Sistemas de Informaes Gerenciais

Aula 10 Segurana da Informao

Oscar Nagao Agosto / 2010

Sistemas de Informao - Dcada de 60/70

DCADA DE 60/70 Computao centralizada. Uso de computadores de grande porte - Mainframe. Redes privadas. Acesso restrito aos computadores. Aplicao centralizada.

A partir da dcada de 80
Ambientes complexos. Mainframe, redes locais. Redes pblicas. Internet. Aplicao colaborativas. As aplicaes tornaram-se vulnerveis.

Com o passar do tempo

As organizaes cada vez mais ficam dependentes da nova tecnologia. Grandes e Pequenas empresas. Quase impossvel manter os seus negcios sem o auxlio do computadores. Surge ento, de forma mais acentuada, a necessidade de atenes especiais na manuteno, proteo e controle sobre esse ambiente to heterogneo e complexo.

A Informao e o Negcio
O negcio da empresa depende agora da informao. Erros, desastres, fraudes, sabotagem tornaram-se coisas comuns. O ambiente computacional pede socorro. Confidencialidade, Integridade, Disponibilidade, Confiabilidade. ENTO, O QUE PRECISO?

Poltica de Segurana das Informaes

Poltica de Segurana da Informao basicamente um manual de procedimentos que descreve como os recursos de TI da empresa devem ser protegidos e utilizados e o pilar da eficcia da segurana da informao. Do contrrio, sem regras pr-estabelecidas, decises tornam-se inconsistentes e vulnerabilidades surgem.

Poltica de Segurana das Informaes

Qual a primeira necessidade para se implantar uma PSI (Poltica de Segurana da Informao) em uma empresa? preciso tambm saber: O que proteger? Contra quem ou o que? Quais as ameaas mais provveis? Qual a importncia de cada recurso? Qual o grau de proteo desejado?

Poltica de Segurana das Informaes

Principalmente, o que deve conter o documento da PSI? Princpios legais e ticos. Princpios da implantao da PSI. Polticas de acesso fsico e de acesso lgico. Princpios de superviso constante. Princpios de continuidade e procedimentos a serem adotados quando acontecer uma violao.

Poltica de Segurana das Informaes

Como deve ser esse documento? Claro, conciso e genrico. Definindo recursos e sistemas a serem protegidos. Classificando recursos e informaes para proteo.

Poltica de Segurana das Informaes

Anlise de Risco Engloba a Anlise de Ameaas, Vulnerabilidades e Impactos. A anlise de riscos o ponto chave da poltica de segurana.

Poltica de Segurana das Informaes

Identificados os impactos e as ameaas e calculados os riscos, so desenvolvidas estratgias de Controles de Segurana. Linhas de ao:
 Eliminar o risco.  Reduzir o risco a um nvel aceitvel.  Limitar o dano, reduzindo o impacto.  Compensar o dano, por meio de seguros.

Poltica de Segurana das Informaes

Implantada: Deve ser desempenhada por uma pessoa ou grupo de pessoas? necessrio a existncia de um gerente? A PSI deve ser pblica dentro da empresa? necessrio existir treinamento dos funcionrios?

Controles de Acesso
O que Controle de Acesso Lgico? Quais os riscos de um CAL inadequado?

O que Controle de Acesso Fsico? Quais os riscos de um CAF inadequado?

Plano de Contingncia
O que um Plano de Contingncia de recursos computacionais?
 Devido s vulnerabilidade do ambiente computacional mais do que necessrio traar um plano de recuperao aps desastres.  Desastres podem acontecer inesperadamente.  Disponibilidade e confiabilidade afetam na credibilidade.

Plano de Contingncia
 O plano de Contingncia de responsabilidade exclusiva

do departamento de informtica ou de toda a empresa?

 Deve ser tratado como deciso de negcio ou como

deciso tcnica?
 Os custos devem ser vistos como custos de manuteno da

organizao no mercado ou como custos de informtica?

Plano de Contingncia
Atividades Preliminares So realizados estudos onde so identificadas todas as funes crticas de negcios. So definidas, em linhas gerais, quais funes, sistemas e recursos faro parte da anlise de impacto e as pessoas que sero entrevistadas nessa anlise. Na anlise de impacto os recursos e sistemas so classificados de acordo com a sua importncia para a empresa.

Plano de Contingncia
Qual uma das mais importantes alternativas de recuperao? Se no houver dados para serem recuperados, no faz sentido manter um plano para recuperao. E o teste de backup, importante? Porque? Porque treinamento de Plano de Contingncia de recursos computacionais importante?

Dvidas