SEGURANÇA DA INFORMAÇÃO CLASSIFICADA

O que é informação classificada (IC)?

É informação (ou matéria) que só pode ser do conhecimento de pessoas autorizadas e que a
ela necessitam de ter acesso no desempenho das suas funções, e que, se for indevidamente
partilhada pode prejudicar, ou por em causa, a segurança de uma nação, de pessoas e/ou de
bens.
Possui uma Marca e um Grau.

Devem cumprir-se 3 regras simples:

1. Apenas devem ter acesso as pessoas habilitadas com a respetiva credenciação de
segurança;
2. Que estejam devidamente informadas das responsabilidades que lhes cabem;
3. Que tenham necessidade de a conhecer.

Cabe a TODO o pessoal de uma organização ser responsável pela segurança da informação.

Para proteger a informação classificada de fugas, indiscrições, violações, descuidos, recorre-

se a medidas de segurança em várias vertentes.

Dois princípios são transversais: só deve ter acesso quem precisa e essas pessoas devem ser
conhecidas. Deve existir uma verificação permanente da idoneidade desses indivíduos,
complementado com outras medidas de segurança como rondas, executadas por pessoal
credenciado e preparado.

Situações de Comprometimento e Quebra de Segurança

Dois conceitos: quebra de segurança e comprometimento!

Por quebra de segurança entende-se toda a acção contrária, ou omissa, aos regulamentos de
segurança, que ponha em perigo ou comprometa a matéria classificada. São bons exemplos
levar informação classificada para fora das instalações ou deixar entrar nas mesmas pessoas
não autorizadas.

Comprometimento é o conhecimento parcial, ou total, da matéria classificada por pessoas

não autorizadas e não credenciadas. Assume-se, sempre que a informação tenha estado
sujeita ao risco de divulgação ou tenha estado perdida mesmo que temporariamente. Um
bom exemplo é uma folha com informação classificada ficar esquecida sobre uma mesa,
numa sala onde entram pessoas sem credenciais para a poder consultar.

Há essencialmente 5 situações comuns de quebra de segurança.

Características e Medidas da Segurança do Pessoal

Tem acesso à IC quem cumpra 3 condições fundamentais:

1. Possua a credenciação de segurança adequada;

2. Tenha sido informado das responsabilidades que lhe cabem;
3. Tenha necessidade de conhecer.

Ninguém tem acesso a toda a IC! Só apenas à que tem absoluta necessidade de conhecer. O
posto ou cargo da pessoa não é suficiente!!!!

Em Portugal existem 4 Graus de Classificação da Informação:

 MUITO SECRETO
 SECRETO
 CONFIDENCIAL
 RESERVADO

MAS para os 3 primeiros é exigida uma Credenciação de Segurança!

Em Portugal o processo de Credenciação é atribuído exclusivamente pela Autoridade

Nacional de Segurança, que é o Diretor Geral do Gabinete Nacional de Segurança. Cada
processo é extenso e demorado pois implica verificar a idoneidade, lealdade e fiabilidade do
requerente. Terá de haver um consentimento prévio pois vários aspetos da vida pessoal
anterior serão pesquisados e analisados.

Principais Normas da Segurança do Pessoal

Criar Listas das pessoas credenciadas que, em dado momento ou período, podem ter acesso
à informação. Ordenadas por Grau, aprovadas pelas Chefia e constantemente atualizadas.
As listas de acesso, após aproadas pela chefia dos serviços são enviadas ao respetivo escalão
superior até 16Jun e 15dez de cada ano.

Todo o pessoal, desde limpeza a motorista, que possa ter acesso involuntário a IC deve ser
credenciado.

Pessoal credenciado deve ser informado dos procedimentos de segurança a cumprir e das
consequências previstas na lei se a informação cair nas mãos erradas, quer voluntariamente
quer não. A formação deve ser dada por técnicos da GNS ou pelos departamentos de
segurança nas entidades privadas.

Deve alertar-se para o perigo de conversas públicas, das relações com órgãos de
comunicação social, ou ainda das abordagens por desconhecidos.

Manter o sigilo é uma boa prática!

