Tpico 18 Segurana Fsica Teve incio nos anos 70, devido a atos de vandalismo na Alemanha, por estudantes que

e apontavam a informatizao das empresas como principal motivo do desemprego, depois disso a segurana da informao tem se tornado cada vez mais efetiva. No Brasil essa necessidade se consolidou nos anos 90, tendo suas normas editadas pela ABNT. O ambiente de processamento de informaes deve ser localizada em uma rea livre de fatores de risco, exceto se as atividades dessa organizao envolverem esses riscos, de maneira que as diretrizes de segurana devero ser aplicadas de maneira ainda mais estrita. Deve-se evitar sua proximidade com: Depsitos de materiais de combustveis; Terrenos abaixo do nvel de rios, lagos, represas, etc.; Tubulaes de distribuio de gua ou de transporte de lquido ou gases; Locais sujeitos a manifestaes populares, atentados e greves; Locais sujeitos a alta incidncia de descargas atmosfricas; Antes de transmisso de rdio, TV, micro-ondas, telefonia celular; Estaes de energia eltrica e linha de transmisso de alta tenso; Locais sujeitos a vibraes ou impactos de alta intensidade; Local com alto nvel de poluio atmosfrica; O mais recomendvel : Construo/utilizao de um edifcio exclusivo; Localizado acima do nvel do solo, no centro de uma rea exclusiva; Com instalaes mais sensveis no centro do edifcio; Com as reas de apoio na periferia; Recintos separados para atividades que impliquem em riscos maiores; Deve-se verificar se existe condies de fornecimento dos seguintes servios ou facilidades: Infraestrutura viria; Servios de transporte de pessoal; Fornecimento de energia eltrica, gua e rede de esgoto; Fornecimento dos servios de comunicaes; Fornecimento de combustveis; Servios de alimentao; Outros servios de apoio; A estrutura fsica de possuir detalhes construtivos e arquitetnicos com o nvel adequado de segurana, seus principais pontos so: a) Piso, teto e paredes. b) Iluminao e programao visual c) Acabamento e mobilirio d) Infraestrutura do edifcio Energia eltrica:

A energia no pode ser interrompida, de ver ser linear e estabilizada, recomenda-se uso de no-break, que alm de fornecer energia estvel, tambm serve como fonte alternativa. Deve ser dimensionada a modo que suporte 50% a mais da capacidade utilizada, devido aos picos de demanda. Deve ser modular para permitir expanses, possuir transformadores que isolem a instalao interna da externa, garantir atravs de geradores movidos a diesel que o fornecimento de energia no dependa somente de fontes externas. Possuir um aterramento eficiente. Cabeamento: Separar cabos de dados e os cabos de eletricidade, para garantir que no haja interferncias. Proteger os cabos com tubos condutes e canaletas atravs do piso elevado, codificar e identificar os cabeamentos para futuras manutenes e expanses do sistema. Climatizao: vital que o sistema de ar-condicionado seja mantido em operao permanente, seu sistema de climatizao deve observar os seguintes pontos: Exclusividade dos equipamentos; Redundncia; Localizao estratgica e segura; Utilizar sensores de temperatura e umidade; Sistema de filtragem e vedao; Limpeza peridica da parte interna dos dutos; Instalao de gua gelada; Seu ambiente deve ser isento de impurezas, bem como o clima possuir condies ideais e estveis, uma presso positiva deve ser mantida no recinto, impedindo a entrada de fumaa e impurezas. A temperatura e a umidade devem ficar em 22 graus clsius e 55% respectivamente. Proteo contra incndios: Recomenda-se a utilizao de detectores de fumaa inicos, por seu tempo de resposta ser menor, detectores inteligentes pticos de fumaa, pois funcionam por mais tempo em condies de sujeira. Utilizar detectores de cmara de aspirao, para obter preciso na anlise do ar com raios laser em uma cmara fechada. Esses detectores devem ser instalados no piso, no ambiente e no teto rebaixado, obedecendo aos regulamentos das normas de deteco e alarme de incndio. O combate ao incndio pode ser automtico, atravs do sistema de deteco em conjunto com a liberao automatizada de gases ou a utilizao de extintores de CO2, que devem ser alocados em nmero adequados dentro do recinto.

