Auditoria em segurança da informação

Origem: Wikipédia, a enciclopédia livre.
Ir para: navegação, pesquisa

A auditoria em segurança da informação tem o papel de assegurar a qualidade da informação e participar do processo de garantia quanto a possíveis e indesejáveis problemas de falha humana.

Com dados concentrados em formato digital e procedimentos invisíveis devido à automação, os sistemas de informação são vulneráveis a destruição, abuso, alteração, erro, fraude e a falhas de programas e equipamentos. Os sistemas on-line e os que utilizam a Internet são os mais vulneráveis, pois seus dados e arquivos podem ser acessados imediata e diretamente em terminais de computador ou em muitos pontos de rede. Crackers podem invadir redes e causar sérios danos ao sistema e às informações armazenadas, sem deixar qualquer rastro. Vírus de computador podem se propagar rapidamente entupindo a memória de computadores e destruindo arquivos. Os softwares em si também apresentam problemas e a má qualidade dos dados também pode causar sérios impactos sobre o desenvolvimento do sistema.

Qualquer grande empresa precisa tomar providencias especiais para evitar as vulnerabilidades. Para tanto, planos de recuperação pós-desastre incluem procedimentos e instalações para restaurar os serviços de comunicação após terem sofrido algum tipo de problema. Quando a empresa utiliza intranet ou Internet, firewalls e sistemas de detecção de invasão ajudam a salvaguardar redes internas contra o acesso não autorizado. •Departamento de informática – segurança está relacionada com teste de hardware, software e prevenção de erros cometidos pelos usuários

•Atender as necessidades do usuário e proteger as informações contra ameaças -

Eficiência

•Operação de forma adequada e garantias de segurança

•Necessidade de ambientes controlados

•Proteção contra desastres naturais (incêndios, terremotos, enchentes)

•Falhas estruturais (interrupção do fornecimento de energia elétrica, sobrecargas elétricas)

•Sabotagem

•Fraudes

•Acessos não autorizados (hackers, espionagem digital, venda de informações confidenciais para a concorrência)

Objetivos de Segurança[editar | editar código-fonte]

Confidencialidade ou privacidade – proteger as informações contra o acesso de qualquer pessoa não explicitamente autorizada

Integridade de dados - evitar que os dados sejam apagados sem permissão

Disponibilidade – proteger os serviços de tal forma que não sejam degradados ou tornados indisponíveis sem a devida autorização.

Consistência – certificar-se que o sistema está de acordo com as expectativas do usuário

Isolamento ou uso legítimo – regular o acesso ao sistema

Auditoria – proteger os sistemas contra os erros e atos maliciosos cometidos pelos usuários autorizados

Confiabilidade – garantir que, mesmo em condições adversas, o sistema atue conforme o esperado. Ex: sistemas de energia nuclear, de controle de tráfego aéreo e de controle de vôo.

Controles de acesso lógicos

•Controles de acesso físicos ou lógicos

•Proteger recursos computacionais

•Equipamentos, softwares, aplicativos, arquivos e dados

•Perda, danos, modificações ou divulgação não autorizada

•Sistemas computacionais são bem diferentes de outros recursos computacionais

•Principalmente quando conectados a redes locais ou de maior abrangência

•O acesso lógico é

•Nada mais do que um processo em que um sujeito ativo deseja acessar um objeto passivo

•Sujeito: usuário ou processo

•Objeto: arquivo, ou outro recurso como memória ou impressora

•Controle de acesso lógico é:

•Um conjunto de medidas e procedimentos, adotados pela organização ou intrínsecos aos softwares utilizados, cujo objetivo é proteger dados, programas e sistemas contra tentativas de acesso não autorizadas feitas por usuários ou outros programas.

•A melhor forma de proteção fundamental é:

•A conscientização do usuário

•Tornando a estratégia de controle de acesso eficaz

Recursos e informações a serem protegidos[editar | editar código-fonte]

•Aplicativos (Programas fonte e objeto)

•O acesso ao código fonte dos aplicativos pode ser usado para alterar suas funções e a lógica do programa

•Arquivos de dados

•Bases de dados, arquivos ou transações de bancos de dados devem ser protegidos para evitar que os dados sejam apagados sem autorização adequada

•Utilitários e Sistema Operacional

•O acesso as programas utilitários, tais como, editores de texto, compiladores, softwares de manutenção, podem ser usadas para alterar arquivos de dados, aplicativos e arquivos de configuração do sistema

•E o sistema operacional é sempre um alvo bastante visado pois sua configuração é o ponto chave de todo o esquema de segurança.

•Arquivos de Senhas

•A falta de proteção adequada a arquivos de senhas pode comprometer todo o sistema, pois uma pessoa não autorizada, poderia intencionalmente causar danos ao sistema e dificilmente ser barrado por qualquer controle de segurança instalado

•Arquivos de Logs

•Como os arquivos de logs registram toda e qualquer ação dos usuários no sistema, se estes não forem devidamente protegidos, um invasor poderá alterar seus registros para encobrir ações por ele executadas

Segurança do Banco de Dados[editar | editar código-fonte]

Especial atenção deve ser dada ao banco de dados para o qual devem existir dispositivos de segurança, procedimentos de autorização de acesso aos dados, atualização das novas versões e procedimentos de cópias para possíveis restaurações.

A segurança das informações processadas pelo sistema de informática deve ser sempre monitorada para verificar se os relatórios gerados estão corretos, se estão protegidas contra fraudes, se as instalações e os equipamentos também estão protegidos.

Segurança de Redes[editar | editar código-fonte]

Quanto à segurança de redes as seguintes medidas de segurança devem ser tomadas: uso da criptografia no envio de dados, monitoramento do sistema, cuidados com a criação de novos usuários e uso de firewall, pois o firewall é um sistema desenvolvido para prevenir acessos não autorizados a uma rede local de computadores. Os firewalls são implementados através de programas de computador e dispositivos eletrônicos. Através dele, os dados que entram ou saem da rede são examinados com a finalidade de bloquear os dados que não estão de acordo com os critérios de segurança.

Apenas usuários autorizados podem ter acesso à rede e dentro da rede, eles só podem ter acesso aos recursos realmente necessários para a execução de suas tarefas. Sendo que os recursos críticos devem ser monitorados e seu acesso restrito a poucas pessoas..

Segurança Física[editar | editar código-fonte]

É importante a segurança física dos computadores. Deve-se avaliar o grau de segurança proporcionado aos recursos envolvidos no ambiente de sistemas em relação às ameaças externas existentes, como é o caso de um sinistro ou de um incêndio.

O ambiente onde os servidores ficam deve ter restrição de acesso físico, limpeza e organização, dispositivos para monitoramento vinte e quatro horas por dia e equipamentos de combate a sinistros. A infra-estrutura para os servidores deve contar com rede elétrica estabilizada e cabeamento estruturado. As estações de trabalho devem ter mobília adequada, equipamentos protegidos com lacres ou cadeados, limpeza e configuração compatível com a carga de trabalho.