Gesto de Segurana da Informao - 1

Lucas C. Ferreira
www.sapao.net

A disciplina

A Disciplina
Baseado no CBK
Common Body of Knowledge
Base de conhecimento da certificao CISSP

Domnio Security Management Practices Objetivo Geral:

Apresentar os principais conceitos relativos gesto de segurana de informaes.

Objetivos especficos
Apresentar os conceitos bsicos de gerncia de segurana de informaes Introduzir os conceitos de disponibilidade, confidencialidade e disponibilidade Apresentar as principais tcnicas de anlise de risco Definir a estrutura de polticas de segurana e sua partio em polticas, procedimentos e diretrizes.

Objetivos especficos
Definir e apresentar metodologias de classificao de informaes. Apresentar a melhores prticas de segurana em pessoas e de conscientizao de segurana

Bibliografia Bsica
HARRIS, Shon. All-in-one CISSP Certification Exam Guide. McGraw Hill/Osborne. USA. 2003.

Bibliografia Complementar
ABNT. Norma NBR ISO/IEC 177992005. BSI. British Standard 7799 part 3. PELTIER, Thomas R. Information Security Risk Analysis, 1a edio. Auerbach, 2001.

Introduo

O que segurana?
A qualidade ou estado de estar seguro estar livre de perigo.

Segurana somente possvel atravs do uso vrias estratgias e tcnicas simultaneamente.

Componentes da segurana de informaes

As propriedades CIA
As propriedades CIA so:
Confidencialidade (Confidentiality) Integridade (Integrity) Disponibilidade (Availability)

Com o tempo, esta lista de propriedades foi expandida, mas estas trs ainda so as mais importantes

NSTISSC Security Model (4011)

Conceitos principais: Confidencialidade

Confidencialidade
Apenas quem tiver privilgios suficientes ter acesso a determinada informao

Ameaas
Hackers Masqueraders Usurios no autorizados Downloads sem proteo LANs Cavalos de Tria

Modelos
Bell-LaPadula
Sem write down & sem read up

TCSEC/TNI (Orange, Red Book)

Principais conceitos: Integridade

Integridade
Integridade a qualidade ou estado de estar inteiro, completo e no corrompido

Problemas relacionados
Integridade de Origem Integridade de Dados

Modelo
Biba/low water mark
sem write up & sem read down

Clark-Wilson
Segregao de funes

Lipner

Principais conceitos: Disponibilidade

Disponibilidade
A informao deve estar acessvel para os usurios sem interferncia ou obstruo

Survivability
Garantia de disponibilidade na presena de ataques

Principais conceitos: Privacidade

Privacidade
Informao ser usada apenas para fins conhecidos pelo seu proprietrio No h foco na falta de observao, mas no uso conhecido e aprovado da informao coletada Em geral, diz respeito a informaa pessoais.

Conceitos principais: Identificao

Identificao
Sistemas de informao possuem a caracterstica de identificao quando so capazes de reconhecer os usurios individuais Identificao e autenticao so essenciais no estabelecimento do nvel de acesso ou autorizao que um indivduo recebeu

Principais conceitos: Autenticao e Autorizao

Autenticao
Autenticao ocorre quando um controle apresenta uma prova de que o usurio possui a identidade com que se apresentou

Autorizao
Autorizao prov a garantia de que o usurio foi explicita e especificamente autorizado pela autoridade competente a acessar o contedo de um ativo de informao

Principais conceitos:
Responsabilizao e Assurance
Responsabilizao (Accountability)
Esta caracterstica existe quando um controle apresenta garantias de que toda atividade pode ser corretamente atribuda a uma determinada pessoa ou processo

Assurance
Garantia de que todos os objetivos de segurana sero atingidos

Princpios da gesto de segurana da informao

Os princpios da gesto de segurana da informao so:
Planejamento Poltica Programas Proteo Pessoas Projetos (Gerncia)

Princpios da gesto de segurana da informao

Os princpios da gesto de segurana da informao so:
Planejamento Poltica Programas Proteo Pessoas Projetos (Gerncia)

Planejamento
Planejamento parte da gesto de segurana de informaes
Extenso de modelos gerais de planejamento

Devem ser includas no modelo de planejamento atividades para suportar projeto, criao e implementao de estratgias como as que existam no ambiente de planejamento de TI

Tipos de planos
Existem diversos tipo de planos de segurana de informaes:
Resposta a incidentes Continuidade dos negcios Recuperao de desastres Polticas Pessoal Implementao de tecnologia Gesto de risco Educao, treinamento e conscientizao

Polticas
Conjunto de guias organizacionais que ditam um determinado comportamento dentro da organizao Relativo segurana de informaes, so trs:
Poltica geral (Poltica de segurana corporativa) Polticas para temas especficos
Exemplos: email, uso de internet, etc.