Sobre o Princípio da Credenciação

A Autoridade Nacional de Segurança (ANS) é a única que credencia!

O processo é despoletado pelo requerente (cidadãos, empresas, etc.) através da plataforma

de credenciação de segurança (GRESO), ou pelo preenchimento dos documentos e seu envio
para a ANS.

O processo segue para avaliação se o requerente cumpre as condições necessárias. Isto exige
uma investigação (inquérito) de segurança onde a idoneidade, lealdade, fiabilidade são
verificadas. A investigação cobre os últimos 10 anos ou, dos 18 anos de vida e o momento do
pedido. A exigências aumentam com o grau de certificação e podem ser realizadas
entrevistas a terceiros (vizinhos, colegas, etc.) para confirmar factos.

Nem a ANA nem o GNS fazem investigação ou inquéritos! Solicitam-no às autoridades

competentes.

Perante um despacho favorável da ANS, o GNS emite um certificado de segurança pessoal ao

requerente.

As credenciações têm um prazo de validade em função do grau, sendo depois reavaliadas

para um eventual cancelamento, renovação ou substituição por um grau superior.

 MUITO SECRETO -> 3 anos

 SECRETO -> 5 anos
 CONFIDENCIAL -> 7 anos

Características da Segurança Física

Medidas que salvaguardam o pessoal e impedem o acesso não autorizado a informações,
material e instalações. Têm também de cobrir as deslocações.

a) Impedir a intrusão não autorizada a áreas onde exista informação classificada;

b) Desencorajar, impedir ou detetar ações de elementos desleais susceptíveis de atuar
ilegalmente;
c) Restringir o acesso à informação segundo o princípio da necessidade de conhecer;
d) Assegurar em todas as circunstancias o perfeito controlo da informação e dos
equipamentos que permitem aceder-lhe, como chaves, combinações de segredos ou
palavras-passe.

MAS, há que adaptar estas regras à dimensão, localização, grau e quantidade de informação
processada. Edificios urbanos e centrais facilitam estas medidas, delegações mais pequenas e
isoladas carecem de análise do uso e do contexto do uso.

Como decidir e adaptar? Tem de estar claramente definido:

a) Qual o grau de classificação e a natureza da informação a proteger?

b) Qual o volume e o tipo das matérias a salvaguardar?
c) Qual a habilitação de segurança e a necessidade de “conhecer” do pessoal?
d) Qual é a avaliação que fazemos das ameaças constituídas pelos serviços de
informações hostis, atividades terroristas ou criminosas?

Principais Medidas da Segurança Física

Um conceito crucial é o de DEFESA EM PROFUNDIDADE! NO fundo, a Defesa assenta em

muitas camadas que vão endurecendo à medida que nos aproximamos do alvo, e que a perda
de uma delas não compromete a segurança da IC.
Um segundo conceito que nos auxilia nas medidas a adoptar é conhecido, em inglês, pelos
4D’s: DETER, DETECT, DELAY, DETAIN, que em português será Dissuadir, Detetar, Demorar e
Deter!

Os Perímetros de Segurança
Cercas, CCTV (câmaras), controlo de acessos e as rondas exteriores são elementos
dissuasores de uma intrusão. Sugere que “entrar” não será fácil.

O pessoal de segurança que faz as rondas também se destina à detecção e detenção,

além de controlarem as chaves e as combinações.

Além de equipamentos de deteção manual é necessário instalar sistemas automáticos,

como alarmes, para deteção automática de intrusão.
 Deve incluir-se a verificação das áreas seguras, dos equipamentos de
telecomunicações ou eletrónicos.

Apesar de tudo isto, a IC deve estar resguardada em áreas de segurança e dentro de

cofres ou móveis de segurança. A sua sofisticação é em função do grau a proteger e
deve assegurar um grande atraso na sua obtenção.

Todos os sistemas trabalham em cooperação e interdependência dentro do conceito

de “segurança em profundidade”.

Pode ainda ser necessário planos e sistemas de destruição de informação de grau

secreto e muito secreto, pois vale mais destruída que nas mãos erradas. Também estes
planos devem ser revistos com regularidade e testados sempre que possível.

