INTRODUÇÃO À SEGURANÇA DA

INFORMAÇÃO
PRINCIPAIS CONCEITOS

 A segurança da informação

 envolve identificação, proteção, detecção, resposta e recuperação.

 É preciso garantir os princípios da segurança da informação:

confidencialidade, integridade, disponibilidade.

 É preciso trabalhar com os elementos do risco: ativos,

vulnerabilidades, agentes de ameaça, ameaças, vulnerabilidades,
probabilidade, impacto.

 A aplicação de mecanismos de defesa, controles de segurança e

técnicas de segurança de redes é definida a partir de uma visão de
riscos.

Segurança da informação é identificar, proteger, detectar, responder e

recuperar.

Em segurança da informação, proteger significa implementar controles de

segurança a partir da identificação e da avaliação dos riscos. Essa é a
prevenção, e uma vez feita, um ataque em andamento é identificado, uma
resposta, então, é dada e a recuperação do ambiente original é realizada.
Princípios da segurança da informação
CID

CONFIDENCIALIDADE DISPONIBILIDADE

INTEGRIDADE

RISCOS DE SEGURANÇA
Riscos de segurança podem virar incidentes de segurança quando um
agente de ameaça explora vulnerabilidades de um ativo. Quando isso
ocorre, uma ameaça se torna um incidente de segurança e o nível de risco é
calculado pela probabilidade e pelo impacto existente.

Risco (R) é o produto da Probabilidade (P) com o Impacto (I).

R=P*I

Exemplo: um cracker (agente de ameaça) utiliza um exploit para fazer um

ataque, ou seja, para explorar uma vulnerabilidade de um ativo, um ativo
pode ser a informação, as pessoas, os sistemas, os bancos de dados e os
dispositivos físicos, como um notebook.
SAIBA MAIS
Diferentes tipos de riscos existem e devem ser considerados. Danos à reputação ou à
marca, crime cibernético, risco político e terrorismo são alguns dos riscos que as
organizações privadas e públicas de todos os tipos e tamanhos do mundo devem
enfrentar cada vez mais. Há uma norma de gestão de riscos, a ABNT NBR ISO
31000:2018, que abrange riscos de forma mais ampla, e, em segurança da
informação, há uma norma específica, a ABNT NBR ISO/IEC 27005:2019. Isso
reforça a importância da visão de riscos para que possamos trabalhar com segurança
da informação, pois é a partir da identificação dos riscos que a proteção pode ser
realizada.
CONTROLES DE SEGURANÇA
Controles de segurança devem ser aplicados nos ativos, para eliminarem
vulnerabilidades. Os controles podem ser:

FÍSICOS TECNOLÓGICOS

Exemplo: Exemplo:
Controle de Gerenciamento de
acesso contas e senhas

PROCESSOS

Exemplo:
Norma de
atualização de
senhas

Foram apresentados os principais conceitos que o acompanharão durante

toda sua jornada em segurança da informação. Lembre-se sempre de que a
segurança da informação envolve identificação, proteção, detecção,
resposta e recuperação.

ATAQUE CIBERNÉTICO QUE VIROU

NOTÍCIA NO MUNDO
Vamos explorar o mundo dos ataques cibernéticos que tanto afetam as
empresas. Nosso objetivo é que você compreenda melhor o mercado de
trabalho de segurança da informação, que sofre transformações constantes
com os novos negócios, novas tecnologias e com a evolução dos ataques
cibernéticos.

FXMSP, O “DEUS INVISÍVEL”

Em 2020, um hacker ganhou notoriedade. É o caso de Fxmsp, o “Deus
invisível”, um cidadão de Cazaquistão de 37 anos de idade na data. O nome
real dele é Andrey Turchin; ele ainda não foi preso, sendo acusado de
conspiração, fraude eletrônica, fraude por acesso ilícito a dispositivos e
abuso do uso do computador (hacking).
O mapa das vítimas de Fxmsp mostra a abrangência global de seus ataques.
São 300 empresas de 44 países. As revelações são do Group-IB, após pagar
US$ 1,5 milhões por todas as informações roubadas e os segredos para as
invasões

CRIPTOGRAFIA
Nesta webaula vamos apresentar a abrangência tecnológica da criptografia
e mostrar a aplicação de algoritmos de criptografia.

