Please enable JavaScript.

Coggle requires JavaScript to display documents.

AULA 3 - Coggle Diagram

- - - - Processo de aquisição: definição da necessidade de adquirir um produto de software. Continua com a preparação, a emissão do pedido de proposta e a seleção de fornecedor e gerência do processo de aquisição,
        através da aceitação do produto ou do serviço de software.
      - • Processo de fornecimento: pode ser iniciado tanto pela decisão de preparar uma proposta para responder a um pedido de um adquirente como pela assinatura e celebração de um contrato para fornecer o produto de software. Continua com a determinação dos procedimentos e com os recursos necessários para gerenciar e garantir o projeto, incluindo o desenvolvimento e a execução dos planos de projetos até a entrega.
      - Processo de desenvolvimento: contém as atividades para a análise de requisitos, projeto, codificação, integração, testes, instalação e aceitação, relacionados aos produtos de software. Pode conter atividades relacionadas ao sistema, caso estipulado em contrato. O desenvolvedor executa ou apoia as atividades ao longo do processo, de acordo com o
        contrato.
      - Processo de operação: contém as atividades do operador. O processo cobre a operação do produto de software e o suporte operacional aos usuários. Como essa operação está integrada à operação do sistema, as
        atividades e tarefas desse processo se referem ao sistema.
      - Processo de manutenção: esse processo é ativado quando o produto de software é submetido a modificações no código e na documentação devido a um problema ou à necessidade de melhoria ou adaptação. O
        objetivo é modificar um software existente, preservando a sua integridade O processo inclui a migração e a descontinuação.
  - - - RAD (Rapid Application Development): traduzido como Desenvolvimento Rápido de Aplicação, é um modelo de desenvolvimento de software incremental, tendo sido foi registrado por James Martin em 1991. É um processo de desenvolvimento de aplicações. Funciona de maneira rápida, com objetivos bem definidos e uma análise de requisitos bem alinhada. Esse modelo reforça o uso de um ciclo curto, com a finalidade de garantir um desenvolvimento melhor e mais rápido
        
        SEGURANÇA DE DADOS
        
        Para que um banco de dados seja eficaz e eficiente, são necessárias algumas características e princípios:
        
        Redundância: ao longo da utilização dos sistemas, o armazenamento de dados das organizações acaba aumentando muito. Os dados acabam sendo gravados de maneira redundante, principalmente quando departamentos e setores organizacionais fazem uso dos dados de maneira simultânea, o que resulta em aumento dos custos de armazenamento e dificulta a gestão e a gerência dos dados pelos sistemas de informação.
        
        • Inconsistência: os dados podem estar armazenados de maneira errada – podem estar desatualizados e incompletos. A inconsistência pode levar a tomadas de decisões equivocadas. Alterações e atualizações constantes na base de dados podem produzir inconsistência. A redundância, somada com a inconsistência, pode acarretar problemas relacionados com a
        atualização e com dados em locais e setores diferentes da base de dados.
        
        Integração: como há um compartilhamento intensivo entre as bases de dados e os mais diversos sistemas que operam sobre esses dados, existe a necessidade de promover integração, estabelecendo níveis de controle em relação à consolidação, à atualização e à comunicação desses dados entre os departamentos e os setores corporativos.
        
        Classificação e mapeamento de dados
        
        Essa prática atende
        algumas premissas da segurança da informação:
        
        Confidencialidade: os dados podem ser confidenciais, reservados ou
        públicos
        
        • Disponibilidade: os dados devem estar disponíveis em minutos, semanas ou meses. Além disso, é necessário elencar dados cuja falta possa impactar a organização.
        
        Integridade: pode ser vinculada à alta, média e baixa exigência em relação
        à integridade.
        
        Autenticidade: recai sobre as exigências de checagem de validade,
        veracidade e autenticidade de dados e informações. É importante saber a procedência e confirmar a utilização.
        
        Outros fatores: a classificação pode estar focada em aspectos como
        criticidade, sensibilidade, ou ainda se os dados são vitais.
        
