3P - Segurança Da Informação

Universidade do Sul de Santa Catarina
Segurança da Informação
Disciplina na modalidade a distância
Palhoça
UnisulVirtual
2011
Créditos
Universidade do Sul de Santa Catarina – Campus UnisulVirtual – Educação Superior a Distância
Avenida dos Lagos, 41 – Cidade Universitária Pedra Branca | Palhoça – SC | 88137-900 | Fone/fax: (48) 3279-1242 e 3279-1271 | E-mail: cursovirtual@unisul.br | Site: www.unisul.br/unisulvirtual
Reitor Unisul Assistente e Auxiliar de Luana Borges da Silva Gerência de Desenho Jeferson Pandolfo
Ailton Nazareno Soares Coordenação Luana Tarsila Hellmann e Desenvolvimento de Karine Augusta Zanoni
Maria de Fátima Martins (Assistente) Luíza Koing Zumblick Materiais Didáticos Marcia Luz de Oliveira
Vice-Reitor Fabiana Lange Patricio Maria José Rossetti Márcia Loch (Gerente)
Tânia Regina Goularte Waltemann Marilene de Fátima Capeleto Assuntos Jurídicos
Sebastião Salésio Heerdt Ana Denise Goularte de Souza Bruno Lucion Roso
Patricia A. Pereira de Carvalho Desenho Educacional
Chefe de Gabinete da Paulo Lisboa Cordeiro Cristina Klipp de Oliveira (Coord. Grad./DAD) Marketing Estratégico
Coordenadores Graduação Silvana Souza da Cruz (Coord. Pós/Ext.)
Reitoria Adriano Sérgio da Cunha Paulo Mauricio Silveira Bubalo Rafael Bavaresco Bongiolo
Rosângela Mara Siegel Aline Cassol Daga
Willian Máximo Aloísio José Rodrigues Ana Cláudia Taú Portal e Comunicação
Ana Luísa Mülbert Simone Torres de Oliveira
Vanessa Pereira Santos Metzker Carmelita Schulze Catia Melissa Silveira Rodrigues
Pró-Reitora Acadêmica Ana Paula R. Pacheco Carolina Hoeller da Silva Boeing Andreia Drewes
Arthur Beck Neto Vanilda Liordina Heerdt
Miriam de Fátima Bora Rosa Eloísa Machado Seemann Luiz Felipe Buchmann Figueiredo
Bernardino José da Silva Gestão Documental Flavia Lumi Matuzawa Marcelo Barcelos
Pró-Reitor de Administração Catia Melissa S. Rodrigues Lamuniê Souza (Coord.) Gislaine Martins Rafael Pessi
Fabian Martins de Castro Charles Cesconetto Clair Maria Cardoso Isabel Zoldan da Veiga Rambo
Diva Marília Flemming Daniel Lucas de Medeiros Jaqueline de Souza Tartari Gerência de Produção
Pró-Reitor de Ensino Fabiano Ceretta Eduardo Rodrigues João Marcos de Souza Alves Arthur Emmanuel F. Silveira (Gerente)
José Carlos da Silva Junior Guilherme Henrique Koerich Francini Ferreira Dias
Mauri Luiz Heerdt Horácio Dutra Mello Josiane Leal
Leandro Romanó Bamberg
Letícia Laurindo de Bonfim Design Visual
Itamar Pedro Bevilaqua Marília Locks Fernandes
Campus Universitário de Jairo Afonso Henkes
Lygia Pereira Pedro Paulo Alves Teixeira (Coord.)
Tubarão Lis Airê Fogolari Adriana Ferreira dos Santos
Janaína Baeta Neves Gerência Administrativa e Luiz Henrique Milani Queriquelli
Diretora Jardel Mendes Vieira Financeira Alex Sandro Xavier
Milene Pacheco Kindermann Marina Melhado Gomes da Silva Alice Demaria Silva
Joel Irineu Lohn Renato André Luz (Gerente) Marina Cabeda Egger Moellwald
Jorge Alexandre N. Cardoso Ana Luise Wehrle Anne Cristyne Pereira
Campus Universitário da Melina de La Barrera Ayres Cristiano Neri Gonçalves Ribeiro
José Carlos N. Oliveira Anderson Zandré Prudêncio Michele Antunes Corrêa
Grande Florianópolis José Gabriel da Silva Daniel Contessa Lisboa Daiana Ferreira Cassanego
Nágila Hinckel Diogo Rafael da Silva
Diretor José Humberto D. Toledo Naiara Jeremias da Rocha Pâmella Rocha Flores da Silva
Hércules Nunes de Araújo Joseane Borges de Miranda Rafael Bourdot Back Edison Rodrigo Valim
Rafael Araújo Saldanha Frederico Trilha
Luciana Manfroi Thais Helena Bonetti Roberta de Fátima Martins
Campus Universitário Luiz G. Buchmann Figueiredo Valmir Venício Inácio Higor Ghisi Luciano
Roseli Aparecida Rocha Moterle Jordana Paula Schulka
UnisulVirtual Marciel Evangelista Catâneo Sabrina Bleicher
Maria Cristina S. Veit Gerência de Ensino, Pesquisa Marcelo Neri da Silva
Diretora Sabrina Paula Soares Scaranto Nelson Rosa
Maria da Graça Poyer e Extensão Viviane Bastos
Jucimara Roesler Mauro Faccioni Filho Oberdan Porto Leal Piantino
Moacir Heerdt (Gerente) Patrícia Fragnani de Morais
Moacir Fogaça Aracelli Araldi Acessibilidade
Nélio Herzmann Vanessa de Andrade Manoel (Coord.) Multimídia
Equipe UnisulVirtual Onei Tadeu Dutra Elaboração de Projeto e Letícia Regiane Da Silva Tobal
Reconhecimento de Curso Sérgio Giron (Coord.)
Patrícia Fontanella Mariella Gloria Rodrigues Dandara Lemos Reynaldo
Diretora Adjunta Rogério Santos da Costa Diane Dal Mago
Patrícia Alberton Vanderlei Brasil Avaliação da aprendizagem Cleber Magri
Rosa Beatriz M. Pinheiro Fernando Gustav Soares Lima
Tatiana Lee Marques Francielle Arruda Rampelotte Geovania Japiassu Martins (Coord.)
Secretaria Executiva e Cerimonial Gabriella Araújo Souza Esteves
Jackson Schuelter Wiggers (Coord.) Valnei Carlos Denardin Extensão Conferência (e-OLA)
Roberto Iunskovski Jaqueline Cardozo Polla Carla Fabiana Feltrin Raimundo (Coord.)
Marcelo Fraiberg Machado Maria Cristina Veit (Coord.) Thayanny Aparecida B.da Conceição
Tenille Catarina Rose Clér Beche Bruno Augusto Zunino
Rodrigo Nunes Lunardelli Pesquisa
Assessoria de Assuntos Sergio Sell Daniela E. M. Will (Coord. PUIP, PUIC, PIBIC) Gerência de Logística Produção Industrial
Internacionais Mauro Faccioni Filho(Coord. Nuvem) Jeferson Cassiano A. da Costa (Gerente) Marcelo Bittencourt (Coord.)
Murilo Matos Mendonça Coordenadores Pós-Graduação
Aloisio Rodrigues Pós-Graduação Logísitca de Materiais Gerência Serviço de Atenção
Assessoria de Relação com Poder Bernardino José da Silva Anelise Leal Vieira Cubas (Coord.) Carlos Eduardo D. da Silva (Coord.)
Público e Forças Armadas Abraao do Nascimento Germano Integral ao Acadêmico
Carmen Maria Cipriani Pandini Maria Isabel Aragon (Gerente)
Adenir Siqueira Viana Daniela Ernani Monteiro Will Biblioteca Bruna Maciel
Walter Félix Cardoso Junior Salete Cecília e Souza (Coord.) Fernando Sardão da Silva André Luiz Portes
Giovani de Paula Carolina Dias Damasceno
Karla Leonora Nunes Paula Sanhudo da Silva Fylippy Margino dos Santos
Assessoria DAD - Disciplinas a Renan Felipe Cascaes Cleide Inácio Goulart Seeman
Distância Leticia Cristina Barbosa Guilherme Lentz
Marlon Eliseu Pereira Francielle Fernandes
Patrícia da Silva Meneghel (Coord.) Luiz Otávio Botelho Lento Holdrin Milet Brandão
Carlos Alberto Areias Rogério Santos da Costa Gestão Docente e Discente Pablo Varela da Silveira
Enzo de Oliveira Moreira (Coord.) Rubens Amorim Jenniffer Camargo
Cláudia Berh V. da Silva Roberto Iunskovski Juliana Cardoso da Silva
Conceição Aparecida Kindermann Thiago Coelho Soares Yslann David Melo Cordeiro
Capacitação e Assessoria ao Jonatas Collaço de Souza
Luiz Fernando Meneghel Vera Regina N. Schuhmacher Docente Avaliações Presenciais Juliana Elen Tizian
Renata Souza de A. Subtil Simone Zigunovas (Capacitação) Graciele M. Lindenmayr (Coord.) Kamilla Rosa
Gerência Administração Alessandra de Oliveira (Assessoria)
Assessoria de Inovação e Acadêmica Ana Paula de Andrade Maurício dos Santos Augusto
Qualidade de EAD Adriana Silveira Angelica Cristina Gollo Maycon de Sousa Candido
Angelita Marçal Flores (Gerente) Alexandre Wagner da Rocha
Denia Falcão de Bittencourt (Coord) Fernanda Farias Cristilaine Medeiros Monique Napoli Ribeiro
Andrea Ouriques Balbinot Elaine Cristiane Surian Daiana Cristina Bortolotti Nidia de Jesus Moraes
Carmen Maria Cipriani Pandini Secretaria de Ensino a Distância Juliana Cardoso Esmeraldino Delano Pinheiro Gomes Orivaldo Carli da Silva Junior
Iris de Sousa Barros Samara Josten Flores (Secretária de Ensino) Maria Lina Moratelli Prado Edson Martins Rosa Junior Priscilla Geovana Pagani
Giane dos Passos (Secretária Acadêmica) Fabiana Pereira Fernando Steimbach Sabrina Mari Kawano Gonçalves
Assessoria de Tecnologia Adenir Soares Júnior Fernando Oliveira Santos Scheila Cristina Martins
Osmar de Oliveira Braz Júnior (Coord.) Tutoria e Suporte
Alessandro Alves da Silva Claudia Noemi Nascimento (Líder) Lisdeise Nunes Felipe Taize Muller
Felipe Jacson de Freitas Andréa Luci Mandira Marcelo Ramos Tatiane Crestani Trentin
Jefferson Amorin Oliveira Anderson da Silveira (Líder)
Cristina Mara Schauffert Ednéia Araujo Alberto (Líder) Marcio Ventura Vanessa Trindade
Phelipe Luiz Winter da Silva Djeime Sammer Bortolotti Osni Jose Seidler Junior
Priscila da Silva Maria Eugênia F. Celeghin (Líder)
Douglas Silveira Andreza Talles Cascais Thais Bortolotti
Rodrigo Battistotti Pimpão Evilym Melo Livramento
Tamara Bruna Ferreira da Silva Daniela Cassol Peres
Fabiano Silva Michels Débora Cristina Silveira Gerência de Marketing
Fabricio Botelho Espíndola Francine Cardoso da Silva Fabiano Ceretta (Gerente)
Coordenação Cursos Felipe Wronski Henrique Joice de Castro Peres Relacionamento com o Mercado
Coordenadores de UNA Gisele Terezinha Cardoso Ferreira Karla F. Wisniewski Desengrini
Indyanara Ramos Eliza Bianchini Dallanhol Locks
Diva Marília Flemming Maria Aparecida Teixeira
Marciel Evangelista Catâneo Janaina Conceição Mayara de Oliveira Bastos Relacionamento com Polos
Roberto Iunskovski Jorge Luiz Vilhar Malaquias Patrícia de Souza Amorim Presenciais
Juliana Broering Martins Schenon Souza Preto Alex Fabiano Wehrle (Coord.)
Luiz Otávio Botelho Lento
Livro didático
Design instrucional
Ana Cláudia Taú
3ª edição
Palhoça
UnisulVirtual
2011
Copyright © UnisulVirtual 2011
Nenhuma parte desta publicação pode ser reproduzida por qualquer meio sem a prévia autorização desta instituição.
Edição – Livro Didático

Professor Conteudista
Luiz Otávio Botelho Lento
Design Instrucional
Ana Cláudia Taú
Assistente Acadêmico
Leandro Rocha (2ª ed. rev. e atual.)
Michele Antunes Corrêa (3ª edição)
ISBN
978-85-7817-308-1
Projeto Gráfico e Capa

Equipe UnisulVirtual
Diagramação
Anne Cristyne Pereira
Revisão
Diane Del Mago (3ª Revisão)
005.8
L59 Lento, Luiz Otávio Botelho
Segurança da informação : livro didático / Luiz Otávio Botelho Lento ;
design instrucional Ana Cláudia Taú ; [assistente acadêmico Leandro Rocha,
Michele Antunes Corrêa]. – 3. ed. – Palhoça : UnisulVirtual, 2011.
234 p. : il. ; 28 cm.
Inclui bibliografia.
ISBN 978-85-7817-308-1
1. Proteção de dados. 2. Sistemas de recuperação da informação – Medidas

de segurança. I. Taú, Ana Cláudia. II. Rocha, Leandro. III. Corrêa, Michele
Antunes. IV. Título.
Ficha catalográfica elaborada pela Biblioteca Universitária da Unisul
iniciais.indd 4 02/03/12 10:42

Sumário
Apresentação. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
Palavras do professor. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9
Plano de estudo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
UNIDADE 1 - Fundamentos de segurança da informação. . . . . . . . . . . . . . . . 15

UNIDADE 2 - Mecanismos e dispositivos de segurança. . . . . . . . . . . . . . . . . . 63
UNIDADE 3 - Sistemas de Gerência de Segurança da
Informação (SGSI) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
UNIDADE 4 - Gestão de risco. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
UNIDADE 5 - Política de segurança. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
Para concluir o estudo. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223

Referências. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
Sobre o professor conteudista. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
Respostas e comentários das
atividades de autoavaliação. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
Biblioteca Virtual. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
Apresentação
Este livro didático corresponde à disciplina Segurança da

Informação.
O material foi elaborado visando a uma aprendizagem autônoma

e aborda conteúdos especialmente selecionados e relacionados
à sua área de formação. Ao adotar uma linguagem didática
e dialógica, objetivamos facilitar seu estudo a distância,
proporcionando condições favoráveis às múltiplas interações e a
um aprendizado contextualizado e eficaz.
Lembre-se que sua caminhada, nesta disciplina, será

acompanhada e monitorada constantemente pelo Sistema
Tutorial da UnisulVirtual, por isso a “distância” fica
caracterizada somente na modalidade de ensino que você optou
para sua formação, pois na relação de aprendizagem professores
e instituição estarão sempre conectados com você.
Então, sempre que sentir necessidade entre em contato; você tem

à disposição diversas ferramentas e canais de acesso tais como:
telefone, e-mail e o Espaço Unisul Virtual de Aprendizagem,
que é o canal mais recomendado, pois tudo o que for enviado e
recebido fica registrado para seu maior controle e comodidade.
Nossa equipe técnica e pedagógica terá o maior prazer em lhe
atender, pois sua aprendizagem é o nosso principal objetivo.
Bom estudo e sucesso!
Equipe UnisulVirtual.
7
Palavras do professor
Caro(a) estudante,
Seja bem-vindo(a) à disciplina Segurança da Informação!
Como você já deve saber, a informação e o conhecimento são,

talvez, os bens mais valiosos de uma empresa. A forma como
são tratados, manipulados e armazenados é uma preocupação
constante e crescente dos seus administradores.
A globalização dos negócios, em conjunto com a evolução

da tecnologia (ex.: a internet como a “mãe” das redes),
viabilizou e agilizou o compartilhamento da informação e
do conhecimento nesse universo. Esse compartilhamento
não pode ser realizado de qualquer jeito, isto é, sem regras
que estabeleçam o que pode ser acessado, quando e como. As
informações que trafegam entre canais de comunicação não
podem ser lidas ou alteradas durante o seu tráfego. Portanto,
é nesse sentido que se dá a Segurança da Informação - área de
extrema importância para a regulamentação dessas normas e
regras necessárias ao compartilhamento de informação.
Sendo assim, a segurança em uma empresa passa a constituir

um critério de sucesso para o seu negócio. O uso de
mecanismos de segurança, compatíveis com as necessidades
da empresa e adequados a uma política de segurança, visa a
minimizar a possibilidade de ocorrências de incidentes que
afetem o bom andamento de seu negócio.
Este livro tem como objetivo apresentar a você uma visão

macro do que vem a ser Segurança da Informação, detalhando
mecanismos e dispositivos de segurança, além do processo que
envolve a gerência de uma solução de segurança.
Bom estudo!
Prof. Msc. Luiz Otávio B. Lento

Plano de estudo
O plano de estudos visa a orientá-lo no desenvolvimento da

disciplina. Ele possui elementos que o ajudarão a conhecer o
contexto da disciplina e a organizar o seu tempo de estudos.
O processo de ensino e aprendizagem na UnisulVirtual leva

em conta instrumentos que se articulam e se complementam,
portanto, a construção de competências se dá sobre a
articulação de metodologias e por meio das diversas formas de
ação/mediação.
São elementos desse processo:
o livro didático;
o Espaço UnisulVirtual de Aprendizagem (EVA);
as atividades de avaliação (a distância, presenciais e de

autoavaliação);
o Sistema Tutorial.
Ementa
Conceitos básicos de segurança da informação. Riscos,
ameaças e vulnerabilidades. Criptografia, assinatura
digital e certificados digitais. Dispositivos de segurança
de redes. Controle de acesso e técnicas de ataque. Sistema
de Gerenciamento de Segurança da Informação (SGSI).
Contingências e continuidade de negócios. Auditoria de
segurança da informação. A atuação do profissional de
segurança.
Objetivos
Conhecer os conceitos básicos de segurança da
informação.
Conhecer, desenvolver e aplicar Sistemas de Gerência de

Segurança da informação.
Desenvolver e aplicar políticas de segurança.
Estudar e desenvolver políticas de gestão de risco.
Carga Horária
A carga horária total da disciplina é 60 horas-aula.
Conteúdo programático/objetivos
Veja, a seguir, as unidades que compõem o livro didático desta
disciplina e os seus respectivos objetivos. Esses se referem aos
resultados que você deverá alcançar ao final de uma etapa de
estudo. Os objetivos de cada unidade definem o conjunto de
conhecimentos que deverá possuir para o desenvolvimento de
habilidades e competências necessárias à sua formação.
Unidades de estudo: 5
Unidade 1 - Fundamentos de segurança da informação
Esta unidade apresenta os conceitos básicos sobre segurança da

informação, enfatizando sua importância e os seus principais
componentes.
12
Unidade 2 – Mecanismos e dispositivos de segurança
Esta unidade demonstra como se dá a proteção por meio dos

mecanismos e dispositivos de segurança. Aponta soluções que
podem ser utilizadas em diversos ambientes computacionais,
dispostos em qualquer topologia.
Unidade 3 – Sistemas de Gerência de Segurança da Informação (SGSI)
Esta unidade esclarecerá o que é um Sistema de Gerência de

Segurança da Informação, apresentando uma metodologia
baseada no modelo PDCA.
Unidade 4 – Gestão de risco
Esta unidade apresentará a você o que é gerenciamento de risco.

Serão descritos os processos de análise, tratamento e manutenção
do risco dentro de uma organização.
Unidade 5 – Política de segurança
Esta unidade busca apresentar a você o que é uma política de

segurança. Descreverá a sua estrutura, dimensionará a sua
importância em uma organização e dará diretivas de como ela
pode ser implantada.
13
Agenda de atividades/Cronograma
Verifique com atenção o EVA, organize-se para acessar

periodicamente a sala da disciplina. O sucesso nos seus
estudos depende da priorização do tempo para a leitura,
da realização de análises e sínteses do conteúdo e da
interação com os seus colegas e professor.
Não perca os prazos das atividades. Registre no espaço

a seguir as datas, com base no cronograma da disciplina
disponibilizado no EVA.
Use o quadro para agendar e programar as atividades

relativas ao desenvolvimento da disciplina.
Atividades obrigatórias
Demais atividades (registro pessoal)
14
1
unidade 1
Fundamentos de segurança da
informação
Objetivos de aprendizagem
Entender o que é segurança da informação.
Compreender os aspectos referentes à necessidade de

sua implantação.
Estudar os elementos contrários à segurança da

informação.
Conhecer os principais algoritmos de criptografia.
Seções de estudo
Seção 1 Conceitos básicos
Seção 2 Estratégias de segurança
Seção 3 A força oposta
Seção 4 Aspectos fundamentais de criptografia

Para início de estudo

A segurança é critério de sucesso para as organizações em
todo o mundo globalizado, pois se tornou um componente
estratégico para o negócio da empresa. A figura 1.1 apresenta
como a segurança de informação está contextualizada dentro
da governança de TI, assegurando, através do monitoramento
contínuo dos riscos, maior flexibilidade, confiabilidade e
disponibilidade aos serviços oferecidos. Neste cenário, o tema
segurança é amplo e irrestrito e induz as pessoas a se integrarem
cada vez mais a essas necessidades. Há aspectos fundamentais
nessa caminhada, que, de regra, nunca se encerram. Sendo assim,
para darmos o primeiro passo, esta unidade apresentará a você os
conceitos básicos sobre segurança da informação, com foco em
seus principais componentes e a sua importância.
Figura 1.1 - Governança / Segurança

Fonte: Elaboração do autor.
Bom estudo!
16
Seção 1 – Conceitos básicos

Definir segurança não é algo complexo, mas aplicá-la pode ser
extremamente trabalhoso. É o caso da segurança da informação,
tão necessária hoje. A segurança computacional (ou segurança da
informação) é um serviço que consiste em tornar o computador
livre de ameaças. De acordo com Landwehr (2001) e Denning
(1982):
A segurança da informação é caracterizada como a

qualidade de serviço que visa a manter no sistema um
conjunto de propriedades.
Atualmente, existe uma grande preocupação com a segurança

do conhecimento. Autores como Bertino, Khan, Sandhu e
Thuraisingham (2006) discutem essa questão no âmbito da
gerência da segurança do conhecimento. Em meio à variedade
de posicionamentos sobre o tema, vamos tomar como base as
afirmações de Bishop (2003). De acordo com o autor:
Pode-se dizer que o objetivo da segurança na

computação é dotar os sistemas computacionais
de características que impeçam a elementos não
autorizados, o acesso ou a manipulação, intencional
ou não, de informações ou recursos.
A segurança em sistemas computacionais, além de colecionar

meios que visam a proteger informações ou recursos
computacionais, constitui, antes de tudo, uma disciplina cuja
finalidade é manter, por meio de seus conceitos, metodologias
e técnicas, propriedades de um sistema, evitando ações danosas
sobre esse sistema.
Por que se precisa de segurança?
Segurança é sinônimo de maior qualidade de serviço e maior

retorno de investimentos (ROI).
A figura 1.2 apresenta uma visão macro das razões pelas quais
deve-se investir em segurança numa empresa:
Unidade 1 17
Figura 1.2 - Percepções do ROI de segurança

Fonte: Sêmola (2003).
Gestão da segurança da informação: necessidade de ter

segurança
As organizações e os seus sistemas de informação e redes estão
sendo provados, crescentemente, em um grande universo de tipos
de ameaças à segurança, incluindo fraude eletrônica, espionagem,
sabotagem, vandalismo, fogo e inundação. Além disso, quando
a fonte de danos consiste de vírus, hackers e ataques de negação
de serviço, por exemplo, o que se pode constatar é que esses estão
cada vez mais sofisticados e, por conseguinte, torna-se sempre
mais difícil evitá-los.
A dependência em sistemas de informação e serviços

deixa as organizações mais vulneráveis às ameaças de
segurança.
A interconexão das redes privadas, a internet e o

compartilhamento dos recursos aumentam a dificuldade de se
dispor de um controle de acesso realmente eficiente. Cresce,
então, a necessidade de identificar os controles que devem ser
implantados. Logo, ninguém mais sobrevive sem segurança hoje.
Acompanhe na figura 1.3, a seguir, a porcentagem de ataques
ocorridos em empresas brasileiras.
18
Figura 1.3 - Registro de ataques em empresas

Fonte: Adaptado de Módulo Security Solution S.A.
A figura 1.3 apresentou uma pesquisa sobre registros de ataques

que empresas sofreram no decorrer de um período. Agora,
observe a figura 1.4.
Figura 1.4 - Visão panorâmica de ameaças que põem em risco o negócio

Fonte: Módulo Security Solution S.A.
Unidade 1 19
A figura 1.4 apresenta uma visão das ameaças que podem colocar
os processos do negócio em risco. Vale a pena ressaltar que essas
ameaças podem ser tanto externas quanto internas.
Segundo Sêmola (2003), segurança da informação é uma área

do conhecimento dedicada à proteção de ativos da informação
contra acessos não autorizados, alterações indevidas ou sua
indisponibilidade.
A segurança como “meio” – a segurança da informação

visa a garantir a confidencialidade, integridade
e disponibilidade da informação, não repúdio e
autenticidade.
A segurança como “fim” – a segurança da informação

é alcançada por meio de práticas e políticas voltadas a
uma adequada padronização operacional e gerencial
dos ativos, e de processos que manipulam e executem a
informação.
Sêmola (2003) também define informação como um conjunto

de dados utilizados para a transferência de uma mensagem
entre indivíduos e/ou máquinas em processo comunicativo
(troca de mensagens) ou transacional (ex.: transferência de
valores monetários). E cita como legalidade a característica das
informações que possuem valor legal dentro de um processo de
comunicação, em que todos os ativos estão de acordo com as
cláusulas contratuais ou legislação vigente.
O ativo é definido como todo elemento o qual

compõe os processos que manipulam e processam a
informação, a contar a própria informação, o meio em
que ela é armazenada, os equipamentos em que ela é
manuseada, transportada e descartada.
Por fim, incidente consiste em um evento (fato) decorrente da

ação de uma ameaça que explora uma ou mais vulnerabilidades,
levando à perda de princípios da segurança da informação:
confidencialidade, integridade e disponibilidade.
Um incidente gera impactos aos processos de negócio da

empresa, sendo ele o elemento a ser evitado em uma cadeia de
gestão de processos e pessoas.
20
A figura 1.5 apresenta visão condensada da real noção da

amplitude do desafio corporativo da segurança da informação.
Toda a empresa sofre ameaças que tentam explorar as
vulnerabilidades, a fim de acessar as informações manipuladas
pelos ativos que dão suporte à execução dos serviços necessários
aos processos de negócio da empresa.
Figura 1.5 - Visão condensada dos desafios de segurança

A segurança da informação pode ser dividida em dois grandes grupos:
1. física – preocupa-se em proteger espaços ou dispositivos

críticos ou sensíveis ao negócio, os quais devem ser
mantidos em áreas seguras, protegidos por um perímetro
de segurança definido, com barreiras de segurança
apropriadas e controle de acesso;
2. lógica – segue a mesma premissa, contudo a preocupação

relaciona-se aos dispositivos lógicos do sistema
computacional.
Perímetro de segurança
Um perímetro de segurança é qualquer coisa que permita
implantar uma barreira, isto é, uma parede, um portal com
controle de entrada baseado em cartão, ou mesmo, um balcão de
Unidade 1 21
controle de acesso com registro manual. Segundo Sêmola (2003), a

localização e a resistência de cada barreira dependem dos resultados
da análise de risco, definindo também o sistema computacional que
será protegido e distinguindo os usuários normais dos atacantes.
Figura 1.6 - Representação de perímetros físicos e lógicos

Barreiras de segurança
As barreiras visam a reduzir os riscos, sendo que cada uma exerce
um conjunto de funções e deve ser dimensionada de forma adequada,
para proporcionar a mais perfeita interação e integração, como se
fosse uma única peça.
Observe, a seguir, as barreiras de segurança mostradas na figura 1.7.

Barreiras de Segurança
Atacante Sistema
Alvo
(Ameaças) (Negócio)
Crescimento do Impacto
Figura 1.7 - Barreiras de segurança

22 Fonte: Adaptado de Sêmola (2003).
De acordo com a numeração nas colunas da figura 1.7, seus

correspondentes perpassam por:
1. desencorajar: objetiva desmotivar ou fazer perder

o interesse e o estímulo pela tentativa de quebra de
segurança, por efeito de mecanismos físicos, tecnológicos
ou humanos (ex.: presença de uma câmera de vídeo);
2. dificultar: complementa a barreira anterior, adotando

controles que irão dificultar o acesso indevido (ex.:
roletas, detectores de metal);
3. discriminar: o importante é cercar-se de recursos que

permitam identificar e gerir acessos, definindo perfis
e autorizando permissões. Os sistemas são largamente
empregados para monitorar e estabelecer limites de
acesso a sistemas de telefonia, perímetros físicos etc.;
4. detectar: complementa as barreiras anteriores com

soluções de segurança que sinalizem, alertem e
instrumentem os gestores de segurança na detecção de
situações de risco (ex.: sistemas de monitoramento e
auditoria – Nessus, Nagios);
5. deter: impedir que as ameaças atinjam os ativos

os quais dão suporte aos serviços de TI (ex.: ações
administrativas, punitivas e bloqueio de acessos físicos e
lógicos);
6. diagnosticar: representa a continuidade do processo de

gestão de segurança. É o elo com a primeira barreira,
pois um diagnóstico correto possibilita detectar os
problemas de segurança e, assim, realizar as alterações
necessárias.
Segundo Landwehr (2001), Bishop, (2003) e Russell e

Gangemi, (1991), a segurança da informação é caracterizada pela
preservação de:
confidencialidade – a segurança de um sistema

computacional não deve admitir que informações sejam
descobertas por qualquer pessoa não autorizada. A
confidencialidade garante a privacidade das informações
sensíveis em ambientes computacionais;
Unidade 1 23
integridade – a segurança de informação deve sempre

manter a integridade da informação armazenada. Logo,
manter a integridade dos dados de um sistema significa
que estes não terão as suas informações corrompidas,
seja de forma acidental ou intencional, via pessoas
não autorizadas. A autenticação consiste numa forma
de verificar a origem do dado (quem enviou ou quem
introduziu o dado no sistema);
disponibilidade – consiste na capacidade de manter

disponível para os usuários do sistema os dispositivos de
software e hardware. O oposto da disponibilidade é o
DoS (Denial of Service).
De acordo com a definição do CERT
(Computer Emergency Response
De acordo com Landwehr (2001), alguns autores fazem
Team), os ataques DoS (Denial of considerações também quanto às propriedades de:
Service), também denominados
Ataques de Negação de Serviços, autencidade – a legitimidade de informações é explicitada
consistem em tentativas de impedir por essa propriedade;
usuários legítimos de utilizarem
determinado serviço de um não repúdio – garante, em protocolos e transações, as
computador. proteções contra comportamentos omissos ou maliciosos,
quando participantes negam ações realizadas.
Violações de segurança
Uma concepção popular de segurança de informação é que ela
tem como meta somente o sigilo (confidencialidade). Porém,
apesar de o sigilo ser um fator muito importante, ele não é
absoluto.
Lembre que existem outros dois aspectos: integridade

e disponibilidade!
Em alguns sistemas ou aplicações, um aspecto de segurança pode

ser mais importante que outro. O dono do sistema tem condições
de saber o tipo de segurança que é necessário, determinando as
técnicas de segurança e os produtos que serão utilizados.
24
As Violações de Segurança em sistemas

computacionais correspondem a burlar, de alguma
forma, a segurança de um sistema computacional.
A origem das violações pode ser:
interna – quando proveniente de dentro da empresa;
externa – quando a sua origem for externa à empresa.
O quadro 1.1, a seguir, apresenta os tipos de violação junto

com as propriedades de segurança violadas (BISHOP, 2003).
Acompanhe:
Tipo de Violação Propriedade de Segurança Violada

1 Revelação Não Autorizada Confidencialidade
2 Modificação Não Autorizada Integridade
3 Negação de Serviço Disponibilidade
Quadro 1.1 - Tipos de violação e propriedades de segurança

As violações de segurança são decorrências de vulnerabilidades,

ameaças e ataques em sistemas computacionais.
As vulnerabilidades podem ser definidas como o

ponto onde o sistema é susceptível ao ataque, isto
é, fraquezas ou imperfeições em procedimentos,
serviços ou sistemas, oriundas de falhas de concepção,
implementação ou de configuração.
Veja, a seguir, quais são os tipos de vulnerabilidade encontrados:
físicas – acessos indevidos a compartimentos que

guardam computadores com informações sensíveis do seu
sistema;
naturais – computadores são vulneráveis a desastres

naturais (fogo, enchentes etc.);
Unidade 1 25
hardware e software – certos tipos de hardware falham

e podem comprometer a segurança de um sistema
computacional por inteiro. Falhas de desenvolvimento
Alguns sistemas oferecem
segurança via estrutura da memória
de sistemas deixam as portas de entrada abertas e podem
- acesso privilegiado, ou não. Se afetar a segurança do sistema como um todo;
essa proteção falha, o sistema é
todo comprometido. emanação – equipamentos eletrônicos podem emitir
radiação elétrica e eletromagnética, interceptando os
sinais provenientes de enlaces existentes em redes de
computadores;
comunicações – se o computador está fisicamente

conectado a uma rede, ou conectado a uma rede
telefônica, existe grande probabilidade de ele sofrer um
ataque;
humana – as pessoas que administram ou usam o

seu sistema representam grande vulnerabilidade. A
segurança do seu sistema está quase sempre nas mãos do
seu administrador.
Segundo Ramos et al. (2007), ameaça é tudo aquilo que tem

potencial para causar danos aos ativos de informação
(ex.: invasão, indisponibilidade de serviços etc.). Pode ser dividida
em 2 categorias:
ativa – desencadeada por ataques que interagem

diretamente com o ambiente (ex.: conexões a portas
TCP); e
passiva – não há interação com a máquina atacada. O

seu objetivo é a coleta de informações (coleta de pacotes
de rede).
A ameaça pode ser vista como um risco, e este

risco pode ser uma pessoa, algo (um dispositivo
defeituoso), ou um evento (incêndio, terremoto, etc.)
que venha a explorar a vulnerabilidade do sistema.
As ameaças a um sistema podem apresentar-se de três formas

diferentes. Observe-as no detalhamento.
26
1. Naturais e físicas – essas ameaças colocam em perigo

a estrutura física e parte dos equipamentos. Entre esses
tipos de ameaça estão incêndio, enchente, falhas de
energia, entre outros. Não se pode sempre prevenir
esses tipos de acidente, mas pode-se ter conhecimento
do acidente de forma rápida, evitando danos ainda
maiores (ex.: alarmes contra incêndio). Dentro da política
de segurança, pode existir um plano para desastres
(replicação da planta fisicamente posicionada de modo
remoto).
2. Não intencionais – são as ameaças provenientes por

ignorância de operacionalidade do sistema (ex.: um
administrador de sistema não bem treinado pode
executar uma operação que afete a disponibilidade de um
recurso de rede).
3. Intencionais – são as ameaças provenientes de atos

programados por pessoas (intrusos) ou produtos
utilizados. Esses intrusos podem ser classificados em
agentes inimigos, terroristas, crackers, criminosos e
corporações criminosas.
Os ataques podem ser vistos como a concretização de uma

ameaça. Por fim, as contramedidas são as técnicas de proteção do
seu sistema.
Seção 2 – Estratégias de segurança

Esta seção busca apresentar a você algumas formas estratégicas
de segurança. Todavia, as estratégias de segurança devem estar
em concordância com as políticas de segurança da empresa.
Formas de proteção
Segundo Ramos et al. (2007), quatro formas de proteção podem
ser citadas:
Unidade 1 27
Segurança em hosts – privilegia a colocação de controles

dentro do host a ser protegido (vantagem: a possibilidade de
se atingirem níveis de segurança elevados e personalizados;
desvantagem: ser trabalhosa, principalmente se a quantidade
de hosts for grande);
Segurança em redes – a proteção não é individual, mas em
um conjunto de ativos de rede;
Segurança via obscuridade – parte do princípio que um ativo
só pode ser atacado se alguém souber da sua existência;
Segurança na comunicação – proteger os links por onde as
informações trafegam (garante confidencialidade, integridade
e disponibilidade).
As estratégias de proteção visam a atender as formas de proteção

citadas anteriormente.
Política de segurança
Política de segurança consiste em estabelecer regras de segurança
de acesso físico e lógico às informações contidas em um Sistema
de Computação. Essas regras são estabelecidas de acordo com
as possíveis ameaças que o Sistema de Computação possa vir a
sofrer. Com a política implantada, tem-se condição de saber o
quanto a sua rede é segura, ou não, o quanto de funcionalidade a
sua rede oferece, o quanto é fácil operar a sua rede.
De acordo com a ISO/IeC 27002 (2000) e Fraser

(1997), o objetivo de uma política de segurança da
informação é fornecer as diretivas de gerenciamento e
suporte à segurança da informação.
28
Observe que o desenvolvimento de uma política de segurança

para uma empresa se baseia nas seguintes fases:
1. identificar o que irá proteger;
2. determinar o que está tentando proteger de quem;
3. determinar as possíveis ameaças;
4. implementar medidas que protegerão as informações, de

maneira efetiva, a um baixo custo;
5. rever sempre os processos e realizar melhoras a cada vez

que uma falha é descoberta.
Confiança
É uma das estratégias mais utilizadas (ex.: quando uma pessoa
passa o seu cartão de crédito em um posto de gasolina, ela está,
de certa forma, confiando os dados do cartão ao estabelecimento).
No caso de empresas, muitas vezes não existem controles de

segurança, pois a estratégia é confiar nas pessoas. Porém, a
confiança não deve ser realizada de forma irresponsável, pois toda
medida de segurança é fruto de uma relação custo/benefício.
Privilégio mínimo
Inicialmente, deve-se conhecer o que é privilégio: trata-se de
qualquer função ou direito a que um usuário ou programa tenha
acesso. Essa estratégia se baseia na restrição das permissões de
acesso, permitindo o melhor controle dos privilégios (mais contas
com privilégios, maior é a possibilidade de ocorrer uma violação).
Os elementos de um sistema computacional devem ter apenas
os privilégios e direitos de acesso necessários à execução de suas
funções.
Unidade 1 29
Defesa em profundidade
Essa estratégia faz uso de múltiplos mecanismos para aumentar
o índice de segurança. Dessa forma, caso um atacante passe por
um mecanismo, existe a possibilidade de ele parar no próximo
mecanismo. Essa estratégia se baseia no conceito de defesa
robusta ou diversidade de defesas. A diferença entre elas está no
fato de que a diversidade de defesas trabalha com mecanismos
heterogêneos.
Diversidade
A defesa em profundidade somente é eficaz, se os controles
aplicados forem diferentes. Não adianta, por exemplo, colocar seis
controles iguais para proteger um Banco de Dados.
Sendo assim, a defesa em profundidade deve ser com diversidade

de controles, seguindo sempre um padrão de complementação.
Ponto de estrangulamento (choke point)

Essa estratégia estabelece e controla um ponto de acesso entre
a rede interna e a rede externa (ex.: quanto menos entradas
há em uma rede, mais fácil o processo de monitoramento e
torná-la segura). Um ponto de asfixia força os atacantes a usarem
um canal estreito, o qual pode ser amplamente monitorado e
controlado.
Elo fraco (weakest link)

A segurança de um sistema é igual à segurança de seu dispositivo
mais frágil (elo fraco de uma corrente – ex.: usuário). Existe a
necessidade em determinar e eliminar ou tornar mais seguro
o ponto mais frágil do sistema. Proteger um ambiente é uma
tarefa assimétrica: quem protege deve ter atenção a todos os
pontos, quem ataca precisa achar apenas o ponto falho, para obter
sucesso.
30
Falha segura (fail safe)

Essa estratégia parte do princípio de que se o sistema pode ou
vai falhar, ele deverá falhar de tal modo que se negue o acesso
ao atacante, isto é, em caso de falhas, todos os controles devem
bloquear o acesso (ex.: a catraca de um prédio – na falta de
energia é preferível não permitir que alguém tenha acesso). A
falha também poderá resultar em negação de acesso a usuários
legítimos.
Participação universal
Busca a uniformidade na aplicação das medidas de segurança,
envolvendo não somente aspectos técnicos, mas também
treinamentos e conscientização de usuários. Uma rede linux, por
exemplo, deve possuir um padrão básico de configuração do seu
sistema operacional.
Apesar de se aplicarem todas as estratégias de segurança, o risco

sempre irá existir. A questão é trazer o risco a um nível aceitável.
Logo:
A segurança da informação deve ser tratada como

uma atividade contínua, pois nunca existirá um
sistema totalmente seguro.
A segurança está ligada à relação custo/benefício, lembrando

sempre que ela deve ser transparente ao usuário. Sendo a
segurança uma jornada sem fim, alguns pontos são levados como
parâmetros de comparação:
um pequeno esforço pode eliminar 80% das suas

vulnerabilidades;
um esforço moderado pode eliminar 90%;
um grande esforço pode eliminar 95%; e
nada pode eliminar os 5% restantes.
Unidade 1 31
Seção 3 - A força oposta

Prover segurança é uma tarefa difícil. Existe a preocupação
eterna dos gerentes de segurança em minimizar as
vulnerabilidades, pois sempre existirá alguém querendo explorar
tais vulnerabilidades. Esta seção irá descrever esses elementos,
buscando apresentá-los dentro de uma realidade.
3.1 Ataques
Se você conhece o inimigo e conhece a si mesmo... não

precisa temer o resultado de cem batalhas.
Se você se conhece, mas não conhece o inimigo... para
cada vitória sofrerá uma derrota.
Se você não conhece nem o inimigo e nem a si mesmo,
perderá todas as batalhas (TZU, 2007).
Inicialmente precisamos definir um ataque:
Poderíamos defini-lo como a efetivação de uma

ameaça sobre uma vulnerabilidade.
Segundo Melo (2006), um ataque é realizado em 3 etapas:
1. footprint – organização das ideias com o objetivo de

criar o melhor e mais completo perfil do alvo do ataque.
Normalmente, utiliza-se de técnicas de engenharia social
na obtenção das informações;
2. fingerprint – tem como objetivo identificar o

sistema operacional a ser atacado e demais sistemas.
Normalmente, utiliza-se uma ferramenta de scanner
(Nmap, Portscan etc.) na obtenção dessas informações;
3. enumeração – consiste na obtenção das informações

do ambiente do alvo, como contas dos usuários, recursos
compartilhados e mal protegidos e principais serviços
disponíveis (vulnerabilidades). O sucesso dessa etapa é
32
facilitado conforme a tática utilizada, a qual envolve desde

a forma como são escolhidos os alvos até as ferramentas
utilizadas.
A figura a seguir traz um esquema de como se dá um ataque.

