Please enable JavaScript.

Coggle requires JavaScript to display documents.

Aula 1 - Coggle Diagram

- - - - Componentes de garantia de segurança
        formam um caminho padrão a ser seguido para mostrar os requisitos de segurança para os alvos de
        
        Desenvolvimento seguro: , é possível apontar três pontos positivos na norma ISO 15408, que são concatenados entre si e devem ser discutidos em relação à
        
        Segurança de ambiente ambientes sem nenhum tipo de segurança
        apresentam sérios risco relacionados à perda de códigos-fontes, modificação de códigos-fontes, problemas de versionamento, ou falha de
        qualquer arquivo importante para o correto funcionamento de um produto
        
        Segurança da aplicação: compreende a parte de qualidade do códigofonte do software, o emprego de boas práticas de programação cria um código-fonte confiável e garante a segurança de uma aplicação.
        
        Garantia de aplicação segura – além de criar uma aplicação segura, ainda é necessário apresentar ações e provas que permitam aos clientes e usuários saber se a aplicação é confiável e segura.
        
        A norma ISO 15408 está voltada para a avaliação de
        segurança A identificação do ambiente e de seguros procedimentos na manutenção de software é essencial para a confiabilidade do conteúdo a ser alterado assim
        
        1 more item...
- - - - A informação é um grande ativo que, como qualquer outro componente
        
        valioso e importante de uma empresa, é essencial para os negócios de uma
        
        organização, que antes disso requer e necessita de proteção adequada.
    - - Ciclo de vida da informação
        
        às fases do ciclo de vida das informações
        
        manuseio – quando a informação é criada, coletada, gerada ou alterada;
        
        • armazenamento – quando a informação é consolidada, gravada ou retida;
        
        • transporte – quando a informação é transferida, comunicada, transportada; e
        
        descarte – quando a informação perde seu valor e é inutilizada ou descartada.
        
        cada uma das etapas do ciclo de vida da informação a atenção
        
        necessária para garantir confidencialidade, integridade, autenticidade,
        
        disponibilidade e até mesmo legalidade à informação deve ser dada de maneira
        
        Para Baars (2018), os fatores de produção normais de uma empresa ou
        organização são o capital, o trabalho e as matérias-primas. Em Tecnologia da
        Informação, é comum também considerar a informação como fator de produção
        
        os sistemas de informação, são eles os
        responsáveis pela transferência e o processamento de dados e informações
      - Gestão da Informação: A tarefa de organizar todas informações de uma empresa, criar, coletar,
        controlar, planejar, utilizar, difundir e descartar suas informações de maneira
        eficaz e eficiente é dela
        
        As fontes de dados podem ser as mais diversificadas possíveis: informações armazenadas em computadores, mídias audiovisuais, livros, revistas, periódicos, o conhecimento dos colaboradores de uma empresa,
        
        classificação e codificação;
        
        • índices e palavras-chave;
        
        • criação de dicionários e vocabulários controlados;
        
        • catálogos de dados (nomes, endereços, locais, eventos);
        
        • estruturas de dados organizadas (banco de dados);
        
        • armazenamento de arquivos, fotos, imagens, arquivos digitalizados;
        
        • depósito e guarda-livros e registros físicos;
        
        • auditoria de informações; e
        
        • documentação de objetos, procedimentos e demais recursos.
        
        Computação distribuída: qualquer computação que envolve
        vários computadores distantes um do outro, onde cada um tem um papel no
        processo computacional ou no processamento da informação
- - - - Atributos da Segurança e Proteção de Dados:
        
        Confidencialidade: propriedade que atua com limites de acesso à informação somente às entidades legítimas, garantir que o acesso seja restrito apenas ao público-alvo
        
        Disponibilidade: relacionado com a disponibilidade da informação para a utilização legítima a quem realmente está autorizado a acessar pelo proprietário da informação. Alguns aspectos devem ser levados em conta: custos de implantação, riscos associados,
        benefícios, entre outros é imprescindível manter hardware e softwares funcionando de maneira correta e manter um fornecimento ininterrupto de conectividade de rede
        
        Autenticidade: essa propriedade deve garantir que as informações sejam verdadeiras, de fonte confiável
        
