Guia de boas práticas em Segurança da Informação

Ebook gratuito elaborado e publicado pelo Tribunal de Contas da União (TCU) sobre boas práticas em Gestão da Segurança da Informação

Boas práticas em segurança da informação

Caros amigos do portal GSTI, este Ebook de excelente conteúdo foi elaborado pelo Tribunal de Contas da União (TCU) e é disponibilizado gratuitamente no portal do Tribunal. 

Muitos profissionais de TI recorrem a esta publicação pelo fato de ter sido utilizado como referência para algumas questões de provas de concursos públicos, por bancas como CESPEe FCC.

Independente de estar ou não estudando para concursos, recomendamos o Ebook a seguir para qualquer um que deseje estudar gestão da segurança da informação de forma simplificada, didática e a um nível de detalhes considerado satisfatório (não chega a ser considerado um conteúdo avançado, mas esclarece muitos aspectos para quais existe pouco material livre).

O livro aborda boas práticas abrangendo também a norma ISO 27002 (a partir do capítulo 4). 

A seguir, um pouco mais sobre esta publicação. Bons estudos!

Detalhes

Ano de lançamento: 2012 (quarta edição)

Número de páginas: 108

Direitos autorais: TCU (reprodução permitida)

Índice

1 Política de Segurança de Informações 9

1.1 O que visa a segurança de informações? 9

1.2 Por que é importante zelar pela segurança de informações? 10

1.3 O que é política de segurança de informações - PSI? 10

1.4 Quem são os responsáveis por elaborar a PSI? 10

1.5 Que assuntos devem ser abordados na PSI? 11

1.6 Qual o nível de profundidade que os assuntos abordados na PSI devem ter? 12

1.7 Como se dá o processo de implantação da PSI? 12

1.8 Qual o papel da alta administração na elaboração e implantação da PSI? 13

1.9 A quem deve ser divulgada a PSI ? 13

1.10 O que fazer quando a PSI for violada? 13

1.11 Uma vez definida, a PSI pode ser alterada? 14

1.12 Existem normas sobre PSI para a Administração Pública Federal? 14

2 Controles de acesso lógico 16

2.1 O que são controles de acesso? 16

2.2 O que são controles de acesso lógico? 16

2.3 Que recursos devem ser protegidos? 16

2.4 O que os controles de acesso lógico pretendem

garantir em relação à segurança de informações? 18

2.5 Como os usuários são identificados e autenticados? 18

2.6 Como restringir o acesso aos recursos informacionais? 25

2.7 Como monitorar o acesso aos recursos informacionais? 27

2.8 Outros controles de acesso lógico 28

2.9 Onde as regras de controle de acesso são definidas? 29

2.10 Quem é o responsável pelos controles de acesso lógico? 30

2.11 Em que os usuários podem ajudar na implantação dos controles de acesso lógico? 31

2.12 Existem normas sobre controles de acesso lógico para a Administração Pública Federal? 31

3. Plano de Continuidade do Negócio 32

3.1 O que é Plano de Continuidade do Negócio - PCN? 32

3.2 Qual é a importância do PCN? 32

3.3 Qual é o objetivo do PCN? 33

3.4 Como iniciar a elaboração do PCN? 33

3.5 Que assuntos devem ser abordados no PCN? 34

3.6 Qual o papel da alta administração na elaboração do PCN? 34

3.7 Como garantir que o Plano funcionará como esperado? 35

3.8 Existem normas sobre PCN para a Administração Pública Federal? 37

4 TCU e a NBR ISO/IEC 27002:2005 38

4.1 De que trata a NBR ISO 27002:2005? 38

4.2 Por que o TCU utiliza essa norma como padrão

em suas auditorias de segurança da informação? 38

4.3 Como o TCU avalia a segurança da informação na Administração Pública Federal? 39

4.4 Como está estruturada a NBR ISO 27002:2005? 42

4.5 De que trata a seção “Política de segurança da informação”? 43

4.6 De que trata a seção “Organizando a segurança da informação”? 47

4.7 De que trata a seção “Gestão de ativos”? 58

4.8 De que trata a seção “Segurança em recursos humanos”? 64

