Segurança da Informação - O que preciso saber?

Hoje falaremos sobre um assunto que a cada dia se torna mais importante no mundo técnologico e corporativo, Segurança da Informação.

Segundo a ISO 27002 segurança da informação é:
A proteção da informação contra vários tipos de ameaças para garantir a continuidade do negocio, minimizar riscos, maximizar o retorno sobre os investimentos e as oportunidades de negócios.

Com a evolução da internet a empresas ampliaram seus aspectos de negócio, chegando praticamente em todos os setores e segmentos. A informatização das empresas se tornou algo necessário, migrando as informações para o formato digital. E essas informações deve ser protegidas devido ao riscos as quais elas podem estar expostas.

O que se deve proteger:

– Registro de negócios;
– Base de dados;
– Informações pessoais;
– Registros financeiros;
– Informações de mercado.

Para a segurança da informação é importante lembrar que a proteção é indiferente de onde a informação esteja, papel, computador, trafegando na rede, backup.

O que um ataque a essas informações pode acarretar:

– Negativar a imagem da empresa;
– Perda de clientes;
– Vazamento de informações;
– Prejuizo financeiro

A segurança da informação baseia-se em 3 pilares:
– Confidencialidade: Garantir que a informação esteja disponivel somente as pessoas autorizadas
– Integridade: Garantir que a informação esteja integra, ou seja, completa e no seu estado original
– Disponibilidade: Garantir que a informação esteja disponivel e utilizavel

E pode envolver processos, tecnologia e pessoas (o elo mais fraco).

Vulnerabilidade

É uma possível falha em um procedimento ou controle de um sistema que possa ser explorada, resultando em uma brecha de segurança

Vulnerabilidade tecnologias:

– Protocolos
– Sistema operacional
– Equipamento rede

Vulnerabilidade de configuração:

– Manter configurações default ou inseguras
– Senhas simples
– Configuração incorreta de equipamento ou serviços

Vulnerabilidade de Politica de segurança:

– Falta de uma politica
– Falta de controle de acessos
– Instalações de software ou hardware que nao seguem a politica
– Falta de orientação sobre a policita, quando existir

Ameaça

Quem ou que, pode explorar acidentalmente ou propositalmente alguma dessas vulnerabilidades

Ameaças acidentais

– Falha de equipamentos
– Erro humano
– Natureza

Ameaças propositais

– Espionagem
– Crimes
– Empregados desonestos ou insatisfeitos
– Vandalismo
– Terrorismo

Risco

É a probabilidade de uma ameaça explorar um vulnerabilidade, resultando algum impacto ou prejuizo para organização

Engenharia social

É a prática utilizada para obter informações importantes por meio das pessoas envolvidades. O atacante consegue retirar informações ou acessos sem mesmo chegar perto de um computador, somente se valendo da má instrução das pessoas.

Tipos de ataques mais comuns realizados pela internet:

Explorar vulnerabilidades
Scan de rede
Falsificação de emails
Sniffing
Força bruta
Negação de serviço (DDos)

Para diminuir os riscos pode-se usar alguns recursos, como:

– Politica de segurança
– Notificação de incidentes
– Contas e senhas
– Criptografia
– Backup
– Logs
– Ferramentas de antivirus
– Firewall

Pode-se também adotar uma política de segurança da informação, que vem a ser de muita valia para as organizações, mas isso já cabe outro post mais pra frente.