ATPS SOFT SEG

ATIVIDADES PRÁTICAS SUPERVISIONADAS – ATPS

Etapa 1

Atividade para compreensão da utilização de recursos seguros no desenvolvimento de soluções computacionais.

SUMÁRIO

1 O DESAFIO...................................................…………………………….........

2 ETAPA 1.............................……….....……………………………………….....

2.1 RELATÓRIO 1......................……..………………………..……………….....

2.2 RELATÓRIO 2......................……..………………………..……………….....

3 REFERÊNCIAS.........………………………………………………………….....

1 O DESAFIO

O processo de desenvolvimento de software aborda diversas prioridades para produzir um produto com excelência, para atender aos requisitos de seus usuários, interface inteligente e intuitiva, boa usabilidade, além de implementar requisitos de Segurança da Informação.

A Segurança da Informação visa à garantia da integridade e confiabilidade de sistemas e dados de uma organização, evitando que informações importantes sejam danificadas ou acessadas de forma indevida.

Para evitar problemas de Segurança da Informação, há diversos conceitos e técnicas a serem utilizados no desenvolvimento de softwares seguros. Essas técnicas são utilizadas tanto nas fases de projeto e análise do sistema quanto na sua implementação.

No desafio proposto, verifica-se a situação em que uma empresa de desenvolvimento de software sofreu diversos ataques em seus sistemas de informações, esses ataques causaram vários prejuízos materiais, comprometendo sua credibilidade no mercado de softwares. Para corrigir as falhas de segurança dos sistemas, essa empresa contratou uma equipe de consultores para auxiliá-la.

Essa equipe tem como objetivo identificar e corrigir possíveis falhas de segurança nos sistemas da empresa e implantar os conceitos de desenvolvimento de software seguro desde as primeiras fases de criação de seus Sistemas de Informações.

Escopo:

Relatório 1: Desenvolvendo Softwares Seguros.

Relatório 2: Evitando Estouro de Buffer.

2 PRINCIPIOS DE SEGURANÇA DE SOFTWARE

Na fase de requisitos:

Economia de mecanismos: Manutenção do desenho simples e menos complexo

Na fase de projeto:

Proteção do ambiente de desenvolvimento: Proteger o ambiente de desenvolvimento para que não "vaze" informações importantes referente ao processo de desenvolvimento do software.

Na fase de implementação:

Validação de segurança na aplicação desenvolvida: Restringir acesso as informações contidas no software.

Na fase de Testes:

Mínimo de privilégios:Direitos mínimos e acesso a usuários explicitamente concedidos

Na fase de manutenção:

Padrões de falhas seguras:Acesso negado por padrão, e garantido explicitamente

3 ETAPA 1

2.1 RELATÓRIO 1: DESENVOLVENDO SOFTWARES SEGUROS

O fato de que dados/informações representam algo invisível, abstrato, colabora para que a maioria das empresas não os considere algo a ser protegido - embora, curiosamente, dependam deles para sobreviver. Outro argumento é de que segurança da informação não gera receita direta. Contudo, investir em segurança da informação é importante. São custos justificados quando levados em conta os benefícios agregados. É necessário cuidar das informações de uma empresa porque o conjunto destas forma um bem de grande valor. Como em um seguro de veículos, onde a relação entre o custo da apólice e o prejuízo evitado no caso de ocorrer um sinistro, segurança da informação também vale o quanto pesa.

O sucesso de um programa de segurança da informação reside em se tomar uma posição

preventiva contra as ameaças e riscos de segurança, reduzindo os pontos vulneráveis para evitar que estas fraquezas sejam utilizadas contra a organização. Profissionais da área de segurança da informação estão sempre sob a constante pressão de ter que demonstrar que projetos de segurança produzem retorno sobre investimento, ou seja, que a execução de projetos de segurança da informação trará algum benefício financeiro para a empresa. Entretanto, a natureza das atividades relacionadas à segurança da informação faz com que projeções financeiras desse tipo tornem-se, no mínimo, difíceis de serem realizadas. A atual moda entre fornecedores de equipamentos e prestadores de serviço relacionados à segurança da informação é de que projetos nessa área geram retorno claro sobre seu investimento. Adicionalmente, a lógica imediatista sugere que agora que a segurança da informação está ganhando ampla aceitação como um importante aspecto do negócio, o próximo passo seria haver algum tipo de cálculo ou projeção de retorno que justifique seu investimento em termos negociais. Se os empresários (ou patrocinadores de um projeto de segurança da informação) passarem a adotar esse conceito, eles contarão com algo que simplesmente não existe em sua essência. Os resultados esperados são geralmente calculados com base na prevenção de alguns futuros eventos hipotéticos