        Assim, existem softwares que podem ajudar com a descoberta dos dados (data discovery), com os controles de prevenção de perda dos dados (data loss prevention) e com a classificação dos dados (data classification):
        
        Data discovery: os softwares de descoberta de dados identificam, analisam e classificam, de maneira automática, dados que contêm informações pessoais, como nomes, endereços, documentos, contas
        bancárias e telefones.
        
        Data loss prevention (DLP): têm a finalidade de auxiliar na busca de informações e na classificação de informações, com base em criticidade e importância. Softwares de DLP conseguem detectar e impedir violações de dados, transferência não autorizadas, ou ainda descarte indesejado de informações confidenciais. Fazem a proteção dos dados em repouso ou mesmo em movimento, na nuvem ou em qualquer estação de trabalho de usuários.
        
        Data classification – atuam no rastreamento e na proteção das informações. É possível utilizar os softwares de classificação com base em parâmetros de conteúdo dos arquivos, de maneira automatizada ou manual. Existem ferramentas que implementam essa classificação por níveis: secreto, confidencial, público etc. A classificação deve acontecer antes da utilização do DLP. A classificação auxilia os gestores nas tomadas de decisão.
        
        Recursos de segurança de dados
        
        Acesso de administração: limitar a poucos colaboradores o acesso privilegiado a serviços de dados. O controle e o gerenciamento desses acessos são atividades essenciais.
        
        Segurança local e física: impedir o acesso físico a servidores locais que possuam bases de dados é uma prática excelente. Recomenda-se evitar cópias de dados e informações não autorizada dos servidores, risco que acaba sendo minimizado sem um acesso físico aos equipamentos.
        
        Blindagem de servidores: minimizar a área de ataque de um servidor é uma boa medida de proteção. A blindagem de servidor elimina serviços e recursos que não sejam realmente necessários dentro dos servidores. Os administradores dos bancos de dados são peças fundamentais para a
        blindagem dos servidores.
        
        Criptografia: a cifragem dos dados também é muito utilizada em bases de dados e no seu transporte. Diversos sistemas de gerenciamento de banco de dados apresentam funcionalidades ligadas com criptografia e segurança.
        
        Auditoria e gerência de eventos: monitorar todos os eventos e atividades dentro da base de dados faz parte de uma boa auditoria. Ações suspeitas,tentativas de ataque e acessos não autorizados estão vinculados geralmente ao acesso e à ação de algum usuário no banco de dados. A documentação e a utilização de ferramentas avançadas de auditoria
        permitem a criação e a elaboração de alertas de atividades. Recomenda se a revisão de arquivos que guardam as informações dos eventos (logs).
        Em sistemas grandes, milhares de acessos a bancos de dados são realizados diariamente, de modo que o histórico desses acessos é
        importante.
        
        Cópias de segurança: a realização de cópias de segurança (backup) é uma medida primordial para a segurança dos bancos de dados. A recuperação dos dados e a sua restauração, em caso de falhas, é uma necessidade bem comum. Existem ainda questões relacionadas com a retenção de informações em virtude de novas legislações (LGPD), considerando ataques virtuais de sequestro de dados. As rotinas de backup devem ser diárias, semanais e mensais. Validação e testes de recuperação devem ser feitos periodicamente.
      - RUP (Rational Unified Process) – traduzido como Processo Unificado Rational, foi criado pela Rational Software Corporation. Em 2003, foi adquirido pela IBM. Faz uso de uma abordagem de orientação a objetos.
        Seu conceito é projetado e documentado com a utilização de UML para ilustrar os processos. Entre suas principais características, destaque para
        o fato de que é incremental e iterativo.
  - - - Administradores de sistemas: principais responsáveis pelos processos de operação, suporte e disponibilidade do produto de software para usuários e clientes.
      - Gestores de negócio: sua função é fazer o elo entre as necessidade e expectativas de negócio e o desenvolvimento do software
      - Auditores de segurança: têm a responsabilidade de efetuar os testes mais específicos e detalhados em relação à segurança da informação.
      - Testadores: fazem a validação e os testes relacionados a casos de uso, analisando requisitos estabelecidos, simulações e operação do sistema.
      - Gerentes: têm a responsabilidade de coordenar as ações e as atividades executadas pelos times de desenvolvimento e pelos demais envolvidos.
      - • Arquitetos: fazem definições em relação à plataforma de
        desenvolvimento, considerando ainda arquitetura utilizada, normas, padrões e convenções técnicas de produção de software
      - • Desenvolvedores: são os principais atores do processo, atuando como responsáveis por implementar e codificar os requisitos e as regras dos negócios estabelecidos no software.
- - - - Computadores, notebooks, servidores de rede;
        
