TOCI08 Segurança em Redes de Computadores Módulo 03: Fundamentos e Normas Prof. M.Sc. Charles Christian Miers e-mail: charles@joinville.udesc.br
Normas A fim da segurança não tornar-se algo empírico, foram definidas normas de modo a possibilitar uma padronização e análise. Importante: Padrão: homologado por órgão reconhecido e deve ser seguido a fim de obter conformidade Norma: é publicada ou definida por alguma organização/instituição, nem sempre é um padrão Política: uma definição do norte que pretende-se atingir, deve ser baseada em algum padrão ou norma Procedimento: é o meio através dos quais são definidos os atos que devem ser executados de modo a atender uma política/norma/padrão Principais normas para segurança da Informação: BS7799, publicada pelo BSI, e suas variantes: ISO/IEC 17799, publicada pela ISO NBR-ISO/IEC 17799, publicada pela ABNT Família ISO/IEC 27000 COBIT, publicada pela ISACA ITIL (IT Infrastructure Library), criada CCTA do Reino Unido Outros padrões relacionados: FIPS, HIPPA, Sigma Six, etc. TOCI08 - Segurança em Redes de Computadores 2
Histórico das Normas Métodos de escrita da antiga civilização egípcia Surgimento dos computadores Em outubro de 1967 o Departamento de Defesa dos Estados Unidos criou o Security control for computer system: report of defense science board task force on computer security, editado por W. H. Ware (considerado primeiro esforço em segurança) 1978 - The Orange Book (Departamento de Defesa americano) 1985-26 de dezembro, versão final 1987 - Criado na Inglaterra o CCSC (Comercial Computer Security Centre) 1989 - PD0003 Código para gerenciamento da segurança da informação, publicado pelo BSI 1995 - A partir da revisão do código PD0003, foi publicada a norma BS 7799-1:1995 TOCI08 - Segurança em Redes de Computadores 3
Histórico das Normas (Cont.) 1996 - COBIT (Control Objectives for Information and related Technology), publicada pela ISACA (Information Systems Audit and Control Foundation) 1998 Publicada BS 7799-2:1998 Publicada a segunda edição do COBIT 2000 Em 01/março BS 7799 foi efetivada na Inglaterra Publicada em 01/dezembro a norma ISO/IEC 17799:2000 2001 Em setembro, a ABNT (Associação Brasileira de Normas Técnicas) homologou, a versão brasileira da norma ISO/IEC 17799 denominada, NBR ISO/IEC 17799 2005 Publicada a versão 2.0 da ISO/IEC 17799 em junho Família ISO/IEC 27000 a ISO/IEC 27009 em outubro Publicada a versão 2.0 da NBR-ISO/IEC 17799 em novembro TOCI08 - Segurança em Redes de Computadores 4
Principais referências de gerenciamento de riscos e controles internos 1946 1966 1991 1992 1994 1995 1996 1997 1998 1999 2001 2002 2004 ISO (International Organization for Standardization) Auditoria Analítica Skinner / Anderson - Canadá FDICIA (Federal Deposit Insurance Corporation Improvement Act) e CADBURY (Internal Control and Financial Reporting) no Reino Unido COSO (Committee of Sponsoring Organizations of the Treadway Commission) KON TRAG (Controle e transparência das empresas alemãs) CoCo (Canadian Institute of Chartered Accountants' Criteria of Control Committee) e ANZ 4360 Risk Management (Standards Australia and New Zealand) COBIT (Control Objectives for information and Related Technology) G 30 (The Group of Thirty) BASILEIA TURNBULL (Controle e transparência para Bolsa de Londres) BASILEIA 2 SARBANES-OXLEY COSO II (Enterprise Risk Management) TOCI08 - Segurança em Redes de Computadores 5
Segurança da Informação Conceito formal: Segurança é, portanto, a proteção de informações, sistemas, recursos e serviços contra desastres, erros e manipulação não autorizada, de forma a reduzir a probabilidade e o impacto de incidentes de segurança Para NBR ISO/IEC 17799: A segurança da informação protege a informação de diversos tipos de ameaças para garantir a continuidade dos negócios, minimizar os danos aos negócios e maximizar o retorno dos investimentos e as oportunidades de negócio. Para o COBIT a segurança da informação é, conceitualmente tratada partindo dos mesmos princípios da NBR ISO/IEC 17799 TOCI08 - Segurança em Redes de Computadores 6
Segurança da Informação Segundo a NBR ISO/IEC 17799 é preciso estabelecer: Confidencialidade Integridade Disponibilidade A norma COBIT, também contempla efetividade, eficiência, flexibilidade e confiabilidade, além de confidencialidade, integridade e disponibilidade TOCI08 - Segurança em Redes de Computadores 7