        Irretrabilidade (não repúdio) – propriedade que impede que algum usuário negue a autoria de determinada informação, e, dessa forma, garantindo sua autenticidade. Autor e receptor não podem contestar qualquer tipo de transação realizada por eles
        
        Legalidade: tem o intuito de estabelecer a legalidade jurídica da informação, com alinhamento e aderência à legislação vigente
        
        A confidencialidade, integridade e disponibilidade são consideradas a tríade da gestão de segurança da informação
    - - o grau de sigilo é uma classificação concedida a cada tipo de informação e baseada em critérios como nível de importância e de sigilo, pessoas com permissão de acesso, entre outros.
        
        Na administração pública existe uma legislação específica, de acordo com o Decreto n. 7.724/2012, no art. 26, informando sobre a classificação das informações em órgãos públicos como ultrassecreto, secreto ou reservado.
        
        Órgãos e entidades públicas Empresas Privadas Ultrassecreto Confidencial
        Secreto Privada
        Reservado Sigilosa
        Público Pública
    - - Perda da confidencialidade – geralmente ocorre quando um evento relacionado à quebra de sigilo de determinada informação acontece
      - Perda de integridade: acontece quando alguma
        informação fica aberta e exposta ao manuseio de um usuário, que faz alterações que não são aprovadas ou que não estão no controle do dono
      - Perda de disponibilidade – quando uma informação deixa de ser acessível para quem está solicitando, ocorre com a falha de comunicação, com um sistema importante, algo que impeça que os utilizadores acessem a informação, falhas de servidores, problemas elétricos, com a rede de dados, ou até mesmo a internet, alguns problemas como esses podem ser internos empresa ou externos, seja por ação não autorizada ou por pessoas mal-intencionadas.
- - - - ISO/IEC 27000: é uma norma que apresenta uma visão geral, termos e
        condições para a gestão de segurança da informação. Possui um
      - ISO/IEC 27001: a segunda norma da família busca alinhar todos os requisitos que uma organização possa utilizar para um Sistema de Gestão da Segurança da Informação (SGSI). Leva em conta toda a segurança física do ambiente, fatores técnicos, procedimentais e de comportamento
        
        ISO 27001 como mencionada anteriormente, é um guia que apresenta requisitos em relação à coleta, armazenamento, tratamento e compartilhamento de dados pessoais, com o intuito de garantir a segurança da informação nas
        organizações que trabalham com dados sensíveis.Garantindo sempre a tríade
        da segurança da informação (integridade, disponibilidade e confidencialidade)
        
        Controles: Os controles de segurança são salvaguardas ou contramedidas técnicas
        ou administrativas que evitam, neutralizam ou minimizam perdas ou indisponibilidades devido a ameaças e agindo sobre a sua correspondente
        vulnerabilidade, o risco à segurança.
        
        Tratamento de riscos: Alguns controles são desejáveis dentro deste cenário:
        
        aplicação de controles adequados para redução de riscos;
        
        • entendimento em relação aos riscos, política clara de aceitação de riscos;
        
        • evitar as ocorrências de riscos, identificar e mitigar as causas;
        
        • aplicar controles apropriados e fazer a transferências de riscos a outras
        
        partes como fornecedores, parceiros e seguradoras;
        
        • desenvolver e atender requisitos identificados em avalições de risco;
        
        • reduzir os riscos a níveis aceitáveis;
        
        • atender aos requisitos e restrições relacionados com a legislação nacional
        
        e internacional; e
        
        • criar um equilíbrio na relação de riscos e o tratamento para a redução,
        
        tendo em vista sempre as exigências e limitações da organização, o
        
        Contramedidas existem seis categorias
        diferentes:
        
        contramedidas preventivas visam evitar acidentes;
        
        • contramedidas de redução visam diminuir a probabilidade de uma ameaça ocorrer
        
        • contramedidas repressivas visam limitar um incidente;
        
        • contramedidas corretivas visam recuperar os danos causados por um incidente; e
        
        • a aceitação de riscos também é uma possibilidade. Alguns investimentos
        
        em contramedidas podem ser caros e de difícil justificativa
        
        contramedidas de detecção visam detectar incidentes;
        
        Tipos de ameaças
        
        Ameaça humana intencional: as pessoas podem de maneira intencional
        danificar sistemas de informação por diversas razões, intrusos, hackers ou pessoas que são contra a empresa, funcionários insatisfeitos.
        