4.9 De que trata a seção “Segurança física e do ambiente”? 66

4.10 De que trata a seção “Gerenciamento das operações e comunicações”? 68

4.11 De que trata a seção “Controle de acessos”? 80

4.12 De que trata a seção “Aquisição, desenvolvimento

e manutenção de sistemas de informação”? 91

4.13 De que trata a seção “Gestão de incidentes de segurança da informação”? 95

4.14 De que trata a seção “Gestão da continuidade do negócio”? 97

4.15 De que trata a seção “Conformidade”? 100

5 Referências 103

Boas práticas em Segurança da Informação (download aqui)

Certificações quentes em Segurança da Informação demandadas pelo Governo brasileiro

Segurança da Informação é um tema que vem tendo muito destaque nesses últimos tempos. Wikileaks, caso Snowden que culminou com a descoberta da espionagem americana pelo mundo afora, guerras cibernéticas deflagradas através de invasões de sites governamentais, grandes bancos, só pra citar alguns dos mais bombásticos dos últimos anos. E a coisa parece piorar cada vez mais.

Os telejornais destacam com cada vez mais frequência diversos assuntos relacionados a Tecnologia da Informação, em especial, assuntos relacionados a segurança da informação. É uma overdose de assuntos sobre o tema que chega a ser assustador. Até porque o crime digital tem compensado para muitos ainda, de certa forma, graças a incompetência do mercado de trabalho, dos governos mundiais (não apenas brasileiro), que falham ao não incentivar a formação e certificação de profissionais especialista em segurança da informação. Mas isso parece estar mudando…

 Mas, quais certificações o profissional de tecnologia ou segurança da informação fazer para atender essa atual demanda do mercado nacional? Em abril deste ano, o governo federal do Brasil manifestou-se quanto a importância do preparo adequado do profissional de Tecnologia da Informação que se especializa em segurança da informação.

O Departamento de Segurança da Informação e Comunicações (DSIC), órgão subordinado ao Gabinete de Segurança Institucional da Presidência da República, publicou uma série de diretrizes nas quais aponta a necessidade das certificações na área para seus servidores e profissionais. Bons cursos e certificações existem, mas o problema é que ainda é caro, tem se que saber exatamente o que quer dado o nível (financeiro e de tempo) de aposta na carreira profissional.

A Clavis, empresa especializada em treinamento na área de segurança da informação, dá o caminho das pedras através de um artigo publicado no site Convergência Digital, sobre as certificações mais recomendadas pelo Governo, veja:

A – Formação Completa em Teste de Invasão = Formação 100 horas em teste de invasão (5 cursos) + Certified Ethical Hacker (CEH) + EC-Council Certified Security Analyst (ECSA/LPT);

B – Formação Completa em Análise Forense Computacional = Formação 80 horas em análise Forense Computacional (4 cursos) + Computer Hacking Forensic Investigator (CHFI);

C- Gestor da Segurança da Informação = Certified Information Security Manager (CISM) + CompTIA Advanced Security Practitioner (CASP) + Certified Information Systems Security Professional (CISSP);

D – Formação Desenvolvimento Seguro = Desenvolvimento Seguro (SDL) + Certified Secure Software Lifecycle Professional (CSSLP).

Mas não adianta apenas pagar curso e decorar simulados pagos de exames. O canudo é uma referência para o empregador, não o fator decisivo na contratação de alguém. O negócio é mergulhar profundo nos sistemas e ficar muito ligado nas últimas tecnologias, sem discriminar por fabricante. Afinal, as brechas não escolhem marcas, seja Apple, Microsoft, Oracle, Linux… Por isso as empresas precisam de pessoal eclético em termos de tecnologia, pessoas curiosas, que buscam conhecer mais sobre os novos sistemas que vem surgindo.