Confidencialidade Para a NBR ISO/IEC 17799 e para COBIT, trata-se de garantir que tenha acesso a informação somente quem tenha autorização de para tal. Ações: Informações em papel: restringir acesso físico Informações em meio digital: medidas mais sofisticadas TOCI08 - Segurança em Redes de Computadores 8
Integridade Para a NBR ISO/IEC 17799 e para a COBIT significa assegurar que a informação e os métodos de processamento mantém-se exatos e completos Proteger contra: Alteração não autorizada Erros do meio de transporte TOCI08 - Segurança em Redes de Computadores 9
Disponibilidade Para a NBR ISO/IEC 17799 trata-se de garantir que sempre que usuários autorizados necessitem ter acesso a informações isto aconteça efetivamente Para a COBIT maior orientação para os negócios. Proteger contra: Falhas dos equipamentos Ação de pessoas maliciosas TOCI08 - Segurança em Redes de Computadores 10
Definição de Política de Segurança Conjunto de procedimentos para: Proteção, controle e monitoramento dos recursos computacionais Responsabilidades Deve integrar-se às demais políticas da instituição Deve ser disseminada na organização Clara, concisa e praticável TOCI08 - Segurança em Redes de Computadores 11
Definição de Política de Segurança Segundo a NBR ISO/IEC 17799 p.4, o objetivo da política de segurança é: prover à direção uma orientação e apoio para a segurança da informação Para a COBIT ela deve ter seu foco no alto nível de controles para cada processo, ser clara e satisfazer os recursos de TI TOCI08 - Segurança em Redes de Computadores 12
Requisitos de Segurança Necessários para o estabelecimento de uma política de segurança e escolha dos controles Normalmente fundamentados em preceitos definidos em normas ou padrões Classificação das informações: Públicas ou de uso irrestrito Internas ou de uso interno Confidenciais Secretas TOCI08 - Segurança em Redes de Computadores 13
Requisitos de Segurança Para identificar os requisitos (NBR ISO/IEC 17799, 2001): Avaliação de risco dos ativos da organização Legislação e cláusulas contratuais da organização em seus negócios De cunho particular da organização Para a COBIT (2000): Pontos de responsabilidade da alta gerência Recursos humanos COBIT aborda sob um aspecto mais comercial TOCI08 - Segurança em Redes de Computadores 14
Controles de Segurança Controles devem atender aos requisitos Tem por objetivo sanar ou diminuir os riscos Pode ser de natureza técnica, procedimental, jurídica ou qualquer outra Podem utilizar normas/padrões, boas práticas de segurança ou criados de acordo com as necessidades TOCI08 - Segurança em Redes de Computadores 15
Controles de Segurança Ameaças Hardware Camadas de defesa Sistema Operacional Aplicativos Serviços... Esquema de defesa em camadas TOCI08 - Segurança em Redes de Computadores 16
NBR ISO/IEC 17799 Estrutura: coordena ALTA GERÊNCIA referência NBR ISO/IEC 17799 Recursos Organizacionais: Recursos Humanos Recursos Técnicos Relacionamentos de Negócios interação base INFORMAÇÃO TOCI08 - Segurança em Redes de Computadores 17
NBR ISO/IEC 17799 Requisitos: Política de segurança Segurança organizacional Classificação e controle dos ativos de informação Segurança em pessoas Segurança física e do ambiente Gerenciamento das operações e comunicações Política de controle de acesso Desenvolvimento e manutenção de sistemas Gestão da continuidade dos negócios Conformidade TOCI08 - Segurança em Redes de Computadores 18
NBR ISO/IEC 17799 Controles (sob ponto de vista legal): Proteção de dados e privacidade de informações pessoais Salvaguarda de registros organizacionais Direitos de propriedade intelectual Controles (melhores práticas): Documento da política de segurança da informação Definição das responsabilidades na segurança da informação Educação e treinamento em segurança da informação Relatório dos incidentes de segurança Gestão da continuidade do negócio TOCI08 - Segurança em Redes de Computadores 19
COBIT CONTROL OBJECTIVES FOR INFORMATION AND RELATED TECHNOLOGY É um guia para gestão de TI que auxilia no gerenciamento de processos baseados em objetivos de negócios. Inclui recursos tais como: Sumário executivo Framework Controle de objetivos Mapas de auditoria Conjunto de ferramentas de implementação Guia com técnicas de gerenciamento TOCI08 - Segurança em Redes de Computadores 20
