|
A informação, assim como qualquer outro bem, tem um valor para a
organização e, conseqüentemente, necessita de uma forma
conveniente de proteção. A Segurança da Informação é
caracterizada pela preservação da confidencialidade, da
integridade e da disponibilidade de um bem de informação na
forma de documento, arquivo magnético, programa de computador ou
procedimentos, onde:
Confidencialidade:
assegura que a informação estará acessível somente para
aqueles que têm permissão;
Integridade:
garante a precisão da informação assim como ela foi concebida e
dos métodos de processamentos;
Disponibilidade:
assegura que usuários autorizados terão a informação
acessível quando requerida;
A Metodologia de Segurança desenvolvida pela IComNet
visa oferecer aos seus clientes, de forma objetiva e clara, um
conjunto de políticas e procedimentos para a proteção dos seus
bens de informação, tendo como referencia a Norma ISO/IEC 17799
homologada em dezembro de 2000.
Estas políticas e práticas são organizadas segundo o ciclo: diagnóstico, planejamento,
implementação e monitoramento. A abrangência ou profundidade
definida para cada ciclo é discutida e aprovada pelo cliente de
acordo com as necessidades do seu negócio. Cada etapa de um
ciclo gera um conjunto de produtos, na forma de políticas,
procedimentos, práticas, funcionalidades de software ou
estrutura organizacional.
De forma geral, são definidos três ciclos, compreendendo:
infra-estrutura; aplicações e engenharia social. O Ciclo da
Infra-estrutura compreende todos os aspectos relacionados a
conectividade, tais como: redes locais; redes de longa
distância; acessos externos; serviços Internet/Intranet;
servidores e sistemas operacionais; sistemas de backup e
restore; proteção contra vírus; e segurança física.
O Ciclo de Aplicações compreende a análise das metodologias de desenvolvimento com respeito a
requisitos específicos de segurança, tais como: controle de
acesso, log, documentação, política de senhas, procedimentos de
backup.
O Ciclo de Engenharia Social compreende desde a
implementação de políticas de conscientização de funcionários e
dirigentes até a elaboração de programas de treinamentos e
divulgação de ações de segurança. São também sugeridos modelos
de estruturas organizacionais para a condução das políticas de
segurança.
O Ciclo da Segurança
A Etapa de Diagnóstico, que compreende uma avaliação do cenário atual da Instituição, é
segmentada em ações menores, que são:
Análise de Perímetro:
é composta de uma avaliação sistemática das condições da infra-estrutura relativas à ameaças internas e
externas. Como parte da avaliação do cenário poderão ser realizados, sob condições bem definidas,
testes de invasão;
Análise de Vulnerabilidade:
são avaliadas desde a estratégia e o planejamento da instituição relativas à segurança
da informação, até a análise das políticas existentes, controle de acesso físico e lógico,
configurações de servidores e práticas correntes;
Análise de Risco e Continuidade do Negócio:
são identificadas e documentadas as vulnerabilidades e ameaças que podem colocar em
risco a continuidade dos negócios da instituição, criando estratégias de continuidade
das operações críticas dependentes de TI;
Diagnóstico de Segurança:
é apresentado um relatório detalhado descrevendo a situação atual quanto a vulnerabilidade
e riscos da instituição, bem como, são apontadas recomendações de procedimentos e práticas
para um reposicionamento da instituição quanto à Segurança da Informação;
Planejamento
Nesta etapa são detalhadas todas as ações e soluções resultantes da avaliação anterior, em particular:
Política de segurança com objetivos e atividades que reflitam os objetivos da
instituição
e que sejam consistentes com a sua cultura;
Desenvolvimento na organização de um entendimento dos requisitos de segurança, dos riscos
potenciais e das formas de gerenciamento dos riscos;
Desenvolvimento de procedimentos para divulgação de políticas e padrões de segurança para todos
os funcionários e contratados da instituição;
Plano de conscientização baseado em treinamento e educação para a segurança da informação;
Desenvolvimento de um sistema adequado para avaliar o grau de implementação
e recolhimento de sugestões para uma atualização contínua das políticas de segurança;
Implementação
Nesta Fase todas as atividades planejadas
serão implementadas levando em conta as prioridades e a
abrangência acordadas com a instituição. As implementações
também obedecem o conceito de ciclos, entretanto, não existe,
necessariamente, uma dependência entre atividades de um ciclo e
outro, muitas delas podendo ser executadas em paralelo.
O resultado das implementações deve ser visível para a
organização.
Monitoramento
A fase de Monitoramento é considerada de grande
importância como forma de preservação dos investimentos feitos
para implementação de políticas e procedimentos de segurança. A
experiência mostra que a falta de acompanhamento e auditorias
constantes levam ao relaxamento nos procedimentos que, ou se
tornam obsoletos em virtude a constante inovação das tecnologias
ou introdução de novas ameaças.
O monitoramento pode ainda ser desenvolvido na forma de
um serviço permanente oferecido pela IComNet. Visitas periódicas
de avaliação podem ser programadas além de acompanhamento remoto
contínuo através da analise de log dos principais serviços, tais
como: acesso ao firewall, acesso web, correio eletrônico, ftp,
telnet, e da atuação direta em casos de incidentes de segurança,
notificados por processo automático, no momento da ocorrência.
O
Ciclo da Segurança
|
