O que é Proteção Técnica da Informação?

Toda organização pode enfrentar vazamentos de dados por causa de ações de insiders. Como construir um sistema de proteção de dados que funcione na prática, e não apenas no papel? Neste artigo, vamos examinar o que é a Proteção Técnica da Informação e o que precisa ser feito para que ela funcione de forma eficaz, e não apenas formalmente.

Informações gerais sobre proteção da informação

A Proteção Técnica da Informação (doravante PTI) é uma abordagem sistemática para garantir a Segurança da Informação (SI) de uma organização, baseada na integração de soluções de software e hardware, soluções de engenharia, normas regulatórias e organizacionais, e tecnologias.

A principal tarefa da PTI é garantir a confiabilidade, a disponibilidade e a confidencialidade dos dados coletados, processados e armazenados pelas empresas.

Ameaças à Segurança da Informação

As ameaças à Segurança da Informação são ações ou omissões que podem levar à perda da confidencialidade de dados protegidos, além de comprometer sua integridade e disponibilidade.

As ameaças de SI podem ser externas

• Introdução de software malicioso, incluindo vírus, trojans, exploits e ransomware.
• Ataques DDoS — fluxos massivos de tráfego destinados a interromper os sistemas da organização.
• Vazamento por meio de canais TEMPEST. Interceptação de emissões eletromagnéticas geradas por computadores, monitores, equipamentos de rede e servidores, rádios, telefones, etc.
• Vazamentos por meio de serviços externos, como armazenamento em nuvem, plataformas de colaboração, sistemas CRM e outras ferramentas.
• Engenharia social, phishing. Enganar funcionários para obter acesso a contas bancárias e ao sistema de informação (SI) da empresa.
• Injeção de código SQL arbitrário para invadir aplicativos e sites.
• Ataques à cadeia de suprimentos, ou seja, explorar vulnerabilidades de SI de contratados e parceiros para se infiltrar na rede corporativa da sua organização.
• Intrusão física no território onde os ativos de informação são armazenados. Se for fácil obter acesso a uma sala que contenha dados protegidos ou mídias de armazenamento, a implementação de medidas técnicas de segurança será inútil.
• Desastres naturais, catástrofes naturais e provocadas pelo homem. Estamos falando de enchentes, furacões, terremotos, incêndios e outros fenômenos naturais que podem danificar a infraestrutura de TI ou destruir mídias. Pulsos eletromagnéticos e falhas de energia também podem interromper a operação dos sistemas de informação, limitando assim a disponibilidade dos dados.

As ameaças de SI podem ser internas

O fator humano. Mesmo o sistema de PTI mais caro não será eficaz se os funcionários clicarem em links de phishing, perderem dispositivos de armazenamento, criarem senhas simples, instalarem aplicativos não testados ou enviarem documentos confidenciais a destinatários errados.

As estatísticas são alarmantes: segundo um estudo de 2024 da Mimecast, até 95% das violações de dados foram causadas por erro humano.

Ações de insiders, divulgação intencional ou roubo de informações protegidas. Estamos falando de espionagem industrial, sabotagem, abuso de privilégios.

Nossa experiência mostra que a maioria das tentativas de transferir ou roubar dados ocorre por meio de mensageiros instantâneos, e-mail, redes sociais e pen drives.

Negligência. Violação das normas de Segurança da Informação, erros graves na destruição de mídias, deixar dispositivos e mídias de armazenamento sem vigilância, política de senhas fraca, etc.

Medidas técnicas para proteção da informação

• Barreiras de engenharia como método de prevenção do acesso físico a objetos de Segurança da Informação: implementação de sistema de controle de acesso na empresa, instalação de cercas perimetrais, grades, cofres, fechaduras.
• Instalação de sistemas de proteção contra incêndio, sistemas de alerta de emergência e alarmes de segurança.
• Proteção contra vazamentos por canais TEMPEST, incluindo blindagem, instalação de transmissores de interferência de banda larga e geradores de ruído eletromagnético.
• Inspeção regular de dispositivos e mídias quanto à funcionalidade, além de instalações e comunicações, para garantir a conformidade com os requisitos de Segurança da Informação. Auditoria de acesso a documentos e objetos oficiais que constituem segredos comerciais, oficiais, médicos e de outra natureza.
• Implementação de meios técnicos de proteção da informação.

Vamos examinar cada um deles mais de perto.

Classificação das medidas de proteção da informação

Os Meios Técnicos de Proteção da Informação (MTPI) são soluções de hardware e software-hardware. O objetivo da implementação dos MTPI é evitar a distribuição, distorção ou destruição não autorizada de informações sensíveis.

• Sistemas SIEM, ou ferramentas para coleta e análise de eventos de Segurança da Informação dentro da rede corporativa.
• Sistemas DLP. Soluções para prevenir vazamentos causados por funcionários da empresa.
• Software antivírus para impedir a instalação de software malicioso.
• Firewalls para filtrar o tráfego de rede de acordo com condições predefinidas.
• Ferramentas de detecção e prevenção de intrusões para identificar e bloquear atividades suspeitas dentro da rede corporativa.
• Ferramentas de proteção criptográfica para criptografia de dados.
• Sistemas de controle de acesso para distinguir entre direitos de usuários e dispositivos.

Ao implementar ferramentas de PTI, certifique-se de que elas não afetem os processos de negócio nem interfiram na capacidade dos seus funcionários de desempenhar suas funções.

Organização de um sistema de Segurança da Informação em uma empresa

Ao desenvolver um sistema de PTI, leve em conta as características da infraestrutura de TI da sua empresa e as especificidades dos dados que você coleta e processa.

Antes de adquirir um conjunto de medidas técnicas de segurança, é necessário desenvolver e implementar a política de Segurança da Informação.

O próximo passo é fazer o inventário de todos os ativos de informação, analisar a quais documentos seus funcionários têm acesso e quais arquivos eles armazenam em seus computadores de trabalho.

Em seguida, identifique cada canal de informação usado dentro da organização. Na maioria das vezes, são o e-mail e suas versões web, mensageiros, redes sociais, pen drives, impressoras, FTP, telefonia IP e outros.

Uma forma importante de ajudar sua equipe de segurança é por meio da conscientização da equipe, ou seja, medidas destinadas a aumentar a consciência dos funcionários sobre higiene cibernética e comportamento seguro on-line.

Conclusão

A questão de garantir a segurança técnica deve ser tratada em todos os níveis das operações da empresa: estratégico, tático e operacional. Influência do fator humano.

Para reduzir o número de erros e prevenir vazamentos decorrentes de ações da equipe, é importante combinar treinamento regular em SI com verificações de como os funcionários estão cumprindo as políticas de segurança. Isso pode ser verificado usando o sistema DLP, entre outros métodos.