O mundo do crime digital não tem muito a perder (ainda) com a escassez de pessoal para combatê-lo. Alguns são pegos, mas é ínfimo dado a quantidade de casos de sucesso de roubo de dados que ouvimos todos os dias. Então, devido a essa urgência, existe uma certa tendência para um maior afrouxamento dos processos de seleção, pois as empresas precisam de alguém, ainda que este candidato não pareça estar realmente preparado.

 Contratam e dão treinamento, investem para complementar a formação do profissional recém-contratado. Está aí uma oportunidade para ser agarrada. Pelo menos buscar esse nível mínimo exigido pelas empresas e buscar uma oportunidade, se lançar no mercado. Deixe que o mercado diga não para você, não tenha medo de arriscar. E então? pronto para a luta? Este artigo faz referência ao artigo do site Convergência Digital. Acesse-o para mais informações sobre o assunto. - See more at: http://carreiradeti.com.br/certificacoes-quentes-em-seguranca-da-informacao-demandadas-pelo-governo-brasileiro/#sthash.ZFlrkB4k.dpuf

Vídeo aula Noções de Informática - Conceitos de segurança

Vídeo aula Noções de Informática - Conceitos de segurança

Vídeo aula noções de informática - conceitos de segurança

Dever ou Obrigação !?

O Brasil deve criar um sistema antiespionagem?
Independência ou o fim da liberdade digital! Pode parecer exagero, mas o governo brasileiro está realmente chateado e preocupado com as denúncias de espionagem dos Estados Unidos sobre a presidente Dilma e a Petrobras – que recentemente estiveram na mira da Agência Nacional de Segurança norte-americana. 
E, pior, agora o país pretende se divorciar da internet centralizada nos Estados Unidos, por onde passa quase 80% do tráfego online de todo o mundo. A presidente Dilma ordenou uma série de medidas para aumentar a autonomia online do país. Uma das mais polêmicas é a criação de um serviço público de e-mail criptografado antiespionagem. 
O projeto estaria em desenvolvimento em parceria com “Os Correios” com previsão de lançamento já em 2014. A ideia do “mensageria digital” é oferecer alternativa aos serviços como Gmail e Yahoo e armazenar no Brasil todo tráfego digital que hoje passa obrigatoriamente pelas terras do Tio Sam. Mas essa história poderia ser praticamente resumida como “trocar de vigilante”. "Acredito que vamos trocar uma possibilidade de espionagem pela certeza. 
O que preocupa é quem estará nos vigiando. Se o indivíduo fosse íntegro, não teríamos problemas. Mas nós sabemos que tipo de pessoas estão no governo", comentou Luli Radfahrer, Ph.D. em comunicação digital da ECA-USP. Para ele, assim como bancos e outras instituições que prezam suas informações, em vez de tentar criar um sistema fechado para a população, o governo brasileiro precisaria ter uma excelente intranet para seus funcionários de níveis estratégicos; e, mais do que isso: educá-los. "Este sistema não vai nos proteger na espionagem, mas a educação pode nos proteger. 
Todo alto escalão do governo precisaria aprender a usar a internet de verdade. E tem muitas pessoas boas dentro do governo que saberiam educar os demais", ressalta.
 Os Estados Unidos alegam que qualquer ação de espionagem está diretamente ligada à prevenção de atos de terrorismo. Por exemplo, quando vemos bombas em eventos esportivos e ataques a civis, é completamente compreensível que se queira saber de onde vêm esses criminosos e suas possíveis ligações. Uma coisa assusta: Luli lembra que esse desespero do governo brasileiro sobre espionagem digital só surgiu agora, em 2013, quando já se sabe que os Estados Unidos têm controle do tráfego na web há décadas. 
Por que será?! Bom, a gente sabe: as manifestações históricas entre maio e julho deste ano em todo o país tiveram início exatamente na internet; nas redes sociais. Sabe o que isso pode significar? "Se você tem alguma forma de restringir as redes sociais ou usar esta estrutura de vigilância criminal em cima das redes sociais, você pode desmontar movimentos", diz. O perigo desse tipo de isolamento geográfico digital é que isso poderia desabilitar serviços e programas e até ameaçar a estrutura da internet; uma verdadeira ameaça à liberdade da rede mundial de computadores a exemplo que o mundo já viu em países com governos mais autoritários. "O remédio pode ser pior do que a doença. E a gente pode terminar com uma internet chinesa ou da Arávia Saudita que ninguém vigia, mas também ninguém conversa, porque qualquer coisa que você disser poderá ser usada contra você. É muito mais perigoso termos uma centralização governalmental, porque aí sim temso um ato de espionagem em cima da vida da população." Outra medida da presidente Dilma é fazer com Facebook, Google e demais empresas que mantenham dados gerados por brasileiros mantenham os dados gerados por brasileiros em servidores fisicamente localizados no Brasil.
 Mas, será que isso é tecnologicamente – ou melhor, financeiramente – possível? Como a maior parte do tráfego de internet brasileiro passa pelos Estados Unidos, Dilma planeja também passar cabos de fibra ótica ligando o país diretamente à Europa e assim criar uma rede livre da espionagem americana. Claro, isso tudo custaria caro, muito caro. "Nós não temos satélite e cabos, e teremos de usar dos outros.
 O problema não é a iniciativa, mas o que motivou essa iniciativa. É importante ter uma tecnologia própria, mas deveríamos ter feito há muitos anos e deveria estar se desenvolvendo progressivamente", finaliza. E você, o que acha dessa história toda? Será que o país realmente precisa se isolar do mundo para ter uma internet segura? E quanto nós, usuários, pagaríamos ou perderíamos com isso? Faça parte dessa polêmica discussão e deixe seus comentários. Aproveite e acesse os links abaixo do vídeo para saber se a criptografia realmente funciona para nos livrar da bisbilhotagem e para entender tudo sobre o PRISM, o programa de monitoramente da rede do governo de Barack Obama.

