Desafios para implantar segurança da informação em escola pública

CENTRO UNIVERSITÁRIO UNA
UNATEC
CURSO SUPERIOR DE TECNOLOGIA EM
REDES DE COMPUTADORES
Quais os desafios para se implantar segurança da informação na

Escola Estadual Técnico Industrial Professor Fontes?
Componentes:
RODRIGUES, Alexander
SILVEIRA, Antônio
OLIVEIRA, Carina
JÔNATAS, Jardel
RIBEIRO, Junior
CEZAR, Nilo
LUIZ, Wedber
Belo Horizonte
1° semestre /2014
Resumo
Esse trabalho tem como objetivo principal uma pesquisa para identificar quais os
desafios para se implantar segurança da informação em uma instituição de ensino
publica, identificando seus atuais problemas relacionados à segurança,
apresentando um projeto de implantação de um sistema de gestão de segurança
da informação em uma escola estadual técnica, criando soluções que sejam
viáveis a realidade financeira e estrutural da instituição. Realizando adequações
técnicas como implantação de serviços de segurança de rede, sistemas de
backups e a elaboração de uma politica de segurança baseada em normas
técnicas.
2
LISTA DE FIGURAS
Figura 1 – Faixada Escola Estatual Professor fontes..........................................................16
Figura 2 – Topologia de Rede da Escola atual ............................................................ 17
Figura 3 – Topologia de Rede proposta da Escola ....................................................... 19
Figura 4 – Gráfico de nível de segurança .......................................................................... 75
3
Lista de Abreviações
WAN – Wide Area Network (Rede de Área Ampla).
LAN – Local Area Network (Rede de área local).
ISDN – Integrated Services Digital Network (Serviços Integrados de Rede Digital).
ATM – Asynchronous Transfer Mode (Modo de Transferência Assíncrona).
PPP – Point-to-Point (Protocolo Ponto a Ponto).
IP – Internet Protocol (Protocolo Sobre Internet).
HDLC – High-level Data Link Control (Alto Nível de Controle de Link de Dados).
NAT – Network Address Translation (Tradução de endereço de rede)
4
SUMÁRIO
Introdução ..................................................................................................................... 6
Fundamentação teórica ................................................................................................. 7
Metodologia .................................................................................................................. 15
Resultados ..................................................................................................................... 16
Conclusão ...................................................................................................................... 20
Referências ...................................................................................................................21
Anexos ........................................................................................................................... 22
5
1. Introdução
Em nossa atualidade, o conceito de segurança é muito amplo, e assim como em todas as

áreas da sociedade, no seguimento da tecnologia a segurança da informação é também sem
duvidas uma das áreas que mais demanda preocupação por parte dos administradores
devidos principalmente a grande evolução obtida na transmissão, armazenamentos e
disponibilidade dos dados entre outros fatores.
Esse projeto tem como objetivo principal a identificação dos principiais desafios para se
implantar segurança da informação em uma instituição de ensino pública, que não dispõe
de um administrador de rede, onde ações como falta de controle ao acesso á sala de
servidores, ausência de politicas de backup, ausência de procedimentos e manuais de
rotinas adequados, ausência de controle sobre a utilização de mídias removíveis ou a falta
de controle sobre utilização de maquinas particular dentre muitas outras podem ser
descritas como risco a segurança da informação da escola.
Para combater esses riscos são apresentadas no mercado varias técnicas e politicas de
segurança muitas destas através de normas especificas como as NBR 27001 e 27002; que
contém as regras que todos os profissionais da organização envolvidos com a segurança da
informação devem observar, em sua função precípua de zelar por ela e as suas
responsabilidades; e também o uso de técnicas como backup de arquivos, redundância e a
instalação de barreira com capacidade de filtragem como os Proxy, Firewall e muitos
outros.
Tem-se com a análise da estrutura existente a identificação dos problemas com o intuito de
apresentar soluções técnicas compatíveis à realidade da instituição e que atenda os
requisitos exigidos pelas normas supracitadas. Por se tratar de uma escola publica o recurso
financeiro são sempre reduzidos e desta forma daremos preferencia a implantação de
serviços e sistemas de software livres como o Linux.
Assim, pretende-se responder à seguinte pergunta: “Quais os desafios para se implantar

segurança da informação em uma escola publica com recursos estaduais?”.
6
2. Desenvolvimento
2.1 Fundamentação Teórica

2.1.1 Firewall
Firewall é uma barreira de proteção que ajuda a bloquear o acesso de conteúdo

malicioso, mas sem impedir que os dados que precisam transitar continuem fluindo,
são aplicativos ou equipamentos que ficam entre um link de comunicação e um
computador, checando e filtrando todo o fluxo de dados. Esse tipo de solução serve
tanto para aplicações empresariais quanto para domiciliar, protegendo não só a
integridade dos dados na rede, mas também a confidencialidade deles. Como dito por
Alberto Oliveira – Certificação Security+ - Da Prática Para o Exame SYO – 301“As
diferentes tecnologias que permitem que as pessoas acessem recursos de qualquer lugar
estão crescendo. Com esta proliferação vem à necessidade de proteger seus ativos.
Segurança envolve muitas questões, incluindo a proteção de e-mail, phishing, controle
de acesso à Web, acesso a recursos remotos, gerenciamento de patches, acesso de
aplicativos internos, proteção de dados, ativos de rede, e as pessoas”.
De acordo com o site Segurança da Informação, o Firewall e um dos primeiros

componentes na rede em que os pacotes da rede externa passam, e por este motivo a
área de segurança continua crescendo e tem pessoas com funções especificas nesta área
onde tem que ter conhecimento para que possa ser implantado. Devemos primeiro
analisar o posicionamento do firewall, pode ter vários posicionamento na estrutura da
rede onde ele ira permanecer. Depende da melhor forma para a segurança da rede.
Firewall pode ser do tipo:
Filtragem de pacotes - E utilizado para que ocorra proteção nos pacotes que são
transmitidos na rede tanto como interno ou externo, estes sistemas analisam
individualmente os pacotes à medida que estes são transmitidos, verificando apenas o
cabeçalho das camadas de rede (camada 3 do modelo OSI) e de transporte (camada 4
do modelo OSI).
Firewall de aplicação (proxy de serviços): Os conceitos de gateways de aplicação

(application-level gateways) e "bastion hosts" foram introduzidos por Marcus Ranum
em 1995. Trabalhando como uma espécie de eclusa, o firewall de proxy trabalha
7
recebendo o fluxo de conexão, tratando as requisições como se fossem uma aplicação e
originando um novo pedido sob a responsabilidade do mesmo firewall (non-transparent
proxy) para o servidor de destino. A resposta para o pedido é recebida pelo firewall e
analisada antes de ser entregue para o solicitante original.
Os gateways de aplicações conectam as redes corporativas à Internet através de

estações seguras (chamadas de bastion hosts) rodando aplicativos especializados para
tratar e filtrar os dados (os proxy firewalls). Estes gateways, ao receberem as
requisições de acesso dos usuários e realizarem uma segunda conexão externa para
receber estes dados, acabam por esconder a identidade dos usuários nestas requisições
externas, oferecendo uma proteção adicional contra a ação dos hackers. E um
intermediário entre a internet e a rede interna. E recebido solicitações de acesso dos
sites dos próprios usuários internos onde faz o encaminhamento para rede externa.
2.1.2 Sistema de Gerenciamento de Banco de dados
Segundo o livro Sistema de Bando de Dados, escrito pelo autor Silberschatz Abraham:
“..Um sistema Gerenciador de Banco de Dados é constituído por um

conjunto de dados associados a um conjunto..’
Segundo C.J. Date um sistema de banco de Dados é:
“..um sistema computadorizado de manutenção de registros. Cuja a

finalidade é armazenar informações e permitir que os usuários
busquem e atualizem essas informações quando as solicitar.”
Levando em consideração a abordagem de um dos mais respeitados especialistas e pensador

sobre tecnologia de banco de dados da indústria da informação, de acordo com Colin J. White,
Fundador da Data Base Associates Internatinal Inc. C. J. Date publicou na 8º edição de seu
trabalho sobre Banco de Dados – Introdução a Sistemas de Banco de Dados da editora Campus,
resumidamente descrevemos sua abordagem sobre o conceito e descrição do que é um banco de
dados? E porque um banco de dados?
O banco de dados contem informações sobre uma empresa em particular e são projetados para
gerir grandes volumes de informações. O principal objetivo de um Sistema Gerenciador de
8
Banco de Dados é proporcionar um ambiente conveniente quanto eficiente para a recuperação e
armazenamento das informações.
Estas informações, registradas no banco de dados, poderão ser qualquer tipo de informação que
tenha relação com os membros ou a organização a que o sistema está servindo. Os sistemas de
banco de dados estão disponíveis em pequenos equipamentos de mão e em computadores de
grande porte como servidores de bando de dados, mainframes e ou clusters de servidores.
Os bancos de dados em máquinas de grande porte são multiusuários, com possiblidades de

acessos simultâneos entre vários usuários sendo que os dados poderão ser acessados
simultaneamente pelos mesmos usuários e ao mesmo tempo, estes dados estão integrados e
compartilhados entre os sistemas que os envolvem ao contexto geral dos sistema.. Entre o banco
de dados físico e os usuários do sistema existe uma camada de software conhecida como
gerenciador de banco de dados.
As requisições geradas pelo banco de dados são tratadas pelo SGBD – Sistema de
Gerenciamento de banco de Dados. Os requisitos de acessos ao banco e dados são tratados pelo
SGBD. O Termo SGBD é utilizado para referir também produtos específicos de fornecedores
como por exemplo. C.J. Date considera que:
“..o banco e dados é como uma unificação de vários arquivos que de

outro modo seriam distintos com a eliminação de qualquer redundância
parcial ou em total entre estes arquivos.’
Pela sua densidade, não haverá a necessidade como exemplificado nas figuras anteriores, os
antigos arquivos papeis que ocupavam grandes espaços físicos. Pela velocidade de acesso que
permite os banco de dados manipular sua base oferendo as informações solicitadas em tempo
rápido on-time, com mais rapidez e qualidade sem a necessidade de pesquisas manuais. A
eliminação da monótona busca pelas informações bancárias, comerciais e empresariais das
décadas passadas para obtenção das informações necessárias para o funcionamento das
empresas desta época. Atualidade. As informações são atualizadas diariamente a todo segundo
e os BD permitem esta atualização com manutenção segura e eficaz e com menor custo das
antigas operações empresariais. Proteção dos dados. Os dados podem ser melhor protegidos
contra perdas acidentais ou intencionais e permite total restrição de acessos..
9
2.1.3 Alta Disponibilidade
Segundo a autora SZTOLTZ:
“A Alta Disponibilidade não é apenas um produto ou uma

aplicação que s e instale, e sim uma característica de um
sistema computacional. Existem mecanismos e técnicas,
blocos básicos, que podem ser utilizados para aumentar a
disponibilidade de um sistema. A simples utilização destes
blocos, entretanto, não garante este aumento se não for
acompanhado de um completo estudo e projeto de
configuração.”
A Disponibilidade de um sistema computacional é a probabilidade de que este sistema

esteja funcionando e pronto para uso em um dado instante de tempo. Essa disponibilidade
pode ser enquadrada em três classes, de acordo com a faixa de valores dessa probabilidade.
As três classes são: Disponibilidade Básica, Alta Disponibilidade e Disponibilidade
Contínua.
A Disponibilidade Básica é aquela encontrada em máquinas comuns, sem nenhum

mecanismo especial, em software ou hardware, que vise de alguma forma mascarar as
eventuais falhas destas máquinas. Costuma-se dizer que máquinas nesta classe apresentam
uma disponibilidade de 99% a 99,9%. Isso equivale a dizer que em um ano de operação a
máquina pode ficar indisponível por um período de 9 horas a quatro dias. Estes dados são
empíricos e os tempos não levam em consideração a possibilidade de paradas planejadas,
porém são aceitas como o senso comum na literatura da área.
Adicionando-se mecanismos especializados de detecção, recuperação e mascaramento de

falhas, pode-se aumentar a disponibilidade do sistema, de forma que este venha a se
enquadrar na classe de Alta Disponibilidade. Nesta classe as máquinas tipicamente
apresentam disponibilidade na faixa de 99,99% a 99,999%, podendo ficar indisponíveis
por um período de pouco mais de 5 minutos até uma hora em um ano de operação. Aqui se
encaixam grande parte das aplicações comerciais de Alta Disponibilidade, como centrais
telefônicas.
10
Com a Disponibilidade Contínua cada vez mais próxima de 100%, diminuindo o tempo de
inoperância do sistema de forma que este venha a ser desprezível ou mesmo inexistente. O
que significa que todas as paradas planejadas e não planejadas são mascaradas, e o sistema
está sempre disponível.
2.1.4 Redes WAN
A Wide Area Network (WAN) é uma rede de comunicação de dados que cobre uma área
geográfica relativamente extensa é uma rede de área alargada ou rede de longa distância, e
que oferece transmissão de dados provida por operadoras, como empresas de telefonia.
Segundo Tanenbaum (2003, p2), Rede WAN é:
“... Uma rede geograficamente distribuída, ou WAN (wide area network),

abrange uma grande área geográfica, com frequência um país ou continente. Ela
contém um conjunto de máquinas cuja finalidade é executar os programas (ou seja,
as aplicações) do usuário...”.
As WANs utilizam instalações fornecidas por um provedor de serviços ou operadora, como

uma companhia telefônica ou empresa de cabeamento, para conectar os locais de uma
organização aos locais de outras organizações, a serviços externos e a usuários remotos. As
WANs normalmente transportam vários tipos de tráfego, como voz, dados e vídeo.
O exemplo mais divulgado de rede WAN é a "internet". Dada a sua dimensão e uma vez
que englobam LANs e WANs, as tecnologias usadas para a transmissão dos dados são as
mais diversas, contudo para que as trocas de informação se processem é necessário um elo
comum assente sobre essa tecnologia heterogênea. Esse elo comum é o protocolo de rede.
Ainda segundo Tanenbaum (2003, p2), protocolo de rede é:
“... um conjunto de regras que controla o formato e o significado dos

pacotes ou mensagens que são trocadas pelas entidades pares contidas em
uma camada. As entidades utilizam protocolos com a finalidade de
implementar suas definições de serviço. Elas têm a liberdade de trocar
seus protocolos, desde que não alterem o serviço visível para seus
usuários. Portanto, o serviço e o protocolo são independentes um do
outro...”
11
Nas redes WANs os protocolos da camada de enlace definem a maneira como os dados são
encapsulados para transmissão para localidades remotas e os mecanismos para transferir os
quadros resultantes. São usadas diversas tecnologias diferentes, tais como ISDN, Frame
Relay x.25 ou ATM (Asynchronous Transfer Mode – Modo de Transferência Assíncrona)
e o PPP (Point-to-Point) dentre estes é o protocolo da WAN mais amplamente usado e
popular porque oferece vários recursos como controle de configuração de enlace de
dados, atribuição dinâmica de endereços IP multiplexação do protocolo de rede e muitos
outros.
Esses protocolos usam o mesmo mecanismo de enquadramento básico, o HDLC (high-

level data link control), um padrão ISO ou um de seus subconjuntos ou variantes.
Destes recursos destaca-se a capacidade de tradução de endereços IP inválidos para

endereços IP validos, que é realizada pelo protocolo NAT/PAT (Network Address
Translation) que de acordo com o site Imasters21 é um protocolo que, faz a tradução dos
endereços Ip e portas TCP da rede local para a Internet. Ou seja, o pacote enviado ou a ser
recebido de sua estação de trabalho na sua rede local, vai até o servidor onde é trocado pelo
ip do mesmo substitui o ip da rede local validando assim o envio do pacote na internet, no
retorno do pacote a mesma coisa, o pacote chega e o ip do servidor é trocado pelo Ip da
estação que fez a requisição do pacote.
Já Tanenbaum (2003, p2), define NAT como:
“..atribuir a cada empresa um único endereço IP (ou no máximo,

um úmero pequeno deles) para tráfego da Internet. Dentro da
empresa, todo computador obtém um endereço IP exclusivo,
usado para roteamento do tráfego interno. Porém, quando um
pacote sai da empresa e vai para o ISP, ocorre uma conversão de
endereço...”
Outro aspecto importante nas redes WANs esta relacionado ao tipo de comutação o
processo de interligar dois ou mais pontos entre si. O modo como a rede assegura a
transferência das informações pode obedecer a vários princípios dando origem a diversos
1
http://imasters.com.br/artigo/1904/redes-e-servidores/afinal-o-que-e-nat/
12
tipos de rede de comutação que são classificados em três tipos distintos comutação de
circuito; comutação de pacotes e comutação de mensagens.
.Em suma, na comutação de circuitos, é estabelecido um caminho entre os terminais