        Controles Lógicos Estão relacionados com a segurança de softwares, programas, aplicativos, bancos de dados, servidores, computadores, sistemas de informação e redes de computadores. Visam garantir o acesso autorizado aos recursos de tecnologia Dentre os controles lógicos, estes são os principais que devem ser levados em consideração:
        
        Controles de acesso: relaciona-se com a concessão ou negação de direitos de acesso a usuários de sistemas de informação. Definem quais atividades podem ser realizadas, gerando perfis de acesso. Esses controles devem prover autenticação, autorização e auditoria. Muitas aplicações usam a sigla (AAA) para processos relacionados ao controle
        de acesso lógico. A identificação pode ser feita de diversas maneiras.
        
        Combate a invasões e ataques: são dispositivos que se destinam a gerenciar e monitorar, filtrar e registrar acessos lógicos. Eles são colocados nos perímetros da infraestrutura de TI, com a missão de identificar e efetuar o tratamento de tentativas de ataque. São hardwares e softwares focados na proteção e no controle de acesso. Eles combatem
        de forma direta as tentativas de invasão e ataque.
        
        Firewalls: componente essencial da infraestrutura, com a
        responsabilidade de criar uma barreira de segurança no tráfego de dados entre redes internas e externas da organização. Efetuam o monitoramento dos acessos, com a função principal de criar uma proteção entre a internet e a rede privada.
        
        Filtros de conteúdos e aplicações: é uma solução de segurança que faz a filtragem de acesso a páginas de internet e a aplicações. Faz a análise do conteúdo com uma filtragem, de acordo com as regras estabelecidas.
        Apresenta uma importante função no registro dos acessos para auditoria. No meio corporativo, muitas aplicações e conteúdos precisam ser bloqueados e filtrados, de modo a garantir melhor produtividade de colaboradores e parceiros
        
        Sistemas de detecção de intrusão: os chamados IDS fazem a função de monitoria de atividades relativas a computadores e redes. Esses sistemas tentam reconhecer perfis de acessos e comportamentos nocivos, ou ainda
        ações intrusivas, por meio de uma análise das informações disponíveis em redes e sistemas de comunicação, geralmente criando alertas que são enviados aos administradores de rede. Em conteúdo futuro, vamos abordar em detalhes os conceitos de IDS e IPS (sistema de detecção de intrusos), com suas diferenças e similaridades.
        
        Antivírus: são softwares cuja função é proteger computadores e servidores de ameaças e modificações destrutivas de softwares Apresentam a responsabilidade de impedir alterações nos sistemas operacionais, detectando a ameaça em tempo real e executando ações para eliminá-la. Os antivírus utilizam um banco de dados com assinaturas,
        métodos e comportamentos mapeados de todas as ameaças já identificadas. É fundamental que sejam feitas as atualizações automáticas das soluções de antivírus.
        
        Criptografia: conjunto de técnicas que buscam assegurar o envio de mensagens e de informações por meio de um canal de comunicação público (até mesmo inseguro), como a internet.
        
        Assinatura digital: código digital que está anexado a uma mensagem eletrônica cuja função é identificar e validar a integridade do emissor e da sua mensagem
        
        Certificado digital: nada mais é do que uma identificação eletrônica relacionada a empresas e pessoas. Garante autenticidade, confidencialidade e integridade, além de evitar repúdio em operações realizadas por meio da internet, com atribuições e validades jurídicas.
        
