Auditoria de Acesso a Dados Sensíveis e Controle de Acesso Discricionário

O acesso não autorizado aos recursos de informação da empresa pode levar à paralisação temporária ou total da produção, à destruição ou ao vazamento de informações confidenciais e Dados Pessoais de funcionários e clientes, a danos em equipamentos e à concretização de outros riscos materiais e reputacionais. A Auditoria de Acesso a dados confidenciais permite identificar e eliminar vulnerabilidades no sistema de atribuição de direitos. Saiba mais a seguir.

Vamos detalhar as definições e os conceitos básicos.

Política de Acesso (doravante denominada AP) — documento que regula os direitos de acesso aos dados com os quais os usuários têm permissão para trabalhar.

A Informação Confidencial (CI) é qualquer informação que seja de propriedade ou exclusiva da empresa e que seja divulgada pela empresa a um funcionário durante a vigência deste contrato de trabalho e pelo período especificado após seu término, incluindo o seguinte: segredos comerciais; questões de natureza técnica, como processos, dispositivos, métodos, dados e fórmulas, temas e resultados de pesquisas; métodos de marketing; planos e estratégias; informações sobre operações, produtos, serviços, receitas, custos, lucros, vendas, chaves e outras informações sobre as operações, os produtos, os serviços, as receitas, os custos, as despesas, os lucros, as vendas e outras informações da empresa.

A Política de Segurança (SP) é um documento que descreve como uma empresa planeja proteger seus ativos físicos e de tecnologia da informação.

Conceito de Auditoria de Acesso

O sistema de gestão de permissões deve ser rigorosamente regulamentado, especialmente quando não é automatizado. Todas as permissões concedidas e revogadas, bem como as solicitações, devem ser registradas. Todos os acessos válidos devem ser verificados periodicamente quanto à conformidade com a política de segurança estabelecida.

É importante reconhecer que até mesmo o sistema de gestão de direitos mais sofisticado deve passar por auditorias externas e internas regulares para identificar inconsistências e falhas.

A Auditoria de Acesso (doravante denominada AA) é um processo sistemático que garante que os colaboradores de uma organização tenham as permissões adequadas às suas funções para trabalhar em sistemas, serviços, aplicações e dados.

Existem dois tipos de Auditoria de Acesso: manual e automatizada, esta última realizada com softwares especializados. A auditoria manual é mais flexível, mas não é recomendada para grandes empresas, pois exige muito tempo e recursos.

Realizar uma AA é necessário para:

• determinar se os direitos dos usuários correspondem às funções atribuídas, restringindo ou ampliando o escopo de autoridade de usuários específicos e de categorias inteiras;
• identificar casos de atribuição de direitos excessivos;
• detectar acessos não autorizados a arquivos e pastas;
• atualizar os direitos dos usuários quando as políticas de segurança forem atualizadas.

A realização sistemática de AA permite que as organizações mantenham a Segurança da Informação em um nível adequado e cumpram os requisitos descritos em normas internacionais e atos regulatórios dos órgãos reguladores.

Além disso, a auditoria identifica os seguintes pontos.

• Contas vulneráveis. Ou seja, contas que podem ser usadas para acesso não autorizado ao sistema e às informações: contas com senhas fracas ou múltiplas contas em diferentes serviços que utilizam a mesma senha. Também é possível detectar falhas como troca pouco frequente de senha e contas duplicadas, entre outras.
• Contas supérfluas e não registradas. Contas desbloqueadas de funcionários que deixaram a empresa ou mudaram de cargo. Isso também inclui contas técnicas que não têm proprietários reais, mas possuem direitos de acesso a sistemas, serviços, instalações e aplicações corporativas. 
• Falta de regulamentação de privilégios. A empresa pode não ter uma política de concessão de privilégios nem uma lista de cargos específicos com privilégios definidos, ou o acesso a esses documentos pode ser extremamente dificultado.

Procedimentos para a realização de Auditorias de Acesso

Em regra, a auditoria ocorre em 5 etapas. Vamos analisá-las em detalhes.

Definição de objetivos. Na auditoria, é importante focar em áreas específicas de preocupação — ou seja, definir objetivos. Isso garante que a auditoria seja completa e eficaz, aborde os aspectos críticos da gestão de acesso dos usuários e não demande tempo excessivo.