Resumindo:

Sistemas de Segurança
Perímetros
Áreas
Controlo de Acessos
Detecção de intrusão
Videovigilancia
Móveis de Segurança
Pessoal de Segurança
Controlo das Chaves e Combinações
Protecção contra a espionagem
Verificação das Areas Seguras
Verificação de equipametos de telecomunicações, elétricos e electronicos

… e rever e auditar tudo isto com regularidade, além de modificações regulares

para evitar a “cristalização” dos hábitos e a sua aquisição por parte de alheios.
Um exemplo é alterar o horário das rondas, mudar os turnos do pessoal de
segurança, e mudar as chaves ou combinações secretas.

OBJETIVOS E PRINCÍPIOS DA SEGURANÇA DA IC

A IC está protegida quando todos os princípios estão cumpridos. Eles são:

 Confidencialidade
Nem todas as pessoas podem consultar.
A Informação Classificada apenas está acessível a pessoas autorizadas ou credenciadas,
como já tivemos oportunidade de ver no módulo 2.
 Integridade
Não se pode simplesmente alterar para acrescentar coisas.
 A Integridade da Informação Classifica implica que esta seja apenas alterada com a devida
autorização ou por uma justificação exclusiva.
 Disponibilidade
Estar sempre disponível para as pessoas autorizadas.
É essencial que a Informação Classificada esteja sempre disponível para as pessoas
autorizadas.
 Autenticidade
Não ser muito alterada ao longo do seu ciclo não garante que ainda seja autêntica.
A autenticidade da Informação Classificada confirma-se apenas quando se comprova a sua
fonte e quando se mantém sempre inalterada.
 Não repúdio (ou responsabilização)
Quando a origem da IC é garantida de forma inquestionável.
As assinaturas digitais, por exemplo, são uma prova de não repúdio.

Ciclo de vida da IC é o abaixo descrito onde em cada etapa aplicam-se procedimentos que
garantem o controlo da informação e que são complementares de todas as medidas
anteriormente discutidas.
 Produção
 Registo
Executado antes da distribuição e no momento da recepção.
Para registo digital usa-se um sistema de registo e controlo que a ANS aprovou.
Para registo manual organiza-se de acordo com o Grau da IC (ver mais abaixo).
 Reprodução
 Arquivo
 Reclassificação
 Desclassificação
 Destruição
Para manusear ou armazenar a IC em certos serviços ou instalações recorre-se às medidas de
segurança física anteriormente discutidas.
O Pessoal tem de ser credenciado com o grau e a marca de segurança da IC com que
trabalha.
CICLO DE VIDA DA IC
Quais os procedimentos para classificar, preparar e manusear IC.
A classificação é atribuir um Grau e uma Marca de segurança. Requer uma análise criteriosa e
uma avaliação do risco sobre a visibilidade da IC.
Depois, em função da classificação atribuída deve-se definir as medidas de segurança a
aplicar no seu ciclo de vida, definir quem a pode manusear, que credenciais deve ter. O
sucesso desta fase é o sucesso da proteção da IC.
Deve existir um sistema de gestão documental em conformidade com as normas da ANS. Tal
sistema deve garantir
 Número de registos de entrada
  Data do documento
 Referência do documento (sigla)
 Título do documento
 Classificação de segurança do documento
 Número do exemplar e/ou cópias
 Data de recepção do documento
 Localização do documento
 Data de destruição do documento
 Número do certificado de destruição do documento
Como reproduzir IC?
Para a reprodução e cópia da IC exige-se que nos níveis mais elevados de classificação seja
obrigatório o registo, controlo e inventário, para além da indicação de controlo em todos os
documentos reproduzidos, bem como da classificação do documento original bem visível.
E como transmitir ou transportar IC?
Sempre que possível devem ser usados Sistemas de Informação certificados e acreditados.
Entre pessoas (transferir ou transportar), ambas devem estar credenciadas para o mesmo
grau da IC.
E sobre a Destruição?
Nesta fase queremos evitar acumular informação e cuidados adicionais com IC que deixou de
ser relevante. O processo tem regras e prazos mínimos estabelecidos pelo GNS.
 Com mais de 5 anos desde que não revelem interesse histórico ou necessidade de
conservação
 Exige-se igualmente bom senso na selecção.
 Atenção aos detalhes.