        Rede privada virtual: as chamadas VPNs são túneis criptográficos criados entre dois pontos autorizados. Podem ser criadas entre a internet e outras redes públicas para a transferência de informações de maneira segura.
        São usadas em redes corporativas e em acessos remotos, com mecanismos de troca de chaves para a cifragem dos dados. A VPN utiliza protocolos para a criação de túneis criptografados de comunicação, buscando manter as conexões seguras. Entre esses protocolos,
        destacamos:
        
        IPsec: protocolo empregado de maneira dinâmica e flexível para garantir a segurança de transporte de dados entre duas pontas. Tem a função de autenticar e criptografar os pacotes IP de maneira individual em um processo de comunicação. O IPsec é utilizado em uma ampla gama de aplicações na camada da internet do conjunto de protocolos da Internet.
        
        Segurança de recursos humanos: A segurança dos recursos humanos deve atingir os seguintes objetivos:
        
        Reduzir riscos vinculados a erro humano, fraude, roubo, sabotagem e utilização indevida de qualquer informação da organização disponibilizada pelos sistemas de informação
        
        Garantir que todos os colaboradores tenham conhecimento das políticas de segurança, estando cientes das ameaças à segurança e devidamente treinados e formados para o exercício de sua função de maneira normal e segura.
        
        Diminuir o impacto dos danos oriundos de incidentes de segurança e mau funcionamento de sistemas. O aprendizado contínuo dos colaboradores, nesse quesito de segurança, é essencial.
        
        L2TP: um protocolo muito empregado no tunelamento, também para dar o suporte às redes virtuais privadas (VPNs), ou como componente integrante de serviços pelos provedores de serviços
        de internet
      - • Sistemas operacionais (Windows, Linux, Android, MacOS, entre outros);
      - • Impressoras, copiadoras, scanners;
      - • Softwares e aplicativos diversos;
      - • Equipamentos de redes de computadores (switches, firewalls,
      - roteadores);
      - • Servidores de internet (serviços na nuvem);
      - • Unidades de armazenamento (storages);
      - • Equipamentos multimidia (câmeras, microfones, videoconferência)
      - • Sistemas gerenciadores de banco de dados.
  - - - Para minimizar e evitar as ameaças listadas, a segurança física deve levar em conta alguns aspectos:
        
        • Proteção e gerência dos equipamentos: uma série de procedimentos devem ser utilizados para habilitar o gerenciamento de recursos, principalmente equipamentos que suportam as atividades críticas, em relação à segurança física de equipamentos que apresentam fontes de alimentação de energia redundantes, gerência de temperatura e
        componentes de segurança que emitem alertas em caso de pane.
        
        Controles de acesso: permitir acesso à sala de equipamentos, a datacenters e concentradores de rede a pessoas autorizadas, seja por crachá, biometria, senhas de acesso, fechadura eletrônica, utilização de câmeras de segurança, sistemas de gerenciamento de imagens. Ou seja tais equipamentos podem ser implementados. Além disso, auditorias de acesso e outros mecanismos podem vir a garantir que somente a equipe autorizada tem acesso aos equipamentos de TI mais importantes da
        organização.
        
        Localização geográfica: as instalações dos datacenters ou do centro de informática devem levar em conta a localização. Locais próximos a caixas de água, banheiros e redes de esgoto devem ser passíveis de receber fácil monitoramento, com sistemas de combate a incêndios.
        
        Infraestrutura de datacenter: essas áreas precisam ser bem-estruturadas, com estrutura elétrica e lógica e temperatura controlada. A utilização de ar-condicionado é primordial. Como os equipamentos de climatização utilizam muitos recursos elétricos, e o próprio datacenter também consome muita eletricidade, é de suma importância que a infraestrutura de rede elétrica seja a melhor possível. Estabilizadores de energia, nobreaks, fontes redundantes, chaves reversoras, geradores de energia e controles de temperatura são essenciais em tais cenários críticos.
        Fontes de energias redundantes, links de rede e internet de contingência são desejáveis.
- - - - Estratégia: define todos os planos e diretrizes;
      - • Tática: define toda a padronização (normas);
      - • Operacional: define os procedimentos de todos os processos
    - - Regulatória: política referente às necessidades legais impostas à empresa.
      - • Consultiva: política opcional, isto é, não obrigatória. Esse tipo de política indica quais ações devem ser realizadas e como isso deve acontecer para que determinada atividade seja efetuada.
      - • Informativa: especifica o que é desejado dos funcionários, porém não descreve as consequências para o descumprimento das normas estabelecidas. Esse tipo de política contém apenas informações adicionais.
    - - Objetivo
        
        Alguns elementos devem fazer parte da PSI, entre os quais podemos considerar:
        
        Utilização: os sistemas corporativos devem ser utilizados apenas para cumprir os seus objetivos.
        