Extintores de gua e p qumico no so recomendados, pois danificam o equipamento. Atualmente utiliza-se o gs FM200, que dimensionada corretamente, de acordo com o volume da sala eficaz e no txico para pessoas, ao contrrio do gs carbnico que letal, alm disso, o CO2 provoca mudanas bruscas na temperatura do ambiente. As paredes devem suportar no mnimo 1260 graus clsius por uma hora, tambm devem possuir enchimentos com materiais isolantes, geralmente fibra de cermica, silcio ou l de rocha. As tintas intumescentes, que aplicadas junto as estruturas metlicas impedem a propagao do fogo. As massas corta fogo so indicadas para cobertura de cabos eltricos e de dados. Infraestrutura hidrulica: Instalaes de climatizao necessitam de gua com fludo de troca de calor, deve ser previsto reservatrio de gua com capacidade para atender a todas as necessidades (consumo humano, limpeza e extino de incndios). Seu sistema de distribuio deve ser adequado em drenos, calhas, impermeabilizao e afastamento do esgoto. Controle de acesso fsico: Tem como objetivo controlar o acesso a reas delimitadas, edifcios, sala de computadores e de arquivos, centrais de instalaes e equipamentos auxiliares. Devem ser considerados os seguintes aspectos: Muros, cercas e outros obstculos fsicos; Iluminao de permetro; Sinalizao de advertncia ou aviso; Controle de veculos (carga/descarga, entrada/sada e estacionamento); Segurana em reas restritas ou de apoio; Aberturas e passagens; Racks, quadros e caixas de controle em geral; Entrada de objetos estranhos; Circuito fechado de TV; Zonas de segurana;

Tpico 19 Segurana no desenvolvimento de sistemas Devem ser considerados aspectos, tais como: 1) Detalhar na poltica de segurana os requerimentos de segurana que devem ser atendidos. 2) A documentao deve ser sempre atualizada e armazena em local seguro e controlado.

3) Auditar as transaes executados por usurios nos acessos aos cdigos-fonte. 4) Criptografia de informaes confidenciais 5) Automatizar a interface entre sistemas para evitar transaes incorretas. 6) Segregao de funes 7) No permitir o acesso de usurios diretamente no banco de dados de produo. 8) Controle sobre os cdigos-fonte, para assegurar que todas alteraes tenham sido autorizadas, documentadas e testadas. Requisitos de segurana de sistemas: Objetivo: garantir que a segurana seja parte integrante dos sistemas de informao. Segurana nos sistemas de aplicao: Objetivo: Prevenir perda, modificao ou uso imprprio de dados do usurio nos sistemas de aplicaes. Convm controles apropriados, trilhas de auditoria ou registro de atividades que sejam previstos para os sistemas de aplicao, incluindo aplicaes escritas por usurios. Convm validar dados de entrada, processamento interno e dados de sada. Controles adicionais so necessrios para sistemas que processam ativos organizacionais crticos, valiosos ou sensveis, tais controles sero determinados na base de requisitos de segurana e avaliao de riscos. Controles de Criptogragia: Objetivo: Proteo da confiabilidade, autenticidade e integridade das informaes. Utiliza-se de tcnicas e sistemas criptogrficos utilizados para a proteo das informaes consideradas de risco. Segurana de arquivos dos sistemas: Objetivo: Garantir que os projetos de tecnologia da informao e suas atividades sejam conduzidas de maneira segura. Convm controle ao acesso dos arquivos, e da manuteno da integridade seja de inteira responsabilidade do usurio ou grupo desenvolvimento a quem pertence o sistema.

Segurana nos processos de desenvolvimento e suporte: Objetivo: Manter a segurana do software e da informao do sistema de aplicao. Convm que os ambientes de desenvolvimentos e suporte seja rigidamente controlados, que seus gestores seja responsveis pela segurana do ambiente, que garantam que todas as modificaes no sistemas sejam analisadas criticamente, a fim de verificar se estas mudanas no comprometem a segurana do sistema ou ambiente de produo. NORMA NBR-ISSO/IEC 27002, CAPTULO 12 AQUISIO, DESENVOLVIMENTO E MANUTENO DE SISTEMAS DE INFORMAO, A SEGURANA NA AQUISIO, NO DESENVOLVIMENTO E MANUTENO DE SISTEMAS ONDE PODEMOS DESTACAR OS ITENS: 12.2 Processamento correto das aplicaes. 12.2.1 Validao dos dados de entrada. 12.2.2 Controle de processamento interno 12.3 Controles criptogrficos 12.4 Segurana dos arquivos dos sistema 12.4.1 Controle do software operacional 12.4.2 Proteo dos dados para teste de sistema 12.4.3 Controle de acesso ao cdigo-fonte de programa 12.5 Segurana em processos de desenvolvimento e de suporte. 12.5.1 Procedimentos para controle de mudanas 12.5.4 Vazamento de informaes 12.5.5 Desenvolvimento terceirizado de software

Processamento correto nas aplicaes: Objetivo: Prevenir a ocorrncia de erros, perdas, modificaes no autorizadas ou mal uso de informaes nas aplicaes. Convm que controles apropriados sejam incorporados para assegurar o processamento correto. Convm que esses controles incluam validao de dados de entrada, processamento interno e nos dados de sada.