        Ameaça humana não intencional: é quando um funcionário pressiona
        algum botão errado (deleção, por exemplo), operando algum sistema de maneira descuidada, inserções de dispositivos móveis infectados,
        instalação de programas indevidos (sem intenção de ameaçar a estrutura
        
        Ameaças não humanas: incluem as influências externas, como tempestades, inundações, raios, blecautes, catástrofes naturais. Existem boas práticas em relação à localização da sala de equipamentos, refrigeração, proteção física, redundâncias da rede elétrica, entre outros.
        
        Estratégias de riscos:
        
        Prevenção de riscos – definir medidas de segurança de modo a neutralizar as ameaças antes que elas aconteçam ou se tornem um incidente de segurança, atuar de maneira proativa, manter softwares atualizados e antivírus operacionais são métodos com caráter preventivo.
        
        Redução de riscos – tomar algumas medidas de modo que a ameaça não
        se manifeste ou que o dano resultante seja minimizado.
        
        Tolerância aos riscos – tendo em vista os custos relacionados com as medidas de segurança, em alguns casos, os riscos são aceitos. Esse tipo de estratégia torna a área de segurança da informação reativa, atuando de maneira repressiva.
        
        ISO 27002: A ISO 27002 é uma norma internacional que apresenta um guia com as
        melhores práticas e serve como base para a criação de um Sistema de Gestão de Segurança da Informação (SGSI), estabelece algumas diretrizes e princípios gerais para implantação, manutenção e melhoria da gestão de segurança da informação
        
        Vantagens e benefícios da ISO 27002:
        
        10 more items...
        
        Composição da ISO 27002
        
        Política de Segurança da Informação – a política de segurança deve ser criada pela área de TI da organização alinhada com a área de recursos humanos, apresentar os conceitos de segurança da informação, uma estrutura para apontar os objetivos e as formas de controle e ter apoio da alta administração
        
        Organização da Segurança da Informação – nesse tópico é necessário montar uma estrutura e gerenciar de maneira eficiente. As atividades de segurança da informação precisam ser coordenadas por líderes de
        departamentos, atribuir responsabilidades, definir toda a equipa que estará envolvida e ter sempre o intuito de proteção a dados e informaçõesde caráter sigiloso.
        
        Gestão de ativos – os ativos de uma organização precisam ser protegidos. É necessário todo um trabalho para identificação e levantamento de ativos, de tal maneira que esse inventário seja estruturado e posteriormente manutenido e atualizado.
        
        Segurança em Recursos Humanos – a contratação de colaboradores e os vínculos com fornecedores requerem uma avaliação prévia pela área de recursos humanos e setores da administração, a ideia é sempre minimizar
        o risco de roubo, fraude ou má utilização de recursos.
        
        Segurança física e do ambiente – o concentrador de equipamentos e as instalações da central de processamento de dados são áreas críticas que requerem cuidados e atenção, devem ser manutenidas e ocuparem locais
        seguros, com níveis e controles de acesso, energia elétrica redundante, monitores de temperatura, incluindo proteção contra ameaças físicas e ambientais
        
        Segurança das operações e comunicações – a definição de manuais, documentação e procedimentos, bem como o elenco de responsabilidades pela gestão e operação de processamento das informações é essencial.
        
        Controle de acesso – toda a acessibilidade à informação, como todos os recursos de processamento de dados e as informações que suportam os processos de negócios devem receber um controle bem implementado,
        pautado nos requisitos de negócio e na segurança da informação.
        
        Aquisição, desenvolvimento e manutenção de sistemas – requisitos de segurança de sistemas de informação devem ser analisados, identificados e alinhados antes do seu desenvolvimento e implementação, para que estejam protegidos vislumbrando sempre a manutenção de sua confidencialidade, autenticidade ou integridade, utilizando meios seguros e criptografados.
        