A CRIPTOGRAFIA FAZ PARTE DO DIA A DIA DE TODOS

Os dados de seu dispositivo móvel são armazenados com criptografia; o
acesso online ao seu banco é feito usando um canal seguro com
criptografia; a sua comunicação com amigos e familiares com WhatsApp,
por exemplo, é protegida por criptografia, e ninguém consegue escutar as
mensagens ou ter acesso a elas no meio do caminho.

A CRIPTOGRAFIA É UTILIZADA PELAS EMPRESAS

Como profissional de segurança, você pode utilizar a criptografia para
melhorar a segurança da sua empresa.

 Criptografia dos dados armazenados no notebook.

 Conexão remota do home office utilizando VPN para proteger a

comunicação pela internet.

 Criptografia do banco de dados para proteger as informações de

vendas armazenadas.

 Criptografia das conexões ao website de vendas online usando

HTTPS/TLS/SSL.

O QUE É CRIPTOGRAFIA?

Criptografia é ocultar o significado das mensagens, e não ocultar a

mensagem em si. Esta é a esteganografia.

 No caso da criptografia, em caso de a mensagem ser interceptada, o

conteúdo está protegido.

 Já no caso da esteganografia, a mensagem está oculta.

Exemplo da esteganografia

TESTES
Vamos ver como funciona a esteganografia ocultando um texto em uma
imagem.

 Você pode testar passo a passo utilizando a ferramenta OpenPuff,

disponível em: https://bit.ly/3sXBqBq. Acesso em: 16 nov. 2020.

 Você pode testar alguns algoritmos de criptografia em uma

ferramenta online chamada Online Cryptography Tools, disponível
em: https://bit.ly/3tZNVh4. Acesso em: 2 nov. 2020.

A ferramenta Online Cryptography Tools contém exemplos desde a cifras

simples, como a Cifra de César, como criptografia de chave simétrica
e hash.

A seguir temos um exemplo de aplicação da Cifra de César.

CIFRA DE CÉSAR
Vamos utilizar como senha a palavra “CRIPTO” e substituir cada letra da
palavra avançando três letras no alfabeto. Por exemplo, a letra “C” vamos
substituir por “F”, a letra “R” será alterada pela letra “U”, a letra “I” pela
letra “L”, a letra “P” pela letra “S”; “T” pela letra “W” e “O” por “R”. Para
testar o exemplo siga os passos enumerados na imagem da figura:

Cifra de César e as substituições feitas com uma chave 3 na palavra teste

 1. Ao acessar o site, vá em Basic encryptions.

2. Em Select encryption type, selecione a Caesar Cipher (Cifra de

César).

3. Em Select Position, selecione o número de posições que será

avançado no alfabeto para substituição das letras. No caso foi
selecionado o número 3, o que corresponde a quantidade letras a se
avançar e a serem substituídas no alfabeto. Observe que no caso a
letra “a” será trocada por “d”, “b” por “e”.

4. No passo 4, incluímos a palavra “CRIPTO”

5. E clicamos em Encrypt.

6. Será criptografada e gerada abaixo a palavra correspondente

“FULSWR”.

Teste outros exemplos de algoritmos criptográficos e selecione mais

posições a serem avançadas no alfabeto.

Outro exemplo de algoritmo de criptografia é a que utiliza funções hash.

Funções de hash são utilizadas para verificação da integridade. Estes
algoritmos realizam um cálculo matemático nas mensagens ou nos
documentos. O receptor recebe a mensagem juntamente com o hash e
utiliza o mesmo algoritmo para calcular o hash da mensagem recebida.
O hash recebido e o hash calculado devem ser comparados, e devem ser
iguais, o que garante a integridade da mensagem ou do documento. Alguns
exemplos de funções de hash são o MD5 e a família SHA (SHA-1, SHA-
256 e SHA-512). É importante ressaltar que o MD5 e o SHA-1 não devem
mais ser utilizados na prática, pois são susceptíveis a ataques de colisão.
Neste ataque, mensagens diferentes podem gerar o mesmo hash,
impossibilitando a validação da integridade.
Você pode testar exemplos de funções hash na ferramenta Online
Cryptography Tools, disponível em: https://bit.ly/3e4KXSM. Acesso em: 2
nov. 2020.
O exemplo a seguir ilustra a saída para o algoritmo SHA-256 utilizando
também a ferramenta Online Cryptography Tools.

