Ameaças à Segurança da Informação

A informação está sempre ao nosso redor; estamos imersos em uma densa nuvem de dados em constante mudança. Esses dados se tornaram um ativo valioso, uma fonte de poder e riqueza para quem os possui. As pessoas passaram a caçar informações, e novas fontes de vulnerabilidade surgiram – as ameaças à Segurança da Informação. O que são elas? Quão perigosa pode ser a informação em mãos erradas? Quais opções de proteção existem? Descubra em nosso artigo.

Os conceitos de "segurança" e "ameaça à informação"

Vamos definir os conceitos básicos: informação, ameaça e segurança, e o que cada um significa.

Informação é um conjunto de dados sobre qualquer assunto, fenômeno, processo, objeto social etc. selecionado, que pode ser usado para caracterizá-los. O valor da informação não pode ser medido; dados diferentes podem ter valores diferentes para diferentes membros da sociedade. Mas uma coisa é comum a todos: a informação definitivamente tem valor.

Ameaça é qualquer impacto intencional ou não intencional sobre a informação com o objetivo de obtê-la e usá-la para causar dano ao titular da informação.

Segurança é um conceito básico de proteção contra ameaças a qualquer entidade (indivíduo, organização, estado).

Panorama geral das ameaças à Segurança da Informação

Um conjunto de medidas de Segurança da Informação envolve várias etapas para garantir a integridade do sistema de informação. Isso inclui medidas preventivas (voltadas a antecipar incidentes de Segurança da Informação), identificação e detecção de ameaças (voltadas a estabelecer os parâmetros exatos de uma situação perigosa e detectá-la dentro do sistema de informação), localização de ameaças (limitação do impacto criminoso e eliminação da situação perigosa surgida) e mitigação de consequências (medidas para restaurar a integridade da informação e a confiabilidade do sistema de Segurança da Informação).

É importante entender que, quando ocorre um incidente de Segurança da Informação, cada medida será importante, assim como garantir uma abordagem abrangente e consistente para sua implementação. No entanto, vale reconhecer que a prevenção e o alerta antecipado de um incidente de SI são muito mais eficazes do que até mesmo o programa de eliminação mais moderno e relevante. No campo da Segurança da Informação, a regra "prevenir é melhor do que remediar" também é válida.

Tipos de ameaças à Segurança da Informação

É costume distinguir três tipos principais de ameaças à Segurança da Informação:

1. ameaças à confidencialidade;
2. ameaças à integridade;
3. ameaças de negação de serviço.

As ameaças à confidencialidade são, por assim dizer, os problemas de Segurança da Informação mais típicos. Em última análise, a própria natureza da informação exige que se defina o escopo de acesso a ela e se estabeleçam parâmetros de confidencialidade. Uma ameaça à confidencialidade é o surgimento da possibilidade de acesso e uso não autorizados da informação.

As ameaças à integridade são o processo de violação intencional ou deliberada da unidade e autenticidade da informação, a fim de impedir seu uso em sua forma original. Podem ser causadas por afetar a própria informação ou a infraestrutura usada para armazená-la e transmiti-la.

Ameaças de negação de serviço – interrupção do sistema de informação com o objetivo de impedir o acesso às informações armazenadas.

Que tipos de ameaças existem?

Existe um grande número de ameaças à Segurança da Informação, tantas quantos são os tipos de informação hoje em dia.

• Ameaças por alvo:

• o estado;

• as empresas;

• os indivíduos.

Por tipo de intenção:

• financeira;

• reputacional;

• divulgação de intenções.

Por fonte da ameaça:

• externa ao sistema de informação;

• interna ao sistema de informação.

Por tipo de dano:

• geral;

• local;

• privado.

Pelo grau de impacto no sistema de informação:

• passivas (a estrutura e o conteúdo do sistema permanecem inalterados);

• ativas (a estrutura e o conteúdo do sistema sofrem alterações).

Grupos de ameaças à Segurança da Informação:

• técnicas;

• antropogênicas;

• naturais.

Ameaças por direção de ação

Vamos analisar com mais detalhes as ameaças à Segurança da Informação para o estado. Neste caso, o sujeito da informação é o estado como detentor de dados confidenciais. Do ponto de vista de um alvo de atenção para fraudadores no campo da informação, este não é o alvo mais óbvio. O estado é representado por uma multidão de instituições que garantem a unidade e o funcionamento dessa entidade política: instalações de saúde e logística, instituições educacionais, a mídia, órgãos legislativos e executivos, centros de informação e muito mais. Em outras palavras, qualquer instituição cuja informação possa representar ameaça aos direitos e liberdades constitucionais dos cidadãos, à implementação da política estatal do país, à infraestrutura estatal ou às redes e sistemas de informação do estado é um alvo de ataque.

