Auditoria De Segurança

Segurança e Auditoria

ETAPA1

Definição de processos de proteção de informações e ativos digitais armazenados em computadores e redes de processamento de dados.

Passo 1

Fazer uma pesquisa na biblioteca de sua faculdade para conhecer o livro texto e os livros complementares da disciplina. Em seguida leia o capítulo de um dos livros que faz uma introdução aos conceitos de segurança em sistemas de informação e redes de computadores.

Primeiro, vamos definir a segurança da informação. Se dez pessoas diferentes foram convidadas para definir segurança da informação, que poderia muito bem receber dez respostas diferentes, mas o que é surpreendente é que eles podem estar corretos. No entanto, o universal, a definição clássica de segurança da informação é breve e simples:

A segurança da informação é a confidencialidade, integridade e disponibilidade da informação.

Estes conceitos e princípios gerais são relevantes em todos os ambientes de computação e servir como a base sobre a qual todos os mecanismos de segurança e controles são concebidos e implementados, independentemente da plataforma específica de hardware, sistema operacional ou aplicativo.

Passo 2

Acessar e conhecer o site da Computer Crime Research Center. Disponível em: <http://www.crime-research.org>. Acesso em:11ago. 2011. Acesse e leia o artigo: Crimes in cyber space de Jane Schmitt. O artigo também se encontra disponível em: <https://docs.google.com/leaf?id=0B5zZAtiBwoEXOTJiYTViN

Passo 3 (Equipe)

Elaborar o Capítulo 01: Segurança em Sistemas de Informação e Redes de Computadores do Manual de Segurança e Auditoria em Sistemas de Informação. Este capítulo deve conter os seguintes tópicos:

1.1 Introdução à Segurança em Sistemas de Informação e Redes de Computadores: escrever um texto que apresente de forma objetiva pelo menos três fatores que levam as empresas a investirem em sistemas de segurança da informação.

Protegendo a rede da empresa consiste em: (1) identificar todos os dispositivos e conexões da rede;

Proteger Rede e Serviços Internos

Rede da sua empresa deve ser separada da Internet pública por fortes mecanismos de autenticação de usuário e sistemas de aplicação de políticas, tais como firewalls e proxies de filtragem da web. Monitoramento e segurança adicional soluções, como o software antivírus e sistemas de detecção de intrusão, também deve ser empregada para identificar e parar código malicioso ou tentativas de acesso não autorizadas.

(2) definição fronteiras entre os sistemas da sua empresa e outros;

Rede Interna

Após a identificação dos pontos de fronteira na rede da sua empresa, cada limite deve ser avaliada para determinar quais os tipos de controles de segurança são necessárias e como elas podem ser melhor utilizados. Roteadores de borda deve ser configurado para apenas encaminhar o tráfego de e para endereços IP públicos de sua empresa, firewalls devem ser implantados para restringir o tráfego apenas de e para o conjunto mínimo de serviços necessários, e os sistemas de prevenção de intrusão deve ser configurado para monitorar a atividade suspeita cruzando seu perímetro da rede. A fim de evitar estrangulamentos, todos sistemas de segurança você implanta perímetro da rede da sua empresa deve ser capaz de lidar com a largura de banda que a operadora oferece.

(3) fazer cumprir os controles para garantir que não autorizado acesso, uso indevido, ou denial-of-service eventos podem ser contrariados ou rapidamente contido e recuperado se eles ocorrem.

Serviços baseados em nuvem

Consultar cuidadosamente seus termos de serviço com todos os prestadores de serviços em nuvem para garantir que as informações da sua empresa e as atividades são protegidos com o mesmo grau de segurança que você pretende oferecer em seu próprio país. Pedir segurança e auditoria de seus prestadores de serviços em nuvem como aplicável às necessidades e preocupações de sua empresa.

Analisar e entender os acordos de nível de serviço ou SLA, para a restauração do sistema e tempo de reconstituição.

Você também deve saber sobre serviços adicionais, um serviço de nuvem pode proporcionar. Estes serviços podem incluir backup serviços e restauração e serviços de criptografia, que pode ser muito atraente para as pequenas empresas.

1.2 Exemplos de Problemas de Segurança em Sistemas de Informação: fazer uma pesquisa na Internet, em livros ou revistas e apresente pelo menos dois casos de falha de segurança em sistemas informação em empresas e suas consequências.

Praticamente todos os softwares têm falhas de segurança – problemas de programação que dão à indivíduos mal-intencionados possibilidades antes inexistentes, como por exemplo infectar um PC por meio de um arquivo de música, foto, documento ou página web. Muitas dessas vulnerabilidades ainda não foram descobertas, e centenas são corrigidas todos os meses em versões novas e atualizações diversas.

Quando uma atualização é divulgada, um criminoso utiliza uma técnica chamada engenharia reversa para descobrir qual foi o erro corrigido. Ele faz isso para conseguir explorar o problema nos sistemas dos usuários que, por algum motivo, não instalaram a atualização.

Pesquisadores de segurança éticos avisam as empresas antes de divulgarem qualquer informação a respeito de um problema de segurança. Assim, os detalhes que permitiriam que a brecha fosse explorada são apenas conhecidos pelo desenvolvedor, pelo menos até o dia em que a atualização for publicada.

No entanto, criminosos não têm interesse em melhorar a segurança dos programas, mas apenas explorar os erros que existem. Por isso, em vez de avisar a empresa ou indivíduo responsável, eles irão tentar usar a falha para ganho próprio.

Exemplo1: Nasa

“Paul Martin, inspetor-geral da Nasa, admitiu em depoimento a um painel do Congresso americano nesta sexta (2) que hackers invadiram redes da agência 13 vezes no ano passado, roubando credenciais dos funcionários e obtendo acesso a projetos considerados "críticos"