Please enable JavaScript.

Coggle requires JavaScript to display documents.

SEGURANÇA DA INFORMAÇÃO (DO QUE PROTEGER AS INFORMAÇÕES? (Das ameaças…

- - - - Nome, endereço, documentos pessoais...
    - - Estratégias, segredos comerciais, patentes...
    - - Operações Bancárias, Governo eletrônico, seguro on-line...
    - - Segurança Nacional, Estratégias Militares, Dep. de defesa...
- - - - SÃO:
        
        Dados particulares de indivíduos
        
        Propriedade intelectual de empresas
        
        Segurança nacional para países e governo
      - COMO?
        
        Definir políticas, padrões, procedimentos e diretrizes;
        
        • Adotar um padrão de classificação de dados;
        
        • Limitar o acesso a sistemas somente para usuários autorizados;
        
        • Usar técnicas de criptografia para ocultar dados confidenciais;
        
        • Criptografar dados armazenados em banco e dispositivos de armazenamento.
  - - - Direitos autorais, patentes,
        
        fórmulas secretas
        
        banco de dados de cliente.
      - Dados Não são alterados - Dados são válidos - Dados são Precisos
  - - - Tempo de utilização (uptime)
        
        Tempo de paralização (downtime)
        
        Disponibilidade =
        Tempo de utilização total
        
        (Tempo de utilização total + Tempo de paralização)
- - - - Agenda, sala, Arquivo, cofre
    - - Sistema, E-mail, Servidor, Notebook, Celular, datacenter
    - - Funcionário, parceiro, fornecedor;
- - - - Incêndio, Inundação, Apagão
    - - Sabotagem, fraude, erro, descuido
    - - Vírus, bug, Defeito técnico, invasão web
  - - - Naturais
        
        decorrentes de fenômenos da natureza
      - Voluntárias
        
        ameaças propositais causadas por agentes humanos.
      - Involuntárias
        
        ameaças inconscientes, quase sempre causadas pelo desconhecimento.
  - - - Físicos
        
        Instalações prediais precárias: falta de extintor, detector de fumaça,controle de acesso deficiente, ausência de gerador de energia, ausência de fragmentador de papel.
      - Naturais
        
        Ambientes com equipamentos eletrônicos próximo a locais suscetíveis a desastres naturais.
      - Hardware
        
        Computadores são suscetíveis a poeira, umidade, sujeira. Falhas de suprimento energético, aumento temperatura ambiente.
      - Software
        
        erros de codificação, instalação ou configuração de sistemas e
        aplicativos podem acarretar em acesso indevido, vazamento de informações.
      - Mídias
        
        discos, fitas, pendrive podem ser perdidos ou danificados.
      - Comunicação
        
        a comunicação telefônica é vulnerável a escutas ou a problema de infraestrutura física ou lógica.
      - Humanas
        
        falta de treinamento ou de conscientização das pessoas, má-fé ou descontentamento de um funcionário
- - - - Ação de definir o nível de sensibilização da informação;
      - Ação de definir os grupos de acesso à informação
      - Um sistema de classificação ideal deve ser:
        
        • simples de entender e administrar;
        
        • efetivo para determinar o nível de proteção que deve ser dado à informação;
        
        • aplicável uniformemente por toda a organização.
    - - Valor
        
        Definir o valor de uma informação para a organização,concorrentes, o custo de substituição ou perda, e o valor para reputação da organização.
      - Sensibilidade
        
        É a medida do efeito que uma brecha de integridade ou divulgação de informação teria sobre a organização.
        
        Determina o nível de sigilo necessário para uma informação.
      - Criticidade
        
        Determina o impacto que pode advir pela divulgação ou uso indevido da informação.
    - - Proprietário da informação
        
        Pessoa responsável por assegurar que as informações e os ativos associados estejam adequadamente classificados.
        
        Responsável pela classificação da informação
        
        Define as restrições de acesso
      - Custodiante da informação
        
        Pessoas, grupos de trabalho ou área que delegadas pelo proprietário da informação para cuidar da manutenção e guardada informação no dia-a-dia
      - Grupo de acesso
        
        Pessoas, grupos de trabalho,áreas autorizadas a terem acesso à informação
      - Princípio do mínimo privilégio
        
        Nada mais que o mínimo deve ser permitido de direitos de acesso necessários para o desempenho das funções.
        
