Segurança corporativa da empresa

A necessidade de organizar um sistema confiável de Segurança Corporativa é enfrentada por qualquer empresa, independentemente do seu porte, faturamento e ramo de atividade. Ativos materiais e de informação, funcionários, equipamentos, produtos e recursos financeiros são todos alvos potenciais de invasores.

Mesmo que não haja tentativas óbvias de invasão de sistemas ou ataques DDoS no momento, isso não significa que a empresa esteja completamente protegida. Há muitos aspectos que precisam ser considerados para garantir a Segurança Corporativa da empresa. Leia mais no material.

Um pouco de teoria.

Segurança da Informação (IS) é a preservação da integridade, confidencialidade e disponibilidade da informação.

Segurança Corporativa (CS) é um conjunto de estratégias, planos, políticas e tecnologias usadas para proteger informações, ativos físicos e de informação, pessoas e processos.

Garantia da informação (IA) é qualquer dado que inclua informações sobre a empresa e seus processos, operações, especialistas, clientes, estratégias de desenvolvimento, propriedade intelectual, patentes e assim por diante.

Tipos de ameaças aos sistemas corporativos

Para garantir a CS da empresa, é necessário identificar e categorizar todas as ameaças potenciais da seguinte forma:

• Ameaças físicas. Relacionam-se ao acesso físico ao sistema corporativo ou aos seus componentes. Podem incluir furto de recursos e produtos, equipamentos, bem como acesso não autorizado a salas de servidores, sabotagem de processos produtivos, danos intencionais ou não intencionais a equipamentos, etc.

• Ameaças de software e hardware. Estão relacionadas à penetração de softwares potencialmente perigosos, como vírus, cavalos de troia, worms e outros programas que podem interferir ou interromper os processos da empresa. Ameaças de software e hardware visam alterar, comprometer ou excluir dados, obter acesso não autorizado aos sistemas da empresa para fins de extorsão, espionagem industrial, sabotagem, bem como por motivos políticos, ideológicos e pessoais.

• Ameaças decorrentes do fator humano. Estão relacionadas às ações dos funcionários da empresa. Podem ser causadas por erros não intencionais (por exemplo, exclusão acidental de dados importantes) ou ações intencionais (por exemplo, desvio, corrupção, abuso de privilégios). Também pode incluir ameaças legais, como o não cumprimento de obrigações com parceiros comerciais, infrações tributárias, violações da legislação, ou seja, qualquer ação que possa levar a responsabilidade administrativa e criminal.

• Ameaças decorrentes do fator humano. Estão relacionadas às ações dos funcionários da empresa. Podem ser causadas por erros não intencionais (por exemplo, exclusão acidental de dados importantes) ou ações intencionais (por exemplo, desvio, corrupção, abuso de privilégios).

Além disso, as ameaças aos sistemas corporativos podem ser categorizadas em ameaças reais e potenciais.

Os dados coletados devem ser documentados e considerados na implementação do sistema de segurança. Recomenda-se que a lista seja atualizada regularmente de acordo com as mudanças nas operações da empresa, bem como quando novas ameaças potenciais forem identificadas.

Modelo de ameaças e riscos de Segurança Corporativa da empresa

A elaboração de um documento que descreva o modelo de ameaças e riscos ajuda a planejar as medidas de segurança, avaliar sua eficácia e minimizar os riscos de IS para a empresa.

Distinguem-se ameaças externas e internas.

Ameaças externas

Ameaças externas são perigos potenciais que podem vir de fontes ou pessoas externas à empresa. Podem visar causar danos, roubar dinheiro e patrimônio, interferir nos processos de negócio ou até mesmo interromper as operações. Isso inclui crimes cibernéticos, malware, ataques terroristas, vandalismo, entre outros.

Ameaças internas

Ameaças internas à IS vêm de funcionários ou sistemas dentro da empresa e podem ser tão perigosas quanto as ameaças externas. Incluem: manuseio negligente de IA, abuso de privilégios, corrupção, sabotagem, repasse de informações sensíveis a concorrentes e outras ações intencionais ou acidentais contra os interesses da empresa.

Modelo de ameaças

O modelo de ameaças de KB é uma descrição formalizada de perigos e riscos potenciais que podem causar danos à empresa. Ele identifica pontos críticos no sistema de segurança e define tarefas para eliminá-los ou minimizar suas possíveis consequências. A CS inclui os seguintes elementos:

• Identificação de ativos: identificação de todos os recursos que têm valor para a empresa (informações, equipamentos, tecnologia, etc.).