Polticas especficas para determiandos sistemas

Exemplos: ERP, acesso a equipamentos ou softwares.

Programas
Programas so operaes gerenciadas em conjunto, constituindo um nica entidade
Exemplo: um programa de treinamento e conscientizao de segurana Outros exemplos:
Programa de segurana fsica Programa de reviso de segurana de sistemas

Proteo
Atividade relacionadas gesto de risco
Avaliao e controle de riscos

Mecanismos, tecnologias e ferramentas de proteo

Cada um destes mecanismos representa algum aspecto da gesto de controles especficos do planejamento geral de segurana

Pessoas
Pessoas so o elo crtico do programa de segurana da informao
Human firewall

imperativo quer seja reconhecido o papel crucial que as pessoas desempenham quanto segurana de informaes Este aspecto inclui:
Pessoal de segurana de informaes Segurana das pessoas Treinamento e conscientizao de segurana

Gesto de projetos
Os princpios de gesto de projetos devem estar presentes em todos os elementos do programa de segurana de informaes Este princpio envolve:
Identificao e controle dos recursos necessrios a cada projeto Medio de progresso a juste dos processos a medida em que o projeto avana

Abordagens para implementao

Modelo de gesto de segurana da ISO 13335

Inclui cinco reas:
Gesto Gesto Gesto Gesto Gesto de de de de de falhas nomes e de configurao contabilidade desempenho segurana

Modelo de gesto de segurana da ISO 13335

Gesto de falhas envolve identificar e tratar as falhas Gesto de mudanas e de configurao envolve a administrao dos componentes relacionados ao programa de segurana e a administrao das mudanas Gesto de contabilidade e auditoria envolve o monitoramento de contas que envolvam a cobrana de servios Gesto de desempenho determina se os sistemas de segurana esto realmente realizando as tarefas para as quais foram configurados

Gesto do programa de segurana da informao

Assim que o programa de segurana da informao estiver em funcionamento, ele deve ser devidamente operado e gerenciado Padres de gesto podem auxiliar no processo de gesto do programa de segurana Os principais padres so BS7799/ISO17799 ou os modelos desenvolvidos pelo NIST

Gesto de Risco
Definio:
Processo de identificar e avaliar o nvel de risco enfrentado por uma organizao Em especial, identificar as ameaas s informaes armazenadas e processadas pela organizao

Neste contexto, uma ameaa :

Um objeto, pessoa ou outra entidade que represente algum tipo de perigo a um ativo.

Principais Termos
Ativo Agente de ameaa Ameaa Vulnerabilidade Incidente de segurana Risco Exposio Controle ou salvaguarda

Exemplos de ameaas segurana da informao

Exemplos de ataques
Cdigo malvolo Hoaxes Back doors Password crack Fora bruta Dicionrio Denial-of-service (DoS) and distributed denialof-service (DDoS) Spoofing Man-in-themiddle Spam Mail bombing Sniffer Engenharia social Buffer overflow Timing

Gesto de risco
Usar alguma metodologia para priorizar os riscos Antes de gerenciar riscos, necessrio identificar e determinar o valor dos ativos de informao Uma avaliao de risco (risk assessment) determina um valor de risco para cada ativo de informao
A gesto de riscos identifica as vulnerabilidades dos sistemas de informao de uma organizao e toma aes planejadas para garantir a confidencialidade, integridade e disponibilidade de todos os seus componentes

Poltica de segurana

Motivao para uma poltica de segurana da informao

Um programa de segurana de informaes inicia-se e termina com uma poltica Polticas so controles de baixo custo, mas de difcil implementao Regras bsicas para definio de polticas de segurana:
Nunca conflitar com a legislao Verificada pelo departamento legal Devidamente suportada e administrada Contribuir para o sucesso da organizao Ser desenvolvida e administrada com o envolvimento dos usurios e da administrao