        Integridade: as condições de todos os aplicativos devem ser íntegras, com
        as informações corretas, de maneira que sejam utilizadas de maneira segura e correta.
        
        Disponibilidade: todos os recursos de tecnologia devem estar disponíveis
        para os usuários quando da sua utilização. Dados e informações sensíveis, importantes e críticos devem estar sempre seguros e
        disponíveis, de maneira ininterrupta.
        
        Autenticidade: é essencial verificar a identidade, a autenticação, o
        controle e a auditoria dos usuários em sistemas. Essas condições são necessárias para avaliar a identificação dos usuários que utilizam os mais diversos sistemas.
        
        Confidencialidade: os dados de uma organização precisam ser
        classificados e disponibilizados somente para os proprietários dos dados e para os grupos relacionados com a sua utilização.
      - • Termos e definições
      - • Política de segurança
      - • Segurança organizacional
      - • Classificação e controle dos ativos de informação
      - • Segurança de recursos humanos
      - • Segurança física e do ambiente
      - • Gerenciamento das operações e comunicações
      - • Controle de acessos
      - • Desenvolvimento e manutenção de sistemas de informação
      - • Gestão de continuidade de negócios
      - • Conformidade
        
        Diretrizes da política de segurança: A política de segurança é um instrumento que materializa todas a intenções do que se deseja fazer em relação à política de segurança da informação, com a transformação de princípios, valores, compromissos, objetivos, requisitos e orientações de tudo que deve ser feito para alcançar um padrão
        
        Segundo Cabral e Caprino (2015), as campanhas de conscientização em segurança da informação têm como objetivo principal mudar os hábitos das pessoas, incorporando precauções até então inexistentes ou deficientes à rotina.
        
        Existem vários tipos de políticas, porém a norma ISO/IEC 27002, ao elencar as diretrizes de uma política de segurança da informação, deve apresentar certas diretrizes, entre as quais:
        
        A definição de segurança da informação, com suas metas globais, importância, escopo e premissas da segurança da informação, como um instrumento que habilita o compartilhamento de informação.
        
        Resolução e declaração da direção sobre o comprometimento, apoiando as metas e princípios da segurança da informação, ajustados com métricas e objetivos da estratégia de negócio. O estabelecimento e a estruturação de todos os componentes de controle, elencando corretamente todos os controles e estabelecendo um gerenciamento de riscos, bem como uma avaliação minuciosa de todos eles.
        
        Um guia que explane todas as políticas, normas, princípios e requisitos de apoiem a conformidade da segurança de tecnologia, com todas as especificações da organização.
        
        Apresenta uma definição de responsabilidades gerais e específicas de toda a gestão da segurança da informação, com a inclusão dos registros de incidentes e dos problemas relacionados à segurança de TI.
        
        Referenciar toda a documentação que possa servir como base, apoiando a política, os procedimentos técnicos mais detalhados e específicos de redes, além de sistemas, infraestruturas e demais regras e diretivas de segurança que todos os utilizadores devem seguir.
        
        Gestão e políticas de senhas um guia de melhores práticas
        para a política de senhas traria os seguintes aspectos:
        
        Sensibilização: senhas são pessoais e não devem ser compartilhadas, pois além de identificar individualmente as ações de uma pessoa, elas podem ser atacadas e usadas como ponto de entrada dos sistemas.
        