(caminho fim-a-fim) antes de se iniciar uma comunicação e todos os recursos necessários
para que a mesma aconteça satisfatoriamente, são reservados enquanto durar a sessão,
como é o caso da rede telefônica. Já na comutação de pacotes, esses recursos não são
reservados previamente, sendo que a informação que deve ser transmitida é colocada em
PACOTES, atravessando de forma independente as ligações e os encaminhadores, ou seja,
cada pacote deve “descobrir” individualmente seu caminho até o destino. Como exemplo
desse tipo de rede de comutação, temos a Internet. Já na comutação por mensagens não é
estabelecido um caminho dedicado entre os dois equipamentos que desejam trocar
informações. A mensagem que tem que ser enviada é transmitido a partir do equipamento
de origem para o primeiro elemento de comutação, que armazena a mensagem e a
transmite para o próximo elemento. Assim, a mensagem é transmitida pela rede até que o
último elemento de comutação entregue-a ao equipamento de destino. Neste tipo de
comunicação, a rede não estabelece o tamanho da mensagem, podendo esta ser ilimitada.
2.1.5 Segurança da Informação Corporativa
Segurança da informação é o processo de proteger a informação de diversos tipos de

ameaças externas e internas para garantir a continuidade dos negócios, minimizar os danos
e maximizar o retorno dos investimentos e as oportunidades de negócio. Segurança se faz
protegendo seu negócio como se todos fossem elos de uma corrente, ou seja, todos os
ativos (físicos, tecnológicos e humanos). Como citado por Pettigrew apud Pugh e Hickson
“A habilidade em compreender e controlar a informação como fonte de poder para
motivação e sucesso das mudanças estratégicas”- (2003).
Os três pilares fundamentais da segurança da Informação são:
Confidencialidade (sigilo): É a garantia de que a informação não será conhecida por quem
não deve. O acesso às informações deve ser limitado, ou seja, somente as pessoas
explicitamente autorizadas podem acessá-las. Perda de confidencialidade significa perda de
segredo. Se uma informação for confidencial, ela será secreta e deverá ser guardada com
segurança, e não divulgada para pessoas não autorizadas.
13
Integridade: Esse princípio destaca que a informação deve ser mantida na condição em que
foi liberada pelo seu proprietário, garantindo a sua proteção contra mudanças intencionais,
indevidas ou acidentais. Em outras palavras, é a garantia de que a informação que foi
armazenada é a que será recuperada.
Disponibilidade: É a garantia de que a informação deve estar disponível, sempre que seus
usuários (pessoas e empresas autorizadas) necessitarem, não importando o motivo. Em
outras palavras, é a garantia que a informação sempre poderá ser acessada.
Ativos são os elementos que sustentam a operação do negócio. Eles podem ser
classificados em:
• Tangíveis: Informações Impressas, Móveis, Hardware (Ex.: Impressoras, scanners);
• Intangíveis: Marca de um produto, Nome da empresa, Confiabilidade de um Órgão

Federal etc.;
• Lógicos: Informações armazenadas em uma rede;
• Físicos: Galpão, Sistema de Eletricidade, Estação de Trabalho etc.;
• Humanos: Servidores Públicos.
Os ativos são os elos da corrente do seu negócio, e estes sempre trarão consigo
vulnerabilidades que, por sua vez, submetem os ativos a ameaças. Segundo a Beal (2008),
Campos (2007), Lara (2006) “destacam preocupação em tornar os ativos, informação e
conhecimento, a quem é de direito, de forma íntegra, preocupando-se com a veracidade,
confidencialidade e conformidade”. .
Ameaça é algo que possa provocar danos à segurança da informação, prejudicar as ações
da empresa e sua sustentação no negócio, mediante a exploração de uma determinada
vulnerabilidade. Segundo ITGI (2006): “A Governança em Segurança da Informação
fornece direção estratégica, garante que os objetivos sejam alcançados, gerencia os riscos
de forma adequada, usa os recursos organizacionais responsavelmente, e monitora o
sucesso ou falha do programa de segurança corporativa”.
Ameaça pode ser uma pessoa, um evento ou uma ideia capaz de causar dano a um recurso,
em termos de confidencialidade, integridade, disponibilidade, etc. é dividida em:
14
Ameaças externas: São aqui representadas por todas as tentativas de ataque e desvio de
informações vindas de fora da empresa. Normalmente essas tentativas são realizadas por
pessoas com a intenção de prejudicar a empresa ou para utilizar seus recursos para invadir
outras empresas.
Ameaças internas: Estão presentes, independentemente das empresas estarem ou não

conectadas à Internet. Podem causar desde incidentes leves até os mais graves, como a
inatividade das operações da empresa.
3. Metodologia
A metodologia adotada é baseada em dois pilares, o primeiro é a referência bibliográfica

com analise em diferentes meios de pesquisa para fundamentar as aplicações no projeto,
Além de livros e sites relacionados à segurança da informação, nossa pesquisa se baseou
também nas normas NBR 27001 e 27002 que nos traz todas as especificações necessárias
para se implantar segurança da informação em corporações.
O segundo pilar é o estudo de caso, onde foi realizada uma analise no sistema de segurança
da informação da instituição de ensino pública Professor Fontes, afim de verificar
possíveis falhas e propor as mudanças necessárias para sanar os problemas encontrados,
tendo como ênfase as segurança da informação dos processos realizados na secretaria da
escola.
4. Resultados
A Escola Estadual Técnica Industrial Professor Fontes é uma escola de nível técnico médio
que tem como objetivo a formação de jovens e adultos, buscando capacitá-los como
conhecimento e habilidades para o exercício de atividades profissionais.
15
FIGURA 1.0 FAIXADA DA ESCOLA PROFESSOR FONTES
Atualmente a escola conta com 81 funcionários, onde 66 são professores e 15 de outros

setores. São 1353 alunos nos três turnos.
Através das visitas feitas a escola, foi constatado que a rede apresenta algumas
inadequações no quesito segurança, sua topologia atual conta com dois modens ADSL com
links de operadoras diferentes, cada um com 10Mbps, sendo um modem reserva. Esses
modens estão ligados a um Firewall rodando o serviço de Proxy conectados a dois
roteadores que estão interligados a 3 (três) switches espelhados em 3 (três) Patch Painels
responsáveis pela distribuição dos pontos de redes, conta também com duas computadores
rodando os servidores de Correio Eletrônico, DNS, DHCP e Active Directory.
16
FIGURA 2.0 TOPOLOGIA DE REDE ATUAL
Na topologia atual foi constatada a ausência de um servidor de bancos de dados e um

sistema de backup, verificado também a inexistência de qualquer tipo de serviço de rede
responsável por identificar ataques contra as informações da escola, ou prevenir contra
eles, como também a inexistência de uma politica de segurança.
Após, constatados os problemas acima citados propõe-se a implantação de uma estrutura

de rede onde será reconfigurado o firewall no servidor linux com sistema operacional
DEBIAN executando o serviço de proxy e o IPTABLES. Propõe-se também a remoção dos
modens responsáveis pela recepção dos links externo e a implantação de dois roteadores
modelos GIGABIT WIRELESS N TL-WR1043ND com balanceamento de carga que serão
conectados no firewall configurados com protocolo NAT overload para melhor segurança
e para endereçamento da rede interna.
No Firewall será conectado três switches de 48 portas ethernet e 4 portas de fibra óptica
GB. Um dos switches será conectado nos computadores dos funcionários e dos servidores
de web, correio eletrônico e Storage. Os outros switches serão conectados nas maquinas
dos laboratórios e os access point.
17
Para segurança da rede será utilizado o serviço IPTABLES firewall do linux para uma
maior segurança onde será configurado o TRANSPARENT PROXY do FIREWALL, será
implementado alguns filtros para redirecionamento dos pacotes, terá também filtros para
entrada e saída de pacotes das redes para internet.
Para atendimento de serviços de banco de dados na E.E. Prof. Fontes, propõe-se a

implementação de um banco de dados definido como PostgreSQL, que será implementado
em um servidor da IBM modelo 740 Express.
Trata-se de servidor de banco de dados de médio porte que visa a consolidação de

aplicações confiáveis e disponíveis, visando acomodar o serviço de logon e o programa de
aplicação da escola. Esse servidor terá o Active Directory da Microsoft como servidor de
logon e um sistema de terceiros como aplicativo interno da escola.
Com esta configuração a E.E.Prof. Fontes obterá uma configuração de confiabilidade, alta
performance e alta funcionalidade de seu sistema de banco de dados. Esta configuração
proporcionará possibilidade de crescimento do cenário da escola sem aumento do hardware
total sendo necessário somente a instalação de maquinas virtual e o aumento de discos em
um storage, neste caso o modelo proposto é da Storwize V7000 hardware que apresenta
vários recursos de eficiência de Storage de gerenciamento e proteção de dados, tendo em
vista que sua utilização será apenas nos serviços da secretaria.
18
FIGURA3.0 – TOPOLOGIA DE REDE PROPOSTA DA ESCOLA
Após a implementação dos serviços de segurança, elaboramos com base na NBR 27001 e
27002 uma Politica de Segurança, que deverá ser seguida por todos os servidores da
Escola, a politica restringe o acesso à secretaria impedindo pessoas não autorizadas a
entrarem na secretaria, todos os papeis devem ser descartados na trituradora de papel, o
lixo deve ser recolhido toda segunda-feira, quarta-feira e sexta-feira, e ir direto para o
posto de armazenamento de lixo reciclável, e recolhido uma vez ao mês conforme
programa estadual “Ambientação1”, todo documentação deve ser solicitada pelo balcão de
atendimento, sendo realizada no sistema PEPS – Primeiro que Entra, Primeiro que Sai –,
os dados dos alunos estão disponíveis somente na rede interna, no banco de dados, os
usuários do banco de dados são vinculados ao servidor de Active Directory, os
computadores da secretaria foram configurados de forma que após 15 minutos inativo, ele
entra em modo de bloqueio, não será permitido uso de dispositivos removíveis, quanto
acesso a internet, fica proibido acesso a redes sociais, reprodução de vídeos e rádios online.
Em anexo 1 está a declaração de aplicabilidade conforme norma 27001.
19
5. Conclusão
De modo geral, realizamos uma análise das informações coletadas na escola, e baseados na
norma NBR 27001 que cobrem todos os tipos de organizações, especificando os requisitos
necessários para estabelecer, implantar, operar, monitorar, analisar criticamente, manter e
melhorar um Sistema de Gestão da Segurança da Informação sugerimos uma solução a fim
de evitar perdas financeiras e/ou constrangimento por se tratar de um órgão público.
Ao realizar o estudo de caso, constatamos inúmeras vulnerabilidades na área da segurança

da informação da instituição, ficou evidenciado que o grande desafio para se implantar
segurança da informação na escola, esta diretamente relacionada aos custos do projeto
tendo em vista que para se obter um sistema seguro, instável e disponível é necessário
mais do que simples ações isoladas e sim a implantação de um sistema de gestão da
segurança da informação que por sua vez abrange o investimento em varias áreas como
hardwares, softwares, como também a elaboração de regras, procedimentos e manuais que
definem a politica de segurança e auxiliam no gerenciamento realizado por outro item de
extrema importância no projeto o administrador da rede.
Todo esse investimento é muito alto para a escola que como já foi dito trata-se de uma
escola publica e não há um orçamento especifico direcionada a área da tecnologia da
informação e desta forma, não foi possível analisar a relação custo beneficio dos serviços
propostos.
Contudo para sanar tais vulnerabilidades detectadas foi apresentado um projeto que define
um politica de segurança básica para instituição. Os serviços aqui propostos foram
analisados em todos os suas características como funcionalidades, complexidade e
viabilidade para sanar os problemas, tendo como premissa seus valores mais tendo como
principal objetivo uma ação efetiva na solução dos problemas detectados possibilitando
também futuramente uma expansão caso seja necessário.
20
Bibliografia
Gestão Dinâmica – Afinal o que é Segurança da Informação? – Disponível em:

<http://www.gestaodinamica.com.br/pt-br/afinal-o-que-e-seguranca-da-informacao.html>
Acessado em: 11/3/2014.
Redes e Servidores - Afinal o que é NAT ? – Disponível em:
http://imasters.com.br/artigo/1904/redes-e-servidores/afinal-o-que-e-nat/
Segurança da Informação - Segurança da Informação. Disponível em:
<http://seguranca-da-informacao.info/> Acessado em: 11/3/2014.
FERREIRA, Fernando Nicolau Freitas. Segurança da informação. 2003 – Rio de Janeiro –

Editora Ciência Moderna.
ABRAHAM, Silberschatz, Henry F. Korth, S. Sudarshan – Editora ELSEVIER BRASIL
SZTOLTZ, Lisiane, Guia do Servidor Conectiva Linux – Cap11. Alta Disponibilidade.