O modelo Bulls-eye

Tomada de deciso baseada em polticas

As camadas do modelo Bulls-eye:
Polticas: primeira camada de defesa Redes: as ameaas alcanam primeiro as redes da organizao Sistemas: Computadores e sistemas informatizados Aplicaes: Todos os sistemas aplicativos

Conceitos legais
Due diligence (devido zelo)
A administrao deve tomar para si a responsabildiade de investigar e entender os riscos da organizao

Due care (devido cuidado)

A administrao deve tomar para si a responsabilidade pelo que ocorre na organizao
Desenvolvimento de polticas

Polticas, padres e normas

Polticas, padres e normas

Polticas, padres e normas

Poltica: plano ou indicativo de ao que influencia as decises Padro: documentos mais detalhados contendo instrues do que deve ser feito para adequao s polticas Norma, procedimento, guia: explicam em detalhes os atos necessrios para adequao s polticas Polticas devem ser:
Adequadamente divulgadas Lidas por todos Compreendidas por todos Haver concordncia de todos os envolvidos

Polticas, padres e normas

Polticas requerem modificaes e manuteno constante Uma poltica completa de segurana da informao requer a definio de trs tipos de polticas:
Poltica de segurana Corporativa Polticas de segurana especficas Polticas de segurana dos sistemas de informao

Tipos de polticas
Regulamentos
Polticas regulatrias Necessidade seguir padres de indstria ou requisitos legais
Especficas para cada negcio

Em geral, so detalhadas So mais comuns em:

Instituies financeiras Organizaes que lidam com dados pessoais rgos pblicos

Poltica de segurana corporativa

Indica a direo estratgica e o escopo para os esforos de segurana da organizao Atribui responsabilidades para as diversas facetas da segurana de informaes Guia o desenvolvimento, implementao e requisitos de gesto do programa corporativo de segurana da informao

Elementos da poltica corporativa

Os documentos da poltica corporativa devem apresentar:
Uma viso geral da filosofia corporativa em relao segurana de informaes Informaes sobre a rea de gesto de segurana e os papis relativos segurana de informaes Responsabilidades relativas a segurana
Gerais a todos os empregados Especficas para cada papel

Componentes de uma poltica de segurana

Declarao de propsito:
O que a poltica pretende

Elementos de segurana de informaes:

Define segurana de informaes

Necessidade de poltica de segurana:

Justifica e define a importncia da segurana de informaes para a organizao

Papis e responsabilidades:
Define a estrutura organizacional e as responsabilidades de cada cargo/rea

Referncias para padres, procedimentos e guias de segurana

Polticas de segurana especficas

As polticas de segurana especficas devem:
Tratar temas especficos Requerer revises freqentes Conter a posio da organizao com relao a um tema especifico de segurana da informao

Exemplos:
E-mail, Internet e World Wide Web, Configuraes de estaes de trabalho com relao a vrus, vermes e cavalos de Tria ou backup, Proibies de atacar ou testar os elementos de segurana da organizao sem a devida autorizao, Etc.

Componentes de poltica de segurana especficas

Declarao de propsito
Escopo e aplicao Definio da tecnologia ou tema tratado Responsabilidades

Uso ou comportamento autorizado

Acesso ou uso por usurios cadastrados Uso e acesso responsveis Proteo da privacidade

Uso ou comportamento proibido

Mal uso, tentativa de causar falhas Uso ilegal Materiais ou informaes ilegais Tratamento de temas de propriedade intelectual Outras restries

Componentes de poltica de segurana especficas

Gerncia de sistemas
Gesto de materiais armazenados Monitoramento pelo empregador Vrus Segurana fsica Criptografia

Violaes da poltica
Procedimentos para informe de violoaes Penalidades

Reviso e modificao da poltica

Agenda de revises Procedimento para modificao

Requisitos legais
Declaraes necessrias para manter a legalidade do documento

Implementao de poltica de segurana

Formas mais comuns:
Formatar uma sria de documentos separados Publicar um nico documento Uso de sistema integrando a elaborao e uso dos documentos

Deve-se balancear a quantidade de documentos com a necessidade de conhecimento dos usurios

Nem todos os usurios precisam conhecer todos os aspectos da poltica Deve ser possvel fornecer ao usurio apenas as partes da poltica que lhe dizem respeito Uma grande quantidade de documentos torna a poltica difcil de gerir.

