Modelocapacidades61877 PDF

I
Tese apresentada à Pró-Reitoria de Pós-Graduação e Pesquisa do Instituto

Tecnológico de Aeronáutica, como parte dos requisitos para obtenção do título
de Mestre em Ciências no Programa de Pós-Graduação em Engenharia
Eletrônica e Computação, área de Informática.
Sylvio Andre Diogo Silva
MODELO DE CAPACIDADES E MATURIDADE PARA DEFESA CIBERNÉTICA
Tese aprovada em sua versão final pelos abaixo assinados:
Orientador
Prof. Dr. Celso Massaki Hirata

Pró-Reitor de Pós-Graduação e Pesquisa
Campo Montenegro
São José dos Campos, SP – Brasil
2011
II
Dados Internacionais de Catalogação-na-Publicação (CIP)

Divisão de Informação e Documentação
Diogo Silva, Sylvio Andre
Modelo de Capacidades e Maturidade para Defesa Cibernética / Sylvio Andre Diogo Silva.
São José dos Campos, 2011.
Número de folhas no formato 130f.
Tese de mestrado – Curso de Engenharia Eletrônica e Computação – Área de Informática - Instituto

Tecnológico de Aeronáutica, 2010. Orientador: Prof. Dr. Edgar Toshiro Yano.
1. Comando e Controle 2. Guerra Cibernética 3. Defesa Cibernética 4. Segurança da Informação 5. Ontologias 6.

Modelo de Capacidades I. Comando-Geral de Tecnologia Aeroespacial II. Instituto Tecnológico de Aeronáutica.
Divisão de Ciência da Computação III.Título
REFERÊNCIA BIBLIOGRÁFICA
SILVA, Sylvio Andre Diogo. Modelo de Capacidades e Maturidade para Defesa
Cibernética. 2010. 130f. Tese de mestrado em Informática – Instituto Tecnológico de
Aeronáutica, São José dos Campos.
CESSÃO DE DIREITOS
NOME DO AUTOR: Sylvio Andre Diogo Silva
TÍTULO DO TRABALHO: Modelo de Capacidades e Maturidade para Defesa Cibernética
TIPO DO TRABALHO/ANO: Tese / 2010
É concedida ao Instituto Tecnológico de Aeronáutica permissão para reproduzir cópias desta

tese e para emprestar ou vender cópias somente para propósitos acadêmicos e científicos. O
autor reserva outros direitos de publicação e nenhuma parte desta tese pode ser reproduzida
sem a sua autorização (do autor).
_____________________________________
Super Quadra Sul nº 209, bloco E e Apto 505
CEP 70272-050 Brasília-DF
III
MODELO DE CAPACIDADES E MATURIDADE PARA
DEFESA CIBERNÉTICA
Composição da Banca Examinadora:
Prof. José Maria Parente de Oliveira Presidente - ITA

Prof. Edgar Toshiro Yano Orientador - ITA
Prof. Ligia Maria Soto Urbina Membro Interno – ITA
Prof. Anderson Fernandes Pereira dos Santos Membro Externo – IME
IV
ITA
MODELAGEM DE CAPACIDADES E MATURIDADE PARA DEFESA
CIBERNÉTICA
Composição da banca examinadora:
Prof. Dr. José Maria Parente de Oliveira Presidente
Prof. Dr. Edgar Toshiro Yano Orientador
Prof. Dra. Ligia Maria Soto Urbina Membro Interno
Prof. Dr. Anderson Fernandes Pereira dos Santos Membro Externo
2011
V
Dedicatória
À Deus por conceder saúde e capacidade para vencer os obstáculos surgidos no decorrer
do curso. A minha esposa Mônica pelo apoio, compreensão e carinho para que eu pudesse
desenvolver este trabalho.

VI
Agradecimentos
À Deus pela saúde e força de vontade para superar os obstáculos surgidos no decorrer
do curso. Ao meu orientador, Prof. Dr. Edgar Toshiro Yano, por ter me orientado de forma
segura e paciente, além do profissionalismo e ainda, pela confiança que me depositou na
elaboração deste trabalho.
Ao Instituto Tecnológico de Aeronáutica pela oportunidade de cursar o Programa de
Pós-graduação em Aplicações Operacionais e desenvolver este trabalho.
Agradeço a minha esposa Mônica pela compreensão dos momentos de ausência e pelo
apoio nos momentos de dificuldade.
Agradeço a todos os professores e colaboradores que direta ou indiretamente
influenciaram para a realização do trabalho facilitando a consecução dos objetivos.

VII
Resumo
Uma implantação eficaz de defesa cibernética requer o desenvolvimento de esforços
coordenados nas seguintes capacidades-chave: detecção de ataques, mecanismos de defesa,
monitoramento de situação, comando e controle, aprimoramento de estratégias e táticas e
desenvolvimento seguro de sistemas. A dissertação apresenta um modelo de capacidades para
defesa cibernética. A partir das seis capacidades-chave, foi identificado um modelo com
capacidades essenciais para a defesa cibernética. O modelo de capacidades desenvolvido é
utilizado como base para a construção de um modelo de maturidade para defesa cibernética. O
modelo de maturidade é essencial para apoiar um planejamento estratégico de ações de defesa
cibernética, pois permite a identificação do estado corrente de uma organização quanto à
defesa cibernética e orientação para a definição de ações a serem tomadas para melhoria desse
estado corrente. Nesta dissertação apresentamos a motivação e conceituação para um modelo
de capacidades para defesa cibernética. A partir do modelo de capacidades é elaborado um
modelo de maturidade.
VIII
Abstract
Effective deployment of cyber defense requires the development of coordinated efforts in the
following key capabilities: attack detection, defense mechanisms, monitoring status,
command and control, improvement strategies and tactics and developing secure systems. The
dissertation presents a model for cyber defense capabilities. From the six key capabilities, a
model was identified with core capabilities for cyber defense. The capabilities developed
model is used as the basis for building a maturity model for cyber defense. The maturity
model is essential to support a strategic planning actions of cyber defense, because it allows
the identification of the current state of the organization as a cyber defense and guidance for
the definition of actions to be taken to improve this current state. In this thesis we present the
motivation and concept for a model for cyber defense capabilities. From the model
capabilities and design a model of maturity.

IX
LISTA DE FIGURAS
Figura 2.1 – Relação entre a Defesa Cibernética e a Segurança da Informação............... 28

Figura 2.2 - Relação ideal entre a segurança, desempenho e funcionalidade em um
sistema de Defesa Cibernética........................................................................................... 31
Figura 2.3 – Estrutura do Modelo de Governança de TI CobiT........................................ 40
Figura 2.4 Elementos de uma Capacidade......................................................................... 41
Figura 2.5 – Taxonomia Hierárquica das Capacidades..................................................... 42
Figura 3.1 – Atividade de Formalização para construção da Ontologia de Defesa
Cibernética utilizando a ferramenta Protégé...................................................................... 48
Figura 3.2 - Ontologia dos conceitos de Defesa Cibernética............................................. 52
Figura 3.3 - Emprego das Capacidades Fundamentais Operacionais................................ 52
Figura 3.4 - Taxonomia das Capacidades Fundamentais para Defesa Cibernética........... 52
Figura 3.5 - Taxonomia das Capacidades Fundamentais para Defesa Cibernética .......... 53
Figura 3.6 - Taxonomia da Capacidade Fundamental de Comando e Controle................ 57
Figura 3.7 - Taxonomia da Capacidade Fundamental de Mecanismos de Defesa............ 58
Figura 3.8 - Taxonomia da Capacidade Fundamental de Supervisão da Defesa............... 61
Figura 3.9 - Relações entre as Capacidades Fundamentais do Modelo de Defesa Ciber-
nética.................................................................................................................................. 62
Figura 4.1 - Nível de Maturidade Avaliada visando a Segurança de um sistema de
defesa cibernética .............................................................................................................. 71
Figura 5.1 - Nível de Maturidade Avaliada visando a Robustez de um sistema de
defesa cibernética............................................................................................................... 76
Figura 5.2 - Avaliação de Maturidade das capacidades de negócios de um sistema de
defesa cibernética............................................................................................................... 77
Figura 5.3 - Nível de Maturidade Avaliada da capacidade de Governança do sistema de
defesa cibernética da organização ALFA.......................................................................... 78
Figura 5.4 - Nível de Maturidade Avaliada da capacidade Comando e Controle do
sistema de defesa cibernética da organização ALFA........................................................ 79
Figura 5.5 - Nível de Maturidade Avaliada da capacidade Mecanismos de Defesa do
Figura 5.6 - Nível de Maturidade Avaliada da capacidade de Supervisão da Defesa do
X
Figura 5.7 - Nível de Maturidade Avaliada da capacidade de Governança do sistema de

defesa cibernética da organização BRAVO....................................................................... 80
sistema de defesa cibernética da organização BRAVO..................................................... 81
Figura 5.11 - Nível de Maturidade Avaliada da capacidade de Governança do sistema
de defesa cibernética da organização CHARLIE.............................................................. 82
sistema de defesa cibernética da organização CHARLIE................................................. 83
Figura 5.15 - Nível de Maturidade Avaliada da capacidade Governança do sistema de
defesa cibernética da organização DELTA....................................................................... 84
sistema de defesa cibernética da organização DELTA...................................................... 85
Figura 5.17 - Nível de Maturidade Avaliada da capacidade de Mecanismos de Defesa
do sistema de defesa cibernética da organização DELTA................................................. 85
Figura 5.18 - Nível de Maturidade Avaliada da capacidade Supervisão da Defesa do
sistema de defesa cibernética da organização DELTA...................................................... 86
Figura 5.19 - Quadro de Comparação do Desenvolvimento da Capacidade
Fundamental Governança entre as organizações avaliadas............................................... 87
Figura 5.20 - Quadro de Comparação do Desenvolvimento da Capacidade Fundamen-
tal Comando e Controle entre as organizações avaliadas.................................................. 88
Figura 5.21 - Quadro de Comparação do Desenvolvimento da Capacidade Fundamen-
tal Mecanismos de Defesa entre as organizações avaliadas.............................................. 90
Figura 5.22 – Quadro de Comparação do Desenvolvimento da Capacidade Fundamen-
tal Supervisão da Defesa entre as organizações avaliada.................................................. 91
XI
LISTA DE TABELAS
Tabela 4.1 - Níveis de Maturidade para o Modelo de Defesa Cibernética ...................... 69

Tabela 5.1 - Pontuação do Grau de Desenvolvimento da Capacidade Fundamental
Governança das organizações de A a D............................................................................. 85
Comando e Controle das organizações de A a D............................................................... 86
Mecanismos de Defesa das organizações de A a D. ......................................................... 87
Supervisão da Defesa das organizações de A a D. ........................................................... 89
Tabela 5.5 - Nível de Classificação de Maturidade do Desenvolvimento das Capacida-
des Fundamentais .......................................................................................................... 90
Tabela 5.6 - Nível de Classificação de Maturidade do Desenvolvimento das Capacida-
des Fundamentais das Organizações de A a D ............................................................... 91
XII
LISTA DE SIGLAS
CMM Capability Maturity Model

CMMI Capability Maturity Mode Integration
DNS Domain Name Server
IEC 1. IEC - International Engineering Consortium
ISACF Information Systems Audit and Control Foundation
ISO 1. ISO - International Organization for Standardization
NIST National Institute of Standards and Technology
OPM3 Organizational Project Management Maturity Model
PMI 1. Project Management Institute
PMMM Project Management Maturity Model
SEI Software Engineering Institute
SGSI Sistema de Gestão de Segurança da Informação
TCU Tribunal de Contas da União
TI Tecnologia da Informação
XIII
SUMÁRIO
1. INTRODUÇÃO .................................................................................................................... 13
1.1 Contextualização ............................................................................................................ 13
1.2 Motivação ....................................................................................................................... 14
1.3 Problema ......................................................................................................................... 15
1.5 Metodologia .................................................................................................................... 17
1.6 Estruturação do Trabalho................................................................................................ 17
2. FUNDAMENTOS TEÓRICOS ........................................................................................... 19
2.1 Guerra Cibernética .......................................................................................................... 19
2.1.1 Classificação da Guerra Cibernética........................................................................ 22
2.1.2 Princípios da Guerra Cibernética ............................................................................. 23
2.2 A Defesa Cibernética ...................................................................................................... 26
2.2.1 A Defesa Cibernética e a Segurança da Informação ............................................... 27
2.2.2 Elementos de Defesa Cibernética ............................................................................ 29
2.2.3 Requisitos Desejáveis para Gestão de Defesa Cibernética ...................................... 30
2.3 Modelos de Qualidade para Segurança da Informação .................................................. 33
2.3.1 Família NBR ISO/IEC 27000:2005 ......................................................................... 34
2.3.2 NIST 800-53 ............................................................................................................ 37
2.3.3 Modelo COBIT ........................................................................................................ 38
2.3.4 Modelo de Capacidades ........................................................................................... 39
2.4 Necessidade de um modelo de Defesa Cibernética ........................................................ 42
3. MODELO DE CAPACIDADES PARA DEFESA CIBERNÉTICA .................................. 43
3.1 Uma Ontologia para Defesa Cibernética ........................................................................ 44
3.2 Modelo de Capacidades para Defesa Cibernética .......................................................... 54
3.2.1 Governança .............................................................................................................. 56
3.2.2 Comando e Controle ................................................................................................ 59
3.2.3 Mecanismos de Defesa ............................................................................................ 61
3.2.4 Supervisão da Defesa............................................................................................... 63
3.3 Relações entre as Capacidades Fundamentais ................................................................ 65
4. MODELO DE MATURIDADE PARA DEFESA CIBERNÉTICA .................................... 67
4.1 Modelos de Maturidade .................................................................................................. 67
4.1.1 OPM3 (Organizational Project Management Maturity Model) – PMI ................... 68
4.1.2 CMMI (Capability Maturity Mode Integration) ...................................................... 69
4.1.3 PMMM (Project Management Maturity Model) – PM Solutions ........................... 69
4.1.4 Modelo de Maturidade do CobiT ............................................................................ 70
XIV
4.2 Modelo de Maturidade para Defesa Cibernética ............................................................ 71

4.2.1 Níveis de Maturidade............................................................................................... 72
4.2.2 Avaliação da Maturidade de Capacidades ............................................................... 73
4.3 Cenários de Uso do Modelo Maturidade ........................................................................ 75
4.3.1 Identificação do Estado Corrente ............................................................................ 75
4.3.2 Identificação do Estado desejável............................................................................ 75
4.3.3 Planejamento para se atingir o estado desejável ...................................................... 77
5. ESTUDO DE CASO ............................................................................................................ 78
5.1 Delimitação da unidade-caso .......................................................................................... 78
5.1.1 Cenário .................................................................................................................... 79
5.2 Coleta de Dados .............................................................................................................. 80
5.2.1 Organização ALFA.................................................................................................. 81
5.2.2 Governança da organização BRAVO .......................................................................... 84
5.2.3 Organização CHARLIE ........................................................................................... 86
5.2.4 Organização DELTA ............................................................................................... 88
5.3 Seleção, Análise e Interpretação dos dados .................................................................... 90
5.3.1 Análise Global ......................................................................................................... 90
5.3.2 Análise Específica…………………………………………………………………96
5.3.3 Conclusão Global………………………………………………………………….99
6. CONCLUSÕES…………………………………………………………............………..102
6.1 Trabalhos Futuros.........................................................................................................103
REFERÊNCIAS......................................................................................................................105
ANEXO - Questionário Aplicado as Organizações referentes ao Modelo de Maturidade para
Defesa Cibernética..................................................................................................................111
GLOSSÁRIO..........................................................................................................................129
13
1. INTRODUÇÃO
1.1 Contextualização
O aperfeiçoamento da tecnologia digital, sobretudo na década de 1990, proporcionou,
dentre outras coisas, o advento das redes de computadores, que permitiu que dois ou mais
computadores e outros dispositivos sejam conectados entre si de modo a poderem
compartilhar seus serviços, criando um ambiente virtual, diferente do cinético, que é o
ciberespaço.
O ciberespaço é um espaço de comunicação que descarta a necessidade da presença
física do ser humano para constituir a comunicação como fonte de relacionamento, dando
ênfase ao ato da imaginação, necessária para a criação de uma imagem anônima, que terá
comunhão com os demais (1).
O principal ambiente virtual que se conhece hoje é a Internet. É um amplo sistema de
comunicação que conecta muitos computadores e subredes de computadores, no mundo, e sua
origem remontam os anos de 1960 com a criação da ARPANET (2) que era uma rede de
computadores para troca de informações criada pelo Departamento de Defesa dos EUA. Mas
somente na década de 90 é que a Internet popularizou-se proporcionando à sociedade diversos
serviços de manipulação e acesso a informação (3) (4).
Em virtude das facilidades que a rede mundial de computadores pode proporcionar, foi
inevitável que sistemas de informações críticos para o funcionamento de uma sociedade
moderna, como estações de energia elétrica, sistemas bancários, serviços de telefonia
começassem a se interligar utilizando as redes globais. Esse fenômeno foi definido por
Schwartau como sendo “Computadores em todos os lugares e a Rede Global” (5).
Em virtude da natureza caótica inerente a essas redes, é normal que elas apresentem
falhas de segurança que, num contexto de conflitos entre oponentes, poderiam ser exploradas,
em um campo de batalha virtual ou no ciberespaço. Nesse conflito a identificação e

14
exploração de brechas de segurança do oponente permitem a obtenção de vantagens
competitivas, sendo um fator decisivo para proporcionar uma superioridade em relação a um
oponente (6). Tais conflitos existentes no espaço cibernético caracterizam a noção de Guerra
Cibernética, que em linhas gerais, se caracteriza por um conflito em larga escala,
politicamente motivado e baseado em técnicas de ataque e defesa para interromper os
sistemas digitais, redes e infraestruturas do inimigo, sendo realizada por Estados e não
Estados (7).
Em virtude da possibilidade de exploração de vulnerabilidades nos sistemas
computacionais existentes, a defesa do espaço cibernético tornou-se tão importante quanto a
defesa do espaço cinético (marítimo, terrestre e aéreo). Em termos gerais a defesa cibernética
se caracteriza pelo emprego defensivo de metodologias, processos, equipamentos e estratégias
para defesa e proteção de informações, sistemas de informações e redes de computadores
visando à utilização relativamente segura dos serviços baseados em redes e a preservação dos
ativos de uma organização (7).
1.2 Motivação
Apesar de ser explorada como tema de filmes de Hollywood, alguns fatos recentes
mostram que a Guerra Cibernética é uma realidade. Alguns exemplos de ataques e problemas
na administração da TI ocorridos na atual década mostram a importância do investimento em
Defesa Cibernética:
 Em julho de 2009, o sítio do Departamento de Defesa dos EUA foi invadido por
quatro dias consecutivos, numa ação que atualmente tem sido comum por parte dos
chamados hackers, de tentativa de saturação de acesso e conexão a um determinado
sítio da internet até que o mesmo seja interrompido e seu acesso bloqueado (8).
 De forma similar, os sítios do governo da Coréia do Sul sofreram com ação similar,
15
tornando lento o acesso à internet naqueles mesmos dias do início de julho. Dados dos
serviços de inteligência de ambos os países informaram que o ataque partiu de 16
países, inclusive dos EUA e da Coréia do Sul, fazendo uso de cerca de 20 mil
computadores domésticos e 80 provedores da Internet (9).
 No cenário brasileiro os resultados de uma pesquisa realizada em 2007 pelo TCU, em
250 órgãos públicos, apresentaram uma série de deficiências na Gestão de Governança
de Tecnologia da Informação, sendo que os itens mais expressivos foram àqueles
relacionados à Segurança da Informação. A pesquisa mostrou que 80% dos órgãos
pesquisados não classificam a informação, 75% não fazem análise de riscos, e 64%
não possuem política de segurança da informação (10).
 A Estratégia Nacional de Defesa do Brasil destaca três setores estratégicos para defesa
nacional e para o desenvolvimento tecnológico, sendo: o espacial, o cibernético e o
nuclear (11). No campo cibernético cresce de importância o aprimoramento de
recursos humanos, metodologias e tecnologias para Defesa Cibernética, e em
conseqüência a proteção dos ativos. Isto reflete literalmente na economia de bilhões de
dólares em virtude de prejuízos causados por crimes cibernéticos no cenário mundial
(12).
1.3 Problema
Um problema estruturante nas organizações que utilizam a TI na consecução de seus
objetivos organizacionais refere-se à organização da Defesa Cibernética existente para
assegurar que o atendimento das necessidades de proteção ocorram a contento em face das
ameaças existentes no atual espaço cibernético. Devido o tema ser relativamente recente, é
notória a ausência de uma proposta de uma metodologia de gestão de um sistema de Defesa
Cibernética, para servir como base para implantação e uso em uma organização. Isto decorre
16
da necessidade de proteção dos ativos organizacionais dos atuais ataques oriundos do espaço
cibernético. Assim, um modelo de gestão de Defesa Cibernética possui papel fundamental na
proteção dos ativos de uma organização que utiliza a TI para consecução dos objetivos
organizacionais.
Um modelo de qualidade descreve uma metodologia de aplicação baseado em melhores
práticas estabelecidas até o nível mundial. A metodologia existente que trata parcialmente do
assunto está contida, na íntegra, nas Normas de Segurança da Informação, pertencentes à
família ISO/IEC 27000 e visam viabilizar e assegurar a disponibilidade, a integridade, a
confidencialidade e a autenticidade das informações, por intermédio do estabelecimento e
gerenciamento das melhores práticas mundiais estabelecidas para tal fim. No entanto, o
escopo tratado na Defesa Cibernética é mais dinâmico decorrente da necessidade de ações
preventivas, pró-ativas e reativas.
1.4 Objetivo
O principal objetivo deste trabalho de mestrado é a proposição de um modelo de Gestão
para Defesa Cibernética, apresentando as capacidades mínimas para um sistema de defesa. O
objetivo do modelo é servir de base para implantação e gestão em uma organização. O
modelo é complementado por um modelo de maturidade que identifica as fases de completude
do sistema com relação às capacidades mínimas necessárias a serem implementadas em cada
uma das fases.
Como objetivo complementar é apresentado um estudo de caso que servirá como base
para verificar a aplicabilidade do modelo em um cenário real de uso.