Disponível em: <http://mauricio.severich.com.br/linux/refs/servidor/ha.html> Acessado
em: 15/3/2014.
21
Anexo 1
DECLARAÇÃO DE APLICABILIDADE
Controles Seleção
Número Sim/ Razão / Justificativa
(ISO/IEC 27001) Não
Documento da Política de O documento existe e seus controles estão
A – 5.1.1 Sim
Segurança da Informação disponíveis para todos via Intranet.
Há uma avaliação por uma empresa

Análise crítica da Política de terceirizada que faz anualmente
A – 5.1.2 Sim
Segurança da Informação atualizações e ou alterações dos controles
aplicados anteriormente.
A direção tem conhecimento de todos os

Comprometimento da
controles que estão e os que devem ser
A – 6.1.1 direção com a Segurança da Sim
efetivamente aplicados e o valor de sua
Informação
aplicação.
Coordenação da
A coordenação com base no conhecimento
A – 6.1.2
segurança Sim do coordenador tem uma ampla visão do
cenário de risco da empresa.
da informação
Atribuição de Existe controles que estão aplicados e que

têm fundamental importância no SGSI. As
A – 6.1.3 responsabilidades para a Sim
informações estão de fácil acesso a todos
via Intranet.
segurança da informação
Processo de autorização
para
A ordem de atualização de recursos para
os recursos de a segurança da informação passa por
A – 6.1.4 Sim rígidos controles de viabilidade e
processamento da praticidade tanto da diretoria quanto
coordenação.
informação
Em relação a informações em risco, não

Acordos de há uma regulamentação de aplicação nem
A – 6.1.5 Não
confidencialidade controles de não divulgação repassados
aos colaboradores diretamente envolvidos.
A – 6.1.6 Contrato de autoridades Sim

Há uma vez por ano. Uma avaliação de
22
Controles Seleção
um órgão externo de regulamentação.
Contrato com grupos Há uma avaliação de um órgão

A – 6.1.7 Sim
especiais regulamentador do SGSI.
Sempre que necessário há uma

Análise crítica independente
A – 6.1.8 Sim intervenção por base da equipe de
de segurança da informação
verificação.
A coordenação está atenta quanto aos

Identificação dos riscos
riscos fora da instituição. Práticas de
A – 6.2.1 relacionados com partes Sim
bloqueios de acessos são aplicadas na
externas
área técnica para segurança.
Termos de responsabilidade e aviso dos

Identificação a segurança
riscos devem obrigatoriamente ser
A – 6.2.2 da informação quando Sim
devidamente assinado pelo colaborador .
tratando com clientes.
Essa prática é aplicada.
Diariamente é feita uma atualização do

A – 7.1.1 Inventario ativo Sim
inventário pela área de Suporte.
As informações são repassadas a

A – 7.1.2 Proprietário do arquivos Não
servidores responsáveis pela área.
Controles Seleção
Os ativos de plantão são aceitáveis quanto
ao funcionário selecionado. O mesmo é
A – 7.1.3 Uso aceitável dos ativos Sim ciente dos termos que são repassados
impresso é que deve ser assinado pelo
funcionário.
Recomendações para Uma ordem de prioridade é aplicada e

A – 7.2.1 Sim
Classificação divulgada para todos os colaboradores.
Rótulos e tratamento da Os procedimentos são fiscalizados pelo o

A – 7.2.2 Sim
informação diretor da Escola.
Papeis e
A – 8.1.1 Sim Têm um plano de cargo e responsabilidades
responsabilidades
disponibilizados pelo Recursos Humanos da
23
Controles Seleção
empresa.
O perfil de um contratante para uma

determinada área é o mesmo para todo
A – 8.1.2 Seleção Sim
contratante. O perfil é divulgado através do
Diário Oficial da Secretaria da Educação.
Somente é chamado para contribuir um

Termos e condições de colaborador que esteja de comum acordo
A – 8.1.3 Sim
contratação com o perfil é divulgado através do Diário
Oficial da Secretaria da Educação.
Responsabilidades de Campanhas incentivadoras são mandadas

A – 8.2.1 Sim
direção para os colaboradores via e-mail marketing.
Conscientização,
Não há treinamentos envolvendo a
educação e treinamento
A – 8.2.2 Não segurança da informação devido viabilidade
em segurança da
dos custos.
informação
Não há plano de reeducação para os

A – 8.2.3 Processo disciplinar Não
colaboradores responsáveis a situação.
No momento de encerramento cada

Encerramento de
A – 8.3.1 Sim colaborador é responsável por suas
atividades
obrigações.
É disponibilizado para os colaboradores um

termo de responsabilidade e devolução para
A – 8.3.2 Devolução de ativos Sim
qualquer ativo emprestado. O colaborador é
obrigado a assinar.
O controle dos contratos dos servidores é

Retirada de direitos de fiscalizado pela área de RH. Sempre que a
A.8.3.3 Sim
acesso uma atualização todos os colaboradores são
avisados via e-mail.
Na instituição há um regime de acesso rígido

Perímetro de segurança as áreas de acesso a informação. Somente é
A.9.1.1 Sim
física autorizada a entrada mediante autorização
das chefias.
Controles de entrada Não existe meios físicos de controle ex;

A.9.1.2 Não
física blindes ou cartão digital.
Segurança em escritórios Portas de barragem a acesso indevido estão

A.9.1.3 Sim
salas e instalações visíveis em toda Escola.
A.9.1.4 Proteção contra ameaças Não

Não há proteções contra enchentes e
externas e do meio
24
Controles Seleção
ambiente terremotos.
Trabalhos em áreas O acesso é livre desde uma autorização

A.9.1.5 Não
seguras qualquer de alguém dentro da empresa.
Acesso do público, áreas

O acesso a garagem da passagem para o 1º
A.9.1.6 de entrega e de Não
Subsolo.
carregamento
Instalações e proteção Alguns dispositivos de Wireless tem

A.9.2.1 Não
dos equipamentos exposição aos colaboradores.
Em vários pontos dos andares não há uma

A.9.2.2 Utilidades Não
proteção de Nobreak.
Segurança do O cabeamento está invisível para os

A.9.2.3 Sim
cabeamento corredores dos colaboradores.
Na empresa tem uma equipe de T.I

Manutenção dos
A.9.2.4 Sim preparada para qualquer problema de
equipamentos
Hardware.
Segurança de
equipamentos fora das Os equipamentos externos estão protegidos
A.9.2.5 Sim
dependências da com senhas de administrador.
organização
Não há verificação de dados na hora do

Reutilização e alienação
A.9.2.6 Não descarte. Os discos rígidos são jogados no
segura de equipamentos
lixo sem proteção.
Na norma aplicada aos colaboradores,

somente a equipe de T.I tem permissão para
A.9.2.7 Remoção de propriedades Sim
remover qualquer dispositivo eletrônico e
equipamentos e T.I/Telecomunicações.
Documentação dos
Na Intranet tem uma área especifica sobre o
A.10.1.1 procedimentos de Sim
assunto e é de livre acesso.
operação
O administrador de redes monitora todo o

A.10.1.2 Gestão de mudanças Sim processamento gerado dentro das unidades
de processamento dos dispositivos.
Rígidos controles de acesso físico são

aplicados pela coordenação. Ex; Termos de
A.10.1.3 Segregação de funções Sim
responsabilidade e devolução devidamente
assinados.
25
Controles Seleção
Separação dos recursos A supervisão monitora e tem arquivado
A.10.1.4 de desenvolvimento, Sim planilhas de controle dos equipamentos de
teste e de produção teste/desenvolvimento.
Há um acompanhamento de solicitação feito

A.10.2.1 Entrega de serviços Sim
pela equipe técnica aos terceirizados.
Monitoramento e análise O Tribunal de Contas do Estado de Minas

A.10.2.2 crítica de serviços Sim Gerais cuida da monitoria dos serviços
terceirizados terceirizados que a Escola contrata.
A coordenação e supervisão fiscalizam

Gerenciamento de
A.10.2.3 Sim rigorosamente os serviços que estão sendo
mudança para serviços
executados dentro da instituição.
Projetos são implementados na estrutura de

A.10.3.1 Gestão de capacidade Sim T.I visando o agora e o futuro das instalações
de equipamentos.
Antes de uma implantação os sistemas novos

passam por rígidos monitoramentos e são
A.10.3.2 Aceitação de sistemas Sim
homologados para as circunstancias da
corporação.
Controle contra códigos Não tem uma fiscalização efetiva em relação a

A.10.4.1 Não
maliciosos códigos maliciosos.
Controle contra códigos Não tem uma fiscalização eficiente para

A.10.4.2 Não
móveis possíveis problemas com códigos móveis.
Uma cópia de softwares e utilitários é feita

Cópia de segurança das
A.10.5.1 Sim diariamente em um disco compartilhável
informações
dentro dum servidor de storage.
A Escola possui um colaborador que fica

somente por conta da administração da rede
A.10.6.1 Controles de redes Sim
da empresa. O mesmo disputou a vaga após
concurso público para um profissional da área.
O administrador de redes tem uma rotina

Segurança dos serviços
A.10.6.2 Sim predefinida para monitoramento da segurança
de redes
dos serviços.
A instituição tem um software específico para

Gerenciamento de tratar itens de mídias removíveis. O mesmo
A.10.7.1 Sim
mídias removíveis encontra-se instalado em um dos servidores
da rede.
A.10.7.2 Descartes de mídia Não

O descarte de mídias é feito de forma
26
Controles Seleção
desordenada e sem nenhum registro.
Controles Seleção
Procedimentos para
Uma norma é aplicada a cada unidade
A.10.7.3 tratamento de Sim
compartilhada de armazenamento de dados.
informações
Segurança de Somente pessoas autorizadas tem acesso a

A.10.7.4 documentos dos Sim informação dos sistemas. Geralmente a área
sistemas de sistemas é predominante.
Políticas de Um manual de uso das formas de

A.10.8.1 procedimentos para Sim armazenamento é disponibilizado para todos
troca de informações os colaboradores via Intranet.
As informações das áreas são compartilhadas

Acordos para troca de
A.10.8.2 Sim num repositório especifico. Os softwares só são
informações
locomovidos pelos responsáveis de T.I.
As mídias são de fácil acesso dentro da

A.10.8.3 Mídias em trânsito Não corporação. São armazenados em um armário
com chave simples e de fácil acesso.
Há criptografia em todo o servidor de e-mail da

A.10.8.4 Mensagens eletrônicas Sim
Escola.
A rede externa para se conectar a Escola têm

Sistemas de
A.10.8.5 Sim que ter uma rota determinada e autorizada
informações do negocio
pelo administrador de rede.
A Escola não possui nenhum comercio

A.10.9.1 Comercio eletrônico Não
eletrônico.
A Escola não realiza nenhuma transição on-

A.10.9.2 Transações On-line Não
line.
O banco de dados deve ser disponibilizado

Informações
somente após a liberação do perfil do usuário
A.10.9.3 publicamente Sim
correto no servidor AD. Divulgação somente
disponíveis
interna de dados.
27
Controles Seleção
Uma empresa terceirizada faz a averiguação
A.10.10.1 Registros de auditoria Sim
dos controles internos.
Monitoramento do uso O administrador de redes monitora

A.10.10.2 Sim
de sistema diariamente o uso e desempenho dos sistemas.
Proteção das As informações dos registros encontram se em

A.10.10.3 informações dos Sim um servidor com acesso permitido somente ao
registros administrador de redes.
Controles Seleção
(ISO/IEC
27001) Não
Registros (logs) de Foi implementado de sistema de helpdesk e

A.10.10.4 administrador e Sim suporte para registro de solicitações ao
operador departamento de TI.
Registros diários de falhas de logos em

Registros (logos) de armazenamento especificam para
A.10.10.5 Sim
falhas monitoramento e correção por responsável com
gestão de gerencia
Politica de sincronização de relógios de

servidores de banco de dados,
Sincronização dos
A.10.10.6 Sim
relógios
Logon e aplicação levando em consideração as
mudanças de horário de verão e GMT-3
Processo de controle de acesso estabelecido de

Políticas de controle
A.11.1.1. Sim acordo com a politica definida pela empresa com
de acesso
regras de criptografia e senha código de acesso.
Controle de cadastro de novos usuários e

manutenção dos dados em caso de
A.11.2.1 Registros de usuários Sim
desligamento de funcionário-gestor de TI com
tabela de usuários, senha e acessos.
Gerenciamento de Controle de acessos privilegiados a senhas

A.11.2.2 Sim
privilégios especiais de rede e sistema de aplicação.
A.11.2.3 Sim Fornecimento de senha através de cadastro e

Gerenciamento de
confirmação de usuário com criptografia e
28
Controles Seleção
(ISO/IEC
27001) Não
senha de usuário conferencia pela gestão que é permitido altera-

la.
Análise crítica dos

Analise criteriosa de acessos à rede e sistemas
A.11.2.4 direitos de acesso de Sim
baseada no perfil de usuário.
usuários
Procedimento para criação de senha complexa e

A.11.3.1 Uso de senha Sim
politica de mudança de senha periodicamente.
Equipamento de Por motivo de não conhecimento, nenhuma

A.11.3.2 usuários sem Não habito foi elaborado pelos responsáveis para
monitoração contribuição ao controle.
Não há nenhum regulamento existente que

Política de mesa lima
A.11.3.3 Não influencie na cultura dos colaboradores em
e tela limpa
relação a tal controle.
Política de uso dos Política de perfil de acesso a rede e aplicativos

A.11.4.1 Sim
serviços de rede para os usuários
Autenticação para Nenhum controle de autenticação é aplicado em

A.11.4.2 conexão externa do Não relação a acesso remoto. Usuários que tem o
usuário software acessa sem nenhum problema.
Controles Seleção
(ISO/IEC
27001) Não
Identificação de Serviço de identificação de pontos da rede local

A.11.4.3 Sim
equipamento em rede e remota.
Proteção e
configuração de Não há um hábito de controle de portas por
A.11.4.4 Não
portas de diagnóstico meio do administrador da rede.
remotas
A.11.4.5 Sim Controle de conexão de redes por computadores

Controle de conexão
de acordo com a capacidade definida pela TI
29
Controles Seleção
(ISO/IEC
27001) Não
de rede para garantir o volume de dados adequado ao

projeto de rede da empresa.
Procedimentos seguro
Sistema de controle de log-on definido e
A.11.5.1 de entrada no sistema Sim
gerenciado pela TI.
(log-on)
Identificação e Controle de autenticação de usuário para

A.11.5.2 autenticação de Sim garantir entrada de usuário do sistema
Usuário bloqueando quaisquer outra tentativa de acesso.
Politica de controle de senhas de acesso.

Sistema de Monitoramento para alteração periódica de
A.11.5.3 gerenciamento de Sim senha de acesso. Senha geradas com 6
senha caracteres obrigatório mesclar números e
letras.
Alto nível de controle para instalações de

Uso de utilitários de
A.11.5.4 Sim programas utilitários os quais devem passar por
sistema
aprovação da diretoria de TI.
Controle de acesso controlado em caso de

Desconexão de
terminal inativo por 10 minutos. Desconexão do
A.11.5.5 terminal por Sim
sistema de aplicação da empresa, solicitação de
inatividade
senha para entrada novamente ao sistema.
Limitação de horário Disponibilidade do sistema em horários

A.11.5.6 Sim
de conexão predefinidos pela diretoria de TI.
Sim O acesso a informação somente será permitido

Restrição de acesso a
A.11.6.1 aos usuários cadastrados ao banco de dados e
informação
perfis de atualização.
Os sistemas considerados sensíveis têm por

Isolamento de padrão de ser definido antes mesmo do ingresso
A.11.6.2 Sim
sistemas sensíveis a unidade. Após seu cadastro uma triagem será
efetuada definindo os níveis de segurança.
A unidade permite todos os colaboradores de

fazer o uso da comunicação móveis, somente
Computação e
A.11.7.1 Sim porém, deve respeitar as políticas de utilização
comunicação móvel
pré-determinadas pela coordenação e diretoria
da área.
O trabalho remoto é feito através da ferramenta

ChunkVNC e conexão do Windows server.
A.11.7.2 Trabalho remoto Sim
Ambos possuem níveis de segurança desejáveis
e protegidos por criptografia.
30
Controles Seleção
(ISO/IEC
27001) Não
Análise e
Aplicável pois possui requisitos para
especificação dos
A.12.1.1 Sim melhoramento do sistema aplicado tendo em
requisitos de
vista os requisitos da empresa.
segurança
Os dados de entradas de aplicação devem ser

Validação dos dados
A.12.2.1 Sim validados para verificação de que são corretos e
de entrada
adequados.
Não são incorporadas nas aplicações checagem

Controle do processo
A.12.2.2 Não de validação que identifique qualquer corrupção
interno
de informação ou por ações deliberadas.
Aplicável pra garantir a integridade das

Integridade de
A.12.2.3 Sim mensagens tendo aplicação apropriadas para
mensagens
identificação.
Os dados aplicados são validados para proteger