Polticas para sistemas especficos

Estas polticas tem um formato e objetivo diferente das demais So geralmente criadas para funcionar como padres ou procedimentos a serem usados quando da configurao ou manuteno de sistemas Em geral so:
Baselines de segurana Guias (guidelines) para sistemas de um determinado tipo Procedimentos tcnicos

Outros tipos de polticas

Lista de controle de acesso Regras de configurao

Listas de controle de acesso ACLs

Incluem lista ou tabelas de usurios e suas respectivas autorizaes
Podem caracterizar os usurios por identificador, endereo de rede, grupo, etc

Podem controlar acessos a sistemas de arquivos, funcionalidades de sistemas ou acessos via rede Permitem a restrio de acessos de conforme usurios, computadores, hora, etc. Tabela de capacidades (capability tables): associadas a cada usurio
Contm a lista de autorizaes de cada usurio

So represntadas muitas vezes como matrizes e no como listas ou tabelas

Regras de configurao
So cdigos de configurao especficos para sistemas de segurana que guiam a execuo do sistema Levam em conta as especificidades dos sistemas e podem no lidar diretamente com usurios, como nas ACLs Muitos sistemas de segurana requerem scripts de configurao especficos informado ao sistema que aes devem ser tomadas em cada conjunto de informaes processadas

Assuntos para polticas de segurana

Controles contbeis Controles de segurana fsica e ambiente Controles administrativos
Segregao de funes Verificao de idoneidade Superviso Rotao de funes

Assuntos para polticas de segurana

Controle de acesso Criptografia Resposta a incidentes Plano de continuidade dos negcios Operao de sistemas de informtica
Como instalar, operar e alterar sistemas

Dicas para desenvolvimento de polticas

Separar o desenvolvimento de polticas em duas fases:
1.

2.

Projetar e desenvolver a poltica (ou reprojetar e redesenvolver um poltica entiga) Estabelecer processos gerenciais para perpetuar a poltica dentro da organizao

A primeira tarefa um exerccio de gesto de projetos A segunda o estabelecimento de prticas gerenciais

Pontos importantes
Polticas so preventivas Polticas existem para:
Informar ao empregados e parceiros qual o comportamento aceito pela organizao Aumentar a produtividade Prevenir situaes embaraosas

Classificao da informao

Motivao
Medir a quantidade de recursos a serem usados na proteo das informaes Nem todos os dados tm o mesmo valor Classificar as informaes conforme a sua importncia para a organizao

Objetivos
Garantir o nvel de proteo adequado Indicar os nveis adequados de:
Confidencialidade Integridade Disponibilidade

Proporcionar custo/benefcio adequado

Papis
Proprietrio
Responsvel pela informao na organizao Em geral, gerente ou diretor
Indicar cargos, no pessoas

Usurio
Pessoa autorizada a acessar ou manipular a informao

Custodiante
Responsvel pela guarda da informao Em geral, a rea de TI

Ciclo de vida da informao

Esquema de classificao
O esquema de classificao das informaes deve indicar como a informao pode ser:
Acessada Usada Armazenada Destruda

Deve indicar tambm a necessidade de auditorias

Esquemas tradicionais de classificao

Critrios para a classificao da informao

Utilidade da informao
Para a organizao Para adversrios ou concorrentes

Valor da informao Idade da informao Dano causado pela divulgao da informao Dano causado pela modificao da informao

Critrios para a classificao da informao

Leis, regulamentos, normas Segurana nacional Quem deve acessar os dados Quem deve manter os dados Onde os dados devem ser guardados Quem deve poder copiar os dados

Implementao da classificao
Aspectos a serem considerados:
Controle de acesso Identificao e etiquetagem Tipo de armazenamento Restries transmisso Requisitos de destruio Auditoria Monitoramento

Reclassificao da informao
Informaes podem mudar de classificao durante o ciclo de vida
Exemplo: balano anual

Deve ser prevista a possibilidade de reclassificao da informao durante seu ciclo de vida
Se possvel, o processo deve ser automatizado.

Procedimento de classificao
Identificar custodiantes Especificar os critrios de classificao Indicar os controles necessrios para cada nvel de classificao Documentar excees

Procedimento de classificao
Indicar mtodos de transferencia de custdia ou de propriedade Conceber procedimentos de reclassificao Incluir estes aspectos no programa de conscientizao de segurana

Exerccio
Especificar um esquema de classificao levando em conta:
Confidencialidade Integridade Disponibilidade 3 nveis Determinar nomes para as classes Determinar requisitos bsicos para as classes