Desenvolvimento de parâmetros e regras de auditoria. Definição dos parâmetros da auditoria, do período de auditoria e do volume de dados a serem examinados: quais ações dos usuários serão registradas, os parâmetros de registro e o tamanho dos arquivos em que essas ações são registradas.

Aprovação e implementação das políticas de auditoria. Criação de um documento que descreve a abordagem geral da auditoria. Por exemplo, é possível especificar uma lista dos eventos mais importantes a serem registrados. Isso economiza espaço em disco para armazenamento de dados. Também é importante regulamentar o volume total de informações que serão armazenadas, o período de armazenamento e as normas para sua eliminação.

Identificação de lacunas e vulnerabilidades. Identificação e registro de direitos de acesso excessivos dos usuários, contas não registradas, senhas fracas, entre outros.

Manutenção de registros de segurança e de atividades dos usuários. Registro de todos os dados sobre operações com arquivos e pastas que contêm CI.

Eventos registrados

Normalmente, os seguintes eventos são registrados no log de auditoria:

• criação, exclusão, movimentação e renomeação de arquivos e pastas;
• cópia de documentos ou das informações que eles contêm;
• entrada e saída do sistema;
• inicialização de serviços e softwares;
• leitura de documentos confidenciais, cópia para mídias externas e impressão.

Exemplo de auditoria de acesso no Windows

O Windows oferece suporte à realização desse tipo de auditoria.

As configurações da política de auditoria são definidas principalmente pelos objetivos, que podem incluir verificação de conformidade, monitoramento, investigação após incidentes de segurança da informação e correção de erros e falhas.

Vamos analisar mais de perto como a AA funciona no Windows, usando-o como exemplo.

Na seção "Configurações de Segurança", dentro do diretório "Diretivas Locais", é necessário definir as configurações de segurança integradas e locais. A configuração é baseada nas metas e objetivos da auditoria.

Configuração dos sujeitos. É possível controlar não apenas usuários individuais, mas também grupos inteiros, incluindo departamentos ou usuários com direitos equivalentes. Também é possível controlar sujeitos de segurança integrados, como contas.

Configuração dos objetos. Na etapa seguinte da configuração, são definidos os objetos cujas operações serão registradas durante a AA. Podem ser pastas, arquivos, documentos, subdiretórios inteiros, bem como eventos individuais.

Classificação de eventos. Os eventos do Windows são categorizados em subgrupos de acordo com o nível de risco que representam para a Segurança da Informação:

• críticos;
• erros;
• informativos;
• avisos;
• detalhes.

Quando os parâmetros de auditoria são definidos, o log registra qualquer operação do usuário em arquivos confidenciais, incluindo as malsucedidas. Se a operação for realizada e concluída com êxito, será exibido "êxito". Se o usuário não tiver direitos suficientes para realizar a operação, será exibido "falha".

A AA pode ser realizada tanto em todas as estações de trabalho dentro da rede corporativa quanto em computadores individuais, por exemplo, aqueles que processam Dados Pessoais.

O log de segurança está localizado na "pasta Gerenciamento do Computador". O volume de dados sobre operações e eventos depende dos objetivos da auditoria e dos parâmetros definidos.

O log do Windows não oferece ferramentas para filtrar eventos, o que dificulta a localização de incidentes específicos.

Modelos comuns de Controle de Acesso

Sistema de Gestão de Direitos de Acesso (ARMS) — conjunto de meios técnicos de hardware e software e de medidas organizacionais destinados a controlar e restringir os direitos dos usuários de acessar informações, aplicações, recursos e outros objetos do sistema computacional.

Os principais elementos do ARMS:

• usuários ou contas aos quais são atribuídos direitos com diferentes níveis de acesso;
• recursos da empresa, como sistemas de informação, bancos de dados, aplicações, serviços, ferramentas de proteção de dados, entre outros;
• autorizações concedidas aos usuários dentro do escopo de suas permissões atribuídas.

O uso de modelos de acesso, em determinadas organizações, é determinado pela legislação.

Para otimizar os processos de direitos de acesso, é necessário escolher o modelo adequado. É importante entender que a implementação de um sistema de gestão de direitos de acesso exige uma abordagem profissional e o cumprimento de todas as medidas de segurança necessárias. Para isso, o ideal é contar com especialistas na área de Segurança da Informação.