Validação de dados de
A.12.2.4 Sim a integridade, assim as informações s ao
saída
validadas estão corretas.
Não tem uma política de regulamentação para

Política para uso de implementar criptografia nos dados.
A.12.3.1 controle de Não Principalmente quando os usuários externos tem
criptografia a seu poder uma ferramenta da empresa. Não
houve plano de estudos para o caso.
Gerenciamento de Por falta de investimento nenhuma capacitação

A.12.3.2 Não
chaves foi apresentada a determinados colaboradores.
Os sistemas operacionais são armazenados em

Controle de software
A.12.4.1 Sim documentos, usuários são monitorados para o
Operacional
controle de software.
Proteção dos dados Os dados que estão incluídos na fase de teste

A.12.4.1 Não
para teste de sistema são simplesmente ignorados na pasta pública.
Controle de acesso ao
O acesso aos dados de softwares são aceitos a
A.12.4.3 código fonte de Não
qualquer colaborador da área de sistemas.
programas
Procedimentos para Não há nenhum controle por normas em relação

A.12.5.1 Não
controle de mudança a mudanças. Não têm uma equipe capacitada e
organizada afim de administrar as mudanças
31
Controles Seleção
(ISO/IEC
27001) Não
existentes.
Análise crítica técnica Não tem controle semanal para verificar as

A.12.5.2 das aplicações no Não aplicações instaladas por usuários
sistema operacional administradores.
Restrições sobre Mudanças nos softwares deve ser limitada para

A.12.5.3 mudança em pacotes Sim as mudanças necessárias e devem ser
de software rigorosamente controladas
Controles Seleção
Uma política e aplicada para os usuários
A.12.5.4 Vazamento de informações Sim que utilizam os recursos da empresa para
não haver vazamento de informações
Desenvolvimento terceirizado Não existe implantado na corporação

A.12.5.5 Não
de softwares softwares de terceiros.
Por motivo de excesso de tarefas dos

Controle de vulnerabilidades técnicos, não existe um check-list
A.12.6.1 Não
técnicas elaborado para detecção de
vulnerabilidades na empresa.
Todo evento relacionado a segurança das

Notificação de eventos de
A.13.1.1 Sim informação são relatados a direção por
canais próprios.
Todo fornecedor, serviços de terceiros de

sistemas ou serviços de informação se
Notificando fragilidade de
A.13.1.2 Sim ser observado suspeitas de fragilidade
dos sistemas ou serviços devem ser
registrados e notificados.
Um procedimento da responsabilidade da
Responsabilidades e
A.13.2.1 Sim gestão são estabelecidos que asseguram
procedimentos
respostas rápidas, efetivas e ordenadas
aos incidentes de segurança da
32
Controles Seleção
informação.
Os mecanismos estabelecidos permitem

Apreendendo com os observar os tipos, quantidades e custos
A.13.2.2 incidentes de segurança da Sim dos incidentes de segurança da
informação informação assim são quantificados e
monitorados.
Toda ação legal civil ou criminal são

acompanhados e coletadas, armazenadas
A.13.2.3 Coleta de evidencias Sim e apresentada em conformidade com as
normas de armazenamento de
evidencias da jurisdição.
Incluindo segurança da
informação no processo de Não há processos de gestão elaborados.
A.14.1.1 Não
gestão da continuidade do Por motivo de corte de gastos.
negócio
Todos os eventos identificados que

Continuidade de negócios e
A.14.1.2 Sim podem causar interrupção aos processos
análise/avaliação de riscos
de negócios.
Desenvolvimento e
Na Escola não existe plano de
implantação de planos de
A.14.1.3 Não implantação. São elaborados métodos de
continuidades relativos à
praticidade.
São mantidas uma estrutura básica dos

planos de continuidade do negocio para
Estrutura do plano de
A.14.1.4 Sim contemplar os requisitos de segurança da
continuidade do negócio
informação, para identificar prioridades
para testes e manutenção.
Testes, manutenção e Testes não são aplicados durante um

A.14.1.5 reavaliação dos planos de Não período normal de trabalho. A ação só é
continuidade do negócio tomada a partir de um dano.
Controles Seleção
A.15.1.1 Sim
Identificação da Todos os requisitos estatutários,
33
Controles Seleção
legislação Vigente regulamentares e contratuais relevantes que
atendem os requisitos devem ser
explicitamente definidos devem ser
documentados e atualizados para cada sistema
de informação da organização.
São usados procedimentos apropriados para

garantir a conformidade com os requisitos
Direitos de propriedade legislativos, regulamentares e contratuais no
A.15.1.2 Sim
intelectual uso do material nos quais pode haver direitos
de propriedade intelectual e sobre usos de
softwares proprietários.
Registros são protegidos contra perda, extravio,

Proteção de registro destruição e falsificação de acordo com o
A.15.1.3 Sim
Organizacional requisito regulamentares, estatutário,
contratuais e do negócio.
Todas as privacidades e proteção de dados

Proteção de dados e
devem ser asseguradas conforme exigida nas
A.15.1.4 privacidade da Sim
legislações relevantes, regulamentares e se
informação pessoal
aplicável nas cláusulas do contrato.
Prevenção de mau uso

de recursos de Não há capacitação/instrução aos colaboradores
A.15.1.5 Não
processamento da sobre o controle.
informação
Regulamentação de São aplicados controles de criptografia na

A.15.1.6 controles de Sim conformidade das leis, acordos e
criptografia regulamentações relevantes.
Todos os procedimentos de segurança são

Conformidade com as garantidos pelo gestor dentro de sua área de
políticas e normas de responsabilidade e são executados
A.15.2.1 Sim
segurança da corretamente para atender as conformidades
informação com as normas e políticas de segurança da
informação.
As normas são verificada periodicamente

Verificação da
A.15.2.2 Sim quanto sua conformidade com as normas de
conformidade técnica
segurança da informação implementada.
Controles de auditoria Nos serviços de auditoria os sistemas

A.15.3.1 de sistemas de Não operacionais não estão incluídos como
informação requisitos de verificação.
Proteção de A área de RH têm livre acesso aos controles

A.15.3.2 Não
ferramentas de implementados e analisados.
auditoria de sistemas
34
Controles Seleção
de informação
35
ANEXO II
Análise de Risco de Pessoas
Controle Status
Agrupamento : Ambiente de trabalho
2117 - O consumo de cigarro, bebida e comida deve ser Não Aplicável

realizado em uma área específica para este fim.
Agrupamento : Atualizações/patches
28148 - Uma verificação quanto a atualização do antivírus Aplicável

deve ser realizada pelo usuário periodicamente.
Agrupamento : Classificação da informação
2127 - Informações sensíveis somente devem ser Aplicável

fornecidas pelo usuário com a devida autorização do
responsável.
2129 - Conversas em locais públicos ou sem a reserva Aplicável

adequada sobre assuntos de interesse exclusivo da
organização devem ser evitadas pelo usuário.
28153 - Um "disclaimer" padrão deve ser utilizado no e- Aplicável

mail corporativo do usuário.
Agrupamento : Contas e senhas
28154 - As senhas devem ser criadas pelo usuário Aplicável

baseadas em padrões de qualidade.
28155 - O sigilo das senhas deve ser zelado pelo usuário. Aplicável
28156 - As senhas de acesso aos sistemas da organização Aplicável

devem ser alteradas pelos usuários periodicamente.
Agrupamento : Controle de acesso
36
2131 - Os documentos com informações de trabalho Aplicável
devem ser guardados pelo usuário durante a ausência de
responsáveis.
2150 - Equipamentos desassistidos devem ser bloqueados Aplicável

pelo usuário.
2176 - Os prestadores de serviço eventuais devem ser Não Aplicável

acompanhados pelo usuário durante sua estada nas
instalações da organização.
Agrupamento : Criptografia
16923 - As mensagens que requeiram comprovação de Aplicável

origem devem ser assinadas digitalmente.
2161 - As chaves privadas de criptografia devem ser Aplicável

armazenadas em local seguro pelo usuário.
28157 - As mensagens de conteúdo sensível devem ser Não Aplicável

criptografadas pelo usuário.
Agrupamento : Código malicioso
28147 - O antivírus deve ser utilizado pelo usuário quando Não Aplicável
do recebimento de arquivos por terceiros.
28149 - Os links (endereços de sites na internet) recebidos Aplicável

pelo usuário devem ser verificados antes de serem
acessados.
28150 - O antivírus deve ser utilizado pelo usuário quando Aplicável

do compartilhamento de mídias.
28151 - Somente software autorizado pela área de TI da Aplicável

organização deve ser utilizado pelo usuário.
Agrupamento : Identificação e autenticação
2138 - O compartilhamento de contas e de outros Aplicável
37
recursos de autenticação deve ser evitado pelo usuário.
Agrupamento : Incidentes de segurança
2149 - As falhas ou incidentes nos controles de segurança Não Aplicável

devem ser notificados pelo usuário.
Agrupamento : Infra-estrutura da segurança
2170 - A utilização de equipamentos pessoais nas Não Aplicável

instalações da organização deve ser previamente
solicitada pelo usuário.
Agrupamento : Integridade de sistemas e dados
2171 - Os dados de saída de sistemas devem ser validados Aplicável

pelo usuário conforme os valores esperados ou plausíveis.
Agrupamento : Transporte físico
2192 - Os equipamentos devem ser transportados pelo Aplicável

usuário em compartimentos que disfarcem suas
presenças.
Agrupamento : Utilização adequada de recursos
2116 - O computador do usuário deve ser posicionado de Não Aplicável

forma a desencorajar a espionagem.
28152 - O e-mail corporativo deve ser utilizado pelo Aplicável

usuário somente para fins do negócio.
38
Análise de Risco de Sistema Linux
39
Controle Status
Agrupamento : Acesso remoto
32834 - Usuários privilegiados ("root" e outros) do Linux Aplicável

Debian devem acessar o sistema apenas via console, sendo
impedidos de fazer "login" remoto.
Agrupamento : Atualizações/patches
32728 - A versão do "kernel" do Linux Debian deve ser a mais Aplicável

atual disponível, considerada estável pelo fabricante.
32729 - A versão do OpenSSL no Linux Debian deve ser a mais Aplicável

atual disponível, considerada estável pelo fabricante.
32730 - A versão do pacote "SNMP" do Linux Debian deve ser Aplicável

a mais atual e estável disponível.
32731 - A versão do protocolo SNMP utilizado no Linux Aplicável

Debian deve ser a 2.x ou mais recente.
32732 - As atualizações de pacotes realizadas para o Linux Aplicável

Debian devem ser instaladas.
32803 - Os "patches" liberados pela "Comunidade Debian" Aplicável

para o Linux Debian devem ser instalados.
32823 - Um patch de segurança para o "kernel" do Linux Aplicável

Debian deve ser instalado.
Agrupamento : Auditoria e Monitoramento Eletrônico
32721 - A Auditoria do Linux Debian deve ser habilitada e Aplicável

configurada de forma a registrar os eventos relevantes para a
segurança.
32802 - Os "logs" do Linux Debian devem ser redirecionados Não

para um servidor de "logs". Aplicável
32809 - Os registros da auditoria ("logs") do Linux Debian Não

devem ser verificados periodicamente. Aplicável
32810 - Os registros da auditoria ("logs") gerados pelo Linux Não

Debian devem ser protegidos contra acessos indevidos. Aplicável
40
32825 - Um período de retenção para os arquivos de Não
auditoria do Linux Debian deve ser definido. Aplicável
32831 - Um tamanho máximo para os arquivos de auditoria Não

do Linux Debian deve ser definido. Aplicável
Agrupamento : Backup, Restore e Recuperação de Sistemas
32780 - O disco de reparo de emergência do Linux Debian Aplicável

deve ser mantido atualizado.
32818 - Um backup periódico dos dados relevantes Aplicável

armazenados no Linux Debian deve ser executado.
32819 - Um disco de reparo de emergência para o Linux Aplicável

Debian deve ser criado.
Agrupamento : Configurações de Sistemas e Aplicações
32722 - A data e hora do Linux Debian devem ser Aplicável

corretamente configuradas.
32723 - A função de reinicializar o sistema através das teclas Aplicável

"CTRL + ALT + DEL" deve ser desabilitada no Linux Debian.
32727 - A verificação e o alerta para utilização de nomes Aplicável

falsos devem ser habilitados no Linux Debian.
32769 - Linhas ou comentários desnecessários devem ser Aplicável

removidos dos arquivos de configuração do Linux Debian.
32760 - As senhas dos usuários do Linux Debian devem ser Não

protegidas pelo "shadow", ou por sistema semelhante. aplicável
32766 - Contas inativas devem ser removidas do Linux Aplicável

Debian.
41
32784 - O Linux Debian deve ser configurado de forma a Não
forçar os usuários a trocar de senha periodicamente. Aplicável
32799 - O uso de contas com privilégios elevados no Linux Aplicável

Debian deve ser reservado para operações administrativas.
32814 - Os usuários devem ter permissão de alterar suas Aplicável

próprias senhas no Linux Debian.
32816 - Todas as contas no Linux Debian devem possuir Aplicável

senhas.
32826 - Um plano de contingência em caso de perda da Não

senha de acesso administrativo (root) ao Linux Debian deve Aplicável
ser elaborado.
32828 - Um procedimento de inspeção periódica do arquivo Não

de senhas ("/etc/passwd") do Linux Debian em busca de Aplicável
contas alteradas ou criadas sem o conhecimento do
administrador deve ser Aplicável.
32829 - Um procedimento para impedir a reutilização de Não

senhas recentes deve ser Aplicável no Linux Debian. Aplicável
32833 - Uma política que assegure a utilização de senhas Não

fortes (complexidade e tamanho mínimo) para o Linux Aplicável
Debian deve ser implementada.
32770 - O "GRUB" deve ser configurado para pedir uma Não

senha sempre que parâmetros de configuração forem Aplicável
especificados durante o processo de "boot" do Linux Debian.
32771 - O "GRUB" deve ser configurado para solicitar senha Não

durante o processo de "boot" do Linux Debian. Aplicável
32772 - O "Lilo" deve ser configurado para solicitar senha Não

durante o processo de "boot" do Linux Debian. Aplicável
42
32773 - O "Lilo" deve ser configurado para solicitar uma Não
senha sempre que parâmetros de configuração forem Aplicável
especificados durante o processo de "boot" do Linux Debian.
32774 - O acesso ao "Shell" (csh, ksh, bash, sh, etc) deve ser Aplicável
permitido somente aos usuários autorizados no Linux Debian.
32777 - O acesso remoto ao Linux Debian deve ser permitido Não

apenas a partir de estações autorizadas. Aplicável
32785 - O Linux Debian deve ser configurado de forma que o Não

"syslog" receba "logs" apenas de "hosts" e dispositivos Aplicável
confiáveis.
32822 - Um mecanismo para bloqueio ("Lockout") das contas Não

dos usuários após um certo número de tentativas de "Logon" Aplicável
mal sucedidas deve ser Aplicável no Linux Debian.
32824 - Um período de inatividade ("timeout") deve ser Aplicável

definido para todas as contas de usuário no Linux Debian.
32768 - Informações sensíveis armazenadas em disco no Não

Linux Debian devem ser protegidas por criptografia. Aplicável
32726 - A variável de ambiente "PATH" no Linux Debian deve Não

ser configurada de forma a não conter o indicador de Aplicável
diretório atual (".").
32827 - Um plano de inspeção de "rootkits" para o Linux Não

Debian deve ser elaborado. Aplicável
Agrupamento : Documentação
32808 - Os procedimentos de instalação e configuração do Não

