A gestão da segurança da informação é fundamental para proteger ativos importantes de uma organização, prevenindo e respondendo a incidentes que possam comprometer a integridade, disponibilidade e confidencialidade dos dados.
eventos de segurança indesejados que violem alguns dos aspectos principais da segurança da informação
“evento decorrente da exploração de uma vulnerabilidade por uma
ameaça”, em outras palavras um ataque representa a concretização de uma
ameaça.
“a expectativa de
acontecimento acidental ou proposital, causado por um agente, que pode afetar
um ambiente, sistema ou ativo de informação”.
ponto fraco do ativo
qualquer coisa que tenha
valor para a organização.
PRINCÍPIOS DA SEGURANÇA DA INFORMAÇÃO
ATAQUE
Ativos: Prejudicam diretamente o conteúdo do recurso
atacado, modificando e eliminando informações ou gerando
informações falsas.
Passivos: São aqueles que não interferem no conteúdo
do recurso que foi atacado, como por exemplo, observação e
conhecimento de informações armazenadas nos sistemas
institucionais ou análise de tráfego de uma rede.
informação: (contratos e acordos, documentações de
sistema, bases de dados, manuais de usuário, etc)
SEGURANÇA DA INFORMAÇÃO
Disponibilidade: “Garantia de que a informação e os ativos
associados estejam disponíveis para os usuários legítimos de
forma oportuna” (Beal, 2008, p. 1). Ou seja, independente da
finalidade, a informação deve estar disponível.
Integridade: “Toda informação deve ser mantida na mesma
condição em que foi disponibilizada pelo seu proprietário,
visando protegê-las contra alterações indevidas, intencionais ou
acidentais”. Ou seja, informação não
adulterada.
Confidencialidade: “Garantia de que o acesso à informação é
restrito aos seus usuários legítimos.”. Ou seja,
seu acesso é permitido apenas a determinados usuários.
INCIDENTE DE SEGURANÇA
Detectar, relatar e avaliar os incidentes de segurança da informação;
Responder e gerenciar incidentes de segurança da informação;
Melhorar continuamente a segurança da informação e o gerenciamento
de incidentes;
AMEAÇA
intecionalidade
“Voluntárias: Ameaças propositais causadas por agentes
humanos como hackers, invasores, espiões, ladrões, criadores e
disseminadores de vírus de computador, incendiários."
“Involuntárias: Ameaças inconsistentes, quase sempre
causadas pelo desconhecimento.”
“Naturais: Ameaças decorrentes de fenômenos da natureza”
propositais
Passivas: “Envolvem invasão e/ou monitoramento, mas sem
alteração de informações”.
Ativas: “Envolvem alteração de dados”.
acidentais
falhas de hardware, desastres
naturais, erros de programação, etc
PROBABILIDADE E IMPACTO
o impacto pode ser de curto a longo prazo em função do tempo em que atinge significativamente os negócios da instituição
incidente de segurança da informação pode ou não causar um impacto nos
processos/negócios da organização. E ele se localiza depois do incidente
A Probabilidade é a possibilidade de uma falha de segurança
acontecer
0. Impacto irrelevante
1. Efeito pouco significativo, sem afetar a maioria dos processos de
negócios da instituição.
2. Sistemas não disponíveis por um determinado período de tempo,
podendo causar perda de credibilidade junto aos clientes e pequenas
perdas financeiras.
3. Perdas financeiras de maior vulto e perda de clientes para a
concorrência.
4. Efeitos desastrosos, porém sem comprometer a sobrevivência da
instituição.
5. Efeitos desastrosos, comprometendo a sobrevivência da instituição.
VULNERABILIDADE
Humanas - Falta de treinamento, compartilhamento de
informações confidenciais, não execução de rotinas de
segurança, erros ou omissões; ameaça de bomba, sabotagens,
distúrbios civis, greves, vandalismo, roubo, destruição da
propriedade ou dados, invasões ou guerras."
Comunicação - Acessos não autorizados ou perda de
comunicação.
Mídias - Discos, fitas, relatórios e impressos podem ser
perdidos ou danificados. A radiação eletromagnética pode
afetar diversos tipos de mídias magnéticas.
Software - Erros na instalação ou na configuração podem
acarretar acessos indevidos, vazamento de informações, perda
de dados ou indisponibilidade do recurso quando necessário.
Hardware - Falha nos recursos tecnológicos (desgaste,
obsolescência, má utilização) ou erros durante a instalação.
Naturais - Computadores são suscetíveis a desastres naturais,
como incêndios, enchentes, terremotos, tempestades, e outros,
como falta de energia, acúmulo de poeira, aumento umidade e
de temperatura etc.
Físicas - Instalações prediais fora do padrão; salas de CPD
mal planejadas; falta de extintores, detectores de fumaça e de
outros recursos para combate a incêndio em sala com armários
e fichários estratégicos; risco de explosões, vazamento ou
incêndio.
