos os bastidores, onde esto os servidores esto devidamente fechados. Os Servidores existentes so da marca DELL e todos trazem uma proteco para impedir que mesmo que se tenha acesso ao bastidor, no se consiga, por exemplo, desligar um servidor atravs do boto de Power, colocar uma Pen Driver, CD-ROM, etc.
Todos os servidores e equipamentos de rede (Switches, Routers, etc) esto ligados a Central elctrico.
Existem um aparelho de ar acondicionado somente para o espao onde esto instalados os servidores, entretanto vai ser instalado dentro de pouco um aparelho que permita regular a humidade relativa dentro do espao.
A segurana dos equipamentos (PCs, impressoras e outros etc.) da responsabilidade dos utilizadores, pois estes so considerados recursos de trabalho individual ou pessoais; por isso
70/113
estes equipamentos so de utilizao de um nico utilizador, isto , cada computador atribuda a um e s nico utilizador.
Porm, cada utilizador deve ser orientados a zelar pela segurana dos seus equipamentos de trabalho, tais como:
Fazer actualizaes do Windows assim que estes fossem notificados; Que garanta a proteco contra suporte lgico malicioso (Vrus, Trojans e Worms)
Todos os computadores dos postos de servios deveram estar no domnio Parlamento, para que estes possam ter acesso aos recursos de rede e Internet.
4.5.5.3 Manuteno dos equipamentos
A manuteno dos equipamentos informticos (tanto recursos de rede, computadores pessoais e impressoras) dever ser feita para garantir a disponibilidade e integridade:
A manuteno dos recursos de rede deve ser periodicamente (uma vez por trimestre) e realizado pelos tcnicos de comunicao e rede.
Os equipamentos crticos (recursos de rede) no devem estar indisponveis por mais do que uma hora;
Devero ser efectuadas rondas semanais pelas instalaes e servios da ANCV, com o intuito de fazer uma manuteno preventiva;
Os tcnicos de manuteno e suporte devem dar manuteno aos computadores Pessoais sempre que lhes sejam solicitados; A mudana de local de qualquer equipamento informtico dever ser feita somente pelos tcnicos de manuteno e suporte do Gabinete de Informtica;
A ligao entre os equipamentos (PCs e impressoras) ou mesmo configurao dos PCs na rede s dever ser feita pelos tcnicos de manuteno e suporte do Gabinete de Informtica;
71/113
Todas as reparaes devem ser registadas nas fichas individuais de cada equipamento.
4.5.5.4 Politica de fornecimento de energia Na ANCV existe Central elctrico onde os equipamentos esto protegidos contra falhas de energia e outras anomalias na alimentao elctrica. Tem um fornecimento de energia apropriada quando ocorra em acidentes.
Segundo NBR ISSO/IEC 17799 algumas recomendaes para alcanar a continuidade do fornecimento elctrico incluem:
Alimentao mltipla para evitar um nico ponto de falha no fornecimento elctrico; No-break (Uninterruptable Power Supply - UPS); Gerador de reserva.
recomendado o uso de no-break em equipamentos que suportem actividades crticas para permitir o encerramento ordenado ou a continuidade do processamento. Que os planos de contingncia contenham aces a serem tomadas em casos de falha no no-break. Cabe que esse tipo de equipamento seja periodicamente verificado, de forma a garantir que ele esteja com a capacidade adequada, e testado de acordo com as recomendaes do fabricante, tambm que um gerador de reserva seja considerado se o processamento requer continuidade, em caso de uma falha elctrica prolongada. Se instalados, convm que os geradores sejam testados regularmente de acordo com as instrues do fabricante. Convm que um fornecimento adequado de leo esteja disponvel para assegurar que o gerador possa ser utilizado por um perodo prolongado. Segundo NBR ISSO/IEC 17799
Adicionalmente, convm que se tenham interruptores elctricos de emergncia localizados prximo s sadas de emergncia das salas de equipamentos para facilitar o desligamento em caso de emergncia, que iluminao de emergncia esteja disponvel em casos de falha da fonte elctrica primria, que proteco contra relmpagos seja usada em todos os prdios e que filtros de proteco contra raios sejam instalados para todas as linhas de comunicao externas. Segundo NBR ISSO/IEC 17799
72/113
4.5.6 Gesto de Comunicaes e operaes 4.5.6.1 - Procedimentos e Responsabilidades Operacionais