Linux Debian devem ser documentados. Aplicável
43
32815 - Todas as conexões realizadas no "xinetd" do Linux Não

Debian devem ser registradas. Aplicável
32832 - Uma mensagem de advertência deve ser exibida para Não

os usuários durante o "login" no Linux Debian. Aplicável
32807 - Os dados gerados por softwares de verificação de Aplicável

integridade devem ser armazenados em mídias ou máquinas
dedicadas em ambientes controlados, com acesso permitido
apenas para usuários autorizados.
32830 - Um software para a verificação da integridade dos Não

arquivos do Linux Debian deve ser instalado. Aplicável
Agrupamento : Monitoração de Performance e Status de Serviços
32724 - A performance do Linux Debian deve ser monitorada Não

periodicamente. Aplicável
32761 - As tarefas agendadas no Linux Debian devem ser Não

inspecionadas periodicamente, em busca de agendamentos Aplicável
desnecessários.
Agrupamento : Paralisação de serviços e outros ataques
32781 - O endereço MAC ("Media Access Control") das Aplicável

interfaces dos "hosts" atuando como "gateways" deve ser
definido estaticamente no Linux Debian.
32789 - O recurso de "IP Forwarding" deve ser desabilitado Não

no Linux Debian. Aplicável
44
32790 - O recurso de "IP Source Routing" deve ser Não
desabilitado no Linux Debian. Aplicável
32791 - O recurso de proteção contra ataques do tipo Não

"Smurf" deve ser habilitado no Linux Debian. Aplicável
32820 - Um horário de utilização deve ser definido para cada Não

serviço sob gerência do "xinetd" no Linux Debian. Aplicável
Agrupamento : Planejamento de capacidade
32783 - O espaço em disco disponível nas partições do Linux Não

Debian deve ser monitorado. Aplicável
32821 - Um limite de utilização de espaço em disco ("disk Não

quota") deve ser definido para os usuários no Linux Debian. Aplicável
Agrupamento : Privilégios de usuário
32778 - O agendamento de tarefas no Linux Debian deve ser Não

permitido apenas para o superusuário ("root") e outros Aplicável
usuários autorizados.
Agrupamento : Serviços locais e remotos
32776 - O acesso de escrita ("read write") ao agente SNMP Não

do Linux Debian deve ser removido. Aplicável
32779 - O agente SNMP do Linux Debian deve ser Não

configurado para enviar "traps" somente para "hosts" de Aplicável
gerenciamento autorizados.
32786 - O nome da comunidade SNMP de escrita ("read Não

write") no agente SNMP do Linux Debian deve ser de difícil Aplicável
dedução.
32787 - O nome da comunidade SNMP de leitura ("read Não

only") no agente SNMP do Linux Debian deve ser de difícil Aplicável
dedução.
45
Agrupamento : Sistema de arquivos e permissões
32733 - As permissões dos arquivos ".bash_history" e Não

".sh_history" do Linux Debian devem ser configuradas de Aplicável
forma a evitar acessos indevidos.
32734 - As permissões no arquivo "/dev/kmem" do Linux Não

Debian devem ser configuradas de forma a evitar acessos Aplicável
indevidos.
32735 - As permissões no arquivo "/dev/mem" do Linux Não

indevidos.
32736 - As permissões no arquivo "/etc/group" do Linux Não

indevidos.
32737 - As permissões no arquivo "/etc/gshadow" do Linux Não

indevidos.
32738 - As permissões no arquivo "/etc/hosts" do Linux Não

indevidos.
32739 - As permissões no arquivo "/etc/inetd.conf" ou Não

"/etc/xinetd.conf" no Linux Debian devem ser configuradas Aplicável
de forma a evitar acessos indevidos.
32740 - As permissões no diretório "/etc/event.d" no Linux Não

indevidos.
32741 - As permissões no arquivo "/etc/lilo.conf", ou Não

"/boot/grub/menu.lst", no Linux Debian devem ser Aplicável
configuradas de forma a evitar acessos indevidos.
32742 - As permissões no arquivo "/etc/passwd" do Linux Não
46
indevidos.
32743 - As permissões no arquivo "/etc/securetty" no Linux Não

indevidos.
32744 - As permissões no arquivo "/etc/shadow" do Linux Não

indevidos.
32758 - As permissões nos binários que implementam os Não

serviços TCP/IP no Linux Debian devem ser configuradas de Aplicável
32759 - As permissões nos compiladores e "debuggers" do Não

Linux Debian devem ser configuradas de forma a evitar Aplicável
acessos indevidos.
32767 - Ferramentas de rede potencialmente maliciosas do Não

Linux Debian devem ser removidas do sistema. Aplicável
32775 - O acesso ao comando "su" no Linux Debian deve ser Não

permitido apenas para usuários autorizados. Aplicável
32806 - Os arquivos de configuração críticos do Linux Debian Não

devem ser configurados com o atributo imutável. Aplicável
32817 - Todos os arquivos do Linux Debian devem possuir os Não

atributos "owner" e "group" definidos. Aplicável
47
Agrupamento : Auditoria e Monitoramento Eletrônico
55772 - O parâmetro "Audit process tracking" deve ser Não

configurado com todas as opções desmarcadas. Aplicável
55774 - O diretório de instalação do Sistema Operacional e

Aplicável
seus subdiretórios devem ser auditados.
55776 - A auditoria do Sistema Operacional deve ser

Aplicável
habilitada.
55809 - O parâmetro da Registry "WarningLevel" deve ser Não

configurado com o valor "90". Aplicável
55816 - O Sistema Operacional deve ser configurado de

forma a gravar um registro no "log" quando ocorrer um erro Aplicável
fatal.
55848 - A auditoria do "Firewall" deve ser habilitada. Aplicável
55849 - A auditoria do "Firewall" deve ser configurada de

Aplicável
forma a registrar os eventos relevantes para a segurança.
55851 - Os registros de Auditoria ("logs") gerados pelo

Aplicável
"Firewall" devem ser protegidos contra acessos indevidos.
55880 - As permissões NTFS para o diretório

Não
"%SystemRoot%\system32\MsDTC" devem ser configuradas
Aplicável

Não
"%SystemRoot%\Debug" devem ser configuradas de forma a
Aplicável
evitar acessos indevidos.
55902 - A auditoria da unidade de disco "%SystemDrive%"

Não
deve ser configurada de forma a registrar os eventos
Aplicável
relevantes para a segurança.
48
55903 - A auditoria da chave da Registry "HKLM\Software" Aplicável
deve ser configurada de forma a registrar os eventos
55904 - A auditoria da chave da Registry "HKLM\System"

deve ser configurada de forma a registrar os eventos Aplicável
55905 - Um tamanho máximo para o arquivo de auditoria do

Aplicável
"Firewall" deve ser definido.
55951 - Os registros de Auditoria ("logs") gerados devem ser

Aplicável
protegidos contra acessos indevidos.
55952 - Um tamanho máximo para os arquivos de auditoria

Aplicável
do sistema deve ser definido.
Agrupamento : Configurações de Sistemas e Aplicações
55696 - O parâmetro da Registry

Não
"NtfsDisable8dot3NameCreation" deve ser configurado com
Aplicável
o valor "1".
55697 - O parâmetro da Registry "NoDriveTypeAutoRun" Não

deve ser configurado com o valor "255". Aplicável
55704 - O recurso de geração do arquivo de "DUMP" da Não

memória deve ser desabilitado. Aplicável
55791 - O endereço IP do servidor do serviço "Windows

Aplicável
Update" deve ser adicionado ao arquivo "hosts".
55807 - O parâmetro da Registry "NoDefaultExempt" deve Não

ser configurado com o valor "1". Aplicável
55808 - O parâmetro da Registry "BlockSendInputResets" Não


Não
"TcpMaxDataRetransmissions" deve ser configurado com o
49
valor "3". Aplicável

Não
"NoNameReleaseOnDemand" deve ser configurado com o
Aplicável
valor "1".
55814 - O serviço de sincronização de tempo deve ser

Aplicável
configurado como autenticado.
55815 - O parâmetro da Registry "WebView" deve ser Não

55817 - O parâmetro da Registry "ScreenSaverGracePeriod" Não

55819 - A proteção contra "DNS Spoofing" deve ser Não

habilitada. Aplicável
55833 - O parâmetro da Registry "PipeFirewallActive" deve Não

55834 - O parâmetro da Registry "DisableAddressSharing" Não

55836 - O parâmetro da Registry "EnhancedSecurityLevel" Não

deve ser configurado com o valor 1. Aplicável
55839 - A associação de arquivos que possuem a extensão Não

"Não Aplicável.reg" com o executável "regedit.exe" deve ser Aplicável
removida.
55842 - O parâmetro da Registry "TcpMaxHalfOpen" deve Não

ser configurado com o valor 100. Aplicável
55844 - O parâmetro da Registry "Hidden" deve ser Não

configurado com o valor 1. Aplicável
55853 - O Sistema Operacional deve ser configurado de

Aplicável
forma a reiniciar automaticamente após um erro fatal.
50
55981 - O parâmetro "Shutdown: Clear virtual memory Não
pagefile" deve ser configurado como "Enabled". Aplicável
55684 - Os usuários devem ter permissão de alterar suas

Aplicável
próprias senhas.
55685 - A conta "Guest" deve ser desabilitada. Aplicável
55706 - Somente usuários autorizados devem fazer parte do

Aplicável
grupo local "Administrators".

Aplicável
grupo local "Backup Operators".

Aplicável
grupo local "Network Configuration Operators".

Aplicável
grupo local "Replicator".

Aplicável
grupo local "Remote Desktop Users".
55793 - O parâmetro "Require a Password When a Computer

Aplicável
Wakes (Plugged In)" deve ser habilitado.
55838 - O parâmetro da Registry "DisableSavePassword" Não

55941 - Somente usuários autorizados devem fazer parte do Não

grupo local "Event Log Readers". Aplicável
55942 - Somente usuários autorizados devem fazer parte do Não

grupo local "Distributed COM Users". Aplicável
55698 - Os compartilhamentos administrativos devem ser Aplicável
51
desabilitados.
55703 - A configuração dos serviços de impressão deve ser

Aplicável
restrita aos administradores.
55724 - O acesso a recursos compartilhados deve ser

Aplicável
permitido apenas para usuários autorizados.
55805 - O parâmetro da Registry "RestrictGuestAccess" deve Não

55929 - O parâmetro "Inbound connections" de todos os Não

perfis do Firewall deve ser configurado como "Block". Aplicável
55965 - A opção de compartilhamento de arquivos e Não

impressoras ("File and Print Sharing") deve ser desabilitada. Aplicável
56016 - Algum método de proteção de tela deve ser

Aplicável
Aplicável caso o operador deixe o computador desassistido.
55785 - O parâmetro da Registry "OperationMode" deve ser Não

55779 - O parâmetro da Registry "SafeDllSearchMode" deve Não

55803 - O recurso "DEP" ("Data Execution Prevention") deve

Não
ser configurado de modo a verificar todos os programas
Aplicável
executados no computador.
Agrupamento : Group Policy
55686 - O parâmetro "Accounts: Rename administrator Não

account" deve ser configurado como Aplicável
"Aplicávelnovo_nome_da_conta_administrator]".
52
55687 - O parâmetro "Recovery Console: Allow automatic Não
administrative logon" deve ser configurado como "Disabled". Aplicável
55688 - O parâmetro "Accounts: Rename guest account" Não

deve ser configurado como Aplicável
"Aplicávelnovo_nome_da_conta_guest]".
55689 - O parâmetro "Devices: Restrict CD-ROM access to Não

locally logged-on user only" deve ser configurado como Aplicável
"Enabled".
55690 - O parâmetro "Devices: Restrict floppy access to Não

locally logged-on user only" deve ser configurado como Aplicável
"Enabled".
55691 - O parâmetro "Domain member: Digitally sign secure Não

channel data (when possible)" deve ser configurado como Aplicável
"Enabled".
55692 - O parâmetro "Domain member: Require strong Não

(Windows 2000 or later) session key" deve ser configurado Aplicável
como "Enabled".
55693 - O parâmetro "Audit: Shut down system immediately Não

if unable to log security audits" deve ser configurado como Aplicável
"Disabled".
55717 - O parâmetro "Interactive logon: Message text for

Não
users attempting to log on" deve ser configurado com uma
Aplicável
mensagem de advertência sobre o uso impróprio do sistema.
55718 - O parâmetro "Interactive logon: Message title for

users attempting to log on" deve ser configurado com uma Não
frase que esclareça o propósito da mensagem de Aplicável
advertência.
55726 - O parâmetro "Accounts: Limit local account use of Não

blank passwords to console logon only" deve ser configurado Aplicável
53
como "Enabled".
55727 - O parâmetro "Devices: Allow undock without having Não

to log on" deve ser configurado como "Disabled". Aplicável
55728 - O parâmetro "Interactive logon: Require domain

Não
controller authentication to unlock workstation" deve ser
Aplicável
configurado como "Enabled".
55729 - O parâmetro "Network Access: Allow anonymous

Não
SID/Name translation" deve ser configurado como
Aplicável
"Disabled".
55730 - O parâmetro "Network Access: Do not allow

Não
anonymous enumeration of SAM accounts" deve ser
Aplicável
55731 - O parâmetro "Network access: Do not allow storage

Não
of passwords and credentials for network authentication"
Aplicável
deve ser configurado como "Enabled".
55732 - O parâmetro "Network Access: Let Everyone

Não
permissions apply to anonymous users" deve ser configurado
Aplicável
como "Disabled".
55733 - O parâmetro "Network Access: Named Pipes that

can be accessed anonymously" deve ser configurado de Não
forma a permitir o acesso anônimo apenas a "Named Pipes" Aplicável
definidos.
55742 - O parâmetro "System cryptography: Use FIPS

Não
compliant algorithms for encryption, hashing, and signing"
Aplicável
55743 - O parâmetro "Domain member: Digitally encrypt or

Não
sign secure channel data (always)" deve ser configurado
Aplicável
como "Enabled".
55744 - O parâmetro "Adjust memory quotas for a process" Não
54
deve ser configurado como "Administrators". Aplicável
55745 - O parâmetro "Allow log on through Remote Desktop Não

Services" deve ser configurado como "Nenhum Usuário". Aplicável
55746 - O parâmetro "Deny log on through Remote Desktop Não

Services" deve ser configurado como "Everyone". Aplicável
55747 - O parâmetro "Lock pages in memory" deve ser Não

configurado como "Nenhum usuário". Aplicável
55760 - O parâmetro "System objects: Strengthen default

Não
permissions of internal system objects (e.g. symbolic links)"
Aplicável
55766 - O parâmetro "Audit account logon events" deve ser Não

configurado como "Success" e "Failure". Aplicável
55767 - O parâmetro "Audit account management" deve ser Não

55768 - O parâmetro "Audit logon events" deve ser Não

55769 - O parâmetro "Audit object access" deve ser Não

configurado como "Failure". Aplicável
55770 - O parâmetro "Audit policy change" deve ser Não

55771 - O parâmetro "Audit privilege use" deve ser Não

configurado como "Failure". Aplicável
55773 - O parâmetro "Audit system events" deve ser Não

55788 - O parâmetro "Turn off Windows Update device Não

driver searching" deve ser desabilitado. Aplicável
55789 - O parâmetro "Restrictions for Unauthenticated RPC Não
55
clients" deve ser habilitado. Aplicável
55790 - O parâmetro "Turn off printing over HTTP" deve ser

habilitado.
55794 - O parâmetro "Firewall: Protect all network

Aplicável
connections" deve ser habilitado.
55795 - O parâmetro "Firewall: Do not allow exceptions"

