Unidade V - Segurança
Lógica, Confidencialidade e Classificação de Informações
1. Introdução
Segurança lógica e de
confidencialidade dizem respeito aos ativos intangíveis de
informática: software, dados, procedimentos.
2. Segurança Lógica
Objeto
das práticas de segurança lógica:
A
modificação acidental ou proposital de recursos tecnológicos /
ativos intangíveis, agregados a recursos humanos e materiais.
Ativos Intangíveis:
- programas de computador referentes aos sistemas
aplicativos;
- software básico e de suporte;
- procedimentos praticados para atuação com a tecnologia
de informática;
- dados e informações, armazenados em bancos de dados e
arquivos computadorizados.
Para o
bom funcionamento e proteção desses ativos intangíveis são
necessários:
- validação da informação operacional;
- validação das rotinas de processamento;
- proteção e sigilo das informações e dos programas;
- proteção dos procedimentos.
Principais Momentos/Problemas
em termos de insegurança lógica:
Principais Vulnerabilidades
em termos de Segurança Lógica:
- descontinuidade operacional;
- perda, revelação e modificação não autorizada de
informações e de software;
- uso não autorizado de informações, software, e
plataformas de informática;
- criação não autorizada de informações.
Ameaças mais Comuns a
Recursos Tecnológicos de Informática:
- uso indevido;
- ações destinadas a prejudicar terceiros;
- acesso não autorizado a dados (penetração);
- execução / alteração não autorizada de programas
através de acesso remoto (RJE / RAS / Conexões Dial-up
/ softwares tais como o "PC Anywhere" da
Symantec);
- distorções durante as transmissões de dados ou
programas;
- consultas a dados não atualizados;
- perda de arquivos;
- erros na alimentação dos dados;
- perda parcial / total de dados durante a transmissão;
- usuários descuidados;
- ambiente misto de testes x produção;
- falta de profissionalismo de técnicos de informática;
- ausência de procedimentos de identificação /
autenticação confiáveis;
- mudanças nos controles e fracos procedimentos de
segregação de funções;
- atualizações de arquivos e manutenção de programas.
"A maioria dos incidentes que causam perdas em
informática não são de natureza criminosa / intencional,
mas ocorrem, fundamentalmente por negligência /
incompetência / displicência / falta de treinamento de
usuários e do pessoal de informática."
Conceito
de Segurança Lógica:
Segurança
Lógica consiste num conjunto de métodos e procedimentos manuais
e automatizados destinados a proteger os recursos tecnológicos /
intangíveis contra quebra de integridade, modificação não
autorizada, acesso e uso indevido, intencional, acidental,
através de:
- salvaguardas administrativas (normas, procedimentos,
padrões, documentação);
- salvaguardas técnicas (controle de acesso, qualidade dos
programas, criptografia, validação dos dados,
proteção anti-vírus, etc.).
Principais
Práticas de Segurança Lógica:
- criação e uso de segmentos de controle em bancos de
dados;
- realização de crítica do conteúdo dos dados
alimentados aos programas e consistência desses dados
contra arquivos cadastrados, ou ainda, validação de
parâmetros em função de arquivos e ou tabelas
existentes;
- existência de arquivos de monitoração do
processamento, de cada sistema aplicativo, com a
gravação e a conseqüente verificação dos totais de
controle dos dados gerados / gravados, a cada programa
processado. Ao final do processamento do sistema
aplicativo, este arquivo de monitoração conterá totais
de controle com todas os cálculos e transformações
ocorridos desde a coleta dos dados até a apresentação
das informações, constituindo-se, portanto, na
verdadeira trilha de auditoria do sistema aplicativo, a
cada ciclo de processamento realizado;
- existência de arquivos de auditoria; com registros /
transações captadas no processamento, em função do
tratamento estatístico de seu conteúdo;
"A integração das práticas de segurança
lógica com segurança física e confidencialidade é básica
para o sucesso e bom funcionamento de um plano de segurança
com qualidade."
