Segurança em Sistemas de Informações - Vulnerabilidades, Controles e Análise de Casos

Segurança em Sistemas de Informações Desenvolvimento do material Pedro Jorge Guimarães de Abreu 1ª Edição Copyright 2020 Afya Nenhuma parte deste material poderá ser reproduzida transmitida e gravada por qualquer meio eletrônico mecânico por fotocópia e outros sem a prévia autorização por escrito da Afya Sumário Segurança em Sistemas de Informações Para início de conversa 04 Objetivos 05 1 Vulnerabilidades dos Sistemas de Informações e Uso Indevido 06 2 Valor Empresarial da Segurança e do Controle 08 3 Como Estabelecer uma Estrutura para Segurança e Controle e sua Relação com Tecnologias para Garantir a Segurança 12 31 Análise de Casos sobre Segurança de Dados 14 Referências 16 4 Sistemas de Informações Gerenciais Para início de conversa A segurança em sistemas informação SI está relacionada à proteção das informações da organização no intuito de preservar o valor que possuem para um indivíduo ou uma organização elas não ficam restritas somente a sistemas informatizados informações eletrônicas ou sistemas de armazenamento de informações O conceito é utilizado em todos os aspectos do sistema de proteção das informações e dados A segurança dos computadores está intimamente relacionada à segurança da informação Podem ser estabelecidos indicadores de desempenho com o uso ou não de ferramentas para a definição do nível de segurança da organização com isso serão definidas as bases para análise da situação de segurança existente A segurança da informação pode ser atingida por fatores comportamentais e de uso de quem trabalha com ela 5 Sistemas de Informações Gerenciais Objetivos Entender a vulnerabilidade dos sistemas e uso indevido Compreender o valor empresarial da segurança e do controle Saber como estabelecer uma estrutura para segurança e controle e sua relação com tecnologias e ferramentas para garantir a segurança Conhecer a análise de casos sobre segurança de dados 6 Sistemas de Informações Gerenciais 1 Vulnerabilidades dos Sistemas de Informações e Uso Indevido Até o presente momento foi possível entender que vivemos na Era da Informação ou como alguns autores nomeiam Sociedade da Informação em que a globalização exerce efeitos nunca antes observados no comportamento humano Como exemplo desse processo temos a velocidade de acontecimentos sociais a tecnologia invadindo as relações humanas sem precedentes e o ambiente organizacional totalmente imerso em tecnologia Os sistemas de informações representam hoje o desenho físico e lógico da organização É possível também observar a distribuição de poder a partir da tomada de decisão os investimentos em equipamentos a armazenagem de dados de clientes e sobre o próprio negócio abarcados em redes de computadores Tal processo exige investimento em segurança de dados pois a organização se torna responsável em preservar dados e informações de clientes funcionários e dela mesma A fragilidade dos sistemas de informações pode ser percebida nos seguintes aspectos Facilidade de uso incorreto do sistema de informação Há grande importância em ter modelos de preservação da segurança e da informação Estabelecer um ambiente de segurança da informação na empresa Investimentos em gerar maior segurança da informação Os aspectos anteriormente informados refletem a postura da empresa diante da informação que trafega em seu ambiente de negócio Os sistemas Figura 1 Segurança de dados Fonte Dreamstime 7 Sistemas de Informações Gerenciais de informações apesar de serem construídos com linguagem de programação específica podem ser facilmente manipulados por qualquer indivíduo pois os sistemas reproduzem comandos que outras pessoas executam e com isso a restrição ao acesso tornase imprescindível ao processo de gerar cultura de segurança Tecnologias são também empregadas para efetuar acessos indesejáveis à informação e estendemse a procedimentos operacionais em preservar o investimento em software e hardware Quanto custa o tempo ocioso da sua empresa Financeiro Fluxo de caixa Garantias de pagamentos Classificação de crédito Preço da ação Reputação arranhada Consumidores Fornecedores Mercado financeiro Bancos Sócios Importante Vivemos na Era da Sociedade da Informação em que o conhecimento é reconstruído na velocidade dos dados que trafegam na internet 8 Sistemas de Informações Gerenciais Receita Perda direta Perda de receita futura Perda do faturamento Perdas de investimentos Perda de produtividade Outras despesas Empregados temporários Aluguel de equipamentos Custos com horas extras Despesas de viagem Obrigações legais Quadro 1 Os seus custos de inatividade por hora por dia e por semana Fonte Elaborado pelo autor 2 Valor Empresarial da Segurança e do Controle Diariamente em nossa caixa de email chegam solicitações de atualização de cadastro de dados Cuidado Essa pode ser a ação do Phishing Em uma linguagem simplificada representa o roubo da identidade do usuário verdadeiro LAUDON 2007 Em muitos casos o Phishing possui um email falso de banco cartão de crédito plano de saúde ou de algum tipo de empresa que um cliente mais desatento poderia acreditar ser real Então este cliente acaba confirmando o seu CPF identidade e outros documentos entregando seus dados pessoais Que tipos de ações as empresas podem fazer