TPICO 24 Ataque Ao para derrubar uma pgina web atravs de uma congestionamento de acessos. Invaso quando se consegue entrar no sistema e roubar dados sigilosos. Hacker um termo genrico para identificar quem realiza o ataque em um sistema computacional. Esse termo generalizado, pois os ataques apresentam diferentes objetivos, seu sucesso depende do grau de segurana dos alvos, sistemas bem protegidos so mais difceis de serem atacados, exigindo maior habilidade dos hackers. Os hackers, so aqueles que se utilizam de seus conhecimentos para invadir sistemas, no para causar prejuzos, mas sim para testar seus conhecimentos. Crackers Os crackers so elementos que invadem sistemas para roubar informaes e causar danos s vtimas. O termo cracker tambm uma denominao utilizada para aqueles que decifram cdigos e destroem protees de software. Script kiddies Jovens inexperientes que se utilizam de programas prontos para invadir os sistemas. Devido facilidade de se obter esses programas, os scripts kiddies so perigosos para um grande nmero de organizaes que no possuem uma politica de segurana bem definida. Cyberpunks Se dedicam s invases somente por divertimento e desafio. Seus principais alvos so o governo e grandes corporaes. Geralmente so eles que encontram novas vulnerabilidades em servios, sistemas ou protocolos, prestando um favor as organizaes, publicando suas vulnerabilidades encontradas, contribuindo com a indstria de software para correo de seus produtos.

Insiders Responsveis pelos incidentes de segurana mais graves nas organizaes, uma grande parte desses incidentes, so causados por funcionrios, ex-funcionarios ou pessoas que conseguem se infiltrar nas empresas. Vrias questes esto envolvidas com esse tema, desde a engenharia social, relacionamento entre os funcionrios, at o suborno e a espionagem industrial. White Hats Tambm conhecidos como hackers do bem e hackers ticos, trabalham de forma legal dentro das organizaes, utilizando seus conhecimentos para descobrir vulnerabilidades. Black Hats Tambm conhecidos como crackers, so responsveis pelos testes de invaso que simulam ataques para medir o nvel de segurana da rede. Utilizam-se de seus conhecimentos para invadir e roubar informaes confidenciais. Pontos explorados Vulnerabilidades, resultantes de bugs na implementao ou design de sistemas, servios, aplicativos ou protocolos como, por exemplo, ICMP que podem ser explorados em ataques como o Smurf ou ping-of-death, o UDP pelo Fraggle, o TCP pelo SYN Flood. Senhas ineficientes, senhas capturadas por packet sniffing, mesmo quando senhas so criptografadas, podem ser decifradas por meio de cracking, fora bruta ou ataques de replay. Configurao, administrao ou manuteno imprpria de sistemas. Tcnicas utilizadas: Dumpster diving: verificao do lixo em busca de informaes. Engenharia social: explora as fraquezas humanas e sociais. Packet sniffing: Consiste na captura de informaes pelo fluxo de pacotes na rede. Scanning: Ferramenta utilizada para obteno de informaes referentes ao servios que so acessveis e definidas por meio de mapeamento das portas TCP e UDP. War dialing: Realiza busca por modens, como entrada alternative para a rede. Firewalking: Obtm informaes sobre uma rede remota protegida por um firewall, similar ao traceroute.

Smurf e Fraggle Consistem em ataques de flood distribudo, utilizam broadcasting em redes inteiras para amplificar seus efeitos, utilizamse do endereo IP da vtima como endereo de origem dos pacotes. Smurf -> ICMP (ping) e Fraggle -> UDP (echo). Teardrop Aproveita-se de falha na implementao das rotinas de remontagem de pacotes; Consiste em enviar um pacote de tamanho invlido, o sistema obtm nmero negativo ao calcular o offset; Resulta em crash do sistema. Land Attack Consiste em conectar uma porta de um sistema a ela mesma; Causa travamento do sistema em diversas plataformas. Ping of Death Consiste em enviar um pacote de ICMP echo request com mais de 65.507 bytes de dados, resultando em reboot, panic ou travamentos. Tcnicas: - Spoofing: enganar a vtima fazendo-se passar por outro host. ARP Spoofing: Gerar respostas ARP falsas, ARP (Address Resolution Protocol). IP Spoofing: Gerar pacotes com endereo IP falso. DNS Spoofing: Gerar respostas de DNS falsas, DNS (Domain Name Service), Mapeia Nomes -> Endereos IP. - Main-in-the-middle: O atacante intercepta os dados respondendo pelo cliente, podendo alterar seus dados. - Session Hijacking: O atacante derruba o cliente mantm a conexo em andamento. - Replay attack: Dados interceptados e transmitidos pelo atacante, possvel utilizar dados cifrados. - Fragmentao de pacotes: se tamanho dos pacotes maior que MTU do meio, Ento ocorre a fragmentao, possvel sobrescrever cabealhos durante a remontagem dos pacotes, driblando as regras de filtragem do firewall.

ETAPAS: Intruso em massa, instalao do software DDos, disparo do ataque. TCNICAS UTILIZADAS: IP Spoofing, SYN Flooding, Pacotes decoy, Execuo de comando remotos, fragmentao de pacotes, criptografia na comunicao entre o atacante e os msters.

