Objetivos da Segurança
da Informação
Objetivos da SI
• O modelo de segurança da informação tem como objetivo
implantar a proteção necessária ao negócio eletrônico
entre as organizações.
• Ele se baseia em atividades e processos cíclicos envolvendo
análise de riscos, desenvolvimento e utilização de
recomendações de segurança nas dimensões conceitual,
física, lógica e humana, implementação de procedimentos
e criação de processos de controle e auditoria,
considerando sempre a avaliação de custo e benefício.
• A adoção da segurança da informação pressupõe bons
conjuntos de procedimentos, bem como sua plena adoção
e divulgação.
Objetivos da SI
• As exigências de segurança decorrem da
necessidade da administração reduzir a um nível
aceitável o risco de uma quebra significativa do
sigilo, integridade ou disponibilidade dos sistemas
de informação ou dos dados por eles manipulados.
• Isso pode ser alcançado reduzindo-se as ameaças e
a vulnerabilidade a uma ameaça ou o impacto da
concretização de uma ameaça que venha danificar
o sistema.
Objetivos Básicos
• A política de segurança da informação deve seguir
quatro objetivos básicos em sua composição:
– Integridade: a condição na qual as informações ou os
recursos da informação são protegidos contra
modificações não autorizadas.
– Confidencialidade: propriedade de certas informações
que não podem ser disponibilizadas ou divulgadas sem
autorização prévia do seu dono.
– Disponibilidade: característica da informação que se
relaciona diretamente à possibilidade de acesso por
parte daqueles que a necessitam para o desempenho de
sua atividades.
– Legalidade: estado legal da informação, em
conformidade com os preceitos da legislação em vigor.
Objetivos Básicos
• Definir qual objetivo é mais importante em cada
caso, irá depender da natureza do sistema: em
sistemas que mantenham segredos militares, a
ênfase seria na confidencialidade acima de qualquer
coisa, enquanto que, na maioria das outras
aplicações, a ênfase maior estaria provavelmente
da disponibilidade, seguida da integridade.
Objetivos Básicos
• Os caminhos para alcançar estes objetivos são
bastante claros:
–
–
–
–
–
–
Detecção e análise de políticas vulneráveis;
Estabelecimento de políticas de segurança;
Execução das políticas de segurança;
Acompanhamento;
Avaliação dos resultados contra os objetivos traçados;
Correção de objetivos e políticas.
Objetivos Básicos
• A segurança da informação manifesta-se de várias
formas de acordo com as situações e necessidades.
Independente de quem é envolvido, e em que
nível, todas as partes em uma transação devem ter
certeza que certos objetivos relacionados com a
segurança da informação devem ser atendidos.
• A tabela a seguir apresenta uma lista com alguns
mecanismos utilizados para atender aos objetivos
básicos de segurança:
Alguns Mecanismos da SI
Privacidade e Confidencialidade
Mantém a informação secreta para todos, menos
para aqueles com autorização para acessá-las.
Integridade dos dados
Garante que a informação não foi alterada por
alguma pessoa ou processo não autorizado.
Autenticação das entidades ou Confirmação da identidade de uma entidade.
Identificação
Autenticação da mensagem
Confirmação da fonte da informação, também
conhecida como autenticação da origem dos dados.
Assinatura
Um forma de associar informação a uma entidade.
Autorização
Veículo, para outra entidade, de permissões oficiais
para ser ou fazer alguma coisa.
Controle de acesso
Restringir acesso
privilegiadas.
Certificação
Confirmação da informação por entidades fidedigna.
aos
recursos
para
entidades
Alguns Mecanismos da SI
Timestamping
Armazena o tempo ou a data da criação da
informação.
Testemunho
Verifica a criação ou existência da informação por
uma entidade que não seja a criadora do dado.
Recebimento
Certeza de que a informação foi recebida.
Confirmação
Certeza de que o serviço foi feito.
Propriedade
Uma forma de prover para entidade com direitos
legais o direito de usar ou transferir recursos para
outros.
Anonimidade
Encobrimento das identidades dos envolvidos em um
processo.
Não repúdio
Prevenção da negação de um acordo ou ação já
acertada.
Revogação
Retirada da certificação ou da autorização de uma
entidade.
Atividades a cumprir
• Basicamente, para a implantação da Segurança da
Informação numa empresa, deve ser seguido um
fluxo cíclico de atividades de segurança:
– Análise de riscos;
– Definição da Política de Segurança.
– Plano de Contigência ( o que fazer em caso de
problemas).
Análise de Riscos
• A Análise de Riscos consiste em determinar todo e
qualquer tipo de ameaça ou vulnerabilidade a que
podem estar expostos o negócio e o ambiente da
empresa. Mas detalhes sobre essa fase da
implementação da segurança serão abordados no
próximo capítulo.
Política de Segurança
• Identificadas as ameaças, é necessário elaborar
normas e procedimentos para evitar problemas, ou
seja, minimizar os riscos criando-se, então a Política
de Segurança, que será melhor definida no Capítulo
4.
Política de Segurança
• Ainda não existe segurança perfeita, portanto os
procedimentos da Política de Segurança podem
falhar e/ou as normas podem não ser seguidas, por
isso é necessário criar um Plano de Contingência,
para reagir a qualquer tipo de desastre.
• Essa reação inclui a determinação das possíveis
ações a serem tomadas para diminuir os prejuízos
causados pela falha na segurança e para garantir
que a ordem seja estabelecida o mais breve
possível.
Atividades de Segurança
• A figura ilustra o fluxo de atividades de segurança.
Análise de Riscos
Política de Segurança
Plano de Contingência
Muito agradecido.