SHA-256
PROTOCOLOS QUE USAM CRIPTOGRAFIA
 TLS é o protocolo padrão da internet atualmente, em substituição ao
SSL, que possui muitas falhas de segurança.

 HTTPS é o uso do HTTP protegido por TLS/SSL.

 VPN é um túnel virtual nos moldes do TLS, para comunicação

remota ou entre empresas que se comunicam por uma rede pública e
não confiável.

 IPSec é um dos protocolos mais utilizados por VPNs.

A criptografia tem um papel importante para a proteção de dados

armazenados, ainda mais em um mundo em que as informações estão
distribuídas em datacenters de empresas, dispositivos de usuários e nuvem.

CW2

CULTURA DE SEGURANÇA
Nesta webaula vamos ver tópicos importantes de segurança no
desenvolvimento de software, tanto para quem vai seguir na carreira na
área de segurança, como também na de desenvolvimento de software.

ATAQUES CIBERNÉTICOS
Os ataques cibernéticos acontecem com exploração de vulnerabilidades. E
vulnerabilidades podem existir em protocolos, algoritmos e softwares em
geral.

O objetivo é desenvolver softwares robustos e seguros, que não sejam

explorados em ataques.

O momento em que as vulnerabilidades são encontradas e corrigidas é

importante. Caso a reparação seja feita durante a codificação, o custo
médio é de US$ 25 por falha. Já quando a reparação é feita no último
estágio, quando o software está em produção, o custo médio é de US$
16.000 por falha, ou seja, 640 vezes maior se comparado com um trabalho
de reparação rápida. Estes valores não consideram ainda impactos de
reputação ou outros operacionais, como os de suporte para atualizações de
software em produção após a descoberta de vulnerabilidade sendo
explorada em massa em todo o mundo.

CICLO DE VIDA DE DESENVOLVIMENTO SEGURO

Há um conjunto de práticas de ciclo de vida de desenvolvimento seguro. O
ciclo de desenvolvimento possui estas etapas básicas: treinamento,
requisitos, concepção, implementação, verificação, lançamento e resposta.
A codificação é apenas uma destas etapas.

Neste ciclo de vida, o desenvolvimento seguro possui práticas importantes.

Veja a seguir alguns exemplos:

 Prover treinamento
 Definir requisitos de segurança
 Definir métricas e relatórios de conformidade
 Executar modelagem de ameaças
 Estabelecer requisitos de design
 Definir e usar padrões de criptografia
 Gerenciar e usar padrões de segurança no uso de componentes de terceiros
 Utilizar ferramentas aprovadas
 Executar análise estática ou Static Analysis Security Testing (SAST)
 Executar análise dinâmica ou Dynamic Analysis Security Testing (DAST)
 Executar testes de penetração ou pentests
 Estabelecer um processo padrão de resposta a incidentes
PRINCIPAIS VULNERABILIDADES DO OWASP
Veja a seguir as principais vulnerabilidades de acordo com o TOP 10
do OWASP (2020) que devem ser conhecidas e evitadas no
desenvolvimento de sistemas.

 FALHAS DE INJEÇÃO
Como no SQL, NoSQL, sistema operacional e LDAP, dados não confiáveis
são enviados como parte de um comando ou consulta.

 AUTENTICAÇÃO QUEBRADA
Incluindo o gerenciamento das sessões, que possibilita o acesso a senhas,
credenciais de acesso ou sessões.

 EXPOSIÇÃO DE DADOS SENSÍVEIS

Que podem vazar durante a transmissão e armazenamento.

 XML External Entities (XXE)

Em que há o acesso a entidades externas por documentos XML mal
configurados, o que abre um leque de possibilidades de ataques.

 CONTROLE DE ACESSO QUEBRADO

Com falha nas restrições de privilégios e possibilitam acessos
desnecessários.

 MÁ CONFIGURAÇÃO DE SEGURANÇA
Que fornece informações que podem ser utilizadas em ataques, e abrem
acessos a informações e funções que não deveriam.