ATAQUES NO NVEL DE APLICAO Facilita acesso s suas informaes como chaves, acesso completo aos dados permitindo implementao de funes importantes para a aplicao e a no-repudiao, independente do sistema operacional e seus recursos, compreende os dados e tratam de forma diferenciada, desenvolvido para cada aplicao, tendo suas funes multiplicadas, tais como: administrao de chaves, autenticao, etc... TCNICAS: crackers de senha, buffer overflow, missing format string, exploits, sistemas operacionais, protocolos, aplicaes, vrus, worms e trojans, rootkits e backdoors. CRACKERS DE SENHA: programas capazes de revelar senhas cifradas. Seus mtodos: utilizam o mesmo algoritimo usado para cifrar as senhas, realizando anlise comparativa. - Tcnicas: ataques de dicionrio e ataque de fora bruta. - Desempenho: podem ser executados de forma distribuda. BUFFER OVERFLOW: visa prover uma quantidade de dados maior do que a memria do programa/servidor pode suportar. Provoca um desvio no curso de execuo do programa vulnervel. MISSING FORMAT STRING: programas usualmente no validam os dados de entrada.

EXPLOITS: programas que exploram falhas conhecidas de segurana, exploram falhas de: sistemas operacionais, protocolo e aplicaes. Normalmente possuem man-pages e podem ser facilmente obtidos na internet. Permite a qualquer leigo se tornar um hacker (Script Kiddies). VRUS: Programas que se anexa aos arquivos na mquina alvo e realiza alguma ao indesejada. Tipo arquivo: Costuma infectar arquivos executveis. Tipo boot: infectam a rea do sistema de um disco. Tipo Macro: infectam arquivos dos programas Microsoft Office. Tipo Mutante: Programado para dificultar a deteco por antivrus, se alterando a cada execuo do arquivo executado. Tipo Script: programado para executar comandos sem interao do usurio, existem duas categorias VB na linguagem de programao e JS em Javascript. WORMS: se diferem dos vrus por se espalharem automaticamente, sem necessidade de interao com o usurio. SirCam: tcnicas avanadas de contgio, via e-mail compartilhamento, possui servidor de e-mail prprio, subject aleatrio, pego de arquivos da vtima. Nimda: disseminao -> Bug do ISS, e-mail, via automatic execution of embedded MIME Types, javascript e compartilhamento. Klez: desabilita antivrus, no preciso abrir e-mail para contagiar, faz o Spoofing de sua origem e possui servidor de e-mail prprio. TROJANS: qualquer programa legtimo que tenha sido alterado com a insero de cdigo no autorizado e que realiza uma funo oculta e indesejvel. ROOTKITS: Ferramentas que o atacante instala no host para ocultar sua presena e facilitar seus acessos. BACKDOORS: Permitem acesso do atacante por de portas desconhecidas abertas no host da vtima. TPICO 27 ANLISE DE RISCOS

Processo de proteo de informaes e ativos digitais armazenados em computadores, redes e quaisquer mdias. As necessidades de segurana e sua importncia dependem da regra de negcio de cada organizao.

CONCEITO

Atualmente as empresas se preocupam muito com seus ativos fsicos e financeiros, mas pouca ateno aos ativos de informao que possuem.

Hoje pelo fato do mundo estar globalizado e permanentemente on-line, a perda de informaes se tornou crucial na continuidade das empresas, causando grandes prejuzos e at mesmo levando a falncia. Ainda hoje existe pouco entendimento sobre o processo e as mtricas utilizadas em um processo de anlise de risco. Ter riscos significa Ter uma chance. Ameaas sempre existiram e sempre existir, a tendncia que sempre aumente.

ISO Guide 51, define os seguintes termos: - Risco: Combinao da probabilidade de ocorrncia de dano e da severidade deste dano. - Dano: prejuzo fsico ou sade de pessoas, dano propriedade ou ambiente. - Incidente: ocorrncia na qual uma situao de perigo resulta em dano. - Ameaa: fonte potencial de dano. - Vulnerabilidade: circunstancia no quais ativos, pessoas, propriedades ou ambientes ficam expostos a ameaas. - Medida de proteo (controles): Meio utilizado para reduzir o risco. - Risco residual: risco remanescente aps a adoo de medidas de proteo. - Anlise de risco: uso sistemtico de informaes disponveis para identificar ameaas e estimar riscos. - Avaliao de riscos: procedimento baseado na anlise de riscos para determinar se o risco tolervel foi alcanado.

ISO Guide 73 define termos complementares: - Probabilidade: grau de possibilidade que um evento ocorra. Os graus de confiana em relao probabilidade podem ser selecionados de classes ou categorias, tais como: rara, improvvel, moderada, provvel, quase certa ou impossvel, remota, ocasional e freqente. - Transferncia de risco: compartilhamento com outra parte do nus da perda ou do beneficio do ganho associado a um determinado risco. - Reteno do risco: aceitao do nus da perda ou do beneficio do ganho associado a um determinado risco.