        Quanto maior a exposição maiores serão os riscos associados a ela.
    - - A autorização é concedida a usuários.
      - O proprietário dos dados atribui uma classificação aos dados.
      - Sistemas impõem controle de acesso ao determinar que um sujeito tenha a autorização correta para acessar um objeto classificado.
    - - NÍVEL 1 – PÚBLICA, EXTERNA
        
        Informações que podem ser divulgadas publicamente.
        
        Normalmente esta informação é de responsabilidade de áreas especificas que fazem interface com os públicos externos tais como área de comunicação e marketing.
        
        Exemplos
        
        Relatórios anuais da empresa
        
        Boletins de serviço público
        
        Apresentação de marketing
        
        Propaganda
      - NÍVEL 2 – INTERNA, USO INTERNO
        
        Informações internas que deve, ser divulgadas a todos os colaboradores e prestadores de serviço.
        
        Exemplos
        
        normas corporativas, campanhas internas, memorandos internos.
      - NÍVEL 3 – RESTRITA, RESERVADA, SETORIAL
        
        Informações restritas a determinados grupos, áreas ou cargos.
        
        Exemplos
        
        Relatórios ou informações sobre a operação do negócio
        
        Informações que pertencem a parceiros de negócios e que são protegidas por acordos de restrição de exposição
        
        Lista telefônica da empresa
        
        Políticas, padrões e procedimentos corporativos
      - NÍVEL 4 – CONFIDENCIAL, SIGILOSA, SECRETA
        
        Informações que requerem um tratamento especial e cuja divulgação não autorizada ou acesso indevido pode gerar prejuízos financeiros, legais, normativos, contratuais na reputação, na imagem ou nas estratégias da organização.
        
        Exemplos
        
        Registros pessoais e informações de clientes
        
        Informações sobre custos, lucro e resultados financeiros
        
        Planos operacionais e estratégias de marketing e negócios
        
        Requisitos de mercado, tecnologias, planos de produto
    - - É preciso determinar o escopo (que dados você deverá classificar)e o processo de classificação (como lidar com os dados classificados).
      - O PROCESSO EM QUATRO ETAPAS PARA GERENCIAR INFORMAÇÕES CLASSIFICADAS – ISO 27001
        
        Inserindo o Arquivo no inventário
        
        O propósito em se desenvolver um inventário de ativos é para que você saiba quais informações classificadas você tem em sua posse, e quem é responsável por elas.
        
        Classificação da informação
        
        A ISO 27001 não prescreve os níveis de classificação. Quanto maior e mais complexa sua organização,mais níveis de confidencialidade você terá
        
        Rotulagem da informação
        
        Você deve desenvolver orientações para cada tipo de ativo de informação sobre como ele precisa ser rotulado. Novamente, a ISO 27001 não é prescritiva aqui, então você deve desenvolver suas próprias regras.
        
        Manuseio da Informação
        
        Esta é usualmente a parte mais complexa do processo de classificação. Desenvolver regras sobre como proteger cada tipo de ativo dependendo do nível de confidencialidade.
      - CLASSIFICAÇÃO DA INFORMAÇÃO - TCU**
        
        público
        
        pessoal
        
        reservado
        
        sigiloso
        
        secreto
        
        ultrasecreto
        
        há 6 (seis) graus de confidencialidade no
        âmbito do Tribunal:
- - - - POLÍTICAS
        
        texto de alto nível que dá o direcionamento geral e significado aos objetivos e intenções da Administração quanto à SI
        
        Documentam metas e objetivos da gerência e explicam as necessidades de segurança da empresa e seu comprometimento em atender essas necessidades.
      - PADRÕES
        
        conjunto de medidas necessárias para estabelecer controle (mais específica)
        
        São requisitos obrigatórios para solução de hardware e de software para enfrentar riscos de segurança por toda a organização.
        
        • Podem se referir ao antivírus ou a um token, por exemplo.
        
        • Quando um padrão é estabelecido significa que a organização selecionou uma solução (e apenas essa) para enfrentar uma situação.
        
        • Vantagem: Economia para a organização
        
        • Desvantagem: Vulnerabilidade
      - PROCEDIMENTOS
        
        descrição passo-a-passo sobre como atingir os resultados esperados.
        
        São ações sistemáticas para realizar um requisito, processo ou objetivo de
        segurança e compõem uma das ferramentas disponíveis mais poderosas.
        
