TOCI08 Segurança em Redes de Computadores Módulo 03: Fundamentos e Normas

Transcrição

1 TOCI08 Segurança em Redes de Computadores Módulo 03: Fundamentos e Normas Prof. M.Sc. Charles Christian Miers charles@joinville.udesc.br

2 Normas A fim da segurança não tornar-se algo empírico, foram definidas normas de modo a possibilitar uma padronização e análise. Importante: Padrão: homologado por órgão reconhecido e deve ser seguido a fim de obter conformidade Norma: é publicada ou definida por alguma organização/instituição, nem sempre é um padrão Política: uma definição do norte que pretende-se atingir, deve ser baseada em algum padrão ou norma Procedimento: é o meio através dos quais são definidos os atos que devem ser executados de modo a atender uma política/norma/padrão Principais normas para segurança da Informação: BS7799, publicada pelo BSI, e suas variantes: ISO/IEC 17799, publicada pela ISO NBR-ISO/IEC 17799, publicada pela ABNT Família ISO/IEC COBIT, publicada pela ISACA ITIL (IT Infrastructure Library), criada CCTA do Reino Unido Outros padrões relacionados: FIPS, HIPPA, Sigma Six, etc. TOCI08 - Segurança em Redes de Computadores 2

3 Histórico das Normas Métodos de escrita da antiga civilização egípcia Surgimento dos computadores Em outubro de 1967 o Departamento de Defesa dos Estados Unidos criou o Security control for computer system: report of defense science board task force on computer security, editado por W. H. Ware (considerado primeiro esforço em segurança) The Orange Book (Departamento de Defesa americano) de dezembro, versão final Criado na Inglaterra o CCSC (Comercial Computer Security Centre) PD0003 Código para gerenciamento da segurança da informação, publicado pelo BSI A partir da revisão do código PD0003, foi publicada a norma BS :1995 TOCI08 - Segurança em Redes de Computadores 3

4 Histórico das Normas (Cont.) COBIT (Control Objectives for Information and related Technology), publicada pela ISACA (Information Systems Audit and Control Foundation) 1998 Publicada BS :1998 Publicada a segunda edição do COBIT 2000 Em 01/março BS 7799 foi efetivada na Inglaterra Publicada em 01/dezembro a norma ISO/IEC 17799: Em setembro, a ABNT (Associação Brasileira de Normas Técnicas) homologou, a versão brasileira da norma ISO/IEC denominada, NBR ISO/IEC Publicada a versão 2.0 da ISO/IEC em junho Família ISO/IEC a ISO/IEC em outubro Publicada a versão 2.0 da NBR-ISO/IEC em novembro TOCI08 - Segurança em Redes de Computadores 4

5 Principais referências de gerenciamento de riscos e controles internos ISO (International Organization for Standardization) Auditoria Analítica Skinner / Anderson - Canadá FDICIA (Federal Deposit Insurance Corporation Improvement Act) e CADBURY (Internal Control and Financial Reporting) no Reino Unido COSO (Committee of Sponsoring Organizations of the Treadway Commission) KON TRAG (Controle e transparência das empresas alemãs) CoCo (Canadian Institute of Chartered Accountants' Criteria of Control Committee) e ANZ 4360 Risk Management (Standards Australia and New Zealand) COBIT (Control Objectives for information and Related Technology) G 30 (The Group of Thirty) BASILEIA TURNBULL (Controle e transparência para Bolsa de Londres) BASILEIA 2 SARBANES-OXLEY COSO II (Enterprise Risk Management) TOCI08 - Segurança em Redes de Computadores 5

6 Segurança da Informação Conceito formal: Segurança é, portanto, a proteção de informações, sistemas, recursos e serviços contra desastres, erros e manipulação não autorizada, de forma a reduzir a probabilidade e o impacto de incidentes de segurança Para NBR ISO/IEC 17799: A segurança da informação protege a informação de diversos tipos de ameaças para garantir a continuidade dos negócios, minimizar os danos aos negócios e maximizar o retorno dos investimentos e as oportunidades de negócio. Para o COBIT a segurança da informação é, conceitualmente tratada partindo dos mesmos princípios da NBR ISO/IEC TOCI08 - Segurança em Redes de Computadores 6

7 Segurança da Informação Segundo a NBR ISO/IEC é preciso estabelecer: Confidencialidade Integridade Disponibilidade A norma COBIT, também contempla efetividade, eficiência, flexibilidade e confiabilidade, além de confidencialidade, integridade e disponibilidade TOCI08 - Segurança em Redes de Computadores 7