 CROSS-SITE SCRIPTING XSS

Que possibilita a execução de códigos diretamente no navegador da vítima,
devido à falta de validações dos dados processados.

 DESSERIALIZAÇÃO INSEGURA
Que pode resultar em ataques que incluem ataques replay, ataques de
injeção, escalada de privilégios e execução de código remoto.

 USO DE COMPONENTES COM VULNERABILIDADES

CONHECIDAS
Incluindo bibliotecas, frameworks e outros módulos de software que têm os
mesmos privilégios da aplicação.

 REGISTRO E MONITORAMENTO INSUFICIENTE

Que dificulta a detecção e resposta a incidentes de segurança.

SAIBA MAIS
Um conceito importante no desenvolvimento de sistemas é o DevSecOps.
No modelo shift-left da esteira de desenvolvimento, considerando os custos
de correção de softwares, o objetivo é fazer os testes e as validações de
segurança desde o início do desenvolvimento. No DevSecOps, há o
empoderamento dos desenvolvedores, que passam a fazer, junto com a
equipe de segurança e utilizando ferramentas de segurança, os testes e
validações de segurança em todas as etapas do desenvolvimento. O
DevSecOps é importante no modelo de desenvolvimento atual, que adota
metodologia ágeis e necessita seguir as práticas de segurança que vai do
treinamento ao processo de resposta a incidentes.

Apesar do constante surgimento de novas tecnologias de segurança, ainda

há muitas ameaças que precisam ser tratadas. Portanto, o fortalecimento da
cultura de segurança e privacidade depende de um conjunto de elementos, a
política de segurança e privacidade, o treinamento, a conscientização e a
participação ativa da alta administração. Parte inferior do formulário

ARMAZENAMENTO DE DADOS
Nesta webaula vamos ver os estados dos dados e os locais em que eles
existem, para que se possa definir e implementar a melhor estratégia de
segurança.

SEGURANÇA DE DADOS

 Dados são registros que servem como matéria-prima para a

construção da informação e do conhecimento, por meio da análise,
manipulação e processamento de dados. Exemplos: dados pessoais,
tais como nome, CPF, endereço.
 Informação são os dados processados sobre algo ou alguém, e o
conhecimento é um conjunto de informações úteis que foram
adquiridas por meio de aprendizados e experiência (ZEFERINO,
2018).

A segurança de dados anda de mãos dadas com a segurança da informação.

Eles existem em meio físico, em meio digital e com as pessoas. E fluem
constantemente, sob a forma de transmissão, sendo processados ou estando
armazenados.
  Exemplo: documento confidencial sendo enviado pelos correios,
executivos conversando sobre um projeto estratégico em um voo
comercial, dados/informação migrando da empresa para um
provedor de nuvem, e depois de um provedor de nuvem para outro.

ESTADOS DOS DADOS

Dados existem em diferentes estados:

Em processamento
ou
Data-In-Use (DIU)
Em transmissão
ou
Data-In-Motion (DIM)
Em armazenamento
ou
Data-At-Rest (DAR)
Cada um destes estados apresenta riscos e precisa de segurança da
informação e privacidade.

Segurança no dado e no ativo físico ou lógico relacionado a ele

FLUXO DA CLASSIFICAÇÃO DA INFORMAÇÃO

A informação precisa ser classificada, de acordo com o fluxo que se inicia
na criação.

 Exemplo de classificação de informação: pública, interna,

confidencial, secreta.
Quem classifica a informação? O seu proprietário, que cria a informação.

CICLO DE VIDA E TRATAMENTO DOS DADOS/INFORMAÇÃO

Os dados/informação possuem um ciclo de vida desde a sua criação à
destruição. Cada etapa deste ciclo de vida é importante para a segurança e
privacidade.

CONTROLES DE SEGURANÇA
Os principais controles de segurança no contexto do armazenamento de
dados: criptografia, gestão de identidades e controle de acesso (físico e
lógico), logs/registros de acesso.

