Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.

Gestão da infra-estrutura
através do ITIL e Gestão de
Segurança para T.I.
Ms. João Caldas Jr.
1
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Sumário
Apresentação................................................................................................4

Capítulo 1 - Fundamentos de Segurança da Informação.............................4

1.1. Dados, Informação e Segurança.................................................................... 4

1.2 Evolução da Informação................................................................................. 6

1.3 Ameaças à Informação .................................................................................7

Capítulo 2 - Políticas de Segurança da Informação.....................................8

2.1. Aspectos básicos da Segurança da Informação............................................... 9

2.2. Itens que precisam ser protegidos................................................................. 9

2.3. Principais Tipos de Incidentes...................................................................... 10

2.4. Tipos de Atacantes e as Formas de Proteção................................................ 11

2.5. Políticas de Segurança: um processo de controle.......................................... 13

2.6. Criação de uma Política de Segurança.......................................................... 14

Capítulo 3 - Gestão de Ativos.....................................................................17

3.1. Classificação e Controle dos Ativos............................................................... 17

3.2. Classificação e Gestão dos Ativos de Informação........................................... 19

Capítulo 4 - Segurança em Recursos Humanos.........................................21

4.1. Garantia da Segurança da Informação para as Pessoas................................. 21

Capítulo 5 - Segurança Física.....................................................................23

5.1. Segurança Física: Proteção de ativos........................................................... 23

3.2. Ameaças à Segurança Física........................................................................ 24

3.3. Proteção contra as ameaças........................................................................ 25

3.4. Instalação e proteção de equipamentos....................................................... 26

Capítulo 6 - Segurança Operacional...........................................................28

6.1. Segurança Operacional: processo contínuo................................................... 28

6.2. Separação de Ambientes: Produção, Desenvolvimento e Testes.................... 29

6.3. Terceirização (outsourcing)....................................................................... 30

6.4. Cópias de Segurança (Backup)................................................................. 30

6.5. Segurança de Dados em Redes.................................................................... 31

2
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Capítulo 7 - Controle de Acessos................................................................32

7.1. Controle de acesso...................................................................................... 32

7.2. Gerenciamento de acesso do usuário.......................................................... 33

Capítulo 8 - Conformidade.........................................................................35

8.1 Processos de Conformidade.......................................................................... 35

8.2 Penalidades – Código Civil Brasileiro...................................................37

8.3 Auditoria de Sistemas.................................................................................. 37

Capítulo 9 – ITIL e Segurança da Informação...........................................38

9.1. Segurança da Informação de acordo com a ITIL........................................... 38

9.2. Processo SI do Desenho de Serviços da ITIL: Gestão de Segurança da

Informação ...................................................................................................... 38

Gerente de Fornecedor ............................................................................... 39

Produtos ..................................................................................................... 39

9.3. Práticas de Segurança da Informação de acordo com a ITIL.......................... 40

Considerações Finais..................................................................................42

Bibliografia.................................................................................................42

3
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Apresentação
Caro aluno é um prazer acompanhá-lo dessa disciplina
tão importante para o nosso curso. O objetivo dessa
disciplina é apresentar e discutir conceitos e temas
referentes à gestão de segurança da informação. Esse
assunto tem tirado o sono de muitos gestores e executivos
de empresas no mercado, pois inicialmente não damos
a atenção necessária para um dos maiores ativos das
organizações: a informação.
Estudaremos, durante o curso, os fundamentos táticos
de segurança da informação com o objetivo de capacitar
você, não apenas a ter uma visão mais estratégica do
tema, mas a desenvolver um plano de segurança com uma
visão muito clara de gestão de riscos.
Além disso, abordaremos tópicos de estruturação de
políticas de segurança e relacionaremos os processos
críticos da organização suportados por controles de uso e
manipulação das informações.
A Segurança Operacional que discutiremos nesse curso
é importante para capacitá-lo em controles de processos
relacionados na disciplina “Gestão de Serviços de Suporte
de TI através da ITIL”, ajudando-o a aplicar os processos
da ITIL com uma visão clara de controle de segurança
para aumentar o nível de maturidade dos seus processos
e serviços de TI.
E por fim, discutiremos uma questão que vem trazendo
grandes dificuldades às empresas para manterem seus
controles sob uma gestão mais eficiente e em níveis
aceitáveis de riscos, que são as leis e regulamentações.
A observância à legislação traz para as empresas uma
necessidade forte de controles internos e busca no
mercado por profissionais que possam apoiar a empresa
em garantir a conformidade dos seus processos.
Então, caros alunos, preparem-se para conhecer esse
tema com mais profundidade, pois certamente fará a
diferença no seu perfil profissional e na sua carreira.
Renato Silva de Lima, PMP, ITIL, CGEIT
4
Capítulo 1 - Fundamentos de
Segurança da Informação
Caro aluno, segurança é um termo que
transmite conforto e tranquilidade a quem
desfruta de seu estado. Entender e implementar
este “estado” em um ambiente empresarial exige
conhecimento e práticas especializadas que
somente são possíveis com o emprego e uso de
um código de práticas de segurança. Atualmente,
um dos maiores problemas para as organizações
é definir um processo de controle das suas
informações, de forma que esse controle atinja
um nível adequado de gestão dos riscos que
essa organização esta exposta. Neste capítulo
entenderemos melhor o papel da informação e
a importância em garantir a segurança ao seu
acesso e manipulação.
1.1. Dados, Informação e
Segurança
A definição clássica de
informação, vinda do dicionário Aurélio diz que “é o
conjunto de dados acerca de alguém de ou de algo”.
Estendendo esse conceito, podemos dizer que a informação
é a interpretação desses dados.
De nada vale um conjunto de dados sem que se faça
a interpretação dos mesmos para que se possa extrair
um conhecimento útil. Isso, para as organizações, é
necessariamente uma vantagem competitiva.
As organizações necessitam da informação para
tomar decisões objetivando seus fins, como o sucesso de
seus empreendimentos e, muitas vezes, a sua própria
sobrevivência. Isto mostra o quão estratégica é a
informação. Sem ela não há estratégias a serem traçadas,
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

não há mudanças a serem feitas ou até mesmo não há a um segundo plano as estratégias de negócios. Os altos
empresa a ser gerida. executivos não têm conseguido usar as novas tecnologias
porque não têm acesso às informações que precisam em
As empresas fazem parte do mundo dos negócios que tempo hábil e a elas de forma adequada.
visa o lucro e o retorno dos capitais investidos no menor
tempo possível. Nesse ambiente de alta competitividade, as
informações assumem um papel extremamente importante
para o seu sucesso. Com a enorme quantidade de
informações que são geradas e disponibilizadas todos os dias,
são necessários critérios para sua seleção e organização.

Basta entrar na internet, fazer uma busca rápida por

novidades e centenas de sites com novas informações são

Uma consequência natural da importância da

informação é a extrema vulnerabilidade a que a empresa
se expõe caso haja perda de dados vitais, como plantas
de projetos, planilhas de custos, documentos contábeis,
financeiros, etc. Quanto maior for a organização maior
será sua dependência da informação.

apresentados para nós num piscar de olhos! Mas, no dia

seguinte, muitos destes sites já podem estar fora do ar
também... ou seja, empresas acabam falindo pelo excesso
de concorrentes ou pela sua ineficiência.

Como já falamos, dados e informações são coisas

diferentes. Informações são os dados transformados em
um conteúdo útil. As informações, para terem ou manterem
o seu valor, devem ter o mesmo significado para todos os
membros da organização. Um grande problema encontrado
nas empresas são dados distribuídos por diferentes sistemas.
Por exemplo, caso seja necessária a emissão de um relatório
com informações de um dado departamento, que estão
armazenadas num determinado sistema, cruzando com
os dados de um outro sistema, isso pode se tornar uma
A informação pode estar armazenada de várias formas:
tarefa de semanas. Mas, as decisões estratégicas devem ser
impressa em papel, armazenada em meios magnéticos e
tomadas em pouco tempo, pois o mercado movimenta-se
ópticos (discos, fitas, CDs, DVDs, pendrives, celulares),
rapidamente e é muito dinâmico, e qualquer atraso pode
gravadas em imagens fotográficas e em filmes. Não há
representar grandes prejuízos para uma empresa.
mais novidade em seu utilizarem os meios digitais, sejam
Turban (2009), ao definir a dificuldade e a deficiência eles locais ou “na nuvem”... é um caminho sem volta. Mas
em se obter informações nos ambientes corporativos, a informação pode estar armazenada, também, na mente
afirma que a TI- Tecnologia da Informação tem sido mais
das pessoas... o que é chamado de capital intelectual.
uma produtora de dados do que de informação, relegando

5
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Quando lidamos com segurança
da informação, é necessário pensar
em sua confidencialidade, integridade
e disponibilidade, utilizando todos os
recursos disponíveis, e não somente os tecnológicos.
Devemos tratar a informação como um ativo da
empresa com a mesma importância de qualquer
outro bem material. Por isso, deve ser protegida
contra roubo, problemas ambientais, vandalismo e
dano acidental ou provocado.
Quanto mais interconectada for uma empresa, maior
será a complexidade dos sistemas por onde trafegam e
são armazenadas as informações e, consequentemente,
maior será a preocupação, critérios e riscos com o
nível de segurança a ser implantado a fim de garantir
a confidencialidade, confiabilidade, disponibilidade e
integridade da informação.
A Segurança da Informação trata do conjunto de
controles e processos que visam preservar e proteger
os dados que trafegam ou são armazenados em
qualquer meio. As modernas tecnologias de transporte,
armazenamento e manipulação dos dados, trouxeram
enorme agilidade para as empresas. Mas, ao mesmo tempo,
as evoluções tecnológicas aumentaram exponencialmente
a complexidade dos riscos de controle das informações.
Temas comuns nos dias atuais, como ataques de
crackers, de engenharia social, vírus, worms, negação de
serviço, espionagem eletrônica, são noticiadas a todo o
momento e com isso, são registradas perdas irreparáveis
para as organizações.
Diante deste cenário, definir e implementar um processo
de Segurança da Informação torna-se imprescindível para
as organizações, sejam elas do setor público ou privado.
6
1.2 Evolução da Informação
Caro aluno, vamos aqui buscar entender um pouco da
evolução na linha do tempo da história da informação e/ou
dos meios de comunicação. Desde tempos pré-históricos,
cerca de 20000 anos antes de Cristo (AC), o homem já
sentia necessidade de transmitir e perpetuar a informação
e usava pinturas nas pedras para expressar seu cotidiano.
Em 3500 AC, registrou-se o primeiro sistema de linguagem
escrita na Suméria.
A partir daí, várias civilizações desenvolveram seus
próprios métodos de registro e transmissão da informação,
dentre eles podemos destacar:
• Os hieróglifos e o papiro no antigo Egito, em 3000 AC
• O ábaco dos Babilônios, em 1800 AC
• Os primitivos livros chineses de bambu ou madeira
presos por cordas datados de 1300 AC
• O processo chinês de fabricação de papel em 105 DC
• A fotografia em 1826
• O telégrafo eletromagnético de Samuel Morse, em 1837
• As primeiras transmissões de rádio em broadcast em 1917
• O primeiro computador digital em 1943
A história é longa e repleta de inventos marcantes e
revolucionários. Assim, sugerimos que você assista ao
filme indicado abaixo.
Interessante navegar na história e ter uma ideia
Assista ao filme “Evolução dos
Meios de Comunicação”
http://youtu.be/JA-LaiIlWFE
Obs: no final do vídeo, a pessoa quis dizer “Enjoy
it” ou “Divirta-se”
prazerosa de como a informação e os meios de comunicação
evoluíram! Hoje vivemos, sem dúvida, um momento
de grandes mudanças, em que somos constantemente
surpreendidos e abarcados por modernas e complexas
tecnologias de transmissão e armazenamento digital de
dados, inimagináveis em anos atrás.
Mas o desafio real, desde os primórdios, como nos dias
de hoje, ainda é conter as diversas ameaças à informação,
algumas das quais já são bastante conhecidas como
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
incêndios, saques, catástrofes naturais e deterioração dos
meios de armazenamento.
1.3 Ameaças à Informação
À medida que a sociedade evoluiu, a preocupação com
a Segurança da Informação, aumentou, principalmente no
quesito confidencialidade. Foram criados vários processos
de cifragem da informação com a função de alterar o
conteúdo das mensagens antes de seu envio. Ao capturar
uma mensagem, o interceptador obtinha apenas um texto
cifrado e não a mensagem original. Em tempos de guerra,
este processo permitiu que segredos e estratégias fossem
trocados de forma segura entre aliados.
Citando um exemplo bem antigo ligado à guerra, o
imperador romano César já utilizava cifragem para a troca
de informações entre seus exércitos! Hoje temos tecnologias
que se utilizam de mecanismos semelhantes, mas em um
nível de complexidade muito maior. Mas a história se repete.
O surgimento dos computadores e de sua interconexão
através de redes mundialmente distribuídas permitiu
maior capacidade de processamento e de distribuição das
informações. Com essa capacidade de comunicação surgiu,
também, a necessidade da criação de mecanismos que
evitassem o acesso e a alteração indevida das informações.
Atualmente a criptografia e a esteganografia são
largamente utilizadas em diversas aplicações de
transferência e armazenamento de dados.
Esteganografia (do grego “escrita
escondida”) refere-se ao estudo e uso
das técnicas para ocultar a existência
de uma mensagem dentro de outra. A
esteganografia é o ramo particular da criptologia
que consiste em fazer com que uma forma escrita
seja camuflada em outra a fim de mascarar o seu
verdadeiro sentido.
É importante ressaltar a diferença entre
criptografia e esteganografia. Enquanto a
criptografia oculta o significado da mensagem, a
esteganografia oculta a existência da mensagem.
Fonte: http://pt.wikipedia.org/wiki/Esteganografia
7
Como resultado de uma abordagem mais estruturada
de controles e com o objetivo de criar um processo padrão
de gestão da informação, surgiram várias propostas e
práticas de segurança em todo o mundo, algumas das
quais destacaremos dessa disciplina.
Um dos grandes trunfos da grande expansão dos
sistemas computacionais é, certamente, a enorme
facilidade de compartilhamento de recursos e informações.
Os benefícios que a conectividade em rede, em especial
a internet, proporciona a toda a humanidade, dispensam
maiores comentários. Porém, essa conectividade pode
expor os computadores e as redes como um todo a
diversas ameaças.
A partir da década de 1990, o boom da internet trouxe,
também, o boom dos ataques às redes de computadores.
A segurança de dados deixou de ser apenas uma
preocupação com a perda da informação devido a um
acidente com os meios de armazenamento ou a uma
operação indevida do usuário.
Existe hoje a ameaça real de ataques via rede,
podendo haver roubo das informações, vandalismos que
as destruam ou simplesmente técnicas de negação de
serviço impedindo o acesso aos dados.
Outra grande fonte de ameaça é o ataque interno, esse
muitas vezes até mais difícil de ser contido devido ao nível
de acesso e a proximidade que usuário tem à rede e aos
seus recursos físicos.
Neste caso, como resolver o problema de permitir o
acesso a certas informações aos usuários autorizados e,
simultaneamente, como negar o acesso aos usuários não
autorizados?
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Essa questão remete a outra, o que precisa ser

protegido, contra quem e como? Exercícios do Capítulo 1

Nos tópicos seguintes de nosso estudo trataremos de
temas importantes de controles e políticas de Segurança
da Informação para entendermos como reduzir riscos
diante de ameaças às informações.
O nível de controle que devemos
implementar deverá ser proporcional ao
valor do que se está protegendo. Ou seja,
a implantação do sistema de Segurança da
Informação tem que apresentar um custo benefício que
torne a tentativa de ataque tão cara que desestimule
o atacante, ao mesmo tempo em que ela seja mais
barata do que o valor da informação protegida.
Quando o valor do ativo que se está protegendo é
tão alto que o dano causado ao mesmo é difícil de ser
calculado, devemos assumir o valor da informação
como altíssimo, imensurável.
1) Nos últimos anos estamos presenciando o
crescimento de uma nova forma de comunicação e
relacionamento da sociedade chamada Redes Sociais.
As empresas vêm ensaiando dia a dia uma forma
eficiente de obter vantagem competitiva do uso das
redes sociais para seus negócios, uma vez que há
grandes oportunidades que devem ser avaliadas.
Como deve ser avaliada a viabilidade de
implementar um sistema de segurança da informação
em uma empresa?
2) A história da segurança da informação vem
desde o antigo Egito. A evolução do uso da informação
trouxe cada vez mais um grau de complexidade
maior a cada época. Qual o maior desafio desde os
primórdios diante desse tema?