Objectivo garantir a operao segura e correcta dos recursos de processamento da informao. 4.5.6.1.1 - Documentao dos procedimentos de operao
Na ANCV no existe mas convm que os procedimentos de operao identificados pela poltica de segurana sejam documentados e mantidos actualizados, que os procedimentos operacionais sejam tratados como documentos formais e que as mudanas sejam autorizadas pela direco.
Segundo NBR ISSO/IEC 17799 que os procedimentos especifiquem as instrues para a execuo detalhada de cada tarefa, incluindo:
Processamento e tratamento da informao; Requisitos de sincronismo, incluindo interdependncias com outros sistemas, a hora mais cedo de incio e a hora mais tarde de trmino das tarefas;
Instruo para tratamento de erros ou outras condies excepcionais, que possam ocorrer durante a execuo de uma determinada tarefa, incluindo restries de uso dos recursos do sistema
Contacto com os tcnicos do suporte para o caso de eventos operacionais no esperados ou dificuldades tcnicas;
Instrues para movimentao de sadas de produtos especiais, tais como o uso de formulrios especiais ou o tratamento de produtos confidenciais, incluindo procedimentos para a alienao segura de resultados provenientes de rotinas com falhas;
73/113
Procedimento para o reincio e recuperao para o caso de falha do sistema.
4.5.6.1.2 Politicas de Procedimentos da ANCV Procedimentos que ajudaro aos tcnicos de Helpdesk a assegurarem essa consistncia e exactido na prestao de servio como tambm fazer com que os utentes tirem o maior partido das funcionalidades do nosso sistema.
Procedimentos para a satisfao dos pedidos de suporte tcnico por parte dos utentes; Procedimentos para satisfazer um pedido de instalao seja ela de: Software; Consumveis de impressoras, faxes, fotocopiadoras; Outros dispositivos.
Procedimentos para a instalao dos recursos didcticos disponveis nos locais onde carecem o seu uso.
4.5.6.1.3 Procedimentos para a satisfao dos pedidos de suporte tcnico Este tipo de suporte pode ser requerido de 3 formas:
Pedido por meio de requisio em papel ao Gabinete de Informtica; Atravs de telefone atravs das extenses internas 324 e 564. Atravs do e-mail interno
O pedido de suporte tcnico feito no caso de um utente estar com alguma anomalia no equipamento que est afecto ao mesmo ou na rede, como tambm alguma dificuldade de utilizao de um programa, bem como dvidas relacionadas com a utilizao de algum equipamento.
Quando o pedido formal chega ao Gabinete de Informtica passar por um processo de avaliao, em que sero cotados os seguintes pontos:
74/113
Possibilidade de ser resolvido remotamente, utilizando o TeamWiewer; Disponibilidade; Urgncia; Prioridades
4.5.6.1.4 Procedimentos para satisfazer um pedido de instalao
Este tipo de pedido pode ser feito por vrias razes, seja ela para instalao de software, desde o sistema operativo at utilitrios necessrios para as necessidades de cada utente, ou para a substituio de consumveis para impressoras, faxes ou maquinas fotocopiadoras, como tambm de qualquer outro tipo de equipamentos que sejam necessrios instalar ou substituir, como por exemplo ratos danificados, monitores com problemas, impressoras com problemas at mesmo CPUs com dificuldades de processamento.
4.5.6.2 Planeamento e aceitao dos sistemas
Segundo NBR ISSO/IEC 17799 o objectivo minimizar o risco de falhas nos sistemas. O planeamento e a preparao prvios so requeridos para garantir a disponibilidade adequada de capacidade e recursos tambm para que as projeces da demanda de recursos e da carga de mquina futura sejam feitas para reduzir o risco de sobrecarga dos sistemas, que os requisitos operacionais dos novos sistemas sejam estabelecidos, documentados e testados antes da sua aceitao e uso.
ANCV ainda no adoptou essa politica por isso faz -se algumas recomendaes:
Planejamento de capacidade
Segundo NBR ISSO/IEC 17799, que as demandas de capacidade sejam monitoradas e que as projeces de cargas de produo futuras sejam feitas de forma a garantir a disponibilidade da capacidade adequada de processamento e armazenamento. Tambm que essas projeces levem em considerao os requisitos de novos negcios e sistemas e as tendncias actuais e projectadas do processamento de informao da organizao.
75/113
Os computadores de grande porte necessitam de uma ateno particular, devido ao seu maior custo e o tempo necessrio para ampliao de capacidade, que os gestores dos servios desses computadores monitorem a utilizao dos principais recursos destes equipamentos, tais como processadores, memria principal, rea de armazenamento de arquivo, impressoras e outros dispositivos de sada, alm dos sistemas de comunicao. Convm que eles identifiquem as tendncias de utilizao, particularmente em relao s aplicaes do negcio ou das aplicaes de gesto empresarial. Segundo NBR ISSO/IEC 17799
Aceitao de sistemas
Convm que sejam estabelecidos critrios de aceitao de novos sistemas, actualizaes e novas verses e que sejam efectuados testes apropriados dos sistemas antes da sua aceitao. Convm que os gestores garantam que os requisitos e critrios para aceitao de novos sistemas estejam claramente definidos, acordados, documentados e testados. Segundo NBR ISSO/IEC 17799
Segundo NBR ISSO/IEC 17799 recomenda-se que os seguintes controles sejam considerados:
Requisitos de desempenho e de demanda de capacidade computacional; Recuperao de erros, procedimentos de reinicializao e planos de contingncia; Elaborao e teste de procedimentos operacionais para o estabelecimento de padres; Concordncia sobre o conjunto de controles de segurana utilizados; Procedimentos manuais eficazes; Plano de continuidade de negcios, como requerido; Evidncia de que tenha sido considerado o impacto do novo sistema na segurana da organizao como um todo;
Treinamento na operao ou uso de novos sistemas. Para os novos desenvolvimentos principais, convm que os utilizadores e as funes de operao sejam consultados em todos os estgios do processo de desenvolvimento, de forma a garantir a eficincia operacional do projecto proposto e sua adequao s
76/113
necessidades organizacionais, que os devidos testes sejam executados para garantir que todos os critrios de aceitao sejam plenamente satisfeitos.
4.5.6.3 Proteco contra cdigo Malicioso
O objectivo proteger a integridade do software e da informao. necessrio que se adoptem precaues para prevenir e detectar a introduo de software malicioso. Os ambientes de processamento da informao e os softwares so vulnerveis introduo de software malicioso, tais como vrus de computador, cavalos de Tria e outros. Convm que os usurios estejam conscientes sobre os perigos do uso de software sem licena ou malicioso, e os gestores devem, implantar controles especiais para detectar ou prevenir contra sua introduo. Em particular, essencial que sejam tomadas precaues para deteco e preveno de vrus em computadores pessoais. Segundo NBR ISSO/IEC 17799
Na ANCV em todos os postos de trabalho esto instalados antivrus cuja actualizao feita diariamente atravs de um servidor local que procura as actualizaes na Internet. Este antivrus Interprise, com licenciamento, e gerido e monitorado pelos tcnicos da rea de manuteno de forma a poder antecipar a resoluo de possveis problemas causados pelos vrus;
Todos os Computadores em rede recebem constantemente actualizaes Criticas e de Segurana, Patches, etc., atravs de um Servidor de actualizao (Windows Server Update Service V3.0) instalado em rede.
Os utilizadores no tm privilgio de administrao dos seus respectivos computadores, para evitar instalaes de softwares no autorizados. Somente os tcnicos Informticos podem executar esta tarefa.
Algumas recomendaes:
Uma poltica formal exigindo conformidade com as licenas de uso do cdigo e proibindo o uso de software no autorizado.
77/113
Segundo NBR ISSO/IEC 17799 uma poltica formal para proteco contra os riscos associados com a importao de arquivos e software, seja de redes externas ou por qualquer outro meio, indicando quais as medidas preventivas que devem ser adoptadas:
Instalao e actualizao regular de software de deteco e remoo de vrus para o exame de computadores e meios magnticos, tanto de forma preventiva como de forma rotineira;
Anlises crticas regulares de software e dos dados dos sistemas que suportam processos crticos do negcio.
Convm que a presena de qualquer arquivo ou actualizao no autorizada seja formalmente investigada;
Verificao, antes do uso, da existncia de vrus em qualquer arquivo em meio magntico de origem desconhecida ou no autorizada, e em qualquer arquivo recebido a partir de redes no confiveis;
Verificao, antes do uso, da existncia de software malicioso em qualquer arquivo recebido atravs de correio electrnico ou importado (download). Essa avaliao pode ser feita em diversos locais, como, por exemplo, nos servidores de correio electrnico, nos computadores pessoais ou quando da sua entrada na rede da organizao;
Planos de contingncia adequados para a recuperao em caso de ataques por vrus, incluindo os procedimentos necessrios para salva e recuperao dos dados e software
Procedimentos para a verificao de toda informao relacionada a cdigo malicioso e garantia de que os alertas sejam precisos e informativos.
4.5.6.4 Cpia de segurana
Cpias de segurana dos dados e de software essenciais ao negcio sejam feitas regularmente, ainda que recursos e instalaes alternativos sejam disponibilizados de forma a garantir que todos os dados e sistemas aplicativos essenciais ao negcio possam ser recuperados aps um desastre ou problemas em mdias, que sejam testados regularmente os backups de sistemas individuais, de maneira a garantir que satisfaam os requisitos dos planos de continuidade de negcios. Segundo NBR ISSO/IEC 17799
78/113
NA ANCV feita da seguinte maneira:
O Backup de todas os Servidores, ou seja o sistema todo feito diariamente em 2 lugares diferentes.
No Servidor denominado de Superstor Apllinace (NAS) com uma capacidade de armazenamento de 4 TB, suportado sobre o sistema operativo Linux e gerido atravs de uma consola web (se encontra no outro edifcio, ligado a edifcio central a fibra ptica)
Em 2 discos duros externos de 1TB cada, sendo que este backup denominado de Backup Off-line.
Isto da a possibilidade de ter em pelo menos 3 lugares diferentes os mesmos dados, o que diminui o risco de perda total em caso de danificao dos servidores.
No se utiliza o sistema de gravao em Tapes, entretanto esta possibilidade no est descartada, j que brevemente ir ser implementado um Data Center onde s ir reconsiderar todos estes aspectos.
Alguns servidores importantes, como mail-server, os servidores de aplicaes e de base de dados passaram a estar em sistema Cluster, para evitar paragem em caso de dados.
O Backup parece ser algo desnecessrio, porque as probabilidades de que um computador ou o sistema no seu todo, simplesmente venham a falhar de uma hora para outra, sem qualquer aviso, so poucas.
Entretanto, quando existem servios sobre uma rede e os dados da organizao so de elevada importncia, como no caso da ANCV, os mesmos devem ser salvaguardados, porque os riscos so enormes e o pior que a recuperao dos mesmos em caso de perda um processo complicado, lento, caro e em alguns casos impossvel.
79/113
Para uma instituio como a Assembleia Nacional de Cabo Verde, crucial garantir que os sistemas de suporte, sejam eles de servios de Correio Electrnico ou de Armazenamento de Dados, possam ser recuperados em caso de desastre ou falhas de funcionamento num perodo de tempo considerado adequado, que permita garantir a funcionalidade da instituio.
A implementao deste tipo de soluo se revelou como crtico para a ANCV, pois constitui um seguro sobre todas as actividades realizadas, no s na recolha e no processamento de informao como tambm nas configuraes realizadas e optimizadas no mbito da implementao das diferentes solues tecnolgicas.
Sendo assim, foi implementado um sistema que permite repor o sistema:
Em minutos e no horas ou dias. Para hardware diferente. Para locais remotos Para ambientes virtuais Sempre com fiabilidade
Symantec Exec System Backup and Recovery
80/113
Segundo NBR ISSO/IEC 17799 algumas recomendaes:
Convm que um nvel mnimo de cpias de segurana, juntamente com o controle consistente e actualizado dessas cpias e com a documentao dos procedimentos de recuperao, seja mantido em local remoto a uma distncia suficiente para livr-los de qualquer dano que possa ocorrer na instalao principal.
Que seja dado s cpias de segurana um nvel adequado de proteco fsica e ambiental, compatvel com os padres utilizados no ambiente principal, que os controles adoptados para as mdias no ambiente principal sejam estendidos para o ambiente de backup.
As mdias utilizadas para cpias sejam periodicamente testadas, quando possvel, de modo a garantir sua confiabilidade, quando necessrio.
Que os procedimentos de recuperao sejam verificados e testados periodicamente para assegurar que sejam efectivos e que possam ser aplicados integralmente dentro dos prazos colocados para estes procedimentos operacionais de recuperao.
4.5.6.5 Controlo de Rede necessria a utilizao de um conjunto de controles, de forma a obter e preservar a segurana nas redes de computadores, que os gestores implementem controles para garantir a segurana de dados nas redes, assim como a proteco dos servios disponibilizados contra acessos no autorizados.
Na ANCV todas as polticas de acesso a Internet definido no WebSense, software lder do mercado em filtragem de acesso a Internet, que permite realizar uma monitorizao de forma perminorizada sobre todas as tentativas de acesso Internet e bloquear ou restringir o acesso a um utilizador, a um grupo de utilizadores ou a um site determinada, assim como a um grupo de sites determinados
81/113
Regras Gerais:
No so permitidas tentativas de obter acesso no autorizado, tais como tentativas de fraude, autenticao de utilizador ou segurana de qualquer servidor, rede ou conta. Isso inclui acesso aos dados no disponveis para o utilizador, conectar-se a servidor ou conta cujo acesso no seja expressamente autorizado ao utilizador ou colocar prova a segurana de outras redes;
Antes de ausentar-se do seu local de trabalho, o utilizador dever fechar todos os programas em uso, evitando, desta maneira, o acesso por pessoas no autorizadas, se possvel efectuar o logout/logoff da rede ou bloqueio do computador atravs de senha;
A instalao de software de comunicao instantnea s deve ser autorizado e instalado pelos tcnicos da Gabinete de Informtica;
O usurio deve fazer manuteno no directrio pessoal, evitando acmulo de arquivos desnecessrios;
Jogos ou qualquer tipo de software/aplicativo no pode ser gravado ou instalado no directrio pessoal do utilizador, no computador local e em qualquer outro directrio da rede, podem ser utilizados apenas os softwares previamente instalados no computador;
Segundo NBR ISSO/IEC 17799 particularmente, recomenda-se que os seguintes itens sejam considerados:
Convm que a responsabilidade operacional sobre a rede seja segregada da operao dos computadores, onde for apropriado.
Que sejam estabelecidos procedimentos e responsabilidades para o gerenciamento de equipamentos remotos, incluindo equipamentos nas instalaes dos utilizador.
Quando necessrio, convm que sejam estabelecidos controles especiais para salvaguardar a confidencialidade e a integridade dos dados que trafegam por redes pblicas, e para proteger os respectivos sistemas.
Convm que as actividades de gerenciamento sejam cuidadosamente coordenadas, de forma a optimizarem o servio prestado e garantirem que os controles utilizados sejam
82/113
aplicados de forma consistente por toda a infra-estrutura de processamento da informao.
4.5.7 Controlo de Acesso Informao