Como ficar invisível na internet?

Tudo o que fazemos na internet deixa rastros. Cada clique, cada tecla... tudo é monitorado por empresas e até mesmo pelo governo norte-americano, como descobrimos recentemente. Além disso, no caso de pessoas mais desatentas, é possível ser acompanhado de perto por conhecidos ou por hackers comuns.
É difícil evitar o monitoramento por completo. Ser invisível na internet é quase como ser invisível na vida offline: impossível. Mas, com os cuidados certos, podemos ser mais discretos, dificultar que terceiros sigam os nossos passos e, assim, conseguir mais privacidade.
Listamos a seguir algumas destas dicas para navegar pela web de forma quase imperceptível:

Use o modo anônimo dos navegadores
O passo mais básico e simples da lista. Muitos navegadores contam com um modo anônimo, normalmente ativado pelas teclas CTRL + SHIFT + N, que permite navegar pela web sem deixar marcas no histórico ou na barra de autopreenchimento.
Mas, atenção! Isso não livra você da espionagem nem garante que seus passos estejam blindados da leitura feita pelo Google, por exemplo. O recurso é útil apenas para evitar que as pessoas com as quais você divide o computador saibam do seu histórico de navegação.
Utilize o Tor para esconder o IP
O Tor é um browser muito utilizado para navegar pela internet evitando que estranhos observem seu IP e bisbilhotem suas atividades. A navegação pode até ficar mais lenta, mas, com certeza, você estará muito mais discreto na internet.

Configure aplicativos e serviços
Muitos aplicativos e e plugins pedem autorização para ter acesso a seus dados. Na maioria das vezes, é possível configurar a privacidade e evitar o rastreamento. Portanto, sempre que usar um novo serviço, atente para as configurações de privacidade.
Além disso, veja se os aplicativos que você usa estão vinculados às principais redes sociais, como Facebook e Twitter. É possível que existam vários serviços inutilizados e que, portanto, podem ser desvinculados de sua conta.
Use o Ghostery
Quando você entra em um site que tenha widgets do Facebook, Google e Twitter, por exemplo, essas redes sociais conseguem monitorar parte de sua atividade dentro daquela página. Esse excelente aplicativo evita tudo isso, bloqueando o rastreamento automático.
Experimente o HTTPS Everywhere:
Outro plugin muito útil. Criado pela Electronic Frontier Foundation, ele força alguns sites a usarem o protocolo HTTPS, que é mais seguro e utiliza comunicação criptografada.