A criptografia de dados é um dos principais controles de segurança que

podem ser utilizados pelas empresas. A criptografia funciona com as
chaves criptográficas. Você pode proteger os dados utilizando a
criptografia, mas tem que pensar como será o gerenciamento das chaves, e
precisa saber dos aspectos envolvidos, que estão em forma de perguntas:

 Cada usuário terá sua própria chave criptográfica para proteger seus
dados? E se ele esquecer ou perder a chave, como sua empresa
atuará?
 Você usará chave criptográfica na sua aplicação, que fará a
criptografia dos dados antes de serem armazenados no banco de
dados? E onde estará esta chave, na própria aplicação? E no caso de
um comprometimento desta chave, como você fará a atualização?
 Ou você utilizará a criptografia do banco de dados? Quem terá
acesso a esta chave? E o provedor de nuvem? O que você fará em
caso de comprometimento desta chave?

Vimos que a proteção dos dados é cada vez mais importante para você,
como cidadão, porque precisa ter a sua privacidade preservada e a LGPD
cumprida pelas empresas com as quais você se relaciona. E como
profissional, porque as empresas precisam adequar seus sistemas e
processos para proteger os dados e as informações, incluindo as
confidenciais e sigilosas, sem deixar de lado as pessoas, já que a segurança
e privacidade é de responsabilidade de todos.

ANÁLISE DE VULNERABILIDADE E PENTEST

Nesta webaula vamos reforçar a importância dos testes de segurança, que
são parte importante da gestão de segurança da informação e focam nas
vulnerabilidades, as quais são consideradas um dos elementos do risco.

VULNERABILIDADES

 O objetivo da segurança é de preservar a confidencialidade,

integridade e disponibilidade da informação.
Esse objetivo só é possível com o entendimento dos riscos de segurança da
informação, que avalia o ambiente e busca a implementação de controles
de segurança para tratar as vulnerabilidades dos ativos.

Controles de segurança para tratar vulnerabilidades

As vulnerabilidades existem nos ativos e são exploradas por agentes de

ameaças com o uso de técnicas de ataques. Quando isso acontece, uma
ameaça se torna um incidente de segurança, o que resulta em impactos para
a empresa. E o cálculo da probabilidade de isso ocorrer com o impacto é o
risco, que é algo que pode ou não acontecer.
 Ativos possuem vulnerabilidades, que podem ser exploradas

Tratar as vulnerabilidades é a principal forma de diminuir os riscos.

As vulnerabilidades precisam ser identificadas nos diferentes ativos de um
ambiente para serem tratadas.

TESTES DE SEGURANÇA
Há testes de segurança diferentes que visam a identificação das
vulnerabilidades.

O que diferencia um tipo de teste de outro é a visão de onde ele é realizado

(interno ou externo) e o tipo de informação que o profissional de segurança
tem para a realização dos testes. A seguir vamos conhecer um pouco mais
os teste de segurança interno e externo.

INTERNO
O teste de segurança a partir do ambiente interno normalmente é feito em
empresas que desenvolvem software e é conhecido como Análise de
vulnerabilidades.

 A análise de vulnerabilidades estática ou Static Analysis Security

Testing (SAST) é uma análise de código-fonte.

 Já a análise de vulnerabilidades dinâmica ou Dynamic Analysis

Security Testing (DAST) é uma análise com o software em execução,
em tempo real.

EXTERNO
As análises de código-fonte, realizadas no Static Analysis Security
Testing (SAST) podem ser feitas com o uso de ferramentas ou
manualmente. As ferramentas conseguem identificar erros no código, mas
dificilmente conseguem identificar falhas na especificação e na lógica.
O teste de caixa preta pode também ter algumas limitações na identificação
de vulnerabilidades.

Exemplo: uso de um mecanismo criptográfico para autenticar um usuário

de diferentes sites. Neste exemplo, um usuário autenticado no site A pode
visitar o site B automaticamente. Nesta implementação, a validação é feita
com o uso de um hash do nome de usuário e data, que é enviado ao site B
pelo site A e pelo usuário. O site B pode então comparar o hash para
validar o usuário. O problema de segurança é que, uma vez descoberto o
funcionamento, qualquer agente de ameaça que captura o hash pode chegar
ao site B. O teste de caixa preta enxerga o hash, sem saber a sua função, de
uma forma direta, que só pode ser identificada com uma análise de código.
Menos vulnerabilidades significam menos chances de exploração dos
ativos da empresa, ou seja, menos incidentes de segurança.