O QUE É GOVERNANÇA EM TI? Governança em TI é uma estrutura de relações e processos que dirige e controla uma organização a fim de atingir seu objetivo através do gerenciamento balanceado do risco Os resultados obtidos por organizações bem sucedidas são exemplos claros do que a Governança em TI pode significar em termos de retorno de investimento (ROI Return Over Investiment) Informações para proceder com TI: Foco nas maiores fraquezas Obtenção de resultados da equipe de gerenciamento e da equipe de TI Busca por suporte técnico TOCI08 - Segurança em Redes de Computadores 21
Governança de TI MERCADO FORNECE- DORES ADMINISTRAÇÃO DA EMPRESA ADMINISTRAÇÃO DE TI CLIENTES SISTEMAS E APLICAÇÕES INFRA- ESTRUTURA E PRODUÇÃO SEGURANÇA GARANTIA DE QUALIDADE CONFORMIDADE AUDITORIAS INDEPEN- DENTES AUDITORIA DE SISTEMAS ÓRGÃOS REGULA- DORES TOCI08 - Segurança em Redes de Computadores 22
Estrutura: TOCI08 - Segurança em Redes de Computadores 23
Visão Geral e Estrutura do COBIT: Processos de TI M1 monitorar os processos M2 avaliar a adequação do controle interno M3 obter certificação independente M4 providenciar auditoria independente PLANEJAMENTO E ORGANIZAÇÃO PO1 definir um plano estratégico de TI PO2 definir a arquitetura de informação PO3 determinar a direção tecnológica PO4 definir a organização e relacionamentos da TI PO5 gerenciar o investimento em TI PO6 comunicar metas e diretivas gerenciais PO7 gerenciar recursos humanos PO8 garantir cumprimento de exigências externas PO9 avaliar riscos PO10 gerenciar projetos PO11 gerenciar qualidade MONITORAÇÃO AQUISIÇÃO E IMPLEMENTAÇÃO DS1 definir níveis de serviços DS2 gerenciar serviços de terceiros DS3 gerenciar performance e capacidade DS4 garantir continuidade dos serviços DS5 garantir segurança dos sistemas DS6 identificar e alocar custos DS7 educar e treinar usuários DS8 auxiliar e aconselhar usuários de TI DS9 gerenciar a configuração DS10 gerenciar problemas e incidentes DS11 gerenciar dados DS12 gerenciar instalações DS13 gerenciar a operação PRODUÇÃO E SUPORTE AI1 identificar soluções AI2 adquirir e manter software aplicativo AI3 adquirir e manter arquitetura tecnológica AI4 desenvolver e manter procedimentos de TI AI5 instalar e certificar sistemas AI6 gerenciar mudanças TOCI08 - Segurança em Redes de Computadores 24
COBIT: Visão tridimensional Procesos de TI Eficiencia Eficácia Dominios (4) Processos (34) Atividades (318) Critério da Informação Integridade Disponibilidade Confidencialidade Confiabilidade i Aderencia Pessoas Sistemas Aplicativos Tecnología Instalaçào Dados Recursos de TI TOCI08 - Segurança em Redes de Computadores 25
COBIT Requisitos: Requisitos de qualidade Requisitos de confiabilidade Requisitos de segurança Controles: Possui 34 controles de alto nível De 3 a 30 controles específicos para cada controle de alto nível Total 318 objetivos de controle TOCI08 - Segurança em Redes de Computadores 26
COBIT Controles: Definição de um plano estratégico de tecnologia da informação Determinação da direção tecnológica Gerência da mudança da tecnologia da informação Comunicação dos objetivos e aspirações da gerência Administração de projetos Administração da qualidade Administração dos recursos humanos Identificação de soluções automatizadas Administração de mudanças Administração dos serviços prestados por terceiros Assegurar a continuidade dos serviços Garantir a segurança dos sistemas TOCI08 - Segurança em Redes de Computadores 27
COBIT Controles: (Cont.) Identificação e destinação dos custos Educação e treinamento de usuários Administração de problemas e incidentes Monitoramento do processo Obtenção de garantias independentes Prover auditoria independente TOCI08 - Segurança em Redes de Computadores 28
Como o COBIT relaciona-se a Governança em TI? Requisitos Direção (Política e Estratégia de TI) Objetivos Controle Objetivos Responsibilidades Negócios Business IT Governança Informa as necessidades do negócio para alinhar os objetivos de TI Informação (Controles, Riscos E Garantia do TI) Governança TI TOCI08 - Segurança em Redes de Computadores 29
