Segurança E Auditoria

Introdução

A auditoria em segurança da informação tem o papel de assegurar a qualidade da informação e participar do processo de garantia quanto a possíveis e indesejáveis problemas de falha humana.

Com dados concentrados em formato digital e procedimentos invisíveis devido à automação, os sistemas de informação são vulneráveis a destruição, abuso, alteração, erro, fraude e a falhas de programas e equipamentos. Os sistemas on-line e os que utilizam a Internet são os mais vulneráveis, pois seus dados e arquivos podem ser acessados imediata e diretamente em terminais de computador ou em muitos pontos de rede. Crackers podem invadir redes e causar sérios danos ao sistema e às informações armazenadas, sem deixar qualquer rastro. Vírus de computador podem se propagar rapidamente entupindo a memória de computadores e destruindo arquivos. Os softwares em si também apresentam problemas e a má qualidade dos dados também pode causar sérios impactos sobre o desenvolvimento do sistema.

Qualquer grande empresa precisa tomar providencias especiais para evitar as vulnerabilidades. Para tanto, planos de recuperação pós-desastre incluem procedimentos e instalações para restaurar os serviços de comunicação após terem sofrido algum tipo de problema. Quando a empresa utiliza intranet ou Internet, firewalls e sistemas de detecção de invasão ajudam a salvaguardar redes internas contra o acesso não autorizado. 

ETAPA 1

PASSOS

Passo 1 (Aluno)

Fazer uma pesquisa na biblioteca de sua faculdade para conhecer o livro texto e os livros complementares da disciplina. Em seguida ler o capítulo de um dos livros que faz uma introdução aos conceitos de segurança em sistemas de informação e redes de computadores.

Passo 2 (Aluno)

Acessar e conhecer o site da Computer Crime Research Center. Disponível em: <http://www.crime-research.org>. Acesso em: 11 ago. 2011. Acesse e leia o artigo: Crimes in cyber space de Jane Schmitt. O artigo também se encontra disponível em: <https://docs.google.com/leaf?id=0B5zZAtiBwoEXOTJiYTViNTUtNjI4NC00ZWZmLTk4YTUtY2VlZTM5Nzk0OTUw&hl=en>. Acesso em: 11 ago. 2011.

Passo 3 (Equipe)

Elaborar o Capítulo 01: Segurança em Sistemas de Informação e Redes de Computadores do Manual de Segurança e Auditoria em Sistemas de Informação. Este capítulo deve conter os seguintes tópicos:

1.1 Introdução à Segurança em Sistemas de Informação e Redes de Computadores: escrever um texto que apresente de forma objetiva pelo menos três fatores que levam as empresas a investirem em sistemas de segurança da informação.

A segurança da informação tem dois objetivos principais: o primeiro é preservar (Confidencialidade, Integridade e Disponibilidade) os dados e informações da organização, de seus clientes, funcionários e parceiros. O segundo é garantir a continuidade operacional do negócio em caso de incidente, minimizando os impactos financeiros, de imagem e operacionais, decorrentes deste incidente.

Confidencialidade

Garantia de que o acesso às informações seja obtido somente por entidades autorizadas. A confidencialidade pode ser classificada em níveis de acordo com as necessidades da empresa, podendo ser:

Confidencial – Pode ser manipulada por um número reduzido de pessoas ou um setor da empresa, como por exemplo P&D;

Restrita – Informação restrita pode ser manipulada por contingente maior de pessoas ou um nível hierárquico, como por exemplo o plano estratégico da empresa que pode ser visto até no nível hierárquico de diretoria;

Interna – Este tipo de informação deve ser limitado à da empresa, como as listas de ramais, memorandos internos, norma internas, manuais, etc.;

Pública – Estas informações podem também ser divulgadas ao público ou publicadas em revistas, sites, etc. Informações públicas podem também ser conhecidas como ‘não classificadas’, pois entende-se que se não foi classificada é porque é pública. Isso pode trazer sérios problemas para a empresa, pois uma falha de classificação pode expor informações confidenciais ao público. O mais seguro seria adotar que tudo o que não é classificado é interna.

Integridade

Garantia de que as informações serão protegidas contra alterações não autorizadas e mantidas a exatidão e a inteireza das mesmas, tal qual como foi armazenada e disponibilizada.

Um dado, ou informação, armazenado deve permanecer integra para quando for recuperado. Para que isso seja verdadeiro não poderá sofrer interferência alguma que o modifique, seja por falhas intencionais ou não. Os métodos de processamento, normalmente sistemas, devem também ter a integridade preservada, pois uma alteração num sistema pode comprometer as informações resultantes do processamento.

Este conceito não garante que os dados estejam corretos, pois se forem armazenados errados, assim permanecerão até que uma entidade autorizada os corrija.

Disponibilidade

Garantia de que as informações estarão disponíveis onde e quando as entidades autorizadas necessitarem, com total segurança.

A informação não tem valor para a empresa caso não esteja disponível quando for requisitada.

Muitos ataques tentam derrubar este pilar da segurança por meio da negação de serviço com ataques do tipo DoS ou DDoS, interrompendo o acesso aos serviços e informações das empresas. Para que este problema seja apresentado não é necessário ataque sofisticado, bastando para isso apenas que uma linha de comunicação seja interrompida ou que um servidor seja fisicamente comprometido, intencionalmente ou não. A falta de energia que alimenta o servidor de dados pode causar indisponibilidade, caso não haja contramedidas para este problema.

A manutenção destes pilares da segurança da informação só será atingida se houver a integração entre segurança física e do ambiente, tecnológica e em pessoas como já foi apresentado.

1.2 Exemplos de Problemas de Segurança em Sistemas de Informação: fazer uma pesquisa na Internet, em livros ou revistas e apresente pelo menos dois casos de falha de segurança em sistemas informação em empresas e suas consequências.

Em dezembro de 2009, a Google informou que foi vítima de um ataque virtual que partiu da China. Na verdade, ela não foi a única empresa a ter sua segurança quebrada. Na mesma