Pense bem antes de fornecer seus dados
Muitas vezes quando nos cadastramos em algum site ou serviço, ele oferce um formulário pedindo nome, endereço e outras informações. Em alguns casos, até vale a pena oferecer tais dados caso você confie naquela empresa ou quando o compartilhamento traz benefícios e promoções. No entanto, entregar os dados pessoais não é recomendável. Fique à vontade para inventar as informações sem peso na consciência.

Substitua o Google pelo DuckDuckGo
O Google rastreia cada uma das suas pesquisas e sabe muito do que você faz na internet. Se isso te incomoda, experimente o DuckDuckGo. Ele é um buscador alternativo que promete não espionar suas atividades. Os resultados podem não ser tão bons quanto os do Google, mas quebram um galho.

Experimente o Hushmail
Um serviço de email que promete utilizar criptografia nas mensagens tanto quando elas estão sendo enviadas quando estão guardadadas em sua caixa. Os responsáveis pelo serviço garantem não olhar nada a menos que recebam uma intimação judicial.

Guarde seus arquivos na nuvem do SpiderOak
Este serviço de armazenamento em nuvem promete criptografia a todos os seus arquivos. O lado ruim é que ele só oferece 2GB de espaço.

Configure sua VPN

O acrônimo, que representa uma “Rede Virtual Privada” permite o tráfego de dados de forma segura e também permite o acesso a uma rede interna de uma empresa, mesmo trabalhando em casa. Você pode saber mais sobre ela aqui.

NSA TENTOU E FALHOU

De acordo com apresentações obtidas pelo The Guardiam, agência americana tem investido contra a rede, mas sem obter muito sucesso Leia mais em: http://www.tecmundo.com.br/seguranca-de-dados/45308-nsa-tentou-e-falhou-em-comprometer-o-tor-revela-jornal-britanico.htm#ixzz2h5vSTZCw NSA tentou e falhou em comprometer o Tor, revela jornal britânico

As agências de inteligência têm dedicado um tempo significativo para tentar quebrar a criptografia da rede Tor, relata o jornal britânico The Guardian. Mas, de acordo com a publicação, a NSA e a GCHQ, respectivamente a agência de segurança nacional americana e o serviço de inteligência da Inglaterra, não obtiveram sucesso em comprometer o sistema.

O The Guardian teve acesso a uma apresentação em que ambas as entidades afirmam que nunca serão capazes de descobrir a identidade de todos os usuários da rede Tor ao mesmo tempo. Entretanto, segundo as informações, as agências poderiam descobrir a identidade de uma fração muito pequena dos usuários através de análise manual.

Impressões digitais

Os documentos também descrevem outros métodos que poderiam comprometer a privacidade dos usuários da rede Tor. O especialista em segurança Bruce Schneier detalhou com a NSA tem explorado vulnerabilidades no Firefox para espionar alvos.

O processo envolve o relacionamento da NSA com provedores de internet dos EUA e mostra que, mesmo que os usuários naveguem anonimamente, é possível obter “impressões digitais” que indicam uma conexão de rede. A NSA, então, insere as tais impressões digitais em seu banco de dados Xkeyscore, que reúne uma ampla faixa de conteúdo de internet e metadados a partir de alvos potenciais.

Vulnerabilidades no Firefox

Depois de cruzar as informações sobre os alvos e as conexões Tor, eles procuram uma maneira de comprometer outro software – particularmente o Firefox, que é usado junto com o Tor. A agência de segurança nacional americana pode aproveitar-se do navegador desatualizado, ou de um ataque de phishing para infectar o computador do usuário.

Porém, de acordo com Roger Dingledine, presidente do Tor, é possível focar em alguns usuários com exploits de navegador, mas se isso for feito em larga escala, será possível identificar a movimentação. Dessa forma, a NSA nunca conseguirá vigiar todos em todos os lugares. “Será preciso ser muito mais seletivo na hora de escolher quem espionar”, afirma Dingledine.