8 Confidencialidade Para a NBR ISO/IEC e para COBIT, trata-se de garantir que tenha acesso a informação somente quem tenha autorização de para tal. Ações: Informações em papel: restringir acesso físico Informações em meio digital: medidas mais sofisticadas TOCI08 - Segurança em Redes de Computadores 8

9 Integridade Para a NBR ISO/IEC e para a COBIT significa assegurar que a informação e os métodos de processamento mantém-se exatos e completos Proteger contra: Alteração não autorizada Erros do meio de transporte TOCI08 - Segurança em Redes de Computadores 9

10 Disponibilidade Para a NBR ISO/IEC trata-se de garantir que sempre que usuários autorizados necessitem ter acesso a informações isto aconteça efetivamente Para a COBIT maior orientação para os negócios. Proteger contra: Falhas dos equipamentos Ação de pessoas maliciosas TOCI08 - Segurança em Redes de Computadores 10

11 Definição de Política de Segurança Conjunto de procedimentos para: Proteção, controle e monitoramento dos recursos computacionais Responsabilidades Deve integrar-se às demais políticas da instituição Deve ser disseminada na organização Clara, concisa e praticável TOCI08 - Segurança em Redes de Computadores 11

12 Definição de Política de Segurança Segundo a NBR ISO/IEC p.4, o objetivo da política de segurança é: prover à direção uma orientação e apoio para a segurança da informação Para a COBIT ela deve ter seu foco no alto nível de controles para cada processo, ser clara e satisfazer os recursos de TI TOCI08 - Segurança em Redes de Computadores 12

13 Requisitos de Segurança Necessários para o estabelecimento de uma política de segurança e escolha dos controles Normalmente fundamentados em preceitos definidos em normas ou padrões Classificação das informações: Públicas ou de uso irrestrito Internas ou de uso interno Confidenciais Secretas TOCI08 - Segurança em Redes de Computadores 13

14 Requisitos de Segurança Para identificar os requisitos (NBR ISO/IEC 17799, 2001): Avaliação de risco dos ativos da organização Legislação e cláusulas contratuais da organização em seus negócios De cunho particular da organização Para a COBIT (2000): Pontos de responsabilidade da alta gerência Recursos humanos COBIT aborda sob um aspecto mais comercial TOCI08 - Segurança em Redes de Computadores 14

15 Controles de Segurança Controles devem atender aos requisitos Tem por objetivo sanar ou diminuir os riscos Pode ser de natureza técnica, procedimental, jurídica ou qualquer outra Podem utilizar normas/padrões, boas práticas de segurança ou criados de acordo com as necessidades TOCI08 - Segurança em Redes de Computadores 15

16 Controles de Segurança Ameaças Hardware Camadas de defesa Sistema Operacional Aplicativos Serviços... Esquema de defesa em camadas TOCI08 - Segurança em Redes de Computadores 16

17 NBR ISO/IEC Estrutura: coordena ALTA GERÊNCIA referência NBR ISO/IEC Recursos Organizacionais: Recursos Humanos Recursos Técnicos Relacionamentos de Negócios interação base INFORMAÇÃO TOCI08 - Segurança em Redes de Computadores 17

18 NBR ISO/IEC Requisitos: Política de segurança Segurança organizacional Classificação e controle dos ativos de informação Segurança em pessoas Segurança física e do ambiente Gerenciamento das operações e comunicações Política de controle de acesso Desenvolvimento e manutenção de sistemas Gestão da continuidade dos negócios Conformidade TOCI08 - Segurança em Redes de Computadores 18

19 NBR ISO/IEC Controles (sob ponto de vista legal): Proteção de dados e privacidade de informações pessoais Salvaguarda de registros organizacionais Direitos de propriedade intelectual Controles (melhores práticas): Documento da política de segurança da informação Definição das responsabilidades na segurança da informação Educação e treinamento em segurança da informação Relatório dos incidentes de segurança Gestão da continuidade do negócio TOCI08 - Segurança em Redes de Computadores 19

20 COBIT CONTROL OBJECTIVES FOR INFORMATION AND RELATED TECHNOLOGY É um guia para gestão de TI que auxilia no gerenciamento de processos baseados em objetivos de negócios. Inclui recursos tais como: Sumário executivo Framework Controle de objetivos Mapas de auditoria Conjunto de ferramentas de implementação Guia com técnicas de gerenciamento TOCI08 - Segurança em Redes de Computadores 20