        • Gestão de incidentes de segurança da informação – toda a documentação e registros de incidentes, bem como o fluxo deles por parte da equipe técnica deve ser bem definido e estabelecido, os colaboradores, os
        fornecedores e parceiros devem estar alinhados em relação aos procedimentos para notificação de eventos de segurança da informação,para atender e assegurar que sejam comunicados o mais rápido possível
        
        Gestão da continuidade do negócio – o planejamento de continuidade do negócio deve ser criado e desenvolvido com o intuito de impedir a interrupção das atividades de negócio, com a finalidade de assegurar que todas as operações essenciais sejam rapidamente recuperadas, sem problemas relacionados com a disponibilidade de sistemas, redes decomputadores e demais recursos computacionais.
        
        Conformidade – é essencial impedir qualquer tipo de violação a leis criminais ou cíveis, respeitando sempre os estatutos, normas, regulamentações ou obrigações contratuais e de quaisquer requisitos de
        segurança da informação.
      - • ISO 27001: é a norma principal de segurança de informação, as
        organizações devem alinhar como base para obtenção de certificações empresariais em gestão da segurança da informação.
      - ISO/IEC 27002: apresenta uma série de códigos de práticas com um
        grupo completo de controles que servem como base para a aplicação do Sistema de Gestão da Segurança da Informação.
      - ISO/IEC 27003: : traz um conjunto de diretrizes para a elaboração do SGSI.
        Ela é baseada no ciclo PDCA, esse ciclo é uma ferramenta de gestão que tem como objetivo ajudar na melhoria contínua dos processos por meio de quatro ações: planejar (plan), fazer (do), checar (check) e agir (act).
      - ISO/IEC 27004: apresenta algumas métricas para a gestão da segurança
        da informação. É essencial em situações de definição de métrica de níveis de serviço para a segurança da informação, ela ajuda a medir os processos empresariais.
      - ISO/IEC 27005: trata de forma detalhada a gestão de riscos.
      - ISO/IEC 27006: apresenta uma série de requisitos para as organizações
        que desejam atuar com auditoria e certificações de sistemas de gestão.
      - ISO/IEC 27007 apresenta um grupo de instruções para orientar auditorias
        sobre os requisitos do SGSI. Deve estar alinhada com a ISO 27006
      - • ISO/IEC 27008 serve de complemento para a ISO 27007 ao concatenar
        a auditoria dos controles em segurança da informação, faz um link entre as normas 27001 e 27007
      - ISO/IEC 27009: responsável por apoiar e dar suporte às indústrias
        específicas que buscam trabalhar com as normas ISO 27000.
      - ISO/IEC 27010: apresenta um guia que trata da comunicação em gestão da segurança da informação tanto no escopo da organização como no mercado de cibersegurança. O objetivo da norma é promover a comunicação em relação aos controles de segurança da informação, criar um ambiente de colaboração entre as empresas do segmento, com o intuito de aprimorar a gestão da segurança da informação, compartilhar informações, disseminar o conhecimento de cibersegurança, seja com empresas privadas, órgão públicos, governo e indústria.
      - ISO/IEC 27011: apresenta um guia de gestão da segurança para as
        empresas da área de telecomunicações
      - ISO 27012:criada para a gestão da segurança da informação para
        organizações da administração pública. Entretanto, teve sua validade cancelada e não é mais encarada uma norma oficial.
      - ISO/IEC 27013: apresenta um alinhamento entre a norma ISO 27001 em
        uma organização concatenada com a ISO 20000.
      - ISO/IEC 27014:apresenta técnicas para a boa governança da segurança da informação. Cria um guia de como avaliar, dirigir, controlar e comunicar todas as práticas internas da organização que têm vínculo com a área de segurança da informação, de maneira que estejam compreendidas e alinhadas com necessidades da área de negócio
      - ISO/IEC 27015: traz uma abordagem de gestão da segurança da
        informação para atividades e serviços financeiros. . Fornece diretrizes e
        controles de segurança para o segmento financeiro
      - ISO/IEC 27016: traz uma abordagem de gestão da segurança da
        informação para atividades e serviços do setor de economia. Fornece diretrizes e controles de segurança para o segmento econômico.
      - • ISO/IEC 27017: essa norma apresenta alguns controles específicos para