Videoaula: Segurança da Informação

Um exemplo a se analisar seria um receituário de - Parte 1 - Conceitos e Princípios
medicamentos para pacientes internados em um hospital.
http://www.youtube.com/watch?v=
Este sistema de informação lida com dados que podem
4smKTkeuxvg&feature=related
colocar em risco a vida humana caso a integridade dos
dados seja corrompida. Neste caso não temos como fazer
uma análise quantitativa do impacto, pois a vida humana é
tida como mais valiosa do que qualquer outro ativo.
Capítulo 2 - Políticas de
Segurança da Informação
Mesmo não se tratando de um valor imensurável, temos
ainda os ativos que são vitais para a empresa e aqueles
Uma política de Segurança da Informação visa
que podem levar a implicações legais. Quando estamos
prover uma orientação e apoio da direção para
lidando com a análise de valor destes bens, consideramos
a Segurança da Informação de acordo com os
que o dano aos mesmos pode resultar em grande perda
requisitos do negócio e com os controles, as leis
de credibilidade da empresa e até mesmo no posterior
e as regulamentações relevantes. Ou seja, ela
encerramento de suas atividades.
propõe uma política que sistematize um processo a
Neste contexto, a Segurança da Informação é a proteção fim de minimizar as preocupações da direção com
da informação em si, dos sistemas, da infraestrutura e dos a segurança de seus ativos. Nessa abordagem,
definir controles é o fator crítico desse processo.
serviços que a suporta contra acidentes, roubos e erros de
Neste capítulo, os aspectos básicos, conceitos
manipulação, minimizando os impactos dos incidentes de
e fundamentos da segurança da informação
segurança.
e os passos para a criação de uma política de
segurança serão apresentados e discutidos.

8
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
2.1. Aspectos básicos da Segurança da
Informação
Antes de iniciar nosso estudo sobre política de
segurança, vamos considerar primeiro a tríade tradicional
da segurança CID: Confidencialidade, Integridade e
Disponibilidade e entender melhor estes conceitos.
• Confidencialidade: Confidencialidade é a não tenha acesso aos dados de outros usuários.
capacidade que um sistema tem de permitir que
apenas a pessoa autorizada possa ter acesso a
determinadas informações, como a quantidade de
itens vendidos, o nível do estoque ou o número de
clientes, por exemplo.
• Integridade: Uma informação íntegra é aquela que
é correta e verdadeira, não tendo sido corrompida ou
alterada de maneira ilegal. A política de segurança
deve ser capaz de proteger a integridade das
informações para evitar que haja uso indevido das
mesmas.
• Disponibilidade: Se as informações necessárias ao
andamento dos negócios da empresa não estiverem
disponíveis, certamente a empresa perderá dinheiro.
Assim, as informações devem estar disponíveis na
hora certa para as pessoas certas.
Embora Confidencialidade, Integridade e Disponibilidade
sejam os três pilares da segurança de dados e sistemas,
outros aspectos devem ser considerados na política de
segurança. Vamos entendê-los.
• Autenticação: Autenticação é a capacidade de
verificar que uma entidade (usuário, componente ou
9
sistema) é quem ele realmente diz
ser. Em uma rede, este desafio é
ainda maior que em uma máquina
local. Na re de, o sistema deve ser
capaz de autenticar um usuário,
mas também interceptar e eliminar
ações de pessoas não autorizadas
ou intrusas. Tipicamente, técnicas
de criptografia são utilizadas para
garantir a autenticidade das mensagens trocadas
entre pessoas autorizadas.
• Não repúdio: Se a autenticação prova que uma
entidade é quem ela diz ser, o não repúdio é a
incapacidade de uma entidade de negar a execução
de determinado ato. Ou seja, é a incapacidade de
um invasor alegar que não realizou determinada
ação. O objetivo é assegurar de que os remetentes
não possam negar terem emitido uma informação e
os receptores não possam negar de tê-las recebido.
• Autorização: Uma vez que um usuário tenha
sido autenticado, o sistema deve garantir que ele
O sistema deve permitir também que apenas o
administrador do sistema possa instalar novos
módulos ou fazer manutenção do sistema. Note que
a autorização é fornecida baseada na autenticação.
Isso faz com que módulos que implementam tais
características sejam comumente denominados de
módulos de Autenticação e Autorização, sendo esta
uma das partes da área de Controle de Acesso.
• Legalidade: O sistema deve estar de acordo
com a legislação vigente. Segundo Lyra (2008),
legalidade é a característica de um sistema estar
aderente a uma determinada lei, norma ou padrão.
2.2. Itens que precisam ser protegidos
Todos estes mecanismos
discutidos até agora precisam
ser implementados na política
de segurança. Como podemos
então garantir que as políticas
irão produzir um sistema seguro?
Embora um sistema 100%
seguro seja impossível de se
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
atingir, os conceitos e métodos que veremos nas próximas
seções e capítulos constituem as peças fundamentais para
a construção de um sistema seguro.
Mas, o primeiro passo é identificar o que precisa ser
protegido. Como veremos ao longo de nosso estudo,
em alguns casos podemos optar por simplesmente não
proteger determinada informação ou recurso. Isso ocorre,
tipicamente, quando o custo de proteger é maior que o
custo da informação em si.
Vejamos, então, o que precisa ser protegido.
• Ativo (Asset): Segundo a norma ISO/IEC-13335-1
(2004), um ativo é “qualquer coisa que tenha valor
para a organização”. Como vimos, hoje em dia,
informação é um dos mais importantes ativos de
uma empresa, podendo existir de diversas formas,
sendo estas não necessariamente em meio digital.
Para qualquer empresa, todos os seus dados são
ativos valiosíssimos e a perda, comprometimento
ou vazamento destas informações poderá trazer
prejuízos difíceis de serem calculados (como
imagem da empresa ser manchada), além de ter
consequências legais.
• Ameaça (Threat): Usamos geralmente
termos ameaça, risco e vulnerabilidade como
sinônimos, mas na verdade cada um deles tem um
significado próprio e uma relação com os demais.
É importante que você entenda esta relação.
Segundo Harris (2010), uma ameaça é qualquer
perigo potencial para uma informação ou sistema.
Uma ameaça é, portanto, quando alguém identifica
uma vulnerabilidade no sistema de e a explora de
alguma forma.
• Vulnerabilidade (Vulnerability):Segundo a ABNT
NBR ISO/IEC 27002 (2005), uma vulnerabilidade
é uma fragilidade de um ativo ou grupo de ativos
que pode ser explorada por uma ou mais ameaças.
• Risco (Risk): Risco é
a probabilidade de uma
ameaça explorar uma
vulnerabilidade e o
seu impacto potencial.
O risco que uma empresa corre, portanto, é a
probabilidade de uma ameaça realmente explorar
uma vulnerabilidade em seu sistema e o impacto
que esta ação teria no negócio. O risco é, portanto,
a cola que liga uma ameaça a uma vulnerabilidade
e a probabilidade de que tal cenário ocorra, além
de definir o impacto provável decorrente desta
ocorrência.
• Exposição (Exposure): Para que o risco ocorra, é
necessário que uma vulnerabilidade esteja exposta. Na
medida em que se coloca um sistema não configurado
de forma correta em funcionamento, este está sendo
exposto a uma vulnerabilidade (fragilidade) de para
uma ameaça e correndo um risco.
• Contramedida (Countermeasure): Para evitar
que um invasor abuse do sistema, são colocados
controles em prática para mitigar uma perda
potencial. Uma contramedida pode ser uma
configuração de software, um novo hardware ou
um procedimento que elimina uma vulnerabilidade
a
ou reduz a chance de um invasor explorá-la.
• Controle (Control): Segundo a ABNT NBR ISO/
IEC 27002 (2005), “um controle é uma forma de
os
gerenciar o risco, incluindo políticas, procedimentos,
diretrizes, práticas ou estruturas organizacionais.”
Por exemplo, pode-se implementar controles num
sistema para alertar quando um cliente realiza um
login vindo de um IP fora do Brasil.
2.3. Principais Tipos de Incidentes
Caro aluno, como especialistas na área de segurança,
devemos saber que os principais tipos de incidentes que
uma empresa pode sofrer são:
• Escuta não autorizada (Eavesdropping): A escuta
não autorizada se refere à monitoração indevida de
trocas de mensagens. Normalmente requer que o
invasor tenha acesso
físico ao ambiente
e empregue uma
ferramenta capaz de
capturar e duplicar
as informações que
10
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
circulam pela rede. Esta captura normalmente é
feita com o uso de um software específico, chamado
comumente de sniffer.
• Impersonificação (Impersonation): Para realizar
algumas ações maliciosas, um invasor pode tentar
passar-se por um usuário autorizado pelo sistema.
A impersonificação é a capacidade deste invasor
passar-se por alguém para usufruir dos privilégios
de acesso de outrem.
• Alteração indevida (Unauthorized Modification):
Visando tirar proveito próprio, um invasor pode
tentar alterar alguma informação de forma indevida.
É importante notar que o invasor tentará alterar
a informação quando ela estiver armazenada em
algum meio (disco rígido, banco de dados, etc.) ou
quanto estiver em trânsito pela rede.
• Invasão (Intrusion) : A invasão acontece se o
atacante obtiver acesso não ao sistema, mas
aos recursos que suportam este sistema, como
servidores ou roteadores, por exemplo. Caso este
acesso permita ao
invasor um acesso
com direitos de
administração no
recurso invadido ele
poderá fazer o que
bem entender no
sistema.
• Negação de Serviço (Denial of Service - DoS):
Neste tipo de incidente o invasor não busca
comprometer os dados ou acesso ao sistema, mas
não permitir que usuários legítimos tenham acesso
a ele. Embora não comprometa dados, este ataque
prejudica a empresa, que pode estar deixando
de efetuar vendas, já que um usuário pode ficar
impossibilitado de comprar, por exemplo.
• Roubo de Informações (Information Theft):
Como o próprio nome diz, o roubo de informações
ocorre quando o invasor consegue acessar e copiar
dados confidenciais do sistema.
11
2.4. Tipos de Atacantes e as Formas de
Proteção
Não há um consenso
na literatura ou na
comunidade de segurança
sobre a nomenclatura e
classificação dos diversos
tipos de atacantes
existentes. A lista abaixo
apresenta a terminologia mais comumente aceita:
• White hat: é o “hacker do bem”, usa seus
conhecimentos de forma ética e não maliciosa. Tem
autorização prévia para tentar invadir um sistema
apenas como forma de aferir sua segurança.
• Black hat: é o “hacker do mal”, também
conhecido como cracker ou phreacker (quando
envolve telecomunicações). Este tipo de atacante
normalmente invade sistemas para praticar crimes
ou vandalismo.
• Grey hat: atua ora como black hat e ora como
white hat. É comum que profissionais de Segurança
da Informação tenham algum envolvimento com
comunidades de black hats, buscando assim
atualizar-se com as novidades da área.
• Blue hat: é um especialista preocupado em
divulgar as novidades e avanços da área.
Normalmente realiza palestras e estudos na área
e, algumas vezes, é responsável por realizar testes
em sistemas antes de seu lançamento.
• Elite hacker: é um especialista reconhecido por
sua excelência ou habilidade na área. É respeitado
e admirado na comunidade em que participa.
• Newbie, n00b ou Neophyte: é o calouro, o
hacker novato na área.
• Script kiddie: é o atacante que utiliza ferramentas
prontas e publicamente disponíveis. Normalmente
não conhece a parte técnica nem entende direito
qual a ação e as consequências de seus atos.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Para detectar, impedir ou mitigar os danos causados pelos
atacantes e invasores, a política de segurança pode usar
uma ou mais das metodologias que serão listadas a seguir.
• Monitoramento (Monitoring): É o processo
pelo qual o uso que usuários fazem do sistema
é observado, gerando-se registros (logs) dessa
utilização. Comportamentos considerados como
atividades anormais para seus perfis geram
alertas e podem ocasionar mudanças na forma ou
quantidade de registros gerados para estas ações.
Estes logs devem permitir a reconstrução da ação
que gerou o alerta e idealmente devem permitir
o seu uso como evidências em um processo de
auditoria ou investigação.
• Segregação de Rede (Network Segregation and
Isolation): Se a empresa colocar todos os dados e
funções do seu sistema em um único servidor, o
invasor terá apenas que conseguir acesso a esta
máquina para obtê-los. Colocar “todos os ovos
em uma mesma cesta” não é uma boa prática de
segurança. Para aumentar a segurança, devem-se
implementar mecanismos que isolem os dados e
processos de um sistema de maneira a eliminar ou
minimizar a possibilidade de o comprometimento
de um afetar a segurança do outro.
mecanismo de segurança. Há duas vantagens
nessa abordagem. Primeiro, nenhum mecanismo
fornece defesa contra todos os tipos de ameaças.
Segundo, dessa forma um mecanismo serve de
backup para outro. Por exemplo, exigir de um
usuário uma confirmação adicional ao seu login e
senha para confirmar uma compra é uma forma
de evitar que um invasor adquira itens em nome
deste usuário. Esta confirmação adicional pode ser
uma segunda senha, um código recebido por SMS
no celular cadastrado, o uso de um teclado virtual
ou a confirmação de dados pessoais, como data de
nascimento ou nome da mãe, por exemplo.
• Criptografia (Cryptography): É a arte de escrever
em código. A criptografia visa primariamente
impedir que um invasor consiga decifrar o conteúdo
de determinada mensagem trocada entre usuários.
A criptografia desempenha um papel fundamental
principalmente na transmissão de informações
entre sistemas. Além da confidencialidade, a
criptografia pode ser utilizada para confirmar a
autenticidade e integridade de uma informação.

• Detecção de Intrusão (Intrusion Detection): Um

sistema de detecção de intrusão, também chamado
de IDS- Intrusion Detection System, é um software
que realiza uma análise automatizada de eventos em
tempo real buscando detectar tentativas de intrusão.

• Testes de Vulnerabilidades e Invasão

(Vulnerability and Penetration Tests): São testes
realizados por profissionais, simulando o possível
comportamento de um atacante, para verificar • Abstração (Abstraction): Para facilitar seu
a real efetividade dos mecanismos existentes e gerenciamento, podem-se agrupar elementos
eventuais falhas nestes. similares. Assim, regras, restrições e controles
são aplicados ao grupo e não aos seus membros
• Política do Menor Privilégio (Least Privilege
Policy): Significa dar aos usuários do sistema individualmente.
apenas o que cada um necessita para realizar • Ocultamento de Dados (Data Hiding): Como o
plenamente suas atividades. próprio nome diz, a técnica consiste em se prevenir
• Defesa em Profundidade (Defense in Depth a exposição de determinados dados colocando-
ou Layering): Para dificultar as atividades os em um compartimento lógico inacessível ou
maliciosas deve-se usar mais de um mais de um invisível para um invasor.

