O tema Segurança da Informação desperta muito interesse em várias audiências desde executivos e gerentes até técnicos. Isto ocorre, principalmente porque a segurança cobre diversas áreas, tais como: segurança física, infraestrutura tecnológica, aplicações e conscientização organizacional, cada uma delas com seus próprios riscos, ameaças potenciais, controles aplicáveis e soluções de segurança que podem minimizar o nível de exposição ao qual a empresa está exposta, com o objetivo de garantir segurança para o seu principal patrimônio: a informação.
Normalmente, quando o assunto segurança é discutido, as pessoas associam o tema a hackers e vulnerabilidades em sistemas, onde o principal entendimento é de que a empresa precisa de um bom antivírus, um firewall e ter todos os seus “patches” aplicados no ambiente tecnológico. Não há dúvida de que são questões importantes, porém a Segurança da Informação não está limitada a somente esses pontos.
Um Gestor de Segurança da Informação (Security Officer), deve estar atento a itens como: ambiente, tecnologia, processos e pessoas. Em cada uma dessas vertentes surgem diversas iniciativas, por exemplo, Políticas, Normas e Procedimentos, Controle de Acesso (Físico e Lógico), Auditoria, Questões Legais, Continuidade de Negócios, Criptografia, Gerenciamento de Incidentes, Segurança da Rede, Conscientização dos Usuários, dentre outros.
O importante é deixar claro que a Segurança não está ligada somente a ações de hackers, um vírus que infectou uma estação de trabalho ou um patch que não foi aplicado a um servidor da rede.
Os três princípios fundamentais da segurança da informação:
Confidencialidade (sigilo): É a garantia de que a informação não será conhecida por quem não deve. O acesso às informações deve ser limitado, ou seja, somente as pessoas explicitamente autorizadas podem acessá-las. Perda de confidencialidade significa perda de segredo. Se uma informação for confidencial, ela será secreta e deverá ser guardada com segurança, e não divulgada para pessoas não-autorizadas.
Integridade: Esse princípio destaca que a informação deve ser mantida na condição em que foi liberada pelo seu proprietário, garantindo a sua proteção contra mudanças intencionais, indevidas ou acidentais. Em outras palavras, é a garantia de que a informação que foi armazenada é a que será recuperada.
Disponibilidade: É a garantia de que a informação deve estar disponível, sempre que seus usuários (pessoas e empresas autorizadas) necessitarem, não importando o motivo. Em outras palavras, é a garantia que a informação sempre poderá ser acessada.
Em uma corporação, a segurança está ligada a tudo o que manipula direta ou indiretamente a informação (inclui-se aí também a própria informação e os usuários), e que merece proteção.
Ativos
Ativos são os elementos que sustentam a operação do negócio. Eles podem ser classificados em:
- Tangíveis: informações impressas, móveis, hardware (Ex.: impressoras,scanners);
- Intangíveis: marca de um produto, nome da empresa, confiabilidade de um órgão federal etc.;
- Lógicos: informações armazenadas em uma rede, sistema ERP (sistema de gestão integrada) etc.;
- Físicos: galpão, sistema de eletricidade, estação de trabalho etc.;
- Humanos: funcionários
Os ativos são os elos da corrente e estes sempre trarão consigo vulnerabilidades que, por sua vez, submetem os ativos a ameaças.
Vulnerabilidades
Vulnerabilidades de Hardware
Compreendem possíveis defeitos de fabricação, erros de configuração ou falhas nos equipamentos. Como exemplos citam-se erros decorrentes da instalação, desgaste, obsolescência ou má utilização do equipamento.
Vulnerabilidades de Software
São possíveis falhas de programação, erros de instalação e configuração, que podem, por exemplo, causar acesso indevido, vazamento de informações, perda de dados.
Vulnerabilidades de Armazenamento
Relacionadas com a forma de utilização das mídias (disquetes, CD-ROMs, fitas magnéticas, discos rígidos dos servidores, etc.) em que estão armazenadas as informações, como também o armazenamento de fitas em local inadequado.
Vulnerabilidades de Comunicação
Relacionadas com o tráfego de informações, independente do meio de transmissão, podendo envolver ondas de rádio, satélite, fibra ótica etc. Podem, por exemplo, permitir acesso não autorizado ou perda de dados durante a transmissão de uma informação.
Vulnerabilidades Humanas
Relacionadas aos danos que as pessoas podem causar às informações e ao ambiente tecnológico que as suporta, podendo ser intencionais ou não. Podem ocorrer devido a desconhecimentos das medidas de segurança, falta de capacitação para execução da tarefa dentro dos princípios de segurança, erros e omissões.
Ameaças
Ameaça é algo que possa provocar danos à segurança da informação, prejudicar as ações da empresa e sua sustentação no negócio, mediante a exploração de uma determinada vulnerabilidade.
Ameaça pode ser uma pessoa, uma coisa, um evento ou uma ideia capaz de causar dano a um recurso, em termos de confidencialidade, integridade, disponibilidade, etc.
Ameaças externas: São aqui representadas por todas as tentativas de ataque e desvio de informações vindas de fora da empresa. Normalmente essas tentativas são realizadas por pessoas com a intenção de prejudicar a empresa ou para utilizar seus recursos para invadir outras empresas.
Ameaças internasEstão presentes, independentemente das empresas estarem ou não conectadas à Internet. Podem causar desde incidentes leves até os mais graves, como a inatividade das operações da empresa