3. Confidencialidade
As informações e programas armazenados em meios magnéticos
são ativos intangíveis fundamentais para o sucesso e a
continuidade operacional de toda empresa.
A vantagem competitiva de uma empresa é determinada por sua
imagem, seu pioneirismo, em práticas e produtos. A
disseminação indiscriminada de ativos intangíveis
(informações, sistemas aplicativos) ameaça o diferencial
competitivo da empresa. Necessária se faz, portanto, uma
mecânica de proteção desses ativos.
Responsabilidade pela
Atribuição do Grau de Sigilo das Informações:
Em conjunto:
- proprietários da informação (área usuária);
- área de informática;
- administração da empresa.
Algumas Providências para
Manutenção do Sigilo das Informações:
- armazenagem padronizada de ativos intangíveis
confidenciais, de forma a limitar seu tempo de
expoisição em locais de segurança fragilizada
(exemplo: no transporte);
- utilização de mensageiros especiais para distribuição
de ativos computacionais sensíveis (exemplo:
carro-forte);
- envelopar e usar recipientes adequados (exemplo: malotes)
para o transporte de ativos intangíveis críticos;
- tomar cuidados especiais na eventual venda de fitas,
discos magnéticos, microfichas, microcomputadores,
especialmente, os portáteis;
- criptografia do conteúdo de transações e registros de
dados, em momento de transmissão de dados ou transporte
de meios magnéticos.
"O ponto central de qualquer esquema de
segurança é o ser humano. Falta de treinamento e de
motivação gera incompetência".
4. Classificação de Informações
O trabalho de classificação deve obedecer a um
padrão único para toda a organização, para que cada membro da
mesma saiba que comportamento adotar em relação a informações
que esteja manuseando, não importando quem as tenha gerado.
4.1 Razões para a Classificação de Informações
- Vulnerabilidade técnica - quanto mais
informatizado estiver um ambiente de informações ,
maior a vulnerabilidade técnica, devido ao acesso quase
indiscrimado e à concentração das informações num
mesmo ambiente;
- Diversidade humana - as respostas a um
determinado tipo de situação variam de pessoa para
pessoa. Até para a mesma pessoa, as reações podem
variar com o tempo. É preciso que os subordinados sejam
claramente informados a respeito das expectativas
gerenciais, para esperar que se comportem de maneira
consistente e uniforme;
- Influências externas e ou internas - influem
fatores como legislação financeira, tributária,
bancária, legislação a respeito de sigilo de
informações, informações comerciais e de processos de
produção; privacidade de dados pessoais, interligação
cada vez maior com a Internet.
4.2 Regras para a Classificação e Identificação de
Informações
- Preparação e manuseio - deve especificar quem
tem autorização para preparar e manusear requisitos de
identificação e classificação de informações quanto
ao grau de sensibilidade, e o destino a ser dado a
informações de entrada, arquivos temporários,
rascunhos, esboços, sucata, etc.;
- Reprodução - deve especificar o nível
hierárquico necessário para reproduzir informações
classificadas ou autorizar sua reprodução;
- Distribuição / divulgação - deve especificar
que tem autorização para determinar os critérios para
distribuição e ou divulgação de informações
sensíveis;
- Transferência - deve especificar os critérios
de transferência de informações classificadas, em
função de sua classificação;
- Armazenamento - deve especificar os critérios
de armazenamento de informações classificadas, em
função de sua classificação;
- Perda - deve especificar como os casos de perda
devem ser relatados e acompanhados;
- Destruição / eliminação - deve especificar
os critérios para destruição e ou eliminação de
informações, quando deixarem de ser necessárias, em
função de sua classificação;
- Recuperação - deve especificar os critérios
para recuperação de informações, em função de sua
classificação.
5. Modelo de Classificação de Informações
O modelo apresentado abaixo deve ser encarado
apenas como um exemplo, a título de sugestão. Cada
organização, ao realizar seu trabalho de classificação de
informações deve procurar fazer com que seu método seja o mais
adequado possível às suas particularidades.