        computação em nuvem (cloud computing).
      - ISO/IEC 27018: apresenta assuntos relacionados de forma específica
        para os serviços em computação em nuvem. É uma norma que traz
      - ISO 27019: define controles de forma específica para a indústria de
        energia
      - ISO 27031: trata de conceitos e princípios relacionados ao papel da
        segurança da informação para a área de Tecnologia da Informação com o enfoque de garantia para a continuidade dos negócios.
      - ISO 27032: apresenta todos os temas relacionados à cibersegurança e
        suas especialidades. Trata da definição de atributos como confidencialidade, integridade e disponibilidade da informação em
        cibersegurança.
      - ISO 27033-1: essa norma apresenta uma breve introdução e conceitos
        gerais para segurança em redes.
      - ISO 27033-2:: criada com o intuito de planejar, desenhar, implementar e
        documentar toda a segurança em redes.
      - ISO 27033-3: tem por finalidade definir os riscos específicos, apresenta técnicas de projetos e controles vinculados com a segurança em redes.
      - ISO 27033-4: traz um esquema geral de requisitos para análise e
        identificação de ameaças para a segurança da informação relacionadas a gateways de segurança da informação e componentes que façam parte da arquitetura de segurança em redes.
      - ISO 27033-5: apresenta conteúdo relacionado com a comunicação entre
        redes usando Virtual Private Networks (VPNs)
      - ISO 27033-6: apresenta algumas definições relacionadas a riscos,
        técnicas de projeto e desenho, traz também alguns controles específicos
      - • ISO 27034-1: apresenta algumas definições e conceitos em torno da
        segurança da informação em aplicações.
      - ISO 27034-2: apresenta em seu conteúdo uma organização normativa de
        segurança sobre aplicações.
      - ISO 27034-3: essa norma apresenta um guia relacionado ao processo de
        gestão da segurança em aplicações.
      - ISO 27034-4: traz uma série de requisitos para a validação de segurança
        em aplicações
      - ISO 27034-5: especifica alguns protocolos e estrutura de dados de
        controle de segurança de aplicativos.
      - ISO 27034-6: mais uma norma que traz um guia de segurança da
        informação para aplicações específicas
      - ISO 27035: essa norma apresenta um guia bem detalhado relacionado
        com a gestão de incidentes de segurança da informação, atendendo a
      - ISO 27036: trata de assuntos de segurança da informação relacionados
        com fornecedores. Apresenta orientações sobre a avaliação e tratamento de riscos de segurança da informação incluídos na aquisição de informações ou produtos relacionados à TI.
      - • ISO 27037: apresenta algumas orientações relacionadas à identificação,
        coleta, aquisição e preservação de evidências forenses digitais de caráter judicial.
      - ISO 27038: apresenta um guia para redação digital. Mostra alguns
        requisitos para redação e compartilhamento de informações digitais de maneira adequada, seja ela publicada de forma interna na organização ou interessados externos.
      - ISO 27039: essa norma apresenta um guia para sistemas de detecção de
        intrusos, mostra como fazer seleção, contratação, desenho, operação e administração de sistemas IDS (Intrusion Detection Systems).
      - ISO 27040: aborda sistemas da informação para infraestrutura de
        armazenamento e traz alguns aspectos relacionados à segurança da informação em dispositivos de armazenamento (storages)
      - • ISO 27041: tem a responsabilidade de regulamentar os métodos de
        investigação de evidências digitais. Ainda, ela atua na conformidade de métodos para investigação digital, é mais um guia disponível relacionado com a análise forense computacional.
      - • ISO 27042: é mais uma norma relacionada à computação forense,
        apresenta algumas diretrizes na análise e interpretação de evidências digitais
      - ISO 27043: traz alguns princípios e processos relacionados com a
        investigação de incidentes da segurança da informação. Mais um guia voltado exclusivamente para gestão de incidentes de segurança.
      - ISO 27044: mostra uma série de diretrizes de maneira específica para o
        Gerenciamento de Eventos de Segurança da Informação (SIEM).
      - ISO 27799: trata do gerenciamento de segurança da informação para o
        segmento de saúde