A seguir, vamos analisar em detalhes os modelos de controle de acesso mais populares.

Controle de Acesso Discricionário (DAC)

Trata-se de uma abordagem em que os proprietários das informações determinam quem pode acessar um determinado recurso e em quais horários. Ela se baseia no princípio do menor privilégio: os usuários recebem exatamente os direitos de que precisam para realizar uma determinada tarefa de trabalho.

O modelo discricionário também é chamado de modelo "seletivo".

O mecanismo do DAC é definido pela identificação do usuário por meio de credenciais durante a autenticação — nome de usuário e senha.

Diferentes tipos de permissões podem ser aplicados individualmente ou em combinação — tudo depende de quem as concede, para qual recurso e por qual motivo. Os diferentes tipos de acesso que podem ser concedidos sob o controle discricionário incluem:

• conceder a outros sujeitos ou objetos os mesmos privilégios que o sujeito possui;
• a possibilidade de alterar os atributos de segurança de objetos, sujeitos, componentes do sistema e sujeitos de informação;
• a possibilidade de transferir informações para outros sujeitos e objetos; 
• a possibilidade de selecionar atributos de segurança a serem associados a objetos novos ou modificados;
• a possibilidade de modificar as regras de controle de acesso.

O DAC é caracterizado pelos seguintes atributos:

• um usuário pode transferir a propriedade de um objeto para outro(s) usuário(s);
• um usuário pode definir o tipo de acesso de outros usuários;
• após várias tentativas malsucedidas de autorização no sistema, o acesso do usuário será bloqueado por um determinado período;
• usuários não autorizados não podem ver os parâmetros do objeto: tamanho, nome e caminho do diretório.

O DAC é simples de implementar e intuitivo, mas apresenta as seguintes desvantagens.

• Os dados são difíceis de rastrear. Como o sistema não é centralizado, a única forma de a administração controlar o fluxo de dados é por meio da lista de controle de acesso (ACL). Isso só é útil no caso de uma organização pequena, com poucos funcionários.
• Em comparação com outros modelos de governança, o DAC é mais vulnerável em termos de Segurança da Informação. Como o acesso pode ser concedido de uma pessoa para outra, dados sensíveis podem ser comprometidos.

O DAC é mais adequado para organizações menores.

Esquema de controle matricial

A matriz de controle é uma tabela que define as permissões de acesso existentes entre determinados sujeitos e objetos do sistema de informação. As colunas geralmente contêm os objetos (aplicações, bancos de dados, serviços, rede, etc.), enquanto as linhas contêm os sujeitos (usuários ou grupos de usuários). Para cada sujeito, é definida a lista de operações que ele pode realizar com os objetos, por exemplo:

• leitura;
• exclusão;
• criação;
• modificação;
• cópia;
• execução;
• transferência de direitos.

É recomendável categorizar as listas de usuários e objetos para economizar espaço.

Essas matrizes podem ser usadas de forma racional em instituições estatais ou empresas que trabalham com dados pessoais e informações confidenciais, nas quais existem grupos de funcionários com direitos de acesso de diferentes níveis.

As permissões para grupos de usuários podem ser iguais ou diferentes — dependendo das tarefas a serem realizadas — e não devem causar conflitos de autoridade.

Ao usar o esquema de controle matricial, deve-se seguir o princípio do privilégio mínimo, ou seja, conceder o nível mínimo suficiente de autoridade necessário para cumprir as tarefas de trabalho.

O esquema matricial tem apenas uma desvantagem: a dificuldade de organizar um controle centralizado.

Modelo de Controle de Acesso Obrigatório, ou modelo de rotulagem (MAC)

Uma das principais diferenças entre o MAC e o DAC é que o MAC é considerado o modelo mais seguro, pois usuários individuais não podem alterar o acesso aos recursos.

Ao usar o modelo de credenciais, os objetos (arquivos, documentos, bancos de dados, softwares, etc.) recebem um rótulo com o nível de sigilo (por exemplo, "Segredo Comercial", "Disponível Publicamente", "Secreto", "Ultrassecreto", "De Importância Especial"), e os sujeitos, ou usuários, recebem um rótulo com o nível de acesso.