NBR ISO/IEC 17799 x COBIT NBR ISO/IEC 17799 COBIT Estrutura Orientada a diversidade das práticas organizacionais, serve de orientação para a alta gerência na administração de seus recursos sobre a informação. Estruturada com base em domínios que dividem os segmentos organizacionais de forma natural para melhor implementação de seus procedimentos. TOCI08 - Segurança em Redes de Computadores 30
NBR ISO/IEC 17799 x COBIT NBR ISO/IEC 17799 COBIT Requisitos Requisitos de segurança bem definidos. Para esta norma os requisitos devidamente identificados resultam em um caminho para proceder a implementação da segurança. Os requisitos são deixados mais a cargo de quem faz utilização da norma. Suas definições são mais genéricas, deixando o enfoque nos objetivos da segurança. TOCI08 - Segurança em Redes de Computadores 31
NBR ISO/IEC 17799 x COBIT NBR ISO/IEC 17799 COBIT Controles Estabelecidos tendo ligação com os requisitos. Apresentamse de forma mais genérica e com dependência de uma identificação eficiente dos requisitos de segurança. Bem definidos, os controles demonstram aos administrados de tecnologia da informação o que deve ser alcançado para a implementação da segurança da informação. TOCI08 - Segurança em Redes de Computadores 32
COMPARATIVO NBR ISO/IEC 17799 x COBIT: Tanto a COBIT como a NBR ISO/IEC dispõem de boas práticas de segurança O COBIT tem seu ponto forte no estabelecimento de controles de segurança A NBR ISO/IEC 17799 enfoca mais a identificação dos requisitos TOCI08 - Segurança em Redes de Computadores 33
TENDÊNCIAS Previsão de recorde em gastos com segurança em 2006 (4% do orçamento com TI) Necessidade de segurança Procura pelas normas/padrões: NBR ISO/IEC 17799 COBIT Outras normas (multinacionais) TOCI08 - Segurança em Redes de Computadores 34
ESTATÍSTICAS No cenário internacional: Predomina o uso da ISO/IEC 17799 COBIT é bastante utilizado (ex. Japão) TOCI08 - Segurança em Redes de Computadores 35
Arquitetura de Segurança TOCI08 - Segurança em Redes de Computadores 36
Segurança Nada é 100% seguro Prefácio do livro Segurança.Com do Bruce Schneier, pg. 11: Schneier justifica que escreveu o livro Segurança.Com (Secrets & Lies) em parte, para corrigir um erro que cometera em 1994 ao lançar Applied Cryptography, onde achava que a criptografia era suficiente e que garantiria os segredos protegidos por muito tempo. Justificava ele que, em um computador barato, qualquer um poderia usufruir de tanta segurança quanto um governo. Porém, após perceber de que a segurança depende de um processo contínuo e de diversas circunstâncias, como o relacionamento de pessoas com máquinas, o relacionamento de pessoas com pessoas e ainda os bugs passíveis de sistemas complexos como os computadores, ele voltou atrás. TOCI08 - Segurança em Redes de Computadores 37
Segurança (Cont.) A matemática é perfeita; a realidade é subjetiva. A matemática é definida; os computadores são teimosos. A matemática é lógica; as pessoas são irregulares, caprichosas e pouco compreensíveis. Schneier Segurança não é um produto; em si, ela é um processo. Schneier TOCI08 - Segurança em Redes de Computadores 38
Elementos da Comunicação Mensagem Emissor Remetente BOB Meio Receptor Destinatário ALICE TOCI08 - Segurança em Redes de Computadores 39
Problemas da Comunicação Oponente Mensagem BOB A mensagem pode passar pelo meio e ser violada, conhecida, alterada ou até mesmo criada por outros Meio ALICE TOCI08 - Segurança em Redes de Computadores 40
Ataques em Comunicação remetente a) Fluxo normal destinatário b) Interrupção c) Interceptação d) Modificação e) Fabricação TOCI08 - Segurança em Redes de Computadores 41
Ataques x Requisitos remetente a) Fluxo normal destinatário INTERRUPÇÃO X DISPONIBILIDADE b) Interrupção INTERCEPTAÇÃO X CONFIDENCIALIDADE c) Interceptação MODIFICAÇÃO X INTEGRIDADE d) Modificação FABRICAÇÃO X AUTENTICIDADE e) Fabricação TOCI08 - Segurança em Redes de Computadores 42
TOCI08 - Segurança em Redes de Computadores 43
Leitura Recomendada: Schneier, B. - Segurança.com. 1ª Edição. Rio de Janeiro. Campus. 2001 Capítulo 1 Norma NBR-ISO/IEC 17799 versão 1.0 Item 1 COBIT http://www.isaca.org BS7799 http://www.bsi.org.uk/disc/ Normas e padrões de segurança: http://www.sans.org/infosecfaq/standards/ TOCI08 - Segurança em Redes de Computadores 44