12
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• Ponto de Sufocamento (Choke Point): Esta
técnica consiste em obrigar todos os sistemas ou
todo o fluxo de rede a passar por um único ponto.
Neste ponto então, podem ser implementados
diversos controles. Este ponto pode ser um firewall
que é posicionado e isola o sistema de outras redes
(rede interna, Internet, etc.).
• Participação Universal (Universal Participation):
Assim como numa corrente, a segurança de um
sistema é tão forte quanto a segurança de seu elo
mais fraco. Participação universal quer dizer que todos
os funcionários da empresa têm responsabilidade na
segurança (e que o administrador tem que delegar
parte destas responsabilidades para pessoas chave
na empresa). Quer dizer ainda que Bob também é
responsável por esta segurança.
• Simplicidade (Simplicity): Quanto mais simples
o sistema, mais fácil para a equipe de segurança
entendê-lo. E quanto mais entendê-lo, mais fácil
será garantir que ele esteja seguro. Quanto mais
complexo o sistema, mais locais onde se esconder
e mais pontos a explorar terão os invasores.
• Falhar de Forma Segura (Fail-Safe Stance):
Caso se consiga atacar o sistema e impactá-
lo de tal forma que ele acabe por se tornar
inoperante, o sistema deve falhar negando
acesso ao atacante. Desta forma, mesmo a
disponibilidade tendo sido afetada, a integridade
e a confidencialidade permanecerão intactas.
Um exemplo deste cenário é a tela azul do sistema
operacional Windows. Quando o sistema operacional
encontra estruturas de dados inconsistentes,
13
problemas de memória ou cenários no qual não é
possível garantir a segurança do sistema, ele falha
de forma controlada, negando acesso a todos. Após
isso, o sistema pode reiniciar, garantindo assim
que a recuperação também se dê de forma segura
(também conhecido como Trusted Recovery).
• Gerenciamento de Mudança (Change Control/
Management): Outro aspecto importante da
gestão de segurança é o controle das alterações,
mais conhecido como Gerenciamento de Mudança.
A mudança é uma constante em praticamente
qualquer sistema. Mas, estas alterações podem
apresentar lacunas, sobreposições, falta de objetos, e
mudanças que podem levar a novas vulnerabilidades.
A única maneira de manter a segurança em face da
mudança é geri-la de forma sistemática. Para isso,
antes de realizar qualquer alteração, deve-se planejar
bem os passos, testá-los em um ambiente separado
e registrar as alterações realizadas. Além disso, deve-
se garantir que as alterações possam ser auditadas
e que alterações nos controles e mecanismos de
segurança estejam sendo gerenciadas.
Por último, o Gerenciamento de Mudança deve garantir
também que seja possível voltar o sistema a um estado
anterior, caso necessário.
2.5. Políticas de Segurança: um processo
de controle
Escrever uma política de
segurança é uma tarefa muitas
vezes difícil e deve contar com o
envolvimento de várias pessoas,
de vários departamentos. Isso
não deve ser desanimador e
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
não se deve postergar o início dos trabalhos, em função
da fragilidade a que o negócio pode estar exposto.
Se necessário, para implementar e manter a política
definida, pode ser utilizada uma consultoria especializada,
com conhecimento nos diversos aspectos da segurança
dos bens de informação e das tecnologias que os apoiam.
Possuir uma política de Segurança da Informação
na organização é importantíssimo para o sucesso dos
negócios, melhor dizendo, para muitas organizações é
fator critico para seu sucesso e sobrevivência.
Para a criação de uma política de segurança da
informação deve haver uma área responsável que se
incumbirá de sua criação, implantação, revisão, atualização
e designação de funções. Nessa área deve ser escolhido um
gestor responsável pela análise e manutenção da política.
Para garantir a aplicação eficaz da política, o ideal é
que o alto escalão, como diretoria, gerentes e supervisores
façam parte dessa área, além de usuários, desenvolvedores,
auditores, especialistas em questões legais, recursos
humanos, TI e gestão de riscos.
Os passos para a criação da política de segurança são:
2.6. Criação de uma Política de
Segurança
Caro aluno, os passos apresentados podem ser melhor
detalhados. Vamos descrever, de forma estruturada,
uma proposta para que você possa criar uma política de
segurança respeitando uma série de etapas importantes
que no dia-a-dia das organizações é esquecido. Estas são
as etapas:
14
1. Definir o escopo da política
Escreva o esboço do documento da política de segurança
para sua organização. Esse documento deve ser genérico,
possuir apenas suas ideias principais, sem preocupação
com precisão. Escreva também uma justificativa para sua
implantação, sempre com o foco nos negócios e riscos
a que a organização está sujeita caso não se implante a
política de segurança da informação.
2. Apresentar para as pessoas chaves
Apresente seu esboço para a área de negócio, gerentes e
diretoria com o objetivo de angariar a confiança da iniciativa
e o engajamento da direção, que é fundamental para a
implantação da política. Uma vez que estas importantes
pessoas estejam convencidas da importância da política,
você terá o próximo desafio que é a implantação. Não se
esqueça que, em algumas situações, somente com o apoio
da diretoria será possível aplicar as políticas criadas.
3. Definir um Comitê de Segurança da Informação
Crie um comitê de política de segurança, que deverá ser
formado por pessoas interessadas na criação da política,
mas que devem ser de setores distintos na organização.
Com base em seu documento, o comitê deverá assumir as
seguintes atividades e funções:
1. Escrever as regras para a política e definir o
formato do comitê;
2. Definir atribuições, os papéis e responsabilidades;
3. Detalhar os procedimentos e as penalidades para
as violações da política;
4. Aprovar as políticas e processos estipuladas e as
alterações propostas.
O comitê terá a função legisladora do processo. Porém,
continua sendo do gestor (no caso, você) a responsabilidade
pela aplicação da política. O comitê deverá se reunir
periodicamente. As reuniões têm o objetivo de avaliar e
aprimorar a política de segurança, os incidentes ocorridos
e as ações a serem tomadas para correção.
O documento criado deverá ter uma linguagem simples
a fim de que todos os usuários a entendam e possam
aplicá-la com facilidade. Assim, para que a política de
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
segurança da informação seja eficaz, o documento será
na verdade, um conjunto de políticas inter-relacionadas.
A partir deste momento, você já terá em mãos um
documento oficial que deverá ser aceito e aprovado pela
direção.
4. Divulgar os processo e políticas
Divulgue a política de segurança da informação. A
política deve ser de conhecimento de todos e compreensível
para todos que interagem com a organização, sejam
usuários internos ou externos. Deve sempre estar nas
mãos de quem vai utilizá-la.
Porém, de nada vale colocar o documento inteiro nas
mãos de quem vai utilizar apenas uma parte. Por exemplo,
um funcionário da limpeza precisa saber apenas como limpar
um determinado equipamento preservando a integridade
física do mesmo. Caso alguém veja um fio desencapado,
deve saber a quem avisar para solucionar o incidente.
A divulgação eficaz é aquela que atinge a pessoa certa
com a informação que ela precisa saber. As pessoas não
precisam ler toda a política de segurança, mas a parte
que lhes interessa. Essa divulgação segmentada é fator
imprescindível para o sucesso da implantação da política.
É claro que isso não exclui a necessidade de divulgação de
todo o documento caso alguém se interesse em lê-lo.Uma
forma prática de divulgação é a criação de um website na
intranet da empresa. Nele todas as informações sobre a
política devem ser bem redigidas e separadas em seções,
facilitando o acesso a políticas gerais às quais todos devem
obedecer e a políticas específicas para cada setor.
15
5. Garantir o controle da política
Trate a política e as emendas como regras absolutas com
força de lei. Uma vez que a política já é do conhecimento
de todos, não pode haver violações da mesma. Caso isso
ocorra, devem ser previstos procedimentos que vão de
advertências a punições.
As violações devem ser analisadas em suas causas,
consequências e circunstâncias, a fim de sejam tomadas
as medidas preventivas e corretivas que alterem a política
para evitar nova situação de vulnerabilidade. Tudo deve ser
documentado. Caso qualquer regra deixe de ser cumprida
e não houver um processo rígido de controle e punição, a
política perde sua credibilidade e força junto aos demais
colaboradores da organização.
6. Conscientização
Sugestões são sempre bem-vindas. Incentive que os
colaboradores proponham sugestões de melhorias. Todas
devem ser levadas em consideração. As pessoas que
estão na rotina do trabalho, são as que mais estão aptas
a levantar problemas de segurança na sua respectiva
área, ou mesmo provocá-los. Algumas sugestões podem
mostrar, também, que a política possui um rigor exagerado
em determinado item, o que pode tornar seu cumprimento
demasiadamente oneroso. Neste caso devemos analisar as
críticas e estudar uma forma alterá-las ou criar tratamento
de exceções para garantir o cumprimento dos processos.
Facilite o canal de comunicação para que as sugestões
cheguem ao comitê. As sugestões pertinentes deverão
virar emendas à política.
7. Auditar e realizar revisões das políticas
Realize reuniões periódicas para consolidar a política e
as emendas. Deverão participar todo o comitê de política
de segurança, a direção e os responsáveis com funções
delegadas. O objetivo é realizar uma análise crítica
da política de segurança vigente, das emendas e dos
incidentes relatados.
Esta avaliação poderá gerar um documento atualizado
que inclua todas as alterações. Neste ponto devemos
considerar as sugestões levantadas no item 6 e todas as
alterações do ambiente desde a última reunião, para que
sirvam como base para o processo de revisão.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

8. Implementar melhorias das revisões

Refaça o processo. O novo documento gerado no passo

7 deverá passar por todo o processo novamente, a fim de
que entre em vigor e seja do conhecimento de todos.

De forma mais estratégica, quando definimos uma

política de segurança estamos, acima de tudo, exercitando
o apetite da organização ao risco. Com isso, definir um
processo de controle através de uma política requer
atenção e alinhamento com a linha executiva da empresa,
os riscos e responsabilidades devem ser compartilhados,
como descrevemos no fluxo abaixo que dá uma visão mais
estratégica para o processo de criação de uma política.

Exercícios do Capítulo 2 autorizado pelo sistema. É a capacidade deste invasor

1) Do que depende a implantação da política de
segurança?
2) Descreva os quatros primeiros passos para
criação de uma política de segurança.
3) Associe os tipos de incidentes com sua descrição
e assinale a resposta correta.
passar-se por alguém para usufruir dos privilégios de
acesso de outrem.
E. Refere-se à monitoração indevida de trocas
de mensagens. Normalmente requer que o invasor
tenha acesso físico ao ambiente e empregue uma
ferramenta capaz de capturar e duplicar as informações
que circulam pela rede. Esta captura normalmente é

i- Eavesdropping ii- Impersonation iii- feita com o uso de um software específico, chamado
Unauthorized Modification iv- Intrusion comumente de sniffer.
v- Denial of Service vi- Information Theft F. A invasão acontece se o atacante obtiver
acesso não ao sistema, mas aos recursos que suportam
A. Ocorre quando o invasor consegue acessar e
este sistema, como servidores ou roteadores, por
copiar dados confidenciais do sistema.
exemplo. Caso este acesso permita ao invasor um
B. Um invasor pode tentar alterar alguma
acesso com direitos de administração no recurso
informação de forma indevida. É importante notar
invadido ele poderá fazer o que bem entender no
que o invasor tentará alterar a informação quando
sistema.
ela estiver armazenada em algum meio (disco rígido,
banco de dados, etc.) ou quanto estiver em trânsito
pela rede. a) i-E ii-C iii-A iv-B v-F vi-D

C. Neste tipo de incidente o invasor não busca b) i-F ii-C iii-B iv-E v-D vi-A
comprometer os dados ou acesso ao sistema, mas não
c) i-E ii-D iii-B iv-F v-C vi-A
permitir que usuários legítimos tenham acesso a ele.
D. Para realizar algumas ações maliciosas, d) i-A ii-E iii-F iv-C v-B vi-D
um invasor pode tentar passar-se por um usuário

16
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Capítulo 3 - Gestão de Ativos

As informações de uma organização, base

de dados, manuais, software, etc, podem
ser identificadas como um ativo como tantos
outros tradicionais como imóveis, móveis,
equipamentos, etc. Neste capítulo estudaremos
os tipos de ativos de uma empresa, sua
classificação e as ferramentas que ajudam a
realizar o controle e gestão dos ativos.
levantamento e controle dos ativos. A seguir destacamos
3.1. Classificação e Controle dos Ativos
algumas:
Os ativos de uma empresa possuem um valor e devem
ser classificados e valorados. Vamos ver quais são estes
tipos de ativos e sua classificação.
• Ativos de informação: referem-se à base de
dados, contratos e acordos, documentação de
sistema e infra-estrutura, manuais, material de
treinamento, procedimentos de suporte e operação,
planos de continuidade de negócio, etc;
• Ativos de softwares: são os aplicativos, sistemas,
ferramentas de desenvolvimento e utilitários;
• Ativos físicos: reúnem os equipamentos
computacionais, de comunicação, mídias
removíveis;
• Serviços: englobam os serviços de computação,
comunicações, refrigeração, iluminação,
eletricidade;
• Capital Intelectual: são as pessoas e suas
qualificações, habilidades e experiências;
• Ativos intangíveis: referem-se à reputação e
imagem da organização.
Para que os ativos sejam protegidos, é necessário que
possua um proprietário que seja uma pessoa ou entidade
autorizada a controlar o uso e a segurança dos ativos,
tornando-se o responsável pelos mesmos.
Existem diversas ferramentas que nos auxiliam no
• Sistemas de gerenciamento de redes:
Estes sistemas podem monitorar a existência
e o estado de ativos da rede como servidores,
switches, roteadores, etc. Existem implementações
proprietárias e um protocolo padrão específico
para realizar esta tarefa chamado SNMP - Simple
Network Manager Protocol ou Protocolo Simples de
Gerenciamento de Rede. Com o SNMP é possível
criar quantos controles forem necessários, além dos
básicos, como uso de CPU, espaço em disco, etc.
• Sistemas de inventários de computadores:
São sistemas que realizam um levantamento de
todos os computadores conectados à rede e a
relação de software e hardware existentes nestes.
Estes sistemas são úteis para se identificar qual
o parque da empresa e quais ativos (softwares
licenciados ou gratuitos) e passivos (softwares
comerciais sem a devida licença) estão instalados
nestes computadores. Estes softwares também são
úteis para avisar ao administrador quando houver
alguma alteração nos dados de inventário.
• Sistemas operacionais de rede: Os sistemas
operacionais de rede possuem DACLs - Discretionary
Access Control Lists (Listas de Controle de Acesso
Discricional) que através de um banco de dados
central de contas de usuários fornece acesso aos
seus recursos (ativos de informação) somente
a quem efetivamente necessita deste acesso.