É apresentado apenas um modelo de
classificação de informações quanto à necessidade de
proteção das mesmas contra revelação. Outros níveis de
classificação são necessários, como, por exemplo,
classificação quanto à necessidade de preservação, que não
será apresentado neste material, mas pode ser encontrado na
mesma referência (CARUSO, 1999, p.81) utilizada para o exemplo a
seguir.
5.1
Classificação Quanto à Necessidade de Proteção Contra
Revelação
- Secreta - informação crucial para os objetivos
da empresa, podendo variar desde políticas empresariais
até sobre novos produtos. Sua revelação prematura pode
trazer embaraços de imagem e prejuízos financeiros, com
eventual perda de competitividade. É vital sua
preservação.
- Confidencial -de importância especial,
envolvendo desde políticas comerciais a informações de
pessoal.Geralmente, estão mais relacionadas a questões
de privacidade ou de sigilo comercial. Sua necessidade de
preservação é crítica.
- Uso interno - relacionada normalmente com a
organização interna da instituição, não dizendo
respeito ao público externo. É informação valiosa e,
como tal, deve ser preservada.
Qualquer
informação não classificada em nenhuma das categorias acima
pode ser liberada para divulgação pública, sem restrições.
Controle da Divulgação
- Secreta - só deve ser
divulgada para quem precisa da mesma em função da
necessidade de serviço. Para acessá-la, é preciso que
se faça parte de uma lista formal de autorização
(igualmente secreta) elaborada pelo proprietário da
informação ou seu representante autorizado.
- Confidencial - mesmas
condições das informações secretas.
- Uso interno - podem ser
divulgadas para qualquer funcionário.
Armazenamento
- Secreta - arquivo de
segurança total. A pessoa que controla o armazenamento
de informações desta categoria deve ter autorização
formal para isso.
- Confidencial - arquivo de
segurança.
- Uso interno - deve ter
cópias de segurança na área específica de seu uso.
Transporte interno e expedição
- Secreta - em recipiente
simples com identificação do grau de sensibilidade,
evitando-se a entrega em malotes internos. Deve-se dar
preferência à entrega pessoal por pessoa devidamente
autorizada, com registro de protocolo.
- Confidencial - em
recipiente simples com identificação do grau de
sensibilidade.
- Uso interno - pode ser
tansportada aberta.
Transporte externo
- Secreta - em recipiente de
segurança com identificação do grau de sensibilidade.
O transporte a entrega devem sempre ser feitos por pessoa
devidamente autorizada, com registro de protocolo.
- Confidencial - em
recipiente de segurança com identificação do grau de
sensibilidade. O transporte a entrega devem
preferencialmente ser feitos por pessoa autorizada.
- Uso interno - em
recipiente simples.
Transmissão
- Transmissão de voz
- Secreta - proibida a
transmissão através de linhas telefônicas, mesmo
dentro de ambientes controlados.
- Confidencial -
proibida. Mesmas condições das informações
secretas.
- Uso interno -
permitida.
- Transmissão de dados
- Secreta - se o meio de
trasnmissão estiver totalmente em área sob o
controle da organização, pode ser transmitida em
texto claro (sem encriptação), caso contrário deve
ser criptografada. A encriptação não deve ser
total, em um único arquivo, pois o maior tamanho de
um arquivo facilita o trabalho de análise para se
descobrir a(s) chave(s). Neste caso, recomenda-se o
transporte em mídia magnética ou ótica, por
portador autorizado, conforme descrito no item
"Transporte externo", acima.
- Confidencial - Valem
as mesmas condições das informações secretas.
- Uso interno -
permitida a transmissão em texto livre para qualquer
caso.
6. Referências Bibliográficas
- CARUSO, Carlos A. A.; STEFFEN, Flávio D. Segurança
em Informática e de Informações. 2ª ed. rev. e
ampl. Senac, São Paulo, 1999. p. 75-87
- GIL, Antônio de L. Segurança em Informática.
2ª ed. Atlas, São Paulo, 1998.