4.5.7.1 Requisitos do negcio para controle de acesso
Tem com objectivo controlar o acesso informao, que o acesso informao e processos do negcio seja controlado na base dos requisitos de segurana e do Negcio. Segundo NBR ISSO/IEC 17799
4.5.7.2 Requisitos do negcio para poltica controle de acesso
Convm que os requisitos do negcio para controle de acesso sejam definidos e documentados. Que as regras de controle de acesso e direitos para cada utilizador ou grupo de utilizadores estejam claramente estabelecidas no documento da poltica de controle de acesso, que seja dado aos utilizadores e provedores de servio um documento contendo claramente os controles de acesso que satisfaam os requisitos do negcio. Segundo NBR ISSO/IEC 17799
Segundo NBR ISSO/IEC 17799 recomenda-se que a poltica leve em conta o seguinte:
Requisitos de segurana de aplicaes especficas do negcio; Identificao de toda informao referente s aplicaes do negcio; Polticas para autorizao e distribuio de informao, por exemplo a necessidade de conhecer os princpios e nveis de segurana, bem como a classificao da informao;
Compatibilidade entre o controle de acesso e as polticas de classificao da informao dos diferentes sistemas e redes;
Legislao vigente e qualquer obrigao contratual considerando a proteco do acesso a dados ou servios;
Perfil de acesso de utilizador-padro para categorias de trabalho comuns;
83/113
Gerenciamento dos direitos de acesso em todos os tipos de conexes disponveis em um ambiente distribudo e conectado em rede.
Existem reas que merecem maior ateno quanto ao controle da entrada de pessoas, estas reas so departamentos que contm informaes ou equipamentos que devem ser protegidos, como por exemplo: sala de servidores, departamentos como financeiro, sector de documentao, departamento de recursos humanos, sala de coordenadores e directores, entre outras.
Convm que estas reas sejam protegidas por controles de entrada apropriados para assegurar que apenas pessoas autorizadas tenham acesso liberado. Instalaes desenvolvidas para fins especiais que abrigam equipamentos importantes exigem maior proteco que o nvel normalmente oferecido. As instalaes da equipe de TI devem ser localizadas e construdas buscando minimizar: acesso pblico directo, riscos ao fornecimento de energia e servios de telecomunicaes. Segundo NBR ISSO/IEC 17799
Acesso Informao
O acesso e o uso de qualquer informao da Empresa, pelo utilizador, deve se restringir ao necessrio para o desempenho de suas actividades profissionais no mbito da ANCV.
Regras definidos pelo Parlamento para o controlo de acesso:
Departamento que tratem com informaes confidenciais, o acesso deve ser permitido somente para pessoas autorizadas.
Se acontecer a perda de chaves de departamentos ou laboratrios a coordenao responsvel deve ser informada imediatamente para que possa providenciar a troca da fechadura e de outras cpias da chave perdida.
4.5.7.3 Regras de controle de acesso
Segundo NBR ISSO/IEC 17799 na especificao de regras para controlo de acesso, deve ter alguns cuidados sejam considerados:
84/113
Diferenciao entre as regras que sempre devem ser cumpridas das regras opcionais ou condicionais;
Estabelecimento de regras baseadas na premissa Tudo deve ser proibido a menos que expressamente permitido, ao invs da regra Tudo permitido a menos que expressamente proibido;
Modificaes nos rtulos de informao que so atribudos automaticamente pelos recursos de processamento de dados e dos atribudos a critrio de um utilizador;
Modificaes nas permisses de utilizador que so atribudas automaticamente por um sistema de informao daquelas atribudas por um administrador;
Diferenciao entre regras que requerem aprovao do administrador ou outro funcionrio antes da liberao e aquelas que no necessitam de tal aprovao.
4.5.7.4 Gesto dos acessos dos utilizadores
Segundo NBR ISSO/IEC 17799, tem como objectivo prevenir acessos no autorizados aos sistemas de informao. Que procedimentos formais sejam estabelecidos para controlar a concesso de direitos de acesso aos sistemas de informao e servios, que os procedimentos cubram todos os estgios do ciclo de vida de acesso de um utilizador, do registro inicial de novos utilizador at o registro final de excluso dos utilizador que no mais necessitam ter acesso aos sistemas de informao e servios.
Acesso a rede com fio
O Acesso a rede com fio da ANCV garantida mediante autentificao do utilizador no sistema atravs de nome de utilizador e password, o que pressupe que todos os postos de trabalhos devem estar no domnio do parlamento de forma que estes podero ter acesso aos recursos de rede e todos os utilizados devem ter contas de utilizador no sistema.
No permitido o acesso rede de computadores pessoais de particulares, salvo com a divida autorizao e permisso dos Tcnicos de Comunicao e segurana do Gabinete de Informtica da ANCV. Pois, mesmo que estes fossem conectar aos pontos de rede sem
85/113
autorizaes e adquirisse endereo de rede no teriam acesso aos recursos de rede do Parlamento e nem Internet, por conta das polticas implementadas.
Acesso a Redes sem fios Wireless
O acesso a rede Wireless baseado em autenticao 802.1x e fornecido de duas formas:
Colaboradores da ANCV (certificado Digital)
Para acesso dos colaboradores da ANCV rede Wireless usado um sistema de autenticao forte, baseado na utilizao de Certificados Digitais associado a um Username e Password.
Somente os utilizadores existentes no domnio podem requisitar certificados. Os perfis dos colaboradores devem pertencer ao SSID (Service Set IDentifier) apropriado para esta rede.
Convidados
Aos convidados (jornalistas, pessoal do Governo e outros), que somente tero acesso a Internet, lhes ser atribudo um username e uma password temporrio, para se puderem autenticar;
O nome de utilizador, principalmente a password deve ser alterada no fim de cada sesso.
Todos os convidados devem ser bem identificados afim de obter a autorizao e permisso de acesso a rede.
O perfil convidado deve pertencer ao SSDI Guest.
86/113
Poltica de Segurana da Informao o
Servidor de radius
O processo de autorizao de acesso a um utilizador e realizado pelo servidor de radius que est interligado com o domnio Parlamento.cv e permite a autenticao no acesso a rede wireless, no acesso VPN e no acesso ao equipamento que suportam a infra-estrutura.
Para que as politicas seja associadas aos utilizadores deve se escolher a seguinte opo nas contas dos utilizadores.
Control Access through remote Acess policy
Certificado Digital
A certificao digital tem trazido inmeros benefcios para os cidados e para as instituies que a adoptam. Com a certificao digital possvel utilizar a Internet como meio de
87/113
comunicao alternativo para a disponibilizao de diversos servios com uma maior agilidade, facilidade de acesso e substancial reduo de custos.
A ANCV utiliza esta ferramenta, associado ao username e uma password, para garantir maior segurana no acesso da rede sem fio e do acesso a rede VPN.
VPN
Tendo em conta a agenda do ano parlamentar, onde os Deputados se deslocam constantemente aos crculos eleitorais e por vezes necessitam de aceder ao ambiente de trabalho do Parlamento, criou-se uma rede privada (VPN).
O acesso esta rede permitido somente a utilizadores cuja conta existe no domnio parlamento.cv e tenham tambm nos seus computadores instalado o certificado digital correspondente a sua conta.
A autorizao feita pelo servidor Radius, sendo que, mesmo que um colaborador tenha um username e uma password no sistema e tenha instalado um certificado digital no seu computador, dever cumprir com outras polticas definidos no sistema especificamente para este tipo de acesso.
4.5.7.5 Gerenciamento de Password dos Utilizadores
Segundo NBR ISSO/IEC 17799, password so um meio comum de validao da identidade do utilizador para obteno de acesso a um sistema de informao ou servio cabe a concesso de senhas que seja controlada atravs de um processo de gerenciamento formal, que recomenda-se que considere o seguinte:
Garantir, onde os utilizadores necessitam manter suas prprias password, que esto sendo fornecidas password iniciais seguras e temporrias, o que obriga o utilizador a alter-la imediatamente. Convm que o fornecimento de password temporrias para o caso de os utilizador esquecerem sua password seja efectuado somente aps a sua identificao positiva;
88/113
Requerer que password temporrias sejam dadas aos utilizador de forma segura, que o uso de prestadores de servio ou de mensagens de correio electrnico desprotegidas seja evitado.
4.5.7.5.1 Politica de Password As Password so utilizadas pela grande maioria dos sistemas de autenticao e so consideradas necessrias como meio de autenticao. Porm, elas so consideradas perigosas, pois dependem do utilizador, que podem, por exemplo escolher password intuitivas e fceis de serem descobertas, ou ainda compartilha-las com seus amigos. Existem profissionais com dificuldades de memorizarem vrias senhas de acesso e outros funcionrios displicentes que anotam a senha sob o teclado no fundo das gavetas e inclusive em alguns casos mais graves o colaborador anota a senha no monitor. Segundo NBR ISSO/IEC 17799
Na ANCV a conta do utilizador bloqueada aps 3 tentativas de acesso sem sucesso e o utilizador notificado sobre a ocorrncia.
Poltica definida no sistema, todas as password tem um tempo de vida de 45 dias, ou seja, todos os utilizadores deveram alterar as suas password a cada 90 dias e ela dever ter no mnimo 8 caracteres.
Tudo que for executado com as credencias de um utilizador de rede de inteira responsabilidade do utilizador e por isso, se aconselha que:
Mantenha a password confidencial; No utilizar palavras de dicionrios nem utilize o nome do utilizador; No utilize informaes pessoais fceis de serem obtidas, Misture caracteres maisculos e minsculos, nmeros, letras e caracteres especiais; No utilize o primeiro nome, o nome do meio ou o sobrenome, ou nomes de pessoas prximas, como da esposa(o), dos filhos, de amigos;
89/113
No registar em papel nenhuma password, a no ser que este possa ser guardado em segurana (num cofre) ou em outros meios de registro de fcil acesso;
No construir password a partir de nomes de familiares, nmeros de telefone, datas de nascimento.
4.5.7.6 Controlo de acesso ao sistema operacional
Objectivo: Prevenir acesso no autorizado ao computador. Recomendo essa poltica a ANCV porque permite que as funcionalidades de segurana do sistema operacional sejam usadas para restringir o acesso aos recursos computacionais. Essas funcionalidades permitam:
Identificao e verificao da identidade e, se necessrio, do terminal e da localizao de cada utilizador autorizado;
Registro dos sucessos e das falhas de acesso ao sistema; Fornecimento de meios apropriados para a autenticao; se um sistema de gerenciamento de password for usado, convm que ele garanta password de qualidade
Restrio do tempo de conexo dos utilizador, quando apropriado;
O Acesso a utilitrios, como editores, compiladores, softwares de manuteno, monitorizao limitado, j que ests ferramentas podem ser usados para alterar aplicativos, arquivos de dados de configurao do sistema operacional
4.5.7.7 Controlo de acesso s aplicaes. ANCV no Adoptou essa politica mas pensa em adoptar.
Segundo NBR ISSO/IEC 17799 recomenda-se a essa politica porque tem como objectivo prevenir acesso no autorizado informao contida nos sistemas de informao, os recursos
90/113
de segurana sejam utilizados para restringir o acesso aos sistemas de aplicao, que o acesso lgico a software e informao seja restrito a utilizador autorizados. Convm que os sistemas de aplicao:
Controlem o acesso dos utilizadores informao e s funes dos sistemas de aplicao, de acordo com uma poltica definida de controle de acesso do negcio;
Proporcionem proteco contra acesso no autorizado para qualquer software utilitrio e de sistema operacional que seja capaz de sobrepor os controles das aplicaes ou do sistema;
No comprometam a segurana de outros sistemas com os quais os recursos de informao so compartilhados;
Sejam capazes de dar acesso informao apenas ao seu proprietrio, a outros indivduos nominalmente autorizados ou a determinados grupos de utilizadores.
4.5.7.8 Monitorao do uso e acesso ao sistema
Segundo NBR ISSO/IEC 17799, objectivo: descobrir actividades no autorizadas. Convm que os sistemas sejam monitoradas para detectar divergncias entre a poltica de controle de acesso e os registros de eventos monitoradas, fornecendo evidncias no caso de incidentes de segurana. A Monitorao do sistema permite que sejam verificadas a efectividade dos controles adoptados e a conformidade com o modelo de poltica de acesso.
Algumas recomendaes a ANCV:
Registro (log) de eventos
Segundo NBR ISSO/IEC 17799, convm que trilhas de auditoria registrando as excepes e outros eventos de segurana relevantes sejam produzidas e mantidas por um perodo de tempo acordado para auxiliar em investigaes futuras e na monitorao do controle de acesso, que os registros (log) de auditoria tambm incluam:
Identificao dos utilizadores;