17
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

• Ferramentas de gerência de documentos: conhecer e cumprir essa política para uso dos recursos, a
Estas ferramentas servem como uma camada fim de não comprometer a empresa e ao próprio usuário.
adicional de proteção dos documentos limitando as
Exemplos de ativos que necessitam de cuidados
ações que os usuários autorizados podem realizar
especiais para seu uso são:
com os ativos de informação, por exemplo, um
usuário pode ler, mas não imprimir. Além de limitar • Internet: Dentro de uma organização os usuários
o acesso, estas ferramentas podem também manter utilizam um sistema de controle de uso da internet.
um registro das ações realizadas por cada usuário Qualquer ato realizado em qualquer computador
e das tentativas de executar ações não permitidas. dentro da empresa é registrado como proveniente do
endereço IP registrado da empresa. É importante que
• Sistemas de controle de backup: O backup
a empresa especifique e divulgue a todos os usuários
é uma cópia fiel dos ativos de informação mais
quais os tipos de acesso são permitidos ou proibidos,
importantes da organização. Por este motivo
de acordo com a lei e com a política de segurança
é desejável que se controle exatamente o que
corporativa, além de manter o registro adequado de
acontece com cada uma das mídias destinadas
todas as comunicações oriundas da empresa.
a este fim. Existem várias ferramentas capazes
de controlar as mídias, seu uso e as informações • Correio eletrônico: O correio eletrônico é
contidas em cada uma. uma ferramenta de comunicação que identifica
o funcionário e a empresa perante o mundo
• Ferramentas de gestão empresarial: Estas
como um nome e sobrenome separados pelo @
ferramentas controlam toda a gestão da empresa.
(lê-se “at” em inglês, que significa “em”). Esta
Uma boa ferramenta deste tipo é capaz de
ferramenta deve ser utilizada somente para uso
separar os proprietários para cada processo
profissional e nunca, em hipótese alguma, deverá
dentro da empresa. Para que se tenha um
ser utilizada em alguma ação suspeita, que poderá
controle efetivo dos ativos é essencial que cada
comprometer o usuário e a empresa, uma vez que
ativo de informação dentro de uma organização
está é a provedora do recurso que possibilita a
possua uma pessoa responsável: essa pessoa é
ligação com a internet. Existem ferramentas
denominada “proprietário do ativo”. Apesar de a
que monitoram conteúdo impróprio em correio
palavra proprietário expressar posse, o proprietário
eletrônico, mas o melhor e indispensável recurso
é apenas uma pessoa designada pela empresa
para responder pelo ativo e classificá-lo quanto à
sua necessidade de confidencialidade, integridade
e disponibilidade. Por estes motivos muitos
autores preferem chamá-lo de gestor do ativo.
Os proprietários são os responsáveis por cuidar da
manutenção dos ativos, e mesmo que parte deste
processo seja delegada pelo proprietário a um
terceiro, o mesmo continua sendo o responsável
primário pela proteção adequada dos ativos.

Além de ter um proprietário, os ativos da empresa é que todos os usuários conheçam e forneçam
possuem usuários. É importante que sejam criadas regras provas de que conhecem a política da empresa em
que comporão a política da empresa quanto a permissões relação ao uso deste recurso.
de uso de informações e de ativos associados aos recursos
• Estações de trabalho: A estação de trabalho do
de processamento das informações. Cada usuário deve
usuário, assim como sua mesa ou cadeira, pertence

18
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

exclusivamente à empresa e deve ser tratada como Cada informação dentro da empresa possui a
um recurso precioso, sujeito à política corporativa necessidade de estar disponível para uma pessoa ou
e às normas estabelecidas para seu uso. O mal equipe, ao mesmo tempo em que há a necessidade de um
uso de estações de trabalho podem impactar na controle que garanta que ela estará realmente disponível
produtividade do usuário, na manutenção da para os usuários legítimos.
confidencialidade dos dados por ele manipulados
A classificação deve levar em conta estas premissas
e na adequação da empresa às leis de direitos
e principalmente o impacto nos negócios pela quebra
autorais, dentre outros problemas.
na disponibilidade, integridade ou confidencialidade das
• Notebooks: Os dispositivos móveis circulam mesmas.
livremente para dentro e fora do perímetro da
Para alcançarmos este objetivo de forma eficaz é
empresa. É necessário que a empresa tenha uma
necessário definir categorias de informações que sejam
política bem definida de uso destes equipamentos,
bem objetivas quanto à criticidade de cada uma. Esta
que esta seja bem divulgada e conhecida por todos
classificação deve ser feita pelo proprietário (gestor) da
os usuários de dispositivos móveis. Sempre que
informação em um momento inicial e posteriormente,
possível esta política deve ser reforçada por peças
em prazos pré-definidos, quando a informação pode
de tecnologia uma vez que seu mau uso pode
ser reclassificada de acordo com os requisitos de
trazer ameaças aos dispositivos e a outros ativos
confidencialidade que ainda representa para a organização.
quando este retornar para dentro do perímetro de
proteção da empresa. Alguns ativos de informação
perdem totalmente o valor depois
de um determinado evento.
3.2. Classificação e Gestão dos Ativos de O vencedor de um Oscar, por
Informação exemplo, passa de um dos
segredos mais bem guardados do
Um dos maiores desafios da segurança da informação
mundo para uma informação de
é a necessidade de termos a informação íntegra, correta e
domínio público em questão de
ao mesmo tempo disponível somente para os usuários que
horas. Esta informação já poderia
realmente devem acessá-la. Não haveria muita dificuldade
ser classificada originalmente
em se proteger uma informação se ela não precisasse
como “Confidencial” até a noite
estar disponível somente para os usuários legítimos.
da entrega e “Desclassificada”
Uma vez que garantimos que a informação esteja após esta data.
disponível somente para os usuários autorizados, é
É de responsabilidade do
necessário garantir que eles façam o uso correto destas
proprietário do ativo, definir a
informações. Para alcançar este objetivo é necessário
sua classificação, analisando-o
que um processo eficiente de classificação da informação
conforme critérios estabelecidos.
seja estabelecido, garantindo que os usuários dos ativos
de informação conheçam a sua real importância para a Para que você execute este processo de classificação
corporação. de uma informação, siga os seguintes passos:

Outro aspecto relevante da informação é que ela não
mantém o mesmo valor ao longo do tempo. Algumas
tendem a se tornar públicas ou simplesmente não
interessar a mais ninguém.
• Identifique quem é o proprietário da informação;
• Especifique quais critérios serão utilizados para sua
classificação;
• Converse com o proprietário da informação — esta
deve ser enquadrada
• em alguma das categorias estipuladas;

19
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• Indique qual o nível de segurança necessário para
proteger cada categoria;
• Documente as exceções;
• Crie rótulos para a informação impressa e digital;
• Defina o método que será utilizado para transferir a
custódia da informação;
• Indique um procedimento para a desclassificação da
informação;
• Treine e conscientize os usuários.
No que se segue, vamos ver como faremos a classificação
de um ativo de informação segundo os requisitos de
confidencialidade, integridade e disponibilidade.
• Requisitos de
Confidencialidade: Conforme vimos
anteriormente, os proprietários dos ativos são os
responsáveis por atribuir as permissões de acesso aos
ativoserevisá-lasperiodicamenteparaassegurar-sequeo
controlemaisapropriadosejaaplicadoàquelainformação.
Esta classificação deve garantir que o princípio de “least
privilege” seja aplicado, ou seja, cada usuário somente
terá acesso ao que realmente necessita e as permissões
conferidas a este serão somente as necessárias para a
execução de sua tarefa relacionada àquela informação.
A classificação dos ativos deve ser clara e objetiva,
estando presente em todas as informações,
independente de seu meio de armazenamento. Os
documentos eletrônicos confidenciais, por exemplo,
devem conter dispositivos como mensagens de rodapé
que garantam que a classificação da informação
sobreviverá à passagem da informação do meio digital
para o meio físico impresso. Cabe a cada empresa
analisar quantos e quais níveis de classificação deverão
20
ser utilizados para classificar seus ativos de informação
quanto à sua confidencialidade, não existindo uma
forma única definida para tal. Uma vez definidos estes
níveis, deve haver procedimentos para tratamento e
manuseio.
• Requisitos de Integridade: Uma outra
classificação que se deve fazer dos ativos é quanto
à sua integridade. As necessidades de integridade
podem ter vários níveis: baixo, médio, alto, crítico,
etc, de acordo com a necessidade da empresa.
• Requisitos de Disponibilidade: Pela ótica da
disponibilidade, a classificação da informação
acontece de acordo com a extensão do impacto que
sua falta ocasionará para a organização. Novamente
não temos categorias pré-definidas, mas podemos
classificar por intervalo de tempo (minutos, horas ou
dias) ou por categorias que correspondam a estes
intervalos (curto, médio, longo).
Leia o artigo de Carlos Santanna,
que é Security Officer, publicado em
http://internativa.com.br/artigo_
seguranca_02.html
“...vamos, através de uma análise de riscos
criteriosa, eleger os ativos de informação mais críticos
para sua organização, saber qual destes está mais
vulnerável no momento, e por consequência, precisa
ser protegido mais emergencialmente e, finalmente,
também determinar onde serão empregados os
maiores recursos (lembrando sempre que as medidas
necessárias à contenção dos riscos inicialmente
levantados deverão ser aplicadas seguindo a ordem de
criticidade do impacto das perdas deste ativo para os
negócios da companhia).”
Exercícios do Capítulo 3
1) A informação por si só é um ativo para as
organizações. No entanto todos os ativos possuem um
valor que vai além do monetário, mas existe um nível
de classificação importante para a organização. Cite
pelo menos três tipos de ativos e sua classificação.
2) Quais os passos que devemos tomar para
classificar um Ativo?
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Capítulo 4 - Segurança em
Recursos Humanos
O processo de segurança da informação deve
contemplar a pessoa humana que é o recurso
que faz efetivamente acontecer a proteção.
A implementação de regras, regulamentos,
políticas, normas, bem como o uso
programas de proteção da informação, são
ações importantes. Neste capítulo trataremos
da pessoa e dos procedimentos de segurança
da informação a ela ligados, relacionando os
cuidados na sua contratação, durante a sua
atuação na empresa e no seu desligamento.
4.1. Garantia da Segurança da
Informação para as Pessoas
Contemplar as pessoas na política de segurança da
informação, no entanto, é uma parte da solução. Essas
ações conseguem construir apenas metade da ponte que
nos leva à efetiva proteção. A parte restante, crucial, para
que a ponte cumpra o seu objetivo é construída quando
as pessoas da organização (funcionários, prestadores de
serviço, executivos e acionistas) tornam-se conscientes
desse assunto. Neste processo de segurança, a atitude de
cada pessoa é fundamental. De certa forma, o sucesso da
implantação da segurança depende da pessoa humana.
Podemos ter os melhores esquemas e ferramentas, mas se
não tivermos cada pessoa comprometida com a segurança
da informação, a possibilidade de fracasso aumenta.
É necessário que consideremos os usuários (funcionários,
fornecedores e terceiros) em 3 momentos de sua vida
profissional na organização: antes da contratação, durante
a execução das suas funções profissionais e quando do
encerramento das suas atividades. Para esta última fase
devemos considerar, também, situações de mudança
de tipo de atividade que exigirá diferentes acessos à
informação.
de
Cada função profissional deve ter suas
responsabilidades explicitamente definidas
e de conhecimento das pessoas que vão
exercê-la. Antes da contratação o candidato
deve entender sua função profissional e concordar
com o papel que vai desempenhar na organização.
As responsabilidades do cargo e suas características
devem estar definidas em um documento que descreve
as condições de contratação.
Todo candidato a exercer uma função profissional
na organização deve ser analisado em relação à sua
capacidade de exercê-la, inclusive considerando:
características pessoais, alinhamento às regras,
exercício da responsabilidade, experiência profissional,
tratamento adequado de informações de diferentes
níveis de confidencialidade e concordância com a
política de segurança da organização.
4.2. Cuidados na Contratação de Pessoas
Quando da seleção da pessoa devem-se considerar
que todas as verificações obedeçam as leis vigentes, as
regulamentações e os princípios éticos. Essas verificações
devem considerar o respeito à privacidade aos dados
pessoais de quem será contratado.
21
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Em relação à análise das informações prestadas pelo
candidato, devemos verificar:
• Se as informações da experiência profissional estão
adequadas ao cargo/função;
• Se as informações prestadas são verdadeiras: dados
acadêmicos, documentos de identificação pessoal;
• A situação de crédito na praça e registros criminais.
A seleção deve ser feita por profissionais qualificados,
sejam da própria organização ou sejam prestadores de
serviço. Quando feito por terceiros é importante que exista
um contrato para essa prestação de serviço que descreva a
responsabilidade desse prestador de serviço em relação ao
profissional que ele está selecionando para a organização.
As responsabilidades e ações em relação à segurança
da informação devem estar destacadas na descrição
das responsabilidades de cada função profissional. É
importante que a pessoa formalize o conhecimento dessas
regras assinando um documento.
Algumas dessas responsabilidades devem continuar
certo tempo após o término de relação profissional entre a
organização e a pessoa.
Durante o exercício das funções profissionais para a
organização, precisamos garantir que a pessoa:
• Esteja consciente dos controles necessários para a
manutenção do nível adequado de segurança;
• Saiba quais são suas responsabilidades;
• Apoie a política de segurança e demais regulamentos.
22
Isto é, a pessoa precisa estar conscientizada sobre
os processos, procedimentos e regras da segurança da
informação na empresa.
O processo que acontece quando as pessoas
(funcionários, fornecedores e terceiros) deixam a
organização ou mudam o tipo de trabalho, deve acontecer
de forma ordenada e controlada. As pessoas relacionadas
a esses procedimentos devem estar cientes da suas
responsabilidades.
O usuário que está saindo da organização ou muda o
seu tipo de trabalho internamente deve conhecer as regras
relacionadas à segurança da informação nestas condições.
Leia o artigo de Maurício Renner
que conta um pouco sobre como
as políticas de segurança na TI
não estão sendo cumpridas pelas
pessoas. Ele diz que os motivos que elas alegam
são diversos (contando até “esquecimento”).
Publicado em 14/12/2011
Sete em cada dez profissionais admitiram
violar políticas de TI com frequências variadas,
segundo um levantamento feito pela Cisco com
2,8 mil universitários e jovens profissionais em 14
países, incluindo o Brasil. O levantamento Cisco
Connected World Technology traz más notícias para
os responsáveis pelas políticas de segurança de TI.
Três em cada cinco profissionais (61%) afirmam não
serem responsáveis pela proteção de informações e
dispositivos, acreditando que o departamento de TI
e/ou provedores de serviços devem ser responsáveis
por isso. Já no Brasil, 50% dos entrevistados
acreditam ser responsáveis pela segurança de
informações e dispositivos.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

catástrofes naturais, problemas com energia e

Exercícios do Capítulo 4 abastecimento, acesso indevido às instalações
da empresa, até falhas humanas.
1 ) Quais os cuidados que devemos ter durante
o processo de contratação de profissionais para a
empresa?
5.1. Segurança Física: Proteção de ativos
2) Defina se as afirmações são V-verdadeiras ou
F-falsas e assinale a resposta correta: A Segurança Física prevê proteção ao ambiente onde
estão hospedados os ativos da empresa, utilizando-se de
( ) O usuário que está saindo da organização recursos como trancas, guardas, alarmes, câmeras de
ou muda o seu tipo de trabalho internamente deve vigilância, entre outros.
conhecer as regras relacionadas à segurança da
informação nestas condições. A importância da Segurança Física é que uma vez
que esta esteja subjugada, podem-se contornar vários
( ) Nenhuma responsabilidade tem uma
controles de segurança lógicos, concedendo acesso direto
pessoa após o término da relação profissional entre
ao ativo. Um exemplo disso é que, mesmo com vários
a organização e a pessoa.
controles, como firewalls, antivírus, etc. uma pessoa má
( ) Quando a contratação é feita por intencionada pode, através do uso de disquetes, CDs
terceiros deve existir um contrato que descreva a e pendrives, reiniciar um servidor com outro sistema
responsabilidade desse prestador de serviço em operacional e ter acesso irrestrito aos dados.
relação ao profissional que ele está selecionando
para a organização. A disponibilidade e integridade dos dados são
facilmente destruídas caso se ultrapassem os dispositivos
( ) Todo candidato a exercer uma função
de segurança física.
profissional na organização deve ser analisado em
relação à sua capacidade de exercê-la, inclusive As seguintes ameaças podem comprometer o ambiente
considerando: características raciais e opções físico das organizações e são objetos dos controles de
sexuais, experiência profissional e concordância com
segurança física:
a política de segurança da organização.
• Naturais e do ambiente: Estas ameaças são de
a) V V F F
difícil controle quando ocorrem e não temos como
b) F F V V antecipá-las. Exemplos incluem tempestades,
c) FVFV erupções vulcânicas, furacões, tornados, incêndios
e enchentes. No Brasil não temos muitos efeitos
d) V F V F
naturais como em outros países, mas as chuvas
trazendo enchentes e o calor gerando incêndios em
nossas matas são preocupações para as quais o
profissional de segurança deve estar atento.
Capítulo 5 - Segurança Física
Com a evolução da computação, os ativos
de informação, que na época dos mainframes
estavam centralizados e faziam uso de uma
única sala com poucos acessos, se espalharam
pela empresa. Nos atuais ambientes distribuídos
e de computação móvel, a abrangência e
a demanda de proteção física do ambiente
aumentou significativamente. Neste capítulo
falaremos sobre como os ativos de informação
podem ser protegidos de ameaças físicas desde

