Please enable JavaScript.

Coggle requires JavaScript to display documents.

Fundamento de Segurança da Informação (Segurança da Informaçao (Introduçao…

- - - - Obs:
        As ameaças cibernéticas são atualizadas pelos atores de ameaças. Estes atores geralmente se referem a pessoas ou entidades que podem potencialmente iniciar uma ameaça. Embora desastres naturais, outros eventos ambientais e políticos constituam ameaças, eles geralmente não são considerados atores de ameaças (isso não significa que tais ameaças devam ser desconsideradas ou menos importantes).
    - - Um ativista tenta roubar dados do seu site;
      - Um incêndio começa no seu datacenter;
      - Um administrador acidentalmente desativa a instância da AWS (serviço de nuvem) do seu site;
      - Uma inundação atinge sua sede;
      - Um funcionário tenta vender seus segredos corporativos a um concorrente.
  - - - Falta de controle de acesso predial adequado;
      - Script entre sites (XSS);
      - Injeção SQL;
      - Transmissão de texto não criptografado de dados confidenciais;
      - Falha ao verificar a autorização para recursos confidenciais;
      - Falha ao criptografar dados confidenciais em repouso.
  - - - A injeção de SQL é uma vulnerabilidade;
      - O roubo de dados confidenciais é uma das ameaças cibernéticas que a injeção de SQL permite;
      - Os atacantes motivados financeiramente são um dos atores das ameaças;
      - O impacto de dados confidenciais roubados arcará com um custo financeiro significativo (perda financeira e de reputação) para os negócios.
    - - Uma ameaça é um cenário negativo que você deseja evitar;
      - Um ator de ameaças é o agente que faz uma ameaça acontecer;
      - Uma vulnerabilidade é uma fraqueza que pode ser explorada para atacar você;
      - Um risco é um cenário negativo que você deseja evitar, combinado com a probabilidade e o impacto;
      - A diferença entre uma ameaça e um risco é que uma ameaça é um evento negativo por si só, onde um risco é o evento negativo combinado com sua probabilidade e seu impacto.
- - - - Acesso a aplicativo:
        A camada de acesso ao aplicativo indica que o acesso aos aplicativos do usuário deve ser restrito com base na necessidade de conhecimento.
      - Acesso a Infraestrutura:
        A camada de acesso à infraestrutura indica que o acesso a vários componentes da infraestrutura de informações (como servidores) deve ser restrito com base na necessidade de conhecimento.
      - Acesso Físico:
        A camada de acesso físico indica que o acesso físico a sistemas, servidores, centros de dados ou outros objetos físicos que armazenam informações vitais deve ser restrito com base na necessidade de conhecimento.
      - Dados em Movimento:
        A camada de dados em movimento indica que o acesso a dados deve ser restrito enquanto estiver em processo de transferência (ou em movimento).
  - - - Roubo de equipamentos físicos, como PC, laptop, dispositivo móvel ou papel;
      - Descarte incorreto de papel ou dados armazenados digitalmente;
      - Divulgação não autorizada ou negligente de controles de acesso ou chaves de autenticação;
      - Vazamento de informações devido ao mau entendimento de um contrato legal de confidencialidade;
      - Informação incorreta devido a negligência;
      - Hacking ou violação ilegal da segurança de dados.
- - - - Verificação de controles no processamento de informações e instalação de sistemas, a fim de avaliar sua eficácia e também apresentar algumas recomendações e conselhos;
      - Verificação e julgamento das informações objetivamente;
      - Exame e avaliação dos processos em termos de informatização e processamento de dados. Além disso, a quantidade de recursos investidos, a rentabilidade de cada processo e sua eficácia e eficiência são avaliadas.
  - - - Melhorar a relação custo-benefício dos sistemas de informação;
      - Aumentar a satisfação e a segurança dos usuários desses sistemas informatizados;
      - Garantir confidencialidade e integridade por meio de sistemas profissionais de segurança e controle;
      - Minimizar a existência de riscos, como vírus ou hackers, por exemplo;
      - Otimizar e agilizar a tomada de decisões;
      - Educar sobre o controle dos sistemas de informação, por se tratar de um setor relativamente novo e em mudança, por isso é necessário educar os usuários desses processos informatizados.
  - - - Revisar a estrutura organizacional de TI;
      - Analisar as políticas e procedimentos de TI;
      - Revisar os padrões de TI;
      - Revisar a documentação de TI;
      - Entrevistar o pessoal apropriado;
      - Observar os processos e o desempenho dos funcionários.
  - - - Controles contábeis internos;
      - Controles operacionais;
      - Controles administrativos;
      - Políticas e procedimentos de segurança organizacional;
      - Políticas gerais para o design e uso de documentos e registros adequados;
      - Procedimentos e práticas para garantir salvaguardas adequadas sobre o acesso;
      - Políticas de segurança física e lógica para todos os datacenters e recursos de TI.
    - - Somente dados completos, precisos e válidos sejam inseridos e atualizados em um sistema de aplicativo;
      - O processamento realiza a tarefa projetada e correta;
      - Os resultados do processamento atendem às expectativas;
      - Os dados são mantidos.
    - - Identificar os componentes significativos do aplicativo; o fluxo de transações através do aplicativo (sistema); e obter um entendimento detalhado do aplicativo revisando toda a documentação disponível e entrevistando o pessoal apropriado, como proprietário do sistema, proprietário dos dados e administrador do sistema;
      - Identificar os pontos fortes do controle do aplicativo e avaliar o impacto, se houver, dos pontos fracos encontrados nos controles do aplicativo;
      - Desenvolver uma estratégia de teste;
      - Testar os controles para garantir sua funcionalidade e eficácia;
      - Avaliar seus resultados de teste e qualquer outra evidência de auditoria para determinar se os objetivos de controle foram alcançados;
      - Avaliar a aplicação em relação aos objetivos da gerência do sistema para garantir eficiência e eficácia.
  - - - Planejamento e preparação do escopo e objetivos da auditoria;
      - Descrição e/ou orientações na área de auditoria com escopo;
      - Programa de auditoria;
      - Etapas de auditoria executadas e evidências coletadas da auditoria;
      - Se serviços de outros auditores e especialistas foram utilizados e suas contribuições;
      - Resultados, conclusões e recomendações da auditoria;
      - Relação da documentação de auditoria com identificação e datas do documento;
      - Uma cópia do relatório emitida como resultado do trabalho de auditoria;
      - Evidência da revisão da supervisão de auditoria.
    - - Os fatos apresentados no relatório estão corretos;
      - As recomendações são realistas e econômicas, ou foram negociadas alternativas com a gerência da organização;
      - As datas de implementação recomendadas serão acordadas para as recomendações que você possui em seu relatório.
    - - Uma introdução (sumário executivo);
      - As descobertas ficarão em uma seção separada e agrupadas por destinatário pretendido;
      - Sua conclusão e opinião gerais sobre a adequação dos controles examinados e quaisquer riscos potenciais identificados;
      - Resultados e recomendações detalhadas.