17
1.5 Metodologia
Do ponto de vista natural foi realizada neste trabalho uma Pesquisa Aplicada com o
objetivo de gerar conhecimentos para aplicação prática dirigidos à solução de problemas
relativos à gestão de um sistema de Defesa Cibernética (13).
Quanto à forma de abordagem do problema foi realizada uma pesquisa qualitativa
considerando a relação dinâmica entre o mundo real e a proposta do modelo, isto é, um
vínculo indissociável entre o mundo objetivo e a subjetividade do modelo o que não pode ser
traduzido em números. O ambiente natural foi a fonte direta para coleta de dados e o
pesquisador foi o instrumento-chave. O modelo proposto e seu significado foram os focos
principais de abordagem (13).
Do ponto de vista dos objetivos foi uma “pesquisa exploratória” (14) visando
proporcionar maior familiaridade com o problema com vistas a torná-lo explícito e a construir
hipóteses. Envolveu levantamento bibliográfico; entrevistas com pessoas que tiveram
experiências práticas com o problema pesquisado; análise de exemplos que estimulassem a
compreensão. Assumiu, em geral, as formas de Pesquisas Bibliográficas e Estudos de Caso.
Do ponto de vista dos procedimentos técnicos foi realizada uma pesquisa que envolveu
os seguintes métodos (14):
 Pesquisa Bibliográfica: pois foi elaborada a partir de material já publicado, constituído
principalmente de livros, artigos de periódicos e atualmente com material disponibilizado na
Internet.
 Estudo de caso: pois envolveu o estudo profundo de objetos de maneira que se permita
o seu amplo e detalhado conhecimento.
1.6 Estruturação do Trabalho

O trabalho está estruturado em seis capítulos da seguinte forma:
 O Capítulo 2 contém os elementos teóricos necessários para o entendimento do

18
assunto em pauta, explicando os conceitos relacionados à Guerra Cibernética, Defesa
Cibernética, aos modelos de qualidade para Segurança da Informação e modelos de
maturidades atualmente utilizados.
 O Capítulo 3 trata com um nível maior de detalhamento o objeto de estudo da
pesquisa, ou seja, o modelo de capacidades proposto. Assim, o capítulo fornece uma base de
conhecimento necessária para o entendimento da pesquisa, destacando os conceitos
envolvidos, quais são os principais objetivos de cada capacidade, as características, atributos
e a estrutura do modelo.
 O Capítulo 4 trata, de forma semelhante ao Capítulo 3, com um nível maior de
detalhamento o modelo de maturidade para o modelo de capacidades proposto. É composto de
uma síntese dos principais modelos de maturidade existentes na literatura, bem como, de um
detalhamento do modelo proposto.
 O Capítulo 5 detalha os resultados obtidos na aplicação do modelo proposto em
organizações que utilizam a TI em seus processos organizacionais. Por intermédio de um
estudo de caso, serão explicitadas quais as principais atividades executadas para a
implantação e consolidação da pesquisa e as principais dificuldades encontradas no processo.
 O Capítulo 6 será dedicado às conclusões encontradas a partir da realização da
pesquisa e do estudo de caso e também para a indicação de trabalhos futuros que poderão ser
realizados a partir deste, com objetivos de estender a pesquisa, como a criação de submodelos
de capacidades e outros que poderão surgir de acordo com as necessidades.

19
2. FUNDAMENTOS TEÓRICOS
O capítulo a seguir tem por finalidade descrever os fundamentos teóricos no escopo do
assunto com vistas à obtenção do pleno entendimento do que foi proposto no trabalho.
Inicialmente devemos ressaltar que a terminologia envolvida no assunto, em questão, evolui
rapidamente em função do desenvolvimento tecnológico. Tendo em vista que alguns termos
apresentam ambigüidade no seu uso, coube a realização de considerações sobre o significado
no escopo do presente trabalho.
2.1 Guerra Cibernética

Na literatura mundial encontramos diversas definições referentes à palavra Guerra. Uma
definição direta e simples, com uma visão filósofo-jurista, foi dada pelo jus naturalista
holandês do século XVII, Hugo Grócio, na sua Obra O Direito da Guerra e da Paz, “[...] a
guerra é o estado de indivíduos, considerados como tais, que resolvem suas controvérsias,
pela força” (15). A definição de Grócio é abrangente e menciona elementos essenciais da
guerra, além de se aplicar a todos os tipos de guerra, pública e privada. Outra definição direta
e famosa é a mencionada por Carl Von Clausewitz na sua obra Da Guerra, “ A Guerra é [...]
um ato de violência para obrigar o adversário a cumprir nossa vontade” (16). No glossário das
Forças Armadas Brasileiras podemos verificar que o significado da palavra guerra pode ser
entendido da seguinte forma (17):
Guerra - Conflito no seu grau máximo de violência. Em função da magnitude do

conflito, pode implicar a mobilização de todo o Poder Nacional, com predominância
da expressão militar, para impor a vontade de um ator ao outro. 2. No sentido
clássico, caracteriza um conflito, normalmente entre Estados, envolvendo o emprego
de suas forças armadas. Desencadeia-se de forma declarada e de acordo com o
Direito Internacional.
O termo guerra está intimamente relacionado a conflitos que em sua maioria envolve o
uso de força para fazer prevalecer à vontade de um ator em um determinado contexto.

20
O termo cibernética tem sua forma original do grego “KUBERNETES” e não possui
uma única definição. Uma delas proposta pela American Society for Cybernetics é que “o
termo foi criado em 1948 pelo matemático Norbert Wiener para abranger todo o campo da
teoria do controle e comunicação, seja na máquina ou no animal” (18). O presente trabalho
tem o enfoque do conceito na máquina.
A caracterização do termo guerra aliado à cibernética nos dá uma noção do tipo de
conflito decorrente, ou seja, a exploração do controle e da comunicação com o uso de força
para impor a vontade ao oponente.
A Guerra Cibernética é o sub-conjunto da Guerra da Informação que envolve ações
tomadas dentro do mundo virtual. O mundo cibernético é qualquer realidade virtual contida
em uma coleção de computadores e redes. Existem diversos mundos cibernéticos, porém, o
mais relevante para a Guerra Cibernética, na atualidade, é a Internet (19).
Existem outras definições para o termo Guerra Cibernética que serão citadas para fins
de conhecimento e estudo:
 O Glossário das Forças Armadas (17) define o conceito de Guerra Cibernética da
seguinte forma:
[Conjunto de ações para uso ofensivo e defensivo de informações e sistemas de

informações para negar, explorar, corromper ou destruir valores do adversário
baseados em informações, sistemas de informação e redes de computadores. Estas
ações são elaboradas para obtenção de vantagens tanto na área militar quanto na área
civil.]
 De acordo com Parks e Duggan (19): “É uma combinação de ataques a redes de
computadores e a defesa das redes, e possivelmente, operações especiais de informação. O
mundo cibernético é qualquer realidade virtual compreendida numa coleção de computadores
e redes.”
 De acordo com Saidjary (7): “Conflito em larga escala, politicamente motivado e
baseado em técnicas de ataque e defesa para interromper os sistemas digitais, redes e infra-
21
estruturas do inimigo, sendo realizada por Estados e não Estados”.
O consenso em ambas as definições indica que a Guerra Cibernética visa à obtenção de
vantagens por parte do atacante por intermédio do uso de técnicas de ataque e defesa para a
obtenção ou proteção da informação.
Na Guerra Cibernética a motivação ou propósito das ações ofensivas visam o
levantamento de informações nas redes, a captura de informações e a identificação
de possíveis alvos que possam vir a permitir a conquista do poder sobre um inimigo.
O uso dos recursos computacionais em um ataque tem como intuito, em uma ação
de surpresa, impedir o inimigo do uso do seu potencial de comando e controle, bem
como infligir baixas em setores críticos de sua infraestrutura nacional, não permitindo
a ele uma reação e causando em sua população incerteza, desconfiança e
desapontamento, diante de um inimigo invisível e incógnito.
Em virtude da possibilidade de tal conflito, o preparo de um estado ou organização para
uma guerra exige transformações estruturais que envolvem diversos setores de uma nação. O
planejamento para atender a essa situação deve ser previamente elaborado, a fim de que a
passagem da situação de paz para a situação de guerra transcorra da forma mais rápida e
harmônica possível (20).
A condução da guerra requer também a participação plena de todos os setores da nação
num esforço sinérgico contra o poder inimigo em todas as suas expressões, em função dos
riscos envolvidos e a perda de soberania.
Conforme a Doutrina Militar de Defesa Brasileira (21) não há unanimidade no tocante à
classificação das guerras de acordo com a sua forma. Geralmente deve-se observar os
diferentes enfoques e propósitos envolvidos no conflito. Dependendo do prisma sob o qual se
observe, o fenômeno da guerra pode ser classificado de diversas maneiras. No caso da Guerra
Cibernética a realidade dos conflitos pode seguir algumas classificações.

22
2.1.1 Classificação da Guerra Cibernética

2.1.1.1 Quanto ao Tipo de Força Empregada (21)
 Guerra Regular: quando o conflito ocorre entre Estados ou coligação de Estados no
qual as operações são executadas, predominantemente, por forças regulares.
 Guerra Irregular: quando o conflito é executado por forças não-regulares ou por forças
regulares empregadas fora dos padrões normais da guerra regular, contra um governo
estabelecido ou um poder de ocupação, com o emprego de ações típicas da guerra de
guerrilhas.
2.1.1.2 Quanto ao poder relativo dos contendores (21)
 Guerra Simétrica: quando o conflito contrapõe dois poderes militares que guardam
entre si semelhanças de capacidades e possibilidades. Normalmente, os contendores
adotam majoritariamente técnicas, táticas e procedimentos típicos da guerra regular.
 Guerra Assimétrica: conflito que contrapõe dois poderes militares que guardam entre
si marcantes diferenças de capacidades e possibilidades. Trata-se de enfrentamento
entre um determinado partido e outro com esmagadora superioridade de poder militar
sobre o primeiro. Neste caso, normalmente o partido mais fraco adota
majoritariamente técnicas, táticas e procedimentos típicos da guerra irregular. A
Guerra Cibernética é um tipo de conflito que possibilita que um pequeno grupo possa
realizar ações de combate com um grande impacto, da mesma forma como uma força
regular de um país com grande capacidade de combate.
2.1.1.3 Quanto à amplitude geográfica (21)
 Guerra Mundial: quando o conflito envolve a totalidade dos países cujo Poder
Nacional seja significativo em escala internacional.

23
 Guerra Regional: quando o conflito envolve um conjunto de nações geopoliticamente
agrupadas, sem generalizar-se por outras áreas.
Na Guerra Cibernética os conflitos ocorrem no ambiente cibernético ou no ciberespaço
e, portanto, fica difícil delimitar o espaço de domínio ou fronteira de uma soberania. Em
virtude da possibilidade de estar em qualquer lugar no mundo para realizar as ações ofensivas,
os atacantes na Guerra Cibernética exploram as vulnerabilidades existentes nos sistemas de
tecnologia da informação e infra-estrutura do oponente para obter vantagens, e ainda podem
concentrar seus esforços para atingir alvos governamentais e organizacionais com a intenção
de sabotar, infiltrar, roubar e atacar, produzindo efeitos catastróficos no oponente (22).
2.1.2 Princípios da Guerra Cibernética

Segundo Parks e Duggan (19) alguns dos princípios de guerra clássicos inerentes ao
combate cinético não possuem significado no combate virtual. Assim são necessários novos
princípios propostos por estes autores, com suas respectivas denominações. É importante
ressaltar que a lista a seguir trata-se de uma discussão e não esgota o assunto, não devendo ser
considerada completa:
• Princípio do Efeito Cinético (Guerra Cibernética deve produzir efeitos no mundo
cinético): não há sentido em desencadear quaisquer ações contra entidades cibernéticas, a
menos que estas ações produzam algum efeito no mundo real, e que este efeito se traduza em
vantagem.
• Princípio da Dissimulação e Visibilidade (medidas ativas podem ser adotadas
para se dissimular no mundo cibernético, mas qualquer coisa que alguém faça é visível):
como quaisquer ações adotadas no mundo cibernético envolvem a movimentação ou

24
manipulação de dados, e estes residem em programas e equipamentos desenvolvidos por seres
humanos, o próprio fato de alguém tentar desencadear ações de Guerra Cibernética significa
que algum bit em algum fluxo de dados é modificado de forma a refletir essas ações e a
presença desta pessoa. Porém essa informação só será útil se puder ser detectada.
• Princípio da Mutabilidade (não existem leis de comportamento imutáveis no
mundo cibernético, excetuando- se aquelas que necessitam de uma ação no mundo real):
o mundo real é regido pelas leis da física; dessa forma é possível que se possa prever
determinados comportamentos: por exemplo, pode-se prever a trajetória de um projétil
disparado através da aplicação de conhecimentos de balística. No mundo cibernético, não
existem quaisquer leis que permitam prever esse tipo de comportamento, devido à natureza
caótica inerente à operação de equipamentos e programas (falhas físicas, flutuação na
performance dos equipamentos, etc); excetuam- se aquelas que refletem uma ação tomada no
mundo físico (espera-se que um equipamento apresente um melhor desempenho caso seu
processador seja substituído por um mais avançado, por exemplo).
• Princípio do Disfarce (alguma entidade no mundo cibernético possui a
autoridade, acesso, ou habilidades necessárias para por em prática qualquer ação que
um atacante deseje realizar; o objetivo do atacante é assumir a identidade dessa
entidade, de alguma forma): não há parcela do mundo cibernético que não seja controlada
por seres humanos ou suas ferramentas (como programas, por exemplo); dessa forma, sempre
existirá alguma entidade que será capaz de realizar o que o atacante deseja; assim, basta ao
atacante assumir a identidade do ente que possa realizar a ação desejada, para que o ataque
seja bem sucedido.

25
• Princípio da Dualidade do Armamento (as ferramentas ou armamentos da
Guerra Cibernética são de natureza dual): no combate cinético, as ferramentas,
equipamentos e armamentos possuem um uso único e bem definido: rifles são usados para
alvejar, casamatas para se proteger e radares para detectar a aproximação do inimigo. No
combate cibernético, as mesmas ferramentas são usadas por atacantes e administradores de
sistemas com finalidades distintas: uma ferramenta que busque as vulnerabilidades do
sistema, por exemplo, pode ser usada por atacantes para encontrar pontos que representem
oportunidades de ataque em seus sistemas alvo, e por administradores para descobrir as
fraquezas de equipamentos e redes.
• Princípio da Compartimentação (tanto o atacante, como o defensor de um
sistema, controlam uma pequena parcela do ciberespaço que utilizam) e Princípio da
Usurpação (quem controlar a parte do ciberespaço que o oponente utiliza, pode
controlar o oponente): Parks e Duggan inicialmente propuseram a afirmação anterior como
sendo um único princípio. Como todo o ciberespaço está contido em equipamentos,
programas e fluxo de dados, todos subprodutos do trabalho humano, qualquer cibergrupo
controla, no mínimo, a parcela de ciberespaço compreendida entre seus equipamentos e
programas, e a interface com a infraestrutura de comunicações (e raramente controla mais do
que isso); caso um determinado grupo detenha o controle de um serviço utilizado pelo
oponente, por exemplo, um servidor do tipo Domain Name Server (DNS), este pode, também,
controlar o oponente.
• Princípio da Incerteza (o ciberespaço não é consistente, nem confiável): este
princípio está relacionado com o princípio da mutabilidade; no ciberespaço nem os
equipamentos, e muito menos os programas, irão trabalhar sempre da maneira esperada; dessa
26
forma, nunca é possível saber, com total certeza, se o próximo passo numa ação cibernética
irá funcionar.
• Princípio da Proximidade (limitações físicas de distância e espaço não se aplicam
ao mundo cibernético): no mundo cibernético, ações desencadeadas do outro lado do
mundo, ou da sala ao lado, são executadas com igual grau de eficácia; dessa forma, distâncias
físicas não constituem um obstáculo na condução dos ataques.
2.2 A Defesa Cibernética

Os ataques oriundos da internet podem ser originados de qualquer parte do mundo
onde haja a possibilidade de conexão com a internet. Isso significa que, em muitas
ocasiões, não se pode identificar a origem de um ataque ou seus responsáveis, pois
suas ações, vítimas e autores extrapolam as fronteiras físicas estabelecidas entre as
nações, dificultando a ação do direito público em virtude da dificuldade de se
caracterizar as responsabilidades e os responsáveis. Daí decorre a necessidade de
se possuir uma defesa eficiente e eficaz.
A Doutrina Militar de Defesa Brasileira (21) define a Defesa, no sentido geral, da
seguinte forma:
[...] o ato ou o conjunto de atos realizados para obter, resguardar ou recompor a

condição reconhecida como de segurança. [...] O Estado, em seus diversos escalões
de governo, detém os maiores encargos de defesa. A magnitude e a natureza das
ameaças balizarão as ações de defesa, podendo envolver parte ou todos os campos
do Poder Nacional. [...] A PDN define Defesa Nacional como o conjunto de medidas
e ações do Estado, com ênfase na expressão militar, para a defesa do território, da
soberania e dos interesses nacionais contra ameaças preponderantemente externas,
potenciais ou manifestas.[...]
De um modo amplo a Defesa Cibernética deve ser integrante da política de Defesa
Nacional de um país, em virtude da magnitude do assunto e o caráter catastrófico capaz de ser
causado por um ataque cibernético a um setor estratégico da nação. Diversas nações

27
realizam programas que visam à defesa do ciberespaço por intermédio de
metodologias, processos, recursos humanos e tecnologias.
Segundo Richard Stiennon, a defesa cibernética é o emprego defensivo de
metodologias, processos, equipamentos e estratégia para defesa e proteção de
informações, sistemas de informações e redes de computadores (22).
2.2.1 A Defesa Cibernética e a Segurança da Informação
A definição específica do termo Segurança da Informação pode ser encontrada nas
Normas Técnicas da ABNT ISO/IEC 27002 (23) que diz na íntegra: “A Segurança da
Informação é a proteção da informação de vários tipos de ameaças para garantir a
continuidade do negócio, minimizar o risco ao negócio, maximizar o retorno sobre os
investimentos e as oportunidades de negócio”. O glossário das Forças Armadas Brasileiras
define o termo Segurança da Informação da seguinte forma (17):
[...] Conjunto de conceitos, técnicas e atividades que visem a proporcionar

confidencialidade, integridade e disponibilidade às informações, protegendo
recursos de informação contra ações deliberadas ou não-autorizadas de aquisição,
dano, manipulação, modificação, perda, revelação ou uso desses recursos.[...]
Da análise dos termos Segurança da Informação e Defesa Cibernética verifica-se que
ambos visam à proteção da informação de um modo geral. A informação é um ativo que como
qualquer outro ativo importante, é essencial para os negócios de uma organização e
consequentemente necessita ser adequadamente protegida (23). Ressalta-se a importância da
segurança no ambiente de negócios e nos serviços de infraestrutura básica de uma sociedade
em virtude da crescente interconexão dos sistemas (6). Como resultado deste incrível aumento
de interconectividade, a informação está agora exposta a um crescente número e a uma grande
variedade de ameaças e vulnerabilidades. Desse modo, podemos caracterizar algumas
diferenças marcantes entre ambos os conceitos embora possuam pontos comuns:

28
 O esforço despendido pelo atacante para se infiltrar, roubar, sabotar e atacar
constitui um cenário muito mais grave do que os ataques aleatórios que têm sido a
norma desde o nascimento da indústria de segurança da informação (22). A Defesa
Cibernética é a categoria que aborda a ameaça representada pelos Estados-nação,
terroristas e fanáticos, como eles se envolvem em atividades de espionagem
cibernética e alvo de ataques de negação de serviço.
 A Defesa Cibernética possui um caráter mais dinâmico do que as técnicas de
Segurança da Informação: As técnicas estáticas e preventivas de segurança de
informação, embora importantes, são insuficientes para uso no contexto da Defesa
Cibernética. Na concepção dos sistemas cibernéticos uma defesa confiável possui três
elementos fundamentais: segurança, desempenho e funcionalidade, que podem ser
traduzidos em três componentes: confidencialidade, integridade de dados e
disponibilidade (7).
Cabe ressaltar também que ambos os conceitos não são disjuntos visto que as técnicas
de Segurança da Informação estão contidas nas técnicas de Defesa Cibernética e são
amplamente utilizadas na defesa, como pode ser visualizado na Figura 2.1:
Técnicas de Defesa Cibernética
Técnicas de
Segurança da
Informação
Figura 2.1 – Relação entre a Defesa Cibernética e

a Segurança da Informação
29
2.2.2 Elementos de Defesa Cibernética
A preparação da defesa será possibilitada pela existência de uma gestão de Defesa que
evidêncie os elementos essenciais de um sistema complexo. Segundo Saydjari, os elementos
básicos de um sistema de Defesa Cibernética são: sensores, consciência situacional,
mecanismos de defesa, comando e controle, estratégicas e táticas, ciência e engenharia (7).
 Os Sensores representam os “olhos” do sistema e são equipamentos e tecnologias que
identificam as capacidades, intenções e ações dos adversários, servindo de alarme de
intrusão (7).
 A Consciência Situacional interpreta os dados avaliando possíveis impactos e efeitos
e provê uma análise do estado corrente de segurança frente aos riscos envolvidos. A
partir dessa análise são identificadas opções de decisões a serem tomadas. A
consciência situacional deverá oferecer um comportamento proativo da organização
frente aos riscos (7).
 Os Mecanismos de Defesa são a tecnologia utilizada para conter ameaças, e provê
processos e tecnologia de segurança para proteger os ativos da organização contra
ataques do ciberespaço (7).
 O Comando e Controle é o processo de tomar e executar decisões a partir de opções
oferecidas com apoio dos dados coletados pela consciência situacional. Esse elemento
provê a análise da situação corrente, de modo que a tomada de decisões seja realizada
a partir de uma compreensão de opções e, ainda, uma comunicação das decisões e
acompanhamento da execução de forma precisa e confiável. As decisões de defesa
cibernética envolvem tanto ações de efeito imediato tais como a desativação de
serviços e instalação de backups de segurança, como também de ações de longo prazo
tais como a implementação de novos serviços para mitigar impactos de

30
vulnerabilidades. O comando e controle devem estar fortemente alinhados com a
missão da organização, de modo que, as decisões tomadas estejam sempre de acordo
com um modelo de riscos do negócio (7).
 Estratégias e Táticas referem-se ao conhecimento que apóia as boas decisões para se
ter uma melhor proteção contra ataques. As Estratégias de Defesa tem por finalidade
orientar a aplicação de recursos, métodos e procedimentos utilizados para a defesa da
missão da organização quanto às ameaças do ciberespaço. Uma estratégia estabelece
um plano de defesa para um determinado cenário de ataque. Dada a necessidade de
rapidez de resposta contra os ataques, é fundamental que a organização tenha
previamente elaborada e testada estratégias para os principais cenários de ataque. As
Táticas de Defesa são os procedimentos e métodos empregados nas diferentes
capacidades da defesa cibernética e que devem estar alinhados com a política e as
estratégias da organização. As táticas são como ferramentas que precisam ser
constantemente avaliadas e testadas quanto a sua eficácia em diferentes cenários de
ataque (7).
 Ciência e Engenharia são os princípios empregados na concepção, desenho,
construção e manutenção de sistemas utilizados para Defesa de modo a proporcionar
um melhor desempenho dos sistemas e processos (7).
2.2.3 Requisitos Desejáveis para Gestão de Defesa Cibernética
Os requisitos mencionados tratam de aspectos que facilitarão sobremaneira a
implementação de um sistema de defesa em uma organização (7). Tais requisitos são
descritos a seguir:
31
 Dinamismo: As técnicas estáticas e preventivas de segurança de informação,
embora importantes, são insuficientes para uso no contexto da Defesa Cibernética.
Na concepção dos sistemas cibernéticos uma defesa confiável possui três elementos
fundamentais: segurança, performance e funcionalidade, que podem ser traduzidos
em três componentes: confidencialidade, integridade de dados e disponibilidade (7).
A Figura 2.2 representa a relação ideal entre a segurança, performance e
funcionalidade em um sistema de defesa cibernética:
Performance
Segurança
Funcionalidade
Figura 2.2 - relação ideal entre a segurança, desempenho e

funcionalidade em um sistema de Defesa Cibernética (7)
 Governança de TI: Segundo o IT Governance Institute, a Governança de TI
consiste da liderança, estruturas organizacionais e processos que garantem que a
organização de TI sustente e estenda os objetivos e as estratégias do negócio (24). É
importante que o ambiente de TI da organização tenha uma governança plena dos
processos de TI que agregam valor para organização (25). A Defesa Cibernética
pode ser caracterizada como um método de governança voltada para segurança dos
sistemas de informação.
 Disciplina de Engenharia de Sistemas: A Engenharia de Sistemas é uma
abordagem inter e multidisciplinar colaborativa de engenharia para derivar, evoluir

32
e verificar uma solução-sistema balanceada ao longo do ciclo de vida que satisfaça
às expectativas dos stakeholders e a aceitação pública (26). Atualmente, o
desenvolvimento de um processo de defesa totalmente seguro é algo difícil e talvez
impossível de se realizar. Isso decorre da integração de diversos elementos que
resultarão em um sistema complexo que exige um alto grau de integração e
dinamismo. Tal abordagem é o objetivo da engenharia de sistemas. Outro fator que
será uma grande ferramenta é que tudo que será feito deve ser medido. Sem uma
métrica para avaliar o desempenho dos sistemas de defesa cibernética será difícil
avaliar o progresso.
 Estado da Arte: Os ataques cibernéticos são cada vez mais sofisticados em virtude
do desenvolvimento de técnicas de invasão. Segundo Saydjari (7), em breve os
atacantes irão desenvolver táticas sofisticadas para possibilitar campanhas
estratégicas com ataques em várias frentes contra os objetivos estratégicos. E ainda,
os atacantes possuem a vantagem de poderem planejar cuidadosamente e escolher o
melhor momento e o ponto mais fraco para atacar. Daí decorre a necessidade de
criar defesas capazes de frustrar tais ataques por intermédio do desenvolvimento de
mecanismos de defesa. A gestão eficaz de todos os elementos de defesa necessitam
do desenvolvimento de estratégias e táticas. Em virtude do desenvolvimento
recente de técnicas e mecanismos de defesa do ciberespaço deve-se fazer uma
analogia com as técnicas de guerra usadas em campo de batalha. Por exemplo, a
tática de forçar um adversário a conquistar determinado espaço territorial tem uma
analogia no ciberespaço quando utilizamos na arquitetura da organização o uso de
honeypot para forçar os adversários a atacarem tais elementos e permitir a análise
dos seus algoritmos de detecção de intrusão. Um honeypot é um recurso

33
computacional de segurança dedicado a ser sondado, atacado ou comprometido
(27). Isso faz com a defesa cibernética seja uma questão de arte, com o apoio pela
ciência, e não uma questão de automação total. Por isso, devemos concentrar-nos
automatizando as tarefas mundanas e prestação de ajuda à decisão de humanos
qualificados para a tomada de decisões estratégicas.
 Investimento em Ciência e Tecnologia: A obtenção da capacidade de defesa
cibernética necessita de muitos avanços na ciência e tecnologia. A organização deve
estar atenta para a busca constante de tecnologias avançadas de defesa em função
do aperfeiçoamento contínuo da área. Deve-se investir na aquisição de sistemas
confiáveis a partir de componentes não confiáveis. Isto decorre da existência de
componentes não confiáveis: o computador que possui hardware vulnerável e os
sistemas utilizados. A confiabilidade será alcançada pela combinação desses
componentes. Por isso, é necessário de compreender como alcançar confiabilidade
através de arquiteturas.
2.3 Modelos de Qualidade para Segurança da Informação
Atualmente não há um modelo de Defesa Cibernética Brasileiro baseado em melhores
práticas e estabelecido nacionalmente. Uma referência de melhores práticas para Segurança
da Informação podem ser encontrados nos modelos para Governança de TI. A Governança de
TI é um conjunto de práticas, padrões e relacionamentos estruturados, assumidos por
executivos, gestores, técnicos e usuários de TI de uma organização, com a finalidade de
garantir controles efetivos, ampliar os processos de segurança, minimizar os riscos, ampliar o
desempenho, otimizar a aplicação de recursos, reduzir os custos, suportar as melhores (25).