23
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• Sistemas de suprimento (utilidades):
Correspondem aos elementos que fazem a operação
funcionar e são essenciais em toda a infraestrutura
física. Como exemplo temos energia, comunicação,
encanamento. É importante que a disposição
desses elementos esteja protegida, pois ex istem
casos conhecidos de tratores que partiram fibras
óticas subterrâneas que ligavam prédios, ou um
cano estourar nas instalações que continham
equipamentos elétricos ou mesmo num datacenter.
A energia elétrica deve ser sempre mensurada para
suportar o ambiente físico e elementos críticos
devem ter proteções adicionais.
• Humanas: As diversas pessoas internas ou externas
que tenham acesso direto ou indireto aos ativos
da empresa com o intuito de afetar os mesmos
estão incluídos em ameaças de origem humana.
Como exemplo desses tipos de ameaças, temos:
sabotagens, armas ou agentes químicos, ataque
cracker. Motivações políticas: muitas vezes uma
empresa pode, dependendo de sua posição no
mercado, sofrer ameaças de terroristas ou competição
acirrada. Isso aumenta com a sua presença no
mercado global, com os produtos que fabrica e com
suas posições político-econômicas. Por exemplo,
a empresa pode sofrer com ataques a bombas ou
espionagem industrial, entre outros riscos.
3.2. Ameaças à Segurança Física
A melhor forma de identificar o grau de exposição da
empresa às diversas ameaças à segurança física é através
da realização de uma análise de riscos.
24
O ambiente de segurança física é disposto de forma
a proteger a infraestrutura contra roubo, destruição e
acessos não autorizados, através da adoção de medidas e
controles que garantam a proteção dos diversos ambientes
internos à organização.
Quando tratamos a proteção de perímetro de segurança
física, podemos estruturar o ambiente em diversas
camadas, conforme mostramos a seguir:
A) Áreas exteriores das instalações: São as áreas
em que se tem menos controle. Normalmente recomenda-
se o uso de cercas, portões de acesso e monitoração de
entrada do local até a área sob domínio da organização.
B) Fronteiras (áreas externas): São as áreas sob
responsabilidade da empresa, mas que não possuem ativos
a serem protegidos. São normalmente estacionamentos,
jardins e o uso de controles de vigilância armada e câmeras
de monitoração são suficientes.
C) Entradas das instalações: Incluem todos os locais
de acesso, como portas, janelas, escadas de incêndios e
outros acessos que podem não ser tão comuns mas que
permitem acesso à organização. Devem ter controles que
monitorem o acesso e sejam capazes de impedir o acesso
indevido a uma destas entradas.
D) Andares e escritórios: São áreas de acesso aos
locais onde há dados sensíveis. Todas as pessoas, incluindo
funcionários, terceiros e visitantes devem estar identificados,
sendo que pelo menos os funcionários e terceiros devem
possuir foto. Os visitantes só poderão ter acesso às áreas
de processamento e manipulação de dados acompanhados
de um funcionário ou um
terceiro identificado, que
seja responsável pelo
visitante. O acesso a
estas áreas dependerá
também de uma
autorização de acesso
para o colaborador e
para seu convidado.
E) Locais de trabalho e
processamento: São áreas onde
o recurso tecnológico propriamente dito reside, incluindo
computadores, fax, sistemas de comunicação, entre outros.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Esses ativos devem ser protegidos contra o acesso indevido,
além de roubo dos mesmos. O uso de travas nos racks dos
servidores, bem como cadeado para desktops, notebooks e
impressoras vem crescendo nas organizações.
Conforme vimos anteriormente, todos os acessos devem
ser controlados e protegidos. Como forma de controle de
acesso às diversas áreas da organização devemos registrar
quem está acessando e o que pode ser acessado.
• O acesso começa com a entrada na empresa.
Funcionários e terceiros devem estar sempre identificados
com o uso de documento com fotos. O acesso de terceiros
a áreas seguras deve ser monitorado.
• Os visitantes devem também ser identificados e
sempre acompanhados por uma pessoa responsável da
empresa, sempre que estiver em uma área não pública
(como recepções e salas de reunião). Uma área pública
pode conter diversas informações sensíveis em papéis de
rascunho, flip charts, etc.
• O acesso a áreas que contenham informações
sensíveis, como o datacenter, deve possuir controles
adicionais, desde autorização justificada, controles
biométricos, até monitoração e auditoria.
• Recomenda-se que os acessos sejam revisados
periodicamente para verificar se acessos não mais
utilizados ainda estão presentes, bem como remover
acessos indevidos.
Como vimos, várias são as origens das ameaças
vários são os meios de ataque aos ativos de informação a
serem protegidos. Recomenda-se que seja dada especial
atenção ao ambiente físico onde as informações estarão
armazenadas, de forma a evitar que ele seja afetado por
esses tipos de ameaças.
Fonte: http://www.videocontrolroom.com/home.php
3.3. Proteção contra as ameaças
Para garantir a proteção devem-se revisar periodica-
mente as instalações elétricas e hidráulicas, evitar
que material de fácil combustão fique próximo a áreas
protegidas, e garantir que os equipamentos de proteção
como mangueiras e extintores de incêndio, estejam em
local de fácil acesso e sejam revisados periodicamente.
Deve-se dar especial importância ao armazenamento
de mídias de backup nestes locais. O correto é que as
mesmas sejam removidas periodicamente para áreas
distantes geograficamente e igualmente protegidas para
que sejam resgatadas em caso de perda de parte ou de
todo o banco de dados.
Uma consideração importante a se fazer quanto ao
local de armazenamento das mídias de backup é que elas
e possuem o conjunto das informações mais importantes
para o negócio. Caso sejam interceptadas em seu
transporte ou furtadas em seu local de armazenamento
representam uma grande quebra de confidencialidade.
Como vimos, as áreas seguras devem ser protegidas
ao máximo. A melhor forma de fazer isso é utilizarmos
o conceito de necessidade de conhecimento (need to
know). Ambientes considerados seguros não devem ser
identificados a fim de dificultar sua localização por quem
não é autorizado para estar lá. Somente aqueles que
precisarem de acesso aos mesmos devem conhecer sua
localização dentro da organização e quais os métodos de
acesso e mecanismos de proteção dos mesmos.
Na estruturação de um datacenter, podemos colocar
a área de operação em local separado dos equipamentos
que estão processando os dados. No caso de uma visita,
essa seria a única área do datacenter a ser apresentada
aos visitantes. Deve-se evitar e até proibir registros de
imagens (fotos e filmes) destes locais.
25
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Manutenções em equipamentos, sistemas elétricos,
sistema de refrigeração ou qualquer outro sistema que
suporte a operação da empresa só poderão ser feitas após
a programação ser aprovada pelo responsável por TI e com
supervisão ininterrupta de algum colaborador da empresa.
Assim como temos vários controles lógicos de segurança
(normalmente chamados hardening ou fortalecimento)
durante a implementa-ção de equipamentos, também
temos que nos preocupar com controles físicos.
Esses controles começam com a disponibilização do
equipamento. Deve ser evitado que os dados que estão
sendo manipulados sejam facilmente visualizados pelo
público ou por transeuntes (mesmo que funcionários
identificados) e que os dados de armazenamento fiquem
em locais protegidos.
Os controles continuam com a disponibilização
de infraestrutura elétrica, cabeamento, refrigeração,
umidificação e todos aqueles que visem manter o ativo em
perfeito funcionamento.
Controles para proteção de áreas seguras devem
estar disponíveis para proteger os equipamentos, como
proteções elétricas e hidráulicas. Adicionalmente deve-
se evitar o consumo de alimentos e fumo próximo aos
equipamentos a serem protegidos.
Este trabalho é feito inicialmente pela política de
segurança e reforçado pela campanha de conscientização.
Para equipamentos que processem dados sensíveis é
importante que tenham segurança física reforçada, como
alojá-los em locais de difícil acesso e controlar esses
acessos, através de identificação e auditorias.
26
3.4. Instalação e proteção de
equipamentos
Quando abordamos as ameaças vimos que muitas delas
afetam as utilidades (facilities). Estas utilidades garantem
a operação dos equipamentos através do fornecimento de
energia e de outros componentes como fornecimento de
água (para refrigeração) e comunicação.
O fornecimento de energia é vital para a operação
dos equipamentos, bem como para o funcionamento de
outras utilidades como ar-condicionado. A interrupção
abrupta pode causar a perda dos dados que estavam
sendo processados no momento da interrupção nos
equipamentos de computação.
Para garantir o fornecimento de energia deve-se fazer
uso de sistemas de UPS - Uninterruptible Power Supply
(Suprimento Ininterrupto de Energia) por um período
suficiente para continuar a operação até o desligamento
normal dos equipamentos. Para equipamentos que
não possam ficar parados, deve-se considerar o uso de
geradores elétricos, que contemplem inclusive o sistema
de refrigeração do datacenter.
O fornecimento de água também é importante, pois
abastece os sistemas de umidificação e refrigeração,
como o ar-condicionado. O fornecimento de utilidades
deve ser monitorado continuamente e o não fornecimento
ou fornecimento inadequado deve ser alertado (pode se
considerar o uso de alarmes).
Tanto o fornecimento de energia quanto a comunicação
dos dados (lembremos que hoje existem ambientes de
TI distribuídos e convergentes) são feitos normalmente
através de cabos ou de comunicação em redes sem fio.
Todo o cabeamento deve ser, portanto, protegido quanto
à sua interrupção, devendo os cabos passarem por locais
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

protegidos fisicamente e recomenda-se que cheguem ao manutenção de equipamentos e nos casos de substituição,
datacenter pelo subterrâneo, longe do acesso público. devem-se tomar os mesmos passos para o descarte.

Os princípios de cabeamento estruturado exigem

distância entre os cabos lógicos (redes) e elétricos (energia)
para evitar que o campo magnético do cabo elétrico afete
a transmissão dos dados (nos caso dos cabos passarem
por campos elétricos deve-se usar fibra óptica que evita a
interferência elétrica).

Deve-se dar especial atenção aos cabos de comunicação

para evitar que não sejam usados para interceptação
não autorizada dos dados. Para tanto se deve fazer uso
de passagens protegidas por canaletas e/ou conduítes. Toda retirada de equipamento da organização deve
Periodicamente deve-se fazer uma inspeção física para ser feita de forma controlada e protegida, evitando-se
verificar se equipamentos espiões (chamados de traps) que equipamentos que contenham informações sensíveis
foram colocados irregularmente devendo os mesmos ser
sejam retirados da empresa sem a devida autorização.
removidos.
Muitas vezes a entrada e saída de equipamentos dentro
Quando o equipamento fica obsoleto o mesmo
da empresa não são devidamente controladas ou, por se
precisa ser descartado. No entanto esse descarte deve
tratar de pessoa conhecida, a saída do mesmo é permitida.
ser feito com as preocupações devidas com segurança
Para que os equipamentos possam sair da empresa devem
da informação. A principal é a de remoção completa das
informações armazenadas em discos. possuir autorização específica que deverá ser dada por
pessoas claramente identificadas e que essa identificação
Atualmente uma série de técnicas para recuperação seja pública.
de dados, mesmo em discos defeituosos está crescendo
aceleradamente. Isso foi particularmente útil no caso do Como forma adicional de controle, pode-se estabelecer
famoso desastre de 11 de setembro de 2000 em New York, limites para período de saída de equipamentos além do
quando muitas informações foram recuperadas, mas pode registro do mesmo quando da sua saída e de seu retorno.
ser perigoso quando dados são recuperados com o intuito
de usar a informação para fins ilícitos, como espionagem
industrial. Exercícios do Capítulo 5

1) Qual o papel da Segurança Física dentro da

Leia sobre notícias ligadas Segurança da Informação?
à Segurança da Informação da
2) Cite pelo menos três camadas de estruturação
revista Info Exame online:
que a Segurança Física deve proteger dentro do seu
http://info.abril.com.br/noticias/seguranca/11-de- perímetro.
setembro-pode-gerar-golpes-online-09092011-24.shl
3) Defina se as afirmações são V-verdadeiras ou
F-falsas e assinale a resposta correta:

Dependendo do grau de sensibilidade dos dados, os ( ) Toda retirada de equipamento da organização

dispositivos de armazenamento devem ser completamente
des-truídos de forma controlada. Outra situa-ção é no caso
de falha de equipamentos. Deve ser avaliado se os mesmos
devem ser recuperados ou substituídos. Nos casos de
recuperação devem-se seguir os mesmos passos usados na
deve ser feita de forma controlada e protegida,
evitando-se que equipamentos que contenham
informações sensíveis sejam retirados da empresa
sem a devida autorização, mesmo por funcionários
graduados.

27
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

( ) Todo o cabeamento deve ser protegido quanto

à sua interrupção, devendo os cabos passarem por
locais protegidos fisicamente e recomenda-se que
cheguem ao datacenter pelo subterrâneo, longe do
acesso público.
( ) Quando um equipamento fica obsoleto o
mesmo precisa ser descartado. O mais indicado é
doá-lo a instituições de caridade ou apenas jogá-lo
no lixo.
6.1. Segurança Operacional: processo
contínuo
Segurança Operacional é o processo usado para
desenvolver controles e políticas sobre hardware, software,
mídias, operações de recursos e definir a auditoria e o
monitoramento dos processos para garantir proteção e
controles das ameaças e vulnerabilidades mapeadas.

( ) A tecnologia de cabeamento atual dispensa

a inspeção física para verificar se equipamentos
espiões (traps) foram colocados irregularmente, pois
estão devidamente protegidos deste tipo de ataque.

( ) Atualmente há uma série de técnicas
para recuperação de dados em discos, isso foi
particularmente útil no caso do desastre de 11 de
setembro de 2000 em New York, quando muitas
informações foram recuperadas.
a) V V F F F
b) F F V V V
c) VVFFV
d) V F V F F
Capítulo 6 - Segurança
Operacional
Gerenciar recursos de processamento de
informações é um conjunto de tarefas que
demanda critério de manuseio e responsabilidades
bem definidas. Como não se pode prever tudo,
devemos ao menos prever o óbvio de todas as
situações e o improvável em alguns casos. Dessa
forma, os riscos poderão ser minimizados a níveis
até melhores do que o tolerável. Neste capítulo
serão apresentadas as diretrizes a serem adotadas
a fim de estabelecer e documentar procedimentos
e responsabilidades pela gestão operacional dos
recursos de processamento da informação, bem
como a importância da separação de funções e
áreas de responsabilidade.
A gestão operacional visa assegurar o sucesso das
operações dos recursos de processamento da informação,
reduzindo os riscos do mau uso ou uso doloso dos
sistemas. Nada mais reconfortante para um ambiente
organizacional, do que ter em mãos documentos com
procedimentos operacionais detalhados de ações a serem
tomadas nas mais diversas situações (como inicializar
e desligar computadores, gerar cópias de segurança,
manutenção de equipamentos, tratamento de mídias,
segurança e gestão do tratamento das correspondências
e dos ambientes de computadores). Isso demanda um
trabalho rigoroso de anotação de rotinas para posterior
documentação das mesmas. Também devem ser previstas
situações não rotineiras, bem como emergenciais.
Assista ao filme sobre Segurança
Operacional na Aviação:
http://youtu.be/9fA0eg_atMU
Caso ache interessante, leia mais sobre o tema em:
h tt p : / / w w w 2 . a n a c . g ov. b r / S G S O 2 / O s % 2 0
quatro%20componentes%20do%20SGSO.asp
Relatar todas as situações possíveis pode parecer um
procedimento enfadonho, e realmente o é. Porém, sua
execução pode ser muito facilitada caso se possa contar
com o auxílio de todos os que estão diretamente ligados a
cada atividade.