Observe:
Anatomia de um ataque
Levantamento das Varreduras das portas

Engenharia Social FingerPrint
Informações
Invasão com sucesso Enumerar as falhas de

configurações, padrões
e exploits para os Citar tipos de serviços
serviços levantados disponíveis e versões
Instalação de backdoors,
Dano a dados, pixações etc. Varredura de
trojans,...
Vulnerabilidade
Footprint
Figura 1.8 - Anatomia de um ataque

Fonte: Adaptado de Melo (2006).
Sequenciando um ataque
1. Qualquer ataque começa com o levantamento das
informações sobre o alvo (footprint). Pode iniciar com
um telefonema, usando a velha e funcional “engenharia
social”, de modo que o invasor colete informações de
forma ilícita.
2. É usada alguma ferramenta de scanner, objetivando

sempre o fingerprint (descobrir o sistema operacional) e
demais serviços disponíveis na máquina-alvo. O Nmap
e o Portscan são algumas ferramentas que podem ser
utilizadas.
3. Levantadas todas as informações, inicia-se a procura pelas

vulnerabilidades que um ou mais serviços possam possuir.
A ferramenta Nessus (+ de 600 plugins) busca identificar
uma vulnerabilidade específica na máquina-alvo.
Unidade 1 33
Técnicas de invasão: pen test, análise de vulnerabilidades

Pen test – teste de segurança que busca ganhar acesso ao sistema
(de forma pontual) ou processo que combina vários tipos de
teste de segurança como: fingerprint, footprint, port scanner,
varreduras de vulnerabilidades etc.
Logo, o pen test pode ser definido como o processo de

identificar, enumerar e buscar explorar vulnerabilidades por meio
de um conjunto de variadas técnicas dentro de uma metodologia
objetiva, simulando de forma controlada a técnica operacional de
um invasor.
Teste de segurança de “análise de vulnerabilidades” – é

o procedimento de identificar potenciais vulnerabilidades,
normalmente executadas a partir de scanners, correlacionando-as
com registros de segurança – BID, CAN/CEV, etc.
Pen Test faz uso do teste de segurança.

Como realizar um Pen Test?
Pode-se realizar um pent test de duas formas:
Black Box – a execução é realizada sem nenhuma informação

sobre a estrutura da organização, salvo informações básicas como
o(s) IP(s) e/ou máquina-alvo.
White Box – a execução é realizada com algum conhecimento

da estrutura da organização, como a topologia com os servidores,
IDS, firewalls, roteadores e sistemas operacionais realizados.
O pen test pode ser externo (de fora para dentro da empresa) ou
interno (dentro da LAN).
A metodologia para a realização de um pen test está descrita

em OSSTMM – Open-Source Security Testing Methodology
Manual.
A seguir, você conhecerá quem são os autores desses ataques e os

diferentes tipos de ataques existentes.
34
3.2 Autores dos ataques
Hackers
São elementos que tentam quebrar a segurança de sistemas, sem
identificar-se, com o objetivo de ganhar o controle e realizar
um conjunto de tarefas não adequadas ao seu ambiente. Os
hackers possuem conhecimentos de programação e de sistemas
operacionais. Além disso, procuram manter-se atualizados
quanto às falhas de segurança dos sistemas, sempre procurando
a existência de outras. Desenvolvem suas próprias técnicas
de explorar as vulnerabilidades, normalmente compartilham
conhecimento e, na sua maioria, não causam danos.
Crackers
São elementos que executam ações com o objetivo de
tirar proveito de informações, ou causar danos a sistemas
computacionais. O cracker faz uso de técnicas para a invasão
de sistemas, roubo de dados e arquivos, números de cartão de
crédito, faz espionagem industrial e provoca destruição de dados.
Script Kiddies
São pessoas que não necessitam de muita habilidade, mas
tiveram a sorte de achar um sistema remoto que não aplicou
patch de correção a tempo. Isso prova a não capacitação dos
administradores de segurança das empresas. O seu perfil
e metodologia, também conhecidos como Defacers, estão
relacionados a um invasor que faz intrusão em sistemas
computacionais de forma fácil, vinculada a uma falha conhecida.
3.3 Alguns tipos de ataque

Atualmente, existem diversos tipos de ataques, o que
possibilitaria a escrita de um livro específico do assunto. Sendo
assim, aqui serão apresentados apenas alguns tipos, buscando
descrever os seus aspectos básicos.
Unidade 1 35
a. Investigar o lixo (Trashing)

É um tipo de ataque à segurança bastante simples, que consiste
em procurar nas latas de lixo das Organizações papéis ou
outras fontes, jogados fora, sem um devido tratamento quanto à
segurança. Trata-se de um tipo de ataque considerado legal, pois
parte-se da premissa de que coisas encontradas num repositório
de lixo não possuem mais utilização. Este é um método utilizado
há muitos anos para se conseguirem informações importantes.
b. Escuta (Wiretapping)
A utilização do meio físico varia significativamente na facilidade,
ou não, de se estabelecer uma escuta. Cada vez mais, com
a utilização de novas tecnologias, a dificuldade de coletar
informações cresce, exigindo novos esforços e investimentos em
tecnologias para burlar a segurança dos sistemas.
Existem dois tipos de escuta:
1. passiva – esse tipo de escuta ameaça a confidencialidade

da informação. É realizada uma interceptação, em que
as informações coletadas são analisadas via software ou
outra tecnologia. Tem como objetivo somente a coleta,
não alterando o conteúdo das informações;
2. ativa – esse tipo de escuta ameaça a autenticidade

da informação transmitida. Essa metodologia envolve
a quebra da comunicação, modificando de forma
deliberada a informação. O intruso pode alterar a
origem da mensagem, ou então, o destino da mensagem,
substituindo o seu conteúdo.
c. Engenharia social
É a forma de ataque que consiste em obter informações
importantes, as quais possibilitem ataques utilizando a
comunicação oral ou escrita como sua principal arma. Este
ataque está diretamente ligado à capacidade do elemento em
coletar as informações de alvos pré-estabelecidos (padrões,
comportamento de pessoas, preferências sexuais, insatisfação com
36
a atividade exercida etc.). É talvez uma das técnicas com maior

sucesso na comunidade dos hackers. Para exemplificar esse tipo de
ataque, imagine a seguinte situação:
Liga-se para um determinado local e diz-se que se

deseja falar com o responsável pelo suporte.
Faz-se passar por alguma autoridade, ou elemento
com certa ascendência dentro da Organização.
Esse elemento, avisado, e conhecendo o perfil da
citada pessoa do suporte, força uma situação em
que necessita alterar a senha de sua máquina.
O responsável pelo suporte, conhecendo a “fama”
da pessoa com quem está lidando, não tem
coragem de realizar uma identificação mais precisa e
fornece a senha por telefone ao suposto chefe.
Com isso, os dados pertinentes àquela máquina
e, provavelmente, parte do sistema estarão
comprometidos.
d. Mascaramento (Masquerading)
Este tipo de quebra de segurança ocorre quando uma pessoa usa
a identidade de outra para ter acesso a um computador, podendo
ser feito no próprio local ou de modo remoto. Uma das formas
mais utilizadas é a técnica da carona, em que o atacante espera na
entrada de uma área que deseja invadir, com alguns equipamentos
eletrônicos (microcomputadores). Quando um funcionário
autorizado aparece, ele finge que está entregando o equipamento
naquela área. O funcionário abre a porta de segurança e o atacante
penetra na área, sem chamar muita atenção.
e. Negação de serviço (Denial of Service – DoS)

São ataques realizados aos dispositivos do sistema computacional
(ex.: serviços), com o objetivo de paralisar, por exemplo, um
serviço ou determinados serviços que dependam de dispositivos
específicos da rede por um período de tempo. Logo, o objetivo
é bastante claro: tirar as máquinas de ação. Um único ataque de
Unidade 1 37
DoS pode trabalhar em vários sistemas operacionais-alvo. Uma

derivação desse tipo de ataque é o DDoS, em que os ataques
partem de vários pontos, tornando a sua eficiência altíssima.
f. Syn Flooding (Inundação Syn)

Esse ataque se baseia nas solicitações de conexões TCP. Um
pedido de conexão TCP (Syn) é enviado ao computador da vítima
com a fonte IP, que segue no pacote adulterado maliciosamente
para um endereço IP, que não está em uso na internet ou
pertence a outro computador. O atacante enviará inúmeros
pedidos de serviço para mobilizar o máximo de recursos no
computador da vítima. Ao receber o pedido de conexão, o
computador aloca recursos ao solicitante para localizar a nova
conexão e então responde com a flag Syn-Ack. Esse tipo de
ataque aloca os recursos da máquina para atender as requisições
simuladas, negando o acesso a reais usuários do serviço, sendo
um grande parceiro para os ataques DoS.
g. Vírus
O vírus de computador pode ser definido como um fragmento de
código que se instala dentro de um programa, reproduzindo-se
e modificando-o. O vírus possui um código muito pequeno,
entre algumas centenas de bytes até alguns Kbytes, que se
autocopiam, parasitando outras entidades do computador, ou seja,
possui instruções para criar autonomamente cópias de si mesmo
atracadas em outros arquivos, à revelia do usuário.
Os vírus não são programas independentes, sendo executados

somente quando o programa é executado. Eles necessariamente
necessitam conter instruções para parasitar e criar cópias de si
mesmos de forma autônoma e sem autorização específica (e,
normalmente, sem conhecimento) do usuário, sendo considerados
autorreplicantes.
38
É importante você compreender que programas

como Trojan Horses e Worms não são vírus. Trojan
Horses não se replicam, e Worms não parasitam
outras entidades para se replicarem: são entidades
autônomas.
As manifestações perceptíveis dos vírus podem ser das mais

diversas, como:
mostrar mensagens;
alterar determinados tipos de arquivos;
diminuir a performance do sistema;
apagar arquivos;
corromper a tabela de alocação de arquivos (FAT);
apagar todo o disco rígido.
Tais manifestações podem ser instruções objetivas no sentido

de concretizar uma intenção do seu criador, o chamado payload.
Normalmente o payload é ativado a partir de eventos ou
condições pré-determinadas pelo criador, como data, número de
vezes que um programa é rodado, um comando específico etc.
No entanto, é muito mais comum bugs ou erros de programação
do vírus provocarem reações adversas no sistema.
Logo, pode-se afirmar que conhecer os vírus, saber

como eles funcionam, o que eles fazem, como evitá-
los e como eliminá-los, acaba tornando-se uma
necessidade para a sobrevivência e integridade dos
dados e programas dos sistemas computacionais.
Uma estratégia preventiva contra vírus de computador deve ser

feita, preferencialmente, em dois níveis:
prevenção de infecção, estabelecendo barreiras de

verificação e monitores residentes em memória, é a linha
de defesa para evitar a contaminação;
Unidade 1 39
prevenção contra danos, criando uma política de backup

adequada às necessidades da empresa.
O fundamental na prevenção contra vírus é ter sempre

um antivírus atualizado e, opcionalmente, um monitor
antivírus residente em memória.
h. Worms
É um programa independente. Ele se reproduz normalmente,
de máquina para máquina, via uma rede de computadores.
Semelhante ao vírus, ele também danifica, espalhando-se
rapidamente de um site para outro. Age de forma independente e
não modifica outros programas.
Anote: Saiba que o worm não destrói dados! Sua

ação consiste em realizar um conjunto de danos que
minimizam os recursos na rede.
i. Trojan Horses – Cavalo de Troia

É um fragmento de código que se esconde dentro de um
programa e executa uma função distinta. Trata-se de um
mecanismo popular para esconder um vírus ou um worm.
O Cavalo de Troia engana o usuário, introduzindo o

seu código na execução de um programa atrativo.
O objetivo quase sempre é penetrar nas defesas
do sistema, roubando os privilégios do usuário e
obtendo, assim, a permissão necessária para acessar o
sistema.
O Cavalo de Troia pode ser:
um código não autorizado contido dentro de um

programa legítimo;
40
um programa legítimo que foi alterado pela colocação de

código não autorizado;
qualquer programa que surge para realizar uma função

desejável e necessária, mas que possui código não
autorizado dentro dele.
j. Bombs
A bomba é um tipo de Cavalo de Troia usado para liberar
um vírus, worm ou algum outro tipo de ataque. Trata-se de
um programa independente ou um pedaço de código que foi
plantado por um programa ou desenvolvedor de sistemas. A
bomba trabalha, realizando uma ação não autorizada numa
determinada data, hora ou outras condições pré-programadas
pelo programador ou desenvolvedor de programas. Existem
normalmente dois tipos de bombas:
1. tempo – são aquelas pré-programadas para uma

determinada data;
2. lógica – são aquelas que ocorrem pré-programadas por

uma ação lógica de usuários (ex.: quando se tenta realizar
uma cópia ilícita de software).
k. Trap Door ou Back Door

Um trap door ou back door é um mecanismo construído pelo
desenvolvedor dentro do sistema. Essa função possibilita que
o desenvolvedor tenha uma forma de entrar no sistema, sem o
conhecimento do sistema de proteção.
Algumas vezes o programador faz uso desse recurso como uma

forma de realizar testes dentro do sistema. Os trap doors usam
características do sistema, tais como ferramentas de depuração,
saídas de programas, as quais transferem o controle para áreas
privilegiadas da memória, chamadas de aplicações e parâmetros
não documentados. Já os back doors consistem em uma forma
Unidade 1 41
rápida de ganhar acesso a um programa. Permitem passar por

toda a segurança colocada no programa, em qualquer momento
que o programador queira.
l. Cookies
São pequenos arquivos de texto inseridos no computador do
usuário. A finalidade principal dos cookies é identificar usuários
e, possivelmente, preparar páginas personalizadas para eles. Ao
acessar um site usando esse recurso, você pode ser convidado(a)
a preencher um formulário que fornece informações como seu
nome e interesses. Esses dados são gravados no cookie, assim,
da próxima vez que você for à mesma página, o servidor saberá
quem é você e poderá, por exemplo, enviar-lhe uma página de
abertura com o seu nome nela.
m. Salames
Esse é um tipo de ataque usando um Cavalo de Troia, cujo
alvo são os dados financeiros. Neste método, tiram-se pequenas
quantidades de valores, por exemplo, arredondando os centavos
nas contas de um banco, o que não será notado imediatamente.
O nome vem do fato de que são tiradas “fatias finas” de valores

de cada vez, como num salame. Estas fatias são depositadas na
conta do ladrão e só serão descobertas em auditorias detalhadas.
Seção 4 - Aspectos fundamentais de criptografia

A criptografia pode ser definida como uma coleção de técnicas
que transformam o dado em formas difíceis de serem imitadas ou
revertidas por alguém ou algo que não possua o código secreto.
A técnica de criptografia garante um equilíbrio na segurança
das comunicações entre pontos distintos, protegendo o dado,
42
transformando-o, dando-lhe um novo formato e tornando-o

apto a trafegar em links não confiáveis. Esse processo pode ser
observado na figura 1.9, que segue.
Criptografia
Figura 1.9 - Cripotografia

Fonte: SMITH, Richard E. (1997).
Pode-se partir do pressuposto de que,

etimologicamente, a palavra criptografia viria de:
Kryptos = secreto, oculto, ininteligível; e
Grapho = escrita, escrever.
Ou, dito de outra forma, Criptografia pode ser
considerada como a Ciência de comunicar-se
secretamente.
De acordo com Smith (1997) e Buenett e Paine (2002), para que

a criptografia possa ter sucesso em sua atividade, ela se baseia em
códigos secretos, calcados em potentes modelos matemáticos.
O componente principal na eficácia de um equipamento de

criptografia é a chave criptográfica.
Unidade 1 43
A chave criptográfica consiste em um pedaço de

dados que direciona ao dispositivo de criptografia
para criptografar uma mensagem numa determinada
forma.
Em sistemas de criptografia tradicionais, a chave é um número

randomicamente escolhido, o qual a origem e o destino possuem
e fazem uso dela para transmitirem e receberem mensagens
criptografadas. As técnicas de criptografia garantem três aspectos
em suas mensagens:
1. confidencialidade – outros usuários que não

compartilham da mesma chave criptográfica não podem
ler o conteúdo original da mensagem;
2. autenticidade – uma razoável certeza de que as

mensagens que chegam são provenientes de uma origem
confiável, tendo em vista que, teoricamente, somente a
origem possui a chave criptográfica; e
3. integridade – as mensagens que chegam não foram

criadas ou modificadas por outra pessoa que não
a origem, tendo em vista que não poderiam ser
decriptografadas com a mesma chave criptográfica.
Técnica utilizada para

decifrar a mensagem sem
ter o conhecimento dos
detalhes do processo de
cifragem
CRIPTOLOGIA
Figura 1.10 - Criptologia

44
Esteganografia
A esteganografia é o estudo e uso das técnicas para ocultar
a existência de uma mensagem dentro de outra. Em outras
palavras, esteganografia é o ramo particular da criptologia que
consiste em fazer com que uma mensagem seja camuflada,
mascarando sua presença.
É importante frisar a diferença entre a esteganografia e a

criptografia. Enquanto a primeira oculta a existência da
mensagem, a segunda oculta o significado da mensagem. Muitas
vezes, as duas são utilizadas em conjunto. A informação é
escondida em documentos ou meios digitais.
Carta onde a primeira letra das palavras forma uma

mensagem escondida.
Tráfego de informações em figuras (uso de bits não
significativos).
Tinta invisível.
Veja, a seguir, uma importante distinção entre algoritmos de

criptografia:
algoritmos de chave secreta – são algoritmos simétricos,

que utilizam a mesma chave para criptografar e
decriptografar dados. A segurança deste algoritmo
consiste na manutenção do segredo da chave com o
usuário, sem que intrusos possam obtê-la;
algoritmos de chave pública – são algoritmos

assimétricos, que utilizam diferentes chaves para
criptografar e decriptografar um fluxo de dados. A
chave privada é mantida em segredo pelo seu dono, não
compartilhada com ninguém. A outra chave é pública,
compartilhada pelos demais usuários do sistema.
Algoritmos simétricos
São algoritmos que têm como característica usar a mesma chave
para criptografar e decriptografar um texto.
Unidade 1 45
Texto
Figura 1.11 - Criptografia Simétrica

Computacionalmente seguro: o custo para quebrar a

criptografia excede o valor da informação cifrada, e o tempo
para quebrar a criptografia é maior que o tempo de vida da
informação.
Princípio de Kerckhoffs: a FORÇA da criptografia não está em

esconder o algoritmo de criptografia, mas na escolha e proteção
da chave privada (quantidade de bits).
Figura 1.12- Princípio de Kerckhoffs

46
Os sistemas modernos de criptografia possuem elementos básicos

que determinam como eles trabalham. Observe:
algoritmo de criptografia: especifica a transformação

matemática que será executada para criptografar ou
decriptografar dados;
algoritmos para cifras de fluxo: criptografa o fluxo de

dados bit a bit.
Observe, na sequência, alguns tipos de algoritmo.
a. Algoritmo de Vernam
Nesse algoritmo, é realizada uma operação de soma entre cada
bit da chave com cada bit do texto claro, descartando o carry bit e
produzindo um texto cifrado, conforme indicado na figura 1.13, a
seguir:
Figura 1. 13 - Algoritmo de Vernam

Cifras de bloco são projetadas para dividir o fluxo

de dados em blocos de determinado tamanho,
criptografando cada bloco individualmente, com uma
chave de determinado tamanho, gerando blocos de
mesmo tamanho.
Unidade 1 47
O quadro 1.2, a seguir, apresenta um conjunto de algoritmos

de criptografia do tipo cifras de bloco, com os seus respectivos
tamanhos de bloco e chave e indicação de se ainda são utilizados.
Cifras de Bloco Tam. do bloco Tam. da chave Em

uso ?
DES 64 56 Sim
International data encryption algorithm (IDEA) 64 128 Sim
SKIPJACK 64 80 Sim
Quadro 1.2 - Conjunto de algoritmos de criptografia do tipo cifras de bloco

b. Criptoanálise
A criptoanálise explora as características do algoritmo para deduzir
o texto claro ou a chave de entrada. No ataque de Força Bruta, o
atacante tenta todas as possíveis chaves sob um pedaço de texto
cifrado, até que algo inteligível é obtido na forma de texto claro.
Na média, metade de todas as possíveis chaves precisa ser testada
para se obter sucesso.
Tipo de Ataque Conhecimento do Criptoanalista

• Algoritmo de Criptografia
Somente Texto Cifrado • Texto Cifrado
Texto Plano Conhecido • Texto Cifrado
• Um ou mais pares de texto plano-cifrado
Texto Plano Escolhido • Texto Cifrado
• Escolha do texto plano
Texto Cifrado Escolhido • Texto Cifrado
• Escolha do texto cifrado
• Texto Cifrado
Texto Escolhido
• Escolha do texto plano
• Escolha do texto cifrado
Quadro 1.3 - Tipos de ataque de criptoanálise

Observe, na sequência, alguns tipos de algoritmos

simétricos.
48
a. Data Encryption Standard (DES)

Possui uma entrada de 64 bits, chaves de 56 bits e saída de 64
bits; utiliza a mesma chave para criptografar/decriptografar,
é utilizado em aplicações típicas que necessitam de bom
desempenho. Sua fraqueza é o pequeno tamanho da chave (56
bits), o que facilita o ataque por força bruta.
b. Triple DES
É uma técnica utilizada com o algoritmo DES, o qual é aplicado
três vezes a cada texto claro, usando diferentes chaves de 56 bits.
As opções de operação do Triple DES são:
uma aplicação pode utilizar uma chave de 112 bits,

construída por um par de chaves de 56 bits, K1 e
K2, com K1 sendo reutilizada na operação final de
criptografia;
outra opção é uma chave de 168 bits, onde, em cada

fase, são utilizadas chaves diferentes;
ou uma única chave de 56 bits, utilizada em todo o

processo.
Na figura 1.14, a seguir, você pode visualizar melhor como

funciona o Triple DES:
Figura 1.14 - Triple DES

Fonte: Adaptado de Smith, Richard E. (1997).
Unidade 1 49
c. International Data Encryption Algorithm (IDEA)

É uma cifra de blocos, com uma chave de 128 bits, tendo como
entrada e saída um bloco de 64 bits. Foi projetado para ser
eficiente em implementações por software. Por possuir uma chave
maior que o DES, o IDEA torna-se mais atrativo. Até onde se
sabe, existe pouco conhecimento sobre suas vulnerabilidades.
O IDEA possui estrutura semelhante ao DES, isto é, possui

um número fixo de interações, em que o mesmo algoritmo é
utilizado para criptografar e decriptografar um fluxo de dados,
alterando-se a forma de geração de subchaves.
Subchaves são chaves utilizadas
durante as diversas interações.
d. Modos de operação dos cifradores de bloco
A cifra de bloco tem problema quando aplicada a um fluxo de
dados, e criptografa-se o mesmo bloco duas ou mais vezes com
a mesma chave, produzindo sequências repetidas, o que facilita
a quebra da cifra. Em vista disso, criaram-se modos de operação
da cifra (um conjunto de técnicas desenvolvidas para serem
utilizadas com cifras de bloco), que mascaram os blocos de texto
repetidos, melhorando, assim, a segurança da cifra de blocos.
e. Electronic CodeBook Mode (ECB)

Modo mais simples.
O texto claro é tratado 64 bits por vez.
Cada bloco é cifrado com a mesma chave.
Se a mensagem não tiver 64 bits, usa-se preenchimento.
A decifragem é feita um bloco por vez.
Bom para uma quantia pequena de dados.
Para grandes dados pode não ser seguro. Por quê?
Se aparecer o mesmo texto claro mais de uma vez, o mesmo texto

cifrado será produzido.
50
Criptoanalista pode explorar essas regularidades.
f. Cipher Block Chaining Mode (CBC)

Objetivo: tratar os problemas de segurança do ECB.
Se o mesmo bloco de texto claro se repetir, deve produzir

textos cifrados diferentes.
Acontece um encadeamento.
Cada bloco de texto claro é combinado com o bloco

cifrado anterior e depois criptografado.
O primeiro bloco de texto claro é combinado com um

vetor de inicialização (bloco randômico de bits).
Figura 1.15 - CBC

g. Cipher FeedBack Mode (CFB)

Converter o DES em um Cifrador de Stream.
Este modo não usa a cifra de bloco para criptografar o

fluxo de dados.
Elimina a necessidade de preenchimento de blocos.
Opera em TEMPO REAL.
Mais complicado que os anteriores.
Unidade 1 51
A cifra é usada para gerar uma chave temporária. O texto

claro é criptografado pela função lógica exclusive-or, com
a chave temporária.
Figura 1.16 - CFB

h. Rivest Cipher 4 (RC4)

É uma cifra de fluxo criada pela RSA Data Security. Embora
o tamanho da sua chave possa variar, ela é normalmente
A técnica de criptoanálise tem como utilizada com 128 bits. A cifra foi desenvolvida por Ron Rivest,
princípio quebrar um texto ilegível
e o fornecedor garante que o algoritmo é imune a algumas
ou quebrar a chave.
técnicas de criptoanálise, como a diferencial, que é um método
probabilístico para ataque do tipo texto legível conhecido -
o analista conhece o texto claro, o texto criptografado e o
algoritmo, não conhece a chave.
O problema mais comum utilizado é o uso de chaves com

comprimento pequeno. Até bem pouco tempo, os EUA admitiam
exportar dados com chaves de 40 bits.
i. RC5 e RC6
São algoritmos utilizados em qualquer computador com palavras
de 16, 32 ou 64 bits. Possuem uma estrutura compacta, bom
desempenho e são adequados para a utilização em software
52
ou hardware. Como no DES, o RC5 e o RC6 possuem várias

interações, e as várias subchaves são utilizadas nas diversas
interações.
O RC6 foi desenvolvido para ser mais seguro contra

criptoanálise e mais veloz que o RC5.
Acompanhe, no quadro a seguir, uma abordagem sobre

gerenciamento de chaves:
Gerenciamento de Chaves Secretas

Alguns problemas básicos de gerenciamento de chaves:
os dados não são secretos, a menos que a chave o seja – essa é uma
característica essencial de todos os sistemas de criptografia comercial;
quanto mais randômica for a geração da sua chave, mais difícilmente
ela será descoberta; e
quanto mais a chave é usada, mais facilmente ela pode ser quebrada.
Semente randômica
Procedimentos matemáticos para geração de difíceis sequências de
números, pseudorandom number generator (PRNGs), às vezes não são
suficientes para a geração de boas chaves. existe a necessidade de se
ter uma semente (um número difícil para ser descoberto, que é gerado
inicialmente para passar pelo PRGN a fim de gerar a chave). Observe:
Figura 1.17 - Semente Randômica

Unidade 1 53
Distribuição de chaves
Distribuição manual
As chaves secretas são entregues aos seus usuários pessoalmente
(distribuição por papel, disquete ou outra mídia). A chave pode ser
particionada em pedaços, sendo que cada pedaço pode ser produzido de
forma diferente e entregue de forma diferente.
Distribuição automática
essa prática torna-se necessária em vista do crescimento das instituições e
da não utilização de uma mesma chave secreta várias vezes (facilita a sua
quebra).
existem algoritmos específicos, utilizados para trocar entre os dispositivos
de criptografias chaves de sessão geradas em tempo de execução.
existe também o conceito de Centros de Distribuição de Chaves (ex.: cofre
de cifras), que são responsáveis em armazenar e distribuir o par de chaves
para os seus usuários.
Quais as grandes vantagens da Criptografia Simétrica?
velocidade, e
ampla implementação em hardware.
Algoritmos assimétricos (chave pública)

Os algoritmos assimétricos são aqueles que trabalham com um
par de chaves (S, P), onde S é a chave privada, de conhecimento
somente do usuário, e P, a chave pública, compartilhada
pelos demais componentes do ambiente. As chaves P e S são
relacionadas matematicamente, de tal forma que:
54
1. seja um texto claro criptografado pela chave secreta S da

origem. Essa pode ser decriptografada pela chave P da
origem, ou um texto criptografado pela chave pública
de um usuário somente poderá ser decriptografado pela
chave secreta dele;
2. seja computacionalmente difícil calcular a chave secreta

S, a partir do conhecimento da chave pública P;
3. o cálculo do par de chaves é relativamente simples.
Logo, podem-se citar as seguintes propriedades:
cada usuário calcula o seu par de chaves (S, P) no seu

computador;
a chave é guardada de forma segura no seu computador

durante a sua utilização; e
a chave P é distribuída aos usuários pertencentes ao

sistema (ou armazenada numa estrutura de diretórios); e
não existe o problema de distribuição de chaves secretas,

como nos algoritmos simétricos.
Garantia de confidencialidade
Observe a figura 1.18, a seguir.
X Y X
Figura 1.18 - Garantia de confidencialidade

Unidade 1 55
A figura apresenta Maria crifando o texto X com a chave pública

de Luís. Essa função é representada pela fórmula Y = EKUb(X),
em que Y é o texto cifrado obtido por meio da encriptação de
X com a chave pública de B (EKUb(X)). Ao chegar ao destino,
o texto cifrado Y é decriptografado pela chave privada de B
(DKRb), obtendo o texto original X, enviado pela origem. Essa
função é representada pela expressão X = DKRb (Y). A garantia
de confidencialidade deve-se ao fato de o texto, mesmo sendo
interceptado, não ter condições de ser decifrado – em princípio,
devido ao texto, porque somente Luís poderá abri-lo, pois só ele
possui a sua chave privada.
Garantia de autenticação
Na figura 1.19, Maria crifa com a chave privada.
Y = EKRa(X) X = DKUa(Y)
X Y X
-
Algoritmo Algoritmo de Texto
de Decriptografia claro
Criptografia (reverso do - Saída -
(ex.: RSA) alg.
de criptografia)
Figura 1.19 - Garantia de autenticação

A figura apresenta Maria crifando o texto X com a sua chave

privada. Essa função é representada pela fórmula Y = EKRa(X),
em que Y é o texto cifrado obtido por meio da encriptação de
X com a chave privada de A (EKRa(X)). Ao chegar ao destino,
o texto cifrado Y é decriptografado pela chave pública de A
(DKUa), obtendo o texto original X, enviado pela origem. Essa
função é representada pela expressão X = DKUa (Y). A garantia
de autenticidade deve-se ao fato de o texto ser decifrado somente
pela chave privada de Maria, garantindo que foi ela quem
enviou a mensagem. Vale a pena ressaltar que não se garante a
confidencialidade nesta situação.
56
Observe, na sequência, alguns tipos de algoritmos

assimétricos.
a. Diffie-Hellamn
Esse algoritmo foi, na prática, o primeiro algoritmo de chave
pública e ainda é bastante utilizado. Duas entidades podem
utilizá-lo para compartilharem uma chave secreta, fazendo uso
da sua chave para criptografar a chave secreta do algoritmo.
Seu funcionamento consiste em:
dois usuários trocam alguma informação de domínio

público e usam essa informação para cada um gerar uma
chave privada;
esta chave privada é combinada com os dados de

domínio público, resultando em uma chave pública, que
é distribuída para cada um dos dois usuários;
o usuário 1 combina a chave pública do usuário

2 com a sua chave privada, para produzir uma
chave compartilhada. O usuário 2 realiza a mesma
operação com o usuário 1, produzindo a mesma chave
compartilhada.
A figura 1.20 ilustra como funciona o algoritmo Diffie-Hellamn:
Figura 1. 20 - Algoritmo Diffie-Hellamn

Unidade 1 57
Logo, na prática, o Diffie-Hellman é utilizado,

inicialmente, para gerenciamento de chaves, onde
dois usuários utilizam as suas chaves públicas para
produzirem a sua chave secreta.
b. RSA
Foi desenvolvido por Rivest, Shamir e Adelman. Hoje é o
algoritmo que as pessoas mais associam ao conceito de chave
pública. Essa técnica literalmente produz chaves públicas que são
ligadas a chaves privadas. Logo, se um usuário possui a chave
pública de outro usuário, ele pode criptografar uma mensagem
nessa chave, que só poderá ser decriptografada com a privada. E
a operação inversa, isto é, um usuário criptografa uma mensagem
com a sua chave privada, e essa pode ser decriptografada com a
sua chave pública.
Anote: O RSA é utilizado no SSL para negociar as

chaves de sessão entre os usuários WeB e servidores
seguros. Também é utilizado em sistemas de correio
eletrônico e no PGP.
Acompanhe no quadro a seguir uma explicação sobre resumos de

mensagem.
Algoritmo HASH
O algoritmo de hash é uma função determinística que tem como entrada
um texto arbitrário (message) e como saída um conjunto de bits de
tamanho fixo (message digest), conforme apresentado na figura abaixo.
Texti Função HASH Resumo da mensagm

(message) (message digest)
Figura 1.21 – Algoritmo HASH

Fonte: Elaborado pelo autor (2011).
A melhor forma de descrever esse algoritmo é por meio dos dois exemplos
de SHA1 (Secure Hash Algorithm).
58
Mensagem 1:
Daniel vendeu 2 vídeos para Carlos.
12 65 f6 j8 76 54 34 e4 ad 23 er 65 ty 67 hj df nk 56 76 24
Mensagem 2:
Daniel vendeu 3 vídeos para Carlos.
sd vg hj 76 a5 3f ui hj ty 4e 55 78 uh 1w qw er mn 6y 99 7a
1. A primeira coisa a ser observada é que os dois exemplos acima de

resumo, apesar de terem 35 bytes de comprimento, quando resumidos
possuem 20 bytes. A palavra resumo significa: condensar, ou reduzir, e
ser suficientemente seguro condensando uma palavra de 35 bytes em 20
bytes. Logo, independente do tamanho da palavra, o resumo SHA 1será
sempre de 20 bytes.
2. O segundo aspecto a ser observado é que os resumos parecem
aleatórios. Os bytes parecem ser algo sem sentido. Se resumir uma
mesma coisa duas vezes, utilizando o mesmo algoritmo, mesmo em
dois computadores diferentes ou utilizando dois pacotes de software
diferentes, o resultado obtido será o mesmo. Logo, o resultado de um
algoritmo de resumo de mensagem é pseudoaleatório.
3. O terceiro aspecto é que caso as mensagens sejam quase idênticas, os
resumos serão extremamente diferentes.
Pensando nesses três aspectos, você pode concluir que:
Um resumo de mensagem é um algoritmo que recebe

qualquer comprimento de entrada e mescla a entrada
para produzir uma saída pseudoaleatória de largura
fixa.
Confira, então, na sequência, as principais propriedades de um resumo.

