Conceitos sobre Segurança da Informação

O oferecimento de serviços na Internet tem se expandido muito rapidamente. Bancos, órgãos do governo e empresas de atividades diversas implementam a cada dia novas facilidades de acesso pela rede aos seus clientes. Ao mesmo tempo, cresce o número de delitos cometidos utilizando a WEB. Em 2006 foram 69.509 incidentes reportados ao CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) (1).
Recursos e procedimentos que impeçam ações fraudulentas de qualquer natureza ocupam grande parte do tempo e da energia dos profissionais de TI (Tecnologia da Informação).
Apesar de todos os esforços, existe um gap entre a prática do usuário final e os resultados que se buscam alcançar com a implantação de políticas de segurança.

Política de Segurança

É um conjunto formal de regras que devem ser seguidas pelos usuários dos recursos de uma organização a fim de manter:
A Disponibilidade: o sistema deve estar disponível de forma que quando o usuário necessitar possa usar. Dados críticos devem estar disponíveis ininterruptamente.
A Utilização: o sistema deve ser utilizado apenas para os determinados objetivos.
A Integridade: o sistema deve estar sempre íntegro e em condições de ser usado.
A Autenticidade: o sistema deve ter condições de verificar a identidade dos usuários, e este ter condições de analisar a identidade do sistema.
A Confidencialidade: dados privados devem ser apresentados somente aos donos dos dados ou ao grupo por ele liberado (2).
A informação é um patrimônio valioso para qualquer organização, por esta razão a proteção aos recursos (sistemas, pessoas, informações, equipamentos, etc) tem a finalidade de diminuir o nível de exposição aos riscos existentes em todos os ambientes. Quais os benefícios de se implementar uma política de segurança?
redução de riscos contra vazamento de informações sigilosas e confidenciais
redução da probabilidades de fraudes
diminuição de erros devido a treinamento e mudança de comportamento
manuseio correto de informações
aumento da produtividade através de um ambiente mais organizado
redução de ocorrências de incidentes de segurança
redução de perdas e danos causados por incidentes de segurança
recuperação de danos em caso de desastre ou incidente

Incidentes de Segurança

Um incidente de segurança é qualquer evento que prejudique o bom andamento dos sistemas ou redes. Pode ser o resultado de uma violação de segurança, acesso não autorizado a informações ou até mesmo um site tirado do ar por ação de hacker.

Vulnerabilidade

É o ponto onde qualquer sistema é suscetível a ataque. Identificar as vulnerabilidades que podem contribuir para a ocorrência de incidentes de segurança é um aspecto importante na identificação de medidas adequadas de segurança. Tipos de Vulnerabilidade:

Física
problemas com temperatura, umidade, exposição
instalação elétrica ruim
exposição a radiação eletromagnética

Hardware
falhas de hardware, obsolescência, erros de instalação
falhas nas mídias de gravação

Software
erros na instalação e configuração
falhas e bugs em aplicativos, sistemas operacionais e programas que implementam os serviços de rede. Produtos chegam ao mercado e pouco tempo depois são encontradas vulnerabilidades divulgadas na Internet. Os hackers são os primeiros a explorar as vulnerabilidades. As empresas produtoras de software disponibilizam as correções para que os administradores e usuários possam atualizar os seus sistemas. O SANS Institute disponibiliza em http://www.sans.org/top20/ uma relação das vinte maiores vulnerabilidades divulgadas no ano.

Comunicação
falhas nos links de comunicação
tráfego de informações sem proteção (criptografia)
perda de comunicação

Humana
falta de treinamento
compartilhamento de informações confidenciais
falta de execução de rotinas de segurança
falta de comprometimento
manuseio inadequado de informações confidenciais
Cada vulnerabilidade pode permitir a ocorrência de incidentes de segurança. Pessoas mal intencionadas podem explorar as fraquezas do sistema e entrar na rede copiando ou apagando informações. Tipos de ocorrência:
documentos confidenciais divulgados na Internet
funcionários divulgando material pornográfico
contas e senhas roubadas para posterior utilização
linhas de comunicação grampeadas com comprometimento de informações
pane em servidores através de inundação de pacotes recebidos pela rede
roubo, remoção ou destruição de informações
interrupção de serviços de rede

Medidas de Proteção

As medidas de segurança são esforços como procedimentos, software, configurações, hardware e técnicas empregadas para atenuar as vulnerabilidades com o intuito de reduzir a probabilidade de ocorrência de ameaças e incidentes de segurança.
Muitas medidas podem ser aplicadas combinadas a fim de minimizarem os riscos, entre elas:
política de segurança implementada pela empresa
criptografia de dados
certificação digital
controle de acesso
segurança física
backup
planos de contigngência
monitoração
firewall
segurança de roteadores
filtros de conteúdo
políticas de senhas
detecção de intrusos
testes de invasão
alertas
treinamentos de usuários
auditoria
programas antivírus

Referências

(1)Estatísticas dos Incidentes Reportados ao CERT.br, disponível em http://www.cert.br/stats/incidentes/, acesso em 28/10/2006.
(2)Segurança da informação, disponível em http://pt.wikipedia.org/wiki/Seguran%C3%A7a_da_informa%C3%A7%C3%A3o#Pol.C3.ADticas_de_seguran.C3.A7a, acesso em 2/3/2007.
Moreira, Nilton Stringasci. Segurança Mínima, Axcel Books, 2001.