28
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Basta solicitar que cada um descreva suas atividades
diárias ligadas ao trato com os recursos de processamento
da informação. É importante, também, pedir para
descreverem as atividades que porventura tenham fugido
da rotina, e aquelas as quais nunca ocorreram, mas que
acreditam que um dia poderá ser um fato, ainda que
uma única vez. Com esses dados em mãos, comece a
documentar as atividades, tendo em mente que a pessoa
que lerá esse documento, o fará pela primeira vez.
Comece com as atividades rotineiras e crie os
procedimentos detalhados de cada tarefa, já incorporando
na documentação alguma modificação ao modo como são
feitas, caso ache necessário. Em seguida trate as situações
menos óbvias.
O detalhamento de procedimentos de segurança de
operação pode ser visto no quadro:
6.2. Separação de Ambientes: Produção,
Desenvolvimento e Testes
Com o objetivo de reduzir os riscos de acessos ou
modificações não autorizadas aos sistemas operacionais, é
necessário separar os recursos de desenvolvimento, testes
e produção. Esses três ambientes deverão ter recursos de
hardware e software semelhantes.
Os dados reais, necessários para a
execução dos serviços da organização,
armazenados em arquivos e bancos de
dados, somente existirão no ambiente de produção,
enquanto dados fictícios existirão nos ambientes de
desenvolvimento e teste. Esta precaução evitará que
os dados reais sejam danificados ou apagados em
processos de desenvolvimento e teste.
29
Outro cuidado importante, é que o acesso a cada
ambiente seja feito apenas por pessoas destinadas a
trabalhar em cada área. Assim, o ambiente de produção
deverá ser acessado apenas por pessoal de produção,
enquanto os ambientes de desenvolvimento e teste só
poderão ser acessados por pessoal das áreas respectivas.
É importante que todas as pessoas envolvidas
respeitem as políticas de acesso à informação e aos dados
e observem as regras:
• Gestão de Release: Devem ser definidas e
documentadas regras claras para transferência de
softwares da situação de “desenvolvimento” para a de
“produção”. Essa transferência deve ser acompanhada
de processos de gestão de mudanças (notadamente as
práticas propostas pela ITIL – Information Technology
Infrastructure Library), onde são previstos processos de
recuperação em caso de falhas.
• Segregação de Ambientes: A separação de
ambientes deve ser feita através da utilização de um
ambiente de desenvolvimento independente do ambiente
de produção, porém, com a mesma configuração de
hardware e software. Assim, o software em desenvolvimento
terá uma simulação do ambiente de produção, ao mesmo
tempo em que protege os sistemas de produção contra
mau funcionamento de sistemas, inclusão de códigos
maliciosos, modificação de arquivos ou sistemas.
• Plano de Testes: Para garantir a separação dos
ambientes, é imprescindível que os usuários envolvidos
em desenvolvimento e testes, tenham perfis de acesso
diferentes para ambientes de teste e produção, e que
todas as ações sejam registradas.
• Controle de ferramentas de desenvolvimento:
As ferramentas de desenvolvimento, como compiladores e
editores, não devem ser acessíveis a partir do ambiente do
sistema operacional de produção.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• Controle dos ambientes: Os ambientes de teste
devem trabalhar com dados que não sejam sensíveis à
organização, a fim de garantir a confidencialidade destes.
As considerações acima devem ser acompanhadas
de rígido controle, com regras claras que podem ser
acompanhadas inclusive de punições em caso de violação.
6.3. Terceirização (outsourcing)
Terceirizar é um processo de gestão pelo qual se
repassam algumas atividades para terceiros, com os quais
se estabelece uma relação de parceria, ficando a empresa
concentrada apenas em tarefas essencialmente ligadas ao
negócio em que atua.
Esse conceito tem sido aplicado em diversas empresas
para redução dos custos de serviços diversos, inclusive
de tecnologia, como operação, desenvolvimento, suporte
a usuários, ou mesmo na própria área de segurança da
informação. Porém, questões de segurança envolvidas no
processo de contratação de serviços de terceiros, requerem
cuidados para não expor a organização, uma vez que suas
informações estarão acessíveis a uma parte externa.
Contratar um serviço de terceirização ou outsourcing,
requer uma avaliação profunda da empresa a ser
contratada, observando, por exemplo, seu histórico,
o tempo de atuação no mercado, referências de outros
clientes que a contrataram, a qualidade do serviço prestado
e a qualificação dos profissionais.
Além disso, mesmo com a terceirização, as organizações
continuam com uma gerência do processo.
As práticas de mercado tratam sobre o gerenciamento
de serviços terceirizados, com o objetivo de implementar
30
e manter o nível apropriado de segurança e de entrega de
serviços em consonância com os acordos de entrega de
serviços terceirizados.
É importante que os contratos tenham descrição clara
de cada serviço a ser entregue, seus objetivos e níveis de
qualidade de serviço, com critérios de precisão e prazos.
6.4. Cópias de Segurança (Backup)
Efetuar cópias de segurança (backup) é uma medida
que visa possibilitar a recuperação de informações em
caso de perda física dos dados originais devido a acidentes,
garantindo assim a disponibilidade dos dados.
A política de backup deve conter os procedimentos e
a infraestrutura necessários à proteção de todo o acervo
de dados da organização, possibilitando a continuidade de
suas atividades.
Devem ser definidos quais dados e sistemas devem
ser copiados, e com que frequência. Devem ser tomadas
várias medidas de como fazer cópias de segurança para
a eficiência do processo. Dentre elas podemos destacar:
• O acesso físico aos dados copiados deve ser protegido
contra destruição física e contra acessos não autorizados;
• Configurações de sistemas devem ser guardadas
separadamente;
• Execução de cópias de segurança deve ser periódica
e com agendamentos a serem seguidos rigorosamente;
• Todos os backups devem ser identificados quanto ao
seu conteúdo e data de atualização;
• Determinar quem tem os privilégios de execução de
backup e recuperação (restore) dos dados;
• Determinar quem pode enviar ou requisitar cópias de
segurança fora do local;
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• É extremamente recomendável que haja duas cópias
de segurança: uma no local próximo ao equipamento e
outra no local físico protegido e diferente do original. Essa
medida irá garantir que, caso haja uma catástrofe, ainda
será possível conseguir recuperar os dados;
• Deve-se testar periodicamente se as cópias de
segurança são utilizáveis, ou seja, se não se deterioraram;
• Criar procedimentos para recuperação de cópias de
segurança no menor tempo possível.
6.5. Segurança de Dados em Redes
Uma rede segura deve ser protegida contra códigos
maliciosos e ataques inadvertidos e deve, ao mesmo tempo,
estar em sintonia com os requerimentos do negócio. Cabe
aos gestores de segurança implementar os controles a fim
de garantir a segurança dos dados em rede, bem como a
proteção dos serviços disponibilizados contra acessos não
autorizados.
Para que uma rede possa ter um bom nível de
segurança da informação, bem como seus serviços serem
protegidos, é essencial a implementação de controles que
evitem acessos não autorizados. Várias medidas podem
ser tomadas para a efetivação desses controles. Devem
ser considerados os seguintes aspectos:
a) Para minimizar os riscos de uso acidental ou mau uso
deliberado dos sistemas, a responsabilidade operacional
pelas redes deve ser separada da operação dos recursos
computacionais.
b) Devem ser estabelecidas as responsabilidades e
procedimentos sobre o gerenciamento de equipamentos
remotos, incluindo equipamentos em áreas de usuários.
31
c) Devem ser implementados controles para proteção
da confidencialidade e integridade dos dados trafegando
sobre redes públicas e sem fio, bem como aos sistemas
e aplicações a elas conectadas. Esse quesito passa pela
implantação de medidas de segurança como criptografia e
VPNs – Virtual Private Networks ou Redes Virtuais Privadas.
d) Além de possuir meios para intimidar possíveis
ataques, é imprescindível que a rede também disponha de
meios para detectar os ataques. Portanto, mecanismos de
registro e monitoração devem ser aplicados para que haja
a gravação das ações relevantes de segurança.
e) Devem ser registrados todos os eventos possíveis,
permitindo analisar o que aconteceu e compreender o
que estava ocorrendo em um determinado momento. Mas
esses registros em si devem ser protegidos dos atacantes,
para evitar que sejam alterados e para evitar o acesso aos
próprios registros:
• os registros devem ser criptografados;
• os registros devem ser armazenados somente para
leitura;
• os registros devem ser armazenados em vários lugares.
f) Deve haver uma coordenação entre as atividades
de gerenciamento, a fim de otimizar os serviços e
assegurar que os controles estejam aplicados sobre toda a
infraestrutura de processamento da informação.
O controle de acesso aos dados e informações das
redes devem ser implementados. Várias técnicas podem
ser empregadas a fim de se obter segurança de acesso aos
serviços de redes, tais como:
• Autenticação de usuários: através de senhas
específicas os usuários autorizados ganham acesso à rede.
Porém, como hoje as redes estão interconectadas e um
usuário pode se logar remotamente à rede, sua senha
é utilizada diversas vezes. Os riscos inerentes à captura
dessa senha, que é enviada em forma de texto pleno,
através de varreduras de pacotes (packet snnifers), tornam
necessária a utilização de novos meios de autenticação,
como PGP ou dispositivos baseados em tokens, apenas
para citar alguns.
• Confidencialidade: para proteger a informação
contra leituras não autorizadas, é recomen-dável a
utilização de mecanismos como criptografia dos dados,
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
permitindo ao adminis-trador o controle de quem no
sistema poderá acessar e “ver” o conteúdo dos arquivos.
• Autorização: refere-se ao processo de garantir
privilégios para os processos e usuários. É diferente da
autenticação, pois esta identifica o usuário.
• Controle de mídias: Para garantir a continuidade
dos negócios sem interrupções, é imprescindível que os
dados estejam sempre disponíveis a despeito de qualquer
imprevisto. Para isso é necessário que as mídias sejam
controladas e protegidas fisicamente. Diversos mecanismos
e procedimentos podem ser implementados para que cópias
de mídias estejam disponíveis quando necessário. Também
deve haver cuidados quanto ao descarte de mídias, pois os
dados nela contidos poderão ser acessados se estiverem
em bom estado após se desfazer da mídia.
• Registros de auditoria: Os registros de auditoria
contêm as atividades dos usuários, exceções e outros
eventos de segurança de informação. É mais fácil
descobrir ataques e atacantes pela análise de registros do
que detectá-los no momento do ataque. Para se conseguir
uma boa amostragem de dados capaz de denunciar
um ataque, deve ser registrado qualquer evento que
identifique padrões comuns e não tão comuns de ataques.
Informações para registros incluem:
• Identificação de usuários;
• Datas e horários dos eventos;
• Identidade do terminal;
• Registros de tentativas de acesso aceitas e
rejeitadas;
• Alteração de configuração de sistema;
• Uso de privilégios;
• Uso de aplicações, utilitários e recursos;
• Arquivos acessados e tipo de acesso;
• Endereço e protocolos de rede;
• Alarmes disparados pelo sistema de controle de
acesso;
• Ativação e desativação dos sistemas de proteção
(antivírus e sistemas de detecção de intrusos).
32
• Monitoramento do uso do sistema: De posse
dos registros de auditoria, deve-se proceder à
análise dos mesmos. De nada adianta coletar dados
sem analisá-los e emitir conclusões. Um sistema de
monitoramento serve aos propósitos de detecção de
tentativas de ataques. Os registros mostrarão várias
dessas tentativas. O nível de monitoramento dos
recursos deve ser determinado através da analise/
avaliação dos riscos. Para a análise dos registros,
consiste na procura por padrões nos registros. Logo
se chegará à conclusão que o sistema de registros
oferece uma compreensão sobre a rede.
Exercícios do Capítulo 6
1) Cite pelo menos três procedimentos do
processo de Segurança Operacional deve executar.
2) Porque devemos ter os ambientes de Produção,
Teste e Desenvolvimento segregados do ponto de
vista lógico e físico?
3) Temos vários procedimentos e técnicas que
podemos utilizar para garantir um nível de segurança
adequado para segurança de acesso aos serviços de
redes. Cite pelo menos três técnicas para segurança
de serviços de rede.
Capítulo 7 - Controle de Acessos
Os controles de acesso têm o objetivo de
proteger equipamentos, aplicações, arquivos e
dados contra perda, modificação ou divulgação
não autorizada. Diferente, porém, de outros tipos
de recursos, os sistemas computacionais não
podem ser facilmente controlados por dispositivos
físicos (alarmes, cadeados, etc...). Neste capítulo
falaremos sobre os modos de controle de acesso,
definição de privilégios de acesso, tecnologias
associadas e seu gerenciamento.
7.1. Controle de acesso
Os controles de acesso são um conjunto de
procedimentos e medidas com o objetivo de proteger
dados, programas e sistemas contra tentativas de acesso
não autorizadas feitas por pessoas ou outros programas.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Também é importante que o responsável pela política

de controle de acesso, realize periodicamente uma análise
O controle de acesso pode ser escolhido a partir do
crítica dos direitos e privilégios dos usuários.
recurso computacional que se quer proteger e a partir do
usuário a quem serão concedidos privilégios e acessos aos
recursos. 7.2. Gerenciamento de acesso do
O controle de acesso aos recursos de informação é usuário
uma das principais tarefas do administrador de uma rede.
O gerenciamento de acesso do usuário visa garantir
Através deste controle é possível determinar quais recursos
o acesso dos usuários onde os gestores da informação
podem ser acessados por determinados usuários e que
definiram, ao mesmo tempo em que se previne o acesso não-
tipo de acesso pode ser realizado. Através de auditoria,
autorizado a recursos onde o usuário não possui privilégios.
também é possível determinar que tipo de acesso foi
realizado a um recurso, por quem e quando. Procedimentos devem ser criados para o controle da
distribuição de direitos de acesso a sistemas de informação,
Para executar essa função com critério, regras de
bem como a acessos de usuários. Estes procedimentos
controle de acesso devem ser criadas baseadas nas
deverão abordar desde a concessão inicial de acesso a um
políticas de autorização e divulgação da informação.
novo usuário, passando por análises periódicas ao longo
A restrição do acesso às informações deve estar em do tempo de permanência do usuário na organização, até
consonância com os requisitos de negócio. Isso requer fechar com o desligamento do usuário, quando todos os
que uma política de controle de acesso seja formalizada, direitos de acesso e privilégios deverão ser revogados.
levando-se em conta:
A identificação e autenticação de um usuário (confirmação
• Os requisitos de segurança das aplicações do negócio; de que o usuário é quem diz ser) são feitas normalmente
• A identificação de todas as informações referentes às através de um identificador de usuário (ID ou login name) e
aplicações; uma senha durante o processo de logon no sistema.
• A consistência entre controle de acesso e políticas de
classificação da informação;
• A legislação aplicável e obrigações contratuais;
• A administração de direitos de acesso e remoção dos
mesmos.
Para a implantação de controles de acesso, devem ser
criadas regras que sejam compatíveis com as políticas de
autorização, lembrando da premissa de que tudo deve ser
proibido a menos que seja expressamente permitido.