A partir dele não se pode descobrir a mensagem.
Não se pode localizar nenhuma mensagem que produza um resumo
em particular.
Não existem duas mensagens que produzam o mesmo resumo.
Colisões – ocorre quando o algoritmo viola a propriedade de nunca
produzir o mesmo resumo. Se duas palavras colidem é porque elas
possuem o mesmo resumo.
Unidade 1 59
Agora veja quais são os três algoritmos mais importantes.
MD2
O MD2 foi criado por Ron Rivest. Produz resumos de 128 bits
(16 bytes) e 2128 possíveis valores de resumo. Ocorrem colisões, e
não vem sendo muito utilizado.
MD5
Esse algoritmo é uma evolução do MD2. Mais forte e mais
rápido que o MD2. É um resumo de 16 bytes. Até onde se
sabe, ainda não foi quebrado e ninguém encontrou colisões até o
presente momento.
SHA1/SHA2
Parece com o MD5. As partes internas são mais fortes que as do
MD5. Produz resumos de 20 bytes e é altamente recomendado
pela comunidade criptográfica.
Assinatura digital RSA

O processo de execução da assinatura é dividido nas seguintes
etapas:
1. o usuário resume a mensagem e então encripta o resumo

com a sua chave privada;
2. ele envia a mensagem junto com o resultado encriptado,

servindo como assinatura;
3. no destino, o software separa os dois componentes e

resume a mensagem que ele recebeu;
4. ele possui a mensagem e conhece o resumo que produzirá

(ele apenas o computa);
5. ele compara o resumo que chegou com o resumo

produzido;
60
6. se forem iguais, a integridade foi mantida;
7. a autenticação também é mantida, porque ele decriptou a

mensagem com a chave pública da origem.
Síntese
Nesta unidade, você estudou que o objetivo da segurança da

informação é dotar os sistemas computacionais de características
que impeçam o acesso ou a manipulação intencional, ou não, de
informações ou recursos por elementos não autorizados.
Estudou que as organizações e os seus sistemas de informação

e redes estão cada vez mais sendo provados com um grande
universo de tipos de ameaças à segurança, incluindo fraude
eletrônica, espionagem, sabotagem, vandalismo, fogo e
inundação.
Viu que a interconexão das redes privadas à internet e o

compartilhamento dos recursos aumentam a dificuldade de se
ter um controle de acesso realmente eficiente, e que as violações
de segurança são decorrências de vulnerabilidades, ameaças e
ataques em sistemas computacionais.
Você pôde observar que as vulnerabilidades podem ser

definidas como o ponto onde o sistema é susceptível ao ataque
e que existem algumas formas estratégicas de segurança, tais
como Política de Segurança, Privilégio Mínimo, Defesa em
profundidade, Ponto de asfixia (choke point), Conexão mais Frágil
(weakest link), Falha Segura (fail safe).
Também pôde estudar que um ataque é a efetivação de uma

ameaça sobre uma vulnerabilidade do sistema, e que existem
diferentes autores e tipos de ataques.
Por fim, viu que a criptografia pode ser definida como uma
coleção de técnicas que transformam o dado em formas difíceis
de serem imitadas ou revertidas por alguém ou algo que não
possua o código secreto, e que o componente principal na eficácia
de um equipamento de criptografia é a chave criptográfica. Essa
Unidade 1 61
consiste num pedaço de dados que direciona o dispositivo de

criptografia para criptografar uma mensagem numa determinada
forma.
Atividades de autoavaliação
Ao final de cada unidade, você realizará atividades de autoavaliação. O

gabarito está disponível no final do livro didático. Mas esforce-se para
resolver as atividades sem ajuda do gabarito, pois, assim, você estará
promovendo (estimulando) a sua aprendizagem.
1) Qual seria a principal etapa na realização de um ataque?
2) Por que, teoricamente, podemos dizer que um algoritmo de hash

é considerado consistente?
Saiba mais
Se você desejar, aprofunde os conteúdos estudados nesta unidade
mediante consulta a seguinte referência:
62
2
unidade 2
Mecanismos e dispositivos de
segurança
Conhecer os dispositivos de segurança.
Estudar as arquiteturas que compõem os dispositivos de

segurança.
Conhecer os mecanismos de segurança.
Compreender algumas topologias referentes à aplicação

dos mecanismos.
Seções de estudo
Seção 1 Mecanismos de segurança
Seção 2 Dispositivos de segurança


Esta unidade apresentará informações sobre como podemos nos
proteger por meio da utilização de mecanismos e dispositivos de
segurança. Você acompanhará a descrição de soluções que podem
ser utilizadas em diversos ambientes computacionais, dispostos
em qualquer topologia.
Seção 1 – Mecanismos de segurança

Esta seção visa a apresentar a você alguns mecanismos de
segurança, os quais lhe irão proporcionar uma ideia das suas
arquiteturas e funcionalidades. Acompanhe.
1.1 IPSec
O IP Security Protocol (IPSec) é um conjunto de protocolos de
propósito geral, com o objetivo de proteger as comunicações
TCP/IP. Logo, protege o tráfego entre máquinas, e não entre os
usuários de uma dada máquina.
De acordo com Smith (1997) e Buenett e Paine (2002),

o IPSec é projetado para possibilitar privacidade,
detecção de intrusos, ou ambos, em pacotes IP.
Algumas questões que você deve levar em consideração,

referentes à utilização do IPSec:
a segurança deve ser independente do sistema e

transparente para os provedores de serviço;
a criptologia aplicada no pacote IP é realizada somente

na parte não utilizada do roteamento desse pacote;
deve existir garantia de autenticação site a site.
64
O IPSec possui três pilares básicos: privacidade, integridade

e autenticidade. Com o uso do IPSec, os dados podem ser
transmitidos via redes públicas, sem riscos de observação,
modificação ou spoofing. Os únicos que conhecem a criptografia
são as pontas.
O protocolo pode ser usado para proteger um ou mais

fluxos de dados entre um par de máquinas, ou entre
um par de gateways, ou ainda entre uma máquina e
um gateway.
A figura 2.1, a seguir, apresenta a atuação do IPSec na pilha

TCP/IP. Observe:
Figura 2.1 - FPSEC

Veja que o IPSec não é nativo do TCP/IP, sendo acoplado à

pilha para estabelecer autenticidade, confidencialidade ou ambos
ao protocolo IP. O pacote IP gerado na camada de transporte,
texto claro, passa pela camada IPSec, posicionada entre a camada
de transporte e redes, como apresentado na figura 2.1, sofrendo
as alterações solicitadas. Em seguida, é encaminhado à camada
de rede, para que possa ser roteado ao seu próximo destino.
É possível construir o IPSec, utilizando uma série de padrões de

criptografia. São eles:
Diffie-Hellman – para a troca de chaves secretas;
DES e Triple-DES – para a criptografia de dados;
protocolo HMAC (Hash-based Message Authentication

Code) acoplado com MD5 ou SHA1 para a autenticação
de pacotes;
Unidade 2 65
criptografia de chaves públicas – quando uma

segurança maior é necessária para a criptografia de
pacotes;
certificados digitais – validação de chaves públicas.
Os componentes principais da arquitetura do IPSec são o

cabeçalho de autenticação (AH), o protocolo de segurança (ESP)
e o gerenciamento de chaves.
O projeto do AH e o do ESP são modulares, o que

possibilita o uso de novos algoritmos à medida que
forem surgindo.
Para padronizar os parâmetros de uma associação segura (AS),

o IPSec utiliza o conceito de domínio de interpretação (DI),
em que os algoritmos criptográficos, o tamanho e o formato de
chaves etc., são definidos quando do estabelecimento da AS,
conforme indicado na figura 2.2, a seguir.
Figura 2.2 - Arquitetura do IPSec

O IPSec define dois tipos de cabeçalhos opcionais, um para

cada tipo de proteção. Ambos os cabeçalhos contêm um valor
numérico chamado de Security Parameter Index (SPI). Toda vez
66
que uma máquina processa o cabeçalho do IPSec, ele usa o SPI

para identificar as chaves criptográficas e os procedimentos para
utilizá-las.
O pacote do IPSec pode conter um ou dois cabeçalhos,

dependendo do tipo de serviço em que for empregado. Veja.
Authentication Header (AH) – possibilita a verificação da

integridade do pacote (se foram alterados ou falsificados).
Utiliza a técnica de cryptographic checksum para
realizar essa verificação. Caso o cheksum falhe, o pacote
Esta técnica utiliza um
não está idêntico à origem. algoritmo hash para
criptografar parte do
Encapsulating Security Payload (ESP) – criptografa o texto da mensagem;
restante dos dados do pacote IP. O formato do ESP varia ao chegar ao destino,
de acordo com o tipo e o modo de criptografia utilizado. é aplicada a mesma
Em todos os casos, a chave associada é prescrita no SPI. técnica. Depois os textos
são comparados, para
verificar se houve alguma
Quando duas máquinas desejam comunicar-se de forma segura,
alteração no conteúdo da
utilizando o IPSec, estabelece-se uma associação segura (AS) mensagem.
entre elas (como se fosse um contrato com o outro lado). A AS
determina o que e como será a proteção a ser realizada pelo
IPSec, por meio das seguintes verificações:
quais tipos de proteção serão aplicados?
como será realizada a criptografia ou autenticação?
quais chaves devem ser utilizadas?
A AS aplicada a um determinado cabeçalho IPSec (AH ou ESP)

é determinada pelo endereço de destino do pacote IP e do SPI
dentro do pacote. Cada fase de comunicação segura necessita
de uma AS, uma para autenticação e outra para a criptografia,
mesmo que os algoritmos sejam idênticos (chaves diferentes).
A desvantagem de uma AS é que ela só pode ser

utilizada num único sentido, isto é, torna-se necessário
o uso de duas AS para a transferência de dados de
forma bidirecional.
O software IPSec deve manter a seguinte informação para cada

SPI:
Unidade 2 67
especificação dos métodos de criptografia a serem

utilizados pelo SPI;
as chaves a serem usadas pelos métodos de criptografia

durante o tráfego das mensagens; e
as máquinas ou entidades envolvidas no tráfego das

mensagens.
Quando uma máquina aplica a proteção IPSec a um pacote que

está saindo, ela usa a associação segura pertencente ao destino do
pacote. A máquina aplica o método criptográfico da associação e
a chave para criptografar os dados, e insere o SPI da associação
no cabeçalho do IPSec. Este processo é repetido, se o segundo
cabeçalho IPsec for aplicado.
Quando a máquina processa o primeiro cabeçalho do IPSec num

pacote que chega, o SPI é usado para identificar a associação
de segurança correta. Logo, a máquina aplica o método de
criptografia indicado pelo cabeçalho, junto com a sua chave.
Desde que exista uma separação do AH e do ESP, o processo
é repetido no próximo cabeçalho IPSec, utilizando o SPI
posicionado no local apropriado. Caso o SPI não exista ou o
pacote seja invalidado após o seu processamento, como no caso
de ser alterado, ele é descartado.
Tipos de protocolo IPSec
a) AH – Autentication Header
O AH é um cabeçalho no pacote IP que contém o cryptographic
checksum. Este cabeçalho é simplesmente inserido no interior
do pacote entre o cabeçalho do pacote IP e os dados seguintes.
Nenhuma mudança é necessária no conteúdo do pacote: a
segurança está inteiramente residida no conteúdo do AH.
Next header (8 bits) – identifica o tipo e a localização do

próximo cabeçalho;
Payload Lenght (8 bits) – comprimento do cabeçalho;
68
Número sequencial (16 bits);
SPI – qual grupo de protocolos está sendo utilizado;
Dados de autenticação – obtidos via aplicação do

algoritmo de criptografia.
O método cryptographic checksum é calculado sobre os dados

do cabeçalho do pacote IP, combinado com os cabeçalhos
seguintes ao AH, incluindo os dados do cabeçalho IP no cálculo.
O AH pode detectar qualquer mudança na informação do
endereçamento do pacote.
Lembre-se de que todos
Por default, o AH faz uso do algoritmo hash MD5 com os campos do cabeçalho IP
que podem ser alterados
chave de 128 bits, produzindo um valor de hash de 128 durante o trânsito do
bits. pacote são marcados
para 0.
Pode também ser utilizado o algoritmo SHA1,
produzindo um checksum de 160 bits.
A seguir, a figura 2.3 ilustra o processo. Acompanhe.
ANTES
DEPOIS
Figura 2.3 - Autentication Header (AH)

b) ESP – Encapsulating Security Payload

O IPSec ESP também define um novo cabeçalho a ser inserido
no pacote IP, criptografando os dados do pacote. O ESP
simplesmente contém o SPI para a associação segura da máquina
de destino.
Unidade 2 69
Sob circunstâncias normais, o ESP estará inserido no AH. A

máquina que gera o pacote criptografará os dados, utilizando o
procedimento e a chave escolhida na associação, e colocará o SPI
no ESP. A autenticação é realizada sobre o conteúdo do pacote
criptografado.
Todas as implementações IPSec que suportam o ESP

utilizam o DES no modo CBC (Cipher Block Chaining).
Modos de funcionamento do IPSec

O IPSec possui dois modos de funcionamento, sendo que ambos
podem ser usados de modo combinado.
a) Modo de transporte – somente parte dos dados é

criptografada (alguns bytes são adicionados ao tamanho
do pacote), assim o cabeçalho IP não é modificado.
Dessa forma:
com o cabeçalho intacto, é permitido que atacantes

conheçam a origem e o destino dos pacotes, mesmo que
eles não possam determinar o conteúdo existente;
o AH, o ESP ou ambos são inseridos após o cabeçalho

IP, e antes de qualquer outro cabeçalho.
Figura 2.4 - Parte dos dados é criptografada

b) Modo de túnel – a autenticação e criptografia são

executadas em todo o pacote. Sendo assim:
70
pega-se o pacote IP original e o criptografa por inteiro,

colocando o resultado em outro datagrama IP;
em seguida, é inserido um cabeçalho IPSec, pode ser

AH ou ESP;
é criado um novo cabeçalho IP;
esse modo de operação é mais seguro, tendo em vista que

a criptografia é aplicada em todo o pacote.
Figura 2.5 - Autenticação e criptografia são executadas em todo o pacote

Fonte - Elaboração do autor.
No modo túnel, a conexão é iniciada pelo servidor de acesso

remoto, logo, o cliente não precisa possuir o software IPSec.
A grande vantagem desse modo é que sistemas-fim

não precisam ser modificados para trabalharem com
os benefícios de segurança IP. O modo túnel também
protege os dados da análise de tráfego, e o atacante
pode somente identificar os pontos finais do túnel, e
não mais os endereços de origem e destino do pacote.
c) Modo combinado – faz uso do modo túnel e transporte.

Dessa forma:
o IPSec suporta a implementação combinada dos dois

modos de operação;
pode-se utilizar o modo túnel para autenticar ou

criptografar o pacote e seu cabeçalho;
posteriormente, aplica-se o AH e, depois, o AH, ESP,

ou ambos.
Unidade 2 71
1.2 VPN – Virtual Private Networks

O conceito de VPN surgiu da necessidade de se utilizarem redes
de comunicação não confiáveis para trafegar informações de
forma segura. As VPNs são “redes virtuais” que possibilitam
a economia de custos, quando utilizadas em substituição às
tradicionais redes baseadas em linhas privadas, reduzindo, assim,
investimento em equipamentos, treinamento e manutenção.
As VPNs também podem ajudar a tornar as redes mais flexíveis

(imediata escalabilidade com mínimo esforço), possibilitando
respostas rápidas às constantes mudanças ocorridas no enfoque
dos negócios. Segundo Franzin e Rossi (2000) e Gleeson et al.
(2000), uma VPN proporciona um gerenciamento e controle
efetivo, por permitir a utilização das facilidades de um provedor
público, sem perder o controle total da rede. Desse modo,
controla, de forma efetiva, a autenticação, os privilégios de
acesso, a segurança (no sentido de garantir a confidencialidade,
integridade e autenticidade) etc.
Uma VPN pode ser definida como uma emulação de

uma rede privativa de longa distância (WAN), que
utiliza estruturas de redes IP já existentes, internet ou
redes privadas.
Tendo em vista a fragilidade de segurança deste ambiente, a

VPN deve possuir dispositivos que proporcionem um tráfego
seguro, “túnel”, sem que exista qualquer tipo de vazamento de
pacotes IP.
Funcionamento da VPN
De acordo com Smith (1997), uma VPN conecta os componentes
e recursos de uma rede sobre outra rede, utilizando-se de um
túnel via internet ou outra rede pública, de forma que os usuários
desse túnel façam uso dos recursos de segurança e serviços, como
se estivessem conectados a uma rede privada.
72
A seguir, as figuras mostram dois tipos de VPN, uma sendo

realizada entre usuário e gateway, e outra entre gateway e
gateway, em que os pacotes, em vez de trafegarem em linhas
privativas, são transportados por um túnel criado sobre redes
compartilhadas. Acompanhe.
Figura 2.6 - VPN LAN – LAN

Fonte: Smith (1997).
Figura 2.7 - VPN Usuário – LAN

Fonte: Smith (1997).
Os elementos básicos na composição de uma VPN são

classificados da seguinte forma:
a) plataforma escalável – cada elemento deve ser escalável,

de forma a suportar desde pequenos até grandes sites
(largura de banda e conectividade);
b) segurança – tunelamento, criptografia, autenticação de

pacotes etc.;
c) serviços VPN – funções para a implementação de QoS;
d) ferramentas – firewalls, IDS e auditoria; e
e) gerenciamento da rede.
Unidade 2 73
Acompanhe no quadro a seguir uma explicação sobre

tunelamento:
Tunelamento
A capacidade de tornar transparente a estrutura

física de uma rede na implementação de uma VPN é
chamada de tunelamento ou tunneling.
em vez de serem enviados os dados originais, o protocolo de tunelamento

encapsula esses dados com um cabeçalho proprietário, provendo as
informações necessárias de roteamento para fazer chegar a informação
ao seu destino. O caminho lógico utilizado pelos pacotes, desde o ponto
inicial até o seu destino, é chamado de túnel. Para que o túnel possa ser
estabelecido entre o cliente e o servidor, ambos devem utilizar o mesmo
protocolo de tunelamento.
PPTP – point to point tunneling protocol, L2TP , L2F.
Os protocolos de camada 3, IPSec (IP Security), os datagramas IP são

encapsulados em um cabeçalho adicional, antes de serem transmitidos
pela rede. Neste caso, o túnel é criado e encerrado na rede intermediária.
O destino final é um gateway para a rede corporativa. O protocolo PPP
somente é carregado entre o cliente e o servidor de acesso.
VPN para intranet

A intranet VPN é uma alternativa para a infraestrutura de
WAN, podendo servir como expansão ou substituição das
linhas privativas por estruturas compartilhadas de redes. Esse
tipo de conexão também pode ser chamado de LAN-to-LAN
ou Site-to-Site. A intranet pode ser construída usando-se
internet, provedores IP, ou frame relay, por exemplo. Quando são
construídas sobre redes IP, utilizam-se normalmente de IPSec ou
GRE (Generic Routing Encapsulating). A intranet VPN possui as
seguintes vantagens:
74
redução de custo;
facilidade de conexão para novos sites;
boa disponibilidade para os sistemas, em função da

redundância de links que podem ser providos.
Acompanhe, a seguir (Figura 2.8), como se dá a infraestrutura da

VPN para intranet.
Figura 2.8 -VPN para intranet

Fonte: Adaptado de Smith (1997).
VPN para acesso remoto

As VPNs para acesso remoto consistem no reflexo do crescimento
do trabalho móvel, isto é, aquele realizado por usuários móveis que
utilizam um computador para conexão com a rede corporativa,
partindo de suas residências, empresas de clientes, hotéis etc. Esse
tipo de VPN possibilita o usuário conectar a sua empresa com um
mínimo consumo de recursos de WAN. As vantagens de utilizar
VPN para acesso remoto basicamente são:
redução de investimentos (ex.: servidores de acesso);
possibilidade de realizar chamadas locais em vez de

interurbanas;
Unidade 2 75
maior escalabilidade no crescimento do número de

usuários;
agir diretamente com os negócios da empresa.
Acompanhe, a seguir (Figura 2.9), como se dá a infraestrutura da

VPN para acesso remoto.
Sede da Empresa
cliente com acesso Túnel

via linha discada
estrutura
de enlace
acesso da NAS
acesso
Dial-up
Figura 2.9 - VPN para acesso remoto.

Fonte: Adaptado de Smith (1997).
1.3 SSL (Secure Socket Layer)

O SSL (Secure Socket Layer) é um protocolo de comunicação que
implementa um túnel seguro para comunicação de aplicações na
internet, de forma transparente e independente da plataforma de
comunicação. Foi desenvolvido pela Netscape Communications
junto à RSA Data Security. Segundo Smith (1997), Pereira,
Fernandes e Braz (2000), o SSL implementa as três capacidades
(autenticação, criptografia e gerenciamento de chaves) de forma
encapsulada, diferente do IPSec, que as implementa de forma
separada.
76
As suas implementações estão embutidas com aplicações que

fazem uso do SSL para tramitar os seus dados de forma segura.
Apesar de amplamente empregado em conexões HTTP, ele
também pode ser utilizado com os protocolos SMTP e POP3.
Observe.
Figura 2.10 - SSL

Fonte: Pereira, Fernandes e Braz (2000).
Veja que o SSL permite autenticar servidores, criptografar dados,

garantir a integridade de mensagens e, como opção, autenticar
o cliente, operando nas comunicações entre aplicativos de forma
interoperável. Com isso, garante:
a segurança criptográfica para o estabelecimento de uma

ligação segura entre duas máquinas/aplicativos;
a privacidade na conexão, com a utilização de algoritmos

simétricos que negociam uma chave secreta na primeira
fase do handshaking (usando chaves públicas –
assimétricas);
a autenticação do servidor (e, opcionalmente, do cliente)

por meio de algoritmos assimétricos como o RSA ou o
DSS;
a confiabilidade na conexão, conseguida com o uso de

códigos de autenticação de mensagens (MAC).
Unidade 2 77
O protocolo SSL está posicionado na camada de aplicação, onde

recebe os dados provenientes da camada de aplicação, protege
esses dados e os envia para a camada de transporte. A figura a
seguir apresenta a estrutura do pacote proveniente da camada de
aplicação a ser enviada pela pilha de protocolos.
Figura 2.11 - Estrutura da camada de aplicação do SSL

Fonte: Pereira, Fernandes e Braz (2000).
O protocolo SSL é composto por dois protocolos:
1. o SSL Record Protocol, responsável pela transferência de

dados, via utilização do conjunto de algoritmos, chaves,
negociados em tempo de conexão, que serão utilizados
para a autenticação e criptografia dos dados;
2. o SSL Handshake Protocol, responsável em estabelecer a

autenticação entre o cliente e o servidor, determinando
os parâmetros necessários para estabelecer uma
conexão, como: qual a versão do protocolo; algoritmos
de criptografia; autenticação (opcional) do cliente e do
servidor; métodos de criptografia de chaves públicas
para a geração dos segredos a serem compartilhados.
É importante ressaltar que as chaves
assimétricas realizam a negociação
inicial, abrindo um canal seguro O SSL Handshake trabalha sobre o SSL Record, em que todas
para o envio da chave simétrica de as mensagens provenientes do SSL Handshake são encapsuladas
sessão. pelo SSL Record para serem enviadas. Todas as mensagens de
negociação utilizam o MAC e as funções hash (SHA1 e MD5)
para melhorar a confiança no estabelecimento da conexão.
O SSL Alert Protocol é responsável em acompanhar

os erros na SSL Record Layer, fazendo troca de
mensagens para sinalizar os problemas com a
sequência de mensagens, erros de certificação ou
criptografia.
78
O quadro 2.1, a seguir, apresenta a estrutura do SSL na pilha

TCP/IP. Veja:
Pilha TCP/IP com SSL

Camada de aplicação
SSL Handshake Protocol
SSL Record Protocol
Camada de transporte (TCP)
Camada de rede (IP)
Quadro 2.1- Estrutura do SSL na pilha TCP/IP

1. 4 PKI (Public Key Infrastructure)/ICP - Infraestrutura de

chaves públicas
Tomando como base a abordagem de autores como Feghhi e
Williams (1999), Adams e Steve (1999), Housley, Ford, Polk e
Solo (1999) e Chokhani e Ford (1999), vemos que:
uma PKI pode ser definida como um conjunto

de serviços de segurança (técnicas, práticas
e procedimentos) que permitem o uso e a
administração da criptografia de chave pública e
certificados. Logo, fornece suporte à implementação
e à operação de sistemas de certificação baseados em
chave pública.
Uma PKI é uma estrutura de segurança na qual os serviços são

implementados e oferecidos usando os conceitos e as técnicas de
chave pública. A PKI tem como objetivo disponibilizar soluções
para as necessidades de identificação automática, autenticação,
controle de acesso e funções de autorização. Esses diversos
serviços justificam os muitos atributos existentes no certificado,
bem como a realização de um controle efetivo.
Os usuários de uma PKI são pessoas ou processos que usam

software cliente e estão sujeitos a certificados nominais, tais como
usuários de e-mails, clientes web etc.
Unidade 2 79
Uma infraestrutura de chave pública (PKI) em uma

organização deve ser projetada de maneira que
forneça segurança para toda a organização. Seus
serviços devem estar disponíveis para todos os
objetos e aplicações por meio de pontos de acesso
bem definidos.
A PKI deve funcionar como provedora de aplicações, de forma

a possibilitar que aplicações possam adicionar segurança a seus
dados e recursos, e interagindo com outros dados ou recursos
de outras aplicações. As interfaces de acesso aos serviços de
segurança devem ser bem conhecidas e fáceis de usar. O resultado
do serviço também deve ser previamente conhecido, porém,
a maneira pela qual os resultados são gerados é totalmente
desconhecida pelos usuários dos serviços da infraestrutura de
chave pública.
Acompanhe pela figura 2.12, a seguir, como se dá a estrutura de

uma PKI com os seus componentes:
Figura 2.12- Estrutura de PKI

As políticas de certificados estabelecem um conjunto de regras

específicas à aplicabilidade dos certificados, em concordância com
uma política de segurança. As diretivas e regras operacionais se
baseiam em políticas, práticas e procedimentos a serem utilizados
pela autoridade certificadora. É definido, em linha geral, como
serão implementados os serviços especificados na política de
certificados.
80
A política de segurança é responsável por estabelecer

as regras de segurança para o ambiente operacional.
Por fim, é importante você observar que os serviços de suporte

são necessários às aplicações usuárias da arquitetura PKI, ou seja,
estrutura de diretórios, interfaces etc.
Ao contrário das soluções ponto a ponto entre aplicações ou

dispositivos específicos, uma infraestrutura de segurança oferece
um grande número de benefícios para o ambiente computacional.
Confira na sequência.
Redução dos custos: implementar uma solução única

em uma grande organização será inevitavelmente mais
barato que implementar várias soluções mais limitadas,
devido ao custo adicional, toda vez que for necessário
adicionar novos usuários ou aplicações ao ambiente.
Quando se trabalha com várias soluções de segurança
diferentes, começam a surgir dificuldades para que
essas trabalhem de forma integrada, de modo a prover a
segurança de toda a organização. Além disso, adicionar
uma nova solução de segurança à estrutura já existente é
sempre uma tarefa cara e muito complexa. O custo para
desenvolver, manter e operar uma estrutura com várias
soluções ponto a ponto é muito mais alto, se comparado
com o desenvolvimento, a manutenção e operação de
uma PKI.
Interoperabilidade dentro de uma empresa: várias

soluções desenvolvidas ,independentemente, podem
ter incompatibilidades de paradigmas, e os custos para
reduzir essas incompatibilidades são altos. O que não
ocorre com uma infraestrutura de segurança, em que
cada aplicação ou dispositivo pode acessar e usar a
infraestrutura, de uma maneira idêntica.
Interoperabilidade entre empresas: empresas, ao adotar

qualquer tecnologia nova, esperam poder interoperar com
outras empresas que irão desenvolver soluções no futuro.
Uma tecnologia estruturada, reconhecida, baseada
Unidade 2 81
em padrões internacionais abertos é mais passível

de interoperar entre empresas do que várias soluções
proprietárias.
Solução uniforme: uma infraestrutura provê uma

solução uniforme e consistente para todas as aplicações
e os dispositivos. Essa infraestrutura uniforme é
muito mais fácil de instalar, gerenciar e manter em
uma organização do que uma coleção de soluções
incompatíveis.
Garantia de segurança: as interações entre as aplicações

e os dispositivos ocorrem de maneira segura, porque
todas essas interações são conduzidas de maneira
consistente. A operação e as interações da infraestrutura
de segurança devem ser validadas para que sejam
confiáveis.
Escolha do provedor: o provedor de uma infraestrutura

pode ser um grupo particular dentro da organização, ou
pode ser escolhido fora dela. Logo, a uniformidade da
solução e a segurança oferecida devem ser os principais
parâmetros a serem estabelecidos na implementação de
uma infraestrutura.
Conheça, a seguir, os componentes da arquitetura de uma PKI.
1. Autoridade certificadora
São autoridades confiáveis para um segmento de negócio, que
têm como função ligar o par de chaves públicas para uma
identidade fornecida.
As ACs certificam a identidade, associando, por meio

de uma sinalização digital, uma estrutura que contém
uma representação da identidade e uma chave
pública (certificado digital).
A autoridade certificadora (AC) é responsável pelos aspectos

referentes à emissão e gerenciamento de certificados digitais.
Suas obrigações básicas são:
82
emissão de certificados;
revogação de certificados;
renovação de certificados;
publicação de certificados em diretórios;
emissão da LRC; e
gerência de chaves criptográficas.
Normalmente, uma AC emite certificados para uma

comunidade finita de usuários. Ela tem como tarefa direta
verificar a identidade do usuário final. O paradigma da AC é,
essencialmente, confiar em uma cadeia de autenticação, a qual
termina em uma AC, que eventualmente certifica ela mesma.
2. Repositório de certificados
A AC é responsável por associar as chaves públicas aos
usuários, com a finalidade de criptografar dados, que serão
É importante ressaltar
decriptografados pelo destinatário, por intermédio de sua chave que um certificado
privada. é garantido por uma
autoridade certificadora,
O usuário pode localizar os certificados de que necessita para a qual associa uma chave
realizar uma comunicação segura por meio de um local seguro, pública com cada usuário
chamado repositório de interfaces, que deve estar disponível identificado, devendo
estar disponível para ser
para atualização da LRC e de novos certificados. consultado.
3. Revogação de certificados
A autoridade certificadora assina um certificado, associando
um par de chaves públicas a uma identidade de usuário. Porém,
existem situações nas quais se torna necessária a quebra dessas
associações.
Por exemplo, uma troca de identidade, ou

comprometimento de uma chave privada, a qual pode
ter sido descoberta por um hacker.
Unidade 2 83
A revogação de certificados é o mecanismo de alerta usado pela

PKI para avisar o restante da população de usuários de que
tal chave pública não se aplica mais àquela identidade. Todos
os certificados possuem um tempo de vida e são revogados
ao término desse tempo. Os certificados emitidos para serem
Este tempo pode ser pequeno ou
então emitido uma única vez. utilizados uma única vez não se aplicam a uma PKI, pois
causariam problemas de alto volume de tráfego.
Observe que um certificado pode ser revogado quando:
houver alguma alteração das informações existentes no

certificado;
houver suspeita ou confirmação de violação da chave

privada;
um usuário não cumprir as normas previstas para a

utilização do certificado.
Lembre que toda revogação de certificados deve ser

publicada na LRC e que as suas justificativas devem ser
documentadas.
4. Certificação cruzada (Cross-Certification)

A certificação cruzada pode ser definida como o processo que
permite a uma determinada AC reconhecer certificados que são
emitidos por outras ACs não pertencentes à mesma PKI. Este
dispositivo deve-se à necessidade de haver um conjunto de PKIs
interligadas, cuja finalidade é possibilitar a troca de informações
de forma segura.
Mudanças no relacionamento de negócios ou outras razões irão

requerer comunicações seguras entre as comunidades de usuários
de algumas PKIs, mesmo que a segurança não fosse previamente
um requisito.
A certificação cruzada é um mecanismo útil para

associar ao mesmo tempo CAs não relatadas
previamente, para que a comunicação segura entre as
suas respectivas comunidades possa ser estabelecida.
84
Os mecanismos atuais de certificação cruzada (por exemplo,

o protocolo específico para a troca de mensagens) devem ser
idênticos para a certificação, exceto se ambos, entidades e o editor
do certificado cruzado, forem CAs.
5. Certificados
Os certificados de chave pública são usados para associar o nome
de uma entidade com sua correspondente chave pública. Ao
falarmos de certificados, é importante você conhecer um número
de certificados diferentes existentes, como:
o X.509 (certificado de chave pública);
certificados SPKI (Simple Public Key Infrastructure);
certificados PGP (Pretty Good Privace); e
certificados de atributos.
Existem várias formas de se obter um certificado digital. Uma

delas é apresentada na figura 2.13, a seguir. Observe:
Figura 2.13 - Exemplo de obtenção de certificados

Veja que o usuário conecta-se (normalmente utilizando um

browser) ao site de uma certificadora digital, ao preencher um
formulário on-line com os seus dados pessoais. Paralelamente,
Unidade 2 85
o browser envia a chave pública para a certificadora, mantendo a

chave privada em segredo na máquina do usuário. O candidato
ao certificado digital deverá comprovar sua identidade perante
uma Autoridade de Registro (RA), que pode ser um cartório,
departamento de RH etc. Feito isso, a autoridade certificadora
emitirá o certificado digital, e o usuário fará o seu download e
instalação por meio do seu browser.
Embora o X.509 (certificado de chave pública) defina certas

necessidades associadas com os campos padrões e extensões
de certificados, certo número de características ainda deve
posteriormente ser abordado, a fim de solucionar problemas
referentes à interoperabilidade entre sistemas heterogêneos. Para
tanto, a Internet Engineering Task Force (IETF) introduziu o
RFC2459.
O RFC2459, conhecido como PKIX parte I, fornece um grande

número de recomendações úteis, que podem ser aplicadas não só na
internet, mas também em ambientes empresariais, mantendo sempre
a consistência, enquanto possível. Acompanhe.
a. Version: indica a versão do certificado (presente tanto na

versão 1, 2 ou 3).
b. Serial number: identificador único deste certificado, em

relação ao emissor de certificados.
c. Signature: indica o identificador de algoritmo usado,

isto é, o identificador do objeto mais algum parâmetro
associado, para calcular a assinatura digital no certificado.
Veja um exemplo de signature: o objeto identificador

do SHA-1 com o RSA pode estar presente, indicando
que a assinatura digital é uma estrutura hash SHA-1
criptografada pelo RSA.
d. Issuer: é o DN (Distinguished Name, em português:

nome único) do emissor de certificados. Deve estar sempre
presente.
e. Validity: período de tempo em que o certificado é válido.