- Aceitao do risco: deciso de concordar com um risco considerando-se as limitaes para seu tratamento. - Mitigao: limitao de quaisquer conseqncias negativas de um determinado evento. - Reduo do risco: aes tomadas para reduzir a probabilidade, as conseqncias negativas, ou ambas, associadas a um risco.

Ativo: elemento que compe os processos de manipulao e processamento da informao, incluindo a prpria informao, os ambientes sistmicos e os meios de comunicao. Todo ativo requer um nvel de proteo de acordo com seu valor. O valor do ativo pode ser tangvel ou intangvel, sua importncia pode ser obtida atravs de um conjunto de fatores tais como: - Valor da informao para o mercado.

- Valor da perda de credibilidade da empresa. - Valor de reposio de dados, hardwares, softwares e suas informaes.

AMEAAS: No intencionais: - Erro por parte do usurio / operador. - Falhas de equipamento. - Falhas de software. - Desastres naturais. Intencionais: - Sabotagem e/ou uso indevido. - Roubo de informao. - Burla de proteo. - Ao de programadores. - Ao de crackers. - Crime organizado. - Espionagem industrial. Ameaas agentes: clientes, fornecedores, concorrentes, crime organizado, funcionrios, usurios autorizados, agentes naturais (enchente, terremotos, tempestades, etc).

VULNERABILIDADE: o ponto do sistema suscetvel a um ataque, causados pela ausncia ou ineficincia das medidas de proteo utilizadas, ou seja, uma condio falha encontrada nos recursos, processos, configuraes, etc que predispe a possibilidade de falha no sistema de segurana.

VULNERABILIDADES FSICAS: falta de extintores, salas de CPD mal planejadas, falta de equipamentos para combate incndio, instalaes prediais fora do padro, instalao eltrica antiga ou passando pela mesmo tubulao dos cabos de trfego de dados. VULNERABILIDADES NATURAIS: desastres naturais (incndios, enchentes, terremotos, tempestades, etc.), acumulo de poeira, aumento de umidade e temperatura. VULNERABILIDADE DE SOFTWARE: erros na instalao ou configurao, falhas e bugs dos sistemas operacionais, falhas nos programas que implementam os servios de rede. VULNERABILIDADE DAS MIDIAS: disquetes antigos com informaes importantes, fita magntica de baixa qualidade, relatrios e impressos perdidos e danificados, radiao eletromagnticas, irradiaes no desejadas TEMPEST. VULNERABILIDADE DE HARDWARE: falhas nos recursos tecnolgicos, Erros ou problemas durante a instalao. VULNERABILIDADE NAS COMUNICAES: Constantes falhas nos links, trfego de importantes informaes sem proteo adicional (CRIPTOGRAFIA), perda de comunicao. VULNERABILIDADE HUMANA: falta de treinamento, compartilhamento de informaes confidenciais, falta de comprometimento dos funcionrios.

RISCOS: corresponde ao nvel de gravidade (severidade) e tendncia (probabilidade) e como esses risco iro impactar nos negcios. Tais como: danos ao patrimnio, custos legais, perdas de receita, participao no mercado. IMPACTO: indisponibilidade de fundos, interrupo nos negcios, perda de capacidade a clientes internos e externos. Definem as prioridades das aes a serem tomadas e auxiliam nas definies da soluo de segurana da informao.

ANLISE DE RISCO: pode ser definida como um conjunto de atividades utilizadas para identificar ativos e ameaas, priorizando o tratamento das vulnerabilidades, identificando as medidas de segurana apropriadas para se evitar o impacto indesejado nos processos de negcios.

TRATAMENTO DOS RISCOS: - Aceitar: riscos com baixo nvel de gravidade ou baixa probabilidade de ocorrncia. - Evitar: Deixar de utilizar o item que representa o risco. - Reduzir: implementar controles. - Transferir: Transfere a responsabilidade para terceiros.

ACEITAO CONSCIENTE DOS RISCOS: - Riscos com baixo nvel de gravidade ou baixa probabilidade de ocorrncia. - outras consideraes plausveis.

A aceitao dos risco apenas se justifica quando os custos para a implementao de controle so menores do que os custos dos impactos causados pela ocorrncia de falha de segurana.

ACEITAO INSCONSCIENTE DOS RISCOS: - Imprudncia e negligencia. - Ignorar os risco contando apenas com a sorte. - Em alguns casos a imprudncia e ou negligencia podem acarretar problemas jurdicos.

EVITAR O RISCO: evita-se um risco quando se deixa de realizar uma atividade que gere risco. Exemplo: risco de uma empresa ser inundada

Soluo: instalar esta empresa em um local alto, para evitar que o risco de inundao acontea.

TRANSFERIR O RISCO: contratar terceiros para assumir o risco. Exemplo: risco do CPD ficar inoperante por falha dos servidores Soluo: contratar servios de um datacenter.