21 O QUE É GOVERNANÇA EM TI? Governança em TI é uma estrutura de relações e processos que dirige e controla uma organização a fim de atingir seu objetivo através do gerenciamento balanceado do risco Os resultados obtidos por organizações bem sucedidas são exemplos claros do que a Governança em TI pode significar em termos de retorno de investimento (ROI Return Over Investiment) Informações para proceder com TI: Foco nas maiores fraquezas Obtenção de resultados da equipe de gerenciamento e da equipe de TI Busca por suporte técnico TOCI08 - Segurança em Redes de Computadores 21

22 Governança de TI MERCADO FORNECE- DORES ADMINISTRAÇÃO DA EMPRESA ADMINISTRAÇÃO DE TI CLIENTES SISTEMAS E APLICAÇÕES INFRA- ESTRUTURA E PRODUÇÃO SEGURANÇA GARANTIA DE QUALIDADE CONFORMIDADE AUDITORIAS INDEPEN- DENTES AUDITORIA DE SISTEMAS ÓRGÃOS REGULA- DORES TOCI08 - Segurança em Redes de Computadores 22

23 Estrutura: TOCI08 - Segurança em Redes de Computadores 23

24 Visão Geral e Estrutura do COBIT: Processos de TI M1 monitorar os processos M2 avaliar a adequação do controle interno M3 obter certificação independente M4 providenciar auditoria independente PLANEJAMENTO E ORGANIZAÇÃO PO1 definir um plano estratégico de TI PO2 definir a arquitetura de informação PO3 determinar a direção tecnológica PO4 definir a organização e relacionamentos da TI PO5 gerenciar o investimento em TI PO6 comunicar metas e diretivas gerenciais PO7 gerenciar recursos humanos PO8 garantir cumprimento de exigências externas PO9 avaliar riscos PO10 gerenciar projetos PO11 gerenciar qualidade MONITORAÇÃO AQUISIÇÃO E IMPLEMENTAÇÃO DS1 definir níveis de serviços DS2 gerenciar serviços de terceiros DS3 gerenciar performance e capacidade DS4 garantir continuidade dos serviços DS5 garantir segurança dos sistemas DS6 identificar e alocar custos DS7 educar e treinar usuários DS8 auxiliar e aconselhar usuários de TI DS9 gerenciar a configuração DS10 gerenciar problemas e incidentes DS11 gerenciar dados DS12 gerenciar instalações DS13 gerenciar a operação PRODUÇÃO E SUPORTE AI1 identificar soluções AI2 adquirir e manter software aplicativo AI3 adquirir e manter arquitetura tecnológica AI4 desenvolver e manter procedimentos de TI AI5 instalar e certificar sistemas AI6 gerenciar mudanças TOCI08 - Segurança em Redes de Computadores 24

25 COBIT: Visão tridimensional Procesos de TI Eficiencia Eficácia Dominios (4) Processos (34) Atividades (318) Critério da Informação Integridade Disponibilidade Confidencialidade Confiabilidade i Aderencia Pessoas Sistemas Aplicativos Tecnología Instalaçào Dados Recursos de TI TOCI08 - Segurança em Redes de Computadores 25

26 COBIT Requisitos: Requisitos de qualidade Requisitos de confiabilidade Requisitos de segurança Controles: Possui 34 controles de alto nível De 3 a 30 controles específicos para cada controle de alto nível Total 318 objetivos de controle TOCI08 - Segurança em Redes de Computadores 26

27 COBIT Controles: Definição de um plano estratégico de tecnologia da informação Determinação da direção tecnológica Gerência da mudança da tecnologia da informação Comunicação dos objetivos e aspirações da gerência Administração de projetos Administração da qualidade Administração dos recursos humanos Identificação de soluções automatizadas Administração de mudanças Administração dos serviços prestados por terceiros Assegurar a continuidade dos serviços Garantir a segurança dos sistemas TOCI08 - Segurança em Redes de Computadores 27

28 COBIT Controles: (Cont.) Identificação e destinação dos custos Educação e treinamento de usuários Administração de problemas e incidentes Monitoramento do processo Obtenção de garantias independentes Prover auditoria independente TOCI08 - Segurança em Redes de Computadores 28

29 Como o COBIT relaciona-se a Governança em TI? Requisitos Direção (Política e Estratégia de TI) Objetivos Controle Objetivos Responsibilidades Negócios Business IT Governança Informa as necessidades do negócio para alinhar os objetivos de TI Informação (Controles, Riscos E Garantia do TI) Governança TI TOCI08 - Segurança em Redes de Computadores 29