O modelo de rotulagem funciona segundo o seguinte princípio: os rótulos do sujeito e do objeto são verificados quanto à compatibilidade — o rótulo do sujeito deve ser igual ou superior ao rótulo do objeto. Caso contrário, o acesso a um documento confidencial é bloqueado, ou o usuário não consegue sequer ver o documento.

Quando uma pessoa ou dispositivo tenta obter permissão para trabalhar com um determinado recurso, o sistema operacional ou o núcleo de segurança verifica as credenciais do sujeito para determinar se a permissão será concedida. Embora o MAC seja o modelo de concessão de privilégios mais seguro disponível, ele exige certo direcionamento de recursos da empresa e monitoramento constante para manter todas as classificações de sujeitos e usuários atualizadas.

Particularidades e desvantagens do esquema de acesso obrigatório

Entre outros, destacam-se os seguintes recursos e desvantagens do modelo de acesso obrigatório:

• os usuários não podem definir o acesso dos sujeitos aos objetos, mesmo que os tenham criado — somente um administrador tem esse direito;
• um usuário só pode trabalhar em uma sessão com um único rótulo obrigatório;
• os MACs são difíceis de manter: a configuração manual de níveis de segurança e permissões exige atenção constante dos administradores;
• o MAC não escala automaticamente: novos membros da rede e novos dados exigem atualizações constantes nas configurações das contas;
• uma vantagem significativa é que políticas rígidas e constantemente monitoradas ajudam a reduzir os erros que levam a usuários com privilégios excessivos;
• o modelo é considerado o menos vulnerável a violações de dados: os funcionários não podem desclassificar informações nem compartilhar o acesso a elas.

O MAC é um dos modelos mais seguros: as regras de acesso são definidas manualmente pelos administradores do sistema e rigorosamente aplicadas pelo sistema operacional ou pelo núcleo de segurança.

Organizações privadas raramente implementam o MAC devido à complexidade e à inflexibilidade desse sistema. O MAC é frequentemente usado por instituições públicas, como forças armadas, órgãos governamentais e agências de aplicação da lei. Mas isso não significa que as organizações privadas não precisem do MAC: um modelo bem implementado oferece um nível de segurança alto e granular, apesar de ser caro e difícil de configurar.

Gestão Baseada em Papéis (RBM)

A Gestão Baseada em Papéis é usada para conceder aos funcionários diferentes níveis de acesso, de acordo com seus cargos e responsabilidades. Isso reduz significativamente o risco de vazamento de dados sensíveis — os funcionários podem acessar apenas as informações e realizar apenas as operações necessárias para cumprir suas tarefas de trabalho. A RBM oferece uma abordagem de gestão simples e administrável, menos propensa a erros do que a atribuição individual de permissões a cada usuário.

Ao usar a RBM para a gestão de papéis, um administrador analisa as necessidades dos funcionários e os agrupa em papéis com base em suas responsabilidades. Em seguida, atribui um ou mais papéis a cada funcionário e uma ou mais permissões a cada papel. As relações "usuário > papel" e "papel > permissões" simplificam as atribuições, pois os usuários deixam de precisar ser gerenciados individualmente, passando a ter privilégios correspondentes às permissões atribuídas aos seus papéis.

Um papel é um conjunto de privilégios. Os papéis são diferentes dos grupos de usuários comuns. No contexto da RBM, as permissões não estão diretamente relacionadas a um executor específico, mas sim às suas responsabilidades, o que é conveniente. Em regra, sempre há menos papéis do que funcionários reais, o que simplifica a gestão do sistema de informação.

Uma vantagem significativa da RBM em relação a outros sistemas é que múltiplos papéis podem ser ativados para uma mesma pessoa a partir de um único dispositivo. Além disso, a RBM permite:

• criar um sistema prático e de fácil utilização para atribuição de autorizações;
• verificar privilégios com facilidade e corrigir as violações identificadas; 
• adicionar e modificar papéis rapidamente;
• reduzir a probabilidade de erros na atribuição de autorizações;
• integrar usuários terceiros ao sistema, atribuindo-lhes papéis especiais;
• cumprir de forma mais eficaz os requisitos regulatórios e legais relativos à confidencialidade de informações sensíveis e dados pessoais de funcionários e clientes.

Assim como em outros modelos de Controle de Acesso, na RBM é importante seguir o princípio do menor privilégio ao atribuir papéis. Nenhum funcionário deve receber mais direitos do que precisa para realizar suas tarefas de trabalho.