Aplicável
deve ser habilitado.
55796 - O parâmetro "Firewall: Define inbound program

Aplicável
exceptions" deve ser desabilitado.
55797 - O parâmetro "Firewall: Allow inbound remote

Aplicável
administration exception" deve ser desabilitado.
55798 - O parâmetro "Firewall: Allow inbound file and

Aplicável
printer sharing exception" deve ser desabilitado.
55799 - O parâmetro "Firewall: Allow ICMP exceptions" deve

Aplicável
ser desabilitado.
55800 - O parâmetro "Firewall: Allow inbound Remote

Aplicável
Desktop exceptions" deve ser desabilitado.
55801 - O parâmetro "Firewall: Allow inbound UPnP Não

framework exceptions" deve ser desabilitado. Aplicável
55802 - O parâmetro "Firewall: Prohibit unicast response to Não

multicast or broadcast requests" deve ser habilitado. Aplicável
55828 - O parâmetro "DCOM: Machine Access Restrictions in

Não
Security Descriptor Definition Language (SDDL) syntax" deve
Aplicável
ser configurado de forma a evitar acessos indevidos.
55829 - O parâmetro "DCOM: Machine Launch Restrictions

Não
in Security Descriptor Definition Language (SDDL) syntax"
Aplicável
deve ser configurado de forma a evitar acessos indevidos.
56
55831 - O parâmetro "Do not process the legacy run list" Não
deve ser habilitado. Aplicável
55847 - O parâmetro "Firewall: Prohibit notifications" deve Não

ser habilitado. Aplicável
55906 - O parâmetro "Turn on Security Center (Domain PCs Não

only)" deve ser habilitado. Aplicável
55909 - O parâmetro "System settings: Use Certificate Rules

Não
on Windows Executables for Software Restriction Policies"
Aplicável
55910 - O parâmetro "System settings: Optional subsystems" Não

deve ser configurado como "Nenhum". Aplicável
55911 - O parâmetro "Network access: Remotely accessible

Não
registry paths and sub-paths " deve ser configurado de forma
Aplicável
a evitar o acesso por usuários anônimos.
55912 - O parâmetro "System Cryptography: Force strong

key protection for user keys stored on the computer" deve Não
ser configurado como "User must enter a password each Aplicável
time they use a key ".
55913 - O parâmetro "Deny log on as a service" deve ser Não

55914 - O parâmetro "Audit: Force audit policy subcategory

Não
settings (Windows Vista or later) to override audit policy
Aplicável
category settings" deve ser configurado como "Enabled".
55915 - O parâmetro "User Account Control: Admin Approval

Não
Mode for the Built-in Administrator account" deve ser
Aplicável
55916 - O parâmetro "User Account Control: Behavior of the

Não
elevation prompt for administrators in Admin Approval
Aplicável
Mode" deve ser configurado como "Prompt for credentials".
57
55917 - O parâmetro "User Account Control: Behavior of the
Não
elevation prompt for standard users" deve ser configurado
Aplicável
como "Automatically deny elevation requests".
55918 - O parâmetro "User Account Control: Detect

Não
application installations and prompt for elevation" deve ser
Aplicável
55919 - O parâmetro "User Account Control: Only elevate

Não
executables that are signed and validated" deve ser
Aplicável
55920 - O parâmetro "User Account Control: Only elevate

Não
UIAccess applications that are installed in secure locations"
Aplicável
55928 - O parâmetro "Modify an object label" deve ser Não

55930 - O parâmetro "Firewall: Allow local port exceptions" Não

deve ser desabilitado. Aplicável
55931 - O parâmetro "Firewall: Allow local program Não

exceptions" deve ser desabilitado. Aplicável
55932 - O parâmetro "Do not process the run once list" deve Não
55933 - O parâmetro "RPC Endpoint Mapper Client Não

Authentication" deve ser habilitado. Aplicável
55935 - O parâmetro "Enumerate administrator accounts on Não

elevation" deve ser desabilitado. Aplicável
55936 - O parâmetro "Require trusted path for credential Não

entry" deve ser habilitado. Aplicável
55938 - O parâmetro "Do not allow passwords to be saved"

Aplicável
deve ser habilitado.
58
55939 - O parâmetro "Do not allow drive redirection" deve Não
55940 - O parâmetro "Remove CD Burning features" deve ser

Aplicável
habilitado.
55953 - Um procedimento para impedir a reutilização de

Aplicável
senhas recentes deve ser Aplicável.
55954 - O parâmetro "Maximum Password Age" deve ser

Aplicável
configurado com um valor entre 30 e 90.
55955 - O parâmetro "Minimum Password Age" deve ser Não

55956 - O parâmetro "Minimum Password Length" deve ser Não

55957 - O parâmetro "Passwords must meet complexity Não

requirements" deve ser configurado como "Enabled". Aplicável
55958 - O parâmetro "Store passwords using reversible Não

encryption" deve ser configurado como "Disabled". Aplicável
55959 - Um mecanismo para bloqueio ("lockout") das contas

dos usuários após um certo número de tentativas de Logon Aplicável
mal sucedidas deve ser Aplicável.
55960 - O parâmetro "Account lockout duration" deve ser Não

55961 - O parâmetro "Reset account lockout counter after" Não

deve ser configurado com um valor superior a 15. Aplicável
55969 - O parâmetro "Microsoft network server: Digitally

Não
sign communications (if client agrees)" deve ser configurado
Aplicável
como "Enabled".
55978 - O parâmetro "Audit: Audit the access of global Não
59
system objects" deve ser configurado como "Disabled". Aplicável
55979 - O parâmetro "Audit: Audit the use of Backup and Não

Restore privilege" deve ser configurado como "Disabled". Aplicável
55980 - O parâmetro "Microsoft network server: Disconnect

Não
clients when logon hours expire" deve ser configurado como
Aplicável
"Enabled".
55982 - O parâmetro "Microsoft network client: Digitally sign

Não
communications (always)" deve ser configurado como
Aplicável
"Enabled".
55983 - O parâmetro "Microsoft network server: Digitally

Não
sign communications (always)" deve ser configurado como
Aplicável
"Disabled".
55984 - O parâmetro "Interactive logon: Do not require Não

CTRL+ALT+DEL" deve ser configurado como "Disabled". Aplicável
55985 - O parâmetro "Interactive logon: Do not display last Não

user name" deve ser configurado como "Enabled". Aplicável
55986 - O parâmetro "Network security: LAN Manager

Não
authentication level" deve ser configurado como "Send
Aplicável
NTLMv2 response only. Refuse LM and NTLM".
55987 - O parâmetro "Access this computer from the

network" deve ser configurado como "Administrators" e Aplicável
"Users".
55988 - O parâmetro "Act as part of the operating system" Não

deve ser configurado como "Nenhum usuário". Aplicável
55989 - O parâmetro "Back up files and directories" deve ser Não

configurado como "Administrators" e "Backup Operators". Aplicável
55990 - O parâmetro "Bypass traverse checking" deve ser Não

configurado como "Users". Aplicável
60
55991 - O parâmetro "Change the system time" deve ser Não
configurado como "Administrators". Aplicável
55992 - O parâmetro "Create a pagefile" deve ser Não

55993 - O parâmetro "Create a token object" deve ser Não

55994 - O parâmetro "Create permanent shared objects" Não

deve ser configurado como "Nenhum usuário". Aplicável
55995 - O parâmetro "Debug programs" deve ser Não

55996 - O parâmetro "Deny access to this computer from the

Aplicável
network" deve ser configurado como "Guest".
55997 - O parâmetro "Deny log on as a batch job" deve ser

Aplicável
configurado como "Guest".
55999 - O parâmetro "Deny log on locally" deve ser

Aplicável
configurado como "Guest".
56000 - O parâmetro "Force shutdown from a remote

Aplicável
system" deve ser configurado como "Administrators".
56001 - O parâmetro "Generate security audits" deve ser

Aplicável
configurado como "Local Service, Network Service".
56002 - O parâmetro "Increase scheduling priority" deve ser Não

56003 - O parâmetro "Load and unload device drivers" deve Não

ser configurado como "Administrators". Aplicável
56004 - O parâmetro "Log on as a batch job" deve ser Não

56005 - O parâmetro "Log on as a service" deve ser Não
61
56006 - O parâmetro "Allow log on locally" deve ser Não

configurado como "Administrators" e "Users". Aplicável
56007 - O parâmetro "Manage auditing and security log" Não

56008 - O parâmetro "Modify firmware environment values" Não

56009 - O parâmetro "Profile single process" deve ser Não

56010 - O parâmetro "Profile system performance" deve ser Não

56011 - O parâmetro "Remove computer from docking Não

station" deve ser configurado como "Nenhum usuário". Aplicável
56012 - O parâmetro "Replace a process level token" deve Não

ser configurado como "Nenhum usuário". Aplicável
56013 - O parâmetro "Restore files and directories" deve ser Não

configurado como "Administrators" e "Backup Operators". Aplicável
56014 - O parâmetro "Shut down the system" deve ser Não

configurado como "Administrators" e "Users". Aplicável
56015 - O parâmetro "Take ownership of files or other Não

objects" deve ser configurado como "Administrators". Aplicável
56017 - O parâmetro "Domain member: Digitally encrypt Não

secure channel data (when possible)" deve ser configurado Aplicável
como "Enabled".
56018 - O parâmetro "Interactive logon: Number of previous Não

logons to cache (in case domain controller is not available)" Aplicável
deve ser configurado com o valor 0.
62
56019 - O parâmetro "Interactive logon: Prompt user to Não
change password before expiration" deve ser configurado Aplicável
com o valor 14.
73344 - Os parâmetros "Allow Standby States (S1-S3) When

Sleeping (On Battery)" e "Allow Standby States (S1-S3) When Não
Sleeping (Plugged In)" devem ser configurados como Aplicável
"Disabled".
73345 - O parâmetro "Choose drive encryption method and

Não
cipher strength" deve ser configurado como "Disabled" ou
Aplicável
"Not configured".
73346 - O parâmetro "Prevent memory overwrite on restart" Não

deve ser configurado como "Disabled" ou "Not configured". Aplicável
73347 - As configurações de recuperação de dados

armazenados em discos de sistema devem ser omitidas
Aplicável
durante a execução do "Wizard" de configuração do
"Bitlocker".
73348 - As informações de recuperação de dados

armazenados em discos de sistema criptografados com o
Aplicável
"Bitlocker" devem ser salvas no "Active Directory Domain
Services (AD DS)".
73349 - O armazenamento das informações de recuperação

de dados armazenados em discos de sistema criptografados
Aplicável
com o "Bitlocker" no "Active Directory Domain Services (AD
DS)" deve ser devidamente configurado.
73350 - O "BitLocker" deve permanecer desabilitado em

discos de sistema até que as informações de recuperação
Aplicável
sejam armazenadas no "Active Directory Domain Services
(AD DS)"
73351 - Um "PIN" deve ser exigido como forma de Aplicável

autenticação adicional para inicialização do sistema quando
63
este estiver com o "BitLocker" habilitado.
73352 - O "PIN" utilizado para inicialização de discos de

Aplicável
sistema deve conter no mínimo 7 caracteres.
73353 - As configurações de recuperação de volumes de

dados devem ser omitidas durante a execução do "Wizard" Aplicável
de configuração do "Bitlocker"
73354 - As informações de recuperação de volumes de dados

criptografados com o "Bitlocker" devem ser salvas no "Active Aplicável
Directory Domain Services (AD DS)".

de volumes de dados criptografados com o "Bitlocker" no
Aplicável
"Active Directory Domain Services (AD DS)" deve ser
devidamente configurado.

volumes de dados até que as informações de recuperação
Aplicável
sejam armazenadas no "Active Directory Domain Services
(AD DS)"
73357 - O uso de senhas para acessar volumes de dados

Aplicável
criptografados com o "BitLocker" deve ser habilitado.
73358 - As senhas para acessar volumes de dados

criptografados com o "BitLocker" devem atender a um nível Aplicável
mínimo de complexidade.
73359 - As senhas utilizadas para acessar volumes de dados

criptografados com o "BitLocker" devem ter no mínimo 12 Aplicável
caracteres.
73360 - As configurações de recuperação de volumes de

dados removíveis devem ser omitidas durante a execução do Aplicável
"Wizard" de configuração do "Bitlocker".
73361 - As informações de recuperação de volumes de dados Aplicável
64
removíveis criptografados com o "Bitlocker" devem ser
salvas no "Active Directory Domain Services (AD DS)".

de volumes de dados removíveis criptografados com o
Aplicável
"Bitlocker" no "Active Directory Domain Services (AD DS)"
deve ser devidamente configurado.

volumes de dados removíveis até que as informações de
Aplicável
recuperação sejam armazenadas no "Active Directory
Domain Services (AD DS)"
55837 - O parâmetro da Registry "AutoAdminLogon" deve Não

ser configurado com o valor 0. Aplicável
55845 - O parâmetro da Registry "UseBasicAuth" deve ser Não


Não
"DisableBasicOverClearChannel" deve ser configurado com o
Aplicável
valor 1.
Agrupamento : Paralisação de serviços e outros ataques
55695 - O recurso de "IP Source Routing" deve ser Não

desabilitado. Aplicável
Não
55700 - Os pacotes "ICMP Redirect" devem ser bloqueados.
Aplicável
55701 - A proteção contra ataques do tipo "Syn-Flood" deve Não

55702 - O parâmetro da Registry "PerformRouterDiscovery" Não

65
55713 - O parâmetro da Registry "EnableDeadGWDetect" Não
55714 - O parâmetro da Registry "KeepAliveTime" deve ser Não

55715 - O parâmetro da Registry "EnablePMTUDiscovery" Não


Não
"TCPMaxResponseRetransmissions" deve ser configurado
Aplicável
com o valor "1".
55778 - O parâmetro da Registry "TCPMaxPortsExhausted" Não

55780 - O parâmetro da Registry "EnableFragmentChecking" Não

55781 - O recurso de resposta a pacotes "Address Mask Não

Request" deve ser desabilitado. Aplicável
Não
55786 - O recurso de "IP Forwarding" deve ser desabilitado.
Aplicável
Agrupamento : Serviços locais e remotos
55709 - O serviço "SNMP" deve ser desabilitado caso seja Não

desnecessário. Aplicável
55711 - O serviço "Remote Registry Service" deve ser Não

Não
55712 - O serviço "Telnet" deve ser desabilitado.
Aplicável
55748 - O serviço "Application Layer Gateway Service" deve

Aplicável
ser desabilitado.
55749 - O serviço "Windows Update" deve ser habilitado Aplicável
66
55750 - O serviço "Problem Reports and Solutions Control Não
Panel Support" deve ser desabilitado. Aplicável
Não
55751 - O serviço "UPnP Device Host" deve ser desabilitado.
Aplicável
55752 - O serviço "Remote Desktop Services" deve ser

Aplicável
desabilitado.
55753 - O nome da comunidade SNMP de leitura ("read Não

only") no agente SNMP deve ser de difícil dedução. Aplicável
55754 - O nome da comunidade SNMP de escrita ("read Não

write") no agente SNMP deve ser de difícil dedução. Aplicável
55755 - O acesso de escrita ("read write") ao agente SNMP Não

deve ser removido. Aplicável
55756 - O agente SNMP deve ser configurado para enviar Não

"traps" somente para "hosts" de gerenciamento autorizados. Aplicável
55757 - O agente SNMP deve ser configurado de forma a

Não
aceitar pacotes SNMP somente de computadores
Aplicável
autorizados.
55759 - O serviço "NetBIOS" deve ser desabilitado em

Aplicável
interfaces de rede conectadas diretamente à Internet.
55761 - Os serviços do Sistema Operacional devem ser

inicializados por uma conta de usuário local sem privilégios Aplicável
administrativos.
55765 - O serviço "Simple TCP/IP Services" deve ser Não

Não
55832 - O serviço "SSDP Discovery" deve ser desabilitado.
Aplicável
67
55716 - O sistema de arquivos das partições em uso deve ser
Aplicável
NTFS.
55722 - A chave da Registry

"HKLM\System\CurrentControlSet\Control\SecurePipeServer Não
s\winreg" deve ter suas permissões configuradas de forma a Aplicável
55835 - As permissões NTFS para o arquivo

Não
"%SystemRoot%\System32\drivers\etc\hosts" devem ser
Aplicável
55854 - A chave da Registry "HK_CLASSES_ROOT" deve ter

Não
suas permissões configuradas de forma a evitar acessos
Aplicável
indevidos.
55855 - A chave da Registry "HKLM\SOFTWARE" deve ter

Não
suas permissões configuradas de forma a evitar acessos
Aplicável
indevidos.