Este campo consiste em datas/tempo que compreende NÃO
VÁLIDO ANTES E NÃO VÁLIDO APÓS.
86
f. Subject: é o DN do proprietário de certificado. Não fica

em branco, a não ser que um nome alternativo seja usado
(campo de extensão – ex.: IP).
g. Subject public key info: a chave pública (e o

identificador do algoritmo) associada com o dono do
certificado. Deve sempre estar presente.
h. Issuer unique identifier: um identificador único,

opcional, do emissor de certificados, presente somente
nas versões 2 e 3. Este campo raramente é usado na
prática.
i. Subject unique identifier: um identificador único,

opcional, do dono do certificado, presente somente nas
versões 2 e 3. Este campo raramente é usado na prática.
j. Extensions: padrões opcionais e extensões privadas,

presentes:
Authority key identifier: identificador único da chave

que se poderia usar para verificar a assinatura digital
calculada sobre o certificado. Usada para se distinguir
entre múltiplas chaves que se aplicam ao mesmo emissor
de certificados.
Subject key identifier: identificador único associado com

a chave pública contida nesse certificado. Utilizado para
distinguir entre múltiplas chaves que se aplicam a um
mesmo certificado.
Key usage: uma string de bits usada para identificar as

funções ou os serviços que podem ser suportados usando
a chave pública nesse certificado. Pode ser usado para
indicar suporte para assinatura digital, não repúdio,
cifrar chaves, cifrar dados, concordância de chaves etc.
Extended key usage: é a sequência de um ou mais

identificadores de objetos (OIDs), que identificam uso
específico da chave pública no certificado.
Unidade 2 87
LRC distribution point: indica a localização da partição da

lista de revogação de certificados (LRC), onde residem as
informações de revogação associadas com o certificado.
Private key usage period: indica a janela de tempo em que

a chave privada associada à chave pública desse certificado
pode ser usada. Direcionada para o uso com as chaves de
assinatura digital/certificados.
Certificate policies: indica a sequência de uma ou mais

políticas de identificação de objetos e qualificadores
opcionais, associados com a garantia e o uso subsequente do
certificado.
Policy mappings: indica uma ou mais políticas de

identificadores de objeto, equivalentes entre duas ou mais
CAs.
Subject alternative name: indica formas de nomes

alternativas, associadas com o dono do certificado (por
exemplo, endereço de e-mail, endereço IP, URL etc.).
Essas formas alternativas de nome só são válidas quando
associadas ao DN (Distinguish Name do proprietário do
certificado).
Issuer alternative name: indica formas alternativas de

nomes associadas com o emissor do certificado, e especifica
as mesmas regras de processamento associadas ao Subject
Alternative Name.
Subject directory attributes: indica a sequência de atributos

associados com o proprietário do certificado. A não ser que
essa extensão não esteja correntemente em uso, todas as
aplicações conhecidas existem onde essa extensão é usada
para fornecer controle de acesso a informações.
6. Autoridade de registro
Apesar de a função de registro ser realizada diretamente pela AC,
algumas vezes é de bom costume que o registro seja realizado por
uma entidade, chamada de Autoridade de Registro. As funções
básicas da AR são:
88
a) estabelecer e confirmar a identidade do indivíduo como

parte inicial do processo;
b) distribuir identificadores secretos para os usuários finais,

a fim de possibilitar, posteriormente, a autenticação
durante o processo de identificação on-line;
c) iniciar o processo de certificação com a AC;
d) realizar algumas funções de gerência, como iniciar a

solicitação de revogação de certificados ou a operação de
recuperação de chaves.
Seção 2 – Dispositivos de segurança

Nesta seção, você verá quais são os principais dispositivos de
segurança. Acompanhe.
2.1 Firewalls
Devido às diversas necessidades de se garantir a segurança do
ambiente computacional, dispositivos de segurança foram criados
e, permanentemente, atualizados, entre eles o firewall.
De acordo com Zwicky, Cooper e Chapman (2000),

firewalls podem ser definidos como barreiras
interpostas entre a rede privada e a externa com
a finalidade de evitar intrusos (ataques); isto é,
são mecanismos (dispositivos) de segurança que
protegem os recursos de hardware e software, da
empresa, dos perigos (ameaças) aos quais o sistema
está exposto.
O firewall é basicamente um dispositivo de proteção. Esse

mecanismo de segurança é baseado em hardware e software e
segue a política de segurança estabelecida pela empresa.
Unidade 2 89
Quando se está construindo um firewall, a primeira coisa com

que você deve se preocupar é o que e como proteger. Veja:
dados – são as informações armazenadas nos

computadores da empresa, às quais devem-se garantir
confidencialidade, integridade e disponibilidade;
recursos – são os próprios computadores, evitando danos

lógicos aos equipamentos e a utilização dos recursos da
empresa, como por exemplo, roubo de CPU;
a reputação da empresa – a reputação é fundamental

para o negócio da empresa. Imagine o site da presidência
com informações inverídicas, ou imagine a situação de
alguém fazer uso do e-mail de uma pessoa para enviar
informações, ou denegrir a imagem de pessoas ou
instituições.
Um firewall previne que danos provenientes da internet se

espalhem pela rede interna. Ele serve para vários propósitos:
restringe o acesso de usuários externos à rede interna. A

verificação é realizada cuidadosamente, via um ponto de
controle;
previne ataques; e
restringe que usuários internos da rede tenham acesso à

internet e sites não autorizados.
Um firewall é semelhante aos antigos fossos,

colocados em volta de castelos para a proteção deles.
Todo e qualquer tráfego que chega ou sai da rede interna, por

exemplo, tem de passar pelo firewall, como indicado a seguir
(Figura 2.14).
90
Figura 2.14 - Tráfego de informações passando pelo firewall

Fonte: Zwicky, Cooper e Chapman (2000).
No firewall estão implementadas todas as regras que permitem o

tráfego de e-mails, transferência de arquivos, logins remotos etc.
Todavia um firewall não pode proteger contra usuários internos
mal-intencionados, contra conexões que não passam por ele ou,
ainda, contra novas ameaças, como por exemplo, vírus inéditos.
Veja como projetar um firewall:
Como dito anteriormente, o firewall consiste em um conjunto de

componentes organizados de forma a garantir certos requisitos
de segurança. Sendo assim, algumas definições são importantes.
Acompanhe:
Packet filtering – é a ação de controle seletivo do fluxo

de dados que chegam e saem da rede, realizada por
dispositivos da rede. Os filtros de pacotes admitem ou
bloqueiam pacotes, normalmente enquanto eles são
roteados de uma rede para a outra (na sua maioria da
internet para a rede interna e vice-versa). Para realizar
a filtragem de pacotes, é necessária a implementação de
regras as quais especificarão os tipos de pacotes que serão
admitidos e os que serão bloqueados.
Unidade 2 91
Bastion host – é uma máquina que deve ser altamente

segura, porque ela é vulnerável a ataques. Essa
vulnerabilidade deve-se ao fato de ela estar exposta
à internet e ser o principal ponto de contato para os
usuários da rede interna.
Perimeter network – é a rede colocada entre a rede

protegida e a externa, cujo objetivo é criar uma camada
adicional de segurança. A perimeter network é chamada
de DMZ (De-Militarized Zone).
NAT (Network address translation) – consiste em um

procedimento no qual o roteador realiza mudanças nos
endereços de rede do pacote. Essa técnica possibilita
esconder os endereços do segmento interno da rede
e a conexão de uma grande quantidade de máquinas
à internet, fazendo uso de uma quantidade pequena
de endereços válidos, ou fazendo uso de endereços
administrativos. Normalmente, esta técnica faz parte do
firewall de uma empresa.
Figura 2.15 - Projeto de uma firewall

Sistemas de filtragem de pacotes roteiam pacotes entre máquinas

internas e externas, de forma seletiva. As regras de admissão
ou bloqueio de pacotes baseiam-se na política de segurança
implementada pela empresa.
92
O componente que realiza a filtragem de pacotes

geralmente é um roteador dedicado, mas também
pode ser um host de propósito geral configurado
como roteador, e recebe a denominação de screening
router.
O processo de filtragem de pacotes acarreta um overhead no

sistema; e, numa situação de alto tráfego, torna-se necessário que
se utilize um roteador com uma velocidade de processamento
compatível.
A filtragem de pacotes que a maioria dos screening routers

realizam, é baseada no:
endereço IP de origem;
endereço IP de destino;
protocolo: se o pacote é TCP, UDP ou ICMP;
portas TCP ou UDP de origem;
portas TCP ou UDP de destino;
tipo da mensagem ICMP;
tamanho do pacote.
A filtragem de pacotes não examina nenhum protocolo acima

do nível de transporte, isto é, não é tomada nenhuma decisão
baseada no conteúdo dos pacotes; ou seja, nos dados dos pacotes
propriamente ditos. Essa tarefa, nível de aplicação, fica com o
application gateways (proxy servers). Sendo assim:
qualquer falha de segurança no nível de aplicação

não pode ser evitada utilizando somente um filtro de
pacotes.
Veja, na sequência, os diferentes tipos de arquitetura de firewall.
Unidade 2 93
a. Single-Box
Esta arquitetura tem como característica a utilização de um único
objeto para executar as funcionalidades de firewall. Tem como
vantagem a simplicidade e o barateamento de custo; e, como
desvantagem, a vulnerabilidade (é o único ponto de defesa).
Internet
proibido
roteia ou bloqueia pacotes

baseado na política de segurança
screening router
proibido
rede interna
Figura 2.16 - Single-box

Fonte: Adaptado de Zwicky, Cooper e Chapman (2000).
b. Screened host
Consiste numa arquitetura a qual oferece serviços provenientes
de uma máquina que está ligada somente à rede interna, fazendo
uso de um roteador separado. O roteador realiza a filtragem
de pacotes de forma que somente o bastion host seja a única
máquina da rede interna a qual pode abrir conexões na internet.
Qualquer sistema tentando acessar sistemas internos ou serviços
deve conectar-se ao bastion host. Este deve ser a máquina mais
segura do sistema, pois é o contato com a internet e o contato dos
usuários da rede interna.
94
Internet
screening router
Bastion
Host
Firewall
rede interna
Figura 2.17 - Screened host

c. Screened subnet
Esta arquitetura adiciona uma camada extra à arquitetura screened
host, inserindo uma perimeter network (DMZ – rede colocada
entre a rede protegida e a rede interna) e isolando, assim, a rede
interna da internet.
O atacante, para entrar na rede interna, tem de passar pelos dois

roteadores (configurados com filtros) e quebrar a segurança do
bastion host. Nessa arquitetura, não existe um único ponto que
torne a rede vulnerável.
Com a DMZ, caso seja quebrada a segurança do bastion host,

o atacante será capaz de ouvir o tráfego nesse segmento. Todo
o tráfego da DMZ pode ser para ou do bastion host, ou para
ou da internet. Não tem acesso ao tráfego interno, porque ele
não passa pela DMZ. O tráfego proveniente da rede interna é
normalmente descompromissado, porque ele pode sair para a
internet. O ataque ao bastion host na DMZ é crítico, porque ele
é o principal ponto de contato para as conexões que chegam do
mundo exterior.
Unidade 2 95
Figura 2.18 - Screened subnet

Importante! O roteador interno não realiza mais que

filtragem de pacotes para o firewall. Ele seleciona
os serviços que podem sair da rede interna para
a internet. Os serviços que o roteador interno
admite entre o bastion host e a rede interna não são
necessariamente os mesmos que são admitidos entre
a internet e a rede interna. Essa é a razão pela qual se
reduz o número de máquinas que podem ser atacadas
do bastion host. O roteador externo protege a DMZ e a
rede interna da internet.
d. Split-screened subnet
Nesse tipo de arquitetura, ainda existem os roteadores interno
e externo, mas passam a existir múltiplas redes entre eles. Essas
redes são conectadas entre si, via dual-home hosts. Alguns sites
usam essa arquitetura, normalmente, para prover defesa em
profundidade, protegendo o proxy com os roteadores.
Os roteadores oferecem proteção contra estranhos e falhas

em que a dual-homed host é a responsável em gerar tráfego
para o roteador. Este tipo de firewall é uma excelente proteção
multicamadas, embora sejam necessários cuidados na
configuração da dual-home host, quando se deve ter certeza
que a mesma está configurada de forma otimizada e segura.
96
A utilização adequada desta arquitetura é em redes, as quais

necessitam de alto grau de segurança, principalmente se estão
sendo oferecidos serviços para a internet.
Figura 2.19 - Split-screened subnet

e. Screened subnets independentes

Este tipo de arquitetura é apropriado em redes com uma forte
necessidade de redundância, alta necessidade de segurança e faz
uso de vários serviços da internet.
Figura 2.20 - Screened subnets independentes

Unidade 2 97
f. Firewalls internos
A utilização de firewalls não é exclusiva para proteger a rede
interna da internet. Pode-se, às vezes, necessitar proteger as
partes da rede interna de outras partes. Observe:
Figura 2.21 - Firewalls internos.

2.2 Serviços de proxy

Serviços de proxy são programas de aplicações especiais ou
programas servidores que recebem de clientes requisições
de serviços de internet (HTTP, FTP etc.), analisando-as e
redirecionando-as. Se aceitas, essas requisições vão para os
servidores internet, que irão prover os serviços solicitados. Com
isso, os proxies substituem as conexões diretas entre clientes
e servidores de internet, agindo como um gateway entre os
serviços (conhecido como gateway de nível de aplicação). Essa
funcionalidade possibilita o mascaramento do cliente e de sua
rede, porque o servidor de internet não estabelecerá a conexão
direta com o cliente, e sim com o proxy.
Os proxies, além de tornarem a rede mais segura, podem também

deixá-la com maior desempenho. Essa eficiência vem com base
na utilização dele como cache de informações solicitadas pelo
98
cache. Essa vantagem possibilita que, caso múltiplas máquinas

solicitem o mesmo dado, esse poderá estar disponível no
proxy, ocasionando um melhor desempenho, porque reduz o
tráfego na rede, em virtude da redução do número de conexões
solicitadas. Normalmente, os aplicativos proxy oferecem tanto a
funcionalidade de cache quanto a de mascaramento da rede do
cliente.
Como os serviços de proxy trabalham?
Os serviços proxy necessitam de dois componentes: o servidor

proxy e o cliente proxy. O servidor proxy recebe as requisições
do cliente proxy, realizando uma avaliação dessas requisições.
Dessa forma, decide quais serão aprovadas, ou negadas. Caso a
requisição seja aceita, o servidor realiza a conexão com o servidor
de internet e encaminha a solicitação do cliente para o servidor.
O servidor proxy, por sua vez, controla quais usuários podem
acessar o quê. Programas de aplicação proxy mais sofisticados
podem admitir diferentes regras para diferentes máquinas, em
vez de manter as mesmas regras na mesma máquina. Observe:
Internet
Servidor Intenet
wall
Firewall
Servidor Proxy
rede interna
Figura 2.22 - Esquema de operação do servidor proxy

Fonte: Adaptado de Zwicky, Cooper e Chapman (2000).
Unidade 2 99
Veja, a seguir, um exemplo de requisição HTTP sem Proxy:
o cliente realiza a requisição http;
o servidor faz uso somente do path e a “porção-chave” da

URL requisitada;
o tipo do protocolo “http:” e o nome do servidor são

claros para o servidor HTTP remoto;
o path requisitado especifica um documento no sistema

de arquivos local do servidor; ou, ainda, algum outro
recurso disponível daquele servidor.
Requisição do usuário:
http://www.teste.com.br/segura/firewall/proxy.html
O browser converte para: GET / segura/firewall/proxy.html
Figura: 2.23 - Requisição normal

Exemplo de uma requisição HTTP com proxy:
o cliente realiza a requisição HTTP com proxy;
o cliente especifica toda a URL para o proxy; com isso,

o proxy possui todas as informações necessárias para
realizar a requisição ao servidor remoto especificado na
URL.
Requisição do usuário:
http://www.teste.com.br/segura/firewall/proxy.html
O browser converte para:
GET http://www.teste.com.br/segura/firewall/proxy.html
O browser se conecta ao servidor.

100
O proxy realiza a conexão com o servidor de internet, convertendo a

requisição para:
GET / segura/firewall/proxy.html
Figura 2.24 - Requisição com Proxy

2.3 NAT – Network Address Translation

O NAT admite que uma rede utilize um conjunto de endereços
internos e um conjunto diferente de endereços, quando negociando
com redes externas. O NAT, por ele mesmo, não provê segurança, mas
ajuda a esconder o layout da rede interna e força que todas as conexões
sejam realizadas via um único ponto de passagem.
Quando uma máquina da rede interna envia um

pacote para fora da rede, o NAT modifica o seu
endereço de origem, de forma que o pacote pareça ter
vindo de um endereço válido para a internet. Quando
uma máquina externa envia um pacote para dentro
da rede, o NAT modifica o endereço de destino, visível
externamente, em um endereço interno.
O sistema NAT pode utilizar esquemas diferentes para realizar o

traslado entre endereço interno e externo. Veja:
Figura 2.25 - Traslados diferentes

Unidade 2 101
O NAT pode fazer uso de diferentes formas para mapear os

endereços internos em endereços externos, e vice-versa. Logo, o
NAT possibilita:
alocar um endereço externo para cada endereço interno

e sempre aplicar a mesma regra. Essa é uma medida
temporária, utilizada por sites que têm o seu espaço de
endereçamento ilegalmente utilizado;
alocar, de forma dinâmica, um endereço externo a cada

vez que uma máquina interna inicia uma conexão, sem
modificar o número das portas. Limita-se o número de
máquinas internas que podem simultaneamente acessar a
internet ao número de endereços externos disponíveis;
criar um mapeamento entre os endereços internos e os

externos;
alocar dinamicamente o par de porta e o endereço externo a

cada conexão iniciada por uma máquina interna.
2.4 IDS
O IDS pode ser definido como sistemas de software/hardware os
quais automatizam o processo de monitoramento de eventos que
ocorrem em sistemas computacionais, analisando-os com base em
assinaturas criadas a partir de problemas de segurança (intrusões).
Uma ferramenta IDS serve, basicamente, para trazer informações

sobre a rede, como: quantas tentativas de ataques foram recebidas
por dia e qual tipo de ataque foi usado.
De acordo com Bace e Mell (2000), alguns aspectos são

considerados na utilização do IDS:
intimidação de usuários que buscam atacar os sistemas

computacionais ou abusar deles. Isto ajuda a mudar o
comportamento do usuário em relação ao uso do sistema,
via detecção e descobertas de tentativas ou ataques
realizados, possibilitando que punições sejam executadas;
102
detecção de ataques e outros tipos de violações de

segurança, as quais não são previstas pelas demais
ferramentas de segurança;
documentação da existência de ameaças à organização;
atuação como controle de qualidade para o projeto

e a administração de segurança, principalmente em
organizações de grande escala e complexas; e
melhorias das informações sobre as intrusões

ocorridas, que servirão como referência para melhorar
os diagnósticos, recuperação e correção das falhas
existentes.
Pode-se afirmar que o uso do IDS possibilita tomar

conhecimento do que realmente se passa na rede, sendo mais um
recurso para tomadas de decisão e atitudes a serem realizadas
durante ou após um incidente de segurança.
De acordo com Ned (1999), uma ferramenta de IDS deve possuir

algumas características:
ser executada de forma contínua, sem interação humana e

ser segura o suficiente, de forma a permitir sua operação
em background;
ser tolerante a falhas, de forma a não ser afetada por uma

queda do sistema, ou seja, sua base de conhecimento não
deve ser perdida quando o sistema for reinicializado;
resistir a tentativas de mudança de sua base, ou seja, deve

monitorar a si própria de forma a garantir sua segurança;
ter o mínimo de impacto no funcionamento do sistema;
poder detectar mudanças no funcionamento normal;
ser de fácil configuração: cada sistema possui padrões

diferentes, e a ferramenta de IDS deve ser adaptada de
forma fácil aos diversos padrões;
Unidade 2 103
cobrir as mudanças do sistema durante o tempo, como no

caso de uma nova aplicação que comece a fazer parte do
sistema; e
ser difícil de ser enganada.
O último item faz referências aos prováveis erros que podem

acontecer no sistema. Estes erros podem ser classificados como:
1. falso positivo – ocorre quando a ferramenta classifica

uma ação como uma possível intrusão, embora, na
verdade, trate-se de uma ação legítima;
2. falso negativo – ocorre quando uma intrusão real

acontece, mas a ferramenta permite que ela passe como
se fosse uma ação legítima;
3. subversão – ocorre quando o intruso modifica a

operação da ferramenta de IDS, para forçar a ocorrência
de falso negativo.
Outro aspecto importante é que algumas ferramentas IDS

realizam suas operações a partir da análise de padrões do
sistema operacional e da rede, tais como: utilização de CPU,
I/O de disco, uso de memória, atividades dos usuários, número
de tentativas de login, número de conexões, volume de dados
trafegando no segmento de rede, entre outros. Esses dados
formam uma base de informação sobre a utilização do sistema
em vários momentos do tempo; outras já possuem bases com
padrões de ataque previamente montados, permitindo também a
configuração dos valores das bases, bem como inclusão de novos
parâmetros.
Com essas informações, a ferramenta de IDS pode

identificar as tentativas de intrusão e, até mesmo,
registrar a técnica utilizada.
Veja, a seguir, um modelo de processo para detecção de intrusão,

descrito com base em três fundamentos.
104
1. Origem das informações – as diferentes origens de

informações de eventos usadas para determinar qualquer
intrusão em determinado local. Essas origens podem
ser extraídas de diferentes níveis do sistema (rede, host e
aplicação).
2. Análise – é a parte dos sistemas de detecção de intrusão

que realmente organiza e dá sentido aos eventos
derivados das origens das informações, decidindo quando
esses eventos indicam que estão ocorrendo intrusões.
3. Resposta – é o conjunto de ações executadas pelo

sistema, quando intrusões são detectadas. Elas são
normalmente agrupadas em medidas ativas (medidas
automatizadas para intervenção no sistema) e passivas
(informações provenientes do IDS para ajudar nas
tomadas de decisão do administrador/gerente de
segurança).
É importante você saber quais estratégias de controle descrevem

como os elementos de um IDS são controlados, e como as
entradas e saídas são gerenciadas. São elas:
centralizada – todo o monitoramento, a detecção e o

reporte das informações são controlados diretamente por
um monitor central;
distribuída parcialmente – o monitoramento e a detecção

são controlados por um nó de controle local, que está
hierarquicamente subordinado a dispositivo central, o
qual reporta as suas informações;
distribuída totalmente – o monitoramento e a detecção

são realizados, fazendo uso da abordagem de agente,
cujas decisões de resposta são realizadas em pontos de
análise.
Há IDS baseado em máquina. A maioria dos sistemas de coleta

baseada em máquina capta dados de forma contínua, de acordo
com o uso do sistema operacional. Porém, segundo Bace e Mell
(2000) e Mafra (2005), coletas periódicas de estados do sistema
também podem prover dados para revelar mudanças inesperadas.
Unidade 2 105
Esses sistemas de coleta, muitas vezes modulares dentro do

IDS, não devem expor os dados coletados e os arquivos de logs
contra ameaças. A escolha de itens a serem auditados e o nível de
detalhes a ser registrado direcionam o processo de detecção de
intrusão.
O sucesso desse sistema está diretamente ligado à

eficiência da equipe que realizará a auditoria (coleta)
dos dados na máquina, isto é, falhas podem ocorrer
caso os dados coletados estejam em desacordo com
os padrões específicos de comportamento.
Outro aspecto importante refere-se à questão do detalhamento,

ou não, da coleta de dados. Quanto mais dados coletados, maior
será o impacto no desempenho do sistema e maior será o espaço
em disco para guardar esses dados. Porém, coletar poucos dados
aumenta o risco de haver manifestações ou ataques, e estes não
serem detectados.
Outra forma para a coleta de dados é IDS baseado na rede, a

qual consiste em observar o tráfego de rede que chega e sai em
sistemas, buscando sinais de intrusão nos dados.
A vantagem desta abordagem é a utilização de

um sensor no monitoramento de várias máquinas,
trabalhando na detecção de ataques a elas.
Segundo Bace e Mell (2000) e Mafra (2005), as principais

desvantagens são: não detecta ataques realizados a partir de um
console (local); a dificuldade de detectar ataques a serviços que
utilizam criptografia no canal de comunicação.
Esse método é o mais utilizado pelos programas de detecção de

intrusão. Veja algumas razões que levam à sua escolha:
é fácil construir uma plataforma dedicada, que combina

sensores de rede com redução de dados e análise;
é necessária apenas uma interface de rede operando

no modo promíscuo, para visualizar todo o tráfego na
rede. Um aspecto a ser considerado é o detalhamento do
tráfego para a sua análise, a qual estará condicionada à
velocidade da rede.
106
A detecção de intrusão baseada em anomalias assume que

as intrusões serão acompanhadas de manifestações que não
são usuais e assim permitem a sua detecção. Deve-se levar em
consideração as habilidades que um intruso poderá ter para
entender o sistema e evitar a sua detecção. Segundo Bace e Mell
(2000) e Mafra (2005), as medidas e técnicas usadas em detecção
por anomalia incluem:
detecção de threshold – certos atributos dos usuários e do

comportamento do sistema são expressos em termos de
valores, com um nível permissível preestabelecido;
medidas estáticas – a distribuição de parâmetros com

base em um perfil estabelecido como padrão, ou então,
os atributos com base no aprendizado obtido por
determinado período de tempo;
medidas baseadas em regras – as medidas são

estabelecidas com base em regras existentes na política de
segurança.
Há também a detecção por padrões de má utilização do

sistema. O IDS, baseado em assinaturas, detecta intrusões via
uma descrição precisa (assinatura), do tipo de ataque. Isso pode
ser tão simples quanto um padrão específico referente a tipos de
pacotes, ou tão complexo quanto o estado de uma máquina ou
a descrição de uma rede neural, que mapeia múltiplos sensores
para representações abstratas. Esses sistemas podem acusar falsos
alarmes, quando as assinaturas são amplas, ou seja, pertencem às
intrusões e atividades normais.
Segundo Bace e Mell (2000) e Mafra (2005), assinaturas podem

ser desenvolvidas de diferentes formas, como:
tradução das manifestações de ataques;
aprendizado automático; e
aprendizado via utilização de informações de sensores.
Unidade 2 107
Quando uma assinatura é associada a uma abstração conhecida

de ataque, torna-se relativamente fácil para um IDS baseado
em assinaturas associar nomes aos ataques (ex.: Ping da morte).
Porém, normalmente, novos ataques são criados, e passa-se a
ter necessidade de manter-se atualizado quanto a esses novos
ataques.
A figura 2.26, a seguir, ilustra um modelo de IDS (MAFRA,

2005):
Alerta
Figura 2.26 - Modelo de IDS

Fonte: Mafra, 2005.
O IDWG (Intrusion Detection Working Group) mostra a

disposição dos componentes de um IDS, tais como:
origem de dados – componente em que ocorrem as

atividades de sistema;
sensores – componente responsável pela geração de

eventos para auditoria;
analisador de evento – componente responsável pela

detecção de intrusão. Ele recebe os dados dos sensores e
faz uma análise em busca de anomalias ou padrões que
caracterizem um possível ataque;
gerente – componente responsável pela configuração do

sistema e por notificar os operadores;
108
operador – componente responsável por analisar os

alertas; ele pode dar uma resposta, ou não;
administrador – componente responsável por definir as

políticas de segurança.
Nesse modelo, observa-se que o sensor, o analisador e o

gerente devem estar presentes em todos os sistemas IDS, pois
correspondem à coleta, análise dos dados e tomada de decisão (a
resposta do gerente pode ser passiva ou ativa), funções básicas de
qualquer IDS.
Síntese
Nesta unidade, foram apresentados alguns dos mecanismos
e dispositivos de segurança mais utilizados em um sistema
computacional. Você pôde observar que o IP Security Protocol
(IPSec) é um conjunto de protocolos de propósito geral, com
o objetivo de proteger as comunicações TCP/IP; e, ainda,
que se baseia em três pilares básicos: privacidade, integridade
e autenticidade. Viu que o IPSec possui dois modos de
funcionamento: o modo de transporte, em que somente parte
de dados é criptografada; e o modo de túnel, cuja autenticação e
criptografia são executadas em todo o pacote.
Você também estudou que uma VPN é definida como uma

emulação de uma rede privativa de longa distância (WAN), que
utiliza estruturas de redes IP já existentes. O SSL (Secure Socket
Layer) é um protocolo de comunicação que implementa um túnel
seguro para comunicação de aplicações na internet. Permite
também a autenticação de servidores, a criptografia de dados,
a integridade de mensagens e, como opção, a autenticação do
cliente.
No que diz respeito aos firewalls, você pôde observar que esses
foram criados devido às diversas necessidades de se garantir a
segurança do ambiente computacional.
Também pôde estudar que os serviços de proxy são programas

de aplicações especiais, que recebem de clientes requisições
de serviços de internet (HTTP, FTP etc.), analisando-as e
redirecionando-as.
Unidade 2 109
Quanto ao NAT, você acompanhou que este admite uma rede

utilizar um conjunto de endereços internos e um conjunto
diferente de endereços quando negociando com redes externas.
Por fim, você viu que o IDS é definido como sistemas

de software/hardware, os quais automatizam o processo
de monitoramento de eventos que ocorrem em sistemas
computacionais, analisando-os com base em assinaturas, criadas
a partir de problemas de segurança (intrusões).
1) Quais os benefícios de se utilizar uma infraestrutura de chaves públicas
em uma empresa? Indique ao menos três.
2) Quais os modos de funcionamento do IPSec? Explique-os.
110
Saiba mais
Se você desejar, aprofunde os conteúdos estudados nesta unidade
a partir da consulta às seguintes referências:
SMITH, Richard E. Internet Cryptography. Boston: Addison

Wesley, 1997.
PEREIRA, Anderson Jardim; FERNANDES, Leonardo

Santos; BRAZ, Rodrigo Pereira. Análise de transações segurar
baseadas em SET & SSL. 2000.
Unidade 2 111
3
unidade 3
Sistemas de Gerência de
Segurança da Informação (SGSI)
Estudar uma solução de segurança.
Compreender o que é Sistema de Gerência de Segurança

da Informação.
Conhecer o modelo PDCA.
Seções de estudo
Seção 1 Aspectos básicos de um Sistema de Gerência de
Seção 2 Elementos complementares do SGSI

Solução de segurança consiste em um conjunto de ações

pré-planejadas com o objetivo de atender aos critérios de
confidencialidade, integridade, disponibilidade, autenticidade
e não repúdio, estabelecidos pela organização solicitante. Nesta
unidade, você estudará as ações que compõem uma solução global.
Você verá em seus estudos que essas ações podem ser divididas
em 3 grandes grupos: proteção técnica, que consiste na
utilização de mecanismos como firewall, antivírus, IDS,
entre outros; proteção humana e organizacional, que consiste
no estabelecimento de políticas, realização de treinamentos,
conscientização de equipes e outros; e proteção física, que
consiste no estabelecimento de perímetros de segurança físicos,
proteção de equipamentos e cabeamento, aspectos quanto à
climatização, entre outros.
Nesse sentido, você estudará a ISO 27001 [ISO/IEC 27001,

2005], ou seja, a norma que padroniza uma sequência de
atividades, com o objetivo de estabelecer um Sistema de Gerência
de Segurança da Informação (SGSI).
Bom estudo!
Seção 1 – Aspectos básicos de um Sistema de Gerência

de Segurança da Informação
A informação, os seus processos de suporte, os sistemas e as redes
são importantes recursos do negócio. De acordo com a RFC
2196, a confidencialidade, a integridade e a disponibilidade da
informação podem ser essenciais para a linha do negócio, da
competitividade, do fluxo de capital, da utilidade, da conformidade
legal e da imagem comercial. Essas questões são relevantes em
vista da dependência cada vez maior das organizações em relação
aos sistemas de informações e serviços, tornando o negócio da
organização mais vulnerável às ameaças de segurança.
114
A solução de segurança implantada em qualquer organização visa a

dar uma maior qualidade aos seus processos de negócio, provendo,
assim, um melhor retorno de investimento (Figura 3.1).
Figura 3.1 - Investimento em segurança

Os processos de negócio de uma organização são suportados por

serviços de TI, os quais são executados por um ou mais ativos
(Figura 3.2).
Figura 3.2 - Processos

Suponha uma empresa de vendas de seguro via internet,

em que um dos seus processos de negócio seja o cadastro
de clientes. O quadro 3.1 apresenta alguns dos serviços de
TI, relacionados ao processo de cadastro de cliente, e os
respectivos ativos necessários à sua execução.
Processo Serviços de TI Ativo

Serviço de Link de comunicação
comunicação Roteador de borda
Firewall (Bastion Host)
Cadastro de SGBD (Sistema de
clientes Serviço de banco de Gerenciamento de Banco
dados de Dados)
Servidor de Banco de
dados
Quadro 3.1- Empresa de vendas exemplo

Unidade 3 115
Para que o cadastro de cliente possa ser realizado, os serviços

de comunicação de dados e banco de dados têm de estar
disponíveis. Logo, os ativos relacionados a esses serviços devem
ser protegidos, isto é, deve haver controles que minimizem as suas
vulnerabilidades, melhorando a segurança da organização.
Levando em consideração que a interconexão de redes públicas

e privadas e o compartilhamento dos recursos de informação
aumentam a dificuldade de se ter um controle de acesso realmente
eficiente, a necessidade de se desenvolverem soluções de segurança
mais eficazes passa a ser crítica para o sucesso do negócio.
Isso se deve ao fato de que muitos sistemas de informação não

foram projetados para implementar segurança. A solução de
segurança a ser implantada deve valer-se de meios técnicos e
estratégias que sejam suportadas por procedimentos e viabilizem
um gerenciamento apropriado.
A figura 3.3 apresenta as 4 etapas de uma solução de segurança,

inclusive as respectivas verificações que são executadas durante o
processo de gestão de segurança.
Figura 3.3 - Solução de segurança

116
As etapas do processo de segurança são:
Etapa 1:
a) Definir os processos, serviços e ativos da organização

a serem tratados; os requisitos de segurança do sistema
computacional; os critérios básicos de risco; e os
componentes da empresa que participarão do processo de
gestão de segurança;
b) Realizar uma análise e avaliação dos riscos com base no

escopo definido e nos critérios básicos de risco;
c) Definir junto à empresa quais riscos serão tratados e

quais serão assumidos (aceitos).
Etapa 2:
a) Selecionar controles necessários a minimizar os riscos a

serem tratados até o nível aceitável;
b) Estabelecer políticas de segurança em concordância com

os controles selecionados;
c) Documentar a política de segurança e discutir um plano

de sua divulgação.
Etapa 3:
a) Buscar soluções técnicas para implementar os controles

selecionados;
b) Acompanhar toda a fase de implementação;
c) Estabelecer um plano de treinamento para os

administradores e usuários do sistema.
Etapa 4:
a) Realizar auditoria da solução desenvolvida, coletando os

dados para análise, com o objetivo de validar a solução
implantada;
Unidade 3 117
b) Manter um acompanhamento contínuo com o objetivo

de verificar incidentes ocasionados por brechas de
segurança ainda existentes;
c) Propor mudanças nos controles e nas políticas, com o

objetivo de minimizar as possíveis brechas de segurança
(tratamento).
Não basta somente implantar a solução de segurança, ela deve ser

monitorada e controlada de forma dinâmica e eficaz. A gerência
de segurança engloba alguns componentes, conforme apresentado
na figura 3.4:
Figura 3.4 - Gerência de segurança

Padronizar a metodologia de implantar e gerenciar uma solução

de segurança foi um grande desafio, vencido pela experiência e
determinação de pesquisadores e componentes da comunidade
de segurança no decorrer dos anos. A norma ISO 27001 (ISO/
IEC 27001, 2005) apresenta um padrão internacional que provê
um modelo para todos os tipos de organizações, e que estabelece,
implementa, opera, monitora, revisa e melhora o SGSI. A
Sistema de Gerenciamento de Segurança implementação de um sistema de gerenciamento de segurança da
da Informação. informação (SGSI) torna-se essencial para o sucesso do negócio
de uma organização, pois dá à organização um monitoramento e
controle dinâmico de todos os controles de segurança aplicados
na Organização.
118
O SGSI consiste em uma parte do sistema global de

gerenciamento, baseado no risco do negócio, para
estabelecer, implementar, operar, monitorar, revisar e
melhorar a segurança da informação. O sistema inclui
a estrutura organizacional, política, atividades de
planejamento, procedimentos, processos e recursos.
É projetado para garantir a escolha dos controles
adequados para proteger os recursos de informação e
dar confiança às partes interessadas.
A norma ISO 27001 adota um processo de gerência de segurança

da informação com ênfase nos seguintes aspectos:
entendimento das necessidades de segurança da

informação e as necessidades para estabelecer a política e
os objetivos da segurança;
implementação e operação de controles para gerenciar

os riscos de segurança inerentes aos negócios da
organização;
monitoramento e revisão do desempenho e da capacidade

do SGSI;
melhoramento continuado, com base nos objetivos da

organização.
A norma adotou o modelo de processos PDCA (Plan, Do, Check and

Action/ Planejar, Executar, Verificar e Agir), aplicado diretamente à
estrutura de todos os processos do SGSI, com o objetivo de obter,
desse sistema, sempre a melhor qualidade.
O modelo PDCA representa as quatro fases do SGSI. São elas:
1. planejamento;
2. execução;
3. verificação;
4. ações necessárias à manutenção e monitoramento.
Unidade 3 119
O resultado do processo PDCA é a gerência da segurança

da informação sendo realizada de forma eficaz.
A figura 3.5, a seguir, ilustra como funciona o modelo PDCA.