Antes de implementar a RBM, a organização deve definir as permissões de cada papel com o maior detalhamento possível. Isso inclui definir com precisão as autorizações nas seguintes áreas:

• alteração de dados;
• leitura;
• cópia ou gravação em dispositivos externos;
• execução de aplicações, entre outras.

Implementação do sistema de Controle de Acesso

A implementação de qualquer sistema de gestão de direitos deve ocorrer em dois níveis: programático e organizacional.

No nível organizacional, é importante elaborar um documento que contenha a lista de usuários ou grupos de usuários, seus papéis ou direitos, e as condições para concessão ou revogação de direitos. Para simplificar o procedimento de ajuste da lista, é recomendável torná-la um anexo separado do documento principal.

O que é importante especificar nesse documento?

1. O proprietário de cada ativo de informação: funcionário, chefe de divisão, chefe da empresa. O proprietário da informação estabelece os direitos sem a possibilidade de transferi-los a outras pessoas.
2. Se a empresa for pequena, é recomendável usar um modelo no qual apenas um superusuário tenha direitos de administração de acesso.
3. Se for usado um modelo em que uma entidade possa transferir direitos a outras entidades, é importante estabelecer um registro e monitoramento.

Vale destacar que algumas organizações podem usar dois ou mais modelos de gestão simultaneamente, e as particularidades de uso devem estar claramente descritas nas normas ou na política de segurança vigente.

A implementação do sistema de gestão de direitos envolve várias etapas:

1. Análise de objetos. Nessa etapa, são definidas as metas e os objetivos do sistema, bem como seus requisitos. É feito um levantamento do sistema de informação e dos objetos, identificam-se vulnerabilidades e avaliam-se possíveis riscos. Determina-se o número de usuários, os tipos de recursos e outros parâmetros.
2. Concepção do sistema. Desenvolve-se o projeto do sistema, levando em conta requisitos de segurança, usabilidade e custo-benefício. O projeto deve incluir a descrição da estrutura do sistema, seus componentes e funções, bem como o plano de instalação e configuração.
3. Seleção de hardware e software. Selecionam-se hardware e software que atendam aos requisitos do projeto e ao orçamento. O hardware pode incluir servidores, dispositivos de rede, ferramentas de autenticação, entre outros. O software, por sua vez, permite gerenciar o sistema, configurar seus parâmetros e receber relatórios sobre seu funcionamento.
4. Instalação e configuração do sistema. Realiza-se a instalação do hardware, a configuração do software e a integração com outros sistemas. O sistema é configurado de acordo com o projeto e os requisitos de segurança. Verifica-se o desempenho do sistema e solucionam-se possíveis problemas.
5. Treinamento de pessoal. Os funcionários responsáveis pelo sistema são treinados para operá-lo e mantê-lo. Explica-se a eles como aplicar identificadores, como conceder e restringir direitos, como responder a incidentes de segurança, entre outros pontos.
6. Auditoria do sistema. Realizam-se testes do sistema quanto à conformidade com os requisitos do projeto, à confiabilidade e à segurança. Erros e falhas são identificados e corrigidos.
7. Entrada em operação do sistema. Após testes bem-sucedidos, o sistema é colocado em operação permanente. Suporte e manutenção são fornecidos.
8. Monitoramento e análise do desempenho do sistema. O funcionamento do sistema é monitorado regularmente, com coleta e análise de dados sobre eventos e ações dos executores. Isso permite identificar pontos fracos, melhorar o desempenho e aumentar o nível de Segurança da Informação.

Novos requisitos, ameaças ou oportunidades podem surgir durante a operação do sistema. É necessário realizar auditorias em tempo hábil, com base nas quais devem ser feitas alterações no sistema para garantir que ele atenda às condições atuais, bem como aos requisitos regulatórios. Em regra, uma auditoria deve ser realizada pelo menos a cada 6 meses.

Em conclusão

A auditoria regular do acesso a dados confidenciais e dos modelos de segregação de direitos é um componente importante do sistema de Segurança da Informação de uma empresa. Ao desenvolver e implementar o modelo de direitos que atenda às necessidades e às capacidades da organização, e ao auditar regularmente seu desempenho, é possível reduzir significativamente os riscos de vazamento ou destruição de informações comerciais e dados pessoais de funcionários e clientes.