30 NBR ISO/IEC x COBIT NBR ISO/IEC COBIT Estrutura Orientada a diversidade das práticas organizacionais, serve de orientação para a alta gerência na administração de seus recursos sobre a informação. Estruturada com base em domínios que dividem os segmentos organizacionais de forma natural para melhor implementação de seus procedimentos. TOCI08 - Segurança em Redes de Computadores 30

31 NBR ISO/IEC x COBIT NBR ISO/IEC COBIT Requisitos Requisitos de segurança bem definidos. Para esta norma os requisitos devidamente identificados resultam em um caminho para proceder a implementação da segurança. Os requisitos são deixados mais a cargo de quem faz utilização da norma. Suas definições são mais genéricas, deixando o enfoque nos objetivos da segurança. TOCI08 - Segurança em Redes de Computadores 31

32 NBR ISO/IEC x COBIT NBR ISO/IEC COBIT Controles Estabelecidos tendo ligação com os requisitos. Apresentamse de forma mais genérica e com dependência de uma identificação eficiente dos requisitos de segurança. Bem definidos, os controles demonstram aos administrados de tecnologia da informação o que deve ser alcançado para a implementação da segurança da informação. TOCI08 - Segurança em Redes de Computadores 32

33 COMPARATIVO NBR ISO/IEC x COBIT: Tanto a COBIT como a NBR ISO/IEC dispõem de boas práticas de segurança O COBIT tem seu ponto forte no estabelecimento de controles de segurança A NBR ISO/IEC enfoca mais a identificação dos requisitos TOCI08 - Segurança em Redes de Computadores 33

34 TENDÊNCIAS Previsão de recorde em gastos com segurança em 2006 (4% do orçamento com TI) Necessidade de segurança Procura pelas normas/padrões: NBR ISO/IEC COBIT Outras normas (multinacionais) TOCI08 - Segurança em Redes de Computadores 34

35 ESTATÍSTICAS No cenário internacional: Predomina o uso da ISO/IEC COBIT é bastante utilizado (ex. Japão) TOCI08 - Segurança em Redes de Computadores 35

36 Arquitetura de Segurança TOCI08 - Segurança em Redes de Computadores 36

37 Segurança Nada é 100% seguro Prefácio do livro Segurança.Com do Bruce Schneier, pg. 11: Schneier justifica que escreveu o livro Segurança.Com (Secrets & Lies) em parte, para corrigir um erro que cometera em 1994 ao lançar Applied Cryptography, onde achava que a criptografia era suficiente e que garantiria os segredos protegidos por muito tempo. Justificava ele que, em um computador barato, qualquer um poderia usufruir de tanta segurança quanto um governo. Porém, após perceber de que a segurança depende de um processo contínuo e de diversas circunstâncias, como o relacionamento de pessoas com máquinas, o relacionamento de pessoas com pessoas e ainda os bugs passíveis de sistemas complexos como os computadores, ele voltou atrás. TOCI08 - Segurança em Redes de Computadores 37

38 Segurança (Cont.) A matemática é perfeita; a realidade é subjetiva. A matemática é definida; os computadores são teimosos. A matemática é lógica; as pessoas são irregulares, caprichosas e pouco compreensíveis. Schneier Segurança não é um produto; em si, ela é um processo. Schneier TOCI08 - Segurança em Redes de Computadores 38

39 Elementos da Comunicação Mensagem Emissor Remetente BOB Meio Receptor Destinatário ALICE TOCI08 - Segurança em Redes de Computadores 39

40 Problemas da Comunicação Oponente Mensagem BOB A mensagem pode passar pelo meio e ser violada, conhecida, alterada ou até mesmo criada por outros Meio ALICE TOCI08 - Segurança em Redes de Computadores 40

41 Ataques em Comunicação remetente a) Fluxo normal destinatário b) Interrupção c) Interceptação d) Modificação e) Fabricação TOCI08 - Segurança em Redes de Computadores 41

42 Ataques x Requisitos remetente a) Fluxo normal destinatário INTERRUPÇÃO X DISPONIBILIDADE b) Interrupção INTERCEPTAÇÃO X CONFIDENCIALIDADE c) Interceptação MODIFICAÇÃO X INTEGRIDADE d) Modificação FABRICAÇÃO X AUTENTICIDADE e) Fabricação TOCI08 - Segurança em Redes de Computadores 42

43 TOCI08 - Segurança em Redes de Computadores 43

44 Leitura Recomendada: Schneier, B. - Segurança.com. 1ª Edição. Rio de Janeiro. Campus Capítulo 1 Norma NBR-ISO/IEC versão 1.0 Item 1 COBIT BS Normas e padrões de segurança: TOCI08 - Segurança em Redes de Computadores 44