A Segurança da Informação é uma parte importante da criação de uma estratégia abrangente de segurança nacional. Isso também inclui:

• tecnológica;

• produtiva;

• monetária e de crédito;

• de matérias-primas;

• energética;

• ambiental;

• informacional;

• alimentar.

Para implementar a política estatal de segurança do espaço de informação, é necessário levar em conta as ameaças potenciais e desenvolver uma abordagem estratégica para a Segurança da Informação. Isso inclui a criação e o cumprimento de requisitos legislativos e governamentais, o apoio a padrões internacionais e nacionais de política de Segurança da Informação, o fornecimento de suporte técnico e tecnológico para as medidas, e a implementação de programas de treinamento e conscientização sobre Segurança da Informação junto à população, entre outros.

Principais ameaças à Segurança da Informação para o estado:

• guerra de informação;

• ataques cibernéticos;

• espionagem cibernética;

• crime cibernético;

• ciberterrorismo;

• divulgação de segredos de estado e vazamento de outros dados confidenciais.

As principais tarefas do estado, como alvo primário de ameaças à informação e principal fornecedor de ferramentas de Segurança da Informação, são detectar e responder rapidamente a ameaças a um país, garantir uma proteção de alta qualidade das fronteiras de informação e criar uma infraestrutura favorável às ferramentas de Segurança da Informação.  

O desenvolvimento da política de segurança de um país leva em conta quatro fatores importantes que formam um conjunto abrangente de medidas. Estes incluem:

1. apoio legislativo às medidas de proteção da informação para todas as partes envolvidas no processo;

2. conformidade com padrões internacionais e regionais de Segurança da Informação;

3. garantia de que os direitos e obrigações de todos os participantes do processo sejam respeitados;

4. criação de uma estrutura segura de Segurança da Informação para o estado.

Ameaças à Segurança da Informação para a empresa

A empresa possui uma grande quantidade de dados sensíveis e é alvo de vários tipos de fraudadores. Os seguintes dados podem ser de particular interesse para partes hostis:

1. bancos de dados e sistemas de armazenamento de informações;

2. o sistema de arquivos e seu conteúdo;

3. senhas de acesso, dados de autenticação e autorização de usuários;

4. propriedade intelectual;

5. instruções e descrições de processos tecnológicos exclusivos, etc.

As formas pelas quais informações confidenciais podem ser obtidas em uma empresa correspondem a três grupos principais de ameaças à segurança e correspondem a ameaças antropogênicas, tecnogênicas e naturais.

De um ponto de vista prático, as principais ameaças à Segurança da Informação em qualquer nível de uma empresa podem ser:

• a desatualização de versões de software e antivírus, o uso de software sem licença;

Já escrevemos muitas vezes sobre a importância de atualizações de software oportunas. As versões mais recentes do software levam em conta os dados de ameaças de segurança mais recentes e alertam sobre vulnerabilidades potenciais.

• a recusa em diferenciar o acesso à informação para os funcionários;

Os modelos Zero Trust se tornaram populares, nos quais cada participante da rede é considerado como uma ameaça potencial à Segurança da Informação. Isso se deve ao surgimento de um número cada vez maior de serviços remotos (armazenamento em nuvem) e à inclusão de estações de trabalho fora do perímetro de segurança da organização (trabalho remoto) no perímetro empresarial.

• vazamento de informações intencional ou não intencional por parte de pessoas internas;

Trata-se de um vazamento de informação por culpa de indivíduos dentro do perímetro de segurança da organização. Nem sempre é uma ação deliberada. Muitas vezes, os funcionários nem sabem que estão compartilhando dados proibidos. Para prevenir esse tipo de ameaça, é necessário realizar mais treinamentos e capacitações sobre técnicas de Segurança da Informação dentro da empresa, garantir que os direitos, deveres e responsabilidades de cada indivíduo estejam documentados, e estabelecer um regime de sigilo comercial.