Acompanhe:
Figura 3.5 - Modelo PDCA

Fonte: ISO 27001.
Veja, na sequência, uma breve explicação das ações que compõem

o Modelo PDCA.
Plan (Planejar)
Nesta fase do modelo, são estabelecidos a política, objetivos,

processos e procedimentos relevantes ao gerenciamento de risco.
Esse planejamento, além de melhorar a segurança da informação,
promove resultados em concordância com os objetivos e as
políticas globais da organização.
Para elaborar um bom planejamento, você deve seguir etapas.

Acompanhe o detalhamento.
1. Definir o escopo e os limites do SGSI, conforme as

regras de negócio da organização, a localização de seus
recursos e a tecnologia utilizada.
2. Definir a política do SGSI, que deve:
120
a) incluir a infraestrutura para estabelecer os objetivos,

o senso de direção e os princípios para ação, com
respeito à segurança da informação;
c) levar em conta as regras de negócio, os aspectos legais

e regimentais;
d) estar em concordância com a estratégia de

gerenciamento de risco; e
e) ter sido aprovada pelo gerente.
3. Definir a abordagem do tratamento de risco da

organização. Para isso, é preciso:
a) identificar a metodologia de tratamento de risco que

esteja adequada ao SGSI, as informações de segurança
localizadas e as necessidades legais e regimentais;
b) desenvolver um critério para aceitação de risco e

identificar os níveis de aceitação do risco.
4. Identificar os riscos, o que significa:
a) identificar os recursos dentro do escopo do SGSI, e os

seus respectivos donos;
b) identificar as ameaças para esses recursos;
c) identificar as vulnerabilidades que podem ser exploradas

pelas ameaças;
d) identificar os impactos quanto à perda de

confidencialidade, integridade e disponibilidade dos
recursos.
5. Analisar e avaliar o risco. Para tanto, sugere-se:
a) avaliar o impacto sobre a organização, o qual pode

resultar de uma falha de segurança, considerando
as consequências da perda de confidencialiadade,
integridade ou disponibilidade dos recursos;
b) avaliar a real possibilidade de ocorrer uma falha de

segurança;
Unidade 3 121
c) estimar os níveis do risco;
d) determinar se o risco é aceitável ou necessita de

tratamento com base no critério estabelecido.
6. Identicar e avaliar as opções para o tratamento de risco, e

algumas ações aí possíveis:
a) aplicar os controles apropriados;
b) conhecer de forma objetiva os riscos aceitáveis;
c) evitar os riscos; e
d) transferir riscos para outros parceiros.
7. Escolher os controles e seus obejtivos para o tratamento

de risco. Esta escolha tem de ir ao encontro das
necessidades identificadas pela análise de risco e o
processo de tratamento de risco.
8. Obter uma melhora de gerenciamento do risco residual.
9. Obter uma autorização de gerenciamento para

implementar e operar o SGSI.
Do (Executar)
Nesta fase, implementam-se e operam a política, os controles,

os processos e procedimentos do SGSI. Veja a seguir as
recomendações pertinentes.
1. Formular um plano de tratamento de risco que identifique

a ação de gerenciamento, os recursos, as responsabilidades
e as prioridades para o gerenciamento de risco.
2. Implementar o plano de tratamento de risco.
3. Implementar os controles escolhidos.
122
4. Definir como medir a eficiência dos controles escolhidos

ou dos grupos de controle e especificar como essas
medidas serão usadas.
5. Implementar programas de treinamento.
6. Gerenciar as operações do SGSI.
7. Gerenciar os recursos para o SGSI.
8. Implementar os procedimentos e outros controles capazes

de detectar incidentes de segurança e dar as necessárias
respostas a eles.
Check (Verificação)
Nesta etapa, avaliam-se o desempenho dos processos, política,

objetivos e a experiência prática. É preciso reportar os resultados
do gerenciamento para a revisão. Para isso, também é necessário
cumprir alguns passos. Acompanhe o detalhamento.
1. Executar o monitoramento e revisão dos procedimentos e

outros controles para:
a) detectar erros nos resultados do processamento;
b) identificar falhas e incidentes de segurança;
c) habilitar controles de gerenciamento para determinar

se as atividades de segurança delegadas a pessoas ou
implementadas estão sendo executadas conforme se
espera;
d) ajudar a detectar eventos de segurança;
e) determinar se as ações executadas foram eficientes

quanto à prevenção de incidentes de segurança.
2. Encarregar-se de efetuar revisões periódicas da eficiência

do SGSI, com base nos relatórios provenientes de
auditorias realizadas no sistema.
Unidade 3 123
3. Medir a eficiência dos controles com a finalidade de

verificar quais necessidades foram atendidas.
4. Rever a análise de risco periodicamente, bem como

o risco residual devido às diversas alterações que o
ambiente computacional pode ter sofrido.
5. Atualizar os planos de segurança, se necessário.
6. Registrar os eventos que realmente causaram impacto no

SGSI.
1 Act (Manutenção e Monitoramento)

A ISO 9001:2000 estabelece
requisitos para o Sistema de
Gestão da Qualidade (SGQ) Nesta fase, são realizadas ações preventivas e corretivas, com
de uma organização, não base nos resultados da auditoria do SGSI. Aqui é preciso rever o
significando, necessariamente, gerenciamento ou outra informação relevante para manter uma
conformidade de produto às
suas respectivas especificações.
melhora contínua do SGSI. Para que isso ocorra, sugere-se seguir
O objetivo da ISO 9001 é prover os passos de 1 a 4. Confira.
confiança de que a organização
poderá fornecer, de forma 1. Implementar as melhorias identificadas no SGSI.
consistente e repetitiva, recursos
e serviços de acordo com o que 2. Executar as ações corretivas e preventivas necessárias.
foi especificado.
3. Comunicar as ações (corretivas e preventivas) e melhorias
2
A ISO 14001:2004 especifica
a todas as partes interessadas.
os elementos de um Sistema
de Gestão Ambiental (SGA) 4. Garantir que as melhorias executadas estejam de
e oferece ajuda prática para acordo com os objetivos da organização.
sua implementação ou
aprimoramento. Ela também A norma ISO 27001 é mais um componente do sistema
fornece auxílio às organizações
de gerência de uma empresa. De regra, essa norma está em
no processo de efetivamente
iniciar, aprimorar e sustentar o
concordância com a ISO 9001:2000 1 e a ISO 14001:2004 2 , de
Sistema de Gestão Ambiental. modo que todas suportem a implementação e operação integrada
Tais sistemas são essenciais para de todos os controles necessários à gerência de uma empresa.
a habilidade de uma organização
em antecipar e atender às
crescentes expectativas de
desempenho ambiental e para
assegurar, de forma corrente,
a conformidade com os
requerimentos nacionais e/ou
internacionais.
124
Seção 2 – Elementos complementares do SGSI

Esta seção apresenta os elementos complementares ao SGSI,
citados na ISO 27001, necessários à sua continuidade.
Documento do SGSI
O SGSI é documentado. Isso inclui registros de decisão de

gerenciamento, as ações especificadas, políticas e os resultados
obtidos.
De acordo com a ISO 27001(2005), a documentação do SGSI

deverá incluir:
declarações documentadas da política do SGSI e

objetivos;
o escopo do SGSI;
os controles e procedimentos que dão suporte ao SGSI;
a descrição da metodologia da análise de risco;
o relatório da análise de risco;
o plano de tratamento de risco.
Lembre que os documentos sobre o SGSI

normalmente devem ser protegidos e controlados.
Para isso, algumas ações que garantam a proteção e o controle

dos documentos podem ser seguidas, tais como:
rever e atualizar os documentos, quando necessário, e

reavaliá-los;
garantir que as mudanças e o estado da revisão atual dos

documentos sejam identificados;
Unidade 3 125
garantir que as versões correntes estejam disponíveis a

quem realmente deva ter acesso a elas;
garantir que os documentos permaneçam legíveis;
garantir que a distribuição dos documentos seja

controlada;
garantir que os documentos externos tenham a sua

origem identificada;
prevenir a não utilização de documentos obsoletos.
Responsabilidade do gerenciamento
A responsabilidade do gerenciamento é baseada em dois aspectos.

Conheça-os.
1. Comprometimento de gerenciamento – neste item,

a organização fornece evidências de que existe um
comprometimento para estabelecer, implementar, operar,
monitorar, rever, manter e melhorar o SGSI.
Essas evidências são providas, por exemplo, pelo

estabelecimento de uma política para o SGSI, a qual
garante que os seus objetivos e planos de gerência
sejam estabelecidos.
A norma ISO 27001 cita mais alguns itens que corroboram o

comprometimento da organização com o gerenciamento do SGSI.
2. Gerenciamento de recursos – neste item, a organização

procura determinar e prover os recursos necessários.
Este gerenciamento, por exemplo, pode dar-se no

estabelecimento, na implementação, na operação,
no monitoramento, na revisão, na manutenção e na
melhoria do SGSI.
126
Além disso, a organização também deve garantir que as pessoas

responsáveis em manipular o SGSI estejam cientes e qualificadas
para executar tais funcionalidades. Nesse sentido, ela deve
distribuir as responsabilidades, dar ciência das responsabilidades
e prover treinamento adequado para tal.
Auditando o SGSI
Antes de se falar de auditoria do SGSI, necessita-se conceituar

auditoria.
Segundo Mello (2005), a auditoria pode ser definida

como uma atividade que engloba o exame das
operações, processos, sistemas e responsabilidades
gerenciais de uma determinada entidade, com o
intuito de verificar a sua conformidade com certos
objetivos e políticas institucionais, orçamentos, regras,
normas ou padrões.
De acordo com Dias (2000), uma forma de se vivenciar uma

auditoria é estabelecer e executar procedimentos para a coleta de
dados gerados pela atividade de um sistema computacional (uma
rede, sistema de informação ou qualquer dispositivo de hardware
ou software). Esses dados podem ser utilizados na análise de
segurança do sistema computacional em questão, visando a
detectar as falhas ocorridas para que possam ser corrigidas e
responder aos incidentes de segurança ocorridos.
A auditoria é dividida em três fases:
1. planejamento – identifica os instrumentos

indispensáveis à sua realização;
2. execução – reúne as evidências teoricamente confiáveis,

relevantes e úteis para a realização dos objetivos da
auditoria;
3. relatório – são apresentados os resultados, análises e

conclusões por escrito.
Unidade 3 127
A organização deverá realizar auditorias internas no SGSI, em

Auditorias internas são realizadas intervalos periódicos, planejados previamente, para determinar
por um setor interno da empresa. se os objetivos do controle, controles, processos e procedimentos
Este serviço deve ser independente do SGSI estão sendo executados, conforme os objetivos
e somente dirigir-se à direção da
determinados pela organização.
empresa.
O programa da auditoria deverá ser planejado,

levando-se em consideração o estado e a importância
dos processos e áreas a serem auditadas, bem como
os resultados das auditorias realizadas anteriormente.
Dessa forma, Dias (2000) afirma que, numa auditoria, alguns

aspectos devem ser considerados. Veja na sequência.
1. Pesquisa das fontes de informação – neste momento,

é preciso adquirir a maior quantidade de informações
sobre a Instituição a ser auditada. Também é necessário
conhecer o ambiente computacional da Instituição, o
que possibilita estabelecer os aspectos iniciais do plano
de auditoria. Esse conhecimento inicial proporciona
à equipe de auditoria uma visão básica do grau de
complexidade de todo o ambiente computacional
(hardware e software) que irá encontrar, possibilitando
que se prepare tecnicamente (estudando o ambiente),
para assim providenciar os dispositivos necessários à
realização da tarefa (ex.: ferramentas de software).
2. O que e onde coletar – os principais dados a serem

coletados são o tipo do hardware, sistemas operacionais,
Sistema Gerenciador de Banco de Dados (SGBD),
recursos de segurança, componentes das áreas a serem
auditadas. Algumas dessas informações podem ser
obtidas via entrevistas, com os componentes das áreas,
mas faz sentido ler relatórios anteriores de auditoria,
documentos que abordem os aspectos operacionais dos
dispositivos de software e hardware, documentos sobre a
segurança da empresa (política de segurança) etc.
128
3. Campo, âmbito e subáreas
a) Campo – o campo é composto pelo:
objeto – pode ser um sistema de informação, uma

área do setor (ex.: banco de dados, redes etc.), a
segurança da informação etc.;
período – varia conforme a abrangência e a

profundidade das tarefas a serem executadas na
auditoria;
natureza – trata-se da tecnologia da informação.
b) Âmbito – avaliação da eficácia dos controles, sejam

eles preventivos, de detecção ou correção.
c) Subáreas – essas estão em concordância com o objeto a

ser auditado:
Segurança da informação – pode-se ter as

subáreas de controle de acesso lógico, controles de
desenvolvimento de sistemas por terceiros, segurança
de pessoal etc.
4. Recursos necessários
a) Recursos humanos – A escolha da equipe está diretamente

relacionada ao grau de complexidade do escopo da auditoria,
dos componentes existentes no ambiente computacional,
ferramentas a serem utilizadas e disponibilidade da equipe.
Ex.: sistemas operacionais, hardware etc.
b) Recursos econômicos – realizar uma previsão de gastos.

Ex.: viagens, pessoal terceirizado.
c) Recursos técnicos – quais dispositivos de hardware (ex.:

notebooks), software (ex.: ferramentas para coleta de
dados) e documentos técnicos serão utilizados.
Unidade 3 129
5. Metodologias
a) Entrevistas
Apresentação – realizada no início dos trabalhos,

para a apresentação da equipe, cronograma de
atividades, áreas a serem auditadas, período da
auditoria e as metodologias utilizadas.
Coleta de dados – são obtidos dados sobre os

sistemas, ambiente computacional, entre outros,
junto aos gerentes de área e/ou funcionários.
Durante essa entrevista, são identificados pontos
falhos e fortes, bem como irregularidades.
Discussão – são apresentadas as deficiências

encontradas e discutidas com os seus respectivos
responsáveis.
Encerramento – é apresentado um resumo dos

resultados da auditoria (pontos positivos e negativos),
comentários de cada componente (caso isso seja
solicitado).
b) Técnicas ou ferramentas de apoio
Análise de dados – os dados podem ser coletados

e analisados com auxílio de softwares, por
amostragem, arquivos logs etc.
Verificação de controles de sistemas – testa se os

controles dos sistemas são realmente confiáveis e se
operam de acordo com o esperado.
130
Síntese
Nesta unidade, você viu o que é um Sistema de Gerência

de Segurança da Informação (SGSI) e os seus principais
componentes. Você também estudou que a aplicação do SGSI é
estratégica para o negócio de uma empresa ou organização. Você
viu que a sua ação contínua procura a melhoria da segurança
da informação. Por fim, você estudou que a implantação de um
SGSI não é uma tarefa fácil: necessita de uma equipe qualificada e
dedicada a essa tarefa.
Ao final de cada unidade, você realizará atividades de autoavaliação. O

gabarito está disponível no final do livro didático. Mas esforce-se para
resolver as atividades sem ajuda do gabarito, pois, assim, você estará
promovendo (estimulando) a sua aprendizagem.
1) Qual a importância do Sistema de Gerência de Segurança da
Informação para uma Organização Corporativa?
Unidade 3 131
2) Explique de forma geral as 4 fases do modelo PDCA.
3) A auditoria de um SGSI é dividida em 3 etapas: planejamento, execução

e relatório. Explique de forma sucinta estas fases.
Saiba mais
Se você desejar, aprofunde os conteúdos estudados nesta unidade,
por meio da consulta à seguinte referência:
SÊMOLA. Marcos. Gestão da segurança da informação –

uma visão executiva. Módulo Security. Rio de Janeiro: Editora
Campus, 2003.
132
4
unidade 4
Gestão de risco
Conceituar o que é gerenciamento de risco.
Realizar análises de risco.
Analisar e tratar o risco.
Realizar a verificação e manutenção constante do

tratamento do risco.
Seções de estudo
Seção 1 Fundamentos de gestão de riscos
Seção 2 Processo de gestão de risco
Seção 3 Uma aplicação de análise/avaliação de risco

Armazenar ou disponibilizar informações é um fator de sucesso

para uma empresa. A integração do mundo, via rede, viabiliza
que as informações estejam à disposição, de forma rápida e
segura, possibilitando que negócios sejam executados com mais
agilidade. Todavia, em todo negócio, a empresa corre riscos.
Esses devem, obrigatoriamente, ser conhecidos e quantificados.
Esse conhecimento possibilita que os riscos possam ser tratados e
gerenciados conforme as necessidades da empresa.
Nesse sentido, esta unidade aborda os conceitos básicos necessários

à gerência de riscos, apresentando todas as fases desse processo.
Seção 1 – Fundamentos de gestão de riscos

A probabilidade pode estar
relacionada à frequência Esta seção visa a apresentar alguns conceitos relacionados à gestão de
com que o evento ocorre, ou riscos, e como o processo de gestão de riscos é executado. O conceito
com o critério estabelecido
quanto à ocorrência do evento.
fundamental a ser conhecido é o de risco, que, segundo a ISO Guide
73 (ISO 73, 2002), trata-se da combinação da probabilidade e
das suas consequências ou impacto. Contudo, há outros conceitos
O impacto é o total de danos apresentados na norma ISO 27005, que serão úteis no aprendizado
ocasionados por uma ameaça. dessa unidade:
1. riscos de segurança da informação - a possibilidade de

uma determinada ameaça explorar vulnerabilidades de
um ativo ou de um conjunto de ativos, desta maneira
prejudicando a organização. Ele é medido em função
da combinação da probabilidade de um evento e de sua
consequência;
2. ação de evitar o risco - decisão de não se envolver ou agir

de forma a se retirar de uma situação de risco;
3. comunicação do risco - troca ou compartilhamento de

informação sobre o risco entre o tomador de decisão e
outras partes interessadas;
134
4. estimativa de riscos - processo utilizado para atribuir

valores à probabilidade e consequências de um risco;
5. identificação de riscos - processo para localizar, listar e

caracterizar elementos do risco;
6. redução do risco - ações tomadas para reduzir a

probabilidade, as consequências negativas, ou ambas,
associadas a um risco;
7. retenção do risco - aceitação do ônus da perda ou do

benefício do ganho associado a um determinado risco.
No contexto dos riscos de segurança da informação,
somente consequências negativas (perdas) são
consideradas para a retenção do risco;
8. transferência do risco - compartilhamento com uma

outra entidade, do ônus da perda ou do benefício do ganho
associado a um risco. No contexto dos riscos de segurança
da informação, somente consequências negativas (perdas)
são consideradas para a transferência do risco.
O conceito de riscos é usado, normalmente, quando existe a

possibilidade de consequências negativas.
Para que um risco seja avaliado, são estabelecidos critérios

como a relação custo/benefício, aspectos legais, políticos,
socioeconômicos, entre outros. Esses critérios servem como
parâmetros para análise e também para o gerenciamento.
O gerenciamento de risco consiste em atividades coordenadas

para direcionar e controlar a organização em relação a isso,
englobando a avaliação, tratamento, aceitação e comunicação do
risco. Esse gerenciamento é parte do sistema de gerenciamento
global da organização, incluindo o planejamento de estratégias,
tomada de decisão e processos para a negociação do risco (ISO
73, 2002).
O processo de gestão de riscos envolve um conjunto de pessoas,

em que cada uma participa do processo de alguma forma, direta
ou indiretamente. O stakeholder é qualquer indivíduo, grupo ou
Unidade 4 135
organização que pode afetar, ser afetado, ou perceber ele mesmo

que pode ser afetado pelo risco. De acordo com a ISO 73 (2002),
o stakeholder também cria e toma decisões quanto ao risco.
A percepção do risco é a forma em que o stakeholder visualiza

o risco, baseado no seu conjunto de valores ou interesses. Essa
percepção depende do stakeholder, isto é, as suas necessidades,
problemas e conhecimentos. A comunicação do risco é a troca ou
compartilhamento das informações sobre o risco entre o stakeholder e
aquele que cria e toma decisões. A informação pode estar relacionada
à existência, à natureza, à forma, probabilidade, aceitação, entre
outras questões relacionadas ao risco (ISO 73 2002).
A estimativa do risco é todo o processo de sua análise e avaliação.

Esse processo é usado para atribuir valores à probabilidade e às
consequências do risco. A estimativa do risco deve considerar
aspectos como custo, benefícios, interesses do stakeholder, entre
outros aspectos (ISO 73, 2002).
A análise do risco é o uso sistemático da informação para

identificar as suas origens e estimá-lo. Essa análise provê uma
base para a avaliação do risco e a sua aceitação.
A identificação do risco é o processo de achar, listar e caracterizar

os seus elementos, os quais podem incluir a origem, o evento, a
consequência e a sua probabilidade. Vale a pena ressaltar que a
identificação do risco pode refletir os interesses do stakeholder.
A avaliação do risco é o processo de comparação do risco estimado

em relação ao critério de risco, para determinar a sua significância.
Essa avaliação pode ser utilizada para ajudar na decisão de aceitar
ou tratar o risco.
O tratamento de risco é o processo de seleção e implementação

de medidas para modificá-lo. As medidas do tratamento incluem
evitar, otimizar, transferir ou reter o risco. O risco residual é o
remanescente, após o tratamento dele. A otimização do risco
consiste no processo de minimizar as consequências negativas
e maximizar as consequências positivas e as suas respectivas
probabilidades.
A otimização depende do critério de risco, incluindo aspectos

de custo e legais. A redução consiste nas ações que minimizam a
probabilidade e/ou o impacto do risco. Existe uma posição mais
136
radical, a de evitar o risco. Essa ação consiste na decisão de não

se envolver ou agir para evitar a situação de risco, baseada na
avaliação do risco (ISO 73, 2002; FERMA, 2002).
A transferência do risco consiste no compartilhamento, com

outra parte, da carga, da perda ou benefício do ganho para um
risco. A transferência pode envolver aspectos legais que limitam
ou proíbem a transferência de um determinado risco.
Vale a pena ressaltar que a transferência de risco pode

criar novos riscos ou modificar o já existente.
O conceito de reter o risco consiste em aceitar a carga da perda,

ou benefício do ganho de um determinado risco. Esse conceito
não inclui o tratamento, ele envolve somente a segurança ou
a transferência do risco. Contudo, aceitar o risco consiste em
conviver com ele, o que, às vezes, deve ser visto com cuidado.
Seção 2 – Processo de gestão de risco

A gestão de risco é um processo no qual as organizações analisam
os riscos inerentes às suas atividades, com o objetivo de atingir um
equilíbrio apropriado entre o reconhecimento de oportunidades
e ganhos e a redução de perdas, sendo um elemento central na
gestão da estratégia de qualquer organização. Uma boa gestão de
riscos consiste na identificação e tratamento deles, acrescentando
uma maior sustentabilidade de todas as atividades executadas pela
organização. (FERMA, 2002; FRANCESCO, 2004; e ISO/IEC
27005 2008).
A gestão de riscos deve ser um processo contínuo e em

constante desenvolvimento, aplicado à estratégia da organização
e à implementação dessa mesma estratégia. Deve analisar,
metodicamente, todos os riscos inerentes às atividades passadas,
presentes e, em especial, futuras de uma organização. Deve ser
integrada na cultura da organização com uma política eficaz,
Unidade 4 137
traduzindo a estratégia em objetivos táticos e operacionais, com

a atribuição de responsabilidades na gestão dos riscos por toda
a organização, como parte integrante da respectiva descrição
de funções. Dessa forma, o gerenciamento de risco possibilita
que a organização mantenha a sua missão sempre viva. Isto é,
provê uma melhor segurança aos componentes do seu sistema
Referimo-nos a dispositivos de computacional, pois possui uma noção exata dos riscos que
armazenamento, processamento ou eventualmente ainda existam em seu negócio. (FERMA, 2002 e
transmissão de dados. STONEBURNER, 2002).
Pode-se então, de acordo com Ferma (2002), afirmar que a gestão

de riscos protege a organização e lhe acrescenta valor, pois:
viabiliza uma estrutura na organização, permitindo que

as atividades a serem desenvolvidas sejam executadas
adequadamente e controladas;
possibilita uma melhoria na tomada de decisões, no

planejamento e na definição de prioridades, obtida por
meio da interpretação do negócio da organização, dos
resultados alcançados via auditorias e das oportunidades/
ameaças que o projeto possa vir a sofrer;
contribui para uma utilização e distribuição mais

eficiente do capital e dos recursos dentro da organização;
protege e melhora os dispositivos do sistema

computacional da organização;
possibilita o desenvolvimento e apoio à base de

conhecimentos das pessoas e da organização.
A norma ISO 27005 contém a descrição do processo de gestão de

riscos de segurança da informação e das suas atividades. A norma
define gestão de riscos como um processo interativo, composto
por medidas que, quando realizadas em sequência, permitem a
melhoria contínua nos processos de decisão e facilitam a melhoria
Lembre-se de que por SGSI
contínua do desempenho. Por conseguinte, o processo executa
entende-se Sistema de Gestão de um conjunto de tarefas que tem como objetivo identificar as
Informação. necessidades de segurança de uma organização, proporcionando
suporte à criação de um SGSI, preparação de um plano de
continuidade de negócios ou de um plano de resposta a incidentes.
Desse modo, a gestão de riscos busca o equilíbrio adequado entre
138
as oportunidades de ganhos e a minimização de perdas em uma

organização, sendo uma parte integrante da boa prática de gestão
e um elemento essencial da boa governança corporativa.
O processo de gestão de riscos é interativo e contínuo, e se utiliza

de um método lógico e sistemático para estabelecer o contexto,
a análise, avaliação, tratamento, aceitação, comunicação,
monitoramento e análise crítica dos riscos associados a qualquer
atividade, função ou processo, permitindo que as organizações
minimizem as perdas e maximizem os ganhos. Todas as
abordagens e definições desta seção estão baseadas na norma ISO
27005, responsável pela padronização de todo o processo de risco.
A figura 3.1 apresenta a relação entre as diversas etapas do

processo de gestão de risco.
Figura 3.1 - Processo de gestão de risco

Fonte: ISO 27005.
O processo de gestão de riscos é dividido em 7 etapas. Acompanhe

na sequência.
Unidade 4 139
Como critérios básicos, citam-se 1. Definição do contexto

critérios de avaliação de
riscos, critérios de impacto e
Estabelecer o contexto consiste em definir os parâmetros básicos
critérios de aceitação do risco.
sob os quais os riscos devem ser geridos, isto é, os critérios básicos
necessários para a gestão de riscos de segurança da informação.
Ele também define o escopo da gestão de riscos e os seus limites
Nesse caso, por escopo, fazemos (relacionados aos objetivos estratégicos, políticas e estratégias da
referência à finalidade – plano de organização e aos processos de negócio), bem como estabelece
continuidade, SGSI etc. a organização e as responsabilidades apropriadas à operação do
processo de gestão de riscos.
Conforme citado, veja na sequência como os critérios básicos são

divididos.
a) Critérios para a avaliação de riscos - são desenvolvidos

para avaliar os riscos de segurança da informação
na organização, considerando: o valor estratégico
do processo que trata as informações de negócio;
a criticidade dos ativos de informação envolvidos;
os requisitos legais e regulatórios e as obrigações
contratuais; a importância dos negócios, da
disponibilidade, da confidencialidade e da integridade;
expectativas e percepções das partes interessadas e
consequências negativas para o valor de mercado, a
imagem e a reputação. Os critérios de avaliação de
riscos assumirão valores quantitativos (5 crítico, 4
muito alto, e assim por diante).
A seguir, é apresentado um exemplo dos critérios de avaliação do

risco.
Os níveis e os respectivos valores podem variar em

conformidade com o cliente.
O cálculo do risco está baseado em uma função soma:
frisco = probabilidade + impacto
140
Podem ser atribuídos os seguintes valores aos riscos:
muito baixo – 1, 2
baixo – 3,4
médio – 5,6
alto – 7,8
muito alto – 9,10
Figura 3.2 - Relação probabilidade X impacto

b) Critérios de impacto - são desenvolvidos e especificados

em função do montante dos danos ou custos à
organização, causados por um evento relacionado
com a segurança da informação, considerando: o nível
de classificação do ativo de informação afetado; as
ocorrências de violação da segurança da informação;
perda de oportunidades de negócio e de valor financeiro;
não cumprimento de prazos; danos à reputação e
Unidade 4 141
violações de requisitos legais ou contratuais. Os critérios

de impacto assumirão valores quantitativos (5 crítico, 4
muito alto, e assim por diante).
O impacto pode ser definido como o total de danos que uma

ameaça ocasiona, caso ela ocorra. Ao se determinar o impacto, são
levados em consideração os aspectos estratégicos e operacionais
como a interrupção dos serviços; perda de confiança pelo cliente,
interrupção de operação interna, interrupção de operação de
terceiros; violação de cláusulas contratuais; perda financeira; perda
de clientes; perda de reputação; enfraquecimento da capacidade de
negociação; rejeição ao produto; dano material e perda de eficácia.
Segundo a norma ISO 27005:2008, o impacto imediato

(operacional) pode ser direto ou indireto.
Direto:
o valor financeiro de reposição do ativo perdido (ou parte

dele);
o custo de aquisição, configuração e instalação do novo

ativo ou do “back-up”;
o custo das operações suspensas devido ao incidente,

até que o serviço prestado pelos ativos afetados seja
restaurado;
consequências resultantes de violações da segurança da

informação.
Indireto:
custo de oportunidade (recursos financeiros necessários

para repor ou reparar um ativo poderiam ser utilizados
para outro fim);
o custo das operações interrompidas;
mau uso das informações obtidas por meio da violação da

segurança;
violação de obrigações estatutárias ou regulatórias;
violação dos códigos éticos de conduta.
142
Sendo assim, o quadro 3.1, que segue, apresenta um exemplo

de níveis de impacto com os seus respectivos indicadores. Vale a
pena ressaltar que vários outros indicadores, em conformidade
com o cliente, podem ser estabelecidos.
O impacto financeiro sobre a organização ultrapassa um determinado valor.

Muito O impacto é muito significativo sobre a estratégia (informações sobre projetos,...)
Alto (5) ou as atividades operacionais da organização (acesso ao ambiente computacional).
Muita preocupação das partes interessadas.

O impacto é significativo sobre a estratégia (aspectos financeiros,...) ou as
Alto (4) atividades operacionais da organização (atraso na entrega de serviços, controle de
senhas,...).
Grande preocupação das partes interessadas.
O impacto financeiro sobre a organização deve estar entre dois valores.

O impacto é moderado sobre a estratégia (desvio de produtos,...) ou atividades
Médio (3) operacionais da organização (disponibilidade de informações no ambiente
computacional).
Preocupação moderada das partes interessadas.
O impacto financeiro sobre a organização deve ser inferior a um valor.

Impacto baixo sobre a estratégia (demanda retraída de serviços,...) ou atividades
Baixo (2) operacionais da organização (contato com terceiros,...).
Pouca preocupação das partes interessadas.

Muito Impacto baixo sobre a estratégia ou atividades operacionais da organização.
Baixo (1)
Nenhuma preocupação das partes interessadas.
Quadro 3.1 - Exemplo de níveis de impacto

Fonte: Adaptado de ISO 27005.
Unidade 4 143
c) Critérios de probabilidade de ameaças - são desenvolvidos

e especificados em função das possíveis ameaças que
a Organização poderá sofrer. Como já mencionado
anteriormente, os critérios de probabilidade de ameaças
assumirão valores quantitativos (5 crítico, 4 muito alto,...).
A probabilidade é a chance da ameaça vir a se concretizar. O

critério da probabilidade da ameaça está baseado em indicadores.
Na sequência, é apresentado um quadro (Quadro 3.2), com
níveis de probabilidades da ameaça, a descrição de cada nível e
apresentação dos seus respectivos indicadores. Esses níveis de
probabilidade podem ser alterados, bem como os indicadores, em
conformidade com o cliente.
Estimativa Descrição Indicadores
Já ocorreu algumas vezes dentro de um período de

Muito alta Pode ocorrer todos os anos ou com tempo, e tem grande chance de ocorrer várias vezes,
(Muito provável, 5) possibilidade igual ou superior a 50%. dentro de um período de tempo.
Não existe controle aplicado.
Grande chance de ocorrer várias vezes dentro de um

Pode ocorrer todos os anos ou com período de tempo.
Alta possibilidade superior a 25% e menor Ocorreu recentemente.
(Provável, 4) que 50%. O controle não é eficaz ou está inadequadamente
aplicado.
Pode ocorrer mais do que uma vez dentro do período

de tempo. Pode ser difícil de controlar devido a
Média Pode ocorrer a cada 2 anos ou com algumas influências externas.
(Possível, 3) possibilidade inferior a 25%. Existe um histórico de ocorrências?
Existe controle, aplicado de forma adequada, mostra-
se eficaz, mas não se mantém atualizado.
Não existe a possibilidade de ocorrer Não ocorreu, mas é possível que ocorra.
Baixa a cada 2 anos ou com possibilidade Existe controle, o mesmo é eficaz, mas pode ser
(Remota, 2) inferior a 5%. burlado.
Não existe a possibilidade de ocorrer Não ocorreu, é improvável que ocorra.