33
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Com os avanços
tecnológicos temos cada
vez mais a presença
de um segundo fator
de autenticação neste
processo, este fator pode
ser algo que o usuário
possui (token, smart
card,etc) ou algo que ele é
(impressão digital, íris, voz, etc.).
A fim de padronizar e facilitar o gerenciamento de acesso
do usuário deve ser criado um procedimento formal de registro
e cancelamento de um usuário (registro e cancelamento de
seu ID e senha) para garantir e revogar acessos a que ele
tem direito em todos os sistemas e serviços.
Os procedimentos de controle devem incluir:
• A verificação da autorização do proprietário do
sistema para o uso do sistema de informação ou serviço;
• Confirmação através de documento escrito de que o
usuário está ciente das condições de acesso;
• Remoção ou modificação dos direitos de acesso a
usuários que mudaram de funções ou se desligaram da
organização;
• Cuidados para que não haja IDs redundantes.
O fato de o usuário ter sido identificado e autenticado
significa apenas que ele é reconhecido pelo sistema como
um usuário previamente cadastrado, isso não significa que
ele poderá ter acesso a qualquer informação ou recurso
sem restrições.
Deve ser implementado controle específico através de
concessão de privilégios que limitem o acesso do usuário,
apenas ao que realmente lhe é necessário para a condução
de seu trabalho, a fim de que possa desempenhar suas
funções.
A concessão de privilégios de acesso pode ser feita com
foco no usuário ou no recurso, dependendo da forma de
funcionamento do sistema.
Os privilégios de usuário são atributos associados a um
usuário, que definem quais recursos ele poderá acessar
e o que ele pode ou não fazer com esses recursos (ler,
alterar, etc.).
34
Os privilégios, ou direitos de acesso a um recurso, são
armazenados com o próprio recurso formando uma lista
de controle de acesso. Neste método, o recurso guarda o
ID do usuário que pode acessá-lo e também a informação
sobre quais tipos de acesso este usuário pode realizar.
A concessão de privilégios é prerrogativa do responsável
pela rede e do responsável pela segurança da informação
na organização. Ao conceder privilégios é recomendável
que se utilize um processo formal de autorização, em que
deve ser levado em conta que:
• Os privilégios devem ser concedidos apenas se
houver necessidade, e desde que não estejam ferindo a
política de segurança;
• As listas de controles de acesso devem ser feitas pelo
proprietário (gestor) do recurso, o qual determinará o tipo
de proteção adequada a cada recurso e quem terá acesso
a eles;
• Deve ser criado um processo de autorização e um
registro de todos os privilégios concedidos.
Após a identificação do usuário
através de seu ID, o mesmo deve
ser autenticado a fim de que
o sistema possa conferir se o
usuário é quem realmente diz ser.
Conforme dito anteriormente,
isso é feito através de algo que
só ele saiba, seja ou possua. A
solicitação de uma senha é o
meio mais comum de autenticação de um usuário, porém
existem outros métodos baseados nas características
biométricas da pessoa (íris, retina, reconhecimento de
voz, de face ou impressão digital) ou em algo que este
possua (cartões, crachás e tokens).
Qualquer que seja o método empregado, esse requer
um gerenciamento formal que controle a concessão das
IDs, considerando os seguintes requisitos:
• Assinatura do usuário em um documento
comprometendo-se a manter confidencialidade de sua
senha;
• Fornecer IDs temporários e únicos que obriguem o
usuário a alterá-las quando do primeiro acesso;
• Utilizar meios seguros para informar a senha ao
usuário;
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• Prover uma forma segura de armazenar senhas no
computador;
• Alterar senhas padrões de instalação de sistemas ou
softwares.
A análise dos direitos de acesso deve ser executada
periodicamente a fim de se determinar se os direitos
concedidos ainda são válidos para aquele usuário. Esse
cuidado visa garantir o controle efetivo dos acessos às
informações e recursos.
Recomenda-se que a periodicidade varie entre três
e seis meses para todas as contas de usuário, devendo
também ser executada para um usuário específico sempre
que houver mudança de função ou cargo deste, ou o
mesmo se desligar da organização.
O uso de senhas requer certos cuidados que dependem
do usuário e, portanto, a segurança depende do
conhecimento deste no uso correto de senhas. Os usuários
devem ter pleno conhecimento das políticas de senha e
devem segui-las à risca.
Algumas diretrizes devem ser seguidas pelo usuário
para manter esse nível de segurança, tais como:
• Evitar escrever a senha em papel ou armazená-la em
arquivos ou memória de dispositivos móveis, como em
agenda de celulares.
• Procurar memorizar a senha e apagá-la da fonte de
onde a recebeu (papel, e-mail, arquivo, etc).
• Não compartilhar senhas.
• Manter a confidencialidade da senha.
• Ao menor indício de comprometimento de uma
senha, alterá-la imediatamente.
35
Ao escolher uma senha, o usuário deverá lembrar-se de:
• Evitar senhas muito curtas ou muito longas (oito
dígitos no mínimo é o recomendável).
• Evitar senhas óbvias, como sobrenome, datas de
aniversário, nome da namorada, número de telefone,
placa de carro, etc.
• Criar senhas com caracteres e números a fim de
evitar ataques de dicionário;
• Não repetir caracteres e não usar caracteres seguidos
do teclado (QWERT, LKJHGF, QAZWSX).
• Criar senhas distintas para sistemas distintos.
• Alterar a senha a intervalos regulares e não repetir
senhas antigas.
Exercícios do Capítulo 7
1) Como deve ser feita a concessão de privilégios
de acesso?
2) O que deve ser levado em conta na criação da
política de acesso?
3) O que devemos incluir em um procedimento
de concessão de acesso para um sistema ou em uma
área da rede?
Capítulo 8 - Conformidade
Nos dias atuais, pode-se afirmar que o que
há de mais importante no mundo corporativo
é a informação. Os detentores da informação
obtêm larga vantagem na disputa pelo
exigente mercado, porém só isso não basta, é
imprescindível ainda garantir a disponibilidade e
o acesso à mesma. Para isso devem ser definidos
processos de conformidade e adequação às
regras de acesso e uso da informação, tema que
será objeto deste capítulo.
8.1 Processos de Conformidade
Os meios eletrônicos por onde trafegam a informação
são expostos constantemente a todo tipo de ameaça,
tais como: espionagem, concorrência desleal, fraudes

eletrônicas, sabotagem e até mesmo sequestro de
informações essenciais para a organização.
Desse modo, as questões relacionadas à Segurança
da Informação conquistaram lugar de destaque nas
estratégias corporativas em âmbito mundial. Proteger a
informação das inúmeras ameaças tornou-se essencial
para garantir a continuidade do negócio, minimizando
riscos e maximizando o retorno sobre os investimentos.
No entanto, não podemos esquecer que o universo
corporativo está alocado em um Estado de Direito, onde
o exercício aos direitos sociais e individuais é assegurado,
como valores supremos da sociedade, através de vasta
legislação.
Mas em que ponto a Segurança da Informação e o
Estado de Direito convergem?
A adoção e a implementação do
código de práticas para a gestão da
segurança da informação devem estar
obrigatoriamente alinhadas às leis,
estatutos, regulamentações ou obrigações contratuais
inerentes, sob pena de sofrer sanções legalmente
previstas. As práticas, ainda que restritas ao universo
corporativo, em hipótese alguma devem deixar de
considerar os aspectos legais envolvidos.
Aqui, caro aluno, estudaremos uma das seções de
maior relevância dessa disciplina, cujo teor essencialmente
trata das questões legais e jurídicas inerentes à gestão da
Segurança da Informação.
Como é notório, as questões jurídicas são consideradas
de difícil compreensão para os profissionais
especializados na área. Também é difícil para as empresas
seguirem de forma estruturada e clara as regulamentações
pertinentes, ainda mais que correm o risco de serem
punidas se não cumprirem as leis e regulamentações dos
seus setores.
Cada empresa é regulada por um ou mais órgãos que
aplicam Normas, Leis, Estatutos, Regulamentações, etc,
com o objetivo de regular um setor do mercado. Como
exemplos podemos citar empresas como:
Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
• TAM e Gol que são reguladas pela ANAC
• Unilever e Nestle pelo Ministério da Saúde
• Telefonica, TIM, VIVO e Claro pela ANATEL
• Vale do Rio Doce pelo Ministério das Minas e Energia
Acima desses órgãos, todos somos regulados pela
Receita Federal, do Ministério da Fazenda.
Isso obriga todas as empresas a terem um processo
de controle das informações mais estruturado, visando
garantir que estejam em conformidade com essas
entidades.
Nesse sentido, torna-se válido relacionar algumas
definições conceituais jurídicas, que certamente ajudarão
você a entender melhor o tema. Vejamos:
• Legislação: conjunto de leis decretadas ou
promulgadas em um país, disciplinando matéria em caráter
geral ou específico. Exemplos: Constituição Federal, Código
Civil, Código Penal, Consolidação das Leis do Trabalho, Lei
do Software, Lei da Propriedade Industrial.
• Estatutos: complexo de regras estabelecidas e
observadas por uma instituição jurídica a serem adotadas
como lei orgânica, que fixam os princípios institucionais de
uma corporação pública ou privada. Exemplos: Estatuto
Social, Estatuto dos Funcionários Públicos.
• Regulamentos: conjunto de normas ou regras, em
que se fixam o modo de direção ou condução de uma
instituição ou associação. Exemplo: Regulamento de
não
Segurança da Informação.
• Obrigações Contratuais: obrigações oriundas de
acordo de duas ou mais pessoas físicas ou jurídicas para
entre si, para constituir, regular ou extinguir uma relação
jurídica. Exemplos: Contrato de Compra e Venda, Contrato
de Trabalho, Contrato com Empresas Terceirizadas.
Após as definições acima, resta sabermos quais são
os instrumentos jurídicos que devem ser observados para
a implementação da gestão de segurança da informação
36
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
respeitando as leis e regulamentações locais de cada país,
a fim de evitar a violação dos mesmos.
8.2 Penalidades – Código Civil
Brasileiro
É importante salientar que em nosso ordenamento
jurídico ninguém pode alegar desconhecimento da lei para
se eximir de seus efeitos. Esses efeitos podem variar de
país para país, fato que torna a análise jurídica complexa
nesse sentido, evitando demandas judiciais em face das
corporações.
Tal procedimento resguarda não só a organização,
como também os administradores, os empregados e
terceiros envolvidos em todas as esferas do Direito.
O Código Civil Brasileiro, em seu artigo 186, prevê a
responsabilidade civil para “aquele que viola direito ou
causa dano a outrem, ainda que exclusivamente moral, por
ação ou omissão voluntária, negligência ou imprudência,
configurando-se ato ilícito, ficando obrigado a repará-lo”.
“Independentemente de culpa, quando a atividade
normalmente desenvolvida pelo autor do dano implicar por
natureza em risco para outrem” (artigo 927,Código Civil ).
Ainda na mesma trilha de entendimento, o Código Civil
preconiza, através do artigo 1016, a “responsabilidade
solidária dos administradores perante a sociedade e
terceiros prejudicados no desempenho de suas funções”.
Temos como controle a atribuição de responsabilidade
aos gestores, que devem verificar se todos os procedimentos
de segurança dentro da sua área estão sendo executados
adequadamente nos moldes previstos no regulamento de
segurança da informação adotada pela corporação.
Análises críticas a intervalos regulares da conformidade
do processamento da informação com a política de
37
segurança devem ser realizadas pelos gestores, e caso
alguma não-conformidade seja detectada, o gestor deve
adotar o seguinte procedimento:
1) Determinar a causa da não conformidade; avaliar
a real necessidade de ação para que a não conformidade
não se repita novamente;
2) Aplicar ação corretiva, e, por fim, registrar e manter
todo o ocorrido, relatando os resultados para as pessoas
competentes, o que vem a ser medida de cautela que
resguarda os direitos do gestor, haja vista a grande
responsabilidade atribuída ao mesmo.
Finalizando tal categoria, a gestão de segurança deve
garantir um processo de verificação da conformidade
técnica, que sugere como controle a verificação periódica
dos sistemas de informação em conformidade com as
normas de segurança implementadas na organização. Esta
verificação técnica deve ser realizada manualmente por
engenheiro de sistemas, gerando relatório técnico para
interpretação por um técnico especialista.
8.3 Auditoria de Sistemas
Como prática de mercado, para que um processo de
controle seja efetivo, deve haver um processo estruturado
de auditoria de sistemas de informação, aconselhando
que a auditoria e suas atividades inerentes, quando
envolvida na verificação dos sistemas operacionais, sejam
minuciosamente planejadas e acordadas internamente
a fim de evitar quaisquer riscos de interrupção nos
procedimentos e processos do negócio.
A prática de mercado indica a auditoria como parte
estrutural do processo de controle corporativo.
Os acordos relativos aos requisitos de auditoria devem
ser acordados com o nível apropriado de administração
(observância de hierarquia). O objetivo da verificação da
auditoria deve ser acordado e controlado, limitando-se a
verificação apenas ao acesso para leitura de software e dados.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Caso haja necessidade de acessos que ultrapassem
os limites da leitura, devem ser permitidos apenas e
tão somente através de cópias dos arquivos do sistema,
apagando-se os mesmos ao final da auditoria.
Eventualmente, caso exista a necessidade de se
guardar arquivos como documentos de auditoria, que seja
realizado com a proteção apropriada, havendo monitoração
de todo acesso, documentação de todo o procedimento,
bem como que os auditores não tenham nenhum vínculo
com as áreas auditadas.
Tais diretrizes certamente têm por finalidade a
preservação da idoneidade do procedimento de auditoria,
gerando confiabilidade inequívoca nas conclusões
apresentadas.
Exercícios do Capítulo 8
1) As políticas de segurança devem esta
alinhadas aos processos de proteção da informação
e principalmente às leis e regulamentações de
mercado que envolve cada empresa. Qual o papel da
Segurança da Informação para o tema conformidade?
2) Considere uma empresa que não possui um
processo estruturado de gestão de segurança das
suas informações e com isso se mantém em não
conformidade com as leis e regulamentações que
estão vigentes para seu setor de atuação. Que tipo
de penalidade essas empresas podem sofrer?
Capítulo 9 – ITIL e Segurança da
Informação
O aumento da complexidade da gestão de
organizações, levou a que muitas se apoiassem
nas novas tecnologias para melhor controlar os
processos e os fatores adjacentes aos mesmos.
A ITIL – Information Technology Infrastructure
Library reúne boas práticas que incluem
processos que podem ajudar a implementação
de políticas de Segurança de Informação. Neste
capítulo vamos abordar como o ITIL pode ajudar
à gestão da segurança da informação.
38
9.1. Segurança da Informação de acordo
com a ITIL
A ITIL- Information Technology Infrastructure Library,
ao definir todos os fluxos e processos de serviços de
TI da organização, também facilita a implementação
da segurança, que é parte integrante do processo de
implementação da própria ITIL. A Segurança da Informação
encontra-se na segunda fase de implementação da ITIL,
a fase de Desenho dos Serviços (Service Design). Nesta
fase deve existir foco na confidencialidade, integridade e
disponibilidade da informação no contexto dos negócios e
processos de negócio.
A OCG – Office of Government Commerce define, nos
próprios livros de implementação da ITIL, que o principal
guia para definir o que deve ser protegido e o nível de
proteção tem que estar no próprio negócio. Além disso,
para ser eficaz, a segurança deve abordar processos de
todo o negócio e cobrir tanto o aspecto físico como o aspecto
técnico. Somente dentro do contexto de necessidades de
negócio e gestão de riscos podem-se definir os critérios
de segurança. A ITIL define, ainda, que um guia de
segurança básica deve conter: política de segurança de
informação, ISMS – Information Security Management
System (Sistema de Gerenciamento da Segurança da
Informação), estratégia de segurança orientada para
os objetivos da organização, estrutura de segurança e
controles, gestão de riscos, monitoramento de processos,
estratégias de comunicação e consciencialização da
importância da segurança. [PAULINO, 2010]
9.2. Processo SI do Desenho de Serviços
da ITIL: Gestão de Segurança da
Informação
De acordo com a abordagem realizada na disciplina
“Gestão de Soluções de Sistemas de Aplicação através
da ITIL” de nosso curso, o objetivo deste processo que
pertence ao Desenho de Serviços da ITIL, é alinhar a
segurança de TI à do negócio e garantir que a segurança
da infraestrutura seja gerenciada eficazmente em todos os
serviços e atividades.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

Este processo trata da segurança alinhada à governan
ça corporativa, além de garantir o CID (Confidencialidade,
Integridade e Disponibilidade). Este processo de
Gerenciamento de SI é baseado na norma ISO/IEC 27001,
que aponta um ciclo para a gestão de segurança da
informação. Na verdade, o ciclo descrito na ITIL usa a
terminologia CPIAM .
• Controlar – é a primeira atividade do gerenciamento
de segurança e trata da organização e do gerenciamento
do processo.
• Planejar – inclui definir os aspectos de segurança
do ANS - Acordo de Nível de Serviço em conjunto com
o Gerenciamento de Nível de Serviço, detalhando no
ANO- Acordo de Nível Operacional posteriormente.
Também define as atividades em contratos com terceiros
relacionadas à segurança. Importante lembrar que os
ANOs são planejamentos para uma unidade do provedor
de serviço, como por exemplo para cada plataforma de TI,
aplicação e rede.
• Implantar: implanta todas as medidas especificadas
nos planejamentos. Classifica e gerencia os recursos de
TI, trata da Segurança de Pessoal e gerencia a segurança
como um todo (implantação de responsabilidades e
tarefas, desenvolve regulamentos e instruções, cobre todo
o ciclo de vida, tratamento de ambientes, mídias, proteção
contra vírus e ameaças).
• Avaliar: avalia o desempenho das medidas
planejadas e atende aos requisitos de clientes e terceiros.
Os resultados podem ser usados para atualizar medidas
acordadas em consultas com os clientes e para sugerir
mudanças. Pode ser feita de três formas: auto-avaliação,
auditorias internas e auditorias externas.
• Manutenção: mantém a parte do ANS que trata de
segurança e mantém os planos detalhados de segurança.
É feita baseada nos resultados da avaliação e na análise de
mudanças nos riscos.

