A dit i A li dA dit i A li dAuditoria e Anlise de Auditoria e Anlise de Segurana da InformaoSegurana da InformaoSegurana da InformaoSegurana da Informao

Padres de SeguranaPadres de Segurana

Prof. Jos Maurcio S. Pinheiro - UGB - 2009

PROJETO DE REDES www.projetoderedes.com.br

Padres de Segurana

A avaliao de padres de seguranaA avaliao de padres de seguranade computadores define vrios nveis deseguranasegurana.

Estes nveis descrevem diferentes tiposde segurana fsica autenticao dede segurana fsica, autenticao deusurio, confiabilidade do sistema

i l li d ioperacional, e aplicaes de usurio.

2

Controles de Acesso

Os controles de acesso, fsicos oulgicos, tm como objetivo protegerequipamentos, aplicativos e arquivos deq p , p qdados contra perda, modificao oudivulgao no autorizadadivulgao no autorizada.

3Controle de acesso fsico Controle de acesso lgico

Controles de Acesso

A proteo aos recursos computacionaisbaseia-se nas necessidades de acessode cada usurio.

A identificao e autenticao doA identificao e autenticao dousurio so feitas por meio de umid tifi d d i (ID)identificador de usurio (ID) e por umasenha durante o processo de entrada(logon) no sistema.

4

Nveis de Segurana

Os SO esto classificados em quatroOs SO esto classificados em quatrocategorias: A, B, C, D, ordenados demaneira hierrquica crescente com a maiormaneira hierrquica crescente, com a maiordiviso (A) reservada aos sistemas quef i l doferecem maior nvel de segurana.

Nas divises C e B existem subdivisesNas divises C e B existem subdivisesconhecidas como classes as quais tambmesto ordenadas hierarq icamenteesto ordenadas hierarquicamente.

5

Nvel A (Desempenho Verificado)

Trata-se do nvel mais alto especificadopnos padres de segurana das redes decomputadorescomputadores.

Inclui projeto e controle rgidos ep j gprocesso de verificao.

Atribudo aos sistemas operacionais quepossuem ferramentas ou capacidades depossuem ferramentas ou capacidades degarantir a segurana total, noapresentando falhas de segurana

6

apresentando falhas de segurana.

Nvel B1 (Segurana Criptografada)

Suporta segurana de mltiplos nveis,p g pestabelecendo que um objeto sobcontrole de acesso obrigatrio no podecontrole de acesso obrigatrio no podeter suas permisses mudadas peloproprietrio do objetoproprietrio do objeto.

Este nvel atribudo aos sistemasEste nvel atribudo aos sistemasoperacionais que tambm possuemf t id d d tiferramentas ou capacidades de garantira segurana em um nvel mdio.

7

Nvel B2 (Proteo Estruturada)

Atribudo aos sistemas operacionais quep qtambm possuem ferramentas oucapacidades de garantir a segurana emcapacidades de garantir a segurana emum nvel mdio.

O aspecto que o diferencia do nvel B1 a sua capacidade de armazenamento detodos os logins de acesso ao sistema porg pum tempo mnimo de 7 anos.

8

Nvel B3 (Domnios de Segurana)

Nvel atribudo aos sistemasoperacionais que possuem ferramentasou capacidades de garantir a seguranaou capacidades de garantir a seguranaem um nvel bastante alto.

O custo do projeto deve satisfazer asexigncias do sistema monitor deexigncias do sistema monitor desegurana e ser razoavelmente imune sinvases e pequeno para que possa sersubmetido a anlises e testes.

9

Nvel C1 (Proteo Arbitrria)

Nvel atribudo aos sistemasoperacionais que possuem ferramentasou capacidade de garantir a seguranaou capacidade de garantir a seguranasob aspectos mnimos, sem grandesvalores de seguranavalores de segurana.

O custo do projeto de seguranaO custo do projeto de seguranasatisfaz as exigncias de segurana

discricionria, separando os usuriosdos dados.

10

Nvel C2 (Acesso Controlado)

Alm das caractersticas especificadasppara o Nvel de segurana C1, o NvelC2 soma caractersticas de seguranaC2 soma caractersticas de seguranaque criam um ambiente de acessocontroladocontrolado.

fEspecifica que o sistema pode serauditado (registro de auditoria para cada( g pevento de sistema).

11

Nvel D

Aplica-se aos sistemas operacionaisp pque no distinguem um usurio deoutro e no tem nenhum mtodooutro e no tem nenhum mtododefinido de determinar quem estusando o sistemausando o sistema.