Dificultando o acesso

A agência também considerou interromper a própria rede Tor, para tentar descobrir se há alguma forma dificultar o acesso dos usuários à ela. O objetivo era criar “um monte de nós” para tornar a rede muito lenta, degradando com a qualidade do serviço.

Mas, de acordo com os documentos, as agências perceberam que essa não seria uma opção viável, depois de explorar a estrutura da rede. Ao que parece, a rede Tor é forte o suficiente para aguentar as investidas de uma das principais agências de segurança do mundo. 

Leia mais em: http://www.tecmundo.com.br/seguranca-de-dados/45308-nsa-tentou-e-falhou-em-comprometer-o-tor-revela-jornal-britanico.htm#ixzz2h5zZapPr

Brasil ganha apoio de Índia e África do Sul contra espionagem

Países que integram grupo Ibas divulgaram comunicado conjunto. Dilma defendeu na ONU regras para garantir privacidade de dados.

O Ibas, grupo formado por Brasil, Índia e África do Sul, divulgou nesta quarta-feira (25) comunicado conjunto em que condena as ações de espionagem dos Estados Unidos no Brasil e apoia a proposta brasileira de uma nova “governança global da internet” para garantir segurança de dados. O documento, que reconhece a espionagem como contrária à soberania das nações, foi divulgado após reunião em Nova York entre o ministro de Relações Exteriores, Luiz Alberto Figueiredo, e os chanceleres de Índia, Salman Khurshid, e da África do Sul, Maite Nkoana-Mashabane. Para os governos indiano e sul-africano, o acesso a informações sigilosas de autoridades e empresas brasileiras é “incompatível” com a relação entre nações amigas. “Os ministros expressaram sua preocupação com as práticas não autorizadas de interceptação ilegal de comunicações e dados de cidadãos, empresas e autoridades governamentais por governos e empresas estrangeiros. Sublinharam que isso constitui grave violação da soberania nacional e dos direitos individuais e é incompatível com a convivência democrática entre países amigos”, afirma o documento. saiba mais Dilma diz que relação com EUA 'ultrapassa' questão da espionagem Dilma diz na ONU que espionagem fere soberania e direito internacional A informação de que a NSA, a agência de segurança norte-americana, espionou Presidência da República, ministros brasileiros e a Petrobras, revelada pelo programa Fantástico, foi tema do discurso da presidente Dilma Rousseff nesta terça-feira (24) na abertura da Assembleia Geral das Nações Unidas. No discurso, a presidente afirmou que a espionagem "afronta" o Brasil, fere a soberania do país e o direito internacional. Dilma também propôs, em sua fala na ONU, que o organismo internacional crie regras claras para evitar violações à privacidade e à soberania dos países com o acesso ilegal de dados cibernéticos. Na reunião do Ibas, Índia e África do Sul concordaram em dar andamento à ideia de uma regulamentação internacional que garanta uso seguro da internet. “[Os ministros do Ibas] Também reafirmaram sua disposição para discutir essas questões abertamente e cooperar nos foros multilaterais relevantes com vistas a garantir o desenvolvimento de uma governança internacional apropriada sobre segurança cibernética”, afirmam Brasil, Índia e África do Sul no documento. O Ibas, também chamado de G3, foi criado em 2003 pelos três países em acelerado desenvolvimento econômico como um fórum de diálogo direto entre nações com interesses comuns. Em entrevista a jornalistas nesta quarta (25), Dilma afirmou que não quer que as Nações Unidas “controlem” a internet, mas que garanta que não haverá abusos e violações de privacidade. "Não concordamos com esse tipo de controle. Estamos dizendo: ONU, preserve a segurança, não deixe que a nova guerra se dê dentro do mundo cibernético, com hackers e tudo.”

Materia G1:http://g1.globo.com/mundo/noticia/2013/09/brasil-ganha-apoio-de-india-e-africa-do-sul-contra-espionagem.html