"HKLM\SOFTWARE\Microsoft\Windows Não
NT\CurrentVersion\Perflib" deve ter suas permissões Aplicável

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Gro Não
up Policy" deve ter suas permissões configuradas de forma a Aplicável

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Inst Não
aller" deve ter suas permissões configuradas de forma a Aplicável
55859 - A chave da Registry Não

"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Poli Aplicável
cies" deve ter suas permissões configuradas de forma a
68
55860 - A chave da Registry "HKLM\SYSTEM" deve ter suas

Não
permissões configuradas de forma a evitar acessos
Aplicável
indevidos.
55861 - As chaves da Registry

Não
"HKLM\SYSTEM\ControlSet0xx" devem ter suas permissões
Aplicável

"HKLM\SYSTEM\CurrentControlSet\Control\Wmi\Security" Não
deve ter suas permissões configuradas de forma a evitar Aplicável
acessos indevidos.

"HKLM\SYSTEM\CurrentControlSet\Hardware Profiles" deve Não
ter suas permissões configuradas de forma a evitar acessos Aplicável
indevidos.
55864 - A chave da Registry "HKEY_USERS\.DEFAULT" deve

Não
ter suas permissões configuradas de forma a evitar acessos
Aplicável
indevidos.

Não
"%ProgramFiles%" devem ser configuradas de forma a evitar
Aplicável
acessos indevidos.

Não
"%SystemRoot%\system32" devem ser configuradas de
Aplicável

Não
"%SystemRoot%\system32\config" devem ser configuradas
Aplicável
55869 - As permissões NTFS para o diretório Não

"%SystemRoot%\system32\ias" devem ser configuradas de Aplicável
69

Não
"%SystemRoot%\system32\spool\PRINTERS" devem ser
Aplicável
Análise de Risco de Internet Explorer 9
Agrupamento : Armazenamento de informações
44000 - O parâmetro "Userdata persistence" do MS Não Aplicável

Internet Explorer 8.x deve ser desabilitado em
todas as zonas de segurança.
44004 - O MS Internet Explorer 8.x deve ser Não Aplicável

configurado para que o usuário seja notificado
antes da gravação de "cookies" do tipo "First-
party" em seu computador.
44005 - Os "cookies" do tipo "Third-party" devem Não Aplicável

ser bloqueados no MS Internet Explorer 8.x.
44008 - O recurso "Autocomplete" do MS Internet Aplicável

Explorer 8.x deve ser desabilitado.
43999 - O parâmetro "Allow Programmatic clipboard access" Não

do MS Internet Explorer 8.x deve ser configurado para cada Aplicável
zona de segurança.
44012 - O parâmetro "Warn if POST submittal is redirected to Não

a zone that does not permit posts" do MS Internet Explorer Aplicável
8.x deve ser habilitado.
44013 - O parâmetro "Warn if changing between secure and Não

not secure mode" do MS Internet Explorer 8.x deve ser Aplicável
70
habilitado.
44035 - O recurso "InPrivate Browsing" do MS Internet Não

explorer 8.0 deve ser habiltado para acessar sites que Aplicável
possuam conteúdo confidencial.
44039 - A ferramenta DropMyRights deve ser instalada. Não

Aplicável
43983 - O parâmetro "Use SSL 3.0" do MS Internet Explorer Não

8.x deve ser habilitado. Aplicável
43990 - O parâmetro "Display mixed content" do MS Internet Não

Explorer 8.x deve ser configurado para cada zona de Aplicável
segurança.
43995 - O parâmetro "Submit non-encrypted form data" do Não

MS Internet Explorer 8.x deve ser configurado para cada zona Aplicável
de segurança.
43982 - O parâmetro "Download unsigned ActiveX controls" Não

zona de segurança.
43984 - O parâmetro "Download signed ActiveX controls" do Não

de segurança.
43985 - O parâmetro "Run ActiveX controls and plug-ins" do Não

de segurança.
43986 - O parâmetro "Script ActiveX controls marked safe for Não

scriptingNão Aplicável" do MS Internet Explorer 8.x deve ser Aplicável
configurado para cada zona de segurança.
71
43987 - O parâmetro "Initialize and script ActiveX controls Não
not marked as safe for scripting" do MS Internet Explorer 8.x Aplicável
deve ser configurado para cada zona de segurança.
43991 - O parâmetro "Access data sources across domains" Não

zona de segurança.
43992 - O parâmetro "Allow META REFRESH" do MS Internet Não

segurança.
43993 - O parâmetro "Drag and drop or copy and paste files" Não
zona de segurança.
43994 - O parâmetro "Installation of desktop items" do MS Não

Internet Explorer 8.x deve ser configurado para cada zona de Aplicável
segurança.
43996 - O parâmetro "Launching programs and files in an Não

IFRAME" do MS Internet Explorer 8.x deve ser configurado Aplicável
para cada zona de segurança.
43997 - O parâmetro "Navigate windows and frames across Não

different domains" do MS Internet Explorer 8.x deve ser Aplicável
43998 - O parâmetro "Active scripting" do MS Internet Não

segurança.
44002 - O parâmetro "Scripting of Java applets" do MS Não

segurança.
44010 - O parâmetro "Check for signatures on downloaded Não

programs" do MS Internet Explorer 8.x deve habilitado. Aplicável
72
44023 - Um mecanismo para bloqueio de janelas de "pop-up" Aplicável
no MS Internet Explorer 8.x deve ser instalado.
44025 - O parâmetro "Run components signed with Não

Authenticode" do MS Internet Explorer 8.x deve ser Aplicável
44027 - O parâmetro "Run components not signed with Não

Authenticode" do MS Internet Explorer 8.x deve ser Aplicável
44028 - O parâmetro "Allow scriptlets" do MS Internet Não

segurança.
44029 - O parâmetro "Allow status bar updates via script" do Não

de segurança.
44030 - O parâmetro "Allow websites to open windows Não

without address or status bars" do MS Internet Explorer 8.x Aplicável
44031 - O parâmetro "Allow script-initiated windows without Não

size or position constraint" do MS Internet Explorer 8.x deve Aplicável
ser configurado para cada zona de segurança.
44032 - O parâmetro "Binary and script behaviors" do MS Não

segurança.
44034 - O "Filtro Smart Screen" do MS Internet Explorer 8.x Aplicável

deve ser ativado automaticamente para todas as zonas de
segurança.
Agrupamento : Descarte de informação
44011 - O parâmetro "Empty Temporary Internet Files folder Não

when browser is closed" do MS Internet Explorer 8.x deve ser Aplicável
73
habilitado.
Agrupamento : Group Policy
43988 - O parâmetro "Allow File downloads" do MS Internet Não

segurança.
43989 - O recurso "Restrict File Download" deve ser Não

habilitado. Aplicável
44009 - O parâmetro "Do not save encrypted pages to disk" Não

do MS Internet Explorer 8.x deve ser habilitado. Aplicável
44017 - O parâmetro "Prevent Ignoring Certificate Errors" do Não

MS Internet Explorer 8.x deve ser habilitado. Aplicável
44020 - O paramêtro "Disable Automatic Install of Internet Não

Explorer components" deve ser habilitado. Aplicável
44021 - O parâmetro "Make proxy settings per-machine Não

(rather than per-user)" deve ser habilitado. Aplicável
44022 - O parâmetro "Security Zones: Do not allow users to Não

add/delete sites" deve ser habilitado. Aplicável
44024 - O parâmetro "Security Zones: Do not allow users to Não

change policies" deve ser habilitado. Aplicável
44036 - O recurso "Scripted Window Security Restrictions" Não

deve ser habilitado. Aplicável
44037 - O recurso "Zone Elevation Protection" deve ser Não

desabilitado Aplicável
44038 - O "Protected Mode" deve ser habilitado. Não

Aplicável
44040 - O recurso "Crash Protection" deve ser desativado. Não

Aplicável
74
44001 - O parâmetro "Logon" do MS Internet Explorer 8.x Aplicável

44014 - O parâmetro "Check for publisher´s certificate Não

revocation" do MS Internet Explorer 8.x deve ser habilitado. Aplicável
44015 - O parâmetro "Check for server certificate Não

revocationNão Aplicável" do MS Internet Explorer 8.x deve Aplicável
ser habilitado.
44016 - O parâmetro "Warn about certificate address Não

mismatchNão Aplicável" do MS Internet Explorer 8.x deve ser Aplicável
habilitado.
44018 - A chave da Registry Aplicável

"HKLM\Software\Microsoft\Internet Explorer" deve ter suas
permissões de acesso configuradas para bloquear acessos
indevidos.
75
FIGURA 4.0 GRAFICO NÍVEL DE SEGURANÇA
Índice de segurança atingido: 28,22%
76
ANEXO III
77
ANEXO IV
78
Escola Estadual Técnico Industrial Professor Fontes Cartilha para o Servidor
Segurança da Informação
Direção Escolar
Escola Estadual Técnico Industrial Professor

Fontes
Av. José Cândido da Silveira, 2000 - Cidade
Nova
Cartilha para o Servidor
Direção
maio de 2014
Sumário
Escola Estadual Téc.
Professor Industrial Fontes
Diretor Conteúdo Técnico | UNA
Erica Santos Teixeira Alexander Rodrigues (revisão)
Antônio Silveira (revisão)
Vice-Diretor
Carina Oliveira (revisão)
André de Oliveira Júnior
Jardel Jônatas (revisão)
Coordenação Junior Ribeiro (elaboração/revisão/supervisão) Apresentação ....................................................................................................................................... 7
Maria dos Anjos Auxiliadora Nilo Cesar (revisão/elaboração) Introdução ....................................................................................................................................... 9
Solange de Faria Souza Wedber Luiz (revisão) 1 Política de Uso dos Computadores.................................................................................................. 11
Orientadores Aplicações , 11
Marcos Flávio Assunção Programas, 11
Alan Samuel Rodrigues Magalhães Acesso, 11
Serviços disponíveis ao usuário ....................................................................................................... 13
Acesso à Rede, 13
Programas, 13
E-mail, 13
Servidor de Arquivos, 14
Equipamentos, 14
Segurança ......................................................................................................................................... 15
Conceitos, 15
Senhas, 15
Programas Maliciosos, 16
E-mail, 17
Navegadores, 17
Antivírus, 17
Backup, 17
Onde Obter mais informações .......................................................................................................... 19

Criptografia, 19
Ordens de Serviços, 19
Referências Legais .......................................................................................................................... 21

Os 10 mandamentos da Segurançla da Informação ........................................................................ 23
Apresentação
Todo servidor público tem um compromisso com a integridade, a

confidencialidade, a autenticidade e a disponibilidade da informação. por isso,
deve estar atento aos padrões e procedimentos adotados na escola pública, às
informações sobre segurança e às boas práticas em tecnologia da informação.
O Art. 5º , XXXIII, da CR:
“XXXIII – todos têm direito a

receber dos órgãos públicos
informações de seu interesse
particular, ou de interesse
coletivo ou geral, que serão
prestados no prazo da lei, sob
pena de responsabilidade,
ressalvadas aquelas cujo
sigilo seja imprescindível à
segurança da sociedade e do
Foto: Fachada da E E Técnico Industrial Professor Fontes /Arquivo EE Fontes.
7
Introdução
A tecnologia faz parte da vida das pessoas, empresas privadas e setor público. Do aluno da rede pública
de ensino aos grandes centros de pesquisa, da dona de casa ao executivo, todos interagem de alguma
forma com recursos de TI.
Para que toda a informação que circula possa servir somente ao seu propósito, que é o de informar, sem
prejudicar quaisquer pessoas ou instituições, é necessária a gestão segura dos recursos disponíveis em
tecnologia da informação.
Escola Informação Na Escola não é diferente. aliás, deve-se sempre adotar os procedimentos padrões, de modo a contribuir
Pública Alunos
de forma positiva com a disponibilidade, integridade, confidencialidade e autenticidade da informação.
O desafio de fomentar a segurança da informação e comunicações é grande, afinal, são milhares de