34
A implantação da Governança de TI em uma organização ocorre por intermédio da
combinação de diversos modelos de qualidade para fins específicos ou de acordo com a
necessidade da organização. Os modelos existentes na atualidade e que se relacionam a
Governança de TI, na grande maioria possuem uma finalidade específica, podendo ser:
prestação de serviços de TI, ambiente de negócios, marcos de regulação, integração
tecnológica, dependência do negócio em relação a TI e Segurança da Informação (25).
No caso específico da Segurança da Informação existem modelos estabelecidos
internacionalmente e que reúnem as melhores práticas para Segurança da Informação na
implantação e gerenciamento em uma organização (23). Tais modelos são ferramentas que
podem contribuir para a Defesa Cibernética por intermédio das técnicas e métodos existentes.
Dentre os diversos modelos, podemos citar os utilizados no âmbito do escopo do
trabalho: as normas pertencentes à família NBR ISO/IEC 27000 que se aplicam à Segurança
da Informação, a publicação 800-53 do NIST que trata da Gestão de Riscos para Tecnologia
da Informação e o modelo para Governança de TI COBIT.
2.3.1 Família NBR ISO/IEC 27000:2005
A decomposição da sigla NBR ISO/IEC 27002:2005 indica a finalidade da norma
analisada. As NBR são normas técnicas estabelecidas por um organismo nacional de
normalização para aplicação num dado país. No Brasil, as normas brasileiras (NBR) são
elaboradas pela ABNT, e em cada país, normalmente, existe um órgão de normalização.
A ABNT é reconhecida pelo Estado Brasileiro como o Fórum Nacional de
Normalização, o que significa que as normas elaboradas pela ABNT, as NBR, são
reconhecidas formalmente como as normas brasileiras.
ISO é o nome usual com a qual é conhecida a International Organization for
Standardization (Organização Internacional de Padronização). É uma entidade fundada em

35
1947, sediada na Suiça. Congrega organismos de normalização nacionais, cuja principal
atividade é a de elaborar padrões para especificações e métodos de trabalho nas mais diversas
áreas da sociedade, exceto no setor eletro-eletrônico onde a responsabilidade fica a cargo da
International Electrotechical Comission (IEC). O Brasil é representado na ISO por intermédio
da ABNT.
As NBR ISO/IEC 27000 são uma família de normas ou metodologias estruturadas e
reconhecidas internacionalmente dedicadas à segurança da informação. Constituem-se de
processos definidos para validar, implementar, manter e gerenciar a segurança da informação
no âmbito de organizações. Compõem-se de um grupo detalhado de controles compreendidos
das melhores práticas de segurança da informação.
Segundo a ABNT as normas supracitadas foram elaboradas no Comitê Brasileiro de
Computadores e Processamento de Dados, pela Comissão de Estudo de Segurança Física em
Instalações de Informática. O Projeto circulou em Consulta Nacional conforme Edital nº 03,
de 31.03.2005, com o número de Projeto NBR ISO/IEC 17799. Hoje publicada com a
nomenclatura de ABNT NBR ISO/IEC 27002. Constitui uma família de normas de sistema de
gestão de segurança da informação. A família inclui normas sobre requisitos de sistema de
gestão da segurança da informação, gestão de riscos, métricas e medidas, e diretrizes para
implementação. Esta família adota um esquema de numeração usando a série de números
27000 em sequência.
O objetivo da Norma ABNT NBR ISO 27002:2005, segundo a própria ABNT NBR
ISO/IEC 27002 (2005), é estabelecer diretrizes e princípios gerais para iniciar, implementar,
manter e melhorar a gestão de segurança da informação em uma organização.
Os objetivos definidos na norma provêem diretrizes gerais sobre as metas geralmente
aceitas para a gestão da segurança da informação.

36
Os objetivos de controle e os controles têm como finalidade ser implementados para
atender aos requisitos identificados por meio da análise/avaliação de riscos. A norma pode
servir como um guia prático para desenvolver os procedimentos de segurança da informação
da organização e as eficientes práticas de gestão da segurança, e para ajudar a criar confiança
nas atividades interorganizacionais.
A ABNT NBR ISO/IEC 27002:2005 contém 11 seções de controles de segurança da
informação, que juntas totalizam 39 categorias principais de segurança e uma seção
introdutória que aborda a análise/avaliação e o tratamento de riscos.
Cada seção contém um número de categorias principais de segurança da informação.
As 11 seções (acompanhadas com o respectivo número de categorias) são:
 Política de Segurança da Informação (1 categoria);
 Organizando a Segurança da Informação (2 categorias);
 Gestão de Ativos (2 categorias);
 Segurança em Recursos Humanos (3 categorias);
 Segurança Física e do Ambiente (2 categorias);
 Gestão das Operações e Comunicações (10 categorias);
 Controle de Acesso (7 categorias);
 Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação (6 categorias);
 Gestão de Incidentes de Segurança da Informação (2 categorias);
 Gestão da Continuidade do Negócio (1 categoria);
 Conformidade (3 categorias).
37
A ordem das seções não significa o seu grau de importância. Dependendo das
circunstâncias, todas as seções podem ser importantes. Entretanto, cada organização que
utilize a norma deve identificar quais as seções aplicáveis, quão importante elas são e a sua
aplicação para os processos específicos do negócio. Todas as alíneas na NBR ISSO/IEC
27002:2005 também não estão ordenadas por prioridade, a menos que explicitado (23).
Não é de hoje a necessidade de proteger as informações sigilosas nas empresas.
Contudo, devido à disponibilidade de novas tecnologias e a exigência do mercado por um
acesso mais rápido às informações, a preocupação em relação ao sigilo e a segurança da
informação aumentou.
A Norma ISO/IEC 27001:2005 cobre todos os tipos de organizações (por exemplo,
empreendimentos comerciais, agências governamentais, organizações sem fins lucrativos).
Esta Norma especifica os requisitos para estabelecer e implementar, operar, monitorar,
revisar, manter e melhorar um SGSI documentado dentro do contexto dos riscos de negócio
globais da organização.
A norma ISO/IEC FDIS 27001:2005 especifica requisitos para a implementação de
controles de segurança customizados para as necessidades individuais de organizações ou
suas partes.
As normas de Segurança da Informação constituem uma sólida fonte de informações a
serem usadas nos sistemas de Defesa Cibernética.
2.3.2 NIST 800-53
O National Institute of Standards and Technology (NIST) é um instituto do
Departamento de Comércio Americano que trata de padrões nacionais e tecnologia. Possui
diversas publicações que tratam da avaliação e gestão de riscos em diversos setores, dentre
38
eles os relacionados com a Segurança da Informação. A Publicação que trata sobre a
Segurança da Informação é a SP 800-53, controles de segurança recomendados para
organizações e sistemas de informação federal. O documento contém diretrizes para a
implementação de controles recomendados para segurança da informação nas empresas. A
publicação 800-53 possui um framework de administração de risco simplificado, de seis
passos, recomendações para priorizar controles de segurança durante a implementação e
efetuação e um guia sobre como usar o framework de administração de risco para sistemas de
informação.
2.3.3 Modelo COBIT

O CobiT é um guia para a gestão de TI recomendado pelo ISACF (Information
Systems Audit and Control Foundation, www.isaca.org). O CobiT inclui recursos tais como
um sumário executivo, um framework, controle de objetivos, mapas de auditoria, um
conjunto de ferramentas de implementação e um guia com técnicas de gerenciamento. As
práticas de gestão do CobiT são recomendadas pelos peritos em gestão de TI que ajudam a
otimizar os investimentos de TI e fornecem métricas para avaliação dos resultados. O CobiT
independe das plataformas de TI adotadas nas organizações.
O CobiT é orientado ao negócio. Fornece informações detalhadas para gerenciar
processos baseados em objetivos de negócios. O CobiT está dividido em quatro domínios:
Planejamento e organização, Aquisição e implementação, Entrega e suporte e Monitoração.
A Figura 2.3 ilustra a estrutura do CobiT com os quatro domínios, onde claramente
está ligado aos processos de negócio da organização. Cada domínio cobre um conjunto de
processos para garantir a completa gestão de TI, somando 34 processos.

39
O modelo CobiT é uma fonte de controles e processos para Segurança da Informação.
Além disso, dispõe de um modelo de maturidade baseado em estágios indo do inexistente ao
otimizado.
2.3.4 Modelo de Capacidades
Os modelos de qualidade para segurança da informação são normalmente baseados em
processos (como fazer?) que possibilitam a execução das atividades operacionais e de gestão
da organização. São alinhados com o objetivo estratégico e político de uma organização. Um
modelo de capacidades ao invés de analisar os negócios por meio de processos, faz a análise
por capacidades enfatizando o que é necessário fazer (o que fazer?) para que a TI possibilite a
gestão e realização das atividades de uma organização (28).

40
Figura 2.3 – Estrutura do Modelo de Governança de TI CobiT (44)
Uma capacidade descreve o que uma função de negócio faz, sem descrever como essa
função é executada e são mais estáveis do que os processos, pois, os processos de negócio
estão em constante modificação devido a mudanças organizacionais ou de tecnologia. Uma

41
capacidade é constituída de processos, pessoas e ativos físicos ou a combinação de dois ou
três elementos conforme ilustrado na Figura 2.4 (29).
Capacidades do
Negócio
Processos Pessoas Ativos Físicos
Figura 2.4 Elementos de uma Capacidade
O modelo de capacidades pode ser representado por uma taxonomia ilustrando as
capacidades de uma organização em diversos níveis de abstração e de forma hierárquica. As
capacidades podem ser modeladas usando relações pai/filho, que facilitam o entendimento em
vários níveis de detalhe. As taxonomias das capacidades são divididas hierarquicamente em
níveis sendo o primeiro nível caracterizado pelas capacidades fundamentais subdivididas em
operacionais e ambientais. As operacionais incluem todas as capacidades que uma
organização possui para gerar valor para o cliente. As capacidades ambientais são todas as
capacidades externas ao negócio que influem na forma como a organização gera valor (29).
As capacidades do segundo nível (ou Grupo de Capacidades) representam o primeiro
nível de detalhamento de cada capacidade fundamental. Grupos de capacidades são
geralmente importantes, pois, refletem as capacidades que serão atribuídas a unidades
funcionais da organização. Essas capacidades possuem níveis de serviço, restrições e
limitações. Os Grupos de Capacidades são desmembrados por sua vez em capacidades de
terceiro nível ou capacidades de negócio. Eventualmente, algumas capacidades de negócio
podem ser desmembradas em novas capacidades de negócio, até o ponto de serem mapeadas
diretamente a um processo de negócio, como se pode visualizar na Figura 2.5 (29).

42
Capacidade
Organizacional
1° Nível Capacidades
Fundamentais ...
Grupo de
2° Nível Capacidades ... ...
Capacidades de
3° Nível ... Negócios
Figura 2.5 – Taxonomia Hierárquica das Capacidades
2.4 Necessidade de um modelo de Defesa Cibernética
Em virtude do caráter dinâmico da defesa Cibernética surge a necessidade de um
modelo de gestão baseado em melhores práticas de defesa. Ressalta-se a importância de
observação dos requisitos desejáveis e os elementos da Defesa Cibernética para uma
implementação eficaz.
A necessidade de um modelo cresce em importância devido a necessidade real de uso de
um modelo para ser implementada por organizações da administração pública e privada. Tal
fato pode ser justificado pelos prováveis gastos que podem decorrer do sucesso nos ataques
oriundos do espaço cibernético.
Assim, um modelo de referência capaz de diagnosticar a situação da organização com
relação aos seus mecanismos de defesa constitui um instrumento útil para uso diário.
43
3. MODELO DE CAPACIDADES PARA DEFESA CIBERNÉTICA
O modelo proposto no trabalho toma como base para estudo o modelo de capacidades.
Em virtude de ser uma área intimamente ligada à tecnologia, a evolução fatalmente tornará
obsoletos alguns processos atualmente existentes e outros deverão ser criados para
possibilitar a capacidade principal da organização de gerar a Defesa Cibernética.
Os passos para desenvolver o modelo de capacidades para Defesa Cibernética proposto
no trabalho são os seguintes:
 Construção de uma ontologia para Defesa Cibernética;
 Levantamento de capacidades por intermédio da ontologia;
 Identificação de níveis de maturidade desejáveis para implantação do modelo; e
 Proposta de cenários de uso do modelo.
Os passos são especificados no gráfico do IDF0 na Figura 3.1 juntamente com as
ferramentas e os controles esperados.
Figura 3.1 .: Fases para construção do Modelo de

Capacidades
44
3.1 Uma Ontologia para Defesa Cibernética
Para que seja possível realizar uma defesa eficiente e eficaz é necessário um
profundo conhecimento sobre o assunto por intermédio da definição de conceitos,
propriedades, relações e conhecimentos envolvidos na Defesa Cibernética. Tal
conhecimento pode ser representado por intermédio da construção de uma ontologia
para possibilitar o levantamento de capacidades mínimas necessárias a um sistema
de defesa. Uma ontologia faz uma especificação formal de uma área de conhecimento e se
compõe de cinco componentes para formalização dos termos: conceitos, relações, funções,
axiomas e instâncias (30). A ontologia aborda os conceitos fundamentais de Defesa
Cibernética não envolvendo processos utilizados na atualidade, possibilitando o levantamento
de capacidades para o modelo de defesa proposto.
O vocábulo ontologia foi introduzido no estudo da filosofia de modo a fazer uma
distinção entre o estudo do ser e o estudo dos vários tipos de seres vivos existentes no mundo
natural. O objetivo da ontologia é o fornecimento de sistemas de categorização para organizar
a realidade. Uma ontologia é uma especificação explícita dos objetos, conceitos e outras
entidades que se assume existirem em uma área de interesse, além das relações entre estes
conceitos e restrições expressados através de axiomas (31).
Em ciência da computação, o termo ontologia refere-se a um artefato de engenharia,
constituído por um vocabulário específico que descreve um modelo particular do mundo,
adicionando um conjunto explícito de suposições relacionando os significados das palavras no
vocabulário (31). Os vocabulários são usualmente organizados em taxonomias.
Existem diversas propostas de metodologias para apoiar o processo de construção de
ontologias, entretanto, nenhuma delas é a mais adequada em virtude da particularidade de

45
cada aplicação, ou seja, uma combinação de metodologias se torna pertinente no processo de
desenvolvimento de ontologias (31).
Alguns exemplos de processos de construção de ontologias são os citados abaixo:
 A metodologia Toronto Virtual Enteprise (TOVE) foi proposta por Michael
Grüninger e Mark S. Fox (32). Essa metodologia teve como base para o seu desenvolvimento
a experiência obtida no desenvolvimento da ontologia do projeto TOVE, o qual modela
processos e atividades comerciais para empresas com os domínios de processos corporativos e
de negócios. As etapas da metodologia de Grüninger e Fox são as seguintes (32): 1. Descrição
de cenários motivadores: Os cenários motivadores são descrições de problemas ou exemplos
que não são referenciados adequadamente por ontologias existentes. Identifica possíveis
problemas que demandem uma nova ontologia. A partir destes cenários motivadores, chega-se
a um conjunto de soluções possíveis que carregam a semântica informal dos objetos e
relações que posteriormente serão incluídos na ontologia. 2. Formulação informal das
questões de competência: Baseado no cenário, um conjunto de perguntas irá surgir, como
por exemplo, quais são as questões que a ontologia deve responder. Essas perguntas são as
questões de competência da ontologia. Elas não são expressas em linguagem formal e são
elaboradas com o propósito de auxiliar a análise da ontologia. 3. Especificação dos termos
da ontologia através de uma linguagem formal: Definição de um conjunto de
termos/conceitos, a partir das questões de competência. A terminologia da ontologia deve
então ser especificada numa linguagem formal, usando lógica de primeira ordem ou
equivalente. 4. Descrição formal das questões de competência: São utilizadas as questões
de competência informal e a terminologia formal para obtenção das questões de competência
descrita em uma linguagem formal. 5. Especificação formal dos axiomas: Criação dos
axiomas, que especificam as definições dos termos e limitações de sua interpretação, descritos
em linguagem formal, com o objetivo de definir a semântica dos termos e relacionamentos da

46
ontologia. 6. Verificação da completude da ontologia: Estabelecer condições que
caracterizem a ontologia como completa através das questões de competência formalmente
descritas e definir soluções para que as questões de competência sejam completas.
 Metodologia proposta por Uschold e King foi a primeira metodologia para o
desenvolvimento de ontologias. O grupo do pesquisador Mike Uschold desenvolveu o projeto
Enterprise Ontology, que trata da modelagem de processos empresariais. A experiência obtida
com a construção da ontologia deste projeto serviu de base para o desenvolvimento dessa
metodologia (33). A metodologia de Uschold e King é composta de quatro estágios distintos
para o desenvolvimento de ontologias: identificação, construção, avaliação e documentação.
As etapas da metodologia são as seguintes: 1. Identificação do propósito da ontologia:
Definição de porque construir a ontologia, para que e como ela será utilizada e identificação
das suas questões de competência. 2. Construção da ontologia: Esse estágio é subdividido
em três sub-estágios: 2.1 Captura da ontologia: Visa identificar conceitos e relacionamentos
do domínio de interesse e definir textualmente esses conceitos e relacionamentos.2.2
Codificação: Codificar as informações obtidas na captura da ontologia na forma de uma
linguagem formal. 2.3 Integração com ontologias existentes: Questionar a possibilidade de
reutilização de ontologias existentes, integrando a nova ontologia com as ontologias
existentes. 3. Avaliação da ontologia: Utilizar critérios técnicos; verificar especificação de
requisitos,validar as questões de competência e comparar com o mundo real. 4.
Documentação: Descrição detalhada de todos os passos de cada estágio da metodologia.
A ontologia envolvendo os conceitos de Defesa Cibernética proposta neste trabalho
utiliza como base a metodologia de construção de ontologias proposta por Sandro Rautenberg,
da Universidade do Centro Oeste, José L. Todesco e Fernando A. O. Gauthier, estes últimos
da Universidade Federal de Santa Catarina.