        Vejamos mais algumas recomendações para a gestão e a política de senhas:
        
        • Estabelecer senhas fortes
        
        • Elaborar senhas longas e com complexidade
        
        • Utilizar senhas únicas para cada conta de acesso
        
        • Trocar as senhas periodicamente
        
        • Implementar sistemas de bloqueio de contas
        
        • Conscientizar os usuários
        
        Conhecimento: senhas precisam ter um número mínimo de caracteres, combinando letras e números. Também devem ser trocadas periodicamente. O ideal é que não sejam uma palavra conhecida.
        
        Entendimento: ataques contra senhas normalmente se pautam em adivinhação através de processos automatizados. Dessa forma, quanto
        maior a complexidade da senha, mais tempo é necessário para quebrála. Escolher uma palavra existente também simplifica o processo, pois há
        dicionários prontos que são usados nos ataques.
        
        Aplicação: configurar políticas de senhas em determinado sistema operacional, software ou aplicação
        
        Tratamento de dados
        
        O capítulo I é dedicado às disposições gerais, em que são encontradosos princípios que fundamentam a proteção de dados pessoais (art. 2º), o âmbito de aplicação territorial da lei (art. 3º) e os conceitos básicos (art. 5º). Destacamos
        aqui o art. 5º Para os fins da lei, considera-se:
        
        • I - Dado pessoal: informação relacionada a pessoa natural identificada ou identificável.
        
        • II - Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, além de dado referente à saúde ou à vida sexual e dado genético ou biométrico, quando vinculado a uma pessoa natural.
        
        • V - Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
        
        • VI - Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
        
        • VII - Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
        
        • VIII - Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
        
        • IX - Agentes de tratamento: o controlador e o operador.
        
        • X - Tratamento: toda operação realizada com dados pessoais, como as referentes a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, além de modificação, comunicação, transferência, difusão ou extração
        
        capítulo II, são apresentados os requisitos para o tratamento de dados pessoais, com dados pessoais sensíveis, dados pessoais de criança e de adolescente, além de hipóteses de término do tratamento de dados. adolescente, além de hipóteses de término do tratamento de dados. Os direitos dos titulares são apresentados no capítulo III, com a descrição dos prazos e das formas de atendimento das requisições dos titulares.
        
        O capítulo IV é dedicado ao tratamento de dados pessoais pelo Poder Público, com responsabilização em caso de infração à LGPD.
        
        O capítulo V trata da transferência internacional de dados, enquanto o capítulo VI se ocupa dos agentes de tratamento de dados pessoais, com a responsabilidade dos agentes e o ressarcimento dos danos.
        
        O capítulo VII cuida da segurança e das boas práticas a serem adotadas no tratamento de dados pessoais, enquanto o capítulo VIII trata da fiscalização da proteção de dados pessoais, com destaque para o rol de sanções administrativas que podem ser aplicadas pela ANPD
        
        A Autoridade Nacional de Proteção de Dados (ANPD), órgão da
        administração pública federal, integrante da Presidência da República, e o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, são especificados no capítulo IX.
        
        Por fim, o capítulo X se dedica às disposições finais e transitórias. A política de segurança da informação traz esses pontos importantes da LGPD, definindo as responsabilidades dos envolvidos, os níveis de acesso aos dados, a utilização permitida das informações, e se os dados podem ser fornecidos a terceiros ou não. As campanhas e os treinamentos de conscientização fazem parte desse aprendizado.
- - - - Existem ainda outras topologias híbridas que fazem a combinação das topologias apresentadas anteriormente. Entre os meios de transmissão, vejamos elencar alguns dos mais utilizados:
        
        Redes de cabeamento coaxial;
        
        • Redes de cabeamento de fibras ópticas;
        
        • Redes de cabeamento de cobre com pares trançados;
        
        • Redes sem fios que utilizam sinais infravermelhos, micro-ondas e rádio.
        
        A arquitetura das redes pode ser:
        
        • Cliente/servidor: um servidor hospeda os sistemas e informações e a máquina, na função de cliente, garante o acesso dos seus recursos ao servidor.
        
        Segregação de redes A segmentação de rede, quando feita de maneira adequada, pode
        dificultar que um invasor localize e tenha acesso a informações valiosas da organização. A segregação é utilizada para disponibilizar controles lógicos e
        dinâmicos de contenção da invasão, mitigando possíveis danos e ajudando na identificação do ataque através de eventos e alertas de acesso não autorizado.
        