• o uso de mensageiros pessoais, redes sociais e serviços de e-mail no local de trabalho;

O uso de contas pessoais no local de trabalho é um problema comum para os empregadores. Isso afeta não apenas a eficiência do funcionário como indivíduo (segundo um estudo da Microsoft, os funcionários se distraem com redes sociais em média a cada 10 minutos de trabalho), mas também o perfil geral de segurança. Em geral, a atenção aos detalhes é significativamente menor na comunicação pessoal, o que leva a vazamentos internos e à transferência de dados confidenciais.

• atitude descuidada em relação aos dispositivos de armazenamento de informações;

Proibição do uso de dispositivos de armazenamento de dados pessoais e da cópia de dados.

• falta de atualização dos acessos às estações de trabalho.

Esta também é uma ameaça comum. Os departamentos de Segurança da Informação nem sempre monitoram as credenciais dos funcionários em tempo hábil. Podem surgir situações em que um funcionário demitido se conecte remotamente ao seu computador. Isso pode levar a vazamentos de informação. Alternativamente, a segurança dos dados de login e senhas dos funcionários pode não ser garantida, e todos têm acesso às estações de trabalho uns dos outros.

Como medida para controlar os funcionários e aumentar a estabilidade de todo o sistema de Segurança da Informação, recomenda-se o uso de sistemas de Prevenção contra Perda de Dados (DLP). Um exemplo desse tipo de sistema é o Anexet. Para mais detalhes, consulte a apresentação.

Ameaças à informação privada

Em muitos aspectos, as ameaças de natureza privada se sobrepõem às ameaças ao estado ou às empresas. Isso inclui a aquisição, uso e comércio ilícitos de informações confidenciais por terceiros.

Uma diferença importante para esse grupo de ameaças é o uso de ferramentas de engenharia social, devido ao fato de que a vítima final dos fraudadores é personalizada. É possível calcular pontos de pressão, criar um perfil psicológico e utilizá-lo, rastrear hábitos e o cronograma de uso das fontes de informação, e assim por diante.

Engenharia social é um conjunto de técnicas que exercem pressão psicológica e manipulam terceiros para obter ganho pessoal.

As principais técnicas usadas na engenharia social são:

• métodos de manipulação de emoções;

Esse método requer a criação prévia de um perfil psicológico da vítima em potencial, o planejamento de padrões de comportamento e o desenvolvimento de cenários de resposta a esses padrões.

• pressão e urgência;

Este método é muito popular entre os golpistas telefônicos modernos, pois é projetado para provocar uma reação específica em suas vítimas. Ele exige que a vítima responda rapidamente a um pedido, de modo que não consiga analisar suas ações a tempo e se concentre nelas.

• ampliação do círculo de confiança.

Outra forma de obter informações confidenciais sem invasão. O fraudador busca se aproximar de sua futura vítima, cria uma imagem positiva de si mesmo e entra em seu círculo íntimo de conhecidos. Esse jogo de confiança ajuda quando a vítima deixa de controlar suas reações e relaxa. Nesse caso, o golpista precisa ter paciência e simplesmente esperar o momento certo.

É importante lembrar que a proteção dos Dados Pessoais estará sempre nas mãos do titular dos dados, e é principalmente ele quem deve se interessar pela segurança de suas informações. Ele também deve aplicar os métodos de proteção disponíveis em casa.

Tipos de ameaças à Segurança da Informação por tipo de intenção

Com base em suas intenções, as ameaças à Segurança da Informação costumam ser divididas em três tipos: financeiras, reputacionais e de divulgação de intenções.

Como o próprio nome sugere, as ameaças financeiras são potenciais incidentes de Segurança da Informação que resultam em dano financeiro para a vítima.

O dano financeiro, nesse caso, consiste em:

1. perdas decorrentes da avaliação da informação perdida;

2. custos tecnológicos e trabalhistas para a recuperação de dados e infraestrutura (custos de equipamentos, pagamento de serviços relacionados, salários de funcionários etc.);

3. indenização por danos às partes afetadas.

O dano reputacional é um impacto negativo de natureza intangível que se reflete em uma mudança negativa nas relações sociais (diminuição da confiança, queda nas avaliações etc.). Pode ser infligido ao estado, a organizações e a indivíduos.

A ameaça de divulgação de intenções é a probabilidade de revelar informações potencialmente valiosas sobre intenções de ação, cujas consequências ainda não podem ser avaliadas em termos financeiros ou reputacionais.