• Análise de ameaças: identificação de possíveis fontes de perigo para o funcionamento da empresa.

• Análise de ameaças: identificação de possíveis fontes de perigo para o funcionamento da empresa. Avaliação da probabilidade de ameaça: determinação da probabilidade de ocorrência com base na análise das fontes, na estabilidade do sistema e em outros fatores.

• Análise de consequências: avaliação dos possíveis danos em termos de perdas financeiras, riscos reputacionais e outras consequências.

• Desenvolvimento de medidas de proteção: busca e implementação de meios e medidas para proteger a empresa.

Um modelo de ameaças pode ser desenvolvido tanto para componentes individuais do sistema de CS quanto para um conjunto de sistemas e redes interligados.

A criação de tal modelo permite que a gestão da empresa tome decisões informadas sobre o planejamento e a alocação orçamentária para a organização do sistema de segurança, além de avaliar a eficácia das medidas adotadas.

Riscos de Segurança Corporativa

A organização da CS envolve reconhecer e mitigar riscos. Os riscos podem estar associados a diversos aspectos das atividades de uma empresa e à sua interação com o ambiente externo. Alguns deles são: estratégicos, reputacionais, operacionais, legais e outros.

Exemplos de riscos incluem, entre outros, os seguintes:

• sanções de reguladores e ações judiciais devido a vazamento de dados confidenciais; 

• interrupção dos processos de negócio, paralisação da produção; 

• perda de clientes e parceiros para concorrentes; 

• liquidação da empresa, etc.

Em termos do grau de dano possível, os riscos são categorizados em:

• baixo — com consequências que não afetam o cumprimento das tarefas;

• médio — as consequências podem causar interrupções, perdas financeiras ou outras consequências negativas, mas não ameaçam a existência da organização;

• alto — sua concretização pode resultar em danos significativos à organização, como perda de reputação ou violação da legislação.

Os riscos também podem ser classificados de acordo com a probabilidade de ocorrência: 

• improváveis — ocorrem apenas em determinadas condições;

• prováveis — a possibilidade de ocorrência é avaliada como alta;

• muito prováveis — ocorrem com frequência ou continuamente.

A classificação de riscos ajuda as organizações a identificar as ameaças de segurança mais importantes e desenvolver formas de solucionar as tarefas de proteção para prevenir ou minimizar suas consequências.

Formas de solucionar o problema de proteção no contexto da  CS

Para garantir a segurança dos dados e sistemas corporativos, uma abordagem abrangente deve ser aplicada. Ela inclui as seguintes medidas:

1. Restringir o acesso físico a: servidores, sistemas automatizados de controle (ACS), dispositivos de rede e outros componentes. Isso pode ser feito organizando sistemas de controle de acesso, videomonitoramento, controle de entrada e outras medidas de segurança física.

2. Uso de software especializado: antivírus, firewalls, sistemas SIEM e DLP e outras tecnologias para proteção contra malware e acesso não autorizado.

3. Criptografia de dados: uso de algoritmos de criptografia para proteger informações protegidas durante a transmissão em rede ou o armazenamento em servidores.

4. Controle de acesso: configuração dos direitos de usuário para acessar diversos recursos do sistema corporativo de acordo com suas funções e responsabilidades. Os direitos atribuídos devem ser auditados a cada seis meses.

5. Autenticação e autorização: uso de senhas, autenticação de dois fatores e outros métodos para confirmar a identidade de um usuário antes de conceder acesso ao sistema.

6. Backup de dados: criação de cópias de segurança de IA para recuperação rápida em caso de falhas ou desastres.

7. Treinamentos regulares devem ser realizados para aumentar a conscientização dos funcionários sobre possíveis ameaças à IS e como preveni-las.

8. Também é importante monitorar e analisar os eventos de segurança: analisar regularmente os registros de eventos em busca de incidentes e monitorar a atividade dos usuários para identificar comportamentos suspeitos e ameaças potenciais.

9. Uso de sistemas SIEM: podem ser usados para monitorar eventos de segurança em tempo real, analisar grandes volumes de dados de diversas fontes e identificar atividades suspeitas. Isso permite minimizar os riscos de incidentes de IS (ciberataques, acesso não autorizado a informações protegidas) e mitigar suas consequências.

10. Uso de sistemas DLP: podem ser usados para controlar a transferência de dados para fora da rede corporativa, analisar o conteúdo de arquivos transferidos e bloquear atividades suspeitas. Isso ajuda a minimizar os riscos de danos financeiros e reputacionais e outras consequências negativas associadas ao vazamento de informações protegidas.

11. Como mencionado acima, a segurança requer análise de riscos para identificar as ameaças mais prováveis e desenvolver medidas de proteção adequadas. As análises de risco devem ser realizadas regularmente — pelo menos duas vezes por ano — para mantê-las atualizadas de acordo com os requisitos legais ou à medida que novas ameaças surjam.

12. Por fim, é necessário garantir atualizações regulares de software para corrigir vulnerabilidades e aprimorar as defesas do sistema em tempo hábil.

A escolha de medidas específicas depende das particularidades do sistema corporativo, de suas vulnerabilidades, dos requisitos legais e de outros fatores. É importante revisar e atualizar regularmente a estratégia de defesa de acordo com as mudanças na tecnologia e nas ameaças à segurança.

Atos normativos e ações regulatórias

Na área de IS empresarial, existem diversos padrões internacionais que ajudam as organizações a implementar e manter medidas de segurança eficazes. Seguem alguns deles:

• ISO/IEC 27001:2022 é um padrão internacional que rege os requisitos para estabelecer, implementar, operar, monitorar, analisar, manter e aprimorar um Sistema de Gestão de Segurança da Informação.

• NIST SP 800-53 é um guia para gestão de riscos de Segurança da Informação para Sistemas de Informação Federais. Fornece orientações sobre a implementação de medidas de segurança, incluindo controle de acesso, proteção de dados, gestão de vulnerabilidades e outros aspectos.

Esses regulamentos e padrões definem requisitos para a proteção de informações protegidas, dados pessoais, segredos comerciais, propriedade intelectual e outros tipos de dados. Também estabelecem a responsabilidade por violação das regras de IS.

As empresas são obrigadas a cumprir os requisitos das normas e as determinações dos reguladores. As ações dos reguladores incluem monitorar o cumprimento das normas, realizar inspeções e auditorias, e emitir ordens para eliminar violações. Os reguladores também podem iniciar processos legais em caso de violações graves da legislação.

A próxima etapa na implementação do sistema de CS é a identificação dos objetos e sujeitos de proteção.

Objetos e sujeitos da Segurança Corporativa

A identificação dos objetos e sujeitos da CS permite determinar quais ativos da empresa precisam ser protegidos.

Medidas organizacionais para garantir a Segurança Corporativa

Organizar medidas de segurança sempre envolve encontrar um equilíbrio entre a eficácia da mitigação de riscos e a não interferência nos processos de trabalho da empresa. Ao mesmo tempo, a abordagem para organizar as medidas de segurança não deve ser «remendada» — é importante adotar uma abordagem integrada: levar em conta todas as ameaças e riscos de IS identificados e implementar o sistema de segurança em todas as divisões da empresa.

Política de operação do sistema de IS

A informação é um dos principais ativos de qualquer negócio. Inclui dados sobre produtos, clientes, fornecedores, parceiros, processos, operações, estratégias de desenvolvimento, bem como materiais de marketing e muito mais. É um dos ativos mais importantes e, ao mesmo tempo, um dos mais vulneráveis. Portanto, é importante garantir a proteção confiável dos dados e sistemas corporativos e desenvolver uma política para a operação do sistema de IS.

A política de operação do sistema de IS é um documento que define os princípios e abordagens básicas para garantir a proteção da informação em uma empresa.

Entre outras coisas, o documento contém:

Disposições gerais, que listam os objetivos e metas da política, bem como seu escopo de aplicação.

Riscos e ameaças. Os riscos e ameaças de IS identificados durante a fase de auditoria são listados aqui.

Princípios de garantia de IS. Esta seção lista os principais princípios que orientam uma empresa na garantia da IS.

Outros princípios incluem:

• legalidade;

• continuidade da proteção;

• viabilidade;

• caráter sistemático e abrangente;

• prevenção de conflitos de interesse entre o departamento de IS e os demais funcionários da empresa;

• adaptabilidade às necessidades específicas de cada departamento, etc.

Medidas de segurança de IS. Esta seção descreve medidas específicas adotadas para proteger a informação. Essas medidas incluem, entre outras:

• controle de acesso;

• uso de software antivírus;

• monitoramento contínuo de eventos de IS dentro do perímetro de segurança da empresa em busca de incidentes;

• backup de dados;

• controle de todos os canais de comunicação dentro do perímetro de segurança, etc.

Atribuição de funções e responsabilidades. Esta seção define quem é responsável pela implementação das medidas de IS na empresa. Podem ser funcionários do departamento de Segurança da Informação, do departamento de TI ou de outros departamentos.

Como revisar a política. Esta seção descreve com que frequência a política deve ser revisada e quais alterações podem ser feitas.

Avaliação da eficácia do sistema. Isso descreve os requisitos para avaliar a solidez do sistema de IS a fim de identificar vulnerabilidades e aprimorar as medidas adotadas.

A política de operação do sistema de IS deve ser adaptada às particularidades das atividades da empresa e revisada regularmente para levar em conta mudanças na legislação, na tecnologia e nas ameaças à segurança.

Política de tratamento de dados pessoais

Este documento descreve as finalidades e métodos de tratamento dos dados pessoais dos usuários. A Política deve estar disponível para consulta e publicada em qualquer fonte pública.

O documento também deve descrever:

Geral: objetivos e metas da política e o escopo de sua aplicação.

Definição de dados pessoais. Esta seção define os dados pessoais que a empresa coleta e trata. Podem ser: nome completo, datas de nascimento, local de residência, e-mail, números de telefone, navegadores utilizados, mensageiros, etc.

Princípios de tratamento de dados pessoais, incluindo legalidade, lealdade e transparência, garantia de confidencialidade, garantia de uso apenas dos dados que atendam às finalidades do tratamento, etc.

Medidas para garantir a segurança dos dados pessoais.

Descritos aqui:

• responsáveis pelo tratamento dos dados pessoais dos usuários;

• medidas organizacionais e técnicas utilizadas para a proteção de dados pessoais;

• medidas adotadas, etc.

A violação deste último ponto pode resultar em advertências ou sanções por parte dos reguladores.

A política é de cumprimento obrigatório por todos os funcionários da empresa.

Política de manuseio de documentos em papel

É um conjunto de medidas e regras que definem como os documentos em papel são manuseados em uma organização. Inclui as seguintes informações:

• Classificação de documentos: divisão dos documentos por grau de importância, confidencialidade e urgência.

• Armazenamento de documentos: identificação de onde armazenar os documentos, garantindo sua segurança e proteção contra acesso não autorizado.

• Descarte de documentos: desenvolvimento de procedimento para descartar documentos quando seu prazo de retenção expira ou eles se tornam obsoletos. O descarte deve ser realizado de acordo com a legislação sobre proteção de dados pessoais e sigilo comercial.

• Monitoramento do cumprimento da política: designação dos responsáveis pelo cumprimento da política de documentos em papel e realização de revisões e auditorias regulares.

• Treinamento de funcionários: familiarizar os funcionários com a política de manuseio de documentos e a responsabilidade em caso de violação da política.

A política de papel ajuda a minimizar os riscos de vazamento de informações confidenciais, proteger os direitos de clientes e parceiros, e garantir o cumprimento dos requisitos regulatórios.

Lista de informações confidenciais

Como parte de uma auditoria de segurança empresarial, é necessário inventariar todos os ativos de informação e categorizá-los em públicos, restritos e confidenciais.

Dados confidenciais incluem qualquer informação cujo acesso seja restrito por lei (informações relacionadas a segredos comerciais, propriedade intelectual, know-how, etc.), bem como quaisquer dados que garantam a competitividade da empresa.

A lista de informações confidenciais da empresa pode incluir: listas de clientes, demonstrações financeiras, listas de fornecedores, manuais operacionais, contratos, acordos, contratos, etc.

Procedimento para trabalhar com mídias removíveis

O procedimento para manuseio de mídias removíveis é um conjunto documentado de medidas e regras que definem o procedimento para manuseio de informações em mídias removíveis em uma empresa.

O documento pode descrever os seguintes requisitos:

• Usar apenas mídias permitidas: a organização pode definir uma lista de tipos de mídia permitidos para uso. Isso pode incluir pen drives USB, cartões de memória, discos ópticos, etc.

• Autorização de mídia: um funcionário deve ser autorizado antes de usar mídia removível. A autorização pode incluir a verificação da autenticidade da mídia, se ela corresponde à lista de dispositivos permitidos, etc.

• Proteção contra acesso não autorizado: mídias removíveis devem ser protegidas contra cópia, modificação ou exclusão não autorizada de informações. Criptografia, senhas, biometria e outros métodos de segurança podem ser usados.

• Backup de dados: as informações devem ser copiadas antes de serem excluídas da mídia. As cópias de segurança devem ser mantidas separadamente do original.

• Registro de mídia: todas as mídias removíveis usadas na organização devem ser registradas. O registro pode incluir informações sobre o tipo de mídia, proprietário, data de emissão e devolução, etc.

O cumprimento do procedimento para manuseio de mídias removíveis ajuda a prevenir vazamentos de informações confidenciais, proteger os direitos de clientes e parceiros, e garantir o cumprimento dos requisitos legais.

Como obter acesso à Internet, e-mail

Algumas empresas, incluindo instalações de infraestrutura de informação crítica (CII), podem restringir o acesso à Internet e aos serviços de e-mail para funcionários por motivos de IS.

Este documento deve especificar um conjunto de políticas e procedimentos que definem como os funcionários podem usar esses recursos para fins comerciais.

Os procedimentos de acesso podem ser periodicamente atualizados e alterados de acordo com as necessidades da empresa e mudanças na legislação.

Procedimento para determinar o grau de acesso do usuário aos dados e regras para sua alteração

O controle de acesso é o processo de conceder ou negar permissão de acesso a ativos de informação com base em políticas e regras predeterminadas.

Como parte da atribuição de acesso do usuário à IA, os seguintes procedimentos devem ser executados:

• Definição de categorias de dados. Primeiramente, é necessário definir quais dados serão tratados no sistema e a quais categorias eles pertencerão (por exemplo, confidenciais, dados pessoais, segredos comerciais, etc.).

• Estabelecimento de níveis de autorização. Cada categoria de dados tem seu próprio nível de acesso (por exemplo, somente leitura, edição, exclusão, etc.).

• Atribuição de funções aos usuários. Os usuários do sistema são atribuídos a funções específicas, cada uma com seu próprio conjunto de direitos de acesso a dados (por exemplo, administrador, operador, usuário, etc.).

• Configuração de direitos de acesso. Com base nas funções do usuário e nas categorias de dados, direitos de acesso específicos são configurados para cada usuário (por exemplo, o direito de visualizar determinados documentos, o direito de editar determinados campos em documentos, etc.).

• Controle de acesso. O sistema controla como os usuários utilizam os direitos de acesso concedidos a eles. Vários métodos podem ser usados para esse fim, como auditoria das ações dos usuários, monitoramento de tráfego, etc.

• Alteração do nível de acesso. Se necessário, o nível de acesso do usuário aos dados pode ser alterado. Isso pode ser iniciado pelo usuário, por seu supervisor ou pelo departamento de segurança. A alteração do nível de autorização deve ser documentada e refletida no sistema.

• Revisão regular do nível de autorização. O nível de autorização do usuário deve ser revisado regularmente para refletir mudanças nas responsabilidades do cargo do usuário, no nível de confiança e em outros fatores.

Para controlar a transferência não autorizada de dados de autorização entre usuários do sistema ou para terceiros, recomenda-se o uso de um sistema DLP.

Meios de software e hardware de proteção da informação

Recursos de segurança de software e hardware devem ser usados para proteger a CS da empresa.

Esses recursos incluem:

• Firewalls.

• Software antivírus.

• Ferramentas de inicialização confiável. Verificam a integridade do sistema operacional antes de sua inicialização e impedem o acesso não autorizado às estações de trabalho.

• Ferramentas de detecção de intrusão. Monitoram atividades suspeitas na rede e alertam a equipe de segurança.

• Ferramentas de proteção criptográfica. Criptografam os dados durante a transmissão pela rede ou o armazenamento em servidores.

• Sistemas de monitoramento da integridade da rede. Permitem identificar e corrigir rapidamente problemas de rede que possam levar a interrupções e redução da segurança.

• Sistemas de monitoramento de vulnerabilidades. É uma solução de software ou hardware que verifica a rede em tempo real em busca de vulnerabilidades e fornece informações sobre como corrigi-las.

• Sistemas SIEM. Analisam eventos de segurança em tempo real e notificam a equipe de segurança sobre eles. Isso permite responder rapidamente a incidentes de Segurança da Informação.

• Sistemas DLP. Evitam o vazamento de dados para fora da rede corporativa por falha dos funcionários.

O uso de software e hardware especializados permite construir um sistema de proteção confiável, além de automatizar os processos de monitoramento de eventos de segurança e mantê-los ativos 24 horas por dia, o que possibilita reduzir significativamente a carga de trabalho da equipe.

Conclusão

Garantir a Segurança Corporativa de uma empresa é um processo complexo e multinível que requer uma abordagem abrangente. Para criar um sistema de segurança eficaz, é necessário levar em conta todas as ameaças e riscos possíveis, bem como utilizar tecnologias e métodos modernos de proteção da informação.

Essa é a única maneira de garantir a proteção confiável da empresa contra ameaças internas e externas, evitar perdas financeiras, danos à reputação e outras consequências negativas. Portanto, é importante prestar atenção às questões de CS e atualizar constantemente as medidas de proteção.