REDUZIR O RISCO: - Medidas preventivas: reduzir vulnerabilidades e impactos. - Medidas detectivas: identificar a ocorrncia de eventos no desejados. - Medidas corretivas: recuperar ativo atingido por evento no desejado. Toda a adoo de controles, envolve incertezas, a anlise do custo x benefcios favorece na deciso na adoo de controle e medidas de segurana. Perguntas chaves: O que fazer? Quanto vai custar? Quais os benefcios? , ANALISE DE RISCO: A analise de risco transforma fatores intangveis em elementos tangveis, atravs de mtricas orientadas a negcios. Devendo servir como base para tomadas de deciso no que se refere a implementao no controle de segurana. Tem como papel auxiliar o planejamento para investimento em atividades que necessitem de um certo nvel de segurana.

PROCESSO DE ANALISE DE RISCO COMPOSTO POR:

GESTO DE RISCOS: processo completo e continuo de analise, avaliao, priorizao e implementao de medidas de controle conforme o grau de criticidade dos riscos.

ANALISE DE RISCOS: sistemtico de informaes para identificar ameaas e vulnerabilidades, bem como estima o risco e os impactos.

AVALIAO DO RISCO: processo de comparar o risco estimado com critrios de risco pr-definidos para determinar sua relevncia.

CRITERIOS DE RISCO: termos de referencia para se medir a relevncia do risco. Os critrios de riscos podem incluir: - custo e beneficio associado - requisitos legais - aspectos scio-econmicos e ambientais - prioridades - outros pontos de avaliao.

PROCESSO DE ANLISE DE RISCO COMPOSTO POR: Definio da poltica de gesto de riscos, formao de equipe de gesto de riscos, definio de metodologia e ferramentas, identificao e mensurao de riscos. - Definio de escopo. - Identificao e avaliao dos ativos. - Anlise de ameaas e vulnerabilidades - Avaliao de riscos e impactos.

OS RISCOS SO DETERMINADOS POR DOIS METODOS:

METODO QUANTITATIVO: probabilidade do evento ocorrer, mas quase impossvel conduzir uma anlise de riscos puramente quantitativo, pois ser vivel contendo todos os elementos (valor do ativo, impacto, freqncia, medidas de proteo, incerteza) forem quantificados. METODO QUALITATIVO: baseia-se fundamentalmente no elemento relativo a estimativa de perdas potenciais. Na prtica pode-se conduzir um projeto de anlise de risco totalmente qualitativa ou mesclar com o mtodo quantitativo.

TPICOS 28 E 29 POLITICA DE SEGURANA DA INFORMAO

Metodologia de levantamento da poltica de segurana. Objetivos e responsabilidades sobre a implementao. Mtodos de construo de uma politica de segurana da informao e seus documentos auxiliares. Instrumento que define as normas a serem aplicadas na empresa e praticadas por seus funcionrios, colaboradores, prestadores de servios, clientes e fornecedores, com o objetivo de preservar os ativos livres de risco. Estabelecer os princpios atravs dos quais a empresa ir proteger, controlar e monitorar seus recursos. ISO 27001: Objetivo: prover orientao e apoio da direo de segurana da informao de acordo com os requisitos do negcio e com as leis e regulamentaes relevantes. Estabelecer uma politica clara, alinhada com os objetivos do negcio de demonstre apoio e comprometimento com a segurana da informao por meio da publicao e manuteno de uma politica de segurana da informao para toda a organizao. um conjunto de diretrizes gerais destinadas a proteo a ser dada a ativos da empresa. As consequncias de uma politica bem implementada e corretamente seguida podem ser resumidas em trs aspectos: - Reduz a probabilidade de ocorrncia de incidentes. - Reduz danos provocados por eventuais ocorrncias. - Procedimentos de recuperao de eventuais danos. A politica deve ser aplicada a todos funcionrios, prestadores de servios e terceiros. A confeco do documento de ter o apoio e reviso do departamento jurdico da organizao. Dever constituir um comit responsvel pela

confeco e reviso dos documentos relacionados, bem como a avaliao dos incidentes de segurana quando estes acontecerem. Tomar medidas de cunho preventivo e normativo, os riscos devem ser previstos e eliminados antes de sua manifestao. Preveno mais barato que correo. Mesmo adotando essas medidas preventivas, ainda assim possvel que se ocorram incidentes. Mesmo com estas precaues necessrio sempre haver um plano de recuperao de danos. Comea-se com a definio das equipes responsveis pela elaborao, implantao e manuteno. Sempre deve-se haver o envolvimento e aprovao da alta direo. PRINCIPAIS FASE PARA ELABORAO DE UMA POLITICA 1. Identificao dos recursos crticos 2. Classificao das informaes. 3. Elaborao de normas e procedimentos 4. Definio de planos de recuperao, contingencia e continuidade de negcios. 5. Definio de sanes ou penalidades pelo no cumprimento da poltica. 6. Elaborao de uma termo de compromisso 7. Aprovao da alta administrao 8. Divulgao 9. Implantao 10.Reviso Devem ser mapeados todos os procedimentos na organizao, informatizados ou no. Sendo que os processos crticos devem ser tratados de maneira diferenciada. Todas as informaes devem ser classificadas para indicar a necessidade, prioridades e o grau de proteo e definir a necessidade de medidas especiais de manipulao. ELABORAO DE NORMAS E PROCEDIMENTOS - acessos externos, internos, fsicos elogicos - uso da intranet e internet - uso de correio eletrnico - uso e instalao de softwares