Este tipo de sistema muitoencontrado em ambientes eplataformas monousurio.

12

Gerenciamento de Riscos

O risco definido como a expectativapde perda expressiva ou a probabilidadede uma ameaa explorar uma falha dede uma ameaa explorar uma falha desegurana, causando algum resultadoprejudicialprejudicial.

O h d t lO que no se conhece no se pode controlar.O que no se controla no se pode mensurar.O que no se mensura no se pode gerenciarO que no se mensura no se pode gerenciar.O que no se gerencia no se pode aprimorar.

13

Gerenciamento de RiscosCiclo de Segurana da Informao

14

Gerenciamento de RiscosPDCA

15

Gerenciamento de RiscosGERENCIAMENTO E MAPEAMENTO DE PROCESSO

1 passo - Levante os processos / atividades;

Levante em conjunto com os colaboradores que executam estes processos /ti id d t t i l d /atividades, neste momento no se preocupe com o seqencial dos processos /

atividades, s identifique os processos e quais atividades esto ligadas a esteprocesso;

Processo: Dentro de processo existe um conjunto de atividades seqenciais(conectadas), relacionadas e lgicas, que tem entradas, processamento eproduzem uma sada para um cliente interno ou externo;produzem uma sada para um cliente interno ou externo;

Atividades: so aes que ocorrem dentro do processo. So geralmentedesempenhadas por uma unidade (pessoa ou departamento) para produzir umdesempenhadas por uma unidade (pessoa ou departamento) para produzir umresultado particular. Elas constituem a maior parte dos fluxogramas;

16

Gerenciamento de RiscosGERENCIAMENTO E MAPEAMENTO DE PROCESSO (cont.)

2 passo - Ordenar em forma seqencial;

muito importante que todos os envolvidos no processo tenham a clara d t ( / i fi ) d f i tilicompreenso de sua natureza (comeo / meio e fim), d preferncia utilize

fluxogramas, pois facilitam os colaboradores a entenderem melhor ofuncionamento de seus processos. Tenha bom senso em determinar qual onvel do detalhamento para isso anlise o resultado que voc espera com estenvel do detalhamento, para isso anlise o resultado que voc espera com estetrabalho;

3 passo - Definir a documentao necessria para operao e controle;

Identifique os recursos incluindo infra-estrutura Insumos matria-prima DefinaIdentifique os recursos incluindo infra estrutura, Insumos, matria prima. Definaos tipos de documento que sero necessrios para controlar os processos(manual, procedimento, formulrios,...) utilize formatos padronizados, tenhacontrole de aprovao e de alterao deste documentos;

17

controle de aprovao e de alterao deste documentos;

Gerenciamento de RiscosGERENCIAMENTO E MAPEAMENTO DE PROCESSO (cont.)

4 passo - Estabelecer as caractersticas do produto / servio, com parmetro deaceitao;

D fi l t li t i d fi t dDefina claramente o que o cliente espera, com isso defina os parmetros deaceitao de seus produtos / servios, em periodicidade definida consulte seucliente para revalidar estes parmetros;

5 passo - Definir os responsveis pelos processos;

Diferente dos departamentos de uma organizao que tem seus limitesdefinidos (inclusive responsabilidades), um processo pode atravessardiversos departamentos sendo necessrio designar um dono do processodiversos departamentos, sendo necessrio designar um dono do processoque tenha a viso e coordene o processo;

18

Gerenciamento de RiscosGERENCIAMENTO E MAPEAMENTO DE PROCESSO (cont.)

6 passo - Estabelecer os indicadores que demonstrem a eficcia de cadaprocesso;

T d i it d li t did d d h LiTraduza os requisitos dos clientes em medidas de desempenho. Ligardiretamente as medidas de desempenho do processo s necessidades dosclientes um dos aspectos mais eficazes da gesto do processo;

7 passo - Identificar os registros necessrios para demonstrar a conformidadedo produto / servio e que os processos so capazes;do produto / servio e que os processos so capazes;

Ter uma banco de dados confivel importantssimo para analisarmos osindicadores por isso de extrema importncia alm de definirmos osindicadores, por isso, de extrema importncia, alm de definirmos osindicadores, termos devidos registros de onde vamos retirar as informaespara anlise.

19

Gerenciamento de Riscos

Mtodos de Avaliao de Riscos

rvore de Deciso de RiscoOCTAVEGrau de Proteo de Recursos (GPR)

20