47
No entanto diversas outras metodologias poderiam ser utilizadas no escopo do presente
trabalho, como por exemplo, a Toronto Virtual Enteprise (TOVE), a metodologia
proposta por Mike Uschold e Martin King citadas anteriormente, a metodologia
Sensus, dentre outras.
O processo proposto toma como base as seguintes metodologias para construção de
ontologias com suas respectivas contribuições (34):
• Ontology Development 101: contribui com uma visão clara de como se dá um
processo iterativo para o desenvolvimento de ontologias.
• On-to-Knowledge: contribui na especificação dos requisitos da ontologia, por meio
do emprego de questões de competência como modo simples e direto para
confirmar o propósito e o escopo de uma ontologia. Tal contribuição permite
identificar antecipadamente, conceitos, propriedades, relações e instâncias.
• MENTHONTOLOGY: contribui com alguns artefatos de documentação e na
atividade de avaliação de ontologias.
No processo de desenvolvimento de ontologias utilizado como base, os autores partiram
de duas premissas: a não existência de um modo correto ou metodologia de desenvolvimento
de ontologias; e a utilização da combinação das melhores práticas metodológicas dos
processos como algo pertinente em um processo de desenvolvimento de ontologias (34).
Conforme a metodologia utilizada como base foi realizada a construção de uma
ontologia para Defesa Cibernética realizando-se os passos especificados no modelo sendo os
seguintes: especificação, conceitualização, formalização, implementação e avaliação. As
etapas foram realizadas seguindo os passos abaixo discriminados (35):
 Especificação
48
a. escopo da ontologia: a ontologia auxiliará as atividades de gerenciamento e
gestão de Defesa Cibernética em organizações ou instituições que possuem ativos passíveis de
sofrerem ataques oriundos do espaço cibernético.
A informação e os sistemas de informação são ativos que, como qualquer outro
ativo importante, são essenciais para os negócios de uma organização e, portanto, necessitam
ser protegidos adequadamente. Assim a Defesa Cibernética, que é um ramo da Guerra
Cibernética, trata do emprego defensivo de metodologias, processos, equipamentos e
estratégia para defesa e proteção de informações, sistemas de informações e redes de
computadores.
b. identificação do propósito da ontologia: a ontologia será de grande valia na
especificação, representação, formalização e compartilhamento de conhecimento a despeito
da Defesa Cibernética. A ontologia pode ser considerada como um ponto de partida para
facilitar o desenvolvimento de diretrizes específicas de Defesa Cibernética e Segurança da
Informação em uma organização. Os termos relacionados na ontologia estão contidos em
normas, processos de qualidade e bibliografias sobre gerenciamento e gestão da segurança da
informação e Defesa Cibernética.
c. identificação das fontes de conhecimento: as fontes de conhecimento para
construção da ontologia foram:
- o artigo “Cyber War: Art to Science”, de Saydjari que especifica os elementos
fundamentais em um sistema complexo de Defesa Cibernética (7);
- a Norma Brasileira ABNT NBR ISO/IEC 27001 que trata do código de prática
para a gestão da segurança da informação; e
- a Publicação Especial 800-53 do National Institute de Standards and Technology
(NIST 800-53) que trata dos controles de segurança recomendados para sistemas de
informação.
49
d. consideração do reuso de ontologias: por ser tratar de assunto complexo e
relativamente recente não foi possível encontrar uma ontologia sobre o assunto em questão
para ser reutilizada.
e. geração das questões de competência: uma ontologia deve ser capaz de
responder as questões de competência do assunto em pauta . Por intermédio da análise das
fontes de conhecimento foram eleitas as questões-chave que devem ser respondidas pela
ontologia para servir de apoio no gerenciamento de um sistema de defesa (7), sendo as
seguintes :
1. Se a organização estiver sob ataque cibernético como identificar a natureza e
origem?
2. Quais as causas do ataque?
3. O que os atacantes podem fazer?
4. Qual o impacto do ataque na missão da organização?
5. O perímetro de Segurança foi ultrapassado?
6. Quais são as opções de defesa?
7. Qual a melhor opção de defesa?
8. Qual a vulnerabilidade explorada pelo atacante?
9. Como impedir tais ataques no futuro?
 Conceitualização
a. listar os termos da ontologia: Conforme análise das fontes de conhecimento
verificou-se que os termos que se relacionam com a Defesa Cibernética são os seguintes:
Política, Estratégia, Táticas, Comando e Controle, Mecanismos de Defesa, Supervisão da
Defesa, Política de Defesa, Monitoramento e Avaliação de Estratégias e Táticas, Gestão de
Problemas, Gestão de Conhecimento, Consciência Situacional, Serviços de Segurança,

50
Segurança Física e do Ambiente, Segurança Pessoal, Desenvolvimento Seguro, Operação
Segura, Manutenção Segura, Monitoramento de Mecanismos de Defesa, Política de Defesa,
Organização de Defesa, Segurança em Recursos Humanos, Comando, Controle, Controle de
Acesso, Identificação e autorização, Confidencialidade, Disponibilidade, Integridade,
Proteção de Mídia, Áreas Seguras, Segurança de Equipamentos, Proteção dos Sistemas e
Comunicações, Pessoal Terceirizado, Requisitos de Defesa dos Sistemas, Processamento
Correto de Aplicações, Controles Criptográficos, Segurança dos Arquivos do Sistema,
Segurança no Desenvolvimento e Manutenção, Gestão de Vulnerabilidades Técnicas, Gestão
de Incidentes, Testes de Invasão e Auditoria, dentre outros.
b. agregar os elementos reutilizáveis: não foi encontrada uma ontologia para
reutilização de elementos.
c. classificar os termos: com a lista de termos disponíveis foi possível classificar
os elementos de acordo com a compreensão que se tem do domínio e foi realizada a
classificação dos elementos em classes, relações, propriedades de dados, instâncias e
restrições a serem visualizadas na ontologia final.
 Formalização
A atividade foi realizada utilizando a ferramenta Protégé (Figura 3.1) sendo
realizadas as seguintes atividades: definição da hierarquia de classes entre os conceitos
envolvidos, mapeamento das relações entre as classes por intermédio da definição e a
correlação entre os conceitos, propriedade de dados às classes visando a particularidade de
cada elemento se for o caso, restrição das classes se for o caso, instâncias das classes que são
os processos usados na atualidade ou especificamente a atividade de defesa específica,
refinamento das relações das classes e refinamento das propriedades de dados das classes.
51
Figura 3.1 .: Atividade de Formalização para construção da Ontologia de Defesa

Cibernética utilizando a ferramenta Protégé (35)
 Implementação
A implementação foi realizada utilizando como base a ferramenta Protégé para
geração da documentação da ontologia, como as definições dos termos, as relações de classes
e também foi utilizada a ferramenta CMAP para a construção do Mapa Conceitual e da
Ontologia Final, que pode ser visualizada na Figura 3.2. O mapa conceitual constitui-se de
todos os conceitos, relações, funções, axiomas e instâncias que envolvem o assunto em tela de
um modo geral. A ontologia é um refinamento do mapa conceitual com os elementos
suficientes para responderem as questões de competência.
As atividades desenvolvidas nesta etapa foram: atribuição de valor às propriedades de
dados, a atribuição de valor às relações e a atribuição de valor às restrições das classes.
 Avaliação
A avaliação da ontologia perante as fontes de conhecimento mostrou contribuir de
forma significativa para a compreensão do assunto uma vez que engloba os conceitos de
defesa cibernética em alto nível.
Utilizando os itens previstos na especificação pode-se avaliar a ontologia
confrontando com as informações geradas a partir do propósito, do escopo e das questões de

52
competência da ontologia. Assim, verificou-se a precisão e a completude da ontologia (Fig.
3.2) uma vez que respondeu as questões de competência tomando como base os conceitos
relacionados na base de conhecimento e na ontologia. As respostas as questões de
competência podem ser atendidas da seguinte forma:
1. Se a organização estiver sob ataque cibernético como identificar a natureza e
origem? A resposta para o questionamento pode ser verificada por intermédio da supervisão
da defesa que realiza o monitoramento dos mecanismos de defesa.
2. Quais as causas do ataque? As causas dos ataques podem ser identificadas por
intermédio da consciência situacional que dentre outras coisas identificam o histórico dos
ataques e as finalidades específicas.
3. O que os atacantes podem fazer? Os atacantes podem destruir, sabotar, espionar
ou negar os serviços disponibilizados e podem ser verificados por intermédio dos mecanismos
de defesa.
53
Figura 3.2 .: Ontologia dos conceitos de Defesa Cibernética (35)

54
4. Qual o impacto do ataque na missão da organização? O impacto poderá ser
verificado com precisão por intermédio da Governança no que diz respeito a estratégia da
organização, e ainda, com a análise dos ativos envolvidos.
5. O perímetro de Segurança foi ultrapassado? A Supervisão da Defesa pode
informar se o perímetro físico e lógico da rede de computadores da organização foi invadido
pelo atacante.
6. Quais são as opções de defesa? A consciência situacional possui condições de
informar quais as melhores opções de defesa para fazer frente ao ataque realizado.
7. Qual a melhor opção de defesa? A melhor opção de defesa será verificada pelo
melhor comando por intermédio das informações disponibilizadas pela consciência
situacional e pela supervisão da defesa.
8. Qual a vulnerabilidade explorada pelo atacante? Por intermédio da auditoria da
supervisão da defesa é possível verificar a vulnerabilidade explorada pelo atacante
especificando as características técnicas debilitadas.
9. Como impedir tais ataques no futuro? Por intermédio do suporte e manutenção
oriunda do desenvolvimento seguro de sistemas é possível verificar quais as medidas
necessárias para corrigir a vulnerabilidade explorada pelo atacante.
3.2 Modelo de Capacidades para Defesa Cibernética
As capacidades fundamentais são ambientais e operacionais. As ambientais representam
as capacidades externas que interagem com as capacidades operacionais. Para a Defesa
Cibernética, o ambiente são os ativos a serem protegidos e as fontes de ameaças interessadas
em causar danos nos ativos da organização (28). Assim as capacidades ambientais
representam os ativos da organização e as fontes de ameaças para estes ativos. As capacidades

55
operacionais devem proteger os ativos da organização das fontes de ameaças conforme
ilustrado na Figura 3.3.
Ataques
oriundos do
Ciberespaço
Ativos
Proteção das Capacidades

Fundamentais Operacionais
Figura 3.3. Emprego das Capacidades Fundamentais Operacionais (28)
Essas capacidades operacionais foram identificadas a partir dos elementos fundamentais
de um sistema de Defesa Cibernética conforme O. Sami Saydjari (7), sendo os seguintes:
Sensores, consciência situacional, Mecanismo de Defesa, Comando e Controle, Estratégias e
Táticas, Ciência e Engenharia. A construção da ontologia para Defesa Cibernética facilitou
em grande parte o trabalho para relação dos conceitos e a definição das capacidades para o
modelo de Defesa Cibernética.
Cada um desses elementos pode ser atendido pelas seguintes capacidades operacionais
fundamentais, juntamente com o grupo de capacidades e as capacidades de negócios proposto
no modelo que pode ser visualizado na Figura 3.4: Governança; Comando e Controle;
Mecanismos de Defesa e Supervisão da Defesa (28).
Defesa
Cibernética
Comando e Mecanismos de Supervisão da

Governança
Controle Defesa Defesa
Serviços de
Política Comando Monitoramento
Segurança
Gestão de
Gestão de
Estratégias e Controle Segurança Física
Incidentes
Táticas
Sistema de
Gestão do Segurança de
Comando e Teste de Defesa
Conhecimento Pessoal
Controle
Desv, Op e Mnt
Auditoria
Segura
Figura 3.4 - Taxonomia das Capacidades Fundamentais para Defesa Cibernética

56
3.2.1 Governança
A Governança visa garantir que o sistema irá atender às metas de negócios da
organização. A governança para Defesa Cibernética tem por objetivo estabelecer e aprimorar
a política, as estratégias e as táticas da organização frente às ameaças existentes no espaço
cibernético. A idéia central dessa capacidade é o constante aprimoramento do pessoal,
processos e tecnologia na organização, de modo que, as melhores decisões sejam sempre
tomadas e a organização faça uso de estratégias e táticas previamente avaliadas e testadas
(28).
A capacidade fundamental Governança pode ser desmembrada nos seguintes Grupos de
Capacidades, conforme ilustrado na Figura 3.5:
Governança
Gestão de
Gestão de
Política Estratégias e
Conhecimento
Táticas
Figura 3.5 Taxonomia das Capacidades Fundamentais para

Defesa Cibernética
 Política de Defesa
Uma política de Defesa Cibernética consiste num conjunto formal de regras que
devem ser seguidas pelos diferentes membros e colaboradores da organização. É um
documento que descreve os requisitos globais de segurança e retratam valores da organização,
experiências passadas e melhores práticas. A política de defesa fornece princípios a serem
obedecidos pelas estratégias e táticas de Defesa Cibernética na organização (28).
A capacidade visa à definição da política do sistema de defesa em termos da missão e
valores da organização. Na política devem ser definidos os objetivos de segurança e

57
estabelecido um direcionamento global e princípios a serem empregados para a Defesa
Cibernética (23).
 Gestão de Estratégias e Táticas
As Estratégias de Defesa tem por finalidade orientar a aplicação de recursos,
métodos e procedimentos utilizados para a defesa cibernética da missão da organização
quanto às ameaças do ciberespaço. Uma estratégia estabelece um plano de defesa para um
determinado cenário de ataque tomando como base a política da organização. Dada a
necessidade de rapidez de resposta contra os ataques é fundamental que a organização tenha
previamente elaborada e testada estratégias para os principais cenários de ataque e a definição
dos riscos relacionados aos ativos organizacionais (7). As estratégias da organização devem
vislumbrar no mínimo os seguintes elementos ou capacidades de negócios:
a) Uma Gestão de Riscos de acordo com uma metodologia de análise e avaliação
de riscos da organização que seja adequada para o uso na organização em conformidade com
a política, requisitos legais, regulamentares e de segurança da informação. O modelo proposto
utiliza os controles do modelo para análise e avaliação de riscos do NIST 800-53.
b) Gestão de recursos para prover os recursos necessários para sustentar as
atividades de implantação, operação, manutenção e a melhoria contínua do sistema de defesa,
bem como, para assegurar que todo pessoal que tem responsabilidades atribuídas definidas no
sistema de defesa seja competente para desempenhar as tarefas requeridas (23).
c) Gestão de continuidade do negócio é o desenvolvimento preventivo de um
conjunto de estratégias e planos de ação de maneira a garantir que os serviços essenciais
sejam devidamente identificados e preservados após a ocorrência de um desastre, e até o
retorno à situação normal de funcionamento da organização, dentro do contexto do negócio

58
do qual ela faz parte. Tal atividade pode ser materializada por intermédio de um Plano de
Continuidade do Negócio.
As Táticas de Defesa são os procedimentos e métodos empregados nas diferentes
capacidades da defesa cibernética e que devem estar alinhados com a política e as estratégias
da organização. As táticas são como ferramentas que precisam ser constantemente avaliadas e
testadas quanto a sua eficácia em diferentes cenários de ataque (7). As táticas vislumbram os
processos utilizados para atenderem com eficácia e eficiência as capacidades estabelecidas
para a organização.
 Gestão de Conhecimento
É o processo sistemático de identificação, criação, renovação e aplicação dos
conhecimentos que são estratégicos na vida de uma organização. É a administração dos ativos
de conhecimento da organização permitindo à organização saber o que ela sabe (36).
A gestão do conhecimento leva as organizações a mensurar com mais segurança a
sua eficiência, a fim de possibilitar a tomada de decisões acertadas com relação a melhor
estratégia a ser adotada em relação aos seus clientes, oponentes, canais de distribuição e ciclos
de vida de produtos e serviços, saber identificar as fontes de informações, saber administrar
dados e informações, saber gerenciar seus conhecimentos. Trata-se da prática de agregar valor
à informação e de distribuí-la (37).
No modelo proposto a Gestão do Conhecimento tem um papel fundamental uma vez
que visa a documentar todo conhecimento a despeito de Defesa Cibernética de modo a
proporcionar vantagem competitiva.

59
3.2.2 Comando e Controle

No contexto militar, o Comando e Controle é uma atividade fundamental para o êxito
das operações em todos os escalões de comando. É uma atividade especializada e sua
execução se baseia em uma concepção sistêmica, com métodos, procedimentos,
características e vocabulário que lhe são peculiares (38).
No modelo proposto, a capacidade vincula e permeia todas as atividades operacionais e
a governança, sincronizando-as e permitindo ao comandante adquirir e manter o indispensável
nível de consciência situacional para a tomada de decisões adequadas às circunstâncias do
ambiente operacional, para a expedição de ordens e para o controle de sua execução.
A Doutrina Militar de Comando e Controle do Brasil (38) é definida como a ciência e
arte que trata do funcionamento de uma cadeia de comando e, nessa concepção, envolve,
basicamente, três componentes: a autoridade legitimamente investida apoiada por uma
organização, a sistemática de um processo decisório e a estrutura, incluindo pessoal,
equipamento, doutrina e tecnologia necessários para a autoridade acompanhar o
desenvolvimento das operações.
Essa capacidade fundamental provê a análise da situação corrente, a tomada de decisões
a partir de uma compreensão de opções e uma comunicação das decisões e acompanhamento
da execução de forma precisa e confiável (28).
As decisões de defesa cibernética envolvem tanto ações de efeito imediato, tais como a
desativação de serviços e instalação de backups de segurança, como também de ações de
longo prazo, tais como a implementação de novos serviços para mitigar impactos de
vulnerabilidades.
A capacidade de comando e controle deve estar fortemente alinhada com a missão da
organização, de modo que, as decisões tomadas estejam sempre de acordo com um modelo de
60
riscos do negócio. A capacidade de Comando e Controle é desmembrada nos seguintes
Grupos de Capacidades, conforme ilustrada na Figura 3.6:
Comando e
Controle
Sistema de
Comando Controle Comando e
Controle
Figura 3.6 – Taxonomia da Capacidade Fundamental de Comando e Controle
 Comando
É uma atividade básica muito ligada à natureza do segmento militar de uma
sociedade. Caracteriza-se pelo estabelecimento da autoridade, decorrente das leis e
regulamentos, atribuída a um ator para dirigir e controlar uma fração de pessoas, sob todos os
aspectos, em razão do cargo ou função (38). As decisões são tomadas a partir de opções
coletadas e estabelecidas pela consciência situacional. As decisões do comando devem estar
alinhadas com os interesses da alta gerência da organização.
A consciência situacional provê uma análise do estado corrente de segurança frente
aos riscos envolvidos. A partir dessa análise são identificadas opções de decisões a serem
tomadas. A consciência situacional deverá oferecer um comportamento pró-ativo da
organização frente aos riscos (28).
 Controle
O controle deve exercer também a gestão operacional da defesa cibernética, e
caracteriza-se pelo acompanhamento efetivo das ações em curso, confrontando-se os
resultados da execução com o previsto no planejamento. Efetiva-se por meio de informações

61
que permitam acompanhar o andamento de ordens emitidas e de ações em execução,
auxiliando a reavaliar decisões e atualizando as informações disponíveis ao comandante sobre
o ambiente operacional (38). A execução das ações deve ser comunicada e monitorada, com
vistas a contornar óbices e desencadeando ações que possam corrigir os rumos da operação de
modo a garantir a consecução dos objetivos finais, a despeito da atuação do inimigo.
 Sistema de Comando e Controle
É o conjunto de instalações, equipamentos, comunicações, doutrinas, procedimentos
e pessoal essenciais para o Comandante planejar, dirigir e controlar as ações da sua
organização para que se atinja uma determinada finalidade. Na Defesa Cibernética o sistema
deve permitir a criação, exploração e manutenção de uma sistemática de um processo
decisório que permita ao comandante a formulação de ordens e o estabelecimento do fluxo de
informações destinado à garantia do cumprimento pleno das ordens (38).
3.2.3 Mecanismos de Defesa
A capacidade fundamental provê processos e tecnologia de segurança para proteger os
ativos da organização contra ataques do ciberespaço tomando como base as estratégias e
táticas estabelecidas pela organização (7). Os elementos essenciais para que essa capacidade
seja atendida podem ser caracterizados pelos serviços de segurança, segurança física. É
desmembrada nos seguintes Grupos de Capacidades visualizada na Figura 3.7 abaixo:
Mecanismos
de Defesa
Serviços de Segurança Segurança de Desv, Op e

Segurança Física Pessoal Mnt Segura
Figura 3.7 – Taxonomia da Capacidade Fundamental de Mecanismos de Defesa

62
 Serviços de Segurança
Tem por finalidade prover serviços de segurança com a finalidade de proteger os
ativos de TI de acordo com os riscos envolvidos (28). Os serviços são traduzidos em
processos que visam implementar a Security (segurança lógica): Relacionado a proteção de
informações processadas por sistemas digitais.
Com relação a Security, os serviços propostos a serem implementados são os
relacionados com os seguintes requisitos de segurança:
- A confidencialidade que é a propriedade de que a informação não esteja
disponível ou revalada a indivíduos, entidades ou processos não autorizados (23). Em outras
palavras indica que os recursos ou informação podem ser acessados apenas por usuários
autorizados, ou seja, que o usuário deve ser identificado para ter acesso aos recursos
(autenticação). E ainda, o controle de permissões de acesso de modo que sejam utilizados os
recursos que o usuário pode utilizar (autorização). As permissões para um mesmo usuário
podem depender de localização física, tempo ou papel funcional.
- A disponibilidade é a propriedade de estar acessível e utilizável sob demanda por
uma entidade autorizada (23), ou seja, os recursos devem estar disponíveis para os usuários
autorizados quando solicitados.
- A integridade é a propriedade de salvaguarda da exatidão e completeza de ativos
(23). Indica que os recursos podem ser modificados apenas por usuários autorizados,
proporcionado a segurança de transações e a garantia que uma operação foi efetuada da forma
correta.
 Segurança Física
É parte de um requisito fundamental que é Safety (segurança física): Relacionado a
proteção contra danos físicos a equipamentos, instalações e pessoas. A capacidade proposta

63
visa garantir que os equipamentos e instalação física estão adequadamente protegidos de
acordo com os riscos envolvidos (28), buscando prevenir o acesso físico não autorizado,
danos e interferências com as instalações e informações da organização. De acordo com a
ISO/IEC 27002 a segurança física pode contemplar o controle de entrada física, o perímetro
de segurança física, a segurança em escritórios, salas e instalações, proteção contra ameaças
externas e do meio ambiente, trabalho em áreas seguras e o acesso do público em áreas de
entrega e carregamento (23).
 Segurança de Pessoal
Visa garantir que controles pessoais apropriados estão ativos antes da contratação,
durante o contrato e após contrato para todo pessoal envolvido na Defesa Cibernética da
organização, incluindo terceiros (23). Implica em assegurar que os funcionários, fornecedores
e terceiros entendam suas responsabilidades e estejam de acordo com os seus papéis,
reduzindo o risco de roubo, fraude ou mau uso de recursos.
 Desenvolvimento, Operação e Manutenção Segura
Visa garantir que os sistemas são desenvolvidos, adquiridos, instalados, operados e
mantidos seguindo processos adequados ao nível de risco envolvido (28) fazendo que a
segurança seja parte integrante dos sistemas de informação.
3.2.4 Supervisão da Defesa
A defesa cibernética requer o monitoramento e acompanhamento constante da eficácia
dos mecanismos de defesa (28). Essa capacidade analisa e trata os incidentes ocorridos, a
capacidade e possíveis intenções dos atacantes, bem como identifica e analisa as

64
vulnerabilidades correntes através de testes de invasão e auditorias. Essa capacidade é
desmembrada nas seguintes capacidades visualizadas na Figura 3.8:
Supervisão da
Defesa
Gestão de Testes de
Monitoramento Auditoria
Incidentes Invasão
Figura 3.8 – Taxonomia da Capacidade Fundamental de Supervisão da Defesa
 Monitoramento de mecanismos de defesa
Executa o monitoramento dos mecanismos de defesa instalados de modo a identificar
possíveis intrusões ou novas vulnerabilidades (7) (23). A atividade visa detectar atividades
não autorizadas de processamento da informação.
 Gestão de Incidentes
É uma propriedade que visa identificar, analisar e tratar incidentes reportados,
propondo a implementação de medidas corretivas de acordo com sua capacidade operacional
(28).
 Testes de Invasão
Testes de avaliação são periodicamente executados de modo a avaliar a robustez dos
mecanismos de defesa instalados. É uma demonstração de que o sistema atende os requisitos
de segurança estabelecidos pela organização, por intermédio da estratégia. Os testes devem
ser realizados com frequência determinada pela organização (28).

65
 Auditoria
Auditorias são periodicamente executadas de modo a verificar se os processos
recomendados e boas práticas estão sendo empregadas. A auditoria deve tomar como base os
itens previstos na política e na estratégia da organização e deve ocorrer a intervalos
planejados para determinar se os objetivos de controle, controle, processos e procedimentos
estão de acordos (23).
Basicamente a auditoria deve determinar se a organização atende aos requisitos
estabelecidos, se estão mantidos e implementados eficazmente e se são executados conforme
esperado (23).
3.3 Relações entre as Capacidades Fundamentais
As relações entre as capacidades para funcionamento do modelo podem ser visualizadas
na Figura 3.9 abaixo, de modo a permitir um entendimento das relações entre as capacidades.
Comando e
Controle
Mecanismo
de Defesa
Supervisão
Governança
da Defesa
Figura 3.9 Relações entre as Capacidades Fundamentais do Modelo de

Defesa Cibernética
66
As relações entre as capacidades fundamentais são as seguintes:
 A Governança é a base para as demais capacidades poderem funcionar de acordo
com um planejamento que visa atingir as metas do negócio. Prevê a existência de
uma política que será a base para o desenvolvimento de estratégias e táticas da
organização nos aspectos relacionados ao Comando e Controle, Mecanismos de
Defesa e Supervisão da Defesa;
 O Comando e Controle trata de coordenar as atividades relacionadas aos
mecanismos de defesa e a supervisão da defesa tomando como base a política e o
planejamento previsto na governança, por intermédio das estratégias e táticas. E
ainda, de fornecer subsídios para constantes atualizações do planejamento da
governança por intermédio dos eventos que ocorrerem no sistema de defesa;
 Os mecanismos de defesa são a linha de defesa contra os ataques do ciberespaço e é
comandado pela capacidade de comando e controle. Seu funcionamento é
monitorado e fiscalizado pela supervisão da defesa.
 A Supervisão da Defesa fiscaliza o funcionamento dos mecanismos de defesa a fim
de gerar novos requisitos de segurança para constarem da governança da
organização e reportar ao Comando da organização os eventos ocorridos com o
sistema na busca da melhor solução.