A função e os produtos associados ao processo SI são:

Gerente de Fornecedor

Responsável por atender aos objetivos deste processo, cuidar da política de Segurança da Informação como um todo e
garantir que a mesma seja adequada e seguida por todos.

Produtos

Sistema de Gerenciamento da Segurança da Informação e Política do Sistema de Informação.

39
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

deve ser contemplado desde o início até o fim da prestação

9.3. Práticas de Segurança da Informação
do serviço.
de acordo com a ITIL
O SLA deve incluir, no que diz respeito à segurança de
O framework de segurança da ITIL, denominado ISMS informação, os seguintes pontos:
- Information Security Management System (Sistema de
Gerenciamento de Segurança da Informação) contempla • Métodos de acesso à informação
• Métricas de avaliação da segurança
cinco fases:
• Formação necessária no âmbito da segurança do
• Planejamento serviço
• Implementação • Procedimentos relativos aos acessos à informação
• Avaliação • Procedimentos de incidentes de segurança
• Manutenção • Detalhes do planejamento das auditorias.
• Controle

Estas informações são de extrema importância, visto

A segurança deverá ser coberta por uma política geral, que só pode ser controlado o que foi definido. Todos os
na qual deverão ser definidos os objetivos e o âmbito da documentos de SLA e OLA devem ser apoiados nas políticas
aplicação de segurança de informação, metas e princípios gerais de segurança de informação da organização, nos
de como a gestão deve ser feita e a definição das funções planos de segurança de informação dessas mesmas
e responsabilidades de cada colaborador. Além disto, políticas e nos manuais de apoio operacional de segurança
deverão existir diversas políticas específicas, orientadas de informação.
aos serviços. Assim deverão ser implementadas as
seguintes políticas: Normalmente a principal dificuldade é saber quais os
riscos que a organização enfrenta, mas a implementação
• Política geral de Segurança da Informação
conjunta com a ITIL pode ajudar muito a vencer este
• Política de uso e mal uso dos ativos
empecilho, já que existe uma análise de riscos inicial que
• Política de controle de acesso
pode gerar uma especificação de ameaças à segurança
• Política de e-mail
da informação na organização. São esses requisitos que
• Política de internet
• Política de anti-vírus vão ser contemplados nos acordos com os clientes e
• Política de classificação de informações fornecedores, e até mesmo internamente nos OLAs.
• Política de classificação de documentos
A escolha de como controlar os ativos de informação
• Política de acesso remoto
deve também ser feita com apoio na norma 27002:2005
• Política de alienação de bens
que permite definir uma política e controles para sistemas
de gestão de segurança de informação. Toda esta tarefa
É perante estas políticas que na ITIL os SLAs - Service é facilitada pela simplificação da estrutura da organização
Level Agreements (ou ANS – Acordo de Nível de Serviço) que a ITIL oferece. Existe uma clara definição de papéis e
e os OLAs- Operational Level Agreements (ANO – Acordo privilégios o que permite uma implementação correta de
de Nível Operacional) assumem grande importância. uma política de segurança.

Como já vimos, o SLA é um acordo formal de níveis de
serviço no qual são definidos todos os fatores inerentes
a um serviço contratado/prestado pelas duas partes, por
exemplo, o nível de disponibilidade do serviço, as políticas
de segurança existentes que tanto o cliente como o
fornecedor se comprometem a cumprir e as próprias regras
do serviço. Por outro lado, os OLAs definem os mesmos
aspectos que os SLAs mas no nível interno, ou seja, o que
Medidas de segurança devem ser criadas em cinco
níveis, como vem descrito no guia de implementação ITIL
da OCG, e esses níveis são:
1. Prevenção: medidas para impedir que um
problema de segurança ocorra. O melhor exemplo de
medidas preventivas é a atribuição de direitos de acesso
a um grupo limitado de pessoas. Os outros requisitos
associados a esta medida incluem o controle de direitos de
acesso (concessão, manutenção e retirada de direitos) e a

40
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
autorização (identificação de quem tem direito ao acesso
às informações e utilização dos sistemas).
2. Redução: medidas que são tomadas com
antecedência para minimizar os possíveis danos que
possam ocorrer no futuro. Por exemplo, cópias de segurança
periódicas e desenvolvimento, teste e manutenção de
planos de contingência.
3. Detecção: medidas para detectar problemas
de segurança. Se existe um problema é bom que seja
identificado rapidamente. Um exemplo claro é o uso
de anti-vírus que detecta uma ameaça e nos avisa da
vulnerabilidade.
4. Repressão: medidas que são utilizadas para
neutralizar qualquer continuação ou repetição do incidente
de segurança. Por exemplo, uma conta temporariamente
bloqueada após várias tentativas fracassadas de logon.
5. Correção: medidas de reparação de dano. Por
exemplo, restauração da cópia de segurança, ou retorno a
uma situação estável anterior (roll-back, back-out).
Podemos concluir, caro aluno, que a aplicação de boas
práticas em uma organização traz vantagens na definição
e aplicação de uma política de segurança de informação. A
ITIL vem melhorar e contribuir para este processo, porque
contempla a gestão da segurança de informação nos
serviços. Os benefícios que as organizações podem obter
com a adoção das boas práticas da ITIL são grandes, e
entre eles destacamos:
41
• A segurança da informação fica alinhada com os
processos do negócio, devido à integração que a ITIL permite.
• A segurança fica muito bem definida e estruturada,
possibilitada pela definição de papéis e responsabilidades
que a ITIL preconiza, o que permite a eficiência dos controles
escolhidos.
• Nada é mais importante na segurança que a contínua
auditoria e controle, e a ITIL viabiliza isso devido à otimização
contínua de todos os serviços.
• A integração da segurança nas operações, visto que nos
manuais de processos já podem ser incluídas as regras de
segurança.
• A documentação periódica que a ITIL sugere é uma
ótima prática para o controle e alteração das políticas de
segurança.
Para finalizarmos, é importante reforçarmos que
aplicar uma política de Segurança de Informação não é
tarefa fácil mesmo utilizando as práticas da ITIL. Como
já dissemos, é necessário todo o apoio da alta direção
e a sensibilização de todos para a importância interna e
externa dessa segurança.
Fazendo a ligação desta disciplina com as anteriores
que falaram com detalhes da ITIL, definimos aqui uma
abordagem importante na governança corporativa, que
é a definição de um processo, apoiado pela execução e
responsabilidades das pessoas com o uso estruturado
da tecnologia, o que traz um nível maior de controles e
maturidade nos processos de TI.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I
Considerações Finais
Caro aluno, esperamos que você tenha atingido nossos
objetivos com os temas discutidos nessa disciplina.
Nosso objetivo foi trazer para você uma abordagem
tática e estratégica desse tema que vem a cada dia sendo
cobrado de forma mais enfática nos perfis profissionais
que as empresas buscam: a segurança da informação.
Levamos as discussões em um nível de profundidade
que, acreditamos, capacita você desde já a implementar
um plano de gestão de segurança da informação com
fundamentos claros de controle da informação e das
políticas. Você está capacitado a analisar uma empresa
pelo seus processos e relacionar as políticas de segurança
que elas necessitam.
Como você aprendeu, a implantação de controles
mais eficientes e dentro de um ciclo de melhoria
contínua, apoiados pelas melhores práticas da ITIL, trará
maturidade à gestão de segurança e, consequentemente,
um maior nível de maturidade na gestão de riscos para as
organizações.
Com base nessa nova visão relativa ao valor das
informações, concluímos que implementar um processo
gestão de segurança da informação para as organizações,
estruturada dentro de políticas bem definidas, alinhadas
com as diretrizes executivas e com o negócio, é fator crítico
de sucesso para as organizações e, acima de tudo, para
a sua sobrevivência no mercado. Adicionalmente, devem
ser respeitadas as leis e regulamentações, os interesses
dos acionistas e do ecossistema que estão ligados à
responsabilidade da empresa com o meio ambiente, a
sociedade, o governo, etc.
Parabéns por ter concluído esta disciplina e esperamos
que o conhecimento aqui adquirido contribua de forma
significativa para a sua melhor atuação profissional!
Prof. Renato Lima e Profa. Elisamara
42
Bibliografia
ALBERTIN, Rosa; ALBERTIN, Albert. Estratégias de
Governança de Tecnologia da Informação. Rio de
janeiro: Campus, 2009.
ALEXANDER, Philip. Information security: a
Manager’s Guide to Thwarting Data Thieves
and Hackers. Connecticut–London: Praeger Security
International Business Security, 2008.
ANDRADE, Adriana; ROSSETTI, José P. Governança
Corporativa. São Paulo: Atlas, 2007.
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS.
NBR ISO/IEC 27002: Tecnologia da informação –
Técnicas de segurança – Código de prática para a
gestão de segurança da informação. Rio de Janeiro:
2005.
BO2K. BO2K - Opensource Remote Administration
Tool. Cult of the Dead Cow, 2011. Disponível em http://
www.bo2k.com/. Acesso em: 11 de dezembro de 2011
CENTRO DE ESTUDOS, RESPOSTA E TRATAMENTO
DE INCIDENTES DE SEGURANÇA NO BRASIL – CERT.Br.
Cartilha de Segurança para Internet. Disponível em:
http://cartilha.cert.br/conceitos/sec4.html. Acesso em: 25
de novembro de 2011.
COMPUTER EMERGENCY RESPONSE TEAM. CERT
Advisory CA-2002-30 Trojan Horse tcpdump and
libpcap Distributions. CERT Coordination Center (CERT/
CC), 2002. Disponível em http://www.cert.org/advisories/
CA-2002-30.html. Acesso em: 15 de março de 2011
DIAS, Cláudia. Segurança e Auditoria da Tecnologia
da Informação. Rio de Janeiro: Axcel Books do Brasil
Editora, 2000.
FORD, Jeffrey Lee. Manual completo de firewalls
pessoais: tudo o que você precisa saber para
proteger o computador. São Paulo: Pearson, 2002.
FOROUZAN, Behrouz A. Comunicação de Dados
e Redes de Computadores. São Paulo: McGraw Hill
Brasil, 2008.
 Gestão da infra-estrutura através do ITIL e Gestão de Segurança para T.I

FRANCO, D.H. Tecnologias e ferramentas de SAINT. Vulnerability, Management, Assessment,

gestão. Campinas: Alinea, 2009.
GREGORY, Peter. Enterprise Information Security:
Information security for non-technical decision
makers. Financial Times/ Prentice Hall, 2003.
HARRIS, Shon. CISSP All-in-One Exam Guide. Nova
Iorque: McGraw-Hill Osborne Media, 2010.
HOGUND, Greg; MACGRAW, Gary. Como quebrar
códigos: a arte de explorar (e proteger) softwares.
São Paulo: Pearson, 2006.
Penetration Test | SAINT. Disponível em http://www.
saintcorporation.com/. Acesso em: 11 de dezembro de
2011.
SHUKLA, Sudhindra; NAH, Fiona. Web browsing and
spyware intrusion. P. 85-90. Commun. ACM, 2005.
SKOUDIS, E.; ZELTSER, L. Malware: Fighting
Malicious Code. Prentice Hall, 2003.
SOLOVE, D. J.; ROTENBERG, M. Information Privacy
Law. Nova Iorque: Aspen Publishers, 2003.

ISO/IEC 13335-1. Information technology – SOUZA NETO, Manoel Veras; RAMOS, Anatália S. M.
Security techniques – Management of information Gestão da Tecnologia da Informação. Natal: Editora
and communications technology security – Part UFRN, 2010.
1: Concepts and models for information and
STAMP, Mark. Information security: principles and
communications technology security management.
practices. Massachussetts: San Jose State University,
Genebra: 2004.
2005.
LYRA, Maurício Rocha. Segurança e Auditoria em
STEWART, James Michael; TITTEL, Ed; CHAPPLE, Mike.
Sistemas de Informação. Rio de Janeiro: Editora
CISSP: Certified Information Systems Security
Ciência Moderna, 2008.
Professional – Study Guide. Indianapolis: Wiley
NORTHCUTT, Stephen; NOVAK, Judy. Network Publishing, 2008.
Intrusion Detection. Avenel, New Jersey: Sams
TANENBAUM, Andrew S. Redes de Computadores.
Publishing, 2002.
Rio de Janeiro: Campus, 2003.
O´BRIEN, James A. Sistemas de Informação e as
TENABLE. Tenable Nessus. Disponível em http://
decisões gerenciais na era da Internet. 3.ed. São
tenable.com/products/nessus. Acesso em 30 de novembro
Paulo: Saraiva, 2010.
de 2011.
OLIVEIRA, D. P. R. Sistemas de informações
TURBAN, Efraim; KING, David; ARONSON; Jay E.
gerenciais: estratégias, táticas, operacionais. 12.ed.
Business Intelligence. Porto Alegre: Bookman, 2009.
São Paulo: Atlas, 2008.
WEISS, Aaron. Spyware be gone! Revista networker:
PAULINO, Sergio F. C. ITIL e a Segurança de
Agents of destruction: fending off spyware. Ano 1, Vol. 9.
Informação. 2010. Disponível em: http://sergiopaulino.
P. 18-25. Nova York, ACM Press, 2005.
net84.net/articles/sdi-capsi.pdf. Acesso em 19 dez. 2011.
Indicações na web:
PAYTON, Anne M. A review of spyware campaigns
and strategies to combat them. Anais da Terceira Palestras: Web Security Forum - Décima Oitava Palestra
Conferência Anual em Segurança da Informação - Jefferson D’Addario
(InfoSecCD ’06). P. 136–141, Nova Iorque. ACM Press,
Foco em gestão de segurança da Informação com visão
2006.
geral do tema
RAPPAPORT, Theodore S. Comunicações sem fio:
http://www.youtube.com/watch?v=x3f4MbT5D9c
princípios e prática. São Paulo: Pearson, 2009.

43