Controles gerais de auditoria de sistemas

CONTROLES DE AUDITORIA
Os controles de auditoria podem ser de diferentes naturezas. Veja a seguir
os tipos de controles e alguns exemplos.

Tecnológico, técnico ou lógico

 Firewall
 VPN
 ...

Processual, administrativo, operacional

 Atualização periódica de sistema operacional

 Comunicação de incidentes de segurança

Físico

 Sistema de supressão de incêndio

 Circuito fechado de TV

A definição de controles é feita a partir de uma avaliação de riscos, que

levam em consideração os requisitos de segurança e privacidade derivados
de leis, ordens executivas, diretrizes, regulações, políticas, padrões e
necessidades de missão para assegurar a confidencialidade, integridade e
disponibilidade das informações processadas, armazenadas e transmitidas.

Uma vez implantado o controle, é preciso verificar a eficiência e eficácia

do controle, que deve estar cumprindo o seu papel.

A auditoria visa garantir que os controles sejam adequados, tanto na

definição quanto na implantação.

O auditor precisa ter conhecimentos e competência técnica para verificar os

controles. É preciso conhecer as principais normas e frameworks utilizados
para a definição de controles.

Um deles é o NIST Cybersecurity Framework, que define os controles para

a identificação, proteção, detecção, resposta e recuperação.

COBIT
O Control Objectives for Information and Related Technology (COBIT) é
um framework de governança de TI que trata de uma visão organizacional,
que tem relação com a segurança e privacidade.

 Avaliar, direcionar e monitora ou evaluate, direct and

monitor (EDM). Ex.: garantir a definição e manutenção do
framework de governança (EDM01) e garantir a otimização do risco
(EDM04)

 Alinhar, planejar e organizar ou align, plan and organize (APO).

Ex.: gerenciar a arquitetura corporativa (APO03), gerenciar riscos
(APO12) e gerenciar segurança (APO13)

 Construir, adquirir e implementar ou build, acquire and

implement (BAI). Ex.: gerenciar disponibilidade e capacidade
 (BAI04), gerenciar mudanças de TI (BAI06), gerenciar ativos
(BAI09) e gerenciar configuração (BAI10)

 Entregar serviço e suporte ou deliver, service and support (DSS).

Ex.: gerenciar operações (DSS01), gerenciar requisição de serviços e
incidentes (DSS02), gerenciar continuidade (DSS04) e gerenciar
serviços de segurança (DSS05)

 Monitorar, verificar e avaliar ou monitor evaluate and asses (MEA).

Ex. gerenciar monitoramento de desempenho e conformidade
(MEA01), gerenciar sistema de controle interno (MEA02) e
gerenciar garantia (assurance) (MEA04)

ITIL
O Information Technology Infrastructure Library (ITIL) provê um
conjunto de melhores práticas que visa auxiliar as empresas a entregar e
suportar serviços de TI, composto por 34 práticas de gerenciamento. Veja
as a seguir:

Práticas de gerenciamento geral

 Gerenciamento de estratégia
 Gerenciamento financeiro de serviços
 Mensuração e reporte
 Gerenciamento de conhecimento
 Gerenciamento de relacionamentos
 Gerenciamento de portfólio
 Gerenciamento de força de trabalho e talento
 Gerenciamento de riscos
 Gerenciamento de mudança organizacional
 Gerenciamento de fornecedores
 Gerenciamento de arquitetura
 Melhoria contínua
 Gerenciamento de segurança da informação
 Gerenciamento de projetos

Práticas de gerenciamento de serviço

 Análise de negócio
  Gerenciamento de nível de serviços
 Gerenciamento de continuidade de serviços
 Gerenciamento de incidentes
 Gerenciamento de lançamento
 Gerenciamento de configuração de serviços
 Gerenciamento de catálogos de serviços
 Gerenciamento de disponibilidade
 Gerenciamento de monitoramento e eventos
 Gerenciamento de requisição de serviços
 Habilitação de mudanças
 Gerenciamento de ativos de TI
 Design de serviço
 Gerenciamento de capacidade e desempenho
 Service desk
 Gerenciamento de problemas
 Validação e teste de serviços

Práticas de gerenciamento técnico

 Gerenciamento de implantação
 Gerenciamento de infraestrutura e plataforma
 Gerenciamento e desenvolvimento de software

