Segurança da Informação: definição, requisitos, modelos e etapas

No último século, a sociedade viveu o salto mais intenso de evolução tecnológica da história. E, embora a palavra "segurança" costumasse se referir principalmente a manifestações físicas de violência e ameaças, esse conceito básico também mudou com o desenvolvimento da tecnologia. A informação se tornou uma arma, um dado confidencial valioso capaz de causar danos não menos graves do que a faca mais afiada. Isso deu origem a outra definição: "segurança da informação". O que é isso, quais funções ela desempenha, como é aplicada: examinaremos essas questões principais no artigo de hoje da Anexet.

Definição de Segurança da Informação (SI)

Essas informações podem incluir dados sobre a proteção de um negócio contra ameaças competitivas ou má conduta de funcionários, tecnologias de produção secretas, segredos de estado e até mesmo informações pessoais. Tudo isso pode ser usado para fins egoístas. Para evitar esses casos, são realizadas atividades como a garantia da segurança da informação.

Três princípios principais da Segurança da Informação

A segurança da informação se baseia em três princípios fundamentais que permitem uma abordagem abrangente de sua implementação. São eles: a confidencialidade do sistema, a integridade das medidas de segurança e a disponibilidade.

Confidencialidade do sistema

A segurança da informação está diretamente relacionada ao tratamento de informações confidenciais sensíveis e Dados Pessoais. Deve-se dar atenção cuidadosa a todo o conjunto de dados ao longo de toda a cadeia de análise. As informações analisadas só podem ser visualizadas por pessoas autorizadas após verificação, e devem permanecer confidenciais para todas as demais.

Integridade das medidas de Segurança da Informação

Esse princípio exige tratar a segurança da informação como um processo único e integrado, sem exceções ou concessões, a menos que sejam especificadas previamente. É essa abordagem que permite uma avaliação imparcial da situação e oferece um quadro realista do que está acontecendo.

Disponibilidade

É a capacidade de entidades aprovadas acessarem qualquer parte da informação e a prontidão dos serviços de segurança para processar solicitações.

Por que a Segurança da Informação é necessária?

Naturalmente, o principal objetivo da segurança da informação é garantir a proteção de dados confidenciais sobre empresas, indivíduos e o estado, neutralizando impactos negativos e danos a empresas ou pessoas. No entanto, isso não significa que toda ameaça potencial à segurança da informação tenha um objetivo exclusivamente negativo – a destruição do objeto de interesse. Isso nem sempre é verdade. As informações costumam ser necessárias para fins analíticos: comparar os produtos dos concorrentes com os próprios, analisar a eficácia de estratégias de negócios e modificar processos de produção e internos da empresa. Diversas fontes podem ser usadas para obter essas informações: o quadro de funcionários da empresa, documentação, propriedade intelectual (invenções, modelos de utilidade, desenhos industriais, patentes etc.), suportes técnicos de dados, software e outros.  A escolha da fonte depende das ferramentas disponíveis, dos objetivos e da utilidade potencial dos dados obtidos.

Ameaças e riscos à Segurança da Informação

A ameaça é uma ação potencial ou real destinada a causar dano material ou moral a uma empresa ou indivíduo. Naturalmente, para estabelecer o processo de proteção de dados mais eficaz, é necessário compreender os riscos e as ameaças potenciais que uma empresa enfrentará. Costuma-se distinguir três grupos principais de ameaças.

Tecnogênicas (relacionadas ao mau funcionamento de equipamentos ou tecnologias do sistema protegido, bem como ao uso de meios técnicos e software especializados). Podem incluir os seguintes riscos:

• uso de software pirateado e burla de licenças;

• integração de software malicioso (vírus, criptografadores, backdoors, bloqueadores, programas de mineração etc.);

• ataques DDoS;

• phishing;

• hardware e software para vigilância de áudio e vídeo etc.

Vejamos um exemplo de ameaça à segurança da informação causada por erro humano. Por exemplo, o ataque de ransomware Play à empresa de TI Xplain, na Suíça, que afetou a rede ferroviária local e diversos órgãos governamentais. Os hackers obtiveram acesso a mais de 1,3 milhão de arquivos, incluindo 65.000 documentos pertencentes ao Governo Federal suíço. O grupo Play conseguiu executar a ameaça à segurança da informação por meio de um e-mail de phishing contendo malware.

Outro exemplo, de 2010: naquela época, o worm de rede Win32/Stuxnet se espalhou entre um grande número de sistemas de computadores privados e públicos. Esse vírus explorava vulnerabilidades no Microsoft Windows (uma vulnerabilidade zero-day), interceptando e modificando o fluxo de informações entre controladores lógicos programáveis Simatic S7 e estações de trabalho do sistema SCADA SimaticWinCC (Siemens). O Win32/Stuxnet poderia ser usado para espionagem e sabotagem industrial (seu propósito original). Ele entrou para a história como o primeiro malware que não apenas danificou dados digitais, mas também causou danos físicos reais a equipamentos. A principal fonte de sua propagação foram pendrives USB infectados.

Antropogênicas (relacionadas à divulgação intencional ou acidental de informações comerciais confidenciais):

• vazamentos por insiders;

• erros no desempenho de funções oficiais;

• ações de funcionários não confiáveis.

Um exemplo de ameaça antropogênica à segurança de uma empresa é o caso da Colonial Pipeline. Trata-se do maior sistema de oleodutos dos Estados Unidos e do principal fornecedor de gás e derivados de petróleo do Golfo do México para toda a costa leste. Em 7 de maio de 2020, o sistema da Colonial Pipeline foi infectado por ransomware. Mais tarde, descobriu-se que o ataque foi realizado por um grupo de hackers chamado DarkSide. O objetivo deles era obter um resgate de US$ 5 milhões. Mas, mesmo após a transferência dos fundos aos extorsionários, a empresa não conseguiu restaurar rapidamente seus processos de negócio. Isso provocou uma crise em grande escala em vários estados e uma escassez de combustível na época.

O responsável, do lado da Colonial Pipeline, foi um de seus funcionários, cuja senha foi usada no ataque. Utilizando essa senha para acessar o serviço de VPN, os hackers conseguiram entrar no sistema corporativo. O funcionário já havia usado a mesma senha para se cadastrar em outra conta, cujas informações já estavam disponíveis na Darknet.

Outro exemplo: a invasão de contas do Twitter de pessoas famosas em julho de 2020. Na época, os hackers conseguiram publicar um link com uma mensagem solicitando doações em criptomoeda, como: "Envie 1 BTC e receba 2 de volta". Foram invadidas as contas de Elon Musk (CEO da Tesla e da SpaceX), Jeff Bezos (fundador da Amazon), Warren Buffett (um dos maiores investidores privados e chefe da Berkshire Hathaway), o ex-presidente dos EUA Barack Obama, além de contas do Google, da Apple e muitas outras.

Como resultado do ataque, cerca de 300 pessoas foram afetadas, enviando pouco mais de US$ 110.000 aos endereços de criptomoeda indicados. Essa situação também teve um impacto negativo no próprio Twitter: sua reputação sofreu danos irreparáveis, e o incidente fez com que suas ações caíssem 4,5% em determinado momento. A principal fonte de informação para os fraudadores foi um funcionário do Twitter que, segundo os próprios hackers, "…literalmente fez tudo por eles".

Desastres naturais (força maior, catástrofes naturais).

Em quais áreas a Segurança da Informação é mais importante?

É impossível limitar o escopo da segurança da informação. Até certo ponto, a divulgação não autorizada de informações é prejudicial em qualquer esfera da vida humana, do estado ou de uma empresa. No entanto, ainda é possível identificar determinados setores em que o uso de medidas de proteção de dados é criticamente importante.

Entre eles estão:

• infraestrutura estatal criticamente importante e empresas relacionadas a essas áreas (energia, segurança pública, defesa e instalações de administração estatal);

• o setor bancário e organizações financeiras (o banco central do país, instituições bancárias privadas e estatais, fundos de pensão e seguros, organizações monetárias e de crédito etc.);

• instalações de saúde;

• complexos de transporte e logística (sistemas de gestão para transporte rodoviário, ferroviário, hidroviário, aéreo e por dutos);

• instalações que garantem a soberania informacional do estado (bancos de dados notariais e jurídicos, agências de informação e a mídia).

Como podemos ver, a necessidade de segurança da informação existe em todas as principais áreas da vida pública e dos negócios de um país. Existe uma regra para determinar a necessidade de aplicar medidas de proteção de informações em uma instalação. Em geral, isso se aplica a organizações (sejam privadas ou públicas) cujas atividades envolvem o uso de grandes volumes de dados confidenciais sensíveis, bem como informações que mudam constantemente em função de fatores externos ou internos (por exemplo, bancos e taxas de câmbio, transporte aéreo e horários internos, horários ferroviários etc.). Com um volume tão grande de informações em constante mudança, monitorar e prevenir cenários negativos é a principal tarefa da segurança da informação.

Quais medidas de Segurança da Informação são usadas pelos especialistas em SI?

É comum distinguir vários tipos de medidas para garantir a segurança da informação. Cada uma delas oferece proteção em sua própria área de responsabilidade. No entanto, não é possível afirmar que o uso de apenas uma dessas medidas será suficiente para prevenir e eliminar riscos potenciais à segurança da informação. Um dos principais princípios de proteção é a abrangência. Quanto mais medidas uma empresa ou indivíduo conseguir incluir em seu sistema de segurança, mais confiável será todo o sistema de proteção.

As medidas de Segurança da Informação se dividem em:

• legais;

• morais e éticas;

• organizacionais e administrativas;

• físicas;

• de hardware;

• de software;

• de inteligência artificial (IA).

Vamos discutir cada medida em mais detalhes.

Medidas legais para regulamentar a Segurança da Informação

Isso envolve a criação e a adaptação do arcabouço regulatório de um estado, de órgãos reguladores internacionais, instituições etc., para atender às necessidades de uma abordagem abrangente, eficaz e legal da segurança da informação. Hoje, um grande número de reguladores está envolvido na segurança da informação, mesmo aqueles cujas atividades não estão diretamente relacionadas a essa área. O Conselho de Segurança da ONU monitora a agenda internacional e pode fazer recomendações sobre a implementação de sistemas de segurança da informação a diversos estados. Isso também inclui empresas internacionais envolvidas na certificação e padronização de produtos. Por exemplo, certificados do International Consortium for Information Systems Security Certification (CISSP) e da International Organisation for Standardisation (ISO) são bastante conhecidos.

Medidas morais e éticas para regulamentar a Segurança da Informação

Essas medidas incluem normas escritas (códigos de ética, regras de conduta etc.) e não escritas (qualidades morais pessoais, padrões internos de honestidade, patriotismo, senso de dever) que regulam o comportamento humano em determinada situação.

Medidas organizacionais e administrativas para regulamentar a Segurança da Informação

As medidas organizacionais e administrativas para a proteção de informações são medidas para regular processos, utilizar recursos humanos e materiais e criar um esquema de interação entre todos os participantes do sistema de informação. O objetivo dessas medidas é criar regras de conduta razoáveis e compreensíveis para todos, voltadas a prevenir riscos à segurança da informação. Um exemplo desse tipo de medida pode ser um acordo de sigilo comercial em uma empresa (notificação prévia de um funcionário sobre sua responsabilidade pela posse de informações dentro de sua competência).

Medidas físicas para regulamentar a Segurança da Informação

Trata-se da oposição física real a violações: instalação de fechaduras, cofres, sistemas de controle de acesso, videovigilância etc.

Medidas de hardware para regulamentar a Segurança da Informação

É uma etapa intermediária entre a proteção física e a proteção por software. As medidas de hardware, assim como as de software, passam a fazer parte do sistema. Podem incluir ferramentas para proteção de informações de voz (ruído branco, áudio), dispositivos eletrônicos de alerta contra acesso não autorizado (identificadores USB, chaves eletrônicas, firewalls de hardware etc.). No entanto, também são usados meios mecânicos de combate a ameaças potenciais — objetos físicos independentes que podem ser rapidamente removidos do sistema protegido.

Medidas de software para regulamentar a Segurança da Informação

As medidas de software para garantir a segurança da informação visam desempenhar as seguintes funções básicas: identificação de sujeitos, autenticação de participantes do sistema, criptografia e processamento de dados.

• Os sistemas DLP (Data Leak Prevention, prevenção contra vazamento de dados) impedem que informações vazem para fora de uma empresa e monitoram o pessoal quanto a comportamentos desleais intencionais ou não intencionais.  

• Um exemplo desse tipo de sistema é o Anexet, da Scinero Software Limited. A vantagem é que ele oferece um período de teste gratuito de 30 dias. Para mais detalhes, acesse o link.
  Sistemas SIEM (Security Information and Event Management). Como o próprio nome sugere, trata-se de uma solução de software para analisar toda a atividade de rede e responder em tempo real a possíveis ameaças e ataques cibernéticos.

• Criptografia. É um conjunto de operações para criptografar texto que permite armazenar todas as informações do sistema alterando sua aparência. Com o auxílio da criptografia, informações confidenciais se tornam inacessíveis a possíveis invasores, pois não podem ser lidas sem uma chave especial – um descriptografador. 

• Software antivírus licenciado. 

• Firewalls de software que atuam como um filtro entre a World Wide Web e a rede local de Internet de uma empresa. Eles bloqueiam o tráfego de entrada de acordo com regras predefinidas.

• Servidores proxy e VPNs. Essas duas tecnologias são semelhantes: ambas se destinam a substituir seu endereço IP pelo próprio e a mascarar seu tráfego real. Elas diferem principalmente em termos de custo de implementação e disponibilidade de criptografia (VPN). 

• IA para sistemas de segurança. No mundo atual, a velocidade de aprendizado e adaptação dos cibercriminosos a um ambiente em constante mudança supera em muito a velocidade com que armas para combatê-los podem ser desenvolvidas. Apenas um sistema móvel de autoaprendizagem, como a inteligência artificial (IA), consegue acompanhar todas as atualizações. A IA teve um desenvolvimento acelerado nos últimos dois anos. E, embora até recentemente fosse apenas uma ferramenta auxiliar no conjunto geral de medidas de segurança da informação, hoje é uma medida plenamente consolidada para combater vazamentos.

Problemas de SI

Naturalmente, um ambiente tão dinâmico quanto a informação e a garantia de sua segurança apresenta uma série de problemas. Vamos falar sobre isso agora.

• Sobrecarga de dados

O primeiro problema é o crescimento do volume de dados que precisam ser protegidos. A cada ano, o volume de informações utilizadas cresce: aumenta o volume de correspondência comercial, a comunicação em redes sociais, os aplicativos e serviços usados em praticamente todas as áreas da vida humana e do trabalho organizacional. Esse crescimento é da ordem de centenas de por cento ao ano. Isso significa que o volume de informações que precisam ser protegidas também está aumentando. As ferramentas de segurança da informação estão sendo adaptadas para atender a essa necessidade, mas sua adaptação nem sempre é diretamente proporcional ao crescimento do volume de dados.

• Legislação

Hoje, cada estado, organização e indivíduo é deixado sozinho para lidar com essa tarefa – tornar seu ambiente seguro. Na verdade, não existe uma abordagem única para a segurança da informação, assim como não existe uma legislação comum que possa resolver esse problema.

• Evolução dos crimes

Junto com o crescimento do volume de dados, também aumentou o número de formas de vazamento ou infiltração maliciosa de dados. Os criminosos se adaptam muito mais rápido do que os produtos. Tomemos a IA como exemplo: já existem programas maliciosos baseados nessa tecnologia.

Conclusão

A segurança da informação é uma tarefa complexa. É impossível criar uma ferramenta de segurança da informação funcional sem levar em conta a abrangência e a natureza multifacetada dessa tarefa. Cada entidade — seja um governo, uma empresa ou um indivíduo — é livre para escolher seu próprio caminho rumo à garantia da segurança da informação. Mas todas têm algo em comum: no mundo de hoje, essa questão é de suma importância, e ninguém pode se dar ao luxo de ignorá-la.