        Elas podem fornecer documentação sobre a forma como você faz negócios e garantir que conhecimentos críticos de alguém não permaneçam apenas na cabeça dessa pessoa
        
        Procedimentos abordam aspectos como alterar senhas, responder a incidentes e criar cópias de segurança.
      - DIRETRIZES
        
        São ações que você recomenda e normalmente existem na forma de documentos oficiais, melhores práticas ou outros formatos definidor por um programa de segurança de uma organização.
    - - Estabelecer um padrão de comportamento que seja conhecido por todos na organização e que sirva como base para decisões da alta administração em assuntos relacionados com a segurança da informação.
    - - Fornecem direcionamentos para as implementações técnicas.
      - Aconselha-se sempre implementar procedimentos de segurança após
        definir FORMALMENTE a PSI,
    - - Regulatória
        
        • Implementada por necessidades legais impostas à organização;
        • Descreve o que deve ser feito, quem deve fazer, por que é importante...
        • Serve para assegurar que a organização está seguindo a lei, norma ou padrão
      - Consultiva
        
        • Não são obrigatórias, mas muito recomendadas, a organização trabalha a conscientização para que seja considerada obrigatória pelos funcionários;
        
        • Sugere quais ações ou métodos devem ser utilizados para a realização de uma determinada tarefa.
      - Informativa
        
        • Pode contemplar uma série de informações importantes.
        
        Ex.: O acesso a determinado aplicativo é de uso restrito a pessoas autorizadas. Qualquer funcionário que realizar algum tipo de violação será penalizado.
    - - Especificação da Política
        
        Formalizar resumidamente o que é esperado, se é direcionada a pessoas, departamentos ou equipamentos.
      - Declaração da Alta Administração
        
        Nome do executivo principal da organização, para legitimar a PSI.
      - Autores da PSI
        
        Nome dos profissionais que desenvolveram a PSI, contato para dúvidas e sugestões,
      - Procedimentos para requisição de exceções e mudanças na PSI
        
        Procedimentos de solicitações das exceções e análise sobre a necessidade de mudanças.
      - Punições para violações à PSI
        
        Demonstrar que poderão haver punições severas aos que desrespeitarem ou violarem as políticas internas. Determinadas em função dos prejuízos/problemas
      - Data de Publicação, validade e revisão e referências a outras normas
    - - Curto Prazo
        
        • Formalização dos procedimentos
        
        • Implementação dos procedimentos e controles
        
        • Prevenção
        
        • Segurança no processo do negócio.
      - Longo prazo
        
        • Imagem associada à SI
        • Redução da incidência de problemas relacionados à SI.
    - - LEVANTAMENTO DAS INFORMAÇÕES
      - DESENVOLVIMENTO DO CONTEÚDO DA POLÍTICA
      - ELABORAÇÃO DOS PROCEDIMENTOS DE SEGURANÇA
      - REVISÃO, APROVAÇÃO E IMPLEMENTAÇÃO DA POLÍTICA
- - - - Encontrar as vulnerabilidades para sua correção/eliminação;
      - Identificar as ameaças que podem explorar essas vulnerabilidades;
      - Identificar os impactos potenciais que poderiam ter os incidentes;
      - Tem como resultado: recomendações para que as ameaças sejam corrigidas ou reduzidas, de acordo com seu impacto para a organização e custo-benefício.
    - - Reduzir risco para níveis toleráveis.
      - Para isso você precisa identifica-los:
        
        • Antes que eles levem a um incidente
        
        • A tempo de permitir que você planeje e aplique atividades de tratamento de risco;
        
        • Em uma base contínua, por toda a vida útil do produto, sistema ou projeto.
    - - Nunca gaste mais para proteger um ativo do que ele vale.
      - Uma contramedida, sem um risco correspondente, é uma solução que busca um problema; você nunca poderá justificar o custo.
    - - descreve o cenário de risco e depois descobre
        que impactos o evento teria sobre as operações da empresa.
    - - descreve risco em termos em termos financeiros e estabelece um valor monetário para todos os elementos de um risco.
    - - Análise de impacto de negócios (BIA – business Impact Analysis)
      - é uma análise formal das funções e atividades de uma organização.
    - - Plano de continuidade de negócios (BCP – Business Continuity Plan)
      - é um plano de resposta estruturada a qualquer evento que resulta em uma interrupção de atividade ou funções críticas de uma empresa.
      - Ele trata dos processos, recursos, equipamentos e dispositivos necessários
        para continuar a
    - - Plano de Recuperação de Desastre
      - direciona as ações necessárias
        para recuperar recursos após um desastre.