para combater o Phishing 9 Sistemas de Informações Gerenciais Informar os seus clientes que há fraudes sendo aplicadas para obter dados pessoais dos clientes Nos provedores inserir bloqueadores de conteúdos indevidos É o exemplo do lixo que trafega na rede junk email Vigilância contínua de sua página www Criação de níveis de senhas com a combinação de biometria senha alfanumérica comandos de voz e outros O importante é gerar maior segurança Apresentar relação de ações de Phishing Figura 2 Rotinas de proteção das empresas contra Phishing Fonte Dreamstime Cada empresa deve pensar qual a melhor forma de guardar e disponibilizar a informação para o seu negócio É essa informação que deve ser preservada contra os crimes de informática Importante 10 Sistemas de Informações Gerenciais Os argumentos mais contundentes quanto à preocupação de empresas com segurança de dados são os seguintes Em média redução em mais de 30 de operações de compra e venda do comércio eletrônico quando da divulgação pela mídia de fraudes na internet Ações judiciais Exposição do nome da empresa e descrédito no mercado Perda de vendas ao longo do tempo A solução para esse dilema organizacional passa por definição de políticas mais agressivas em prol da segurança de dados Tais ações envolvem Controle O controle se dá por meio de definição de metodologias de segurança e de regras voltadas à geração de maior segurança de dados Segurança É a definição de procedimentos políticas de acesso e ações técnicas A Engenharia Social Você já ouviu falar de engenharia social Ela se dá por meio das relações sociais em que ocorre a quebra da segurança de dados das pessoas na organização Um exemplo prático de engenharia social pode ser evidenciado quando deixamos nossa máquina logada para almoçar Nesse momento pessoas malintencionadas podem usar nosso acesso e operar ações no sistema sem a nossa permissão Um outro exemplo de engenharia social é quando usamos sempre a mesma senha e algum colega grava a posição de acesso no teclado ou quando simplesmente emprestamos nosso login para que outra pessoa faça operações no sistema Tal fato nos leva à ideia de construção de senhas Existem dois tipos comuns de senhas a fraca e a forte As senhas fracas podem ser 11 Sistemas de Informações Gerenciais Nome do pai Nome da mãe Nome de filhos Placa de carro Data de aniversário Matrícula funcional Nome de animais de estimação Combinação de sequência numérica e alfabética Time de futebol Quem já conhece a pessoa não teria dificuldade em descobrir a senha ainda que por eliminação E o que seria a senha forte É aquela constituída pela junção de letras nomes símbolos números e outras combinações que dificultem a ação da pessoa indesejada Pensando em segurança nos sistemas de informação de uma organização alguns elementos fazem parte dela Vejamos a seguir A primeira linha de defesa Os colaboradores A primeira linha de defesa que uma organização deve seguir para combater os problemas internos é criar uma política de segurança da informação e um plano de segurança da informação Vejamos em detalhes cada um desses itens Política de Segurança da Informação PSI Uma política de segurança da informação PSI é o conjunto de regras técnicas e boas práticas associado ao uso seguro dos dados Ou seja é um documento ou manual que orienta as ações mais importantes para assegurar a segurança da informação Para a sua melhor compreensão pense no código de ética interna de uma empresa Ele estabelece como os funcionários devem se portar ou agir o que é proibido e que deve ser feito em caso de emergência 12 Sistemas de Informações Gerenciais Plano de Segurança da Informação No plano de segurança da informação em primeiro lugar a segurança da informação deve respeitar alguns critérios como autenticidade e privacidade Além disso ela também deve abranger alguns aspectos básicos como a confidencialidade em que somente usuários devidamente autorizadas pela empresa devem ter acesso à informação e a integridade em que somente serão realizadas inclusões alterações ou exclusões quando forem autorizadas pela empresa 3 Como Estabelecer uma Estrutura para Segurança e Controle e sua Relação com Tecnologias para Garantir a Segurança A interação dos sistemas de informações com investimentos em tecnologia procedimentos e comportamento humano pode contribuir para a elaboração de políticas consistentes em gerar uma atmosfera de segurança de dados no ambiente empresarial tais como 1 Implantação de programas rastreadores de Phishing 2 Uso de bloqueador antispam 3 Combinação de senhas 4 Monitoramento de vulnerabilidades 5 Criação de comitês de segurança da informação 6 Educação de clientes e funcionários quanto à política de uso de senhas 7 Investimentos em antivírus Para obter maior segurança de dados os sistemas são construídos seguindo a política de acessos ao sistema ou seja cada funcionário de acordo com sua descrição de função possui acessos ao sistema de informação por meio de seu perfil Apenas uma pessoa na empresa deve ser a que faz a 13 Sistemas de Informações Gerenciais liberação de acessos para funcionários na organização conforme solicitação por email da gerência imediata assim a política de restrição de acesso gera maior confiabilidade à segurança de dados Já pensou se várias pessoas no RH possuíssem acesso