computadores, servidores e usuários distribuídos em vários pontos e instâncias. Mas está longe de ser
impossível, pois depende principalmente da atenção e da atitude das pessoas sobre as boas práticas de TI.
A partir de agora você tem acesso a informações fundamentais para um serviço público eficiente para o
seu dia a dia e adaptado aos novos tempos.
9
Politica de uso dos
computadores
1.1 APLICAÇÕES
1.1.1 Para que serve uma política de uso?
Para estabelecer padrões e procedimentos que busquem a segurança, estabilidade e
disponibilidade dos serviços computacionais.
1.1.2 Quais recursos computacionais devem seguir a política de uso?
Quaisquer equipamentos, programas, meios físicos de tráfego e sistemas de
armazenamento digital inseridos no ambiente computacional da presidência, incluindo notebooks, pen
drives, hd externos, impressoras, além das estações de trabalho.
1.2 PROGRAMAS
1.2.1 O que posso instalar no computador?
E direção distribui os computadores (estações de trabalho) instalados com sistemas e
programas licenciados de acordo com o padrão adotado na Secretaria da Educação. então, por razões de
padronização e segurança, o usuário não pode instalar aplicativos e programas sem a prévia autorização da
direção.
Em caso de necessidade específica de algum programa ou sistema, deve-se entrar em contato com a Direção
(veja seção 2.2.1 para detalhes).
1.3 ACESSOS
1.3.1 Que tipo de sites posso acessar?
É proibido acessar sites ilícitos, com conteúdos indevidos ou inadequados ao ambiente de trabalho. Além
disso, alguns sites são bloqueados por razões de segurança. Em caso de necessidade de acesso a um site que
esteja bloqueado, consulte a Direção sobre a possibilidade de liberação (veja a seção 4.2).
11
Serviços Disponíveis ao Usuário
2.1 ACESSO À REDE
2.1.1 Como solicitar o acesso à rede?
Para servidores ou estagiários, os passos são:
1. Obter uma cópia do formulário de credenciamento na Diretoria;
2. Preencher e colher assinatura do Coordenador(a);
3. Enviar para a dirti;
4. Aguardar atendimento técnico.
2.2 PROGRAMAS
2.2.1 Como instalar um novo programa?
O solicitante deve abrir uma ordem de serviço (os) junto à dirti (veja a seção 4.2). O atendimento à solicitação vai
depender da existência de licenças e do domínio técnico do programa pela dirti. Ao preencher a solicitação, marcar
“informática” no campo “área de competência”.
2.3 E-MAIL
2.3.1 Como criar uma conta de e-mail?
O e-mail é criado juntamente com o login que habilita o acesso à rede de dados da Escola. Veja os procedimentos na
seção 2.1.1.
2.3.2 posso escolher meu e-mail?
O padrão de e-mail é:
nome.ultimonome@eefontes.edu.mg.br.
Em alguns casos, o usuário pode sugerir um e-mail diferente, no ato da entrega do formulário de credenciamento.
2.3.3 Quais os domínios do e-mail?
Os domínios oficiais para envio e recebimento de e-mails são eefontes.edu.mg.br e educacao.mg.gov.br.
12 13
2.3.4 Como acesso meu e-mail?
na rede interna ou intranet, o acesso ao e-mail pode ser feito pelo aplicativo thunderbird. Também pode ser feito pela
Segurança
internet no endereço:
https://correio.eefontes.edu.mg.br.
2.3.5 Para que posso usar o e-mail da EE Téc. Prof. Industrial Fontes?
Os e-mails disponibilizados pela dirti devem ser utilizados estritamente para as atividades vinculadas ao trabalho
exercido no órgão. 3.1 CONCEITOS
2.4 SERVIDOR DE ARQUIVOS 3.1.1 O que pode ocorrer com um computador vulnerável?
2.4.1 Como acessar o servidor de arquivos? Entre outras coisas, pode ocorrer:
Geralmente, cada setor da Escola tem um espaço no servidor de armazenamento de dados para guardar arquivos. • Roubo de informação;
durante o processo de logon na rede, o sistema mapeia automaticamente uma letra associada ao espaço • Perda de dados;
correspondente ao seu setor. Esse espaço é exclusivo para alocar arquivos que fazem parte do trabalho. não se deve • Redução de desempenho;
armazenar, nesse local, arquivos de cunho particular ou arquivos do tipo imagem, vídeo ou áudio. necessidades • Uso do computador para atacar servidores e outros computadores.
específicas de armazenamento devem ser solicitadas à dirti, por meio de expediente. Por isso, os cuidados com a segurança são importantes.
2.4.2 Posso ter acesso a uma área privada? 3.2 SENHAS
Sim. Caso tenha necessidade de acesso restrito a uma pasta específica, solicite o serviço por meio de ordem de serviço 3.2.1 Quais senhas preciso para acessar os sistemas?
junto à dirti (veja seção 4.2). Na Escola são utilizadas senhas para:
2.4.3 Há uma política de backup? • correio expresso;
Sim. A dirti é responsável pelo salvamento dos dados armazenados nos servidores. Já os dados armazenados nas • rede Windows;
estações de trabalho devem ser salvos pelo próprio usuário em mídias fornecidas pela Escola. • aplicativo Postgresql.
2.4.4 Como recuperar no backup um arquivo perdido? Além dessas, podem ser necessárias outras para acessar aplicativos específicos.
Caso algum arquivo tenha sido excluído indevidamente do servidor da rede, é possível solicitar a restauração por meio 3.2.2 O que posso usar como senha?
de ordem de serviço junto à dirti (veja seção 4.2). É preciso informar o endereço completo do arquivo ou da pasta que Para proteger bem suas informações confidenciais e impedir que alguém descubra a sua senha, o ideal é nunca usar
se quer recuperar. nomes próprios, datas, combinações simples de letras ou palavras existentes em dicionários. a senha deve ser segredo
2.5 EQUIPAMENTOS seu.
2.5.1 Como solicitar um equipamento? Misture caracteres especiais (ex.: @#$%¨&*()+=.;) e combinações entre números e letras minúsculas e maiúsculas.
Para solicitar equipamentos de informática, o solicitante deve encaminhar memorando com o pedido para a diretoria. Uma boa dica para criar uma senha segura e fácil de lembrar é pensar em uma frase
A solicitação deve ser detalhada para que a diretoria avalie seu uso na Escola. O atendimento do pedido também e usar a primeira, segunda ou a última letra de cada palavra.
depende da disponibilidade e da verba destinado do Governo para modernização das Escolas. 3.2.3 Minha senha foi bloqueada, o que eu faço?
por razões de segurança, após 5 (cinco) tentativas, sem sucesso, de acesso à rede, a senha do usuário é automaticamente
bloqueada por 30 minutos. neste caso, você deve ligar na dirti no ramal 3400 e solicitar a liberação.
14 15
3.2.4 Esqueci minha senha, o que eu faço? 3.4 E-MAIL
Abra uma ordem de serviço junto à dirti. Veja os detalhes na seção 4.2 3.4.1 Recebi um e-mail solicitando minha senha, devo responder?
3.2.5 Como utilizar minha senha com segurança? Não! nunca se deve informar senhas e dados pessoais por e-mail. há uma prática maliciosa conhecida como “phishing”,
• Jamais compartilhe senhas com outras pessoas. lembre-se que, a princípio, você é o responsável por tudo que que consiste em solicitar informações ou ações do usuário. Existe um controle de spams na Escola que coíbe essa
ocorre com o uso de sua senha. prática. Entretanto, como essas mensagens se assemelham a e-mails verdadeiros, é possível o recebimento de algum e,
• Se você não consegue memorizar suas senhas e precisa anotar em algum lugar, dificulte o acesso das pessoas por isso, deve-se estar sempre atento.
aos seus lembretes. não deixe suas senhas anotadas em locais visíveis, de fácil acesso, expostas em cadernos, pastas ou 3.4.2 Recebi um e-mail solicitando divulgação de um fato, o que faço?
marcadores em sua mesa de trabalho. É comum algumas mensagens do tipo “ajude essa criança com câncer” ou “previnase do novo vírus” solicitando
• A senha existe para evitar acessos não autorizados por outras pessoas a ambientes e sistemas que exigem divulgação (“envie para todos da sua lista”). A maioria dessas mensagens é boato e não deve ser passada adiante.
segurança e controle, por isso, bloqueie sempre o seu computador em suas ausências, evitando o acesso indevido a 3.4.3 Recebo periodicamente um e-mail com fotos. devo abrir?
informações sob sua responsabilidade. no Windows, utilize o conjunto de teclas <ctrl> +<alt>+<del> ou <Windows> + Vários vírus são disseminados por meio de links em textos ou em fotos. Não se deve, portanto, abrir anexos ou links
<l> para bloquear rapidamente o computador. recebidos de remetentes desconhecidos.
• Utilize senhas também em celulares e notebooks, protegendo suas informações em caso de extravio, furto ou 3.5 NAVEGADORES
roubo do equipamento. 3.5.1 Quais os riscos ao navegar na internet?
• sempre que possível diversifique as senhas que possui, evitando que a descoberta de uma delas dê acesso a Alguns sites exploram vulnerabilidades dos navegadores e acabam instalando programas maliciosos no computador do
outras informações protegidas. usuário. Por isso, é importante manter os aplicativos atualizados e não fazer download de arquivos em sites
3.3 PROGRAMAS MALICIOSOS desconhecidos.
3.3.1 O que são programas maliciosos? 3.5.2 Quais cuidados devo ter ao efetuar transações financeiras?
São programas criados para executar ações maliciosas no computador, como captura de senhas e danificação de Verifique se o endereço do site da sua instituição está escrito corretamente na barra de endereços. Nunca clique em
arquivos e programas. Os mais comuns são: referências recebidas por e-mail ou de fontes não confiáveis. Certifique-se de que a conexão é criptografada. Para isso
• Vírus – programa que infecta o computador utilizando-se de diversos meios. É replicado pela ação do veja se há “https://” antes do endereço do site.
computador infectado. 3.6 ANTIVÍRUS
• Cavalo de troia – programa invasor que pode ler, copiar, apagar e alterar dados do sistema sem o 3.6.1 Como verifico se um arquivo está com vírus?
conhecimento do usuário. Sempre que um arquivo é acessado, a ferramenta de antivírus instalada nos computadores da Escola verifica
3.3.2 O antivírus protege contra programas maliciosos? automaticamente se há vírus ou não. Caso queira verificar manualmente um arquivo, efetue os seguintes passos:
Em geral, o antivírus detecta programas maliciosos oriundos de e-mails, disquetes, cds, cartões de memória, pen drives 1. Clique sobre o ícone do arquivo com o botão direito do mouse e escolha a opção “Fazer varredura para encontrar
etc. contudo, é sempre bom tomar cuidado com todas as mídias que recebe. Verifique sempre se o antivírus está ameaças”;
funcionando e atualizado. Evite também executar programas ou abrir arquivos de origem duvidosa. lembre-se 2. Confirme clicando em “limpar”;
que, por exemplo, joguinhos de computador aparentemente inofensivos, ao serem executados, poderão conter e 3. Aguarde enquanto a ferramenta efetua a varredura;
instalar programas maliciosos, que poderão ocasionar danos irreversíveis aos seus arquivos, mau funcionamento do seu 4. Ao terminar clique no botão “Fechar”.
equipamento ou até mesmo furtar suas senhas. Muitas vezes, esses arquivos podem vir de amigos ou colegas de 3.7 BACKUPS
trabalho que desconhecem que seus arquivos possuem essa ameaça. 3.7.1 Preciso fazer backup dos meus dados?
Sim. A dirti é responsável pelo salvamento dos dados armazenados nos servidores. Quanto aos dados armazenados nas
estações de trabalho, o próprio usuário é responsável pelo seu salvamento.
16 17
Onde Obter Mais Informações
4.1 CRIPTOGRAFIA
Site htttp://pt.wikipedia.org/wiki/Criptografia - Definições;
4.2 Ordens de Serviços
Para acionar o suporte de informática, suporte a manutenção, é necessário

abrir uma ordem de serviço. Para isso, os usuários credenciados na rede da
Escola devem pegar o arquivo “Ordem_Servico” no servidor de arquivo na
pasta “Comun_a_Todos” e enviar ao departamento responsável.
19
Referências Legais
Lei 8.429/92:
Dispõe sobre as sanções aplicaveis aos agentes públicos nos casos de enriquecimento ilícito no exercicio de
mandato, cargo, emprego ou função na administração pública direta, indireta ou fundacional e dá outras
providências.
Decreto 43885/2004 - Governo de Minas:
Aprova o Código de ètica Profissional do Servidor Público do Estado de Minas Gerais.
Decreto Federal 3.505/00 - Planalto
Institui a Política de Segurança da Informação nos órgãos e entidades da Administração Pública Federal,
Estadual e Municipal.
IN-GSI N° 1/08 e normas complementares:
Disciplina a Gestão de Segurança da Informação e Comunicações na Administração Pública, direta e indireta,
e dá outras providências.
21
Os 10 mandamentos da
1. Utilize senhas difíceis de serem descobertas

2. Altere sua senha periodicamente
3. Tome cuidado com downloads
4. Tome cuidado com e-mails de remetentes desconhecidos
5. Evite sites com conteúdos duvidosos
6. Não abra anexos de e-mails desconhecidos
7. Tome cuidado com compras na internet
8. Tome cuidado ao acessar sites de bancos
9. Não revele informações sobre você na internet.
10. Ao informar dados em sites, verifique se a página é segura (com prefixo “https”)
23

Desafios para implantar segurança da informação em escola pública

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Desafios para implantar segurança da informação em escola pública

Enviado por

Direitos autorais:

Formatos disponíveis

CENTRO UNIVERSITÁRIO UNA

CURSO SUPERIOR DE TECNOLOGIA EM

Quais os desafios para se implantar segurança da informação na

Figura 1 – Faixada Escola Estatual Professor fontes..........................................................16

Figura 2 – Topologia de Rede da Escola atual ............................................................ 17

Figura 3 – Topologia de Rede proposta da Escola ....................................................... 19

Figura 4 – Gráfico de nível de segurança .......................................................................... 75

WAN – Wide Area Network (Rede de Área Ampla).

LAN – Local Area Network (Rede de área local).

ISDN – Integrated Services Digital Network (Serviços Integrados de Rede Digital).

ATM – Asynchronous Transfer Mode (Modo de Transferência Assíncrona).

PPP – Point-to-Point (Protocolo Ponto a Ponto).

IP – Internet Protocol (Protocolo Sobre Internet).

NAT – Network Address Translation (Tradução de endereço de rede)

Fundamentação teórica ................................................................................................. 7

Em nossa atualidade, o conceito de segurança é muito amplo, e assim como em todas as

Assim, pretende-se responder à seguinte pergunta: “Quais os desafios para se implantar

2.1 Fundamentação Teórica

Firewall é uma barreira de proteção que ajuda a bloquear o acesso de conteúdo

De acordo com o site Segurança da Informação, o Firewall e um dos primeiros

Firewall pode ser do tipo:

Firewall de aplicação (proxy de serviços): Os conceitos de gateways de aplicação

Os gateways de aplicações conectam as redes corporativas à Internet através de

2.1.2 Sistema de Gerenciamento de Banco de dados

“..Um sistema Gerenciador de Banco de Dados é constituído por um

Segundo C.J. Date um sistema de banco de Dados é:

“..um sistema computadorizado de manutenção de registros. Cuja a

Levando em consideração a abordagem de um dos mais respeitados especialistas e pensador

Os bancos de dados em máquinas de grande porte são multiusuários, com possiblidades de

“..o banco e dados é como uma unificação de vários arquivos que de

Segundo a autora SZTOLTZ:

“A Alta Disponibilidade não é apenas um produto ou uma

A Disponibilidade de um sistema computacional é a probabilidade de que este sistema

A Disponibilidade Básica é aquela encontrada em máquinas comuns, sem nenhum

Adicionando-se mecanismos especializados de detecção, recuperação e mascaramento de

2.1.4 Redes WAN

Segundo Tanenbaum (2003, p2), Rede WAN é:

“... Uma rede geograficamente distribuída, ou WAN (wide area network),

As WANs utilizam instalações fornecidas por um provedor de serviços ou operadora, como

Ainda segundo Tanenbaum (2003, p2), protocolo de rede é:

“... um conjunto de regras que controla o formato e o significado dos

Esses protocolos usam o mesmo mecanismo de enquadramento básico, o HDLC (high-

Destes recursos destaca-se a capacidade de tradução de endereços IP inválidos para

Já Tanenbaum (2003, p2), define NAT como:

“..atribuir a cada empresa um único endereço IP (ou no máximo,

.Em suma, na comutação de circuitos, é estabelecido um caminho entre os terminais

2.1.5 Segurança da Informação Corporativa

Segurança da informação é o processo de proteger a informação de diversos tipos de

Os três pilares fundamentais da segurança da Informação são:

• Tangíveis: Informações Impressas, Móveis, Hardware (Ex.: Impressoras, scanners);

• Intangíveis: Marca de um produto, Nome da empresa, Confiabilidade de um Órgão

• Lógicos: Informações armazenadas em uma rede;

• Físicos: Galpão, Sistema de Eletricidade, Estação de Trabalho etc.;

• Humanos: Servidores Públicos.

Ameaças internas: Estão presentes, independentemente das empresas estarem ou não

A metodologia adotada é baseada em dois pilares, o primeiro é a referência bibliográfica

Atualmente a escola conta com 81 funcionários, onde 66 são professores e 15 de outros

Na topologia atual foi constatada a ausência de um servidor de bancos de dados e um

Após, constatados os problemas acima citados propõe-se a implantação de uma estrutura

Para atendimento de serviços de banco de dados na E.E. Prof. Fontes, propõe-se a

Trata-se de servidor de banco de dados de médio porte que visa a consolidação de

Ao realizar o estudo de caso, constatamos inúmeras vulnerabilidades na área da segurança

Gestão Dinâmica – Afinal o que é Segurança da Informação? – Disponível em: