Mecanismos para garantir a segurança dos sistemas de informação

Neste artigo, veremos os principais mecanismos de segurança dos sistemas de informação e por que as empresas precisam deles.

Vamos começar pela teoria.

Sistema de informação (doravante — SI) é um conjunto de software e hardware, bem como operações e métodos de processamento de informações dentro da empresa. O SI é usado para coletar, analisar, armazenar e transferir dados. Um SI bem construído permite que as empresas otimizem processos de trabalho e alcancem objetivos de negócio mais rapidamente.

Segurança da informação (doravante — SI) — estado do sistema de informação no qual é garantida a proteção das informações protegidas contra acesso não autorizado com o objetivo de divulgação, uso, modificação e destruição.

Ativos de informação (doravante — AI) são quaisquer informações possuídas, gerenciadas ou mantidas por uma empresa. Os ativos de informação incluem documentação, diagramas, desenhos, imagens, arquivos de vídeo e áudio, bancos de dados, recursos da Internet etc.

Mecanismos de segurança dos sistemas de informação (doravante — mecanismos de OBIS) — conjunto de meios de hardware, organizacionais e de software usados para manter a estabilidade e a segurança do SI da empresa.

Por que a informação deve ser protegida?

Informação é qualquer forma de conhecimento que pode ser usada, armazenada, transformada e transmitida. A informação, pertença ela a indivíduos ou empresas, pode ser valiosa porque não é conhecida por terceiros que podem usá-la com intenção maliciosa, para se enriquecer ou para obter vantagem competitiva.

Qualquer informação valiosa de propriedade de uma empresa é um ativo de informação dela.

As informações de uma organização podem ser classificadas da seguinte forma.

As informações de uma organização podem ser classificadas da seguinte forma

• Públicas. Dados que não precisam ser protegidos e cuja divulgação não resultaria em consequências para uma pessoa ou para a organização.
• Confidenciais. Informações cuja divulgação pode causar dano material, financeiro, reputacional ou de outra natureza à empresa, ou colocar em risco a segurança de qualquer pessoa ou da empresa. Para proteger informações confidenciais, deve ser implantado um regime de segredo comercial na empresa.
• Legalmente protegidas. Isso inclui segredos de Estado, médicos, oficiais, familiares, militares e dados pessoais de cidadãos.

Para evitar que informações importantes se tornem acessíveis a invasores, é necessário adotar medidas de proteção. As seguintes medidas de proteção de informações em uma empresa se destacam.

Organizacionais (administrativas). Desenvolvimento e implementação da política de SI, trabalho com os regulamentos internos da empresa, capacitação do pessoal nos fundamentos de SI.

Físicas. Restrição do acesso físico às áreas de armazenamento dos ativos de informação da empresa: instalação de portas, fechaduras, sistemas de videovigilância, sistemas de alarme. Não apenas pessoas, mas também desastres naturais representam ameaça aos dados. Para proteger dados sensíveis, é necessário usar cofres confiáveis e instalar alarmes de incêndio.

De hardware. Aplicação de dispositivos eletrônicos e eletromecânicos.

De software. Software instalado em servidores e equipamentos: sistemas DLP, antivírus, sistemas de controle de acesso, firewalls, sistemas SIEM e assim por diante.

Medidas governamentais que regulam a proteção de informações confidenciais

Um conjunto de normas amplamente conhecido entre os profissionais de SI é a série ISO/IEC. É a referência mais frequente dos especialistas do setor ao implementar mecanismos de OBIS nos processos internos de uma empresa.

• ISO/IEC 27001:2013 é a norma mais conhecida da série. Ela descreve os principais termos e definições, além de aspectos da gestão de SI, e fornece orientações práticas sobre como construir um sistema de SI eficaz e sustentável.
• ISO/IEC 15408 — lista de critérios para avaliar a segurança de tecnologias de TI (nível de software e hardware), bem como requisitos para a funcionalidade dos recursos de segurança. Além disso, o documento contém justificativas de ameaças, políticas básicas e requisitos.
• ISO/IEC 29100 — descreve práticas de manutenção de SI e uma estrutura geral de privacidade.

A lista completa de normas internacionais pode ser encontrada no site oficial da Organização Internacional de Normalização.

Além da proteção de dados protegidos, bem como de segredos de Estado, bancários, médicos e outros, as empresas devem organizar a segurança da coleta, do armazenamento e da transmissão de dados pessoais de usuários — funcionários, clientes, parceiros, fornecedores etc.

O termo dados pessoais (doravante — "DP") significa qualquer informação sensível sobre um usuário: endereço real, endereço de residência, local de trabalho, dados de renda, número de telefone, dados de passaporte, dados bancários, e-mail e assim por diante. As empresas que utilizam dados pessoais devem implementar um conjunto de medidas para garantir que as informações do usuário não caiam nas mãos de grupos cibercriminosos.

Para proteger dados pessoais, as empresas são obrigadas a:

• coletar informações sobre um usuário apenas com o consentimento dele, por escrito ou eletronicamente;
• notificar obrigatoriamente os usuários sobre a coleta de dados pessoais, bem como sobre as finalidades da coleta e do processamento;
• não transferir dados pessoais dos usuários a terceiros;
• implementar um conjunto de medidas de hardware, técnicas e organizacionais voltadas para minimizar os riscos de vazamento de dados.

O cumprimento dos requisitos regulatórios é monitorado durante inspeções. As inspeções regulatórias podem ser planejadas ou iniciadas em decorrência de incidentes de SI de grande escala.

Para criar um SI empresarial estável e confiável, recomenda-se instalar software especializado: firewalls, antivírus, ferramentas de detecção de intrusão, sistemas de prevenção de vazamento de dados causados por usuários (sistemas DLP), sistemas de detecção de incidentes de SI (sistemas SIEM).

Como observação adicional, todo produto implementado deve passar por certificação obrigatória junto ao órgão regulador competente. Na ausência de certificação de software, as medidas de proteção serão consideradas inválidas pelos reguladores.

Algoritmo de mecanismo unificado para garantir a segurança da SI

Para proteger informações sensíveis que não estejam relacionadas a segredos de Estado ou dados pessoais, uma empresa pode implementar o conjunto de medidas com base em seus objetivos de SI, orçamento e capacidades. Isso pode ser feito internamente ou por meio de soluções integradas, como sistemas SIEM e DLP. Além disso, ao selecionar uma solução, vale considerar se a empresa utiliza sistemas automatizados de controle de processos (SACP), sistemas de CRM, diversos softwares para automação da gestão de documentos etc.

Nesse caso, independentemente da estratégia escolhida, os mecanismos de proteção do SI serão unificados para todas as empresas. O algoritmo a seguir é um exemplo:

• auditoria do estado atual do sistema de SI;
• busca, detecção e registro de vulnerabilidades, auditoria da rede e dos elementos de infraestrutura;
• desenvolvimento, aprovação e implementação da política de SI no trabalho da empresa;
• implementação de mecanismos de autorização e autenticação; 
• implementação de mecanismo de diferenciação de acesso; 
• monitoramento contínuo do estado da SI, busca, identificação e registro de incidentes de SI e, além disso, criação de uma lista de regras para respondê-los;
• proteção dos canais de comunicação pelos quais usuários remotos podem se conectar ao SI da empresa;
• introdução de recursos de segurança criptográfica na operação do SI;
• Monitoramento contínuo da configuração da SI e da compatibilidade de seus componentes.

Importante: ao implementar mecanismos de OBIS, deve-se seguir o princípio da razoabilidade. Isso significa que o custo de implementar a proteção de dados não deve exceder o valor dos dados, e as medidas adotadas não devem afetar a eficiência dos processos de negócio.

A seguir, examinaremos em detalhe as medidas de segurança de SI empresarial.

Mecanismos para garantir a segurança dos sistemas de informação

Vamos analisar as medidas mais populares voltadas à proteção de ativos de informação protegidos.

Controle de acesso (também CA)

Controle de acesso é o mecanismo que permite gerenciar os níveis de acesso dos usuários aos dados e recursos corporativos.

Um controle de acesso eficaz pode ajudar a:

• reduzir significativamente os riscos de exfiltração de ativos de informação importantes para a empresa;
• cumprir os requisitos regulatórios e evitar penalidades.

O controle de acesso é gerenciado em três fases.

• A primeira etapa é a identificação e a autenticação do usuário.
• A segunda etapa — após a autorização, o sistema determina o nível de acesso a um determinado ativo de informação, ou seja, quais operações o usuário pode realizar: baixar, modificar, excluir, ler e assim por diante.
• A terceira etapa — o sistema concede o acesso. Se necessário, é possível controlar o trabalho subsequente do funcionário com o arquivo confidencial.

Para minimizar os riscos de vazamento de ativos de informação da empresa devido ao fator humano, recomenda-se auditar o acesso a dados confidenciais pelo menos uma vez a cada 6 meses.

Identificação e autenticação (também IdA)

A identificação define quem é um usuário, por exemplo, por meio do nome da conta ou de um identificador pessoal.

A autenticação é a forma pela qual um usuário comprova que é o proprietário legítimo de uma conta. A autenticação estabelece a identidade usando senhas, biometria ou códigos de segurança enviados a um número de telefone confiável. Recomenda-se a autenticação multifator para reduzir os riscos de acesso não autorizado.

O processo de identificação e autenticação pode ser centralizado para os usuários dentro de uma única empresa. Nesse esquema de trabalho, os usuários recebem identificadores que podem usar para acessar diversas contas ao mesmo tempo: serviços, aplicativos, serviços de e-mail e outros.

Somente após ser identificado e autenticado o usuário pode obter acesso autorizado ao SI da empresa e a seus recursos.

Restrição do ambiente de software (RAS)

Diversos serviços, softwares e seus componentes que não são usados pelos funcionários para desempenhar suas tarefas podem apresentar vulnerabilidades que podem ser exploradas por invasores para obter acesso não autorizado ao SI e a seus recursos. Por isso, recomenda-se que as empresas implementem medidas para restringir o ambiente de software.

Entre outros, o processo de RAS inclui as seguintes operações:

• regulação da inicialização de softwares e seus componentes (inclusive durante a inicialização do sistema operacional), bem como a configuração dos parâmetros de inicialização;
• controle do software em execução;
• regulação da instalação de softwares e seus componentes;
• gerenciamento de arquivos temporários.

Diversos scripts, drivers, subsistemas, sistemas de arquivos, interfaces, alguns servidores web etc. podem apresentar funcionalidades desnecessárias ou que representam ameaça à SI. Desativar ou remover todos os serviços, sistemas, protocolos e funções não utilizados pode reduzir significativamente o risco de ciberataques.

Auditoria de segurança

É uma avaliação dos indicadores do estado da SI quanto à conformidade com a política de segurança aprovada pela empresa. O objetivo da auditoria é identificar vulnerabilidades no sistema de SI, avaliar os riscos existentes e categorizá-los, além de desenvolver recomendações para reduzir a probabilidade de sua concretização.

Com base nos resultados da auditoria, é elaborado um relatório sobre o estado atual do sistema de SI, as vulnerabilidades identificadas e as recomendações para sua eliminação. Isso permite que a gestão da organização tome decisões informadas sobre a mitigação de riscos e a melhoria dos mecanismos de proteção.

A auditoria examina:

• a política de segurança existente;
• os procedimentos implementados e sua eficácia;
• os meios técnicos de proteção utilizados — software antivírus, sistemas de prevenção de intrusão, firewalls etc.;
• as medidas organizacionais implementadas — autenticação e identificação, controle de acesso, capacitação dos funcionários nos fundamentos de SI etc.;
• as vulnerabilidades potenciais e os riscos por elas gerados.

A auditoria de segurança pode ser realizada internamente na organização ou por auditores externos. A escolha deve se basear no porte da empresa e na complexidade das tarefas que o sistema de SI enfrenta.

Proteção antivírus (PAV)

A proteção antivírus, no contexto da preservação da SI empresarial, é um conjunto de medidas e tecnologias usadas para detectar, bloquear e eliminar malwares (vírus, worms, cavalos de troia e outros) nos dispositivos do pessoal ou dentro da rede corporativa.

Entre outros, destacam-se os seguintes componentes da defesa antivírus empresarial.

• Software antivírus.
• Atualização regular das assinaturas, ou seja, do banco de dados de vírus, para que os antivírus possam detectar e eliminar malwares em tempo hábil.
• Verificação regular do SI em busca de novas ameaças.
• Monitoramento contínuo da atividade do software para detectar comportamentos suspeitos que possam estar associados à atividade de vírus ou de outros malwares.
• Firewall. Necessário para controlar o tráfego de rede de entrada e saída.
• Sandbox. Um ambiente isolado para executar softwares suspeitos e ler arquivos, que permite investigar com segurança seu comportamento e impacto no SI.

Importante! Para manter a proteção antivírus eficaz, é necessário atualizar em tempo hábil não apenas o software antivírus, mas também qualquer outro software instalado no SI. Junto com a introdução de novas funcionalidades, os desenvolvedores também eliminam vulnerabilidades descobertas entre as atualizações.

Sistema de prevenção de intrusão (também SPI)

O sistema de prevenção de intrusão é uma ferramenta de segurança de rede que monitora a rede em tempo real em busca de atividades maliciosas e toma medidas para preveni-las, incluindo alerta, bloqueio ou remoção, caso ocorram. Um IDS pode ser um dispositivo de hardware, um pacote de software ou uma combinação de ambos.

Normalmente, o SPI funciona da seguinte forma: se um usuário não autorizado obtém acesso à rede, o sistema identifica a atividade suspeita, registra o endereço IP e responde à ameaça, levando em conta as regras pré-configuradas pelo administrador da rede.

Garantia de integridade (também GI)

As organizações que trabalham com dados pessoais e informações sensíveis são obrigadas a:

• controlar a integridade dos DP, bem como controlar a integridade do software de proteção de informações;
• criar condições para manter a estabilidade e a possibilidade de recuperação do software em caso de incidentes; 
• regular os direitos do pessoal para inserir informações no SI;
• controlar a integridade, a completude e a correção das informações inseridas no SI etc.

Garantia de disponibilidade (também GD)

As empresas devem:

• introduzir meios técnicos tolerantes a falhas na operação do SI;
• criar cópias de backup dos dados protegidos;
• manter a possibilidade de restaurar dados protegidos a partir de mídias de backup etc.

Proteção de meios técnicos e sistemas (PMTS)

As organizações que lidam com informações protegidas devem:

• adotar medidas para proteger os dados processados por meios técnicos;
• restringir o acesso às instalações onde se localizam os equipamentos de armazenamento e processamento de dados protegidos;
• reduzir os riscos de impacto ambiental sobre os meios técnicos etc.

Para uma lista completa das normas regulatórias sobre garantia de integridade e disponibilidade de dados, bem como sobre medidas de proteção de meios técnicos, consulte o portal oficial do órgão regulador competente.

Proteção do sistema de informação (automatizado) e de seus componentes (PSI)

As recomendações de PSI obrigam as empresas a:

desenvolver e implementar regras e procedimentos de proteção de dados; proteger o perímetro do SI da empresa; restringir o acesso a recursos da Internet proibidos; proibir conexões não autorizadas a dispositivos periféricos; usar recursos de segurança sem fio etc.

Uma lista completa das normas pode ser encontrada no site da organização.

Planejamento da gestão de segurança (PGS)

PGS — é o processo de desenvolver e implementar estratégias e táticas para manter a segurança em uma organização.

Marcos do PGS:

• análise de risco, ou seja, identificação de potenciais ameaças e vulnerabilidades que podem afetar negativamente o SI da organização;
• desenvolvimento, implementação ou atualização de regras (políticas): ou seja, criação de um documento que define os objetivos, princípios e requisitos para a proteção de informações sensíveis;
• seleção de métodos e meios de proteção, por exemplo, instalação de videovigilância, organização de segurança física, implementação de mecanismos de controle de acesso etc.;
• atribuição de responsabilidades e recursos.

Gestão de atualizações de software (também GAS)

A gestão de atualizações de software — é o processo de atualizar regularmente o software em equipamentos, servidores e outros dispositivos do SI.

A GAS é necessária para:

• eliminar vulnerabilidades para proteção contra ameaças cibernéticas;
• melhorar a resiliência e o desempenho da SI;
• cumprir os mandatos regulatórios; 
• garantir a operação correta do software e dos mecanismos e práticas implementados de forma geral.

Existem várias etapas na gestão do sistema de GAS: Agendar atualizações > Baixar atualizações para os dispositivos > Instalar > Testar > Monitorar > Reverter atualizações (se necessário).

Para gerenciar as atualizações com eficácia, é necessário usar ferramentas e recursos especializados.

Resposta a incidentes de segurança (também RIS)

O processo consiste em 3 etapas.

• Localização. Na etapa de localização, é importante determinar onde o incidente ocorreu e quem o iniciou. Além disso, é importante tomar medidas para conter a propagação do incidente.
• Avaliação de impacto e remediação. Qualquer impacto dos incidentes sobre o SI da empresa deve ser analisado e neutralizado.
• Análise e registro do incidente. Com base nos dados coletados, o responsável deve tomar medidas para eliminar as causas originais do incidente.

Garantia de ações em situações de emergência (GAE)

Uma lista de requisitos para garantir a segurança dos dados em situações anômalas, que regula:

• algoritmo de resposta em caso de situações de emergência;
• regras para desenvolver um plano de ação de emergência;
• métodos de capacitação do pessoal nas regras de conduta em situações de emergência etc.

De acordo com o documento, as empresas que lidam com dados pessoais e confidenciais são obrigadas a:

• criar locais alternativos para armazenamento e processamento de dados protegidos em caso de incidentes;
• garantir a estabilidade e a capacidade de recuperação de software, meios técnicos e canais de comunicação em caso de falhas e acidentes;
• analisar incidentes e adotar medidas para reduzir os riscos de sua ocorrência etc.

Informação e capacitação do pessoal

É um conjunto de medidas voltadas para aumentar a conscientização dos funcionários sobre a importância da SI, capacitando-os no uso correto dos recursos e mecanismos de SI e na resposta a incidentes. O processo de informação e capacitação do pessoal também é chamado de "conscientização em segurança" do pessoal.

A implementação do mecanismo de informação e capacitação do pessoal permite reduzir significativamente os riscos de exfiltração de dados por falha do pessoal.

A informação e capacitação do pessoal inclui:

• realização de diversos seminários, treinamentos, webinars;
• divulgação de informações sobre ameaças atuais por qualquer método conveniente para a empresa (envios por serviços de e-mail, mensageiros);
• realização de simulados para praticar as habilidades adquiridas.

Conclusão

Implementar os mecanismos gerais de segurança dos sistemas de informação hoje não é apenas uma necessidade — é uma obrigação direta para toda organização que lida com informações pessoais de funcionários e clientes, bem como com informações que representam segredos comerciais.

O cumprimento das medidas prescritas será monitorado por meio de inspeções regulatórias. Se a infraestrutura de SI da empresa não estiver em conformidade com as normas, os reguladores poderão impor sanções ou multas à empresa.