- politicas de senhas - politica de backup - uso e atualizao de anti-vrus - trilhas de auditoria - padres de configurao de rede - Outros Utilizar planos de recuperao, contingncia e continuidade do negocio. Definir sanses e penalidades pelo no cumprimento da poltica. Elaborao de termo de compromisso. Aprovao da alta administrao. Divulgao da politica com campanhas internas, palestras de conscientizao, destaques em jornal e folhetos internos, intranet e criao de um manual compacto e de fcil entendimento aos usurios. Implantar, esta fase a etapa final, consistindo na aplicao formal das regras descritas. Devendo ser realizada de forma gradativa e obrigatria. A reviso deve ser feita periodicamente, para mante-la atualizada ou na identificao de fatos novos. Sua elaborao implementada aps o levantamento das ameaas, vulnerabilidades e riscos que as informaes esto sujeitas. Ameaa pode ser definida com um evento ou atitude indesejvel (roubo, incndio, vrus etc) que potencialmente influenciariam futuras na perda destas informaes. CLASSIFICAO DOS RISCOS - Baixo risco: consequncia pouco importante, afeta localmente um servio ou pessoa. - Mdio risco: consequncia razovel, afeta servios ou um grupo de usurios. - Alto risco: consequncia fortemente importante, afetando a organizao ou servios crticos da corporao. TPICOS 30 E 31 PLANO DE CONTINUIDADE DOS NEGOCIOS (PCN)

Metodologia de levantamento de requisitos para o plano e mtodos de construo de documentos.

ISO 27002 Segurana da informao a proteo da informao de vrios tipos de ameaas para garantir a continuidade do negcio, minimizar o risco ao negcio, maximizar o retorno sobre os investimentos e as oportunidades de negcio.

PLANO DE CONTINUIDADE DO NEGOCIO As interrupes nos processos do negcio, sejam curtas ou longas, sempre afetam os negcios, causando impactos que muitas vezes so irreversveis. Segundo o DRI Disaster Recovery Institute International, de cada cinco empresas que possuem interrupo em suas operaes por uma semana, duas fecham as portas em menos de trs anos. Isto acontece porque no mercado mundial, um dos maiores desafios a continuidade de seus negcios, independente do tipo de evento que possa ocorrer.

Existem diversos tipos de eventos causadores de falhas e interrupes, as empresas geralmente no esto preparadas, muitas vezes as ocorrncias podem causar impactos desastrosos, no Brasil, eventos como: incndio, enchentes, roubos, atos de vandalismo, sabotagens, blecautes, invaso de sistema, falha / interrupo de comunicao de dados e voz podem ser considerados como os principais tipos. Um plano garanta a sua continuidade, de forma rpida e eficaz nos momentos de adversidades, visando os processos crticos de negcios da empresa, uma elaborao e testes do plano permitem que a empresa atue de forma organizada e sistemtica, na superao de problemas fsicos, administrativos e operacionais, preservando sua continuidade. Plano de continuidade de negcios um conjunto de planos / programas onde se encontram detalhados os procedimentos a serem seguidos pelos colaboradores.

CONTINGNCIA, CONTINUIDADE E RECUPERAO: So procedimentos e planos que se montam com antecedncia no sentido de: - minimizar impactos de incidentes. - manuteno de processos vitais. - manter a empresa funcionando, ainda que precariamente, em caso de problemas.

CONTINGNCIA: Metodologia P4R: - Preveno a incidentes - Resposta imediata - Retomada das operaes - Recuperao do incidente - Retorno a normalidade

O plano de continuidade dos negcios composto por 4 fases que se complementam, cada um com seu objetivo especifico: - Programa de administrao de crise: tambm chamado de plano de comunicao de crise, representa a garantia mais eficaz em termos de administrao em situaes adversas, por intermdio deste programa so definidas as aes a serem tomadas ao retorno da normalidade. - Plano de continuidade operacional: composto por um conjunto de procedimentos previamente definidos, destinados a manter a continuidade dos processos e servios vitais de uma organizao, considerando a ausncia de componentes que o suportem, devido a ocorrncia de eventos previamente identificados e definidos. Atravs de plano os gestores sabero como agir na falta ou falha de algum componente, garantindo a continuidade do processo, reduzindo seu impacto sobre o negcio da empresa. - Plano de recuperao de desastres: avalia a vulnerabilidade dos componentes que suportam seus processos de negcio crticos diante de eventos, mapeando e planejando sua recuperao / restaurao de acordo com a sua realidade. Encontra-se detalhadas as aes relativas ao site alternativo visando a continuidade do negcio.