Muito Baixa a cada 4 anos ou com possibilidade
(Muito remota, 1) O controle é plenamente eficaz.
inferior a 2%.
Quadro 3.2 - Probabilidade de ocorrência de ameaças

144
d) Critérios para aceitação de riscos - são desenvolvidos e

especificados em concordância com as políticas, metas
e objetivos da organização, e com os interesses das
partes interessadas. Os critérios para a aceitação do
risco podem incluir mais de um limite, representando
um nível desejável de risco, mas precauções podem ser
tomadas por gestores seniores para aceitar riscos acima
desse nível, desde que sob circunstâncias definidas.
Diferentes critérios para a aceitação do risco podem
ser aplicados a diferentes classes de risco, por exemplo:
aqueles que podem resultar em não conformidade com
regulamentações ou leis podem não ser aceitos; riscos de
alto impacto poderão ser aceitos, se isto for especificado
como um requisito contratual. Tais critérios poderão
assumir um valor ou uma range de valores quantitativos.
2. Análise de riscos
A análise de riscos consiste no desenvolvimento e entendimento

do risco, fornecendo informações necessárias às tomadas de
decisão sobre o tratamento, ou não, deles. Essa análise leva em
consideração as origens do risco, as suas consequências (impacto)
positivas e negativas e as probabilidades de que eles possam
ocorrer. O risco é analisado através da combinação do impacto e
a sua probabilidade.
A análise é dividida em duas atividades: a identificação

e a estimativa de riscos.
A identificação de riscos tem por propósito determinar eventos

que possam causar uma perda potencial, e deixar claro como, onde
e por que a perda pode acontecer. Já a estimativa de riscos pode
adotar uma metodologia a qual pode ser qualitativa ou quantitativa,
ou ainda, uma combinação de ambas. Normalmente, utiliza-se a
estimativa qualitativa para se obter uma indicação geral do nível de
risco e para revelar os grandes riscos. Depois, poderá ser utilizada
uma análise quantitativa, ou mais específica, nos grandes riscos.
Vale a pena ressaltar que a forma da análise deve ser coerente com o
critério de avaliação de riscos desenvolvido na fase de definição do
contexto.
Unidade 4 145
A estimativa qualitativa utiliza uma escala com atributos

qualificadores que descrevem a magnitude das consequências
potenciais (por exemplo: Pequena, Média e Grande) e a
probabilidade dessas consequências ocorrerem. A estimativa
quantitativa utiliza uma escala com valores numéricos, tanto
e não as escalas descritivas, usadas para consequências quanto para a probabilidade, usando dados
na estimativa qualitativa. de diversas fontes. A qualidade da análise depende da exatidão e
da integralidade dos valores numéricos e da validade dos modelos
utilizados. A estimativa quantitativa, na maioria dos casos, utiliza
dados históricos dos incidentes, proporcionando a vantagem de
poder ser relacionada diretamente aos objetivos da segurança da
informação e aos interesses da organização.
A figura 3.3, a seguir, apresenta todas as etapas que são

realizadas na análise de riscos.
Figura 3.3 - Análise de risco

146
Identificação dos riscos
a) Identificação dos ativos
Segundo a norma ISO 27005, os ativos são classificados em dois

tipos:
ativos primários - processos e atividades do negócio e

informação;
ativos de suporte e infraestrutura (sobre os quais os

elementos primários do escopo se apoiam) - hardware,
software, rede, recursos humanos, instalações físicas,
dentre outros.
Os serviços de TI que são executados pela Organização dão

suporte aos ativos primários e são suportados pelos ativos de
suporte e infraestrutura. Sendo assim, como exemplo, foi criado o
quadro 3.3, com 5 campos:
Ativo de suporte
Ativo Primário Gerência Setor Serviço TI e infraestrutura
Servidor
Processo de manutenção de TI Suporte Banco de Dados
sistemas
Rede Local
Quadro 3.3 - Exemplo identificação dos ativos

b) Identificação das ameaças
Segue o quadro 3.4, com exemplo de algumas ameaças. Onde:
A – acidental;
I – intencional;
N – natural.
Unidade 4 147
Tipo Ameaças Origem
1. Fogo A, I, N
2. Água A, I, N
3. Poluição A, I, N
4. Acidente grave A, I, N
Dano físico 5. Destruição de equipamento ou mídia A, I, N
6. Poeira, corrosão, congelamento A, I, N
7. Falha no fornecimento de energia A, I
8. Falha no uninterruptible power supply (UPS) A, I
9. Flutuações de energia A, I
10. Fenômeno climático N
11. Fenômeno meteorológico N

Eventos
naturais
12. Fenômeno sísmico N
13. Inundação N
Quadro 3.4 - Exemplo de ameaças

Fonte: ISO 27005.
c) Análise dos controles existentes
O anexo A da norma ISO 27001 apresenta uma lista de controles

que podem ser aplicados. A seguir, é apresentado o quadro
3.5, que contém alguns controles e a indicação de como pode
ser realizada uma avaliação deles. A coluna Val receberá um
valor (ex.: 1,2,3,4 ou 5), dependendo da análise adotada e em
conformidade com os critérios de risco adotados.
148
Implantado
Nome Controle Val
S N
Um documento da política de segurança da
1. Documento da política de informação deve ser aprovado pela direção,
segurança da informação publicado e comunicado para todos os funcionários e
partes externas relevantes.
A política de segurança da informação deve ser

analisada criticamente a intervalos planejados ou
2. Análise crítica da política quando mudanças significativas ocorrerem, para
de segurança da informação assegurar a sua contínua pertinência, adequação e
eficácia.
Quadro 3.5 - Exemplo de análise dos controles existentes

d) Identificação das vulnerabilidades
O quadro a seguir (Quadro 3.6) apresenta um exemplo com

algumas vulnerabilidades detectadas, relacionadas com as suas
respectivas ameaças, físicas, ambientais e de infraestrutura.
Vulnerabilidade Ameaça
-Fenômeno climático
-Fenômeno meteorológico
-Escuta não autorizada
1. Proteção física inadequada
(prédio, sala e CPD) -Furto de mídia ou documentos
-Furto de equipamentos
-Bomba/Terrorismo
-Falha no fornecimento de energia

-Furto de mídia ou documentos
-Furto de equipamentos
-Bomba/Terrorismo
-Spoofing (fazer-se passar por outro)
2. Controle de acesso físico -Acesso não autorizado ao prédio
inadequado -Fogo
-Falha do ar condicionado ou do sistema de suprimento de água
-Falha no uninterruptible power supply (UPS)
-Flutuações de energia
-Danos aos links de comunicação
Quadro 3.6 - Exemplo identificação das vulnerabilidades

Unidade 4 149
Estimativa dos riscos
a) Análise de impacto
A análise de impacto deve ser levada em consideração pela

importância do processo para a organização, junto aos serviços
relacionados ao processo e aos ativos responsáveis para a execução
dos serviços.
O quadro 3.7, a seguir, apresenta um exemplo de como se pode

calcular o impacto para cada ativo quanto à confidencialidade
(C), integridade (I) e disponibilidade (D).
Processo Serviços TI Ativo Infra/Sup C I D

Servidor 5 5 5
Aquisição Sistema de aquisição Link Internet - - 5
Rede Local - - 5
Quadro 3.7 - Exemplo de cálculo de impacto

b) Determinação das probabilidades
No cálculo da probabilidade, pode ser levado em consideração

o ativo, o histórico, a vulnerabilidade, se existe controle ou não
aplicado e a ameaça propriamente dita. O quadro 3.8, a seguir, é
um exemplo desse cálculo. O valor numérico pode ser calculado
pela média aritmética dos valores para cada ameaça do ativo.
Incidente
Ativo Histórico Vulnerabilidade Ameaça Control Prob
Infra/Sup
S N
Controle de Visão, cópia ou remoção Termos e condições
5 recrutamento de documentos 5 5
de contratação
inadequado arquivados
Notas fiscais Registros (log) de

Falta de mecanismos
lançadas N Manipulação de dados administrador e 3 3
de monitoramento operador
Reutilização e
Arquivos de dados, Perda de
5 alienação segura de 5 5
logs e outros em HDs confidencialidade equipamentos
Quadro 3.8 - Exemplo de cálculo de probabilidade

150
c) Determinação do risco
O cálculo do risco é, por exemplo, a soma da probabilidade

de cada ameaça sofrida por cada ativo e o seu impacto para o Risco = Probabilidade +
negócio da organização. O quadro 3.9 apresenta um exemplo. Impacto.
Ativo Probabilidade Ameaça Impacto Risco

Visão, cópia ou remoção de 5 9
documentos arquivados
1. Notas fiscais
Manipulação de dados 3 4 7
lançadas
Perda de confidencialidade 5 9
Quadro 3.9 - Exemplo de cálculo de risco

3. Avaliação de riscos
O objetivo da avaliação do risco é tomar decisões baseadas na saída

da análise de risco, sobre quais riscos necessitam de tratamento e as
prioridades neste tratamento (Figura 3.4). Esse processo envolve a
comparação do nível de risco obtido durante a análise dele com o
critério de risco quando o contexto foi considerado.
Figura 3.4 - Avaliação de risco

Fonte: ISO 27005.
4. Tratamento de riscos
Na fase de tratamento de riscos, entra uma lista deles, ordenados

por prioridade, de acordo com os critérios de avaliação de riscos.
Tem como saída, o plano de tratamento do risco e os riscos
residuais, sujeitos à decisão de aceitação por parte dos gestores
da organização. A figura 3.5 apresenta o processo de tratamento
de risco com base nos resultados de sua avaliação, as opções e os
seus riscos residuais.
Unidade 4 151
Figura 3.5 - Tratamento de risco

Fonte: ISO 27005.
As opções de tratamento do risco são selecionadas com base no

resultado da análise/avaliação de riscos, no custo esperado para
Como exemplo de custo esperado, implementação e nos benefícios previstos. Vale a pena ressaltar
cita-se redução de risco com baixo que os problemas provenientes do risco devem ser reduzidos ao
custo. mínimo possível.
Todavia, devem-se levar em consideração os riscos improváveis

e graves, pois os controles que não são justificáveis do ponto de
vista econômico podem precisar ser implementados.
Por exemplo: controles de continuidade de negócio

concebidos para tratar riscos de alto impacto
específicos.
152
As opções para o tratamento do risco não são mutuamente

exclusivas, pois, às vezes, a organização pode beneficiar-se de
uma combinação das opções. Contudo, a escolha das opções de
tratamento do risco deve considerar como o risco é percebido
pelas partes afetadas e as formas mais apropriadas de comunicação
com essas partes. As opções de redução de risco são as que estão
detalhadas na sequência.
Redução do risco
Na redução de risco, os controles devem ser os mais apropriados Restrições técnicas

e selecionados para satisfazer os requisitos identificados por meio tais como requisitos de
da análise/avaliação de riscos e do tratamento deles. A escolha dos desempenho, capacidade
controles deve levar em conta os critérios para a aceitação do risco, de gerenciamento
assim como requisitos legais, regulatórios e contratuais, e mais os (requisitos de apoio
operacional) e questões de
aspectos de custos e prazos para a implementação e os aspectos compatibilidade.
técnicos, culturais e ambientais. Restrições técnicas podem
dificultar a utilização de certos controles ou induzir erros humanos,
chegando mesmo a anular o controle, a dar uma falsa sensação
de segurança ou a tornar o risco ainda maior do que seria, se o
controle não existisse.
Por exemplo: exigir senhas complexas sem

treinamento adequado, leva os usuários a anotar as
senhas por escrito.
Retenção do risco
As decisões sobre a retenção do risco são tomadas tendo como

base uma avaliação. Caso o nível de risco atenda aos critérios para
a sua aceitação, não existe a necessidade de implementar controles
adicionais, podendo assim ocorrer a retenção do risco.
Evitar o risco
Consiste na atividade ou condição em que um determinado

risco seja evitado, caso os riscos identificados sejam considerados
demasiadamente elevados e quando os custos da implementação
de outras opções de tratamento do risco excederem os
benefícios. Sendo assim, pode-se decidir que o risco seja evitado
completamente, via a eliminação de uma atividade planejada ou
existente, ou via as mudanças nas condições em que a operação
da atividade ocorre.
Unidade 4 153
Transferência do risco
Um determinado risco é transferido para outra entidade, de

modo que possa gerenciá-lo de forma mais eficaz. Vale a pena
ressaltar que a transferência do risco pode também criar novos
riscos ou modificar os existentes e já identificados, tornando
talvez necessário um novo tratamento para isso.
5. Aceitação do risco
O processo de aceitação de riscos faz uso do plano de tratamento

e da análise/avaliação do risco residual. O processo está sujeito
à decisão dos gestores da organização, relativa à aceitação dele,
tendo-se como produto uma lista de riscos aceitos, incluindo uma
justificativa para aqueles que não satisfaçam os critérios normais
para sua aceitação.
6. Comunicação do risco de segurança da informação
Todas as informações sobre os riscos obtidas por meio

das atividades de gestão de riscos devem ser trocadas e/ou
compartilhadas entre o responsável pelas tomadas de decisão e
as demais partes interessadas (stakeholders), buscando alcançar
um consenso sobre como os riscos devem ser gerenciados. As
informações a serem trocadas incluem, basicamente, a existência,
natureza, forma, probabilidade, severidade, tratamento e
aceitabilidade dos riscos.
Sendo assim, a atividade da comunicação dos riscos possibilitará

o entendimento contínuo do processo de gestão de riscos, de
segurança da informação, da organização e dos resultados
obtidos.
7. Monitoramento e análise crítica de riscos de segurança

da informação
Esta atividade tem como objetivo monitorar e analisar todas

as informações sobre os riscos, obtidas através das atividades
de gestão de riscos, a fim de serem identificadas, o mais rápido
possível, as eventuais mudanças no contexto da organização e
manter-se uma visão geral dos riscos. Dessa forma, mantém-se
uma análise crítica e, caso seja necessário, podem ser
implementadas melhoras na implementação de segurança.
154
Seção 3 – Uma aplicação de análise/avaliação de risco

Esta seção visa a apresentar um exemplo de como realizar
uma análise/avaliação de risco. O exemplo apresenta uma
situação inicial e a sequência de todo o processo a ser
realizado. É bom esclarecer que o exemplo está em uma forma
reduzida, apresentando alguns processos, serviços, ameaças
e vulnerabilidades. É claro que a análise deveria levar em
consideração uma maior quantidade de ameaças relacionadas
às vulnerabilidades que o ambiente possui, pois o objetivo do
exemplo é somente apresentar a sequência de realização de todo o
processo de análise/avaliação de risco.
Com o objetivo de lhe proporcionar a oportunidade de

complementar o aprendizado, alguns campos na parte final do
exemplo não foram preenchidos e poderão ser complementados
por você.
Estudo de Caso
Introdução
A FLAMENGO é uma instituição que oferece aos seus clientes

soluções criativas em Tecnologia da Informação, que tragam
diferenciais de eficiência e eficácia em seus processos, garantindo a
otimização de recursos e aumento de produtividade tendo sempre
como principal valor a satisfação do cliente e o relacionamento de
longo prazo.
A FLAMENGO é hoje uma empresa que provê soluções

inovadoras no segmento de administração de ambientes e
serviços de TI, Segurança da Informação e Business Intelligence.
Destaque no mercado desde 1988, tem hoje como um dos seus
principais focos, soluções na área de gestão de TI, sendo uma das
referências nacionais em ITIL.
Proteger o conhecimento e as informações do segmento de negócio

FLAMENGO e de seus colaboradores passou a constituir uma
necessidade estratégica e fundamental para o seu sucesso. O
projeto de desenvolvimento do SGSI tem como objetivo atender
Unidade 4 155
a essa demanda de segurança, estabelecendo um conjunto de

controles de segurança adequados e preparados para proteger os
ativos de informação e propiciar confiança às partes interessadas.
A abordagem de processo para a gestão da segurança da

informação, apresentada pela norma, encoraja que seus usuários
enfatizem a importância de:
a) entender os requisitos de segurança da informação de

uma organização e a necessidade de estabelecer uma
política e objetivos para a segurança de informação;
b) implementar e operar controles para gerenciar os riscos

de segurança da informação de uma organização, no
contexto dos riscos de negócio globais da organização;
c) monitorar e analisar criticamente o desempenho e

eficácia do SGSI;
d) melhorar, de forma contínua, com base em medições

objetivas.
O documento apresentará as fases de gestão de risco, composta

pela análise e avaliação deles, tratamento dos riscos e definição
daqueles que são aceitáveis, desenvolvimento de uma política
de segurança, implementação dos controles, auditoria e
monitoramento e correções.
Estabelecimento e cálculo de riscos
Estabelecimento do contexto
Definição dos critérios básicos
1. Critério de aceitação de risco
Todos os riscos médios, baixos e muito baixos serão aceitos.
2. Critérios de avaliação do risco
Para o cálculo do risco será utilizada uma função soma:

frisco = probabilidade + impacto
156
Os valores que serão atribuídos aos riscos são:
muito baixo – 1, 2
baixo – 3,4
médio – 5,6
alto – 7,8 A figura 3.2 foi

inicialmente apresentada
muito alto – 9,10 na seção 2 desta mesma
Unidade.
Para melhor compreensão dessa questão, reveja a figura 3.2, que
reproduzimos também na sequência:
Figura 3.6 - Relação probabilidade X impacto

3. Critério de impacto e da probabilidade da ameaça.
Unidade 4 157
Como já visto na seção anterior, ao se determinar o impacto são

levados em consideração os aspectos estratégicos e operacionais
,como interrupção dos serviços; perda de confiança pelo cliente,
interrupção de operação interna, interrupção de operação de
terceiros; violação de cláusulas contratuais; perda financeira;
perda de clientes; perda de reputação; enfraquecimento da
capacidade de negociação; rejeição ao produto; dano material e
perda de eficácia.
O impacto imediato (operacional) pode ser direto ou indireto.
Direto:
o valor financeiro de reposição do ativo perdido (ou parte dele);
o custo de aquisição, configuração e instalação do novo ativo
ou do “backup”;
o custo das operações suspensas devido ao incidente, até que
o serviço prestado pelos ativos afetados seja restaurado;
consequências resultantes de violações da segurança da
informação.
Indireto:
custo de oportunidade (recursos financeiros necessários para
repor ou reparar um ativo poderiam ser utilizados para outro
fim);
o custo das operações interrompidas;
mal uso das informações obtidas, por meio da violação da
segurança;
violação de obrigações estatutárias ou regulatórias;
violação dos códigos éticos de conduta.
158
Veja no quadro 3.10 o impacto das ameaças, o qual corresponde

ao total de danos que uma ameaça ocasiona, caso ocorra.

Muito Alto Oe produtos
impacto é muito significativo sobre a estratégia (informações sobre projetos,
existentes) ou as atividades operacionais da organização (acesso ao
(5) ambiente de suporte).
Muita preocupação das partes interessadas.

O impacto é significativo sobre a estratégia (aspectos financeiros,...) ou as atividades
Alto operacionais da organização (atraso no atendimento ao cliente, controle de
(4) senhas...).
Grande preocupação das partes interessadas.
O impacto financeiro sobre a organização deve estar entre dois valores.

Médio O impacto é moderado sobre a estratégia (atualizações de versões,...) ou atividades
(3) operacionais da organização (disponibilidade de informações para o cliente).
Preocupação moderada das partes interessadas.

Baixo Impacto baixo sobre a estratégia (demanda de clientes,...) ou atividades
(2) operacionais da organização (contato da FLAMENGO com terceiros,...).
Pouca preocupação das partes interessadas.
Muito O impacto financeiro sobre a organização deve ser inferior a um valor.

Baixo Impacto baixo sobre a estratégia ou atividades operacionais da organização.
(1) Nenhuma preocupação das partes interessadas.
Quadro 3.10 - Impacto das ameaças

Unidade 4 159
No quadro 3.11 são descritas as probabilidades de ocorrência de

ameaças, ou seja, a chance da ameaça vir a ocorrer.
Estimativa Descrição Indicadores
Já ocorreu algumas vezes dentro de

Pode ocorrer todos os anos ou com um período de tempo, e possui grande
Muito alta chance de ocorrer várias vezes dentro de
possibilidade igual ou superior a
(Muito provável, 5) 50%. um período de tempo.
Não existe controle aplicado.
Grande chance de ocorrer várias vezes

Pode ocorrer todos os anos ou com dentro de um período de tempo.
Alta possibilidade superior a 25% e Ocorreu recentemente.
(Provável, 4) menor que 50%. O controle não é eficaz ou está
inadequadamente aplicado.
Pode ocorrer mais do que uma vez

dentro do período de tempo. Pode ser
difícil de controlar devido a algumas
Média Pode ocorrer a cada 2 anos ou com influências externas.
(Possível, 3) possibilidade inferior a 25%. Existe um histórico de ocorrências?
Existe controle, aplicado de forma
adequada, mostra-se eficaz, mas não se
mantém atualizado.
Não existe a possibilidade de Não ocorreu, mas é possível que ocorra.

Baixa ocorrer a cada 2 anos ou com Existe controle, o mesmo é eficaz, mas
(Remota, 2) possibilidade inferior a 5%. pode ser burlado.
Não existe a possibilidade de Não ocorreu, e é improvável que ocorra.

Muito Baixa ocorrer a cada 4 anos ou com
(Muito remota, 1) O controle é plenamente eficaz.
possibilidade inferior a 2%.
Quadro 3.11 - Probabilidade de ocorrência de ameaças

Definição do escopo de abrangência da análise:
I - Análise da organização
1. Propósito – Oferecer aos seus clientes soluções criativas

em tecnologia da informação que tragam diferenciais
de eficiência e eficácia em seus processos, garantindo
160
a otimização de recursos e aumento de produtividade,

tendo sempre como principal valor a satisfação do cliente
e o relacionamento de longo prazo.
2. Negócio – a FLAMENGO Virtual possui dois

segmentos de negócio: prover treinamento nas áreas de
TI, desenvolver e dar suporte a soluções de gestão de TI.
II - Restrições que afetam a FLAMENGO
1. Restrições funcionais – é necessário que o ambiente

virtual esteja disponível 24 horas, 7 dias na semana e 365
dias ao ano, para o aluno, durante o horário comercial.
Disponibilidade Quantidade de Downtime permitido no período de tempo

Uptime %
Anual Mensal Semanal Diário
99,99% 0,88 h 4,4 min 1 min 8,7 seg
Quadro 3.12 - Disponibilidade.

2. Segurança no trato e armazenamento das informações;
3. Alto desempenho do sistema computacional;
4. Gerenciabilidade dos recursos do sistema computacional;
5. Usabilidade adequada dos recursos do sistema

computacional.
Restrições econômicas – a manutenção dos cursos está

ligada à demanda de alunos.
Restrições aos recursos humanos – a manutenção de

professores e autores capacitados.
Restrições relacionadas a métodos – a manutenção do

credenciamento dos cursos oferecidos.
Restrições orçamentárias – ligadas ao mercado.
Unidade 4 161
III - Processos que envolvem o funcionamento da FLAMENGO

(apresentados pelo cliente). Consiste em todos os processos que
farão parte da análise de riscos.
a) Processo A
Realiza a tarefa A
b) Processo B
Realiza a tarefa B
c) Processo C
Realiza a tarefa C
Análise de riscos
Identificação dos riscos
I – Identificação dos ativos
Os ativos serão classificados em dois tipos, como visto na Seção

2, em:
ativos primários - processos e atividades do negócio e

informação;
ativos de suporte e infraestrutura (sobre os quais os

elementos primários do escopo se apoiam) - hardware,
software, rede, recursos humanos, instalações físicas,
dentre outros.
Primários (especificados, ou não, pelo cliente)
Ativo Gerência Setor
1. Processo A Gerência Administrativa Financeiro
2. Processo B Gerência Administrativa RH
3. Processo C Gerência Administrativa Aquisição
Quadro 3.13 - Primários (especificados, ou não, pelo cliente).

162
Ativos de suporte e infraestrutura
Ativo Categoria Proprietário/Local

Gerência Administrativa /
1. Notas fiscais lançadas Documentação Setor de Arquivos
2. Arquivos diversos, planilhas,
correspondências, memorandos, contratos, Documentação Gerência Administrativa
e-mails etc.
3. Computadores Hardware Gerência Administrativa
4. Documentos impressos arquivados; ex.: Gerência Administrativa /

Documentação
contratos, correspondências etc. Direção
Gerência Administrativa/
5. Documentos pessoais e requerimentos Documentação financeiro
6. Processos Registrados Documentação Gerência Administrativa/RH
7. Servidor de dados Hardware TI
8. Acesso ao espaço físico da FLAMENGO Operacional Gerência Administrativa
9. Servidor de Arquivos Hardware TI
10. Switchs FLAMENGO Hardware TI
11. Link Servidores WEB Hardware TI
Quadro 3.14 - Ativos de suporte e infraestrutura

II – Identificação das ameaças
Ameaças Típicas
A – acidental;
I – intencional;
N - natural.
Unidade 4 163
Tipo Ameaças Origem
1. Fogo A, I, N
2. Água A, I, N
3. Poluição A, I, N
4. Acidente grave A, I, N
Dano físico 5. Destruição de equipamento ou mídia A, I, N
6. Poeira, corrosão, congelamento A, I, N
7. Falha no fornecimento de energia A, I
8. Falha no uninterruptible power supply (UPS) A, I
9. Flutuações de energia A, I
10. Fenômeno climático N
11. Fenômeno meteorológico N

Eventos naturais
12. Fenômeno sísmico N
13. Inundação N
14. Falha do ar condicionado ou do sistema de A, I

suprimento de água
Paralisação de 15. Interrupção do suprimento de energia A, I, N

serviços essenciais
16. Falha do equipamento de telecomunicação A, I
(satélite)
17. Falha no serviço de comunicação A, I
Quadro 3.15 - Identificação das ameaças

III – Análise dos controles existentes
Implantado e eficaz (val. 1, 2 ou 3).
Implantado e não eficaz (val. 4).
Não implantado (val. 5).
164
Implantado
Nome Controle Val
S N
Um documento da política de segurança da informação

1. Documento da política de deve ser aprovado pela direção, publicado e comunicado N 5
segurança da informação para todos os funcionários e partes externas relevantes.
A política de segurança da informação deve ser analisada

2. Análise crítica da política de criticamente a intervalos planejados ou quando mudanças N 5
segurança da informação significativas ocorrerem, para assegurar a sua contínua
pertinência, adequação e eficácia.
A direção deve apoiar ativamente a segurança da

informação dentro da organização, por meio de um claro
3. Comprometimento da direção direcionamento, demonstrando o seu comprometimento, S 3
com a segurança da informação definindo atribuições de forma explícita e conhecendo as
responsabilidades pela segurança da informação.
As atividades de segurança da informação devem ser

4. Coordenação da segurança da coordenadas por representantes de diferentes partes da N 5
informação organização, com funções e papéis relevantes.
5. Atribuição de Todas as responsabilidades pela segurança da informação

responsabilidades para a N 5
devem estar claramente definidas.
segurança da informação
6. Processo de autorização para Deve ser definido e implementado um processo de gestão

os recursos de processamento de autorização para novos recursos de processamento da N 5
da informação informação.
Os requisitos para confidencialidade ou acordos de não

divulgação que reflitam as necessidades da organização
7. Acordos de confidencialidade N 5
para a proteção da informação devem ser identificados e
analisados criticamente, de forma regular.
Contatos apropriados com autoridades relevantes devem

8. Contato com autoridades N 5
ser mantidos.
Contatos apropriados com grupos de interesses
especiais ou outros fóruns especializados de segurança
9. Contato com grupos especiais da informação e associações profissionais devem ser
mantidos.
O enfoque da organização para gerenciar a segurança

da informação e a sua implementação (por exemplo,
controles, objetivo dos controles, políticas, processos e
10. Análise crítica independente procedimentos para a segurança da informação) deve N 5
de segurança da informação ser analisado criticamente, de forma independente, a
intervalos planejados, ou quando ocorrerem mudanças
significativas relativas à implementação da segurança da
informação.
Quadro 3.16 - Análise dos controles existentes

Unidade 4 165
IV – Identificação das vulnerabilidades
Física, ambiental e infraestrutura
Vulnerabilidade Ameaça Controle
-Política de controle de acesso

-Fenômeno climático -Perímetro de segurança física
-Fenômeno meteorológico -Controles de entrada física
-Escuta não autorizada -Instalação e proteção do equipamento
1. Proteção física inadequada -Furto de mídia ou documentos -Segurança do cabeamento
(prédio, sala e CPD)
-Furto de equipamentos -Inclusão da segurança da informação no
processo de gestão da continuidade de
-Bomba/Terrorismo
negócio
-Continuidade de negócios e análise/
avaliação de risco

-Furto de mídia ou documentos -Política de controle de acesso
-Furto de equipamentos -Perímetro de segurança física
-Bomba/Terrorismo -Controles de entrada física
-Spoofing (fazer-se passar por outro) -Instalação e proteção do equipamento
-Acesso não autorizado ao prédio -Segurança do cabeamento
2. Controle de acesso físico -Fogo -Inclusão da segurança da informação no
inadequado
-Falha do ar condicionado ou do processo de gestão da continuidade de
sistema de suprimento de água negócio
-Falha no fornecimento de energia -Continuidade de negócios e análise/
-Falha no uninterruptible power avaliação de risco
supply (UPS) -Acesso do público, áreas de entrega e de
-Flutuações de energia carregamento
-Danos aos links de comunicação
Quadro 3.17 - Identificação das vulnerabilidades

166
Pessoal
-Indisponibilidade de recursos
humanos -Gestão de capacidade
-Intimidação a colaborador -Desenvolvimento e
1. Pessoal ausente/
insuficiente -Perda de disponibilidade de implementação de planos
usuários autorizados de continuidade relativos à
-Degradação do tempo de segurança da informação
resposta
-Uso inadequado de software

-Uso de cópias de software
falsificadas ou ilegais
-Escuta passiva
-Definir papéis e
-Escuta ativa
responsabilidades
-Acesso a sistemas e documentos
2. Controle de -Responsabilidades da
recrutamento inadequado pelo pessoal de limpeza e direção
manutenção
-Termos e condições de
-Visão, cópia ou remoção de
contratação
-Visão ou cópia de comunicações
recebidas
-Eliminação de dados
Quadro 3.18 - Pessoal

Unidade 4 167
Hardware
-Deterioração das mídias

-Erro de manutenção
-Falha/corrupção de software
-Falha no serviço de comunicação -Instalação e proteção do
Falha equipamento
-Degradação do tempo de resposta
-Manutenção dos equipamentos
-Degradação da disponibilidade
-Falha ao gerar backups
-Falha dos dados de segurança
-Defeito/degradação de
equipamentos de rede / servidores /
estações de trabalho -Instalação e proteção do
Degradação -Falha no serviço de comunicação equipamento
-Sobrecarga de tráfego -Manutenção dos equipamentos
-Degradação do tempo de resposta
-Degradação da disponibilidade
Quadro 3.19 - Hardware

Software
-Uso de software de maneira não -Aceitação de sistemas

autorizada
1. Especificação -Falha/corrupção de software -Análise e especificação dos
inadequada/incompleta -Perda de confidencialidade requisitos de segurança
-Degradação do tempo de resposta -Desenvolvimento
-Degradação da disponibilidade terceirizado de software
-Separação dos recursos de

desenvolvimento, teste e da
-Falha/corrupção de software produção
2. Teste inadequado / -Falha no serviço de comunicação -Aceitação de sistemas
insuficiente -Degradação do tempo de resposta -Validação de dados de saída
-Degradação da disponibilidade -Análise crítica técnica das
aplicações após mudanças no
sistema operacional
Quadro 3.20 - Software

168
Comunicações
-Infiltração nas comunicações

-Identificação dos riscos relacionados
-Roteamento deficiente nas com partes externas
1. Links desprotegidos comunicações
-Controles de entrada física
-Redirecionamento de comunicações
-Segurança do cabeamento
-Interceptação de links
-Falha/degradação no serviço de
comunicação
2. Conexões do -Erros de transmissão -Segurança do cabeamento
cabeamento deficientes -Manutenção dos equipamentos
-Negação de serviço
-Perda de disponibilidade
Quadro 3.21 - Comunicações

Documentos/dados

-Identificação dos riscos relacionados com
partes externas
-Inventário dos ativos
-Proprietário dos ativos
-Fogo
-Uso aceitável dos ativos
-Danos intencionais/ vandalismos
1. Local de -Segurança em escritórios salas e instalações
armazenamento -Intenção de roubo
-Reutilização e alienação segura de
desprotegido -Visão, cópia ou remoção de equipamentos
-Gerenciamento de mídias removíveis
-Deterioração das mídias
-Procedimentos para tratamento de
informação
-Segurança da documentação dos sistemas
-Proteção de registros organizacionais
-Acesso a sistemas e documentos pelo
pessoal de limpeza e manutenção -Procedimentos para tratamento de
informação
-Visão ou cópia de comunicações
2. Falta de política de -Segurança da documentação
recebidas
mesa limpa -Política de mesa e tela limpas
-Cópia não controlada de documentos -Inventário dos ativos
-Descarte não controlado de -Uso aceitável dos ativos
documentos
Quadro 3.22 - Documentos/dados

Unidade 4 169
Geral

-Identificação dos riscos relacionados
-Falha no fornecimento com partes externas
1. Controle inadequado de energia
de serviços oferecidos por -Identificação da segurança da
terceiros -Falha no serviço de informação nos acordos com terceiros
comunicação
-Acordos para a troca de informações
-Furtos
-Bomba/Terrorismo
2. Controle inadequado de -Danos intencionais/ -Segurança de equipamentos fora das
visitantes vandalismos dependências da organização
-Morte de colaboradores
-Acesso a serviços locais
Quadro 3.23 - Geral

Estimativa do risco
Análise de impacto - Impacto = [(C + I +D)/3]
Ativo C I D Impacto
1. Notas fiscais lançadas 3 5 5 4
2. Arquivos diversos, planilhas, correspondências, 5 5 5 5
memorandos, contratos etc.
3. Computadores 5 5 5 5
4. Documentos impressos arquivados; ex.: contratos, 4 4 5 4
correspondências etc.
5. Documentos pessoais e requerimentos 5 5 5 5
6. Processos registrados 2 5 4 4
7. Servidor de dados 4 4 4 4
8.Acesso ao espaço físico da FLAMENGO 5 5 5 5
9. Servidor de Arquivos 4 3 4 4
10. Switchs FLAMENGO 5 5 5 5
11. Link Servidores WEB 5 5 5 5
Quadro 3.24 - Estimativa do risco

170
Determinação da probabilidade
A probabilidade está relacionada à média dos valores de controle.
Ativo Vulnerabilidade Ameaça Control Prob

Termos e condições de 5 5
Visão, cópia contratação
Controle de recrutamento ou remoção de
inadequado documentos Definir papéis e 5
arquivados responsabilidades
Registros (log) de
administrador e operador 3
Registros (logs) de falhas 3

Falta de mecanismos de Manipulação de dados 3
monitoramento
Registros de auditoria 3
Monitoramento do uso 3
do sistema
Segregação de funções 5
Eliminação de dados 5
Termos e condições de 5
contratação
Notas fiscais Colaborador insatisfeito
lançadas Segregação de funções 5
Furto de Informação Termos e condições de 5
5
contratação
Arquivos de dados, logs e Perda de Reutilização e alienação
5 5
outros em HDs confidencialidade segura de equipamentos
Aprendendo com os
Corrupção de dados incidentes de segurança 5 5
da informação
Controle de base de dados
inadequada Inventário dos ativos 3
Deleção de dados de 3
forma negligente Proprietário dos ativos 3
Procedimentos
para tratamento de 3
informação
Falta de controle de Cópia não controlada 3
documentos de documentos Segurança da
documentação dos 3
sistemas
Unidade 4 171
Controle de recrutamento Termos e condições de

inadequado Visão, cópia 5
contratação
ou remoção de
documentos 5
Classificação de ativos
inadequada ou não arquivados Definir papéis e 5
existente responsabilidades
Controle do 5
processamento interno
Falta de mecanismos de Manipulação de dados 5
monitoramento Conformidade com as
políticas e normas de 5
segurança da informação
Eliminação de dados Segregação de funções 5

Colaborador insatisfeito Termos e condições de 5
Furto de informação contratação 5
Aprendendo com os
incidentes de segurança 5
Corrupção de dados da informação 4
Arquivos Inventário dos ativos 3

diversos,
planilhas,
correspondência Controle de base de dados Aprendendo com os
memorandos, inadequada incidentes de segurança 5
contratos etc. Manipulação de dados da informação 4
Inventário dos ativos 3
Segurança da
Deleção de dados de documentação dos 3 3
forma negligente sistemas
Procedimentos
Falta de controle de para tratamento de 3
documentos Cópia não controlada informação
3
Danos intencionais/ de documentos
vandalismos Segurança da
documentação dos 3
sistemas
Validação dos dados de 5
entrada
Controle do 5
processamento interno
Falta de validação Corrupção de dados 5
Integridade de 5
mensagens
Validação de dados de 5
saída
172
Proteção física inadequada Furto de

(prédio, sala e CPD) equipamentos
Fenômeno
meteorológico
Controle de acesso físico Acesso não autorizado
inadequado ao prédio
Rede elétrica instável Flutuações de energia
Falha no fornecimento
Computadores de energia
Desastre natural Fogo
Degradação/ Falha de Defeito/degradação de
manutenção planejada equipamentos de rede
/ servidores / estações
de trabalho
Remoção de equipamento Visão, cópia
para manutenção ou remoção de
documentos
arquivados
Controle de recrutamento Visão, cópia
inadequado ou remoção de
Classificação de ativos documentos
inadequada ou não arquivados
existente
Falta de mecanismos de Manipulação de dados
monitoramento
Colaborador insatisfeito Eliminação de dados
Documentos
impressos Furto de Informação
arquivados; Controle de base de dados Corrupção de dados
ex.: contratos, inadequada
correspondên- Falha ao gerar backups
cias etc. Manipulação de dados
Deleção de dados de
forma negligente
Falta de controle de Cópia não controlada
documentos de documentos
Danos intencionais/
vandalismos
Falta de validação Corrupção de dados
Quadro 3.25 - Determinação da probabilidade

Unidade 4 173
Determinação do risco
Lembrando que estamos considerarando Risco = Probabilidade +

Impacto.
Ativo Probabilidade Ameaça Impacto Risco

Manipulação de dados 3 7
Eliminação de dados 5 9
Furto de Informação 5 9
1. Notas fiscais lançadas 4
Perda de confidencialidade 5 9
Corrupção de dados 5 9
Deleção de dados de forma negligente 3 7
Cópia não controlada de documentos 3 7

Manipulação de dados 5 10
Eliminação de dados 5 10
2. Arquivos diversos, planilhas, Furto de Informação 5 10
correspondências, memorandos, 5
contratos etc. Corrupção de dados 4 9
Deleção de dados de forma negligente 3 8
Cópia não controlada de documentos 3 8
Corrupção de dados 5 10
Quadro 3.26 - Determinação do risco

174
Avaliação de risco
O quadro que se segue apresenta a ordem de prioridade que os
riscos de cada ativo deverão ser tratados.
Tratar
Ativo Risco por Prioridade
Sim Não
Corrupção de dados X
Eliminação de dados X
Furto de Informação X
Visão, cópia ou remoção de documentos arquivados X
Notas fiscais lançadas
Perda de confidencialidade X
Manipulação de dados X
Cópia não controlada de documentos X
Deleção de dados de forma negligente X
Visão, cópia ou remoção de documentos arquivados X
Manipulação de dados X
Eliminação de dados X
Arquivos diversos, planilhas,
correspondências, memorandos, Furto de Informação X
contratos, etc.
Corrupção de dados X
Deleção de dados de forma negligente X
Cópia não controlada de documentos X
Quadro 3.27 - Avaliação de risco

O gráfico 3.1 apresenta uma visão ampla da situação de risco da

organização. Realizando uma breve análise, pode-se concluir
que a FLAMENGO, atualmente, possui a maioria de seus
componentes com risco alto/crítico ou alto, o que torna a
organização vulnerável à continuidade de seu negócio.
Gráfico 3.1 - Gráfico minimizado da quantidade geral de riscos

Unidade 4 175
O gráfico 3.2 apresenta uma visão mais detalhada da

quantificação de riscos por categoria. Essa visão demonstra que
a organização não possui um controle de acesso físico as suas
instalações e, ainda, componentes de proteção físicos adequados as
suas necessidades. Vale a pena ressaltar o quanto a FLAMENGO
está vulnerável em relação aos seus servidores, em função do perfil
de seus componentes (alunos e colaboradores) e das tarefas que lhe
são atribuídas.
Gráfico 3.2 - Gráfico minimizado da quantidade de riscos por categoria

Síntese
Nesta unidade, você estudou o que é gestão de riscos e

acompanhou todas as suas etapas, detalhando o processo de
análise de riscos com um exemplo prático.
Lembre que a gestão de riscos consiste em um processo contínuo

e ininterrupto.
O monitoramento é constante, a análise de risco deve ser

realizada em períodos preestabelecidos, com o objetivo de sempre
estar atualizado, por exemplo, com as novas ameaças que o
sistema poderá sofrer.
176
1) Qual o objetivo de uma organização realizar a gestão de risco?
2) Por que aplicar uma análise de riscos em uma organização?
3) Durante a análise de riscos, a fase de análise de impacto é fundamental

para o seu sucesso. Descreva quais fatores devem ser levados em
consideração durante a fase de análise de impacto.
Unidade 4 177
4) Quais são as etapas da análise de vulnerabilidades?
Saiba mais
Para saber mais sobre o assunto estudado, pesquise sobre:
NIST Special Publication 800-30, Risk Management Guide for

Information Technology Systems.
Norma de Gestão de Riscos.
ISO/IEC 27005 - Information technology - Security techniques