91/113
Datas e horrios de entrada (log-on) e sada (log-off) no sistema; Identidade do terminal ou, quando possvel, a sua localizao; Registros das tentativas de acesso ao sistema aceitas e rejeitadas; Registros das tentativas de acesso a outros recursos e dados aceitas e rejeitadas.
4.5.7.9 Monitorao do uso do sistema
Procedimentos e reas de risco
Segundo NBR ISSO/IEC 17799, convm que sejam estabelecidos procedimentos para a monitorao do uso dos recursos de processamento da informao. Tais procedimentos so necessrios para garantir que os utilizadores esto executando apenas as actividades para as quais eles foram explicitamente autorizados, que o nvel de monitorao requerido para os recursos individuais seja determinado atravs de uma avaliao de risco. As reas que devem ser consideradas incluem:
Acessos autorizados, incluindo detalhes do tipo:
A identificao (ID) do utilizador; A data e o horrio dos eventos-chave; Tipo do evento; Os arquivos cujo acesso foi obtido; Os programas ou utilitrios utilizados;
Todas as operaes privilegiadas, tais como:
Utilizao de conta de supervisor; Inicializao e finalizao do sistema; A conexo e a desconexo de dispositivos de entrada e sada; 92/113
Tentativas de acesso no autorizado, tais como:
Tentativas que falharam; Violao da poltica de acesso e notificaes para gateways e firewalls da rede; Alertas dos sistemas proprietrios de deteco de intruso;
Alertas e falhas do sistema, tais como:
Alertas ou mensagens do console; Registro das excepes do sistema;
Alarmes do gerenciamento da rede.
4.5.8 Aquisio, Desenvolvimento e Manuteno de Sistemas de Informao