- Plano de contingncia.

Para a elaborao do plano de continuidade do negcio utilizada uma metodologia composta por trs mdulos: 1. Elaborao da matriz de criticidade e do relatrio BIA Business Impact Analysis. 2. Questionrios / Entrevistas com executivos e donos de processos de negcio. 3. descrio do plano / programa e acompanhamento A metodologia genrica sugerida para uma elaborao do plano de continuidade do negcio composta por 6 fases que so aplicadas recuperao de ambientes operacionais: Fase 1 Planejamento: fase inicial do projeto, que vai desde a reunio da equipe de consultores at o Workshop para formalizao da empresa virtual. Fase 2 Levantamento de Dados: Anlise de documentao, inspeo fsica, levantamento das ameaas, vulnerabilidades, impactos, componentes, eventos e demais critrios gerando o relatrio de critrios. Fase 3 Analise de impacto nos negcios: aplica os resultados da analise, gerando relatrio de criticidade, relatrio de inter-relacionamento e Relatrio BIA (Analise de impacto para o Negocio), fornecendo o custo da parada dos processos crticos e vitais, bem como o custo de sua recuperao. Fase 4 Estratgia de Recuperao / Continuidade: analisa as estratgias de recuperao e continuidade que sero adotadas e as necessidades de existncia ou no de um site alternativo. Fase 5 Desenvolvimento dos Planos: so executadas as entrevistas que geram como resultados os planos e o programa que integram o plano de continuidade de negcios. Fase 6 Testes / Simulaes dos planos: definida a estratgia para o escopo de testes / simulaes, sendo estes realizados que iro definir o aprimoramento ou correo dos planos.

PCN imprescindvel para as empresas que no podem sofrer interrupes em seus processos, porque isto representaria perda financeira, degradao da imagem no mercado e insatisfao do seu maior patrimnio, seus clientes. Por intermdio dos planos de continuidade do negcio a empresa ter como benefcios: - Reduo de custos financeiros derivados da parada de seus processos

- Garantia de continuidade do negcio. - Reduo no tempo de resposta, frente a indisponibilidade de componentes que suportem os principais processos de negcios. - Viabilizao de site alternativo para continuidade dos negcios. TPICOS 32 E 33 ANLISES DE IMPACTO AOS NEGOCIOS Metodologia de anlise de impacto aos negcios. Importncia da informao: A informao o bem material mais importante que uma empresa possui no momento de um sinistro e principalmente, logo aps ele. O principal problema: Indisponibilidade de acesso: - Perda de produtividade e credibilidade. - Insatisfao e desgaste junto aos usurios. - Administrao do problema. - Custo de implementao de solues.

A anlise de impacto nos negcios (BIA) quantifica e qualifica a exposio aos riscos, identificando a criticidade e interdependncias dos processos de negcio e das funes de suporte. Business Impact Analysis (BIA): - conjunto de questes organizadas. - Analisar impactos e consequncias. - Processos, ambientes / reas e recursos.

- Determinar a importncia / criticidade - Permitir a definio de prioridades. - BIA NO considera causas. - BIA CONSIDERA consequncias.

R.T.O. recovery time objective: diz respeito ao tempo de recuperao para um processo, rea e/ou recurso. R.P.O. recovery point objective: diz respeito ao ponto de recuperao para um determinado processo. Importante pois determina o grau de perda aceitvel no processo e por consequncia influi nas prioridades de recuperao e na criticidade do processo de negcio.

A BIA deve resultar em: medidas de perdas ao longo do tempo, medidas comparativas entre seus objetivos fim (Processos, reas, sistemas, recursos) no que diz respeito perda financeiras, tempo de recuperao,

dependncias de terceiros, obrigaes com terceiros, etc., Matriz de criticidade e prioridades. Normalmente um BIA no trata de alternativas de soluo para as consequncias dos problemas. Estas devem fluir a partir da analise dos resultado do BIA. A BIA DEVE SER COMPARADA AOS PRINCIPAIS CUSTOS DAS ESTRATGIAS: - Contratao/Manuteno de site alternativo. - Infra de servidores, estaes, impressoras. - Outros hardwares, softwares e infra. - Pontos de eltrica, dados e telefonia. - Recursos de Telecom disponveis. - Seguros (lucros, obrigaes, recursos, horas, etc). - Reserva de despesas extras com pessoal.

EM RESUMO A BIA DEVE:

- Considerar disponibilidade, performance e o sentido de proteo a partir dos principais ativos da organizao. - Se um compromisso escrito e documentado junto a poltica de segurana e contingencia clara, definida mas flexvel para evoluir e se adaptar ao mercado. - No deve ignorar nenhum fator ligado a pessoas, ambiente, sistemas ou processos, seja no aspecto real ou virtual. - Mostrar claramente quais so as prioridades da organizao e os benefcios de se investir em continuidade operacional.