Ameaças à Segurança da Informação por fonte da ameaça

As ameaças à Segurança da Informação se dividem entre as que se originam fora do sistema de informação e as que se originam dentro do sistema de informação. Fora do sistema de informação, as ameaças podem se originar de entidades hostis (concorrentes, fraudadores, serviços especiais etc.) usando diversos meios de intrusão (hardware, software etc.). Desastres naturais e catástrofes também são considerados fontes externas de ameaças.

As ameaças dentro do sistema de informação se originam de participantes do sistema (pessoas internas, funcionários desonestos, problemas técnicos com equipamentos etc.), sendo os riscos internos geralmente considerados os mais prováveis dentro do sistema de informação. Vamos analisar isso mais de perto.

Definição de pessoas internas (insiders)

Insiders são a principal categoria de risco de segurança dentro do perímetro do sistema de informação. Esses riscos são difíceis de calcular porque são difíceis de prever e prevenir.

Insiders são definidos como participantes dentro do perímetro interno de Segurança da Informação que transmitem, intencional ou não intencionalmente, informações confidenciais para fora desse perímetro. Essa categoria de usuários é bastante ampla, pois há muitos fatores, ocultos e evidentes, que influenciam os motivos por trás de suas ações.

Estes incluem:

• obtenção de ganho pessoal;

Os insiders cometem crimes deliberadamente no ambiente de trabalho porque isso lhes traz benefícios financeiros ou morais.

• interesse;

Esse motivo pode ser desencadeado pela curiosidade, o desejo de acessar dados restritos para ampliar a própria experiência.

• sem motivo;

Isso diz respeito a funcionários apáticos e desatentos que, por falta de vontade ou preguiça, transmitem informações confidenciais para fora do perímetro de segurança.

• vingança;

Frequentemente, trata-se de funcionários prestes a ser demitidos ou agressores ocultos dentro de uma equipe. Nesses casos, seu principal desejo será maximizar o dano causado à empresa.

• questões psicológicas;

Cada participante do perímetro de segurança é, antes de tudo, uma pessoa com seus próprios problemas psicológicos (que podem ser pessoais ou provocados), o que pode afetar seus motivos.

• chantagem;

O objetivo da infiltração de um insider é obter informações confidenciais e depois usá-las para chantagem dentro de uma empresa (funcionários, direção) ou fora dela.

• diferenças políticas ou ideológicas;

Isso também pode ser um motivo para vazamentos de dados por insiders.

• pressão externa.

Um indivíduo dentro do perímetro de segurança pode ele mesmo se tornar alvo de chantagem, com exigências de fornecer dados de interesse de uma parte externa.

Como os insiders podem ser úteis para as partes interessadas:

1. Um insider é um participante do sistema de segurança que possui a qualificação necessária e acesso a informações confidenciais.

2. O insider ocupa um cargo e tem qualificação suficiente não apenas para encontrar dados, mas também para extraí-los com segurança e entregá-los na forma exigida.

3. Um insider pode se desviar do plano, agir conforme a situação, ou esperar o momento oportuno para se infiltrar. Para uma infiltração externa, esse luxo não está tão facilmente disponível.

4. Um insider pode conquistar outros funcionários e criar um grupo leal à sua influência.

Como combater os insiders

Como podemos ver, muitas vantagens favorecem os insiders. Eles são difíceis de identificar, já estão dentro do sistema de informação, podem agir de forma dissimulada, e os verdadeiros motivos desses funcionários nem sempre são claros. No entanto, isso não significa que o problema deva ser ignorado e a situação, deixada ao acaso. Um conjunto de medidas pode ajudar a detectar insiders e prevenir vazamentos de informação.

• na contratação;

Um empregador em potencial pode avaliar um candidato a emprego já na fase da entrevista: avaliar sua estabilidade psicológica, motivação, solicitar informações de empregadores anteriores, investigar possíveis infrações, e assim por diante. Só esse conjunto de ações já eliminará os insiders potenciais mais ativos e promissores.

• durante a atuação na empresa.

Após a contratação formal, é importante não negligenciar nem o novo funcionário nem toda a equipe. Afinal, um potencial insider pode se tornar motivado enquanto desempenha suas funções, ou pode até ser um «infiltrado» em uma organização desde o início. O departamento de RH e a equipe de segurança podem realizar as seguintes medidas:

• educativas (informar os funcionários sobre seus direitos e obrigações quanto à preservação da informação dentro do perímetro, bem como sobre as consequências de ações ilícitas);

• testes e questionários psicológicos (pesquisas e testes ajudarão a identificar funcionários insatisfeitos e não confiáveis com base em evidências indiretas);

• documentais (política de Segurança da Informação oficialmente documentada dentro de uma empresa, introdução de um regime de «segredo comercial»);

• de software e hardware (uso de meios técnicos para restringir o acesso à informação, introdução de um sistema de autenticação de funcionários, instalação de sistemas DLP;

• no desligamento. 