- Information security risk management (draft).
178
5
unidade 5
Política de segurança
Entender o que é política de segurança.
Conhecer os aspectos quanto à importância da

implantação.
Compreender a ISO 27002.
Entender o que é auditoria e como desenvolvê-la na

informática.
Saber como desenvolver uma política de segurança.
Seções de estudo
Seção 1 Conceitos sobre política de segurança
Seção 2 A norma ISO 27002
Seção 3 Auditoria na informática

Esta unidade visa apresentar a você o que vem a ser uma política
de segurança, a sua importância, como elaborá-la e implantá-la.
A aplicação da política de segurança é uma questão estratégica
para uma organização, pois ela possibilita o uso de controles
de forma adequada às suas necessidades. Serão apresentados
os conceitos de auditoria na informática, o seu planejamento
e execução em uma organização. Sendo assim, espera-se que,
ao fim desta unidade, você tenha entendido a importância
estratégica de se ter bem definida e implementada uma política
de segurança em uma organização.
Seção 1 – Conceitos sobre política de segurança

Nesta seção, você estudará os conceitos básicos de uma política
de segurança, fator primordial para que o Sistema de Gerência
de Segurança da Informação (SGSI) possa ser projetado e
implementado com sucesso. Você verá que a política de segurança
faz parte da fase de planejamento e execução do SGSI, onde
existe um amplo conjunto de procedimentos projetados e
implementados. Você também acompanhará a explicação de
alguns aspectos referentes ao planejamento e manutenção
do plano de continuidade de negócios de uma organização,
componente básico do SGSI. (RFC 2196, 1997 e ISO 27002,
27005).
Toda solução de segurança é baseada em políticas (estratégias).
A política de segurança pode ser definida como um

conjunto de regras de segurança de acesso físico
e lógico às informações contidas em um sistema
de computação. O objetivo de uma política de
segurança da informação é fornecer as diretivas de
gerenciamento e suporte à segurança da informação.
180
As regras da política de segurança de uma organização são

estabelecidas de acordo com as possíveis ameaças que o seu sistema
de computação possa vir a sofrer. Com uma política de segurança
implantada, é possível saber o quanto uma rede é segura, o quanto
de funcionalidade ela oferece e o quanto é fácil operá-la.
Para que as regras de segurança sejam bem estabelecidas, é

preciso conhecer os objetivos da segurança. É a partir desses
objetivos que se definem, por exemplo, as ferramentas as quais
serão utilizadas na implementação da solução de segurança.
A figura 5.1 apresenta um exemplo de uma estrutura de políticas

que pode ser aplicada a uma organização segmentada por filiais e/
ou grupos/setores de trabalho.
Figura 5.1 - Estrutura de políticas

As políticas globais abrangem as regras para a organização como

um todo. As políticas de grupo e locais estão hierarquicamente
relacionadas com as políticas globais e podem ser estabelecidas
por filiais e ou grupos/setores de trabalho. As políticas
operacionais, de recursos e usuários são específicas aos diversos
segmentos de negócio dentro da organização.
Unidade 5 181
Por exemplo, as políticas de recursos estabelecem

regras de segurança para utilização de recursos
oferecidos pela organização, tanto aos colaboradores
quanto pelos terceiros.
Outro exemplo de aplicação da estrutura apresentada
ocorre quando os objetivos da segurança do
administrador de segurança são bem diferentes
dos objetivos do vendedor de um produto. Os
vendedores tentam tornar o mais simples possível
a configuração da operação dos seus produtos, o
que implica configurações quase sempre abertas. As
políticas operacionais possibilitam estabelecer regras
de segurança para que o ambiente operacional não
esteja tão vulnerável durante as operações de venda
dos produtos pela Internet.
Apresentadas as ideias e os conceitos sobre política de segurança,

a implantação de qualquer política deve levar em consideração
os objetivos de segurança da organização. Sendo assim, a RFC
2196 (1997) apresenta os aspectos que devem ser considerados no
momento de serem estabelecidos os objetivos de segurança:
serviços oferecidos X segurança – cada serviço oferecido

ao usuário pode constituir um risco de segurança a ele
mesmo. Nesse caso, é preciso uma análise para saber se
vale a pena, ou não, manter os serviços oferecidos;
facilidade de uso X segurança – é preciso analisar o

quanto a segurança atrapalhará a vida do usuário.
Pode-se citar como exemplo o uso de senhas, que talvez
torne o sistema menos conveniente para o usuário,
porém, mais seguro;
custo da segurança X risco de perda – os custos

financeiros, de desempenho e facilidade de uso devem ser
analisados. Essa análise pode ser, por exemplo, quanto ao
risco de perda de privacidade e de serviço.
O comprometimento da equipe envolvida com o setor da política

de segurança de uma empresa é fundamental para o sucesso no
projeto e implantação dos controles de segurança.
182
Para que uma política de segurança se torne

apropriada e efetiva, ela deve ter a aceitação e o
suporte de todos os níveis de empregados dentro de
uma organização.
É especialmente importante que a gerência corporativa de uma

organização, na representação de seus diretores, suporte de
forma completa todo o processo da política de segurança, desde
a sua fase de planejamento até a implantação, pois, caso isso não
aconteça, existirão poucas chances de que a política planejada
tenha o impacto desejado dentro da organização.
Durante a criação da política de segurança de uma empresa,

deve-se criar um fórum de segurança com o objetivo de estabelecer
questões como: o escopo de abrangência, o quanto de segurança
é necessário, a periodicidade de revisão, entre outros aspectos
relevantes para a criação e manutenção de uma boa política. Para
isso, algumas pessoas podem estar envolvidas no processo:
administrador de segurança da organização;
equipe de desenvolvimento;
gerente de negócios;
gerente da rede/segurança;
usuários/partes interessadas (stakeholders) afetos à política;
pessoal jurídico.
Uma boa política de segurança deve ter condições de:
ser implementada técnica e organizacionalmente;
ser claramente compreendida pelas áreas de

responsabilidade sobre os usuários, administradores de
sistemas e gerentes de sistemas e negócios;
ter as regras estabelecidas de acordo com as possíveis

ameaças que o sistema de computação possa vir a sofrer;
Unidade 5 183
ser forte, fazendo uso de ferramentas de segurança onde

sejam necessárias;
ser punitiva e prover regras para que incidentes de

segurança da informação, ocasionados diretamente pelo
fator humano, possam ser responsabilizados.
ser flexível e adaptável às mudanças de ambientes;
ser implementada via procedimentos descritos em manual;
ser gerenciável (monitorada e controlada), de forma

simples e eficaz, para que possam ser analisadas e
aplicadas as mudanças, caso necessárias;
possuir o seu documento aprovado pela direção

da organização, bem como ter total apoio na sua
implantação e manutenção;
ter condições de saber, com a política implantada, o

quanto o sistema computacional, por exemplo, está
seguro, ou não, o quanto de funcionalidade a sua rede
oferece, o quanto é fácil operar a sua rede.
Sendo assim, para que todos os itens acima citados possam ser
validados, alguns componentes desta “boa política” devem, por
exemplo, fazer parte do seu documento:
1. normas para aquisição de tecnologia computacional

– especificam as características de segurança necessárias
ou ideais, assessorando na aquisição de dispositivos de
hardware e software;
2. política de privacidade – define as expectativas em

relação à privacidade do tráfego de e-mails, arquivos logs
e arquivos dos usuários;
3. política de responsabilidade – define as

responsabilidades dos usuários e as operações dos
funcionários e gerentes. Pode especificar a forma de
auditoria e normas para agir, no caso de incidentes de
invasão (o que fazer e quem chamar no caso de intrusos
detectados);
184
4. política de acesso – define os direitos de acesso e

privilégios para proteger as informações de perdas
ou revelações, especificando as normas de uso para
os usuários, para as operações de funcionários e
gerentes. Estabelece as normas para conexões externas,
comunicações de dados, dispositivos da rede e a
instalação de softwares em rede;
5. política de autenticação – estabelece a confiança do

sistema via uma efetiva política de senhas, normas de
autenticação de usuários ou dispositivos remotos e a
utilização de dispositivos de autenticação;
6. parâmetros de disponibilidade – estabelece aos usuários

qual a disponibilidade de recursos. Inclui as horas de
operação, períodos fora do ar, informações sobre falhas
no sistema etc.;
7. política de manutenção – estabelece normas para o

pessoal de suporte (interno ou externo) no acesso e
na execução das tarefas de manutenção (corretiva ou
preventiva) do sistema. Um dos itens a ser abordado é a
possibilidade de realizar, ou não, manutenção no sistema
remotamente (ex: COMPAQ acessar o seu ambiente
para a realização de manutenção);
8. política de invasões – define quais tipos de invasão

(interna ou externa) são informadas e quem deve
conhecer;
9. divulgação de informação – informa aos usuários,

funcionários e executivos como agir quando questionados
por pessoas extraempresa sobre incidentes de segurança,
informações consideradas confidenciais ou de propriedade
de alguém, procedimentos de segurança entre outras.
Uma vez criada, mas antes de ser implantada, o documento

da política necessita ser validado. Para isso, é verificada a
concordância desse com os seguintes princípios éticos e condutas-
padrão (acordo de cavalheiros):
Unidade 5 185
1. responsabilidade profissional – todos os funcionários

têm a obrigação de cumprir com as suas metas
profissionais dentro da empresa, sem afetar as suas
normas de segurança;
2. autoridade legal – todos os funcionários respeitam

e reconhecem toda autoridade legal. Funcionários
reprimem condutas desonestas, fraudes, roubos etc.;
3. conflito de interesses – funcionários evitarão interesses

particulares, obrigações e transações que irão de encontro
aos interesses, metas e regulamentos da empresa;
4. confidencialidade – funcionários asseguram que

o segredo será mantido com respeito às diversas
informações confidenciais tratadas ou manipuladas
em relação à empresa ou a qualquer fato/ato relativo à
empresa.
Outro aspecto importante e relevante dentro da política de

segurança é o Plano de Continuidade de Negócios (PCN) e/ou
Plano de Contingência, pois todo sistema computacional, por mais
protegido, possui vulnerabilidades e, por conseguinte, o plano de
continuidade de negócios está sujeito a incidentes de segurança.
É importante você compreender que qualquer vulnerabilidade

pode ocasionar desastres de forma inesperada, gerando grande
perda para empresas que dependem da informática para manter a
continuidade de seus serviços.
É nesse sentido que o processo de gerenciamento da contingência

é implementado. Seu objetivo é reduzir para um nível aceitável
de funcionamento a possibilidade de interrupção das atividades
de negócio causada por um desastre ou falha de segurança, e
proteger os processos críticos do negócio.
Segundo a BS 25999-1 (2006), a continuidade do

negócio consiste na capacidade estratégica e tática de
uma organização planejar, para responder a incidentes
e interrupções do negócio de forma que mantenha
a sua capacidade operacional em um nível aceitável,
pré-definido pela organização.
186
O gerenciamento de continuidade do negócio (GCN) é um

processo de gerenciamento que identifica as possíveis ameaças
a uma organização e os possíveis impactos às operações dos
negócios, no caso dessas ameaças se concretizarem. Este processo
possibilita a obtenção e análise de informações que geram como
produto final uma infraestrutura com base em uma estratégia
integrada e seu plano correspondente (PCN), com o objetivo de
reagir, de forma efetiva, a uma interrupção não programada das
atividades de negócio da organização. Dessa forma, espera-se
garantir a salvaguarda dos principais interesses dos stakeholders,
a reputação, a marca e as atividades de valor criativo. O GCN
possibilita uma visão de todos os ângulos da organização e
facilita a interação com os seus diversos segmentos, conforme
apresentado na figura 5.2.
Figura 5.2 - Modelo de integração do GCN

Fonte: BS 25999-1.
A infraestrututra operacional oferecida pelo GCN busca:
1. melhorar de forma proativa a capacidade de resistência da

organização contra a interrupção das suas habilidades de
alcançar os seus principais objetivos;
2. prover um método de restauração da capacidade de suprir

os seus principais produtos e serviços dentro de um
período de tempo acordado, após a interrupção;
3. liberar a capacidade verificada para gerenciar a

interrupção do negócio e proteger a marca e a reputação
da organização.
Unidade 5 187
Por exemplo: desastres naturais, acidentes, falhas de

equipamentos e ações intencionais – terrorismo.
O gerenciamento da contingência se dá via combinação de

controles preventivos e de recuperação. O processo deve incluir
controles que identificam e reduzem os riscos, limitam as
consequências dos danos causados por incidentes e garantem um
reinício na hora certa das operações essenciais.
Neste caso, todas as consequências de desastres, falhas de

segurança e perda de serviço devem ser analisadas. Após esta
análise, têm-se parâmetros para se desenvolver um plano de
contingência adequado às necessidades de uma Empresa.
Com isso, os planos de contingência são desenvolvidos e
implementados para garantir que os processos do negócio possam
ser recuperados dentro de um período de tempo previsto e
adequado às necessidades da Empresa.
Normalmente, existe um processo de gerência instalado para o

desenvolvimento e a manutenção da continuidade do negócio
da Empresa. O escopo e a estrutura do GCN poderão variar
de acordo com as necessidades de cada organização, bem como
o esforço dispensado. Todavia algumas etapas deverão ser
executadas no ciclo de vida do GCN (BS 25999-1, 2006), como
pode ser visualizado na figura 5.3, a seguir detalhada.
Figura 5.3 - Ciclo de vida do GCN.

Fonte: BS 25999-1.
188
1. Programa de gerenciamento do GCN – possibilita que

a continuidade do negócio seja capaz de ser estabelecida
e mantida de forma apropriada com o tamanho e a
complexidade da organização.
2. Entender a organização – fornece informações que

determinam as prioridades dos produtos e serviços
da organização, e a urgência das atividades que são
necessárias à entrega dos mesmos.
3. Determinar as estratégias do gerenciamento de

continuidade de negócios – permite um conjunto
de estratégias a serem avaliadas. Isso possibilita uma
resposta adequada a ser escolhida para cada produto e
serviço, de forma que a organização possa continuar a
entregá-los. Para isso, é estabelecido um nível aceitável
de operação e dentro de um calendário também aceitável.
A escolha da estratégia possibilitará ter-se em mente a
capacidade de resistência e de opções de contramedidas já
existentes na organização.
4. Desenvolver e implementar as respostas do

GCN – resulta na criação de uma infraestrutura de
gerenciamento de incidente, continuidade de negócios
e os planos de recuperação do negócio que detalham as
fases a serem tomadas durante e após o incidente, com o
objetivo de manter ou restaurar as operações.
5. Exercitar, manter e rever o GCN – apresenta o quanto as

estratégias e os planos são completos, atuais e adequados,
também identifica as possibilidades de melhorias.
6. Implementar o GCN na cultura da organização –

torna o GCN como parte dos valores da organização e
incute confiança em todos os interessados para lidar com
as interrupções.
Todo este esforço de como a política deva ser criada e implantada

em uma organização não é válido se não for levado em
consideração como essa relação é realizada, de acordo com a
Figura 5.4. A estratégia de negócios define o plano diretor de TI,
responsável por definir a política de segurança e especificar os
critérios, para que os sistemas de informação sejam desenvolvidos
Unidade 5 189
e aceitos. Sendo assim, a política de segurança ajuda a alcançar a

estratégia de negócio e gerencia que os controles para a criação e
aceitação dos sistemas de informação sejam realmente executados.
Figura 5.4 - Relação da política de segurança com a organização

Observe na figura 5.4, apresentada anteriormente, que a política

está relacionada diretamente com as metas estabelecidas pelo
plano diretor de tecnologia da informação (TI) da organização.
Note que a política possui um papel estratégico no negócio
da organização, impactando diretamente nas suas atividades
relacionadas à TI.
Seção 2 – Conhecendo a ISO 27002

A norma ISO 27002 estabelece um conjunto de diretivas para
a criação e implantação de uma política de segurança em uma
organização. Essa norma apresenta as recomendações para a
gestão da segurança de informações aos responsáveis por iniciar,
implementar ou manter uma Política de Segurança em suas
organizações.
A norma fornece um conjunto de controles, divididos em grupos,

que podem ser aplicados na organização. Vale a pena ressaltar que
nem todos os controles propostos na norma são obrigatoriamente
190
utilizados pela organização. Cabe ao fórum de segurança,

composto pelas partes interessadas no processo, a responsabilidade
de decidir quais serão os controles aplicados pela política.
Esta etapa de seus estudos visa, somente, a apresentar

a você uma visão da norma ISO 27002, descrevendo
de forma resumida as suas principais seções. Logo,
para que você conheça maiores detalhes sobre os
controles, consulte diretamente a norma.
Acompanhe, a seguir, uma breve explicação sobre as principais

seções da norma ISO27002.
1. Segurança organizacional
A segurança organizacional está direcionada em estabelecer

um conjunto de diretivas e normas para garantir a segurança da
organização.
a) Infraestrutura da segurança da informação
Para que uma infraestrutura de segurança dentro de uma

organização seja estabelecida, alguns fatores são relevantes,
dentre eles estabelecer um grupo de discussão sobre gerência de
segurança, o chamado fórum.
Este fórum assegura a existência de uma direção clara,

fornecendo um suporte para a gerência de segurança.
A equipe da gerência de segurança garante que existe um conjunto

claro de normas de segurança e um suporte de gerenciamento
necessários à execução dessas normas. A ela compete:
rever e aprovar a política de segurança da informação e

todas as responsabilidades envolvidas;
monitorar as mudanças significativas na exposição dos

bens de informação às principais ameaças;
Unidade 5 191
rever e monitorar os incidentes de segurança;
aprovar as iniciativas superiores para melhorar a

segurança da informação.
A equipe de gerência de segurança possui um gerente responsável

em:
coordenar a segurança de informações. Ele deve definir

quais são os controles de segurança, indicando como
implementá-los nos diversos segmentos de negócio;
alocar responsabilidades pela segurança das informações,

sendo que o gerente de segurança é o responsável geral
pelo desenvolvimento e implementação da segurança
e por dar suporte à identificação dos controles. Além
disso, é importante salientar que a responsabilidade pela
alocação de recursos e implementação dos controles
permanecerá com gerentes individuais dos diversos
ambientes existentes;
gerenciar o processo de autorização para facilitar o

processamento de informações. O gerente de segurança
deve aprovar as novas facilidades, verificando também
a compatibilidade do hardware e do software com os
outros componentes do sistema;
Lembre que a utilização de facilidades pessoais

de processamento de informações referente ao
negócio de uma organização pode causar alguma
vulnerabilidade. É por esse motivo que a utilização de
facilitadores pessoais deve ser avaliada e autorizada
pelo gerente de segurança.
gerenciar a cooperação entre organizações, mantendo

os contatos com autoridades policiais, órgãos
regulamentadores, provedores de serviços de informação
e operadoras de telecomunicações. O gerente analisa
quais os tipos de informações que serão trocadas.
192
b) Segurança de acesso por terceiros
O acesso por terceiros deve ser controlado com base em uma

avaliação dos riscos envolvidos que possam afetar a segurança. Os
controles utilizados devem ser acordados e definidos via contrato
assinado em conjunto com a empresa prestadora de serviços. Os
contratos devem incluir todas as pessoas qualificadas a exercerem
atividades dentro da empresa, especificando quais são essas
atividades e as condições de acesso (ex.: quais sistemas, horário de
acesso etc.).
A segurança deve levar em consideração os tipos de acesso,

sejam eles físicos (escritórios, sala de servidores, estruturas de
cabeamento etc.) ou lógicos (banco de dados da organização,
sistemas de informação etc.), o pessoal contratado (pessoal da
limpeza, estagiários etc.), entre outros aspectos.
Por conseguinte, todos os requisitos de segurança para o acesso

do pessoal terceirizado e/ou controles internos devem ser
discutidos, antes dos contratos serem firmados.
O acesso à informação e aos recursos de

processamento da informação ao pessoal terceirizado
não deve ser permitido, até que os controles
apropriados sejam implementados e os contratos
relacionados sejam assinados, definindo os termos da
conexão ou do acesso.
É importante você compreender que os acordos envolvendo o

acesso de terceiros aos recursos de processamento de informação
da organização devem ser baseados em contratos formais que
contenham ou façam referência a todos os requisitos de segurança,
de modo a garantir a conformidade com os padrões e políticas
de segurança da organização. O contrato deve garantir que não
existam desentendimentos entre a organização e as empresas
contratadas. Veja a seguir sugestões de termos de segurança que
devem constar nos contratos com terceiros:
Unidade 5 193
Proteção de bens (integridade e disponibilidade, restrições

relacionadas à cópia e à divulgação da informação etc.);
Descrição de cada serviço que deverá estar disponível;
Responsabilidades e responsabilizações das partes no contrato;
Direitos de propriedade intelectual, direitos autorais legais e
proteção de qualquer tipo de trabalho de colaboração;
Definição de critérios de desempenho variáveis, sua
monitoração e relatórios;
Direito de auditar as responsabilidades contratuais ou ter a
auditoria executada por uma terceira parte;
estabelecimento de um processo escalonável para a resolução
de problemas, bem como planos de contingência para locais
apropriados;
Responsabilidades envolvendo a instalação e manutenção de
hardware e software;
estrutura de relatório clara e formato de relatório;
Controle de proteção física necessária e mecanismos que
possibilitem garantir que tais controles sejam utilizados;
Controles que garantam proteção contra software malicioso;
Planejamento dos relatórios, notificações e investigação dos
incidentes de segurança e violações da segurança;
envolvimento dos terceiros com subcontratações.
2. Classificação e controle dos bens de informação
a) Contabilização dos bens
O inventário dos bens de informação ajuda a verificar se as

proteções são aplicadas adequadamente. A contabilização
também pode ser requerida para outros fins do negócio, como
seguro ou razões financeiras (gerenciamento de bens).
b) Classificação da informação
A informação é classificada para indicar a sua importância, a

sua prioridade e o seu grau de proteção quanto à sensibilidade
e criticidade. Em um sistema de classificação da informação,
194
é definido um conjunto dos níveis de proteção. Esse sistema

informa a necessidade de medidas para a manipulação adequada
das informações em cada nível de proteção.
3. Formas de segurança
A segurança de um ambiente computacional pode ser definida

como um processo de prevenção e detecção de intrusos num
sistema. As medidas de prevenção ajudam a evitar que intrusos
invadam alguma parte do sistema, e a detecção ajuda a
determinar se houve, ou não, alguma invasão, se essa teve sucesso
e o que pode ser feito em relação a isso. São diversas as formas de
se “quebrar” a segurança de um sistema, pois, a cada dia, aparece
uma nova estratégia de se atacar um ambiente. Como a segurança
pode ser quebrada em diferentes aspectos, há diversas formas de
estabelecê-la. Veja como, na sequência.
a) Segurança de Pessoal
As responsabilidades de segurança de pessoal devem ser

atribuídas desde o estágio de recrutamento, especificadas
em contratos e monitoradas durante a vigência do contrato
de empregados. O recrutamento de pessoal deve estar
adequadamente projetado em conformidade com as necessidades
de uma empresa.
Dica! Dessa forma, a recomendação é para que os

funcionários (empregados e terceirizados) assinem um
acordo de confidencialidade em conformidade com o
nível de acesso local.
A política de seleção de pessoal pode incluir itens como:
a disponibilidade de uma referência satisfatória (bancária

ou uma pessoa);
uma verificação exata do currículo do candidato;
a confirmação das qualificações acadêmicas e profissionais;
a verificação independente da identidade (ex.: CPF ou

carteira de motorista).
Unidade 5 195
No caso de os funcionários exercerem funções que manipulem

informações sensíveis (informações financeiras ou informações
extremamente confidenciais), a empresa deve também fazer
uma checagem de crédito e idoneidade. Para funcionários com
autoridade considerável, esse procedimento deve ser revisto
periodicamente. Um processo de seleção semelhante deve ser
feito para funcionários temporários, bem como nas empresas que
os fornecem.
Os acordos de confidencialidade são usados como

advertência de que a informação é confidencial
ou secreta, e os funcionários devem normalmente
assinar tais acordos como parte dos termos iniciais e
condições de contratação.
Os acordos de confidencialidade devem ser revistos quando

existirem modificações nos termos da nomeação ou contratação,
particularmente quando os funcionários são obrigados a sair
da organização ou quando os contratos são obrigatoriamente
finalizados.
Os termos e condições de trabalho devem estabelecer as

responsabilidades dos empregados pela segurança da informação.
Quando apropriado, essas responsabilidades devem continuar
por um determinado período de tempo após terminar o contrato
de trabalho. As ações que poderão ser impetradas nos casos
de descumprimento ao acordo também devem ser incluídas no
contrato.
Os usuários devem ser treinados nos procedimentos de segurança

e no uso correto dos sistemas de processamento da informação,
para minimizar os possíveis riscos de segurança. Além disso, os
usuários de empresas terceirizadas devem receber o treinamento
apropriado e atualização regular das políticas e procedimentos
organizacionais.
Os incidentes que afetam a segurança devem ser informados por

meio dos canais apropriados de comunicação gerencial, tão logo
quanto possível. Todos os empregados e contratados devem ter
conhecimento dos procedimentos para a informação de diversos
tipos de incidentes (violação da segurança, ameaças, fragilidades
ou mau funcionamento).
196
Lembre que esses incidentes podem ter impacto na

segurança dos bens da organização.
É importante você compreender que qualquer incidente observado

ou suspeitado deve ser informado tão logo quanto possível ao ponto
de contato previamente designado. A organização deve estabelecer
um processo disciplinar formal para tratar os empregados que
tenham provocado violações na segurança.
b) Segurança física
As facilidades de processamento de informações críticas ou

sensíveis do negócio devem ser mantidas em áreas seguras,
protegidas por um perímetro de segurança definido, com
barreiras de segurança apropriadas e controle de acesso.
Essas facilidades de processamento devem ser

fisicamente protegidas do acesso não autorizado, de
dano ou interferência, sendo que a proteção fornecida
deve ser mensurada em relação ao risco identificado. Perímetro de segurança
é qualquer coisa que
permita implantar uma
barreira (uma parede,
Essa proteção física pode ser alcançada por meio da criação de um portal com controle
diversas barreiras físicas ao longo do estabelecimento do negócio de entrada, baseado
e das facilidades de processamento da informação. Cada barreira em cartão ou mesmo
estabelece um perímetro de segurança, contribuindo para o um balcão de controle
de acesso com registro
aumento da proteção total fornecida. As organizações devem usar
manual etc.).
os perímetros de segurança para proteger as áreas que contêm
as facilidades de processamento de informação. Sendo assim,
as seguintes diretrizes e controles podem ser consideradas e
implementadas nos locais apropriados:
o perímetro de segurança deve estar claramente definido;
o perímetro de um prédio ou local que contenha as

facilidades de processamento de informação deve ser
fisicamente avaliado (é possível existir algum intervalo no
perímetro ou área onde pode ocorrer um arrombamento).
As paredes externas do local devem ser construções
Unidade 5 197
sólidas, e todas as portas externas devem ser protegidas

de forma apropriada contra acessos não autorizados
(mecanismos de controle, travas, alarmes, grades etc.);
uma área de recepção ou outro meio de controle de

acesso físico ao local ou prédio deve ser usado. O acesso
aos locais ou prédios deve ser restrito apenas ao pessoal
autorizado;
barreiras físicas devem, se necessário, ser estendidas do

andar real ao forro, para prevenir acessos não autorizados
ou contaminação ambiental como as causadas por fogo e
inundações;
todas as portas de incêndio no perímetro de segurança

devem possuir sensores de alarme e devem possuir mola
para fechamento automático.
É importante ressaltar que os equipamentos devem ser

fisicamente protegidos contra ameaças da segurança e perigos
ambientais. A proteção de equipamentos, incluindo aqueles
utilizados fora do local, é necessária para reduzir o risco de
acesso não autorizado a dados e para proteção contra perda
ou dano. Alguns controles especiais podem ser exigidos para
a proteção contra perigos ou acessos não autorizados e para
proteger facilidades de suporte, como o fornecimento elétrico e a
infraestrutura de cabeamento.
c) Instalação e proteção de equipamentos
Os equipamentos devem ser localizados ou protegidos para reduzir

o risco de ameaças ambientais e perigos, e, ainda, oportunidades
de acesso não autorizado. Para isso, deve ser considerado:
se os equipamentos foram instalados de forma a reduzir

acessos desnecessários na área de trabalho;
se o processamento e o armazenamento da informação

que manipulam as informações sensíveis estão
posicionados de maneira a reduzir riscos de espionagem
de informações durante o seu uso;
se os itens que necessitam de proteção especial estão

isolados para reduzir o nível geral de proteção exigida;
198
se existem controles de forma a minimizar ameaças potenciais

(roubo; fogo; explosivos; fornecimento elétrico etc.).
O uso de qualquer equipamento fora da organização

para o processamento da informação deve ser
autorizado pela gerência.
A segurança de equipamentos externos deve ser semelhante àquela

oferecida a equipamentos no local usado com o mesmo propósito,
levando-se em consideração os riscos do trabalho externo à
propriedade da organização.
d) Controles gerais
Os controles gerais têm como objetivo prevenir o comprometimento

ou o roubo de informação, e, ainda, facilidades de processamento da
informação. Uma boa norma é a política de utilização da mesa de
trabalho e monitor de vídeo.
A organização deve considerar uma política

para utilização de mesa de trabalho que abranja,
também, a utilização de papéis e meios magnéticos
removíveis, assim como a utilização de uma política de
monitoramento para as facilidades de processamento
de informação.
O objetivo neste caso é reduzir os riscos de acesso não autorizados, a

perda e os danos à informação durante e fora do horário normal de
trabalho. A política deve levar em consideração a classificação segura
da informação, os riscos correspondentes e os aspectos culturais da
organização.
4. Gerenciamento das operações e comunicações
Gerenciar operações e comunicações pode ser visto como coordenar,

isto é, controlar as atividades e monitorar o uso dos recursos físicos e
lógicos necessários à execução dessas atividades.
Unidade 5 199
a) Procedimentos e responsabilidades operacionais
Os procedimentos de operação identificados pela política

de segurança devem ser mantidos e documentados. Os
procedimentos operacionais são tratados como documentos
formais, assim modificações só podem ser introduzidas com
autorização da gerência e devem especificar as instruções para a
execução detalhada de cada trabalho.
Por exemplo: processamento e manipulação da

informação; agendamento de requisitos, incluindo
interdependências com outros sistemas, o horário
de ativação das primeiras tarefas e horário de
encerramento das últimas tarefas etc.
As modificações nos sistemas e facilidades de processamento da

informação devem ser controladas. O controle inadequado é uma
causa comum de falhas de segurança ou de sistemas. Sempre
que possível, os procedimentos de controle de modificação de
aplicações e de ambiente operacional devem ser integrados,
levando em consideração:
a identificação e registro das modificações significativas;
a análise de impacto potencial de tais mudanças;
o procedimento formal de aprovação das mudanças

propostas;
a comunicação dos detalhes das modificações para todas

as pessoas envolvidas;
os procedimentos de identificação de responsabilidades

para abortar recuperação de situações de mudança sem
sucesso.
As responsabilidades e procedimentos de gerenciamento de

incidentes devem ser estabelecidos para garantir uma resposta
rápida, efetiva e ordenada aos incidentes de segurança. Devem ser
estabelecidos procedimentos que cubram todos os tipos potenciais
de incidentes de segurança, incluindo:
200
falhas dos sistemas de informação e perda de serviço;
não obtenção de serviço;
erros resultantes de dados do negócio incompletos ou

inconsistentes;
violação de confidencialidade.
Em paralelo, não se pode esquecer de levar em

consideração os planos de contingência, projetados
para recuperação de sistemas e serviços com a maior
brevidade possível.
Contudo, deve ser cuidadosa e formalmente controlada a ação

para recuperação de violações de segurança e correção de falhas
do sistema. As trilhas de auditoria e evidências similares devem
ser coletadas e mantidas em segurança, com o objetivo de realizar
futuras análises.
b) Planejamento e aprovação dos sistemas
É necessário um planejamento e uma preparação avançada para

garantir a disponibilidade de recursos e capacidade adequada. Para
isso, deve-se, inicialmente, saber as demandas de capacidade e as
projeções futuras de requisitos, de forma a garantir que um poder
de processamento e armazenamento adequado esteja disponível.
No caso da homologação de um sistema, devem ser estabelecidos

critérios de aprovação e aceitação. As atualizações e as novas
versões devem passar por testes apropriados antes da sua aceitação.
Os gerentes de segurança devem garantir que

os requisitos e critérios para aceitação de novos
sistemas estejam claramente definidos, acordados,
documentados e testados.
Sendo assim, os gerentes de segurança se baseiam em critérios

e requisitos para a aceitação e aprovação de sistemas, conforme
apresentado a seguir:
Unidade 5 201
os requisitos de desempenho e capacidade computacional;
a recuperação de erros e procedimentos de

reinicialização, e planos de contingência;
a preparação de testes de procedimentos operacionais de

rotina para padrões definidos;
o conjunto de controles de segurança acordados e em

utilização;
os procedimentos manuais eficientes;
a evidência de que a instalação de novos sistemas não

afetará de forma adversa os sistemas já existentes,
particularmente nos horários de processamento de pique,
como em final de mês;
a evidência de que se tomou providência relacionada

com os efeitos do novo sistema sobre toda a segurança
organizacional;
o treinamento na operação ou uso dos novos sistemas.
c) Proteção contra softwares maliciosos
Atualmente, são necessárias precauções para prevenir e

detectar a introdução de softwares maliciosos. As facilidades
de processamento da informação e do software são vulneráveis
à introdução de softwares maliciosos, tais como vírus de
computador, cavalos de troia e bombas lógicas. Sendo assim:
Os usuários devem ser informados sobre os perigos

do uso de softwares não autorizados ou maliciosos,
e os gerentes de TI devem, onde for apropriado,
introduzir controles especiais para detecção ou
prevenção contra a instalação desse tipo de software.
Em particular, é essencial que sejam tomadas
precauções para detecção e prevenção de vírus de
computador em computadores pessoais.
202
Além de implantados controles para a detecção e prevenção

contra softwares maliciosos, os gerentes devem introduzir na
organização procedimentos para a conscientização apropriada do
usuário. A proteção contra softwares maliciosos deve ser baseada
na conscientização de segurança, controle de acesso adequado e
mudanças nos controles de gerenciamento. Podem ser utilizados
controles como:
uma política formal para licenças de software, proibindo

o uso de software não autorizado;
uma política formal para proteger contra os riscos

associados a arquivos e uso de softwares obtidos via
Internet, ou por qualquer outro meio;
instalação e atualização regular de antivírus e software

de correção para examinar computadores e meios
magnéticos, tanto como controle preventivo como em
procedimentos rotineiros;
usar o antivírus para examinar qualquer arquivo em

meio magnético, arquivos recebidos a partir de redes ou
e-mails;
procedimentos de gerenciamento e responsabilidades

para tratar com proteção de vírus no sistema,
treinamento para o seu uso, informação e recuperação de
ataques de vírus;
planos de contingência apropriados para a recuperação

em caso de ataques de vírus, incluindo todos os
dados necessários e software de backup e acordos de
recuperação.
d) Manutenção
Devem ser estabelecidos procedimentos de rotina para

implementação da estratégia de backup definida, executando
cópias backup de dados e reavaliação do tempo de restauração,
log de eventos (registro dos eventos ocorridos) e falhas. Onde for
apropriado, é preciso monitorar o ambiente do equipamento.
Unidade 5 203
As cópias de backup das informações essenciais do

negócio e o software devem ser feitas regularmente
e estar disponíveis de forma a garantir que toda
informação essencial ao negócio e todo software
possam ser recuperados, após um desastre ou
problemas nos meios magnéticos que estão
operacionais.
Para isso, algumas boas práticas devem ser consideradas:
um nível mínimo de backup de informação, junto a

um registro consistente e exato das cópias backup de
procedimentos de recuperação documentados devem ser
guardados em local remoto, a uma distância suficiente
para livrá-los de qualquer dano que possa ocorrer no
prédio principal;
o backup da informação deve possuir um nível

apropriado de proteção física e ambiental consistentes
com os padrões aplicados no prédio principal;
os meios magnéticos devem ser periodicamente testados,

onde for praticável, de modo a garantir que a recuperação
das informações possa ser confiável quando necessário;
os procedimentos de recuperação devem ser verificados

periodicamente e testados para garantir que sejam
eficientes e que possam ser completados dentro do tempo
designado nos procedimentos de recuperação.
O uso de log é uma boa prática, pois ele ajuda

na verificação da correta aplicação dos controles
escolhidos. Os logs normalmente devem incluir o
horário de inicialização e finalização do sistema; os
erros e as ações corretivas ocorridas no sistema; a
confirmação da manipulação correta dos arquivos
de dados e resultados emitidos pelo computador;
o nome da pessoa que estabeleceu o log; e uma
verificação regular. Os logs de falhas armazenam
qualquer tipo de falha, a qual deve ser informada, com
o objetivo de executar ações apropriadas de correção.
204
Devem existir regras claras para manipulação de relatórios de

falhas, como:
uma revisão dos logs de falhas, para garantir que essas

sejam resolvidas de forma satisfatória;
uma revisão das medidas corretivas, para garantir que

os controles não sejam comprometidos, e que as ações
tomadas sejam totalmente autorizadas.
e) Gerenciamento da Rede
O gerenciamento de segurança de redes deve se estender até

os limites da organização. Para isso é necessária a utilização
de um conjunto de controles, de modo a garantir a segurança
implementada pelos gerentes das redes. Normalmente, são
considerados os seguintes critérios:
a responsabilidade operacional da rede deve ser separada

das operações dos computadores, onde for apropriado;
devem ser definidas responsabilidades e os

procedimentos pelo gerenciamento de equipamento
remoto, incluindo equipamento nas áreas de usuário;
se houver necessidade, devem ser estabelecidos controles

especiais para garantir a segurança da confidencialidade
e da integridade dos dados que trafegam sobre redes
públicas, assim como a proteção dos sistemas conectados.
Controles especiais também podem ser necessários para
manter a disponibilidade dos serviços de rede e dos
computadores conectados;
as atividades de gerenciamento devem ser

cuidadosamente coordenadas para otimizarem o
serviço ao negócio e para garantirem que os controles
definidos sejam consistentemente aplicados por meio da
infraestrutura de processamento da informação.
Unidade 5 205
5. Controle de acesso
O controle de acesso é um serviço de segurança e tem como

função gerenciar o acesso aos recursos (dados, processos,
dispositivos etc.) de um sistema computacional, limitando as
ações ou operações que um usuário válido possa executar.
As regras para controle de acesso devem estar baseadas na

premissa “O que deve ser geralmente proibido a menos que
seja expressamente permitido”, ao invés de usar a regra mais
fraca, ou seja, “Tudo é geralmente permitido a menos que seja
expressamente proibido”.
a) Requisitos do negócio e da política organizacional
Os requisitos do negócio para controle de acesso devem ser

definidos e documentados, sendo que esses estão diretamente
relacionados com o negócio da organização.
As regras de controle de acesso e direitos para cada

usuário ou grupo de usuários devem ser claramente
estabelecidas em concordância com a política de
acesso.
Aos usuários e aos provedores de serviço é fornecido um

documento contendo os requisitos do negócio a serem satisfeitos
pelos controles de acesso. A política deve levar em conta os
seguintes aspectos:
requisitos de segurança das aplicações individuais do

negócio;
identificação de toda informação relacionada às

aplicações do negócio;
políticas para a disseminação e autorização de

informação (necessidade de se conhecerem os princípios e
níveis de segurança e a classificação da informação);
consistência entre o controle de acesso e as políticas de

classificação da informação dos diferentes sistemas e redes;
206
legislação relevante e qualquer obrigação contratual,

considerando a proteção ao acesso a dados ou serviços;
perfil padrão de acesso de usuário para categorias de

trabalho comuns;
gerência das permissões de acesso em um ambiente

distribuído e conectado em rede, que reconheça todos os
tipos de conexões disponíveis.
Contudo, na especificação de regras de controle de acesso, alguns

cuidados devem ser seguidos:
diferenciação entre as regras que devem sempre ser

incentivadas e regras que são opcionais ou condicionais;
estabelecimento de regras seguindo a premissa de que

tudo deve ser proibido a menos que seja expressamente
permitido. Não utilizar a regra de que tudo deve ser
permitido a menos que expressamente proibido;
diferenciação dos rótulos de informação que são

atribuídos automaticamente pelas facilidades de
processamento da informação e aqueles atribuídos sob
juízo de um usuário;
diferenciação das permissões de usuários que não são

atribuídas automaticamente pelo sistema de informação,
daquelas que são atribuídas pelo administrador;
estabelecimento das regras sobre as situações que

necessitam da aprovação do administrador ou de outro
funcionário antes de se tornarem operacionais, daquelas
que não necessitam de tal aprovação.
Sendo assim, controles voltados para o gerenciamento dos acessos

de usuário devem ser estabelecidos, como:
Gerenciamento do acesso de usuários;
Gerência de privilégios e responsabilidades dos usuários;
Controle de acesso à rede;
Unidade 5 207
Controle de acesso ao sistema operacional e às aplicações;
Controle de acesso às aplicações;
Monitoramento do acesso e do uso do sistema.
6. Monitoramento do uso e do acesso ao sistema
Os logs de auditoria, registrando as exceções e outros eventos de

segurança relevantes, devem ser produzidos e mantidos por um
período de tempo acordado para auxiliar em investigações futuras
e monitoração do controle de acesso. Esses logs podem incluir:
IDs dos usuários;
datas e horários de log on e log off;
identidade do terminal;
registros das tentativas de acesso ao sistema que obtiveram

sucesso e também daquelas que foram rejeitadas.
A estratégia do que for escolhido nesse sentido deve ir ao

encontro das necessidades de segurança da empresa. O resultado
das atividades de monitoração deve ser revisado regularmente,
com uma frequência que varia em função dos fatores de risco.
Para isso, os fatores de risco devem incluir, por exemplo, a
criticidade dos processos de aplicação, o valor, a sensibilidade e a
criticidade das informações envolvidas, entre outros aspectos.
A revisão de log envolve a compreensão das ameaças encontradas

pelo sistema e a maneira pela qual isso pode se concretizar. Os
logs de sistema normalmente contêm um grande volume de
informações, entre as quais muitas são estranhas à monitoração
da segurança. Para ajudar a identificar eventos significativos
para telefones móveis, cuidados especiais devem ser tomados no
sentido de se garantir que as informações do negócio não sejam
comprometidas.
Nesse caso, recomenda-se que seja adotada uma política

formal a qual leve em consideração os riscos de trabalhar com
facilidades de computação móvel, em particular, em ambientes
não protegidos. A política adotada pode incluir os propósitos
208
da monitoração da segurança, a cópia dos tipos de mensagens

apropriadas e geradas automaticamente para um segundo log, e/
ou o uso de utilitários apropriados do sistema ou ferramentas de
auditoria para fazer as consultas, que se fizerem necessárias, aos
arquivos de log.
Exemplo de formato de uma Política de Segurança