às informações no sistema como inclusão de premiações bonificações A auditoria de sistemas tem um aspecto importante para a segurança de dados pois rastreia quem fez alguma operação no sistema informando a hora o que foi feito e com isso há grande responsabilidade pelo uso de senhas acessos e engenharia social A resultante de ações de crime de informática afeta a organização clientes e valor de mercado da empresa As ações de crime de informática são efetuadas principalmente pela figura do hacker Mas o que é o hacker É um indivíduo muito talentoso na programação de computadores que pode utilizar seus conhecimentos para o mal Exemplos de ações malignas Invadir sistema de segurança bancário e roubar valores Quebrar sistema de segurança de empresas simplesmente por prazer Invadir sistemas de segurança de governos Espionagem industrial e outros fins não éticos que são exemplos de máfé A própria internet possui cursos e ensina técnicas para ser um hacker A fragilidade da rede pode ocorrer com a ação de Cavalo de troia Alguns tipos de vírus programas worms Casos de cibervandalismo ação de hacker Software spyware 14 Sistemas de Informações Gerenciais Vírus Programas de computador que se anexam a arquivos de forma não autorizada com o objetivo de serem acionados Sua ação acaba com a destruição de informações armazenadas Worms Software que se multiplica dentro da rede eliminando o funcionamento da rede de computadores Cavalo de troia Representa uma chave de entrada para vírus A função central é permitir a entrada de vírus Spyware Software que extrai informações comerciais em uma rede Cibervandalismo Ação de alteração ou destruição da página de uma empresa Hacker Indivíduo que se aproveita da vulnerabilidade de um sistema de informação Snifer Mecanismo de posse do hacker para roubar informação do usuário Crimes de internet Conjunto de ações fraudulentas no meio digital Quadro 2 Crimes de informática Fonte Elaborado pelo autor O Quadro 2 apresenta os tipos mais conhecidos de ações de crime digital chamados também de crimes de informática O conhecimento dessas ações nos permite a avaliação de riscos na segurança da informação e a consolidação de políticas de segurança A política de segurança tem como objetivo maior assegurar a continuidade do negócio e a preservação da informação contida no banco de dados da organização pois são administradas informações relativas ao negócio pessoas e investimentos da empresa 31 Análise de Casos sobre Segurança de Dados A segurança de dados passa por um conjunto de ações voltadas a criar maior segurança de acesso à informação para funcionários e usuários de serviço de informação de uma empresa Os investimentos para a segurança de 15 Sistemas de Informações Gerenciais dados ficam evidentes quando a segurança falha ou quando a ação de um hacker é bloqueada A lista de crimes de segurança da informação é extensa mas a grande preocupação está em ter um antivírus atualizado cuidados com a engenharia social e investimentos consistentes em políticas de segurança de dados Uma das medidas mais comuns é o uso do firewall que é uma implementação de segurança baseada em hardware ou software mais utilizado que a partir de uma lista de regras ou instruções analisa todo o tráfego de rede para definir quais operações de transmissão ou recepção de dados podem ser realizadas Figura 3 Exemplo de ação do firewall Fonte Adaptado de Blog Tec Jump E assim entendemos como se dá a vulnerabilidade e o uso indevido dos sistemas de informações e quais investimentos em segurança da informação fazem parte da política da proteção de dados Percebemos ainda que a segurança e o controle ocorrem por meio de comportamentos de funcionários e de usuários A engenharia social tornase um exemplo enriquecedor de como todo o investimento em segurança pode ser subutilizado nas relações entre as pessoas na organização Por fim compreendemos que a segurança da informação não é algo distante para as grandes empresas mas um assunto recorrente na pauta de organizações que querem preservar o seu negócio Importante Os sistemas de informações representam fonte de investimentos em segurança da informação em virtude dos dados que trafegam em sua rede 16 Sistemas de Informações Gerenciais Referências ABREU A F REZENDE D A Tecnologia da informação Aplicada a sistemas de informação empresariais 8 ed São Paulo Atlas 2011 BATISTA E O Sistemas de informação O uso consciente da tecnologia para o gerenciamento São Paulo Saraiva 2005 BIO S R Sistema de informação Um enfoque gerencial 2 ed São Paulo Atlas 2008 BLOG TEC JUMP O que é um firewall e qual a melhor escolha para uma empresa Disponivel em httpsblogtecjumpcombrfirewall Acesso em 3 out 2019 CÔRTES P L Administração de sistemas de informação São Paulo Saraiva 2008 GOLEMAN D et al Tecnologia e gestão da informação EdCampus 2009 LAUDON K C Sistemas de informação gerenciais 7 ed São Paulo Pearson Prentice Hall 2007 Sistemas de informação gerenciais 9 ed São Paulo Pearson Prentice Hall 2011 ÓBRIEN J A Sistemas de informação e as decisões gerenciais na era da internet 3 ed São Paulo Saraiva 2011 17 Sistemas de Informações Gerenciais STAIR R M Princípios de sistemas de informação Uma abordagem gerencial 9 ed Cengage Learning 2010 TURBAN E Introdução a sistemas de informação Rio de Janeiro Elsevier 2007