        Os switches de rede apresentam uma funcionalidade chamada VLAN
        (Virtual Local Area Network). Esse recurso permite que um administrador de rede
        segmente a sua rede local, proporcionando uma divisão lógica que pode ser feita
        com base em departamentos, localização, finalidade de utilização, entre outras formas Segmentar a rede ajuda em diversos aspectos: gestão, segurança, desempenho, escalabilidade e controle.
        
        Ponto a ponto (peer to peer): redes em que os computadores se conectam uns aos outros, com o compartilhamento de arquivos. Os computadores podem fazer as funções de cliente e de servidor.
        
        Controles de redes
        
        Uma boa segurança de redes precisa colocar em prática algumas diretrizes para proteger os dados da organização, dentre as quais podemos destacar:
        
        • Criar uma política de complexidade de senhas seguras e com uma estratégia definida, inclusive para as redes de acesso remoto, com conexões sem fio.
        
        Desenvolver uma prática de realização de cópias de segurança, com cronograma diário, mensal e semanal, executando testes periódicos de recuperação de dados.
        
        Fazer investimentos em soluções de segurança (como antivírus, firewalls, soluções de backup e sistemas antispam)
        
        Implantar uma lista de boas práticas e desenvolver uma cultura de segurança na empresa
        
        • Desenvolver um controle rígido em relação à instalação de softwares, combatendo a pirataria e a instalação de aplicações maliciosas.
        
        • Definir diferentes níveis de acesso aos diferentes tipos de usuários e serviços de rede.
        
        Promover a atualização constante de sistemas de segurança, aplicações, sistemas operacionais e soluções de antivírus.
        
        Serviços de redes
        A segurança de redes tem a responsabilidade de controlar a largura de banda, coordenar a instalação de aplicativos, evitar que dispositivos conectados por usuários causem algum dano à rede, fiscalizar os usuários dos sistemas e colocar em prática a políticas de segurança
        
        . Podemos elencar alguns pontos de atenção pertinentes aos serviços de rede:
        
        Implantar um bom controle de acesso;
        
        • Instalar e manter soluções de antivírus e antimalware;
        
        • Implementar a segurança nos diversos aplicativos;
        
        • Fazer análises periódicas da rede de computadores, em sua utilização normal;
        
        • Desenvolver prevenção de perda de dados (DLP);
        
        • Promover a utilização segura dos serviços de e-mail e de mensagens instantâneas
        
        • Aperfeiçoar os filtros de acesso e o controle de aplicações, mantendo os firewalls;
        
        • Manter sistemas de prevenção de intrusões;
        
        • Implementar a segurança de dispositivos móveis;
        
        • Elaborar a segmentação de rede;
        
        • Gerenciar e monitorar as informações de segurança e o log de eventos;
        
        • Utilizar as Rede Privadas Virtuais (VPN) no acesso remoto e na troca de informações pela internet;
        
        • Blindar as aplicações corporativas acessadas pela web;
        
        • Desenvolver um bom nível de segurança para aplicações e redes sem fio.
        
        Dentre os tipos de servidores que encontramos nas redes, os principais são:
        
        Servidores de arquivos: armazenam e compartilham informações.
        
        Servidores de impressão fazem a gerência das filas de impressão e a comunicação com impressoras.
        
        Servidores de mensagens: fazem o gerenciamento de mensagens, emails, contatos, listas de distribuição e mensagens
        
        Servidores de aplicação: hospedam os sistemas e aplicativos das organizações, as páginas web, entre outros.
        
        Servidores de comunicação: fazem o controle de acesso, encaminham requisições, além de filtro de conteúdo, roteamento, entre outras funções.
        
        Entre os modos de operação dessa comunicação, temos três tipos:
        
        Simplex: utiliza apenas um canal de comunicação em apenas um sentido
        
        Half-duplex: dois canais de comunicação (bidirecional), entretanto a comunicação não é simultânea.
        
        Full-duplex: dois canais de comunicação (bidirecional), com comunicação simultânea.