67
4. MODELO DE MATURIDADE PARA DEFESA CIBERNÉTICA
A definição de maturidade, segundo o dicionário Aurélio, é “estado em que está
plenamente desenvolvido; época desse desenvolvimento; perfeição; excelência, primor”. A
maturidade indica o grau de desenvolvimento de um determinado ator com relação a um
contexto pré-definido.
No contexto organizacional, pode-se dizer que um modelo de maturidade funciona
como um guia para a organização, de tal maneira que ela possa localizar onde está e como
está, “espelhando-se” nele para, em seguida, realizar um plano para chegar a algum ponto
melhor do que o atual, na busca da excelência (39). De modo geral, os modelos de maturidade
permitem a uma organização avaliar o grau de domínio com relação a um modelo adotado e a
experiência da organização na adoção de melhores práticas para a implementação de
capacidades, bem como, identificar direções a serem seguidas para melhorar esse grau de
domínio (28).
Os modelos de maturidade possuem uma grande relação com a gerência de projetos
tendo em vista a sua natureza complementar. A palavra projeto, de acordo com o PMBOK, é
um empreendimento único, com início e fim definidos, que utiliza recursos limitados e é
conduzido por pessoas, visando atingir metas e objetivos pré-definidos e estabelecidos dentro
de parâmetros de prazo, custo e qualidade (40). Além da definição de projeto também é
necessário entender o que é gerenciamento de projetos. Segundo o PMBOK gerenciamento de
projetos é a aplicação de conhecimentos, habilidades, ferramentas e técnicas nas atividades do
projeto a fim de atender os requisitos estabelecidos no projeto (40).
4.1 Modelos de Maturidade

Os modelos de maturidade são uma referência para medição do nível de
desenvolvimento de um projeto em uma organização. Existem vários modelos de maturidade

68
que visam indicar caminhos pelos quais a implementação de padrões pode tornar uma
organização mais produtiva e competitiva (39). Neste trabalho, são citados alguns dos
principais modelos de maturidade utilizados em diversas áreas, inclusive na gerência de
projetos ou programas e que são estabelecidos internacionalmente segundo melhores práticas
internacionais.
4.1.1 OPM3 (Organizational Project Management Maturity Model) – PMI
O OPM3 (Organizational Project Management Maturity Model) foi concebido em 2003
pelo Project Management Institute e busca criar um framework para que as organizações
possam estabelecer ações para alcançar objetivos estratégicos através das melhores práticas de
gerenciamento de projetos. O OPM3 se propõe a ser um instrumento para auxiliar as
organizações a se auto-avaliarem em relação à sua maturidade em gerenciamento de projetos,
o estabelecimento de melhorias em suas práticas de gerenciamento de projetos, para que os
usuários entendam o valor do gerenciamento de projetos para as suas estratégias
organizacionais e para que as organizações entendam a importância da maturidade em
gerenciamento de projetos para as suas operações (41).
Os principais elementos que constituem o modelo são (41):
 O conhecimento que trata da obtenção da proficiência no padrão e no corpo de
conhecimento por parte de quem vai usar o OPM3;
 A avaliação trata da comparação da organização com o padrão e com melhores
práticas e capacitações em gestão de projetos da organização, rumo a níveis
maiores de maturidade; e
 A melhoria que trata do planejamento da melhoria e sua implementação a partir
da avaliação.
69
4.1.2 CMMI (Capability Maturity Mode Integration)
O CMMI é uma metodologia criada pelo Software Engineering Institute para ser um
guia destinado a melhorar os processos organizacionais e a habilidade desses em gerenciar o
desenvolvimento, a aquisição, e a manutenção de produtos e serviços de tecnologia da
informação. É um modelo evolutivo dos modelos CMMs anteriormente criados e teve como
objetivo combinar as várias disciplinas em uma estrutura única, flexível e componentizada,
que pudesse ser utilizada de forma integrada por organizações que demandavam processos de
melhoria em âmbito corporativo. Além da integração, o modelo tornou mais claro alguns
aspectos que antes eram implícitos, tais como a diferenciação entre os conceitos de
organização e empresa, a valorização dos processos de verificação e validação e a evolução da
característica “Medição e Análise” para se tornar Área de processo do CMMI (42).
O CMMI está dividido em cinco níveis, a saber: Inicial, gerenciado, definido,
quantitativamente gerenciado e otimizado. Cada nível é dividido em áreas de processo e para
cada uma delas são definidos dois conjuntos de metas: as específicas e as genéricas. As metas
genéricas são divididas em um conjunto de características comuns que por sua vez se divide
em quatro categorias que são: Comprometimento com a execução, habilitação para a
execução, direcionamento para implementação e verificação da implementação. As metas
específicas, na maioria das vezes, estão focadas no negócio da empresa e buscam alinhar a
metodologia CMMI às suas necessidades próprias (42).
4.1.3 PMMM (Project Management Maturity Model) – PM Solutions
É o modelo de Maturidade concebido pelo Center for Business Practices, área que cuida
das pesquisas da PM Solutions, organização voltada para consultoria e treinamentos em
gerenciamento de projetos.
70
O modelo leva em consideração nove áreas de conhecimento da gestão de projetos,
sendo as seguintes: integração, escopo, tempo, custo, qualidade, recursos humanos,
comunicações, riscos e aquisições. A avaliação do grau de maturidade é baseada em cinco
níveis sendo que cada nível possui suas peculiaridades que serão exploradas posteriormente
(43).
4.1.4 Modelo de Maturidade do CobiT
O modelo de maturidade para o gerenciamento e controle dos processos de TI do CobiT
é baseado num método de avaliar a organização, permitindo que ela seja pontuada de um
nível de maturidade não-existente (0) a otimizado (5). Este enfoque é derivado do modelo de
maturidade do Software Engineering Institute (SEI) definido para a maturidade da capacidade
de desenvolvimento de software. Embora siga os conceitos do SEI, a implementação CobiT
difere consideravelmente do original do SEI, o qual era orientado para os princípios de
engenharia de produtos de software, organizações buscando excelência nessas áreas e uma
avaliação formal dos níveis de maturidade para que os desenvolvedores de software pudessem
ser “certificados”. No CobiT, uma definição genérica é provida para as escalas de maturidade
do CobiT as quais são similares às do CMM mas interpretadas de acordo com a natureza dos
processos de gerenciamento de TI do CobiT. Um modelo específico é fornecido derivando
dessa escala genérica para cada um dos 34 processos CobiT. Independente do modelo, as
escalas não devem ser tão granulares visto que seria difícil de utilizar e sugeriria uma precisão
não justificável, por que em geral o propósito é identificar onde estão as questões e como
definir prioridades para aprimoramentos. O propósito não é avaliar o nível de aderência aos
objetivos de controles.
71
Os níveis de maturidade são designados como perfis de processos de TI que a empresa
reconheceria como descrição de possíveis situações atuais e futuras. Eles não são designados
como um modelo inicial, onde não se pode avançar para o próximo nível sem antes ter
cumprido todas as condições do nível inferior. Com os modelos de maturidade do CobiT,
diferentemente do enfoque original SEI CMM, não há intenção de medir os níveis de maneira
precisa ou tentar certificar que aquele nível foi exatamente atingido. A avaliação de
maturidade do CobiT espera resultar em um perfil em que as condições relevantes para
diversos níveis de maturidade serão atingidas (44).
4.2 Modelo de Maturidade para Defesa Cibernética
O modelo de maturidade para Defesa Cibernética visa ser um guia de referência para
verificar a maturidade da organização com relação ao sistema de defesa, ou seja, é um método
de avaliar a organização, permitindo que ela seja pontuada em um nível de maturidade de
acordo com uma escala pré-estabelecida.
As escalas propostas para o modelo de capacidades não são tão granulares tendo em
vista que à finalidade não é avaliar o nível de aderência aos objetivos de controles utilizados
como parâmetros, mas verificar se a capacidade foi prevista e o nível de desenvolvimento. Os
níveis de maturidade são designados como perfis de capacidades do modelo de defesa que a
organização reconheceria como descrição de possíveis situações atuais e futuras. Eles não são
designados como um modelo inicial, onde não se pode avançar para o próximo nível sem
antes ter cumprido todas as condições do nível inferior (28).
Existem diversos modelos para medição de maturidade que podem ser utilizados em
sistemas de informação. A abordagem proposta neste trabalho é a utilizada no CobiT, sendo
um modelo de Governança de TI que permite que a gerência tenha condições de: mapear a
72
situação atual da organização, comparar com a situação das melhores organizações no
segmento, comparar com padrões internacionais e estabelecer e monitorar passo a passo as
melhorias dos processos rumo ao estado de melhoria contínua (44).
4.2.1 Níveis de Maturidade
Para o modelo de Defesa Cibernética proposto, os níveis de maturidade foram sugeridos
de acordo com os seguintes fatores:
 Percepção e tratamento de riscos: Ativos, vulnerabilidades, ameaças e riscos são
identificados e as ações de defesa são planejadas e implantadas de acordo com os
riscos envolvidos.
 Implantação de Comando e Controle: a execução e a efetividade das ações de defesa
são coordenadas por um grupo formalmente estabelecido, com recursos e nível de
autoridade apropriado.
 Implantação de um Modelo de Governança: políticas, estratégias e táticas são
desenvolvidas, implantadas e aprimoradas de acordo com modelos da organização.
De acordo com os fatores listados foram atribuídos os níveis de maturidade gerais
conforme a tabela, tomando-se como base o modelo previsto no CobiT (44):
Tabela 4.1 – Níveis de Maturidade para o Modelo de Defesa Cibernética

Nível Mat Descrição
0 A capacidade específica não é reconhecida e não foi implementada no âmbito da
Inexistente organização. Os riscos não são identificados e tratados de forma subjetiva.
a organização reconhece a importância da capacidade de defesa cibernética. Mas a
1
capacidade é implantada de forma ad-hoc sem planejamento e organização. O risco é
Inicial
identificado, mas é tratado sem um processo formal.
A capacidade de defesa é planejada, implantada e controlada de acordo com os riscos
envolvidos. Existem responsáveis formalmente estabelecidos para a coordenação das
2
ações de defesa. A capacidade de defesa é implantada caso a caso sem levar em conta um
Repetitível
modelo da organização. A capacidade é executada de forma reativa. A coordenação entre
os sistemas de defesa da organização é realizada de forma ad-hoc.
3 A implantação de capacidades de defesa é feita de acordo com modelos da organização.
Definido Modelos da organização são continuamente avaliados e aprimorados. A capacidade de
73
comando e controle de defesa é coordenada em toda a organização. Ações de defesa são

executadas de forma pró-ativa. Políticas, estratégias e táticas são desenvolvidas e
implantadas conforme um modelo mantido pela organização.
4 Riscos e a eficácia de capacidades de defesa são compreendidos de forma quantitativa.
Gerenciado
Ações de melhoria de capacidades de defesa são estabelecidas e implantadas com metas
5
quantitativas. Modelos da organização são continuamente aprimorados conforme metas
Otimizado
quantitativas.
No modelo proposto à Tabela 4.1 indica de forma geral o nível de desenvolvimento ou
implementação esperado para uma capacidade junto à organização avaliada. Para realizar essa
avaliação foi construído um questionário onde constam os itens que devem ter sido
implementados ou observados na organização.
4.2.2 Avaliação da Maturidade de Capacidades
O modelo de avaliação das capacidades foi concebido por intermédio de um
questionário que referência as melhores práticas de acordo com as capacidades propostas.
Cada capacidade será avaliada por uma série de itens mínimos necessários à caracterização da
existência da capacidade. Isto será representado na prática por questões que tomaram como
base as melhores práticas estabelecidas.
O questionário utilizado para avaliação das capacidades do modelo de Defesa
Cibernética, que pode ser visualizado no Anexo, é composto de 96 perguntas separadas por
capacidades fundamentais sendo que o índice de desempenho de cada nível poderá variar de 0
a 5.
A média ponderada das questões previstas em cada capacidade indicará o nível de
desempenho. O nível de desempenho será visualizado por intermédio de um gráfico onde será
possível verificar o nível de desenvolvimento da organização com relação ao
desenvolvimento das capacidades de segundo e terceiro níveis, da seguinte forma:

74
 O gráfico visualizado na Figura 4.1 exemplifica que a avaliação da
organização com relação ao nível de desempenho foi pontuada no nível 3, ou
seja, no nível de desempenho definido.
Governança
Comando e Controle
Avaliado
Mecanismos de Defesa Ideal
Supervisão da Defesa
0 1 2 3 4 5 6
Figura 4.1 - Nível de Maturidade Avaliada visando a

Segurança de um sistema de defesa cibernética
 O gráfico visualizado na Figura 4.2 mostra que a avaliação da organização
indica o nível de desempenho é a pontuação 5, ou seja, no nível de
desempenho otimizado.
Governança
Comando e Controle
Avaliado
Mecanismos de Defesa Ideal
0 1 2 3 4 5 6
Figura 4.2. Nível de Maturidade Avaliada visando a

Robustez de um sistema de defesa cibernética
75
4.3 Cenários de Uso do Modelo Maturidade

O modelo proposto deve atender os seguintes cenários de uso: identificação do estado
corrente das capacidades de defesa, identificação do estado desejável e o planejamento de
passos para se atingir o estado desejável.
4.3.1 Identificação do Estado Corrente

A identificação do estado corrente das capacidades de defesa pode ser feita por uma
equipe de avaliadores interna ou externa devidamente treinada no uso do modelo. O primeiro
passo é estabelecer o escopo da avaliação. O escopo é definido pelos ativos da organização
que requerem proteção. Todos os sistemas de defesa para os ativos selecionados formarão o
sistema de defesa cibernética da organização a ser avaliada.
Os avaliadores deverão, a partir de leitura de documentos dos sistemas de defesa,
questionários e entrevistas com responsáveis, identificar o nível de desempenho para os
diferentes Grupos de Capacidades. O nível de desempenho dos Grupos de Capacidades irá
definir o nível de maturidade da organização. Foi definida a seguinte regra para a atribuição
de níveis de maturidade: Uma organização tem nível de maturidade N se todos os Grupos de
Capacidades tiverem nível de desempenho maior ou igual a N.
4.3.2 Identificação do Estado desejável
O estado desejável depende dos níveis de risco das ameaças aos ativos protegidos.
Níveis de risco elevado são devido a ameaças com impacto elevado e/ou uma grande
probabilidade de ocorrência. Impactos elevados trazem custos inaceitáveis tais como perdas
de vidas humanas e gastos financeiros elevados.
O tratamento de riscos pode ser de forma reativa ou de forma pró-ativa (com
antecipação de ações). No comportamento reativo está implícito que uma ameaça está
76
ocorrendo e ações de mitigação são aplicadas para reduzir o impacto. Por exemplo, um
servidor foi invadido e ele ficará temporariamente fora do ar.
No comportamento pró-ativo, as ações são executadas de forma antecipada. Isto é,
ações de mitigação são executadas antes que a ameaça ocorra. Para o comportamento pró-
ativo, a organização deverá ter capacidades de comando e controle que permitam a
identificação precisa de tendências de ameaças, estratégias e táticas apropriadas para tratar
essas ameaças de forma coordenada.
De acordo com o perfil dos riscos envolvidos é possível deduzir o nível de maturidade
desejável para a organização. Uma garantia para riscos que possam ser tratados de forma
reativa é obtida ao se atingir o nível 2 de maturidade, quando riscos são identificados e as
capacidades são dimensionadas para atender esses riscos. Entretanto, neste nível de
maturidade não há garantias de coordenação da organização para se ter uma capacidade pró-
ativa para tratamento de riscos.
Para riscos que requerem antecipação de ações (risco elevado) é necessário que a
organização responsável esteja enquadrada pelo menos no nível 3. Com um modelo de riscos
da organização aprimorado de acordo com experiências passadas e melhores práticas e uma
coordenação entre os diferentes grupos é possível a execução de ações pró-ativas efetivas.
O nível de maturidade 4 é requerido para organizações que desejam não apenas um
comportamento pró-ativo mas também um controle quantitativo do desempenho das ações de
defesa.
No nível de maturidade 5 a organização possui pleno controle das suas capacidades de
defesa e de forma pró-ativa estabelece metas quantitativas de melhoria das capacidades.

77
4.3.3 Planejamento para se atingir o estado desejável
Identificado o estado (ou nível de maturidade) desejável, é necessário definir os passos
para se alcançar esse estado. O avanço nos níveis de maturidade é evolucionário. Isto é, a
organização deverá passar em todos os níveis intermediários até se atingir o nível desejável.
Estar em um nível de maturidade implica não apenas em processos, procedimentos e
responsáveis formalmente designados, mas que todo o pessoal envolvido esteja capacitado
para operar os processos e tecnologia conforme o nível de maturidade.

78
5. ESTUDO DE CASO
Este capítulo tem por finalidade apresentar os resultados e experiências obtidos com
um estudo de caso que possuiu os seguintes objetivos: realizar a experimentação do modelo
de maturidade e capacidades para Defesa Cibernética, verificar a viabilidade de utilização do
modelo de capacidades e de maturidade proposto por intermédio de avaliação em
organizações que utilizam a TI como suporte para a consecução dos objetivos do negócio; e
colher subsídios para avaliar o modelo proposto e a sua aplicação em um cenário real de uso.
Para realização do estudo de caso foi utilizado o modelo clássico de Gil (14), que
apesar de não possuir um roteiro rígido para a sua delimitação, pode ser delineado em quatro
fases: delimitação da unidade-caso; coleta de dados; seleção, análise e interpretação dos
dados e a apresentação dos resultados.
5.1 Delimitação da unidade-caso
O propósito do estudo de caso é verificar a aplicabilidade do modelo proposto
decorrente da necessidade de uma organização em possuir um sistema de defesa cibernética e
permitir a avaliação do nível de desempenho, gerenciamento e controle que a organização se
encontra e deseja estar. Em virtude de tal necessidade é necessário obter uma visão objetiva
do nível de desempenho da própria organização, e ainda, o que deve ser avaliado e como.
O modelo foi aplicado às organizações por intermédio de visita do entrevistador e de
entrevista com os responsáveis pelas áreas de segurança da informação das organizações
avaliadas com o uso do questionário do modelo de capacidades e maturidade para Defesa
Cibernética.
79
5.1.1 Cenário
Para a avaliação da aplicabilidade do modelo foram selecionadas 04(quatro)
organizações que utilizam sistemas de TI baseados em redes de computadores, cuja atividade
fim depende sobremaneira do funcionamento ininterrupto dos sistemas de TI.
 Descrição do Cenário: um auditor realizará a avaliação do desenvolvimento das
capacidades, segundo o questionário do modelo de maturidade proposto, verificando
“in loco” o nível de desenvolvimento da capacidade conforme o modelo de
maturidade proposto.
 Resultado esperado: no caso da organização ter implementado as capacidades
observadas poderá atingir o nível de desempenho inexistente ou o nível máximo
conforme demonstrado na Figura abaixo:
Governança
Comando e Controle
Nível de Desempenho
Medido
Mecanismos de Defesa Nível Máximo de

Desenvolvimento
0 2 4 6
Figura 5.1. Nível de Maturidade Avaliada visando a

Robustez de um sistema de defesa cibernética
O gráfico apresentado na Figura 5.2 correspondente ao nível de desempenho de cada
capacidade fundamental ou de primeiro nível do modelo aplicado a uma organização, sendo
que no modelo previsto a avaliação poderá variar do grau 0 ou inexistente ao 5 ou otimizado.

80
No caso das capacidades de segundo nível ou grupo de capacidades cabe ressaltar que
cada uma delas apresenta características que dizem respeito ao grau de aderência da
capacidade ao modelo proposto. As capacidades de segundo nível possuem capacidades de
negócio ou de terceiro nível que foram avaliadas e representadas por intermédio do gráfico
em forma de radar conforme visualizado na Figura 5.2. Neste caso o valor da avaliação de
cada capacidade será representado do nível 0 ao 5, porém, no computo do modelo geral cada
capacidade de negócio terá um peso de avaliação de acordo com o grau de aderência ao
modelo proposto.
Avaliação dos Níveis de Desempenho das

Capacidades de Negócios
Política
5 Gestão de
Auditoria
Estratégias e…
4
Gestão do
Teste de Defesa 3 Conhecimento
2
Gestão de
1 Comando Nível Máximo de
Incidentes
Desenvolvimento
0
Nível Máximo Medido
Monitoramento Controle
Desv, Op e Mnt Sistema de

Segura Comando e…
Segurança de Serviços de
Pessoal Segurança
Segurança Física
Figura 5.2 Avaliação de Maturidade das capacidades de

negócios de um sistema de defesa cibernética
5.2 Coleta de Dados
A coleta de dados ocorreu por intermédio do uso do questionário de avaliação do
modelo proposto para ser respondido com os responsáveis pela segurança de TI das
organizações avaliadas.
81
Em todas as organizações pesquisadas foi autorizado a realização do trabalho de
pesquisa por intermédio da administração de cada organização. A pesquisa propriamente dita
foi realizada com o apoio dos responsáveis pela área de segurança da informação de cada
organização.
No estudo de caso em pauta foram avaliadas 04(quatro) organizações sendo que os
nomes das organizações serão omitidos em virtude do sigilo e por não prejudicar o andamento
do trabalho.
As organizações possuem os objetivos de negócios distintas sendo duas da área de
defesa, uma da área de administração pública federal e uma comercial. No caso do estudo
chamaremos as organizações de ALFA, BRAVO, CHARLIE e DELTA, respectivamente
conforme foi mencionado.
A seleção, análise e interpretação dos dados obtidos na aplicação do questionário foram
realizadas por organização de acordo com o modelo de maturidade proposto.
5.2.1 Organização ALFA

Os resultados obtidos por intermédio do questionário de avaliação do modelo de
capacidades e maturidade para Defesa Cibernética são representados em forma de gráfico tipo
radar, onde são apresentadas as medições das capacidades de negócio relacionadas às
capacidades fundamentais.
5.2.1.1 Governança da organização ALFA
A capacidade de governança da organização ALFA apresentou os seguintes resultados
apresentados na Figura 5.3:

82
G1.1
G3.9 5 G1.2
G3.8 G1.3
G3.7 4 G1.4
G3.6 3 G2.1
G3.5 2 G2.2
Nível Máximo de
1
G3.4 G2.3 Desempenho
0
G3.3 G2.4 Grau de Desenvolvimento
Medido
G3.2 G2.5
G3.1 G2.6
G2.13 G2.7
G2.12 G2.8
G2.11 G2.9
G2.10
Figura 5.3. Nível de Maturidade Avaliada da capacidade de

governança do sistema de defesa cibernética da organização ALFA
Assim percebeu-se que em relação ao modelo de capacidades e maturidades proposto a
maioria das capacidades da organização ALFA com relação a capacidade fundamental
GOVERNANÇA encontra-se com o nível de desenvolvimento inexistente.
5.2.1.2 Comando e Controle da organização ALFA
A capacidade de Comando e Controle da organização ALFA apresentou os seguintes
resultados apresentados na Figura 5.4:
CC1.1
5
CC3.5 CC1.2
4
CC3.4 3 CC1.3
2
Nível Máximo de
1
CC3.3 CC1.4 Desenvolvimento
0
Grau de Desenvolvimento
Medido
CC3.2 CC1.5
CC3.1 CC1.6
CC2.2 CC2.1
Figura 5.4. Nível de Maturidade Avaliada da capacidade de Comando

e Controle do sistema de defesa cibernética da organização ALFA
83
Com relação a capacidade fundamental COMANDO E CONTROLE percebeu-se que
em relação ao modelo de capacidades e maturidades proposto a organização possui um
melhor desenvolvimento, não possuindo nenhuma capacidade com nível de maturidade
inexistente. De forma semelhante os dados coletados das organizações retratam os níveis de
maturidades das capacidades em relação ao modelo.
5.2.1.3 Mecanismos de Defesa da organização ALFA
A capacidade de Mecanismos de Defesa da organização ALFA apresentou os seguintes
MD1.1
MD4.9 5 MD1.2
MD4.8 MD1.3
MD4.7 MD1.4
MD4.6 4 MD1.5
MD4.5 MD1.6
3
MD4.4 MD1.7
2
MD4.3 MD1.8
1
MD4.2 MD2.1
Série 1
MD4.1 0 MD2.2 Série 2
MD3.4 MD2.3
MD3.3 MD2.4
MD3.2 MD2.5
MD3.1 MD2.6
MD2.14 MD2.7
MD2.13 MD2.8
MD2.12
MD2.11 MD2.9
MD2.10
Figura 5.5. Nível de Maturidade Avaliada da capacidade Mecanismos

de Defesa do sistema de defesa cibernética da organização ALFA
5.2.1.4 Supervisão da Defesa da organização ALFA
A capacidade de Supervisão da Defesa da organização ALFA apresentou os seguintes

84
SD1.1
SD4.6 5 SD1.2
SD4.5 SD1.3
4
SD4.4 SD1.4
3
SD4.3 2 SD2.1
1
SD4.2 SD2.2 Série 1
0
Série 2
SD4.1 SD2.3
SD3.5 SD2.4
SD3.4 SD2.5
SD3.3 SD2.6
SD3.2 SD3.1
Figura 5.6. Nível de Maturidade Avaliada da capacidade Mecanismos de

Defesa do sistema de defesa cibernética da organização ALFA
5.2.2 Governança da organização BRAVO

A capacidade de governança da organização BRAVO apresentou os seguintes
G1.1
G3.9 5 G1.2
G3.8 G1.3
G3.7 4 G1.4
G3.6 3 G2.1
G3.5 2 G2.2
1 Nível Máximo de
G3.4 G2.3 Desempenho
0
Medido
G3.2 G2.5
G3.1 G2.6
G2.13 G2.7
G2.12 G2.8
G2.11 G2.9
G2.10

governança do sistema de defesa cibernética da organização BRAVO
A capacidade de Comando e Controle da organização BRAVO apresentou os seguintes

85
CC1.1
5
CC3.5 CC1.2
4
CC3.4 3 CC1.3
2
1
CC3.3 CC1.4 Série 1
0
Série 2
CC3.2 CC1.5
CC3.1 CC1.6
CC2.2 CC2.1

e Controle do sistema de defesa cibernética da organização BRAVO
A capacidade de Mecanismos de Defesa da organização BRAVO apresentou os
seguintes resultados apresentados na Figura 5.9:
MD1.1
MD4.9 5 MD1.2
MD4.8 MD1.3
MD4.7 MD1.4
MD4.6 4 MD1.5
MD4.5 MD1.6
3
MD4.4 MD1.7
2
MD4.3 MD1.8
1
MD4.2 MD2.1
Série 1
MD3.4 MD2.3
MD3.3 MD2.4
MD3.2 MD2.5
MD3.1 MD2.6
MD2.14 MD2.7
MD2.13 MD2.8
MD2.12
MD2.11 MD2.9
MD2.10

de Defesa do sistema de defesa cibernética da organização BRAVO
86
A capacidade de Supervisão da Defesa da organização BRAVO apresentou os seguintes
SD1.1
SD4.6 5 SD1.2
SD4.5 SD1.3
4
SD4.4 3 SD1.4
SD4.3 2 SD2.1
1
0
Série 2
SD4.1 SD2.3
SD3.5 SD2.4
SD3.4 SD2.5
SD3.3 SD2.6
SD3.2 SD3.1

Defesa do sistema de defesa cibernética da organização BRAVO
5.2.3 Organização CHARLIE
A capacidade de governança da organização CHARLIE apresentou os seguintes
G1.1
G3.9 5 G1.2
G3.8 G1.3
G3.7 4 G1.4
G3.6 3 G2.1
G3.5 2 G2.2
1 Nível Máximo de Desempenho
G3.4 G2.3
0
Medido
G3.2 G2.5
G3.1 G2.6
G2.13 G2.7
G2.12 G2.8
G2.11 G2.9
G2.10

governança do sistema de defesa cibernética da organização CHARLIE
87
A capacidade de Comando e Controle da organização CHARLIE apresentou os
CC1.1
5
CC3.5 CC1.2
4
CC3.4 3 CC1.3
2
1
0
Série 2
CC3.2 CC1.5
CC3.1 CC1.6
CC2.2 CC2.1

e Controle do sistema de defesa cibernética da organização CHARLIE
A capacidade de Mecanismos de Defesa da organização CHARLIE apresentou os
MD1.1
MD4.9 5 MD1.2
MD4.8 MD1.3
MD4.7 MD1.4
MD4.6 4 MD1.5
MD4.5 MD1.6
3
MD4.4 MD1.7
2
MD4.3 MD1.8
1
MD4.2 MD2.1
Série 1
MD3.4 MD2.3
MD3.3 MD2.4
MD3.2 MD2.5
MD3.1 MD2.6
MD2.14 MD2.7
MD2.13 MD2.8
MD2.12
MD2.11 MD2.9
MD2.10

de Defesa do sistema de defesa cibernética da organização CHARLIE
88
A capacidade de Supervisão da Defesa da organização CHARLIE apresentou os
SD1.1
SD4.6 5 SD1.2
SD4.5 SD1.3
4
SD4.4 SD1.4
3
SD4.3 2 SD2.1
1
0
Série 2
SD4.1 SD2.3
SD3.5 SD2.4
SD3.4 SD2.5
SD3.3 SD2.6
SD3.2 SD3.1

Defesa do sistema de defesa cibernética da organização CHARLIE
5.2.4 Organização DELTA
A capacidade de governança da organização DELTA apresentou os seguintes resultados
apresentados na Figura 5.15:
G1.1
G3.9 5 G1.2
G3.8 G1.3
G3.7 4 G1.4
G3.6 3 G2.1
G3.5 2 G2.2
1 Nível Máximo de Desempenho
G3.4 G2.3
0
Medido
G3.2 G2.5
G3.1 G2.6
G2.13 G2.7
G2.12 G2.8
G2.11 G2.9
G2.10

governança do sistema de defesa cibernética da organização DELTA
89
A capacidade de Comando e Controle da organização DELTA apresentou os seguintes
CC1.1
5
CC3.5 CC1.2
4
CC3.4 3 CC1.3
2
1
0
Série 2
CC3.2 CC1.5
CC3.1 CC1.6
CC2.2 CC2.1

e Controle do sistema de defesa cibernética da organização DELTA
A capacidade de Mecanismos de Defesa da organização DELTA apresentou os
MD1.1
MD4.9 5 MD1.2
MD4.8 MD1.3
MD4.7 MD1.4
MD4.6 4 MD1.5
MD4.5 MD1.6
3
MD4.4 MD1.7
2
MD4.3 MD1.8
1
MD4.2 MD2.1
Série 1
MD3.4 MD2.3
MD3.3 MD2.4
MD3.2 MD2.5
MD3.1 MD2.6
MD2.14 MD2.7
MD2.13 MD2.8
MD2.12
MD2.11 MD2.9
MD2.10

de Defesa do sistema de defesa cibernética da organização DELTA
90
A capacidade de Supervisão da Defesa da organização DELTA apresentou os seguintes
SD1.1
SD4.6 5 SD1.2
SD4.5 SD1.3
4
SD4.4 SD1.4
3
SD4.3 2 SD2.1
1
0
Série 2
SD4.1 SD2.3
SD3.5 SD2.4
SD3.4 SD2.5
SD3.3 SD2.6
SD3.2 SD3.1

Defesa do sistema de defesa cibernética da organização DELTA
5.3 Seleção, Análise e Interpretação dos dados

A avaliação global das capacidades de negócio indica que em relação ao modelo
proposto as organizações encontram-se em uma condição especifica que indica uma
maturidade. A análise foi realizada de acordo com cada capacidade fundamental.
5.3.1 Análise Global
 Capacidade Fundamental Governança
No caso da análise dos níveis de desempenho da capacidade governança cabe ressaltar
que as capacidades possuem valores de importância diferenciado em virtude do modelo
proposto e do grau de aderência da capacidade em relação ao modelo. A verificação das
capacidades em relação aos pesos diferenciados de cada capacidade proposta foi a seguinte:
91
Tabela 5.1 - Pontuação do Grau de Desenvolvimento da Capacidade

Fundamental Governança das organizações de A a D.
Código da Peso da ALFA BRAVO CHARLIE DELTA
GDM GAM
Capacidade capacidade NDM GA NDM GA NDM GA NDM GA
G1.1 5 5 25 3 15 5 25 3 15 1 5
G1.2 5 5 25 3 15 4 20 3 15 1 5
G1.3 5 4 20 2 8 4 16 3 12 1 4
G1.4 5 4 20 1 4 1 4 2 8 0 0
G2.1 5 4 20 0 0 1 4 2 8 0 0
G2.2 5 4 20 0 0 0 0 1 4 1 4
G2.3 5 5 25 1 5 0 0 1 4 0 0
G2.4 5 4 20 2 8 0 0 2 8 0 0
G2.5 5 5 25 3 15 1 5 2 10 0 0
G2.6 5 4 20 4 16 0 0 1 4 1 4
G2.7 5 3 15 0 0 2 3 3 9 0 0
G2.8 5 4 20 0 0 0 0 1 4 0 0
G2.9 5 3 15 0 0 1 3 3 9 1 3
G2.10 5 3 15 0 0 1 3 3 9 1 3
G2.13 5 3 15 0 0 1 3 2 6 2 6
G2.14 5 2 10 0 0 0 0 2 4 0 0
G2.15 5 3 15 0 0 0 0 2 6 0 0
G3.1 5 2 10 1 2 0 0 1 2 1 2
G3.2 5 5 25 0 0 0 0 1 2 0 0
G3.3 5 4 20 0 0 0 0 2 8 1 4
G3.4 5 4 20 0 0 0 0 2 8 1 4
G3.5 5 4 20 0 0 0 0 1 4 0 0
G3.6 5 5 25 1 5 0 0 1 5 0 0
G3.7 5 2 10 0 0 0 0 1 2 1 2
G3.8 5 2 10 0 0 0 0 1 2 0 0
G3.9 5 5 25 0 0 0 0 1 5 0 0
TOTAL 490 93 21 171 46
Legenda:
- GDM- Grau de Desempenho Máximo;
- GAM – Grau de Aderência Máximo;
- NDM – Nível de Desempenho Medido; e
- GA – Grau de Aderência.
Na tabela 5.1 a pontuação máxima que pode ser obtida pelas organizações é de 490
pontos no caso de possuírem as capacidades com nível de desenvolvimento máximo, ou seja,
com o nível de desenvolvimento otimizado. Assim, percebe-se que com relação à capacidade
fundamental GOVERNANÇA a organização CHARLIE conseguiu a maior pontuação em
relação ao modelo, com o valor de 171 pontos. A organização que obteve a menor pontuação
foi à organização BRAVO com 21 pontos. As demais tabelas da outras capacidades
fundamentais seguem o mesmo raciocínio.
O quadro de desempenho global das capacidades pode ser melhor verificado por
intermédio do gráfico abaixo:

92
600
Grau de
500 Desenvolvimento
Máximo
400
Organização ALFA
300
200
Organização BRAVO
100
0
Organização CHARLIE
Governança
Figura 5.19 – Quadro de Comparação do Desenvolvimento da Capacidade

Fundamental Governança entre as organizações avaliadas
 Capacidade Fundamental Comando e Controle
capacidades em relação aos pesos diferenciados de cada capacidade proposta foi seguinte:

Fundamental Comando e Controle das organizações de A a D.
GDM GAM
CC1.1 5 5 25 3 15 1 5 3 15 1 5
CC1.2 5 5 25 3 15 1 5 2 10 1 5
CC1.3 5 4 20 2 8 0 0 2 8 0 0
CC1.4 5 4 20 1 4 0 0 2 8 1 4
CC1.5 5 4 20 0 0 0 0 1 4 1 4
CC1.6 5 4 20 0 0 0 0 1 4 1 4
CC2.1 5 5 25 1 5 2 10 2 10 1 5
CC2.2 5 4 20 2 8 0 0 2 8 1 4
CC3.1 5 5 25 3 15 0 0 1 5 1 5
CC3.2 5 4 20 4 16 0 0 1 4 2 8
CC3.3 5 3 15 0 0 0 0 1 3 2 6
CC3.4 5 4 20 0 0 0 0 1 4 0 0
CC3.5 5 3 15 0 0 0 0 0 0 0 0
TOTAL 270 86 20 83 50
Legenda:
- GAM – Grau de AderÊncia Máximo;
- NDM – Nível de Desempenho Medido;
93
300
Grau de Desenvolvimento
250 Máximo
200 Organização ALFA
150 Organização BRAVO
100
50
Organização DELTA
0
Comando e Controle

Fundamental Comando e Controle entre as organizações avaliadas
 Capacidade Fundamental Mecanismos de Defesa

Fundamental Mecanismos de Defesa das organizações de A a D.
GDM GDM
MD1.1 5 5 25 3 15 3 15 4 20 1 5
MD1.2 5 5 25 3 15 4 12 5 25 2 10
MD1.3 5 4 20 2 8 3 12 4 16 1 4
MD1.4 5 4 20 1 4 3 12 4 16 1 4
MD1.5 5 4 20 0 0 3 12 5 20 0 0
MD1.6 5 4 20 0 0 3 12 5 20 1 4
MD1.7 5 5 25 1 5 2 10 3 15 2 10
MD1.8 5 4 20 2 8 0 0 2 8 0 0
MD2.1 5 5 25 3 15 3 15 4 20 2 10
MD2.2 5 4 20 4 16 2 8 5 20 1 4
MD2.3 5 3 15 0 0 2 6 3 9 0 0
MD2.4 5 4 20 0 0 2 8 3 12 0 0
MD2.5 5 3 15 0 0 4 12 5 15 0 0
MD2.6 5 3 15 0 0 3 9 5 15 0 0
MD2.7 5 3 15 0 0 2 6 4 12 2 6
94
MD2.8 5 2 10 0 0 2 4 3 6 2 4
MD2.9 5 3 15 0 0 4 12 5 15 1 3
MD2.10 5 2 10 1 2 1 2 2 4 1 2
MD2.11 5 5 25 0 0 2 10 2 10 0 0
MD2.12 5 4 20 0 0 2 8 2 8 1 4
MD2.13 5 4 20 0 0 1 4 3 12 1 4
MD2.14 5 4 20 0 0 1 4 2 8 0 0
MD3.1 5 5 25 1 5 3 15 3 15 0 0
MD3.2 5 2 10 0 0 3 6 3 6 1 2
MD3.3 5 2 10 0 0 0 0 1 2 1 2
MD3.4 5 5 25 0 0 1 5 2 10 1 5
MD4.1 5 3 15 0 0 2 6 3 9 0 0
MD4.2 5 4 20 1 4 1 4 2 8 1 4
MD4.3 5 3 15 2 6 0 0 1 3 1 3
MD4.4 5 3 15 2 6 2 6 3 9 1 3
MD4.5 5 4 20 1 4 2 8 3 12 0 0
MD4.6 5 5 25 0 0 1 5 2 10 1 5
MD4.7 5 2 10 2 4 0 0 1 2 1 2
MD4.8 5 3 15 2 6 0 0 2 6 1 3
MD4.9 5 3 15 3 9 0 0 2 6 1 3
TOTAL 640 132 256 404 106
Legenda:
700
600
500 GDM
200 Organização CHARLIE

Organização DELTA
100
0
Mecanismos de Defesa

Fundamental Mecanismos de Defesa entre as organizações avaliadas
95
 Capacidade Fundamental Supervisão da Defesa

Fundamental Supervisão da Defesa das organizações de A a D.

GDM GDM
SD1.1 5 5 25 5 25 2 5 4 20 1 5
SD1.2 5 5 25 4 20 1 5 3 15 0 0
SD1.3 5 4 20 3 12 0 0 1 4 1 4
SD1.4 5 4 20 3 12 0 0 2 8 1 4
SD2.1 5 4 20 4 16 0 0 2 8 0 0
SD2.2 5 4 20 2 8 0 0 1 4 1 4
SD2.3 5 5 25 2 10 0 0 2 10 1 5
SD2.4 5 4 20 2 8 1 4 2 8 0 0
SD2.5 5 5 25 3 15 0 0 3 15 1 5
SD2.6 5 4 20 4 16 0 0 4 16 1 4
SD3.1 5 3 15 3 9 0 0 0 0 0 0
SD3.2 5 4 20 3 12 0 0 0 0 0 0
SD3.3 5 3 15 2 6 0 0 0 0 0 0
SD3.4 5 3 15 4 12 0 0 0 0 0 0
SD3.5 5 3 15 4 12 0 0 0 0 1 3
SD4.1 5 2 10 3 6 0 0 2 4 0 0
SD4.2 5 3 15 4 12 0 0 1 3 1 3
SD4.3 5 2 10 2 4 0 0 2 4 0 0
SD4.4 5 5 25 2 10 0 0 2 10 0 0
SD4.5 5 4 20 3 12 0 0 2 8 1 4
SD4.6 5 4 20 2 8 0 0 2 8 1 4
TOTAL -XX- -XX- 400 245 19 145 45
Legenda:
O quadro de desempenho global das capacidades pode ser mais bem verificado por

96
450
400
350
300 GDM

150
Organização DELTA
100
50
0

Fundamental Supervisão da Defesa entre as organizações avaliadas
Mecanismos de Defesa GDM

Organização DELTA
Comando e Controle Organização BRAVO
Organização ALFA
Governança
0 100 200 300 400 500 600
Figura 5.23 – Comparativo Global do Desenvolvimento das Capacidades

Fundamentais das Organizações de A a D.
A análise das organizações por intermédio da aplicação do modelo de maturidade das
capacidades indica que existem pontos vulneráveis que necessitam de maior atenção por parte
das organizações, bem como, pontos fortes que devem passar por constantes
aperfeiçoamentos.
97
Para análise dos dados obtidos por intermédio da coleta de dados nas organizações será
tomado como base a tabela de desenvolvimento das capacidades de acordo com a tabela 5.5:
Tabela 5.5 Nível de Classificação de Maturidade do Desenvolvimento

das Capacidades Fundamentais
Capacidade Governança
Nível 0
< 98 < 54 < 128 < 80
Inexistente
Nível 1
> 98 e < 196 > 54 e < 108 > 128 e < 256 > 80 e < 160
Inicial
Nível 2
> 196 e < 294 > 108 e < 162 > 256 e < 384 > 160 e < 240
Repetitível
Nível 3
> 294 e < 392 > 162 e < 216 > 384 e < 512 > 240 e < 320
Definido
Nível 4
> 392 e < 490 > 216 e < 270 > 512 e < 640 > 320 e < 400
Gerenciado
Nível 5
490 270 640 400
Otimizado
A tabela tem por finalidade indicar a situação dos resultados obtidos com a aplicação do
modelo nas organizações em tela.
De acordo com a tabela as organizações foram classificadas da seguinte forma:
Tabela 5.6 Nível de Classificação de Maturidade do Desenvolvimento

das Capacidades Fundamentais das Organizações de A a D
Capacidade Governança
Nível 0 Organização A, Organização B e Organização B e
Organização D
Inexistente BeD D D
Nível 1 Organização A e
Organização C Organização A Organização C
Inicial C
Nível 2
-xx- -xx- Organização B -xx-
Repetitível
Nível 3
-xx- -xx- Organização C Organização A
Definido
Nível 4
-xx- -xx- -xx- -xx-
Gerenciado
Nível 5
-xx- -xx- -xx- -xx-
Otimizado
5.3.2 Análise Específica
De acordo com o modelo verifica-se que as organizações encontram-se na seguinte
situação de Defesa Cibernética:

98
5.3.2.1 Organização ALFA
De um modo geral a organização encontra-se no nível inicial e inexistente com forte
ênfase no nível 0. Com exceção da capacidade de supervisão de defesa em que a organização
demonstrou um nível de desenvolvimento definido.
As vulnerabilidades encontradas indicam a necessidade de investimento para o
desenvolvimento da governança para servir como base para as demais capacidades. Como
exemplo um dos aspectos observados é que a política de defesa é analisada criticamente de
forma Ad Hoc não tendo um planejamento para revisão a intervalos planejados ou quando
mudanças significativas ocorrem.
5.3.2.2 Organização BRAVO
A organização encontra-se predominantemente no nível inexistente demonstrando assim
a necessidade de aplicação com urgência de um modelo de defesa cibernética. Com exceção
da capacidade de mecanismos de defesa em que a organização demonstrou um nível de
desenvolvimento repetitível.
As vulnerabilidades encontradas indicam a deficiência da organização nas áreas de
Governança, Comando e Controle e Supervisão da Defesa que pode ocasionar em um evento
catastrófico em caso de um ataque cibernético bem sucedido.
5.3.2.3 Organização CHARLIE
Foi a organização que apresentou os melhores resultados de aderência ao modelo
proposto. A natureza da empresa indica que a necessidade de constante atualização e
investimento da defesa cibernética impacta diretamente no negócio da empresa. De modo
geral encontra-se no nível inicial tendendo ao repetitível.

99
A capacidade de mecanismos de defesa da organização demonstra um nível definido
sendo um importante fator a favor da organização.
5.3.2.4 Organização DELTA
Foi a organização que apresentou os resultados menos expressivos de aderência ao
modelo proposto. A natureza da empresa confirma a falta de investimento e constante
atualização em defesa cibernética uma vez que o impacto no negócio da organização não é tão
expressivo.
A organização possui todas as capacidades no nível inexistente. Em todas as áreas de
defesa existem vulnerabilidades que se bem exploradas podem afetar o negócio da empresa de
modo a comprometer a missão.
5.3.3 Conclusão Global
A Capacidade Fundamental Governança é uma capacidade que visa garantir que o
sistema irá atender às metas de negócios da organização. A governança para Defesa
Cibernética tem por objetivo estabelecer e aprimorar a política, as estratégias e as táticas da
organização frente às ameaças existentes no espaço cibernético. A ideia central dessa
capacidade é o constante aprimoramento do pessoal, processos e tecnologia na organização,
de modo que as melhores decisões sejam sempre tomadas e a organização faça uso de
estratégias e táticas previamente avaliadas e testadas.
Quanto à Capacidade Fundamental Governança foi observado que todas as organizações
possuem deficiências no desenvolvimento da capacidade, porém, observou-se que a
organização CHARLIE possui um nível mais elevado e a organização BRAVO possui o
menor nível. Entretanto, observa-se que todas as organizações estão muito abaixo do Grau de
Desempenho Máximo.
100
O Comando e Controle é uma atividade fundamental para o êxito das operações em
todos os escalões de comando. É uma atividade especializada e sua execução se baseia em
uma concepção sistêmica, com métodos, procedimentos, características e vocabulário que lhe
são peculiares. No modelo proposto a capacidade vincula e permeia todas as atividades
operacionais e a governança, sincronizando-as e permitindo ao comandante adquirir e manter
o indispensável nível de consciência situacional para a tomada de decisões adequadas às
circunstâncias do ambiente operacional, para a expedição de ordens e para o controle de sua
execução.
É uma capacidade fundamental que provê a análise da situação corrente, a tomada de
decisões a partir de uma compreensão de opções e uma comunicação das decisões e
acompanhamento da execução de forma precisa e confiável.
No quesito Capacidade Fundamental Comando e Controle, as organizações ALFA e
CHARLIE possuem o mesmo índice e a organização DELTA o mais baixo.
A capacidade fundamental Mecanismos de defesa provê processos e tecnologia de
segurança para proteger os ativos da organização contra ataques do ciberespaço tomando
como base as estratégias e táticas estabelecidas pela organização. Os elementos essenciais
para que essa capacidade seja atendida podem ser caracterizados pelos serviços de segurança
lógica, segurança física, segurança no desenvolvimento e segurança das instalações.
Assim, na Capacidade Fundamental Mecanismos de Defesa, foram observados que a
organização CHARLIE se aproximou do Grau de Desempenho Máximo, seguida da
organização BRAVO e a DELTA ficou com o índice mais baixo.
dos mecanismos de defesa. Essa capacidade analisa e trata os incidentes ocorridos, a
vulnerabilidades correntes através de testes de invasão e auditorias.

101
Nesse sentido, quanto à Capacidade Fundamental Supervisão da Defesa, a organização
ALFA obteve o melhor índice e a BRAVO o mais baixo.

102
6. CONCLUSÕES
A guerra cibernética é uma realidade vivenciada no atual cotidiano das organizações
mundiais. A diversidade de ataques por parte de indivíduos, grupos ou instituições por
variadas motivações repercutem com muito maior impacto no ciberespaço em função da atual
dependência tecnológica por parte da sociedade da informação e da crescente complexidade
de seus sistemas.
O Estado também é alvo de ataques cibernéticos e suas infra-estruturas críticas
constituem um alvo compensador para os atacantes oriundos de forças regulares ou
irregulares. Nesse contexto a defesa cibernética pode ser implementada na forma top-down
para dar direcionamento e amparo às iniciativas das instituições envolvidas. Vários países
vêm investindo em pesquisa e desenvolvimento na área de defesa cibernética com intuito de
ao menos diminuir o impacto dos ataques na organização.
Assim, uma defesa cibernética efetiva requer uma vigilância contínua das vulnerabilidades
e ameaças que podem ser originadas de mudanças nos processos, pessoal, tecnologia e no
ambiente social e de negócios onde a organização está inserida. Sendo assim é necessário que
as capacidades que compõem a defesa cibernética não sejam apenas concebidas para atender o
cenário corrente de ameaças, mas também que elas estejam sendo continuamente aprimoradas
de modo que possam enfrentar novas ameaças ou as evoluções das ameaças existentes.
De modo a atender a demanda de aprimoramento contínuo das capacidades de defesa, o
trabalho apresentou um Modelo de Maturidade de Capacidades de Defesa Cibernética. A
utilização do modelo em uma organização pode identificar o nível de desempenho corrente do
sistema de defesa, identificar o nível de desempenho desejável frente aos riscos envolvidos e
ainda, possibilita a definição de um plano para aprimoramento das capacidades correntes para
se alcançar o nível de desempenho desejável. No estudo de caso realizado no trabalho pode-se
realizar a análise e avaliação global das capacidades de negócio indicando que em relação ao
103
modelo proposto as organizações encontram-se em uma condição específica conforme o nível
de desempenho em relação ao modelo.
O modelo proposto independe de tecnologias ou de metodologias específicas e pode ser
utilizado por qualquer organização que possua ativos a serem protegidos de ameaças do
ciberespaço. Essa proposta descreve uma estratégia de emprego das melhores práticas
estabelecidas em padrões internacionais, entretanto, ainda está em processo de
aperfeiçoamento e, portanto, não esgota o assunto. Os resultados a serem obtidos deverão ser
publicados para uma futura avaliação pela comunidade científica. O modelo proposto foi
construído pelo autor do trabalho utilizando como base o material referenciado.
Assim sendo, o Estado brasileiro não pode prescindir de desenvolver sua defesa
cibernética integrando instituições e organizações otimizando o trâmite de informações e
artefatos resultando na produção de um conhecimento mais consistente.
6.1 Trabalhos Futuros
Tendo em vista as variadas questões suscitadas na presente proposta de modelo
apresentado no trabalho e da natureza do assunto que apresenta um elevado nível de
atualização no tempo, não foi possível uma abordagem mais aprofundada do tema. Sendo
assim, seguem alguns assuntos que poderão tornar-se alvos de futuros trabalhos:
• epistemologia da defesa cibernética (de forma que a mesma possa ser adequada a todo o
escopo da Administração Pública Federal);
• proposta de taxonomia (podendo evoluir futuramente para uma ontologia) da guerra
cibernética baseado em capacidades com o objetivo de delimitar o escopo para estudo mais
aprofundado do tema. A base para pesquisa pode se constituir dos manuais de operações
existentes de forma a ter como alicerce uma doutrina já consolidada;

104
• o emprego eficiente da defesa cibernética por meio da integração com outros vetores da
guerra da informação;
• amparos legais pertinentes e necessários no emprego de um sistema de defesa cibernética
baseado em capacidades;
• a interação do sistema de defesa cibernética com demais instituições brasileiras que se
constituam como alvos compensadores da guerra cibernética; e
• construção de um sistema de defesa cibernética no contexto da guerra da informação.

105
REFERÊNCIAS
1. GIBSON, WILLIAM. Neuromancer. A Seminal Work in the Cyberpunk. New York : Ace
Books, 1984.
2. ROBERTS, L. A History of Personal Workstations. [ed.] A. Goldberg. 1988.
3. INSTITUTO TAMIS. Populariazação da internet. Introdução ao uso de correio eletrônico

e web. Rede Nacional de Pesquisa RNP. Outubro de 1997. Disponível em http://www.rnp.br/
_arquivo/documentos/ref0186.pdf. Acesso em 28 Nov 2010.
4. PORTAL TERRA TECNOLOGIA. Tecnologia e Internet. Em 10 anos, Internet cresceu

em diversas áreas. outubro de 2010. Disponível em http://tecnologia.terra.com.br
/internet10anos/interna/0,,OI546299-EI5026,00.html. Acesso em 1 Nov 2010.
5. SCHWARTAU, WWN. Information Warfare: Cyberterrorism. Protecting your Personal

Security in the Electronic Age 2nd. Nova York : s.n., 1996.
6. DUTRA, ANDRE MELLO CARVALHÃES. Introdução à Guerra Cibernética: a

necessidade de um despertar Brasileiro. Simpósio de Aplicações Operacionais em Áreas de
Defesa. São José dos Campos-SP, s.n., Setembro 2008.
7. SAYDJARI, O. SAMI. Cyber Defense:Art to Science. Communications Of The ACM. Vol

47, No 3, pp. 53-57. Março 2004, pp. 53-57.
8. NOTICIAIS BR. Pentágono admite ter sofrido ataque cibernético em março desse ano.
NOTICIAIS BR, 16 Jul 2010. Diponível em http://www.noticiasbr.com.br/pentagono-admite-
ter-sofrido-ataque-cibernetico-em-marco-desse-ano-9245.html. Acesso em 13 Ago 2010.
9. ESTADÃO, JORNAL. Coreia do Sul é alvo de novo ataque cibernético.

ESTADAO.COM.BR/INTERNACIONAL, 09 Jul 2009. Disponível em http://www.estadao
106
.com.br/noticias/internacional,coreia-do-sul-e-alvo-de-novo-ataque-cibernetico,400210,0.htm.
Acesso em 21 Set 2010.
10. FOLHA DE SÃO PAULO. TCU vê problemas de segurança de informação em 65% dos
órgãos públicos. Folha.com, 12 Jul 2010. Disponível em http://www1.folha.uol.com.br/
poder/795761-tcu-ve-problemas-de-seguranca-de-informacao-em-65-dos-orgaospublicos.htm
Acesso em 01 Out 2010.
11. MINISTÉRIO DA DEFESA. Estratégia Nacional de Defesa. Brasília-DF, 28 Dez 2008.

Disponível em http://www.defesa.gov.br/projetosweb/estrategia. Acesso em 14 Fev 2010.
12. SANTOS, CORIOLANO AURELIO ALMEIDA CAMARGO. ATUAL CENÁRIO

DOS CRIMES CIBERNÉTICOS NO BRASIL, 2008. Disponivel em http://www2.oabsp
.org.br/asp/comissoes/sociedade_informacao/artigos/crimes_ciberneticos.pdf. Acesso em 28
Ago 2010.
13. SILVA, EDNA LÚCIA DA SILVA. Menezes, Estera Muszkat. Metodologia da pesquisa e
elaboração de dissertação. 3ª Edição revisada e atualizada. Laboratório de Ensino a Distância
da UFSC. Florianópolis, 2001. Disponível em http://projetos.inf.ufsc.br/arquivos/
Metodologia%20da%20Pesquisa%203a%20edicao.pdf . Acesso em 02 Nov 2010.
14. GIL, ANTONIO CARLOS. Como elaborar projetos de Pesquisa. 4ª Edição. São Paulo,
Editora Atlas, 2002.
15. GRÓTIUS, HUGO. O Direito da Guerra e da Paz. Tradução Ciro Mioranza.

Florianópolis, Editora Unijui-Fondazione Cassamarca. 2004. 2 vs.
16. CLAUSEWITZ, CAR VON. Da Guerra. 1972. Vol. p. 51.
17. MINISTÉRIO DA DEFESA. Glossário das Forças Armadas MD35-G-01. Brasília-DF,

22 Fev 2007. 4ª Edição. Disponível em http://www.esao.ensino.eb.br/ paginas/cursos/ cav/
downloads /MD35_G_01.pdf . Acesso em 23 Mar 2010.
107
18. WIERNER, NORBET. Cybernetics: or the control and communication in the animal and
the machine. s.l. : Massachusetts Institute of Technology, 1948.
19. DUGGAN, RAYMOND C. PARKS. David, P. Workshop on Information Assurance and

Security. Principles of Cyber-warfare. Junho 5, 2001.
20. RÁDIO HAVANA CUBA. Pentágono ativa comando especial de segurança cibernética.
2010. Disponível em http://www.radiohc.cu /portugues/a_noticiasdelmundo /10/junio/7/
mundo5.htm. Acesso em 17 Out 2010.
21. MINISTÉRIO DA DEFESA. Doutrina Militar de Defesa MD51-M-04. Brasília-DF, 1

Fev 2007. 4ª Edição. s.n.,Vol. I. Disponível em http://www.arqanalagoa .ufscar.br/pdf/
doutrina_militar_de_defesa.pdf . Acesso em 12 Mar 2010.
22. STIENNON, RICHARD. Cyber Defense Defined in Weekly Newsletter. IT-Harvest, 20

Jul 2009. Disponível em http://www.threatchaos.com/cyber-defense/1-latest/532-cdw july
202009 . Acesso em 20 Jan 2010.
23. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. Código de Prática para a

Gestão da Segurança da Informação. ABNT NBR ISO/IEC 27002:2005. Segunda edição. 31
Ago 2005.
24. IT GOVERNANCE INSTITUTE. IT Governance. IT Governance Community.

Disponível em http://www.itgi.org/template_ITGIa166.html?Section=About_IT_Governan
ce1&Template=/ContentManagement/HTMLDisplay.cfm&ContentID=19657 . Acesso em 10
Set 2011.
25. FERNANDES, AGUINALDO. Implantando a Governança de TI: Da estratégia à gestão

dos processos e serviços. Segunda Edição. Rio de Janeiro. Editora Brasport, 2008.
26. IEEE. TRATAMENTO E GERENCIAMENTO DE PROCESSOS DE ENGENHARIA

DE SISTEMAS. IEEE STD 1220-2005 . 1999.
108
27. HONEYPOTS. Tracking Hackers. Lance Spitzner. Disponível em http://www.

awprofessional.com/title/0321108957 . Acesso em 23 Abr 2011.
28. SILVA, SYLVIO ANDRE DIOGO. YANO, EDGAR TOSHIRO. Modelagem de

Capacidades e Maturidade para Defesa Cibernética. Seminário de Aplicações Operacionais
em Áreas de Defesa. São José dos Campos-SP, Set 2010. pp. 01-06. Disponível em
http://161.24.2.250/sige_old/XIISIGE/pdf/IV_3.pdf . Acesso em 22 Abr 2011.
29. GRESKI, LEONARD. Business Capability Modeling: Theory &. Practice. Architecture
& Governance. 22 Set 2009, A-G Magazine. Disponível em http://citc2.com/wp-
content/uploads/2010/04/Airchitecture-Governance-Vol-5-Issue-7.pdf . Acesso em 18 Nov
2009.
30. GRUBER, T. Ontolingua. A Mechanism to Support Portable Ontologies. 1992. Technical

Report KSL 91-66, Stanford University, Knowledge Systems Laboratory. Revision.
31. GRUBER, T. Toward principles for the design of ontologies used for knowledge sharing.
International Journal of Human Computer Studies, v. 43, n. 5-6, 907– 928, 1994.
32. GRUNINGER, M.; FOX, M. S. Methodology for the design and evaluation of
ontologies. 1995. Disponível em: <http://citeseer.ist.psu.edu/grninger95methodology.html>.
Acesso em: 10 Jan 2012.
33. USCHOLD, M.; KING, M. Towards a Methodology for Building Ontologies. 1995.
Disponível em: <http://citeseer.ist.psu.edu/uschold95toward.html> Acesso em: 10 Janeiro
2012.
34. RAUTEMBERG, SANDRO. GAUTHIER, FERNANDO A. O. LOTTIN, POLINE.

DUARTE, CLEITON E. J. TODESCO, JOSÉ L. OntoKEM: uma ferramenta para
construção e documentação de Ontologias. Universidade Federal de Santa Catarina.
Disponível em http://www.uff.br/ontologia/artigos/27.pdf . Acesso em 23 Mar 2010.
35. SILVA, SYLVIO ANDRE DIOGO. YANO, EDGAR TOSHIRO. OLIVEIRA, JOSE
MARIA PARENTE. Uma Ontologia de Apoio a Defesa Cibernética. XII Seminário de
Aplicações Operacionais. 22 Set 2010. p. 34. Disponível em http://161.24.2.250/ sige_old
109
/XIISIGE/pdf/X_1.pdf . Acesso em 12 Mar 2011.
36. SERVIÇO FEDERAL DE PROCESSAMENTOS DE DADOS. Gestão do

Conhecimento. Uma experiencia para o sucesso empresarial. Editora Universitária
Champagnat, 2011.
37. DALKIR, K. Knowledge Management in Theory and Practice. New York : Elsevier
Butterworth-Heinemann, 2005.
38. MINISTÉRIO DA DEFESA. Doutrina Militar de Comando e Controle. MD51-M-04.

Brasília-DF, 1 Fev 2007. 2ª Edição. Disponível em http://www.arqanalagoa. ufscar.br /pdf/
doutrina_militar_de_defesa.pdf . Acesso em 13 Mai 2010.
39. OLIVEIRA, WARLEI AGNELO DE. Modelos de Maturidade. Visão Geral. Revista
Mundo PM, Ano 1 Nº 06 - Dez/Jan 2006.
40. PROJECT MANAGEMENT INSTITUE, INC. Um Guia de Conhecimento em

Gerencimaneto de Projetos. Quarta Edição. Pennsylvania : s.n., 2008.
41. PROJECT MANAGEMENT INSTITUTE. Organizational Project Management

Maturity Model (OPM3) Knowledge Foundation. Newton Square : s.n., 2003.
42. SOFTWARE ENGINEERING INSTITUTE DA CARNEGIE MELLON - SEI-CMU.

University. Página Oficial do CMMI no site do Software Engineering Institute. 2002.
Disponível em http://www.sei.cmu.edu/cmmi/ . Acesso em 20 Set 2010.
43. PM Solutions. Página Oficial da PM Solutions. Disponível em www.pmsolutions.com/.

Acesso em 20 Dez 2011.
44. ISACA. COBIT - Framework for IT Governance and Control. Disponível em

http://www.isaca.org/Knowledge-Center/cobit Acesso em 03 Out 2010.]
45. PRADO, D. Gerenciamento de Portfólios, Programas e Projetos nas Organizações. Quarta

Edição. s.l. 2006 : Editora INDG, 2009.
110
46. SOUZA, A. M. Implementando o CMMI como ferramenta para gerenciamento de

projetos de software. 01 Dez 2005. Disponível em http://kplus .cosmo.com.br
/materia.asp?co=30&rv=Vivencia. Acesso em 12 Dez 2010.
111
ANEXO – Questionário Aplicado as Organizações referentes ao Modelo de Maturidade
para Defesa Cibernética
a. Dados Iniciais
1. Qual a área de atuação da organização?
2. Indique um e-mail para contato:
b. Dados Principais
O modelo de capacidades para Defesa Cibernética é constituído de capacidades que
descreve o que uma função de negócio faz, sem descrever como essa função é executada.
Uma capacidade é constituída de processos, pessoas e ativos físicos ou a combinação de dois
ou três elementos. Em relação ao modelo de Defesa Cibernética as capacidades fundamentais
estabelecidas são as seguintes: Governança, Comando e Controle, Mecanismos de Defesa e
Supervisão da Defesa.
O modelo de avaliação de maturidade visa verificar o estado atual de desenvolvimento
de cada capacidade e o nível de maturidade correspondente. As capacidades fundamentais
serão desdobradas e avaliadas conforme o questionário que se segue. As respostas das
perguntas corresponde ao nível de desenvolvimento da capacidade conforme os itens
abaixo:
0 - A capacidade não foi implementada no âmbito da organização.
1 – A organização reconhece a importância da capacidade para defesa cibernética. Mas
a capacidade é implementada de forma ad-hoc, sem planejamento, organização e
comunicação.
2 - A capacidade para defesa cibernética é planejada, implantada e controlada de acordo
com o riscos envolvidos, porém, é executada de forma reativa.

112
3 – A capacidade para defesa é estabelecida, implementada e comunicada no âmbito da
organização. E ainda, é continuamente avaliada e aprimorada.
4 – A capacidade de defesa é estabelecida, implementada e comunicada no âmbito da
organização. É continuamente avaliada, aprimorada e compreendida de forma quantitativa.
5 – A capacidade de defesa é estabelecida, implementada e comunicada segundo metas
quantitativas. Os modelos da organização são continuamente aprimorados conforme as metas
quantitativas.
1. Capacidade Fundamental Governança
É uma capacidade que visa garantir que o sistema irá atender as metas de negócios da
organização. A governança para Defesa Cibernética tem por objetivo estabelecer e aprimorar
a política, as estratégias e as táticas da organização frente às ameaças existentes no espaço
cibernético. A idéia central dessa capacidade é o constante aprimoramento do pessoal,
processos e tecnologia na organização, de modo que, as melhores decisões sejam sempre
tomadas e a organização faça uso de estratégias e táticas previamente avaliadas e testadas.
A governança possui os seguintes grupos de capacidades: Política, Gestão de
Estratégias e Táticas e Gestão do Conhecimento. As questões relativas as capacidade serão
identificadas da seguinte forma:
 1.1.X sobre a Política;
 1.2.X sobre a Gestão de Estratégias e Táticas;
 1.3.X sobre a Gestão do Conhecimento
1.1.1 Sobre a política da organização, qual a situação do documento referente à Política de
Defesa Cibernética no que se refere a existência.

113
1.1.2 A política da organização foi definida nos termos das características do negócio, da
organização, sua localização, ativos e da tecnologia utilizada.
1.1.3 A política, aprovada pela direção da organização, inclui uma estrutura para definir
objetivos e o estabelecimento de um direcionamento global e princípios para ações
relacionadas com a defesa cibernética.
1.1.4 A política de defesa é analisada criticamente a intervalos planejados ou quando
mudanças significativas ocorrem, para assegurar a sua contínua pertinência, adequação e
eficácia.
As Estratégias de Defesa tem por finalidade orientar a aplicação de recursos, métodos e
procedimentos utilizados para a defesa cibernética na missão da organização quanto às
ameaças do ciberespaço. Uma estratégia estabelece um plano de defesa para um determinado
cenário de ataque tomando como base a política da organização. Dado a necessidade de
rapidez de resposta contra os ataques é fundamental que a organização tenha previamente
elaborada e testada estratégias para os principais cenários de ataque e a definição dos riscos
relacionados aos ativos organizacionais.
As Táticas de Defesa são os procedimentos e métodos empregados nas diferentes
capacidades da defesa cibernética e que devem estar alinhados com a política e as estratégias
da organização. As táticas são como ferramentas que precisam ser constantemente avaliadas e
testadas quanto a sua eficácia em diferentes cenários de ataque. As táticas vislumbram os
processos utilizados para atenderem com eficácia e eficiência as capacidades estabelecidas
para a organização.
114
1.2.1 A organização utiliza uma metodologia de análise/avaliação de riscos que seja adequada
ao Sistema de defesa e aos requisitos legais, regulamentares e de segurança da informação,
identificados para o negócio.
1.2.2 A organização desenvolve critérios para a aceitação de riscos e a identificação de níveis
aceitáveis de risco.
1.2.3 A organização realiza a gestão de ativos para alcançar e manter a proteção adequada dos
ativos da organização.
1.2.4 A organização avalia os impactos para o negócio da organização que podem resultar de
falhas de segurança, levando em consideração as conseqüências de uma perda de
confidencialidade, integridade ou disponibilidade dos ativos.
1.2.5 A organização avalia a probabilidade real da ocorrência de falhas de segurança à luz de
ameaças e vulnerabilidades prevalecentes, e impactos associados a estes ativos e os controles
atualmente implementados.
1.2.6 A organização estabelece objetivos de controle para atender aos requisitos identificados
pela análise/avaliação de riscos e pelo processo de tratamento de riscos.
1.2.7 Todas as responsabilidades pela defesa cibernética são claramente definidas.
1.2.8 A organização mantém contatos apropriados com grupos de interesses especiais ou
outros fóruns especializados de segurança da informação e associações profissionais.

115
1.2.9 A organização executa procedimentos de monitoração e análise crítica e outros controles
para prontamente detectar erros nos resultados de processamento.
1.2.10 A organização executa procedimentos de monitoração e análise crítica e outros
controles para permitir à direção determinar se as atividades de defesa delegadas a pessoas ou
implementadas por meio de tecnologias de informação são executadas conforme esperado.
1.2.13 A organização realiza análises críticas regulares da eficácia do sistema (incluindo o
atendimento da política e dos objetivos do sistema e a análise crítica de controles), levando
em consideração os resultados de auditorias, incidentes de defesa, resultados da eficácia das
medições, sugestões e realimentação de todas as partes interessadas.
1.2.14 A organização mede a eficácia dos controles para verificar se os requisitos de defesa
foram atendidos.
1.2.15 A organização possui um modelo de Gestão de estratégias e táticas no âmbito da
organização.
A Gestão do Conhecimento é o processo sistemático de identificação, criação,
renovação e aplicação dos conhecimentos que são estratégicos na vida de uma organização. É
a administração dos ativos de conhecimento da organização permitindo à organização saber o
que ela sabe. No modelo proposto a Gestão do Conhecimento tem um papel fundamental uma
vez que visa a documentar todo conhecimento a despeito de Defesa Cibernética de modo a
proporcionar vantagem competitiva.

116
1.3.1 A organização possui um Programa de Gestão do Conhecimento no domínio da defesa
cibernética com a finalidade de gerar conhecimento organizacional e reagir a mudanças.
1.3.2 Para sistematizar o conteúdo de conhecimento a organização possui infra-estrutura de
informação e comunicação.
1.3.3 A organização possui mecanismos para possibilitar o acesso ao conhecimento por parte
de seus indivíduos e dos times de conhecimento.
TIMES DE CONHECIMENTO.
1.3.4 A organização possui infra-estrutura tecnológica para apoiar o processo de aprendizado
organizacional.
1.3.5 A organização possui mecanismos para estimular e identificar a criação do
conhecimento por parte dos seus indivíduos.
1.3.6 A organização possui uma comunidade prática para apoiar a transferência do
conhecimento e geração do conhecimento coletivo dos times de conhecimento e dos
indivíduos da organização.
1.3.7 A organização possui mecanismos para que o aprendizado adquirido, codificado e
comunicado leve a correção de erros e a solução de problemas.

117
1.3.8 O programa de gestão do conhecimento organizacional está alinhado com os objetivos
estratégicos da organização.
1.3.9 A organização possui mecanismos ou programas que permitem a operacionalização do
conhecimento desde a criação ou captura até a disseminação do conhecimento.
2. Capacidade Fundamental Comando e Controle
O Comando e Controle é uma atividade fundamental para o êxito das operações em
todos os escalões de comando. É uma atividade especializada e sua execução se baseia em
uma concepção sistêmica, com métodos, procedimentos, características e vocabulário que lhe
são peculiares. No modelo proposto a capacidade vincula e permeia todas as atividades
operacionais e a governança, sincronizando-as e permitindo ao comandante adquirir e manter
o indispensável nível de consciência situacional para a tomada de decisões adequadas às
circunstâncias do ambiente operacional, para a expedição de ordens e para o controle de sua
execução.
É uma capacidade fundamental que provê a análise da situação corrente, a tomada de
decisões a partir de uma compreensão de opções e uma comunicação das decisões e
acompanhamento da execução de forma precisa e confiável.
As questões relativas a capacidade serão identificadas da seguinte forma:
 2.1.X sobre o Comando;
 2.2.X sobre o Controle; e
 2.3.X sobre o Sistema de Comando e Controle.
2.1.1 O exercício da autoridade e direção dos setores relacionados à Defesa Cibernética é
realizado por um comandante ou diretor devidamente designado para realização da missão.

118
2.1.2 A organização possui mecanismos de percepção situacional que envolve a
monitorização, a detecção de evidências e o reconhecimento básico de situações, que
corresponde à consciência de múltiplos elementos (objetos, eventos, pessoas, sistemas, fatores
ambientais) e seus estados presentes (localizações, condições, modos, ações).
2.1.3 A Organização possui mecanismos para compreender os dados e o reconhecimento de
padrões, a interpretação e a avaliação dos dados coletados na fase de percepção tendo como
resultado um entendimento do significado global dos elementos percebidos e como se ajustam
todos em uma peça global, que tipo de situação ocorre, que significa em termos de objetivos
da missão.
2.1.4 A Organização possui mecanismos para possibilitar a projeção que envolve a
antecipação e a simulação, ou seja, uma consciência de como se ajusta a missão às
expectativas averiguando quais são os eventos e estados possíveis/prováveis. Este é o nível
mais alto de consciência situacional.
2.1.5 A organização possui mecanismos para permitir aos Comandantes ou chefes em seus
escalões emitirem ordens com presteza, confiabilidade e segurança nos assuntos relacionados
a defesa cibernética.
2.1.6 A organização possui um modelo de Comando e Controle básico para ser utilizado no
âmbito da organização e nos diversos escalões de comando nos assuntos referentes a Defesa
Cibernética.
119
2.2.1 A organização possui mecanismos para permitir aos subordinados informarem aos seus
comandantes sobre o andamento de suas atividades com presteza, confiabilidade e segurança.
2.2.2 A organização possui doutrina ou procedimentos para o estabelecimento de um sistema
de comando e controle nos escalões subordinados.
2.3.1 A organização possui um sistema de Comando e Controle que possibilita a emissão de
ordens e o acompanhamento das operações de defesa no âmbito da organização em tempo
real.
2.3.2 A organização possui um sistema de coleta de informações relevantes para proporcionar
ao Comandante o acompanhamento das ações em tempo real.
2.3.3 A organização possui mecanismos de gestão das informações a fim de permitir ao
Comandante o conhecimento de informações relevantes.
2.3.4 A organização possui uma doutrina ou padronização de utilização e processamento do
sistema de Comando e Controle.
2.3.5 A organização possui equipamentos ou instalações dedicadas ao sistema de Comando e
Controle.
3. Capacidade Fundamental Mecanismos de Defesa
A capacidade fundamental provê processos e tecnologia de segurança para proteger os
ativos da organização contra ataques do ciberespaço tomando como base as estratégias e

120
táticas estabelecidas pela organização. Os elementos essenciais para que essa capacidade seja
atendida podem ser caracterizados pelos serviços de segurança lógica, segurança física,
segurança no desenvolvimento e segurança das instalações.
As questões relativas as capacidade serão identificadas da seguinte forma:
 3.1.X sobre os Serviços de Segurança;
 3.2.X sobre a Segurança de Pessoal;
 3.3.X sobre a Segurança Física; e
 3.4.X sobre Desv, Op e Mnt Segura.
3.1.1 A organização possui mecanismos para garantir a segurança no controle de acesso de
modo a assegurar acesso de usuário autorizado e a prevenção de acesso não autorizado aos
sistemas de TI em uso no âmbito da organização.
3.1.2 A organização possui mecanismos para garantir a identificação de usuários de modo que
cada um tenha um único ID para uso pessoal e exclusivo.
3.1.3 A organização possui mecanismos para realizar a autenticação dos usuários validando a
identidade alegada por um usuário.
3.1.4 A organização possui mecanismos para garantir a disponibilidade, ou seja, para que a
informação esteja acessível e utilizável sob demanda por uma entidade autorizada.
3.1.5 A organização possui mecanismos para garantir a integridade - propriedade de
salvaguarda da exatidão e completeza de ativos.

121
3.1.6 A organização possui mecanismos para garantir a confidencialidade - propriedade de
que a informação não esteja disponível ou revelada a indivíduos, entidades ou processos não
autorizados
3.1.7 Os serviços de segurança são implantados com vistas a atender os riscos previamente
identificados na gestão de riscos
3.1.8 Existem serviços de segurança implantados com vistas a atender a gestão demanda
identificada pela gestão de conhecimento.
3.2.1 A organização preveni o acesso físico não autorizado, danos e interferências com as
instalações e informações da organização.
3.2.2 A organização utiliza perímetros de segurança (barreiras tais como paredes, portões de
entrada controlados por cartão ou balcões de recepção com recepcionistas) para proteger as
áreas que contenham informações e recursos de processamento da informação.
3.2.3 As áreas seguras são protegidas por controles apropriados de entrada para assegurar que
somente pessoas autorizadas tenham acesso.
3.2.4 A organização projetou segurança física para escritórios, salas e instalações.
3.2.5 A organização aplica a proteção física contra incêndios, enchentes, terremotos,
explosões, perturbações da ordem pública e outras formas de desastres naturais ou causados
pelo homem.
122
3.2.6 Os pontos de acesso da organização, tais como áreas de entrega e de carregamento e
outros pontos em que pessoas não autorizadas possam entrar nas instalações, são controlados
e, se possível, isolados dos recursos de processamento da informação, para evitar o acesso não
autorizado.
3.2.7 A organização possui mecanismos para impedir perdas, danos, furto ou
comprometimento de ativos e interrupção das atividades da organização.
3.2.8 Os equipamentos são colocados em local adequado ou protegidos para reduzir os riscos
de ameaças e perigos do meio ambiente, bem como as oportunidades de acesso não
autorizado.
3.2.9 Os equipamentos são protegidos contra falta de energia elétrica e outras interrupções
causadas por falhas das utilidades.
3.2.10 O cabeamento de energia e de telecomunicações que transporta dados ou dá suporte
aos serviços de informações são protegidos contra interceptação ou danos.
3.2.11 Os equipamentos são manutenidos corretamente, para assegurar sua disponibilidade e
integridade permanente.
3.2.12 A organização realiza medidas de segurança para equipamentos que operem fora do
local, levando em conta os diferentes riscos decorrentes do fato de se trabalhar fora das
dependências da organização.
123
3.2.13 Todos os equipamentos que contenham mídias de armazenamento de dados são
examinados antes do descarte, para assegurar que todos os dados sensíveis e softwares
licenciados tenham sido removidos ou sobregravados com segurança.
3.2.14 Os equipamentos, informações ou software não são retirados do local sem autorização
prévia.
3.3.1 A organização possui mecanismos ou procedimentos para realizar a classificação do
pessoal por intermédio de credenciais de acesso.
3.3.2 A organização possui mecanismos para realizar a triagem do acesso de pessoas aos
diversos locais de trabalho
3.3.3 A organização possui mecanismos para realizar atividades relacionadas a término de
contratação ou da prestação de serviços dos indivíduos da organização.
3.3.4 A organização possui mecanismos para assegurar que todos os funcionários,
fornecedores ou terceiros possam seguir procedimentos padronizados reduzindo o risco de
ameaças para o sistema de defesa cibernética.
3.4.1 A organização toma providências para garantir que segurança é seja parte integrante de
sistemas de informação
3.4.2 A organização preveni a ocorrência de erros, perdas, modificação não autorizada ou mau
uso de informações em aplicações.

124
3.4.3 A organização protege a confidencialidade, a autenticidade ou a integridade das
informações por meios criptográficos.
3.4.4 A organização possui mecanismos para garantir a segurança de arquivos de sistema.
3.4.5 A organização mantém a segurança de sistemas aplicativos e da informação.
3.4.6 A organização reduz os riscos resultantes da exploração de vulnerabilidades técnicas
conhecidas por intermédio do desenvolvimento de sistemas de forma segura.
3.4.7 A organização possui mecanismos para que os riscos que são identificados nos sistemas
utilizados pela organização sejam endereçados para o desenvolvimento de sistemas.
3.4.8 A organização possui mecanismos para verificar a segurança de componentes e serviços
de terceiros.
3.4.9 A organização possui mecanismos para validação de segurança e serviços de terceiros.
4. Capacidade Fundamental Supervisão da Defesa
dos mecanismos de defesa. Essa capacidade analisa e trata os incidentes ocorridos, a
vulnerabilidades correntes através de testes de invasão e auditorias.
As questões relativas as capacidade serão identificadas da seguinte forma:

125
 4.1.X sobre o Monitoramento e Controle;
 4.2.X sobre o Gestão de Incidentes;
 4.3.X sobre o Testes de Invasão; e
 4.4.X sobre Auditorias.
4.1.1 A organização possui mecanismos de para realizar a monitoração e análise crítica para
prontamente detectar erros nos mecanismos de defesa.
4.1.2 A organização executa procedimentos de monitoração e análise crítica e outros controles
para permitir à direção determinar se as atividades executadas pelos mecanismos de defesa
são executadas conforme esperado.
4.1.3 A organização realiza análises críticas regulares da eficácia dos mecanismos de defesa,
levando em consideração os resultados de auditorias, incidentes de defesa, resultados da
eficácia das medições, sugestões e realimentação de todas as partes interessadas.
4.1.4 A organização mede a eficácia dos mecanismos de defesa para verificar se os requisitos
de defesa foram atendidos.
4.2.1 A organização possui mecanismos para assegurar que fragilidades e eventos de
segurança da informação associados com sistemas de informação sejam comunicados,
permitindo a tomada de ação corretiva em tempo hábil.

126
4.2.2 Os funcionários, fornecedores e terceiros de sistemas e serviços de informação são
instruídos a registrar e notificar qualquer observação ou suspeita de fragilidade em sistemas
ou serviços.
4.2.3 A organização possui mecanismos para assegurar que um enfoque consistente e efetivo
seja aplicado à gestão de incidentes de segurança da informação.
4.2.4 As responsabilidades e procedimentos de gestão devem são estabelecidos para assegurar
respostas rápidas, efetivas e ordenadas a incidentes de defesa.
4.2.5 A organização possui mecanismos para para permitir que tipos, quantidades e custos dos
incidentes de segurança da informação sejam quantificados e monitorados.
4.2.6 A organização possui mecanismos para realizar a coleta de evidências por ocasião de
incidentes de defesa.
4.3.1 A organização realiza o planejamento de Testes de Invasão para verificar o
funcionamento adequado dos mecanismos de defesa implementados conforme a gestão de
estratégias e táticas da organização e em tempo planejado
4.3.2 A organização possui mecanismos para especificar os papéis e responsabilidades para
cada grupo de atividades envolvido na etapa de "Planejamento dos Testes".

127
4.3.3 A organização realiza o mapeamento dos "artefatos de entrada" exigidos como premissa
para que cada macro-atividade possa ser realizada, a fim de verificar a eficiência do sistema
de defesa.
4.3.4 A organização realiza a identificação de cenários diversos para realização dos testes,
bem como, os requisitos especificados na gestão de estratégias e táticas da organização.
4.3.5 A organização possui mecanismos para análise dos testes de invasão que permitem que
os mecanismos que estão sendo ineficazes sejam corrigidos ou que gerem novos requisitos
para o sistema de defesa.
4.4.1 A organização conduz auditorias internas do sistema de defesa a intervalos planejados
para determinar se os objetivos de controle, controles, processos e procedimentos do sistema
atendem aos requisitos estabelecidos pela organização (verificação).
4.4.2 A organização conduz auditorias internas para validar o sistema de defesa a intervalos
planejados determinando se o sistema atende aos requisitos estabelecidos pela organização
(validação).
estão mantidos e implementados eficazmente.

128
são executados conforme esperado.
4.4.5 A organização realiza a seleção dos auditores e a execução das auditorias assegurando a
objetividade e imparcialidade do processo de auditoria.
4.4.6 A organização prevê as responsabilidades e os requisitos para planejamento e execução
de auditorias definidos em um procedimento documentado.

129
GLOSSÁRIO
 Ativo: qualquer coisa que tenha valor para uma organização.
 Ameaça: qualquer circunstância ou evento que forneça algum potencial de violação de
segurança.
 Ataque: concretização da ameaça. Ação tomada por um intruso malicioso que envolve a
exploração de certas vulnerabilidades, visando violações de segurança.
 Análise de riscos: uso sistemático de informações para identificar fontes e estimar o risco
[ABNT ISO/IEC Guia 73:2005]
 Análise/avaliação de riscos: processo completo de análise e avaliação de riscos. [ABNT
ISO/IEC Guia 73:2005]
 Avaliação de riscos: processo de comparar o risco estimado com critérios de risco
predefinidos para determinar a importância do risco. [ABNT ISO/IEC Guia 73:2005]
 Confidencialidade: propriedade de que a informação não esteja disponível ou revelada a
indivíduos, entidades ou processos não autorizados.
 Disponibilidade: propriedade de estar acessível e utilizável sob demanda por uma
entidade autorizada.
 Evento de segurança da informação: uma ocorrência identificada de um estado de
sistema, serviço ou rede, indicando uma possível violação da política de segurança da
informação ou falha de controles, ou uma situação previamente desconhecida, que possa ser
relevante para a segurança da informação.
 Gestão de riscos: atividades coordenadas para direcionar e controlar uma organização no
que se refere a riscos. A gestão de riscos geralmente inclui a análise/avaliação de riscos, o
tratamento de riscos, a aceitação de riscos e a comunicação de riscos.

130
 Informação: é o resultado do processamento, manipulação e organização de dados, de tal
forma que represente uma modificação (quantitativa ou qualitativa) no conhecimento do
sistema (pessoa, animal ou máquina) que a recebe. A Informação enquanto conceito, carrega
uma diversidade de significados, do uso cotidiano ao técnico. Genericamente, o conceito de
informação está intimamente ligado às noções de restrição, comunicação, controle, dados,
forma, instrução, conhecimento, significado, estímulo, padrão, percepção e representação de
conhecimento.
 Integridade: propriedade de salvaguarda da exatidão e completeza de ativos.
 Incidente de segurança da informação: um simples ou uma série de eventos de
segurança da informação indesejados ou inesperados, que tenham uma grande probabilidade
de comprometer as operações do negócio e ameaçar a segurança da informação.
 Segurança da Informação: preservação da confidencialidade, integridade e
disponibilidade da informação; adicionalmente, outras propriedades, tais como autenticidade,
responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas.
 Risco: medida do custo de uma vulnerabilidade que incorpora a probabilidade de uma
violação ocorrer.
 Risco residual: risco remanescente após o tratamento de riscos.
 Sistema de gestão da segurança da informação (SGSI): parte do sistema de gestão
global, baseado na abordagem de riscos do negócio, para estabelecer, implementar, operar,
monitorar, analisar criticamente, manter e melhorar a segurança da informação. O sistema de
gestão inclui estrutura organizacional, políticas, atividades de planejamento,
responsabilidades, práticas, procedimentos, processos e recursos.

131
FOLHA DE REGISTRO DO DOCUMENTO

1. 2. 3. 4.
CLASSIFICAÇÃO/TIPO DATA REGISTRO N° N° DE PÁGINAS
DM 20 de dezembro de 2011 DCTA/ITA/DM-071/2011 130

5.
TÍTULO E SUBTÍTULO:
Modelagem de capacidades e maturidade para defesa cibernética

6.
AUTOR(ES):

7. INSTITUIÇÃO(ÕES)/ÓRGÃO(S) INTERNO(S)/DIVISÃO(ÕES):
Instituto Tecnológico de Aeronáutica - ITA
8.
PALAVRAS-CHAVE SUGERIDAS PELO AUTOR:
Defesa cibernética, capacidade e maturidade

9.PALAVRAS-CHAVE RESULTANTES DE INDEXAÇÃO:
Administração de desenvolvimento de software; Modelo de capacidade e maturidade;

Segurança de dados; Mecanismos de defesa; Comando e controle; Cibernética; Defesa;
Engenharia de software.
10.
APRESENTAÇÃO: X Nacional
Internacional
ITA, São José dos Campos. Curso de Mestrado. Programa de Pós-Graduação em
Engenharia Eletrônica e Computação. Área de Informática. Orientador: Prof Dr Edgar
Toshiro Yano. Defesa em 13/12/2011. Publicada em 2011.
11.
RESUMO:
Uma implantação eficaz de defesa cibernética requer o desenvolvimento de esforços coordenados nas
seguintes capacidades-chave: detecção de ataques, mecanismos de defesa, monitoramento de situação,
comando e controle, aprimoramento de estratégias e táticas e desenvolvimento seguro de sistemas. A
dissertação apresenta um modelo de capacidades para defesa cibernética. A partir das seis capacidades-
chave, foi identificado um modelo com capacidades essenciais para a defesa cibernética. O modelo de
capacidades desenvolvido é utilizado como base para a construção de um modelo de maturidade para
defesa cibernética. O modelo de maturidade é essencial para apoiar um planejamento estratégico de ações
de defesa cibernética, pois permite a identificação do estado corrente de uma organização quanto à defesa
cibernética e orientação para a definição de ações a serem tomadas para melhoria desse estado corrente.
Nesta dissertação apresentamos a motivação e conceituação para um modelo de capacidades para defesa
cibernética. A partir do modelo de capacidades é elaborado um modelo de maturidade.
12.
GRAU DE SIGILO:
(X ) OSTENSIVO ( ) RESERVADO ( ) CONFIDENCIAL ( ) SECRETO

Modelocapacidades61877 PDF

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Modelocapacidades61877 PDF

Enviado por

Direitos autorais:

Formatos disponíveis

I

Tese apresentada à Pró-Reitoria de Pós-Graduação e Pesquisa do Instituto

Sylvio Andre Diogo Silva

MODELO DE CAPACIDADES E MATURIDADE PARA DEFESA CIBERNÉTICA

Tese aprovada em sua versão final pelos abaixo assinados:

Prof. Dr. Celso Massaki Hirata

Dados Internacionais de Catalogação-na-Publicação (CIP)

Tese de mestrado – Curso de Engenharia Eletrônica e Computação – Área de Informática - Instituto

1. Comando e Controle 2. Guerra Cibernética 3. Defesa Cibernética 4. Segurança da Informação 5. Ontologias 6.

É concedida ao Instituto Tecnológico de Aeronáutica permissão para reproduzir cópias desta

MODELO DE CAPACIDADES E MATURIDADE PARA

Sylvio Andre Diogo Silva

Composição da Banca Examinadora:

Prof. José Maria Parente de Oliveira Presidente - ITA

MODELAGEM DE CAPACIDADES E MATURIDADE PARA DEFESA

Sylvio Andre Diogo Silva

Composição da banca examinadora:

Prof. Dr. José Maria Parente de Oliveira Presidente

Prof. Dr. Edgar Toshiro Yano Orientador

Prof. Dra. Ligia Maria Soto Urbina Membro Interno

Prof. Dr. Anderson Fernandes Pereira dos Santos Membro Externo

desenvolver este trabalho.

segura e paciente, além do profissionalismo e ainda, pela confiança que me depositou na

elaboração deste trabalho.

Ao Instituto Tecnológico de Aeronáutica pela oportunidade de cursar o Programa de

Pós-graduação em Aplicações Operacionais e desenvolver este trabalho.

apoio nos momentos de dificuldade.

Agradeço a todos os professores e colaboradores que direta ou indiretamente

influenciaram para a realização do trabalho facilitando a consecução dos objetivos.

Uma implantação eficaz de defesa cibernética requer o desenvolvimento de esforços

coordenados nas seguintes capacidades-chave: detecção de ataques, mecanismos de defesa,

monitoramento de situação, comando e controle, aprimoramento de estratégias e táticas e

desenvolvimento seguro de sistemas. A dissertação apresenta um modelo de capacidades para

capacidades essenciais para a defesa cibernética. O modelo de capacidades desenvolvido é

modelo de maturidade é essencial para apoiar um planejamento estratégico de ações de defesa

cibernética, pois permite a identificação do estado corrente de uma organização quanto à

estado corrente. Nesta dissertação apresentamos a motivação e conceituação para um modelo

de capacidades para defesa cibernética. A partir do modelo de capacidades é elaborado um

following key capabilities: attack detection, defense mechanisms, monitoring status,

capabilities and design a model of maturity.

Figura 2.1 – Relação entre a Defesa Cibernética e a Segurança da Informação............... 28

Figura 5.7 - Nível de Maturidade Avaliada da capacidade de Governança do sistema de

Tabela 4.1 - Níveis de Maturidade para o Modelo de Defesa Cibernética ...................... 69

CMM Capability Maturity Model

4.2 Modelo de Maturidade para Defesa Cibernética ............................................................ 71

O aperfeiçoamento da tecnologia digital, sobretudo na década de 1990, proporcionou,

computadores e outros dispositivos sejam conectados entre si de modo a poderem

compartilhar seus serviços, criando um ambiente virtual, diferente do cinético, que é o

O ciberespaço é um espaço de comunicação que descarta a necessidade da presença

comunhão com os demais (1).

O principal ambiente virtual que se conhece hoje é a Internet. É um amplo sistema de

comunicação que conecta muitos computadores e subredes de computadores, no mundo, e sua

somente na década de 90 é que a Internet popularizou-se proporcionando à sociedade diversos

serviços de manipulação e acesso a informação (3) (4).

inevitável que sistemas de informações críticos para o funcionamento de uma sociedade

moderna, como estações de energia elétrica, sistemas bancários, serviços de telefonia

Schwartau como sendo “Computadores em todos os lugares e a Rede Global” (5).

em um campo de batalha virtual ou no ciberespaço. Nesse conflito a identificação e

exploração de brechas de segurança do oponente permitem a obtenção de vantagens

competitivas, sendo um fator decisivo para proporcionar uma superioridade em relação a um

Cibernética, que em linhas gerais, se caracteriza por um conflito em larga escala,

politicamente motivado e baseado em técnicas de ataque e defesa para interromper os

Em virtude da possibilidade de exploração de vulnerabilidades nos sistemas