SEGURANÇA DOS SISTEMAS DE INFORMAÇÃO E COMUNICAÇÃO (SIC)

Os SIC podem ser electrónicos, ou não, servindo para armazenar, processar e transmitir IC.
São constituídos por
 Infraestruturas
 Organização
 Pessoal
 Recursos.
Devem garantir a confidencialidade, integridade, disponibilidade, autenticação e o Não-
Repúdio.
Devem ser certificados (confirmar as funcionalidade necessárias) e auditados com
regularidade e serem Acreditados (tomadas todas as medidas de protecção ao sistema e da
informação que contém).
A Acreditação exige que os sistemas foram instalados em áreas de segurança de Classe 1 ou
2.
A ANS é responsável pela
 Definição de políticas e diretivas de segurança e controlo
 Salvaguarda e administração da informação técnica e selecção dos produtos
criptográficos
 Garantir que as medidas selecionadas estão em consonância com as politicas que
regem a elegibilidade e seleção dos produtos, equipamentos e serviços
 Avaliação, certificação e acreditação dos SIC
Há que garantir que os SIC estão integrados com todas as medidas discutidas anteriormente.
PRINCÍPIOS DA GARANTIA DOS SIC?
Para a “Defesa em Profundidade” deve existir um compromisso aceitável entre os “Requisitos
do Utilizador, os “Custos”, o “Risco Potencial Avaliado” e o “Risco Residual Aceitável”. Não
deve ser levada a um extremo que seja incomportável em termos de custos para a
organização ou que o grau da IC não exija.
Validação dos Mecanismos de Segurança e Políticas de Segurança
No processo de Acreditação serão feitos testes para verificar se o SIC está construído de
forma correcta para o ambiente onde vai ser utilizado.
Exige uma declaração do Risco Aceitável por parte da gestão de topo; i.e., que riscos estamos
dispostos a correr e que medidas existirão para os colmatar.
Postura de Segurança
Nunca deixar de estar atento por mais tranquilos que sejam os tempos/situação. A avaliação
constante dos riscos e das vulnerabilidades é a postura adequada. Inspeções e análises de
segurança devem ser regulares ou sempre que ocorram situações especiais.
Situações especiais são, por exemplo, uma vulnerabilidade que era conhecida mas que foi
divulgada, por exemplo.

SEGURANÇA INDUSTRIAL
Versa a segurança da IC no “setor privado” das áreas tecnológicas, industrial ou de
investigação.
Todos os conceitos, princípios até agora discutidos se aplicam! Mas há normal adicionais para
quem pretenda:
 Concorrer a concursos públicos classificados, nacionais ou internacionais;
 Produzir bens ou conduzir investigação que exija acesso, posso e controlo de IC;
 Importem, produzam ou comercializem bens e tecnologias militares.
A responsabilidade será sempre da Administração ou Gestão de Topo da organização privada.
A ANS limitar-se-á a verificar o cumprimento das regras e procedimentos, por inspecção,
credenciação etc..
Será o “Encarregado de Segurança” (previsto por lei) o responsável pelos Núcleos de
Segurança e por planear, coordenar e executar as medidas de segurança. Será o principal
conselheiro e elemento fundamental no desenvolvimento de uma cultura de segurança, em
particular nos departamentos de TI e de RH.
Em organizações maiores o Encarregado de Segurança tem a colaboração do CISO (Chief
Information Security Officer) e do DPO (Data Protection Officer)m responsáveis pela
infraestrutura tecnológica e sistemas de informação e pela proteção de dados.
Deve ser sempre mantida uma colaboração com o GNS.
As empresas são credenciadas pelas pessoas que “a obrigam judicialmente”. Deve ser criado
um “Posto de Controlo” (órgão de segirança), o qual respeitará os princípios da Segurança
Física anteriormente referido. É também avaliada a implementação do Programa de
Segurança Protetiva, que cumpra as normativas nacionais, da NATO e da UE.