Modelo de Gesto

Formalizao atravs das etapas:

Comit Corporativo de Segurana Mapeamento de Segurana Estratgia de Segurana Planejamento de Segurana Implementao de Segurana Administrao de Segurana Segurana na Cadeia Produtiva

Conjunto de Processos Integrados, com um nico objetivo: gerir dinamicamente controles abrangentes (processos, tecnologia e pessoas) operando sob risco controlado Evita investimentos redundantes, esforos contrrios e possibilita a canalizao da energia para o business da empresa
Seg. Informao Prof. Fred Sauer 1/113

1/113

Conceitos Bsicos de Segurana

Princpios Bsicos:
Confidencialidade
Informao protegida de acordo com o seu grau de sigilo

Integridade
Proteo contra alteraes indevidas, mesmo as acidentais

Disponibilidade
A informao disponvel no momento de sua necessidade

Informao
Presente ou manipulada nos elementos do processo produtivo (ativos) verdadeiro alvo de proteo da SegInfo

Ativo
Elemento de valor para a empresa Equipamentos, meio de armazenamento e a prpria informao
Seg. Informao Prof. Fred Sauer 2/113

2/113

Conceitos Bsicos de Segurana

Aspectos da Prtica da Segurana
Autenticao
Reconhecimento formal de uma identidade

Legalidade
Contratos, legislao e normas vigentes

Aspectos Associados
Autorizao
Permisso de acesso

Auditoria
Coleta de evidncias

Autenticidade
Garantir identidade, autoria, originalidade, integridade e no-repudiao

Severidade
Gravidade do dano

Criticidade
Impacto ao negcio pela ausncia de um ativo

Seg. Informao Prof. Fred Sauer

3/113

3/113

Conceitos Bsicos de Segurana

Ameaas
Naturais, voluntrias ou involuntrias

Vulnerabilidades
Fragilidade efetivamente existente e que, se explorada, pode afetar um ou mais dos aspectos da Segurana So elementos passivos Podem ser:
Fsicas Naturais Hardware Software Mdia Comunicao Humanas

H uma relao oportunista entre as ameaas e as vulnerabilidades

Seg. Informao Prof. Fred Sauer

4/113

4/113

Conceitos Bsicos de Segurana

Medidas de Segurana
Preventivas
Evitar a ocorrncia de incidentes Polticas de Segurana, ferramentas (firewall, antivrus, etc.), palestras, etc.

De Deteco
Identificao de ameaas potenciais Anlise de Riscos, IDS, alertas, cmeras, alarmes

Corretivas
Equipe de Resposta a Incidentes, Plano de Recuperao de Desastres, Plano de Backup

Preditivas
Ligadas a eventos com alta probabilidade de ataques

Um Plano de Continuidade dos Negcios abrange medidas de todos os tipos A validade dessa classificao permitir planejar e focar as aes
Seg. Informao Prof. Fred Sauer 5/113

5/113

Conceitos Bsicos de Segurana

Risco
Probabilidade da explorao de alguma ameaa

Impacto
Abrangncia dos danos causados pela ocorrncia de um incidente

Incidente
Fato decorrente da explorao de uma vulnerabilidade por uma ameaa, gerando impactos nos processos de negcio da empresa

Seg. Informao Prof. Fred Sauer

6/113

6/113

Conceitos Bsicos de Segurana

Desencorajar Dificultar
Cmera de vdeo visvel, avisos de alarmes, treinamento
Dispositivos de autenticao para acesso fsico

Discriminar Detectar Deter

Identificar e gerir os acessos

Sinalizao de situaes de risco (ex.: antivrus e IDS) Aes administrativas, punitivas e bloqueios Anlise de riscos, orientado ao negcio e direcionado para a primeira barreira
7/113

Diagnosticar

Seg. Informao Prof. Fred Sauer

7/113

Plano Diretor de Segurana

Planejar (Plan)
Gerao dos seguintes resultados:
Plano Diretor de Segurana Plano de Continuidade dos Negcios Poltica de Segurana
Implementao de Controles de Segurana Treinamento e sensibilizao de Segurana Anlise de Riscos Teste de Invaso

Implementar (Do)

Atividades de Controle

Analisar (Check)

Diagnsticos com o auxlio de ferramentas

Monitorar (Act)

Gerir o Nvel de segurana

Equipe de Resposta a Incidentes Administrao e Monitorao da segurana

Seg. Informao Prof. Fred Sauer

8/113

8/113

PDCA

Startup
Seg. Informao Prof. Fred Sauer 9/113

9/113

Metodologia para o PDS

Identificao dos Processos do Negcio Resultados esperados: Mapeamento dos Processos Crticos para a operao da empresa Identificao dos gestores-chave dos processos mapeados Incio da integrao e comprometimento dos gestores-chave Incio do entendimento do funcionamento do negcio Mapeamento da Relevncia Resultados esperados: Mapeamento da relevncia dos processos de negcio crticos Envolvimento dos gestores com viso holstica do negcio Percepo dos fatores importantes considerados pelos gestores envolvidos

Seg. Informao Prof. Fred Sauer

10/113

10/113

Estudo de Caso: ROI de soluo antivrus

Custos diretos:
Nmero de contaminaes no ano Percentual de mquinas/processos atingidos Tempo mdio de paralisao Custo homem/hora

Tais fatores podem ainda ser agravados pela indisponibilidade de servios que provocaro outros impactos (ex.: indisponibilidade de Internet Banking) Custos Indiretos:
Mobilizao de equipe de resposta a incidentes Reconstruo e restaurao de arquivos
Seg. Informao Prof. Fred Sauer 11/113

11/113

Estudo de Caso: ROI de soluo antivrus

Custos Intangveis:
Houve comprometimento de informao sigilosa ? Qual foi o impacto para a imagem da empresa ? Qual o custo para reconstruir a imagem de credibilidade da empresa ?

O monitoramento constante vital para novos investimentos em segurana subsidia o ROI

Seg. Informao Prof. Fred Sauer

12/113

12/113

Viso Corporativa
Erros bsicos do dia-a-dia so trazidos para a empresa Tipicamente, aspectos tecnolgicos so privilegiados em detrimento aos fsicos e humanos Investimentos so feitos revelia de objetivos estratgicos e aes so reativas, e no orientadas por um Plano Diretor de Segurana

Seg. Informao Prof. Fred Sauer

13/113

13/113

Ciclo de Vida da Informao

Propriedades
Confidencialidade Integridade Disponibilidade
Autenticidade Legalidade

Aspectos complementares Ciclo de Vida momentos quando estas qualidades so postas em risco
Manuseio Armazenamento Transporte Descarte
14/113

Seg. Informao Prof. Fred Sauer

Desafios
Detalhar e segmentar o problema Percepo bsica:
Alvo a informao A informao circula por toda a empresa A informao sensvel a impactos As vulnerabilidades transcendem o campo tecnolgico, havendo riscos fsicos e humanos

Primeiro passo identificar todos os elementos (ameaas) que interferem nos riscos importante perceber que no h segurana absoluta e sempre haver risco, que deve ser ajustado natureza do negcio
Seg. Informao Prof. Fred Sauer 15/113

15/113

Alguns pecados comuns

Atribuir a Segurana exclusivamente ao setor tecnolgico Nunca priorizar investimentos em segurana, tratando-a como despesa Elaborar planos excessivamente reativos No vincular a segurana ao negcio Adotar ferramentas pontuais No cultivar cultura corporativa de segurana Tratar a segurana como um projeto, e no como um processo
Seg. Informao Prof. Fred Sauer 16/113

16/113