NBR ISO/IEC 27002

A norma ABNT NBR ISO/IEC 27002 provê um conjunto de objetivos de
controles:

 Políticas de segurança da informação

 Organização da segurança da informação

 Segurança em recursos humanos

 Gestão de ativos

 Controle de Acesso

 Criptografia
  Segurança física e do ambiente

 Segurança nas operações

 Segurança nas comunicações

 Aquisição, desenvolvimento e manutenção de sistemas

 Relacionamento na cadeia de suprimentos

 Gestão de incidentes de segurança da informação

 Aspectos de segurança da informação na gestão de continuidade do

negócio

 Conformidade

Os controles podem ter naturezas diferentes, como técnicos ou lógicos;

administrativos, processuais ou operacionais; ou físicos. Os objetivos são
muitos e dependem dos riscos identificados e avaliados. A verificação da
eficiência e eficácia dos controles é feita pela auditoria, que tem papel
importante para a segurança das empresas e para a conformidade
regulatória e legal.

Técnicas e ferramentas para auditoria de

sistemas

Nesta webaula vamos apresentar as principais técnicas e ferramentas

utilizadas em auditoria de segurança da informação.

AUDITORIA
A auditoria é uma inspeção e verificação formal para validar eficiência e
eficácia, verificar conformidade com padrões ou normas, e se os registros
estão corretos.
Em uma auditoria de segurança da informação, é preciso verificar se os
riscos foram identificados, se os controles necessários foram definidos e se
os controles necessários foram implantados adequadamente.

TÉCNICAS E FERRAMENTAS PARA AUDITORIA

Quais técnicas e ferramentas utilizar?

As técnicas e ferramentas envolvem:

Interação com as pessoas.

Análises manuais

Análises técnicas com ferramentas.

Exemplos de técnicas e ferramentas para auditoria de segurança:

 Análise das políticas, processos e procedimentos de segurança e

privacidade.

 Entrevistas com todas as áreas da empresa para percepção sobre se a

política de segurança é de conhecimento organizacional e se está
sendo seguida.

 Visita ao data center para analisar a segurança física.

 Análise de configuração do firewall.

 Análise do fluxo para gestão de identidades.

 Pentest para identificar vulnerabilidades do ambiente.

 Análise de logs do banco de dados.

 Análise dos relatórios do IDS/IPS.

 Análise dos antivírus.

 Análise de código do sistema corporativo.

 Teste de phishing.

ISO 27001
ABNT NBR ISO/IEC 27001 é uma norma para sistema de gestão de
segurança da informação (SGSI). Uma empresa pode ser certificada na ISO
27001 e o auditor deve avaliar o SGSI.
Para a auditoria ISO 27001, uma técnica importante é a declaração de
aplicabilidade. Ela declara quais controles de segurança são aplicáveis para
a empresa, com base nos riscos específicos do ambiente e do escopo que
está sendo auditado.

SAIBA MAIS
Uma auditoria de segurança engloba um conjunto de elementos, como as
configurações dos sistemas operacionais, compartilhamentos de redes,
aplicações e acessos, a validação de processos e do nível de maturidade em
segurança dos usuários. Alguns assuntos que são normalmente alvos de
auditoria são:

Proteção de e-mail, principalmente contra phishing e filtros de spam.

Senhas de usuários, para verificar se estão de acordo com a política de

senha da empresa.

Gerenciamento de usuários, para verificar se há contas ativas que não

deveriam, como de ex-funcionários.

Backups, para verificar se é feito e se está íntegro.

Acesso físico, para evitar acessos indevidos de pessoas não autorizadas.

Atualização de software, para verificar se os sistemas estão em versões

livres de vulnerabilidades.

Vulnerabilidades, para identificar pontos fracos que podem ser

explorados em ataques.

Os procedimentos, técnicas e ferramentas para auditoria são utilizados para

obter dados e informações e para analisar e validar as evidências e os
controles existentes. Além disso, são utilizados para organizar os
resultados. O conhecimento e a competência técnica do auditor são
essenciais para definir procedimentos, técnicas e ferramentas na fase de
planejamento da auditoria, e para utilizá-los no trabalho em campo.

Pesquise mais
Pesquise mais