Ação Inicial - Carta do Presidente
Parte 1 – Descrição inicial

Introdução – apresenta o documento.
Objetivos – quais os objetivos da política (ex.: definir as
responsabilidades de cada usuário).
escopo – qual será a abrangência da política (ex.: segurança
física, lógica e de pessoal).
Restrições – item relacionado ao manuseio da política.
Conscientização – necessidade de divulgação da política, por
exemplo.
Diretrizes gerais – consiste em diretrizes básicas da política (ex.:
os procedimentos quanto ao tratamento, armazenamento,
manuseio ou a sua destruição, de documentos estarão em
conformidade com o seu grau de confidencialidade).
Parte 2 – Declaração de Regras Operacionais

este documento é direcionado às políticas, às práticas e
aos procedimentos a serem empregados pela Política de
Segurança na execução dos seus serviços.
este documento não preconiza e nem define os termos e as
condições em que serão utilizados os controles.
Parte 3 – Instruções para a equipe técnica

O documento apresenta os procedimentos detalhados e regras
que devem ser seguidas pelos técnicos, de forma a atender as
diretrizes da política de segurança do sistema da empresa.
Unidade 5 209
São normalmente abordados os seguintes tópicos:

a responsabilidade pela política de segurança;
atualização e revisão;
análises críticas e avaliação;
modelo com requisitos para análise de segurança.
Parte 4 – Instruções para os usuários do Sistema Computacional

essa parte do documento consiste em uma guia onde estão
especificados todos os procedimentos e regras que devem ser
seguidos pelos usuários.
Seção 3 – Auditoria na informática

Auditoria pode ser definida como uma atividade que engloba
o exame das operações, processos, sistemas e responsabilidades
gerenciais de uma determinada entidade, com o intuito de
verificar a sua conformidade com certos objetivos e políticas
institucionais, orçamentos, regras, normas ou padrões.
Outra forma de se definir uma auditoria é:
Uma auditoria consiste em estabelecer e executar

procedimentos para a coleta de dados gerados pela
atividade de um sistema computacional (uma rede,
sistema de informação ou qualquer dispositivo de
hardware ou software).
Esses dados podem ser utilizados na análise de segurança do

sistema computacional em questão, visando a detectar as falhas
ocorridas, para que possam ser corrigidas e responder aos
incidentes de segurança ocorridos. Toda a auditoria é dividida em
três fases (DIAS, 2000):
Planejamento – identifica os instrumentos indispensáveis

à sua realização;
210
Execução – reúne as evidências teoricamente confiáveis,

relevantes e úteis para a realização dos objetivos da
auditoria;
Relatório – são apresentados os resultados, análises e

conclusões por escrito.
1. Conceitos gerais de auditoria
De acordo com Dias (2000), conceitos como campo, âmbito e

natureza são básicos para qualquer tipo de auditoria. Acompanhe:
Campo – está relacionado ao objeto (pode ser uma

instituição pública ou privada, ou um determinado
setor dela mesma) a ser fiscalizado, período e o tipo da
auditoria (operacional, financeira etc.);
Âmbito – define o grau de abrangência e a profundidade

das tarefas;
Área de verificação – delimita de modo preciso os temas

da auditoria, em função da entidade a ser fiscalizada e da
natureza da auditoria.
Veja outros termos que devem ser considerados. Estão na

sequência.
Controle – consiste na fiscalização exercida sobre as

atividades de pessoas, departamentos, produtos etc.,
de forma que as atividades executadas ou produtos
mantenham-se dentro das normas preestabelecidas. Três
tipos de controles são exercidos:
a) Preventivos – previne erros e invasões, por exemplo:

identificação e autenticação de usuários do sistema, via
a utilização de senhas;
b) Detecção – detecta erros, tentativas de invasões etc,

por exemplo: arquivos logs, realização de controle de
acesso de usuários;
c) Corretivos – minimiza o impacto causado por falhas

ou erros e corrige os erros e essas falhas, por exemplo:
política de segurança, plano de contigência;
Unidade 5 211
Objetivos de controle – são metas de controle a serem

alcançadas, ou aspectos negativos a serem evitados em
cada transação, atividade ou função fiscalizada;
Procedimentos de auditoria – é um conjunto de

verificações e averiguações que permite obter e analisar
as informações necessárias ao parecer do auditor. Esses
procedimentos devem ser de conhecimento dos auditores
antes do início da auditoria;
Achados de auditoria – são fatos a serem considerados

como importantes para o auditor. Para que esses dados
constem no relatório, eles devem estar baseados em fatos
e evidências;
Papéis de trabalho – são registros que evidenciam atos e

fatos observados pelo auditor (planilhas, documentos etc.);
Recomendações de auditoria – realizadas na fase

de relatório, constituem-se em medidas corretivas
exequíveis, sugeridas para corrigir as falhas detectadas.
2. Natureza da auditoria
A natureza da auditoria está diretamente relacionada ao tipo

de auditoria, à área ou setor envolvido com ela e à forma de
abordagem durante a sua realização. Veja como podem ser
visualizados os itens citados.
a) Quanto ao órgão fiscalizador
Auditoria interna – realizada por um setor interno da

empresa. Esse serviço deve ser independente e somente
dirigir-se à direção da empresa;
Auditoria externa – realizada por uma instituição externa

e totalmente sem vínculos com a empresa auditada;
Auditoria articulada – consiste em um trabalho

executado em conjunto por auditorias interna e externa.
212
b) Forma de abordagem
Horizontal – trabalha com um tema específico, realizada

em várias entidades ou serviços paralelamente;
Orientada – direcionada, em uma atividade específica.
c) Tipo ou área envolvida – alguns exemplos seguem abaixo:
Administrativa – engloba o plano da organização, seus

procedimentos e documentos de suporte à tomada de
decisão;
Operacional – opera em todos os níveis de gestão, desde a

fase de programação, passando pela execução e supervisão.
É conhecida como a auditoria de eficiência, de gestão, de
resultados, sendo auditados todos os sistemas e métodos
utilizados pelo gerente na tomada de decisões;
Tecnologia da informação – basicamente operacional, em

que sistemas de informação, ambientes computacionais,
segurança, entre outros aspectos, são analisados por
auditores, identificando as falhas e os aspectos positivos.
3. Aspectos da auditoria em tecnologia da informação

(auditoria de sistemas ou auditoria de informática)
Como descrito anteriormente, a auditoria analisa a gestão de

recursos. De acordo com Dias (2000), a auditoria da tecnologia
da informação enfoca os seguintes aspectos:
Eficiência – é a relação entre os produtos, bens e serviços

produzidos ou outros resultados atingidos por uma
unidade ou entidade, tendo em conta a quantidade e
a qualidade apropriada e os recursos utilizados para
produzi-los ou atingi-los; menor custo, maior velocidade,
melhor qualidade;
Eficácia – é o grau em que uma organização, programa,

processo, projeto, operação, atividade, função ou sistema
atingem os objetivos da política, as metas operativas
estabelecidas e outros resultados e efeitos previstos;
Unidade 5 213
Economia – é o grau em que uma organização,

programa, processo, projeto, operação, atividade, função
ou sistema minimizam o custo dos recursos humanos,
financeiros e materiais, adquiridos ou utilizados, tendo
em conta a quantidade e qualidade apropriadas, ou seja, é
a prática, por parte da gerência, das virtudes de poupança
e boa economia doméstica (gastando menos);
Efetividade.
A auditoria da tecnologia da informação pode ter a

abrangência de todo o ambiente computacional, ou
apenas contemplar o departamento de informática,
ou, os serviços específicos.
Segundo Dias (2000), auditoria da tecnologia da informação

pode dividir-se em subáreas. Confira-as a seguir.
a) Auditoria da segurança da informação – determina como

a instituição se comporta em relação à segurança. Avalia
a política de segurança e os controles relacionados com
aspectos de segurança. Ela abrange:
Avaliação da política de segurança;
Controles de acesso lógico;
Controle de acesso físico;
Controles ambientais;
Plano de contingências e continuidade de serviços.
b) Auditoria da tecnologia da informação – além dos

aspectos relacionados com a auditoria da segurança,
abrange também outros controles que podem influenciar
a segurança de informações e o bom funcionamento dos
sistemas de toda a organização. Estes controles são:
Organizacionais;
Operação dos sistemas;
214
Sobre banco de dados;
Sobre microcomputadores;
Sobre ambientes cliente-servidor.
c) Auditoria de aplicativos – aplica-se à segurança e

ao controle de aplicativos, conforme os aspectos de
orçamento, contabilidade, estoque etc. Esse tipo de
auditoria compreende:
Controle sobre o desenvolvimento de sistemas aplicativos;
Controle de entrada, processamento e saída de dados;
Controle sobre o conteúdo e o funcionamento do

aplicativo, com relação à área por ele atendida.
4. Planejamento de uma auditoria de tecnologia da

informação
Durante essa fase, são identificados e verificados todos os itens

necessários à realização da auditoria (DIAS, 2000). Acompanhe.
a) Pesquisa das fontes de informação – é adquirida a maior

quantidade de informações sobre a instituição a ser
auditada e também sobre seu ambiente computacional,
possibilitando estabelecer os aspectos iniciais do plano
de auditoria. Todo esse conhecimento inicial possibilita
à equipe de auditoria ter uma visão básica do grau
de complexidade de todo o ambiente computacional
(hardware e software) que irá encontrar, possibilitando
que ela se prepare tecnicamente (estudando o ambiente)
e providencie os dispositivos necessários (ex.: ferramentas
de software) para a realização da tarefa.
b) O que/onde coletar – os principais dados a serem

coletados são o tipo do hardware, sistemas operacionais,
SGBD, recursos de segurança, componentes das áreas a
serem auditadas. Algumas dessas informações podem ser
obtidas via entrevistas, com os componentes das áreas,
mas vale a pena ler relatórios anteriores de auditoria,
documentos que abordem os aspectos operacionais dos
dispositivos de software e hardware, documentos sobre a
segurança da empresa (política de segurança) etc.
Unidade 5 215
c) Campo, âmbito e subáreas – o campo é composto

pelo objeto (um sistema de informação ou um módulo
etc.), período e natureza (tecnologia da informação). O
âmbito consiste na avaliação da eficácia dos controles
(sejam preventivos, detectores ou corretivos). Por fim,
as subáreas: essas estão em concordância com o objeto
a ser auditado (segurança da informação – pode-se ter
as subáreas de controle de acesso lógico, controles de
desenvolvimento de sistemas por terceiros, segurança de
pessoal etc.).
d) Recursos necessários – recursos humanos (a equipe),

recursos econômicos (previsão de gastos) e recursos
técnicos (quais dispositivos de hardware, software e
documentos técnicos serão utilizados).
e) Metodologias – entrevistas e técnicas ou ferramentas de

apoio.
f) Objetivos de controle e procedimentos de auditoria – têm

como objetivo direcionar a auditoria nas áreas que serão
executadas. Os objetivos possuem uma área com escopo
amplo, enquanto os procedimentos descrevem aspectos
específicos dentro de cada objetivo (segurança, efeitos de
terceirização de serviços etc.).
5. Execução e Relatório
Durante a execução da auditoria, as evidências úteis à auditoria

são coletadas, interpretadas e analisadas, possibilitando uma
conclusão adequada. Dividem-se as evidências em 4 tipos:
a) Física – pode-se citar como exemplo observações de

atividades de sistemas, gerentes e administradores de
rede e segurança etc.;
b) Documentária – podem ser obtidas via registros logs,

relatórios emitidos pelo sistema etc.;
c) Fornecida pela entidade que está sofrendo a auditoria –

documentos sobre sistemas, faturas etc.;
d) Analítica – comparações, cálculos e interpretações de

documentos fornecidos em diferentes períodos.
216
A inclusão, ou não, de uma determinada evidência é baseada

na sua importância para os objetivos da auditoria, e o tempo e o
esforço necessários para esclarecer os pontos que não estão claros.
Porém, qualquer evidência incompatível com a auditoria que
está sendo realizada pode corresponder a um início para outra
auditoria.
O relatório contém todas as evidências, conclusões e,

normalmente, recomendações e/ou determinações.
Para a geração do relatório final, as diversas áreas de auditoria

apresentam os seus relatórios parciais. Esses relatórios são
analisados pela equipe como um todo, gerando um relatório final.
O relatório final normalmente é entregue a quem solicitou a
auditoria.
A estrutura do relatório pode incluir os seguintes itens:
a) Dados da entidade auditada – os dados são referentes

à sua identificação, localização, diretoria, gerentes de
negócio/área etc.;
b) Resumo – tem como objetivo apresentar um resumo do

conteúdo do relatório. Possibilita uma visão macro do
documento;
c) Dados da auditoria – Exemplo: objetivos da auditoria,

equipe, natureza e objeto;
d) Introdução – uma abordagem da entidade a ser

auditada, descrição do setor a ser auditado e como o
trabalho foi desenvolvido;
e) Falhas detectadas – apresentar, por áreas, as falhas e

irregularidades visualizadas durante a auditoria, com
uma análise de cada falha;
f) Conclusão – são resumidos os principais pontos do

relatório e as recomendações/determinações da equipe,
com a finalidade de superar as falhas descobertas.
Unidade 5 217
Síntese
Nesta unidade, você estudou o que é uma política de segurança

e as diretivas do seu desenvolvimento. Você pôde observar, nesta
unidade, que a norma ISO 27002 é a responsável em direcionar
toda a criação da política de segurança, pois apresenta um
conjunto de controles para cada segmento da empresa.
Você viu também que, apesar de existir uma norma a qual

proporciona um conjunto de diretivas, o fator humano é
fundamental no sucesso de todo o processo. Nesse sentido, você
pôde acompanhar que todas as decisões quanto ao levantamento
das necessidades e escolha de controles, entre outros aspectos,
estão diretamente ligadas à capacidade da equipe de gerência de
segurança e seu gerente.
Sendo assim, você pôde concluir que a escolha da equipe é

fundamental para que uma política de segurança possa ser bem
projetada e especificada.
1) Qual a importância da política de segurança para uma empresa?
218
2) Quais são os componentes de uma boa política de segurança?
Unidade 5 219
3) Para que o documento de uma política de segurança seja válido, deve-

se verificar a concordância com alguns princípios éticos e condutas-
padrão. Cite e explique esses princípios e condutas.
4) Qual a importância do controle de acesso na segurança da informação

para uma organização?
220
Saiba mais
Para saber mais sobre o assunto, consulte:
DIAS, Cláudia. Segurança e auditoria da tecnologia da

informação. São Paulo: Excel Books, 2000.
Unidade 5 221
Para concluir o estudo
Ao término desta disciplina, pôde-se formar uma base

de conhecimento de segurança da informação por meio
da apresentação de conceitos básicos e diretivas para o
planejamento e gestão de uma solução de segurança.
O conteúdo apresentado na disciplina não encerra o

assunto: a busca sem fim pelo conhecimento se faz
necessária. Além das referências apresentadas, a internet
é uma fonte inesgotável do assunto.
As boas práticas de segurança são estratégicas para o

negócio da segurança. Várias questões carecem de estudos
mais amplos, amadurecendo as práticas existentes e
desenvolvendo novas. Essa afirmação se deve ao fato de
que a segurança é um assunto inesgotável, pois, a cada
instante, novas ameaças surgem no mundo computacional.
Que bons ventos o(a) levem a portos seguros neste novo

desafio que é projetar, implantar e manter a segurança
em empresas.
Boa sorte,
Prof. Msc. Luiz Otávio B. Lento

Referências
BACE, Rebeca; MELL, Peter. Intrusion detection systems. NIST

Special Publication on IDS. 2000.
BISHOP, M. Computer security art and science. Boston: Addison
Wesley, 2003.
BS 25999-1 Business continuity management – Part 1: Code of
practice. BSI – British Standarts. 2006.
BS 25999-2 Business continuity management – Part 2:
Specification. BSI – British Standarts. 2007.
BURNETT, S; PAINE, S. Criptografia e Segurança: o Guia Oficial
RSA. Editora Campus, RSA Press, 2002.
CARLISLE, Adams; LOYD, Steve . Undestanding public-key
infraestrucuture: Concepts, standards, and deployment
considerations. Indianapolis, IN: Macmillan. 1999.
CHOKHANI, S; FORD, W. Internet X.509 Public Key
Infrastructure. RFC 2527. 1999.
CICCO, Francesco. Gestão de riscos – A norma AS/NZS
4360:2004”. São Paulo: Risk Tecnologia Editora, 2004.
DIAS, Cláudia. Segurança e auditoria da tecnologia da
informação. São Paulo: Excel Books, 2000.
DORA, Daniel Seleme. Tutorial sobre auditoria de segurança.
Pelotas: Universidade Católica de Pelotas, 2004.
FEGHHI, J; WILLIAMS, P. Digital certificates: applied internet
security. reading. Massachusetts: Addison Wesley, 1999.
FERMA. Norma de gestão de riscos. Ferma - Federation of
European Risk Management Associations, 2002.
FRASER, B. RFC 2196 - Site security handbook, ISO/IEC 1997.
HOUSLEY, R; W. FORD, W; POLK; SOLO, D. Internet X.509 Public
Key Infrastructure. RFC 2459. 1999.
ISO 73 (2002) ISO IEC Guide 73 – Risk Management, Vocabulary,
Guidelines for use in standarts. ISO IEC.
ISO/IEC 27001. Tecnologia da informação - Técnicas de Segurança –

Sistemas de Gerenciamento de Segurança da Informação – Necessidades.
ISO/IEC. 2005.
ISO/IEC 27002. Information technology - Security techniques - Code of
practice for information security management - Redesignation of ISO/IEC
17799. 2005.
ISO/IEC 27005. Information technology -- Security techniques -
Information security risk management (draft). 2008.
MELLO, Agostinho de Oliveira. Instituto dos auditores internos do
Brasil. Organização básica da auditoria interna. Biblioteca Técnica de
Auditoria Interna, 2005.
MELO, Sandro. Exploração de vulnerabilidades em redes TCP/IP. Alta
Books, 2006.
NAKAMURA, E. Tissato & Geus, P. Licio. Segurança de redes. Ed. Futura,
2004.
NED, Frank Ferramentas de IDS. Boletim bimestral sobre tecnologia
de redes produzido e publicado pela RNP – Rede Nacional de Ensino e
Pesquisa. Volume 3, número 5. 1999.
RAMOS, Anderson; et al. Guia oficial para formação de gestores em
segurança da informação, Security Officer. Módulo Education Center,
2007.
SÊMOLA. Marcos. Gestão da segurança da informação – uma visão
executiva. Módulo Security. Rio de Janeiro: Editora Campus, 2003.
STONEBURNER, Gary; GOGUEN, Alice & FERINGA, Alexis. NIST Special
Publication 800-30, Risk Management Guide for Information Technology
Systems, NIST - National Institute of Standards and Technology, 2002.
TZU, Sun. A arte da guerra. Porto Alegre: Pradense , 2007.
WITZEL, Blair. Bad things that can happen to good people: Identifying
project risks. 2005.
ZWICKY, Elizabeth D.; COOPER, Simon; CHAPMAN, D. Brent. Building
internet firewalls. Ed: O’Reilly. 2000.
226
Sobre o professor conteudista
Luiz Otávio Botelho Lento é oficial da Marinha

da reserva; mestre em Ciência da Computação pela
UNICAMP (Sistemas Distribuídos); doutorando na
UFSC em Engenharia Elétrica, no Departamento de
Automação de Sistemas, com concentração na área de
Segurança. Atuou no governo, na área de Gerência
de Redes, Segurança da Informação e Software Livre.
É consultor de treinamento da Aker Security Solutions;
consultor na área de Redes e Segurança da empresa
Immerson; gerente de rede e de segurança da Rede
Acadêmica do UNICEUB; professor de disciplinas
nas áreas de Rede de Computadores, Segurança
da Informação e Programação, na graduação do
UNICEUB, bem como orientador de projetos finais.
Foi professor de graduação e pós-graduação na área de
Redes de Computadores, Segurança, Programação e
Modelagem na Universidade Católica de Brasília (UCB),
bem como orientador de projetos finais. Foi também
coordenador de cursos de pós-graduação na UCB.
Atualmente, é professor de graduação e pós-graduação
da Unisul na área de Redes, Segurança da Informação e
Software Livre; e consultor na área de Redes, Projetos de
Sistemas Distribuídos e Segurança da empresa TruelT
Tecnologia da Informação.
Respostas e comentários das
atividades de autoavaliação
Unidade 1
1) Levantamento das informações. Porque, via essas
informações, os atacantes irão buscar brechas de segurança,
com a finalidade de concretizar um ataque.
2) Porque a premissa desse algoritmo é o mesmo princípio do

resumo, isto é, de um texto chegamos a um resumo, mas de
um resumo não chegamos a um texto.
Unidade 2
1)
• Maior segurança nas transações eletrônicas.
• Interoperabilidade de aplicações dentro de uma empresa.
• Interoperabilidade entre empresas de forma segura.
2)
• Modo de transporte – somente parte dos dados é
criptografada (alguns bytes são adicionados ao tamanho do
pacote); assim, o cabeçalho IP não é modificado.
• Modo de túnel – a autenticação e criptografia são executadas
em todo o pacote.
• Modo combinado – faz uso do modo túnel e transporte.
Unidade 3
1) Um SGSI possui uma função estratégica para qualquer
organização. Ele possibilitará a manutenção constante e
efetiva da segurança da informação na organização.
2) Plan (Planejar) – são estabelecidas a política, objetivos, processos e

procedimentos relevantes ao gerenciamento de risco.
Do (Executar) – implementa e opera a política, controles, processos e
procedimentos do SGSI.
Check (Verificação) – avaliam-se o desempenho dos processos, política,
objetivos e a experiência prática.
Act (Manutenção e Monitorar) – são realizadas ações preventivas e
corretivas com base nos resultados da auditoria do SGSI.
3) A auditoria de um SGSI é dividida em 3 etapas: planejamento, execução

e relatório. Explique, de forma sucinta, essas fases.
Planejamento – identifica os instrumentos indispensáveis à sua
realização. Execução – reúne as evidências teoricamente confiáveis,
relevantes e úteis para a realização dos objetivos da auditoria. Relatório
– são apresentados os resultados, análises e conclusões por escrito.
Unidade 4
1) Tem como objetivo atingir um equilíbrio apropriado entre o
reconhecimento de oportunidades e ganhos e a redução.
2) Porque a sua aplicação determina a extensão de uma potencial ameaça

e o seu risco associado.
3)
a) A atividade a ser executada pelo sistema – leve em consideração quais
as funcionalidades que os processos executam.
b) A criticidade dos dados e do sistema – leve em consideração aspectos
como a disponibilidade dos dados para consulta e dos serviços que o
sistema oferece.
c) A sensibilidade dos dados e do sistema – a sensibilidade engloba o grau
de confidencialidade dos dados e os níveis de acesso ao sistema.
4)
a) Determinar a origem das vulnerabilidades – Nessa fase é realizada a
coleta das informações, podendo ser originária de várias.
230
b) Testar a segurança do sistema – O uso de ferramentas automáticas

para escanear o sistema e realizar testes de invasão, com as respectivas
avaliações, dão uma visão das vulnerabilidades que o ambiente possui.
c) Desenvolver uma lista de verificação das necessidades de segurança
– Durante essa fase, a análise de risco determina se as necessidades
de segurança estipuladas para o sistema computacional e coletadas
durante a caracterização do sistema podem ser encontradas pelos
controles de segurança existentes.
Unidade 5
1) A política de segurança tem uma importância estratégica para a
organização. A sua criação e implantação de forma adequada serve
como um “norte” para todos os componentes na organização, pois
estabelece um conjunto de normas de segurança a serem seguidas.
2)
• Normas para aquisição de tecnologia computacional – especifica
as características de segurança necessárias ou ideais, assessorando na
aquisição de dispositivos de hardware e software.
• Política de privacidade – define as expectativas em relação à
privacidade do tráfego de e-mails, arquivos logs e arquivos dos
usuários.
• Política de responsabilidade – define as responsabilidades dos
usuários, as operações dos funcionários e gerentes. Pode especificar a
forma de auditoria e normas para agir, no caso de incidentes de invasão
(o que fazer e quem chamar no caso de intrusos detectados).
• Política de acesso – define os direitos de acesso e privilégios para
proteger as informações de perdas ou revelações, especificando as
normas de uso para os usuários, para as operações de funcionários e
gerentes. Estabelece as normas para conexões externas, comunicações
de dados, dispositivos vivos da rede e a instalação de softwares em rede.
• Política de autenticação – estabelece a confiança do sistema via uma
efetiva política de senhas, normas de autenticação de usuários ou
dispositivos remotos e a utilização de dispositivos de autenticação.
• Parâmetros de disponibilidade – estabelece aos usuários qual a
disponibilidade de recursos. Inclui as horas de operação, períodos fora
do ar, informações sobre falhas no sistema etc.
• Política de manutenção – estabelece normas para o pessoal de
suporte (interno ou externo) no acesso e na execução das tarefas de
manutenção (corretiva ou preventiva) do sistema. Um dos itens a ser
abordado é a possibilidade de realizar, ou não, manutenção no sistema
231
remotamente (ex: COMPAQ acessar o seu ambiente para a realização de

manutenção).
• Política de invasões – define quais tipos de invasão (interna ou
externa) são informadas e quem deve conhecer.
• Divulgação de informação – informa aos usuários, funcionários e
executivos, como agir, quando questionados por pessoas extraempresa
sobre incidentes de segurança, informações consideradas confidenciais
ou de propriedade de alguém, procedimentos de segurança entre
outras.
3)
• Responsabilidade profissional – todos os funcionários têm a
obrigação de cumprir com as suas metas profissionais dentro da
empresa, sem afetar as normas de segurança dela.
• Autoridade legal – todos os funcionários respeitam e reconhecem
toda a autoridade legal. Funcionários reprimem condutas desonestas,
fraudes, roubos etc.
• Conflito de interesses – funcionários evitarão interesses particulares,
obrigações e transações que irão de encontro aos interesses, metas e
regulamentos da empresa.
• Confidencialidade – funcionários asseguram que o segredo será
mantido com respeito às diversas informações confidenciais tratadas
ou manipuladas em relação à empresa ou qualquer fato/ato relativo à
empresa.
4) A sua importância está em evitar acessos e operações indesejadas,

gerenciando o acesso aos recursos (dados, processos, dispositivos etc.)
do sistema computacional, limitando as ações ou operações que um
usuário válido possa executar, com base em um conjunto de normas
(política de segurança).
232
Biblioteca Virtual
Veja a seguir os serviços oferecidos pela Biblioteca Virtual aos

alunos a distância:
Pesquisa a publicações on-line
www.unisul.br/textocompleto
Acesso a bases de dados assinadas

www. unisul.br/bdassinadas
Acesso a bases de dados gratuitas selecionadas

www.unisul.br/bdgratuitas
Acesso a jornais e revistas on-line

www. unisul.br/periodicos
Empréstimo de livros
www. unisul.br/emprestimos
Escaneamento de parte de obra*
Acesse a página da Biblioteca Virtual da Unisul, disponível no

EVA, e explore seus recursos digitais.
Qualquer dúvida, escreva para bv@unisul.br
* Se você optar por escaneamento de parte do livro, será lhe enviado o

sumário da obra para que você possa escolher quais capítulos deseja solicitar
a reprodução. Lembrando que para não ferir a Lei dos direitos autorais (Lei
9610/98) pode-se reproduzir até 10% do total de páginas do livro.

3P - Segurança Da Informação

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

3P - Segurança Da Informação

Enviado por

Direitos autorais:

Formatos disponíveis

Universidade do Sul de Santa Catarina

Edição – Livro Didático

Projeto Gráfico e Capa

1. Proteção de dados. 2. Sistemas de recuperação da informação – Medidas

Ficha catalográfica elaborada pela Biblioteca Universitária da Unisul

iniciais.indd 4 02/03/12 10:42

UNIDADE 1 - Fundamentos de segurança da informação. . . . . . . . . . . . . . . . 15

Para concluir o estudo. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223

Este livro didático corresponde à disciplina Segurança da

O material foi elaborado visando a uma aprendizagem autônoma

Lembre-se que sua caminhada, nesta disciplina, será

Então, sempre que sentir necessidade entre em contato; você tem

Bom estudo e sucesso!

Seja bem-vindo(a) à disciplina Segurança da Informação!

Como você já deve saber, a informação e o conhecimento são,

A globalização dos negócios, em conjunto com a evolução

Sendo assim, a segurança em uma empresa passa a constituir

Este livro tem como objetivo apresentar a você uma visão

Prof. Msc. Luiz Otávio B. Lento

O plano de estudos visa a orientá-lo no desenvolvimento da

O processo de ensino e aprendizagem na UnisulVirtual leva

São elementos desse processo:

 o Espaço UnisulVirtual de Aprendizagem (EVA);

 as atividades de avaliação (a distância, presenciais e de

 Conhecer, desenvolver e aplicar Sistemas de Gerência de

 Desenvolver e aplicar políticas de segurança.

 Estudar e desenvolver políticas de gestão de risco.

Unidade 1 - Fundamentos de segurança da informação

Esta unidade apresenta os conceitos básicos sobre segurança da

Unidade 2 – Mecanismos e dispositivos de segurança

Esta unidade demonstra como se dá a proteção por meio dos

Unidade 3 – Sistemas de Gerência de Segurança da Informação (SGSI)

Esta unidade esclarecerá o que é um Sistema de Gerência de

Unidade 4 – Gestão de risco

Esta unidade apresentará a você o que é gerenciamento de risco.

Unidade 5 – Política de segurança

Esta unidade busca apresentar a você o que é uma política de

 Verifique com atenção o EVA, organize-se para acessar

 Não perca os prazos das atividades. Registre no espaço

 Use o quadro para agendar e programar as atividades

Demais atividades (registro pessoal)

 Compreender os aspectos referentes à necessidade de

 Estudar os elementos contrários à segurança da

 Conhecer os principais algoritmos de criptografia.

Seção 2 Estratégias de segurança

Seção 3 A força oposta

Seção 4 Aspectos fundamentais de criptografia

Para início de estudo

Figura 1.1 - Governança / Segurança

Seção 1 – Conceitos básicos

A segurança da informação é caracterizada como a

Atualmente, existe uma grande preocupação com a segurança

Pode-se dizer que o objetivo da segurança na

A segurança em sistemas computacionais, além de colecionar

Por que se precisa de segurança?

Segurança é sinônimo de maior qualidade de serviço e maior

Figura 1.2 - Percepções do ROI de segurança

Gestão da segurança da informação: necessidade de ter

A dependência em sistemas de informação e serviços

A interconexão das redes privadas, a internet e o

Figura 1.3 - Registro de ataques em empresas

A figura 1.3 apresentou uma pesquisa sobre registros de ataques

Figura 1.4 - Visão panorâmica de ameaças que põem em risco o negócio

Segundo Sêmola (2003), segurança da informação é uma área

o Espaço UnisulVirtual de Aprendizagem (EVA);

as atividades de avaliação (a distância, presenciais e de

Conhecer, desenvolver e aplicar Sistemas de Gerência de

Desenvolver e aplicar políticas de segurança.

Estudar e desenvolver políticas de gestão de risco.

Verifique com atenção o EVA, organize-se para acessar

Não perca os prazos das atividades. Registre no espaço

Use o quadro para agendar e programar as atividades

Compreender os aspectos referentes à necessidade de

Estudar os elementos contrários à segurança da

Conhecer os principais algoritmos de criptografia.

A segurança como “meio” – a segurança da informação

A segurança como “fim” – a segurança da informação

confidencialidade – a segurança de um sistema

integridade – a segurança de informação deve sempre

disponibilidade – consiste na capacidade de manter

interna – quando proveniente de dentro da empresa;

externa – quando a sua origem for externa à empresa.

físicas – acessos indevidos a compartimentos que

naturais – computadores são vulneráveis a desastres

hardware e software – certos tipos de hardware falham

comunicações – se o computador está fisicamente

humana – as pessoas que administram ou usam o

ativa – desencadeada por ataques que interagem

passiva – não há interação com a máquina atacada. O

Segurança em hosts – privilegia a colocação de controles