Na ANCV o departamento de informtica tem desenvolvido algumas aplicaes, como por exemplo aplicao para gesto de Stock no Armazm, a base de dados para consulta e requisio de livros existentes na biblioteca, A Base dados do processo Legislativo, Aplicao para controlar a manuteno dos equipamentos, etc.
Requisitos de segurana de sistemas
Segundo NBR ISSO/IEC 17799, objectivo garantir que a segurana seja parte integrante dos sistemas de informao.
Segundo NBR ISSO/IEC 17799,isto incluir infra-estrutura, aplicaes do negcio e aplicaes desenvolvidas pelo utilizador. O projecto e a implementao dos processos do negcio que do suporte s aplicaes e aos servios podem ser cruciais para segurana. Convm que requisitos de segurana sejam identificados e acordados antes do desenvolvimento dos sistemas de informao, que todos os requisitos de segurana, incluindo a necessidade de acordos de contingncia, sejam identificados na fase de levantamento de
93/113
requisitos de um projecto e justificados, acordados e documentados como parte do estudo de caso de um negcio para um sistema de informao.
Entretanto, o parlamento continua a apostar na tercerizao dos servios e tem sido contratados vrias empresas para implementar solues adquiridas e outras que so desenvolvidas pelas prprias empresas como o caso do novo Site do Parlamento.
Algumas recomendaes a ANCV:
Segurana nos sistemas de aplicao
Segundo NBR ISSO/IEC 17799, objectivo prevenir perda, modificao ou uso imprprio de dados do utilizador nos sistemas de aplicaes. Convm que os controles apropriados e trilhas de auditoria ou registro de actividades sejam previstos para os sistemas de aplicao, incluindo aplicaes escritas pelo utilizador, que estes incluam a validao dos dados de entrada, processamento interno e dados de sada.
Validao de dados de entrada
Segundo NBR ISSO/IEC 17799, todos os dados de entrada dos sistemas de aplicao sejam validados para garantir que esto correctos e que so apropriados, que validaes sejam aplicadas na entrada das transaces de negcio, nos dados permanentes (nomes e endereos, limites de crdito, nmeros de referncia de clientes) e nas tabelas de parmetros (preos de venda, razo de converso de moeda, taxas de impostos). Recomenda-se que os seguintes controlos sejam considerados:
Dupla entrada ou outra forma de checagem de entrada para deteco dos seguintes erros:
Valores fora dos limites aceitveis; Caracteres invlidos nos campos de dados; Dados ausentes ou incompletos;
94/113
Dados excedendo os volumes mximos e mnimos; Controle de dados no autorizados ou inconsistentes;
Anlise crtica peridica do contedo dos campos-chave ou arquivos de dados para confirmar a sua validade e integridade;
Inspeco de cpias de documentos de entrada de dados para qualquer modificao no autorizada aos dados de entrada (qualquer modificao dos documentos de entrada de dados deve ser explicitamente autorizada);
Procedimentos de resposta validao de erros; Definio de responsabilidades de todo pessoal envolvido no processo de entrada de dados.
4.5.8.1 Controlos de criptografia Objectivo: Proteger a confidencialidade, autenticidade ou integridade das informaes. Convm que tcnicas e sistemas criptogrficos sejam usados para a proteco das informaes que so consideradas de risco e que para as quais outros controles no fornecem proteco adequada. Segundo NBR ISSO/IEC 17799
Poltica para o uso de controles de criptografia
Segundo NBR ISSO/IEC 17799, A tomada de deciso sobre o quo adequada uma soluo criptogrfica seja vista como parte de um processo mais amplo de avaliao de riscos e seleco de controles. Convm que uma avaliao de riscos seja executada para determinar o nvel de proteco que deve ser dado informao. Esta avaliao pode ento ser usada para determinar se um controle criptogrfico apropriado, que tipo de controle deve ser aplicado e para que propsito e processos do negcio.
Segundo NBR ISSO/IEC 17799, uma organizao desenvolva uma poltica do uso de controles de criptografia para a proteco das suas informaes. Tal poltica necessria para se maximizar os benefcios e minimizar os riscos da utilizao das tcnicas criptogrficas e
95/113
para se evitar o uso imprprio ou incorrecto. Quando do desenvolvimento de uma poltica, recomenda-se o seguinte:
Enfoque da direco frente ao uso dos controles de criptografia atravs da organizao, incluindo os princpios gerais sob os quais as informaes do negcio devem ser protegidas;
Enfoque utilizado para o gerenciamento de chaves, incluindo mtodos para tratar a recuperao de informaes criptografadas em casos de chaves perdidas, expostas ou danificadas;
Regras e responsabilidades, por exemplo quem responsvel por:

Implementao da poltica; Gerenciamento das chaves; Como deve ser determinado o nvel apropriado de proteco criptogrfica; As normas a serem adoptadas para a efectiva implementao atravs da organizao
Actualmente a ANCV utiliza um dos mtodos da Criptografia para garantir a troca de informao que o Certifido Digital, mas poderia utilizar outros mecanismos da criptografia como a Criptografia Simtrica, a Criptografia Assimtrica e nomeadamente a Assinatura Digital que garanta a autenticidade dos documentos digitais, garantindo ao destinatrio de uma mensagem digital a identidade do remetente e a integridade da mensagem.
No obstante, para o domnio pblico (Internet) o Parlamento ainda no possui a sua prova de identidade Certificado Digital. Assim sendo, a ANCV deve adquirir de uma entidade Certificadora (Certificate Authority), neste caso a ANAC, o seu Certificado Digital para se identificar para o mundo.
4.5.8.2 Sistemas de Deteco de Intruso (IDS Intrusion Detection Systems) So sistemas podem actuar de duas forma, somente alertar as tentativas de invaso, como tambm em forma reactiva, aplicando aces necessrias contra o ataque.
96/113
Como meio de deteco de tentativas de acesso indevido a rede da ANCV, alm de verificar periodicamente o trfego no Firewall e o acesso a rede atravs deste e de verificar o stateful dos pacotes que passa pela ISA, a ANCV dever utilizar outros aplicaes que lhe permitir identificar potenciais intrusos a sua rede.
4.5.9 Gesto da continuidade do negocio

Na ANCV no existe ainda essa politica mas futuramente pensam em implementar a uma Data Center e NAC Cisco Network Admission Control que permite que apenas dispositivos em conformidade ou confiveis possam aceder rede, restringindo o acesso a dispositivos em no conformidade e limitando, portanto, o potencial dano causado por ameaas no controlveis ou no identificados. O NAC oferecer a ANCV, um sofisticado e flexvel mtodo de impedir acessos no autorizados e ao mesmo tempo, ir fortalecer e blindar a sua rede e sistemas contra as ameaas de segurana.
4.5.9.1 Aspectos da gesto da continuidade do negcio
Segundo NBR ISSO/IEC 17799, objectivo no permitir a interrupo das actividades do negcio e proteger os processos crticos contra efeitos de falhas ou desastres significativos. Que o processo de gesto da continuidade seja implementado para reduzir, para um nvel aceitvel, a interrupo causada por desastres ou falhas da segurana (que pode ser resultante de, por exemplo, desastres naturais, acidentes, falhas de equipamentos e aces intencionais) atravs da combinao de aces de preveno e recuperao.
importante que as consequncias de desastres, falhas de segurana e perda de servios sejam analisadas. Recomenda- se que os planos de contingncia sejam desenvolvidos e implementados para garantir que os processos do negcio possam ser recuperados dentro da requerida escala de tempo. importante que tais planos sejam mantidos e testados de forma a se tornarem parte integrante de todos os outros processos gerenciada. Segundo NBR ISSO/IEC 17799
97/113
importante que a gesto da continuidade do negcio inclua controles para a identificao e reduo de riscos, a limitao das consequncias dos danos do incidente e a garantia da recuperao tempestiva das operaes vitais. Segundo NBR ISSO/IEC 17799
Documentando e implementando planos de continuidade
Os planos sejam desenvolvidos para a manuteno ou recuperao das operaes do negcio, aps a ocorrncia de interrupes ou falhas dos processos crticos. Recomenda-se que o processo de planejamento da continuidade do negcio considere os seguintes itens:
Identificao e concordncia de todas as responsabilidades e procedimentos de emergncia;
Implementao dos procedimentos de emergncia que permitam a recuperao e restaurao nos prazos necessrios. Ateno especial deve ser dada avaliao de dependncias externas ao negcio e de contratos existente;
Documentao dos processos e procedimentos acordados; Treinamento adequado do pessoal nos procedimentos e processos de emergncia definidos, incluindo o gerenciamento e crise;
Teste e actualizao dos planos. Convm que o processo de planejamento foque os objectivos requeridos do negcio, por exemplo recuperao de determinados servios especficos para os clientes, em um perodo de tempo aceitvel.
4.5.10 Conformidade
No utilizada na ANCV mas faz se algumas recomendaes: 4.5.10.1 Conformidade com requisitos legais Segundo NBR ISSO/IEC 17799, objectivo evitar violao de qualquer lei criminal ou civil, estatutos, regulamentaes ou obrigaes contratuais e de quaisquer requisitos de segurana.
98/113
O projecto, a operao, o uso e a gesto de sistemas de informao podem estar sujeitos a requisitos de segurana contratuais, regulamentares ou estatutrios.
Que consultoria em requisitos legais especficos seja procurada em organizaes de consultoria jurdica ou em profissionais liberais, adequadamente qualificados nos aspectos legais. Os requisitos legislativos variam de pas para pas e tambm para a informao criada em um pas e transmitida para outro. Segundo NBR ISSO/IEC 17799
4.5.10.2 Direitos de propriedade intelectual
Direitos autorias
Segundo NBR ISSO/IEC 17799, convm que procedimentos apropriados sejam implementados para garantir a conformidade com as restries legais no uso de material de acordo com leis de propriedade intelectual, como as de direitos autorias, patentes ou marcas registradas.
A violao dos direitos autorias pode levar a uma aco legal envolvendo processos criminais. Legislao, regulamentao e clusulas contratuais podem estabelecer restries para cpia de material que tenha direitos autorias. Em particular, pode ser requerido que somente material que seja desenvolvido pela organizao ou que foi licenciado ou fornecido pelos desenvolvedores para a organizao seja utilizado. Segundo NBR ISSO/IEC 17799
Direitos autorias de software
Produtos de software proprietrios so normalmente fornecidos sob um contrato de licenciamento que restringe o uso dos produtos em mquinas especificadas e que pode limitar a cpia apenas para criao de uma cpia de segurana. Segundo NBR ISSO/IEC 17799
99/113
Segundo NBR ISSO/IEC 17799 Convm que os seguintes controles sejam considerados:
Divulgar uma poltica de conformidade com os direitos autorias de software que defina o uso legal de produtos de software e de informao;
Emitir padres para procedimentos de aquisio de produtos de software; Manter ateno sobre a poltica de aquisio e de direitos autorias de software e notificar a inteno de tomar aces disciplinares contra colaboradores que violarem essas polticas;
Manter adequadamente os registros de activos; Manter provas e evidncias da propriedade de licenas, discos-mestres, manuais, etc. Implementar controles para assegurar que o nmero mximo de usurios permitidos no excede o nmero de licenas adquiridas;
Conduzir verificaes para que somente produtos de software autorizados e licenciados sejam instalados;
Estabelecer poltica para a manuteno das condies adequadas de licenas; Estabelecer uma poltica para disposio ou transferncia de software para outros; Utilizar ferramentas de auditoria apropriadas; Cumprir termos e condies para software e informao obtidos a partir de redes pblicas.
Salvaguarda de registros organizacionais
Os registros importantes de uma organizao sejam protegidos contra perda, destruio e falsificao. Alguns registros podem precisar ser retidos de forma segura para atender a requisitos estatutrios ou regulamentaes, assim como para apoiar as actividades essenciais do negcio. Exemplo disso so os registros que podem ser exigidos como evidncia de que uma organizao opera de acordo com as regras estatutrias e regulamentares, ou que podem assegurar a defesa adequada contra potenciais processos civis ou criminais ou confirmar a situao financeira de uma organizao perante aos accionistas, parceiros e auditores. Segundo NBR ISSO/IEC 17799
100/113
Convm que registros sejam categorizados em tipos de registros, tais como registros contveis, registros de base de dados, registros de transaces, registros de auditoria e procedimentos operacionais, cada qual com detalhes do perodo de reteno e do tipo de mdia de armazenamento, como, por exemplo, papel, microficha, meio magntico ou ptico. Convm que quaisquer chaves de criptografia relacionadas com arquivos cifrados ou assinaturas digitais sejam mantidas de forma segura e tornadas disponveis para as pessoas autorizadas quando necessrio. Segundo NBR ISSO/IEC 17799
Ainda que sistemas de armazenamento de dados sejam escolhidos de modo que o dado solicitado possa ser recuperado de forma aceitvel pelo tribunal de justia, como, por exemplo, todos os registros solicitados possam ser recuperados nos prazos e nos formatos aceitveis, que o sistema de armazenamento e tratamento assegure a clara identificao dos registros e dos seus perodos de reteno estatutrios e regulamentares, que seja permitida a destruio apropriada dos registros aps esse perodo, caso no sejam mais necessrios organizao. Segundo NBR ISSO/IEC 17799
Segundo NBR ISSO/IEC 17799, para atender a estas obrigaes, convm que os seguintes passos sejam tomados dentro da organizao:
Emitir directrizes gerais para reteno, armazenamento, tratamento e disposio de registros e informaes.
Elaborar uma programao para reteno, identificando os tipos de registro essenciais e o perodo que cada um deve ser mantido.
Manter um inventrio das fontes de informaes-chave. Implementar controles apropriados para proteger registros e informaes essenciais de perda, destruio e falsificao.
4.5.10.3 Conformidade com a Politica e Normas se Segurana
Objectivo: Garantir conformidade dos sistemas com as polticas e normas organizacionais de segurana. Segundo NBR ISSO/IEC 17799
101/113
Convm que a segurana dos sistemas de informao seja analisada criticamente a intervalos regulares, que tais anlises crticas sejam executadas com base nas polticas de segurana apropriadas e que as plataformas tcnicas e sistemas de informao sejam auditados na conformidade com as normas de segurana implementadas. Segundo NBR ISSO/IEC 17799
Conformidade com a poltica de segurana
Segundo NBR ISSO/IEC 17799, que gestores garantam que todos os procedimentos de segurana dentro da sua rea de responsabilidade esto sendo executados correctamente. Adicionalmente, convm que todas as reas dentro da organizao sejam consideradas na anlise crtica peridica, para garantir a conformidade com as normas e polticas de segurana. Convm que isto inclua o seguinte:
Sistemas de informao; Provedores de sistemas; Proprietrios da informao e activos de informao; Utilizador; Direco.
Convm que os proprietrios dos sistemas de informao apoiem as anlises crticas peridicas de conformidade dos seus sistemas com as polticas de segurana, normas e qualquer outro requisito de segurana apropriado. Segundo NBR ISSO/IEC 17799
4.5.10.4 Normas Qualquer instituio para que possa sobreviver, tem que estar assente num conjunto de Normas que o regem. O Gabinete de Informtica para que garante o seu bom funcionamento e harmonia junta com os demais departamentos da instituio da ANCV, dever possuir um conjunto de normas que o governam.
expressamente proibida a entrada de pessoas estranhas ao servio fora do horrio de atendimento;
102/113
Devem ser evitadas qualquer pedido por parte dos utentes nos corredores da instituio, excepto em casos de mxima urgncia;
Nenhum utilizador deve tentar, pelos seus prprios meios, resolver problemas relacionados com os equipamentos que sejam da responsabilidade do Gabinete de Informtica;
A remoo ou mudana dos equipamentos informticos so da nica e exclusiva responsabilidade do Gabinete de Informtica;
Os Bastidores devem estar sempre fechados, evitando assim a sua violao por parte de funcionrios e visitantes, quando estes se situam em gabinetes
4.5.10.5 Consideraes quanto auditoria de sistemas
Objectivo: Maximizar a eficcia e minimizar a interferncia no processo de auditoria de sistema, que existam controles para a salvaguarda dos sistemas operacionais e ferramentas de auditoria durante as auditorias de sistema. Proteco tambm necessria para salvaguardar a integridade e prevenir o uso indevido das ferramentas de auditoria. Segundo NBR ISSO/IEC 17799
Controles de auditoria de sistema
Segundo NBR ISSO/IEC 17799, convm que requisitos e actividades de auditoria envolvendo verificao nos sistemas operacionais sejam cuidadosamente planejados e acordados, para minimizar os riscos de interrupo dos processos do negcio. Recomenda-se que seja observado o seguinte:
Convm que os requisitos de auditoria sejam acordados com o nvel apropriado da direco.
Convm que o escopo da verificao seja acordado e controlado. Convm que a verificao esteja limitada ao acesso somente para leitura de software e dados.
103/113
Convm que outros acessos diferentes de apenas leitura sejam permitidos somente atravs de cpias isoladas dos arquivos do sistema, que devem ser apagados ao final da auditoria.
Convm que recursos de tecnologia para execuo da verificao sejam identificados explicitamente e tornados disponveis.
Convm que requisitos para processamento adicional ou especial sejam identificados e acordados.
Convm que todo acesso seja monitorado e registrado de forma a produzir uma trilha de referncia.
Convm que todos os procedimentos, requerimentos e responsabilidades sejam documentados.
Proteco das ferramentas de auditoria de sistemas
Convm que acessos s ferramentas de auditoria de sistemas, isto , software ou arquivos de dados, sejam protegidos para prevenir contra qualquer possibilidade de uso imprprio ou comprometimento. Convm que tais ferramentas sejam separadas de sistemas em desenvolvimento e em operao e no sejam mantidas em fitas de biblioteca ou reas de utilizador, a menos que forneam um nvel apropriado de proteco adicional. Segundo NBR ISSO/IEC 17799
4.5.11 Medidas se segurana implentadas na ANCV

Segundo responsvel pela rea das redes de comunicaes e segurana da informao da ANCV O Firewall um dispositivo (com software instalado) que impede certo tipo de informaes de circularem, uma das ferramentas que garante a proteco do ambiente computacional pois uma barreira inteligente que fica entre a rede local e a Internet, atravs da qual s permitido trfego autorizados, tornado assim o nico ponto de entrada da rede. O trfego examinado em tempo real e a aceitao ou rejeio de acordo com um conjunto de regras de acesso elaboradas de conformidade com as politicas de acesso da referida organizao.
104/113
Foram implementadas dois tipos de Firewalls na ANCV e com suas Vantagens
Cisco PIX 515
A ANCV possui um Firewall PIX 515E, onde foram criadas regras que especificam que todo trfego que no for expressamente permitido, proibido. Essas regras controlam tanto as informaes recebidas atravs de cada interface de rede como o trfego de sada.
Tambm foram criadas regras de acesso que permita o controlo directamente na entrada das informaes vindas da Internet, de forma a possibilitar proteces contra IP Spoofing, onde so negadas informaes vindas da Internet com endereos de origem da prpria ANCV, e informaes com destino Internet com endereo de origem diferente da ANCV.
Dessa maneira ser possvel eliminar a ameaa de IP Spoofing vindas de atacantes pela Internet, como tambm o uso de IP Spoofing por parte dos utilizadores ou funcionrios do Parlamento. Tambm foram adicionadas regras de acesso para negar informaes com endereos IP reservados. Os endereos de classes reservadas so destinados para serem utilizados somente em redes locais e no podem ser rateados atravs da Internet, muitos dos ataques DOS (Denial-of-Service) e DDoS (Distributed Denial of Service) utilizam esses endereos para ocultar a sua origem. No Firewall ainda foram adicionadas regras para impedir ataques DDoS originados na instituio.
ISA Server 2006
O ISA (Internet Security and Acceleration) Server 2006 que tambm est implementado como segundo firewall (de fora para dentro) mais um elemento ou ferramenta de segurana, pelo facto de ser um firewall que auxilia na proteco de rede corporativa da ANCV contra ataques, provendo regras que permitem ou negam o acesso desejado, publicao de Web, publicao de Servidor de Mail e de outros servidores para controlar o acesso para a rede e de sua rede.
105/113
O ISA d o suporte a filtros de trfego a nvel de pacotes, trajecto e aplicao, assim como suporta a inspeco stateful de pacotes, ou seja, tem a capacidade de examinar os dados que passam pelo firewall baseando-se em seu protocolo e no status da conexo.
Como o ISA Server tambm configurado como Proxy-Server, possibilita a criao de regras para o acesso a Internet, definindo como, quando e quem ir aceder a Internet.
Como Proxy Cache, acessado e compartilhado por muitos utilizadores. A aplicao proxy age como intermedirio entre clientes e servidores WWW. O servidor local procura pela pgina, grava-a no disco e repassa para o utilizador. Requisies subsequentes de outros utilizadores recuperam a pgina que est gravada localmente. Os servidores proxies so usados por organizaes ou provedores que querem reduzir a quantidade de banda que utilizam.
DeMilitirized zone ou Zona desmilitarizada (DMZ)
Para instituies como a Assembleia Nacional que quer rodar servios acessveis externamente como http, e-mail, FTP e DNS, ou seja, disponibilizar informaes de carcter pblico atravs de plataformas como por exemplo o site do parlamento, recomendado que estes servios sejam fisicamente ou logicamente separado da rede interna.
Firewalls e a proteco de mquinas e aplicaes so maneiras efectivas de detectar intruses casuais, entretanto, alguns Crackers podem encontrar vias rede interna se os servios que craquearem residem no mesmo segmento da rede. Os servios acessveis externamente devem residir no que a indstria da segurana chama de zona desmilitarizada (DMZ), um segmento da rede lgica onde o trfego de entrada da Internet no pode aceder a rede interna.
Isto efectivo, pois mesmo que um utilizador malfico faa um exploit na DMZ, o resto da rede interna fica atrs de um firewall num segmento separado.
106/113
Captulo 5: Concluso
No estudo realizado conclui se que uma poltica de segurana consiste num conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organizao. As polticas de segurana devem ter uma implementao prtica e definir claramente as reas de responsabilidade dos utilizadores, do pessoal de gesto de sistemas e redes e da Administrao.
Em relao aos modelos conclui-se que Bell-LaPadula se baseia numa mquina de estados, capturando os aspectos da confidencialidade do controlo de acessos, quer para a integridade, como o Biba e o Clark-Wilson. Goguen-Meseguer baseia-se nos princpios matemticos que governam os autmatos, um mecanismo de controlo concebido para seguir de forma automtica uma sequncia predeterminada de operaes. Sutherland enderea a problemtica da integridade focando-se no problema da inferncia, ou seja, a utilizao de canais dissimulados para influenciar os resultados de um processo enquanto que HarrisonRuzzo-Ullman define sistemas de autorizao que endeream essas lacunas que o BLP no faz. Alguns destes modelos aplicam-se a ambientes onde as polticas so estticas, como o Bell-LaPadula, enquanto que outros consideram as alteraes dinmicas dos direitos de acesso, como o caso do Chinese Wall.
107/113
importante a definio, para utilizadores da rede de computadores da ANCV, de regras que devem ser seguidas para a utilizao de maneira adequada dos recursos de informtica, assim como para a garantia da segurana fsica. O modelo de poltica de segurana desenvolvido visa a descrio destas regras de modo acessvel ao entendimento dos utilizadores
Com a complexidade e novas tecnologias surgindo a todo o momento, faz-se necessrio para qualquer organizao a criao de uma poltica de segurana formal, clara e objectiva, visando a segurana da informao com foco nas informaes trocadas pela mesma.
Verificou-se a ausncia da polticas formais de segurana corporativas, implementadas e aplicadas organizao e aos seus sistemas de informao, devidamente acreditadas e aplicadas pela organizao, o que impede a clara definio dos objectivos cumprir no que respeita segurana da informao, assuntos ou sistemas especficos.
As polticas de segurana da informao classificam se como sendo controlos de segurana para o negcio da ANCV, assim, devero estar devidamente documentadas na ANCV. As pessoas que trabalham no ambiente de negcio devero ter instrues clara e simplificadas que o ajudem a cumprir as polticas de segurana da informao num ambiente considerado complexo.
Atravs da anlise conclui-se que no existe um documento formalmente formal que expresse as preocupaes e estabelea as linhas mestras para a gesto de segurana da informao, aprovada pela Administrao da ANCV, publicado e comunicado de forma adequada a todos os colaboradores.
Tambm detectou-se a ausncia de um documento de procedimentos e polticas de segurana formais adequadas, ligadas aos sistemas de informao e presentes na plataforma tecnolgica da organizao, que tentem assegurar a segurana da informao.
108/113
Implicitamente no existe um gestor que seja responsvel pela manuteno e anlise crtica da politica de segurana da informao, de acordo com um processo da anlise crtica definido, e que resulte como decorrncia de qualquer mudana que venha afectar a avaliao de risco original, tais como incidentes de segurana significativos, nova vulnerabilidades ou mudanas organizacionais.
Assim, de acordo com a anlise efectuada, recomenda-se o desenvolvimento e implantao de um conjunto de documentao corporativa na ANCV (baseando-se na modelo NBR ISSO/IEC 17799) que reflicta as normas de segurana a aplicar informao crtica de negcio existente na organizao. Essa documentao, dever ser devidamente formalizada perante a administrao, atravs de um documento formal que expresse as preocupaes da organizao e estabelea as linhas mestras para a gesto da segurana da informao, aprovado pela Direco, publicado e comunicado de forma adequada a todos os funcionrios e deputados (ou sujeitos parlamentares).
109/113
Bibliografia
BARROS, S.O, (2006), Segurana de redes locais com a implementao de VLANs, monografia de Bacharelato, publicada, Universidade Jean Piaget de Cabo Verde. CARNEIRO, Alberto, (2002), Introduo Segurana dos Sistemas de Informao, Segurana um factor de sucesso Auditoria, Politicas e Benefcios da Segurana, Lisboa, FCA Editora de informtica. ISBN: 972-722-315-X; LAMAS, Estela, et al, (2001), Contributos para uma metodologia cientifica mais cuidada, Lisboa, Instituto Piaget. LESSARD, Herbert, Michelle, et al, (1990), Investigao qualitativa, Lisboa, Instituto Piaget. MAMEDE, S. Henrique, (2006), Segurana Informtica nas Organizaes, FCA-Editora Informtica, Lda. MONTEIRO, Edmundo, BOAVIDA, Fernando, (2000), Engenharia de Redes Informticas, 4 Edio, FCA Editora de Informtica Ltda. SOUSA, B. Lindeberg, (2006), TCP/IP Bsico Conectividade em Redes, Dados, 3 Edio, Editora rica Ltda. SILVA, C. C. R. Elcelina, (2005), Perfil de Utilizador em Redes Locais, monografia de Bacharelato, publicada, Universidade Jean Piaget de Cabo Verde. SILVA, C. C. R. Elcelina, (2006), Redes Universitrias segurana e Auditoria, monografia de Licenciatura, publicada, Universidade Jean Piaget de Cabo Verde. TADANO, K. Yumi, (2002) GED: Assinatura Digital e Validao Jurdica de Documentos Electrnicos, Cuiab MT Brasil.
Sitografia
CAMPOS, A. (s/d), Auditoria em tecnologia da informao, [em linha] disponvel em <www.4shared.com>, [consultado em 30/05/09]. COSTA, Helena, (s/d), Segurana da Informao, [em linha] disponvel em < http://www.micropic.com.br/noronha/Informatica/SEGURANCA/Seguranca%20da%20Infor macao.pdf>, [consultado em 30/05/09]. GORISSEN, O. Maximilian, (s/d) Poltica de Segurana da Informao: A norma ISO 1779, [em linha] disponvel em <w w w. compust reamsecur it y.com.br> [consultado em 28/03/09]. LAUREANO, P. A. M, (2005), Gesto de Segurana da Informao, [em linha] disponvel em < www.mlaureano.org/aulas_material/gst/apostila_versao_20.pdf > [consultado 28/05/ 2009].
110/113
MARCIANO, P.L. Joo, (2006), Segurana da Informao - uma abordagem social, monografia de doutor em Cincias da Informao, publicada, Universidade de Braslia, [em linha] disponvel em <http://www.enancib.ppgci.ufba.br/premio/UnB_Marciano.pd> [consultado em 15/06/09]. Politica de segurana da informao, (2006), [em linha] disponvel em <http://www.bancopopular.pt/NR/rdonlyres/66378D57-409B-4E5D-BABE C21F42D5CECD/3306/politicadeseguran%C3%A7a_A07.pdf> [consultado em 28/05/09]. Politica de segurana (s/d), [em linha] disponvel http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm> [consultado em 08/04/09]. em
PUTTINI, (s/d), S. Ricardo, Segurana da informao, [em linha] disponvel em <http://www.redes.unb.br/security/seguranca.pdf>, [consultado em 28/05/09]. SIEWERT, C.Vanderson, (s/d), integrao da politica de segurana da informao com o firewal, [em linha] disponvel em http://artigocientifico.tebas.kinghost.net/uploads/artc_1202930234_72.pdfconsultado [consultado em 11/06/09]. SPANCESKI, R. Francini, (2004), politica de segurana da informao Desenvolvimento de um Modelo voltado para Instituies de ensino monografia de Bacharel, [em linha] disponvel em <http://www.mlaureano.org/aulas_material/orientacoes2/ist_2004_francini_politicas.pdf> [consultado em 8/04/09]. Wikipdia, (2008), Segurana da Informao: a enciclopdia livre, [em linha] disponvel em http://pt.wikipedia.org/wiki/seguran%c3%A7a_da_informa%c3%A7%c3%A30 [consultado em 15/05/2009].
111/113
A Guio: A.1 Guio de entrevista:
Direccionado ao responsvel pela rea das redes de comunicaes e segurana da informao
11 Historia da Assembleia 11.1 Viso, Misso da Assembleia 11.2 Definio da estrutura da informtica 11.3 Equipa da TI da Assembleia
2 Poltica de Utilizao da Rede 2.1 Login 2.2 Manuteno de arquivos no servidor 2.3 Tentativas no autorizadas de acesso. 2.3.1 Regras para funcionrios
3. Poltica de gesto de Password 3.1 Quais so as regras que utilizam 32 Como feito a gesto de password
4.Poltica de Utilizao de E-Mail 4.1 Regras para funcionrios
5. Poltica de acesso a Internet 5.1 Regras para funcionrios
6. Poltica de uso das Estaes de trabalho 6.1 Regras Gerais
112/113
7. Politica de segurana fsica 7.1 Controle de acesso 7.2 Segurana das instalaes 7.3 Segurana de equipamentos
8.Segurana nos recursos Humanos 8.1 Qual a segurana de recursos humanos 8.2 Reviso ou alterao dos termos de contratao
9 Gesto de comunicaes e operaes 9.1 Proteco contra o cdigo malicioso 9.2 Como feito Copias de segurana e recuperao de desastre 9.3 Controlo das redes 9.4 Troca de informao
Questes 1) Qual a estrutura organizacional da equipe de informtica da instituio? 2) Qual o nmero de servidores da instituio? 4) Como dividida a estrutura de informtica (nmero de computadores, domnios) entre laboratrios de ensino e departamentos? 5) Qual o nmero de computadores (estaes de trabalho) da rede? 7) Como feita a troca de informaes entre as unidades? 8) Existe alguma poltica de segurana sendo utilizada? 10) Existe uma equipe de informtica para cada unidade? 11) Na ANCV do formao ao pessoal de informtica? 12) Como feita cpias de segurana? 13) Usam Plano de continuidade de negcio? 14) Na ANCV fazem desenvolvimento, aquisio e manuteno de aplicaes para garantir que a segurana? 15) Como fazem para prevenir de desastre? 16) Como fazem para evitar violao de qualquer lei criminal ou civil, estatutos, regulamentaes ou obrigaes contratuais?
113/113

Seg Informação

Enviado por

Dados do documento

Descrição original:

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Seg Informação

Enviado por

Direitos autorais:

Formatos disponíveis

Crispina Fontes de Andrade

Poltica de Segurana da Informao Estudo de Caso: Assembleia Nacional

Crispina Fontes de Andrade

Poltica de Segurana da Informao Estudo de Caso: Assembleia Nacional

Cidade da Praia ao 30 de Setembro de 2009 Crispina Fontes de Andrade

A todos os colegas de curso, obrigado pela vossa ajuda e camaradagem.

Captulo 4: 4.1 4.2 4.3 4.4 4.5

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Partindo destes pressupostos delineia-se, a seguinte hiptese geral:

Poltica de Segurana da Informao

Com a realizao deste trabalho pretende se atingir o seguinte objectivo geral:

Analisar as Polticas de Segurana da Informao da Assembleia Nacional de Cabo Verde

Deste objectivo, outros mais especficos se depreendem:

Poltica de Segurana da Informao

Finalmente, realiza-se uma pesquisa emprica fundamentada na seguinte tcnica:

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Captulo 2: Segurana da Informao

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Princpios da Segurana da Informao

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Ameaas segurana e vulnerabilidades

Segundo Puttini (s/d), as ameaas segurana e vulnerabilidades so:

Interrupo componente do sistema destruda ou torna-se indisponvel. Exemplo:

rompimento de uma linha de comunicao;

Intercepo componente do sistema acessado por partes no autorizado. Exemplo:

cpia ilcita de um sinal de Tv. que trfega via satlite

Modificao componente do sistema acessado e sofre alteraes por partes no

Fabricao parte no autorizada insere objectos esprios em um componente do

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Combate a ataques e invases

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Classificao de Detectores de Intruso

Poltica de Segurana da Informao

Privacidade das Comunicaes

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Captulo 3: Politica de Segurana

Poltica de Segurana da Informao

Poltica de Segurana da Informao

Figura 1: Poltica de segurana e seus relacionamentos Fonte: Laureano (2005)

Controles de segurana da informao

Poltica de Segurana da Informao

Figura 2: Controles de segurana da informao Fonte: Campos (s/d)

Poltica de Segurana da Informao

Caractersticas de uma poltica

a mesma seja desrespeitada, caso contrrio, provavelmente ser simplesmente ignorada.

Poltica de Segurana da Informao

3.4 Importncia de uma poltica de segurana

Poltica de Segurana da Informao

3.5 Tipos de Polticas

Falhas no processo de comunicao com a alta administrao;

Poltica de Segurana da Informao

Perda de prazos de compromissos importantes para os negcios da organizao.