Este também é um ponto importante, pois esse período costuma ser o mais tenso na relação empregador/empregado. É necessário registrar a transferência de informações do funcionário que está saindo, especialmente para fora do sistema de informação, e garantir o encerramento correto do vínculo empregatício.

Para mais informações sobre como reconhecer um insider, leia nosso artigo.

Ameaças à Segurança da Informação por fonte da ameaça e impacto na SI

As ameaças à Segurança da Informação são classificadas de acordo com o tipo de dano que causam:

•    gerais (características de todos os sujeitos de informação);

•    locais (delimitadas territorialmente ou orientadas por atividade);

•    privadas (projetadas para exercer pressão direta sobre um indivíduo específico, levando em conta as características individuais de uma vítima potencial).

Pelo grau de impacto no sistema de informação:

•    passivas (a estrutura e o conteúdo do sistema permanecem inalterados);

•    ativas (a estrutura e o conteúdo do sistema estão sujeitos a alterações).

Ameaças à segurança da informação por canais de acesso não autorizado

Uma das ameaças mais devastadoras à Segurança da Informação em termos de destruição e dano é o prejuízo causado pelo acesso não autorizado.

Acesso não autorizado (ANA) é a invasão não autorizada do sistema de Segurança da Informação, contornando as regras de segurança aprovadas. Existem três tipos de acesso não autorizado: pessoal (por meio de uma pessoa), de hardware (por meio da conexão de equipamentos especializados) e de software (usando software). Vamos analisar isso mais de perto.

Canais pessoais de ANA:

• por meio de dispositivos de armazenamento de informações (roubo, falsificação);

• por meio da leitura de informações de fontes visuais (capturas de tela, fotos e vídeos, keyloggers);

• por meio de documentos (roubo, cópia);

• por meio do monitoramento de impressões.

Canais de software do ANA:

• por meio de software malicioso e conteúdo viral (vírus, spam, spyware);

• por meio do acesso ao gerenciamento de contas (IDM);

• ataques DDoS;

• ataques direcionados;

• invasão de sites e redes sociais e obtenção de direitos de administrador;

• dispositivos móveis.

Hardware (por meio de canais eletromagnéticos, vibroacústicos, visuais e de informação de vazamento de dados).

Riscos e ameaças à Segurança da Informação

Muitas vezes, conceitos em Segurança da Informação podem ser equiparados entre si: informação pessoal e privada, riscos e ameaças, e assim por diante. No entanto, essas definições nem sempre são equivalentes. Embora informação pessoal e privada sejam essencialmente sinônimos e definam o mesmo tipo de dado sob ângulos diferentes, riscos e ameaças à Segurança da Informação não podem ser equiparados. Eis o motivo.

Os riscos de Segurança da Informação são um conjunto de fatores negativos que podem afetar a integridade, a disponibilidade e a suscetibilidade da informação. Em outras palavras, trata-se de uma situação real existente. As ameaças, por sua vez, são oportunidades que surgem no sistema de segurança para impactar a informação por meio de vulnerabilidades. Por exemplo: a ameaça de acesso não autorizado a arquivos em um computador quando surge uma vulnerabilidade de segurança (o usuário não saiu de seu perfil de trabalho), a ameaça de introdução de um vírus malicioso devido a uma vulnerabilidade de software (uso de software sem licença em computadores de trabalho), e assim por diante.

Assim, o risco de Segurança da Informação pode ser definido como ameaças à Segurança da Informação que foram exploradas. Nesse caso, a fórmula do risco de Segurança da Informação seria a seguinte:

Conclusão

A Segurança da Informação é um tema amplo que deve ser abordado de forma consistente e cuidadosa. A informação hoje é um recurso valioso que deve ser protegido contra ameaças internas e externas. Utilize todas as medidas de proteção disponíveis e garanta um perímetro seguro dentro do seu círculo de informação. Você pode não sentir os benefícios dessa ação imediatamente, mas certamente reconhecerá o valor da Segurança da Informação quando os riscos surgirem e as ameaças se concretizarem.