Exin ISO 27002 - SEC201

A Criptografia simétrica é a mais antiga das formas de criptografia. Tambémconhecida como criptografia de chave compartilhada ou de chave secreta,possui dois elementos fundamentais: um algoritmo e uma chave que deve sercompartilhada entre os participantes na comunicação, daí o nome de simétri-ca ou de chave compartilhada. Na criptografia simétrica, a mesma chave éusada para codificar e decodificar as mensagens.O Conhecimento do algoritmo a empregado não interfere na segurança dosistema, uma vez que esta segurança vem do algoritmo em si, mas principal-mente do sigilo da chave utilizada.Para que um algoritmo possa ser considerado seguro, a única forma de se ob-ter o texto original a partir do texto cifrado, sem o conhecimento prévio dachave, é tentar todas as combinações de chaves possíveis, o que chamamos deataque de força bruta. 201

Um hash é um número único gerado através de um algoritmo de mão única,ou seja, através de uma entrada qualquer (arquivo, senha, etc) geramos seuresumo (hash), mas através do hash não se recompõe o arquivo que o ge-rou.Este método é muito utilizado para verificar se arquivo e senhas estão ínte-gros, sua utilização mais comum é em senhas e assinaturas digitais. Emsistemas como Windows e Unix, ao invés de se armazenar a senha do usu-ário, estes sistemas fazem um hash destas senhas e os armazena em seusbancos de dados. Quando o sistema precisa validar se a senha que um usuá-rio inserir para acessar o sistema é verdadeira, ele passa a senha digitadapelo mesmo algoritmo e verifica se o resultado foi o mesmo que o armaze-nado em seu banco de dadosFunções de hash baseados em criptografia forte podem ser utilizados paraproteger dados críticos, como o número de cartões de crédito, desde quesejam aplicadas ao numero como um todo. 202

As funções hash, tomam como entrada uma mensagem qualquer e geram co-mo saída o que chamamos de “mensagem digerida” (message digest), em umtamanho fixo de bits (128, 160, 256, etc). Essas funções não são desenhadospara que os dados possam ser decriptados, e são utilizados simplesmentepara verificar se um determinado dado é válido.Existem ataques de força bruta (tentativa e erro) para se conseguir um valorque obtenha um hash idêntico ao hash de outro valor que não conhecemos(na maioria dos casos é mesmo valor). Se o atacante tiver uma versão trunca-da deste valor a ser descoberto este trabalho se torna relativamente fácil, poisdiminui consideravelmente as possibilidades.\As principais funções de Hash em uso na atualidade são: o MD5, SHA1 eSHA2 (SHA 192 e SHA 256) 203

O Conceito de chaves assimétricas nasceu oficialmente com os trabalhos deWhitfield Diffie e Martin Hellman, no início da década de 1970. A propostaera a de criar operações criptográficas que dependessem de duas chaves ma-tematicamente relacionadas: uma pública e outra privada. Este sistema,também chamado de criptografia de chave pública, veio a resolver dois dosgrandes problemas existentes com as cifras simétricas: troca segura de cha-ves e escalabilidade.Samuel, o especialista de infraestrutura da Evolveris é um entusiasta emcriptografia. Ele é o responsável pela implantação da ICP (Infraestrutura deChaves Públicas) da Evolveris, e a única foto em sua baia é a de sua conversacom Whitfield Diffie na Defcon. 204

Na criptografia assimétrica uma chave é capaz de abrir o que a outra chavecriptografou, mas nunca o que ela mesmo criptografou. Utilizamos a cripto-grafia com chave pública para garantir confidencialidade, e com chave pri-vada para garantir autenticidade, que é um dos componentes da integrida-de.No exemplo acima, Samuel precisa enviar uma mensagem confidencial paraHilda. Para que isso seja possível, ele solicita a chave pública de Hilda, crip-tografa a mensagem com ela, e a envia tranquilamente por um meio insegu-ro.Como vimos, uma chave não abre o que ela mesmo criptografou. Se alguéminterceptou a comunicação de Samuel e Hilda, ele interceptou a chave pú-blica, mas ela é inútil para abrir o conteúdo. Somente a chave privada abriráo conteúdo criptografado com a chave pública, e vice-versa. 205

As autoridades certificadoras (AC’s) agem como cartórios digitais, reco-lhendo, através de suas AR’s (autoridades de registro) a documentação dasentidades para as quais os certificados serão emitidos, e criando um certifi-cado digital que associa a entidade a um par de chaves.As AC’s emitem os certificados digitais a partir de uma política estabeleci-da, assim como alguns órgãos emitem carteira de identidade, carteira demotorista, reconhecimento de firma, etc. Elas possuem uma cadeia de certi-ficação que garantem a identidade da entidade, através de uma rígida políti-ca de segurança, e por isso são consideradas um terceiro confiável.As AC’s utilizam-se de repositórios de certificados, sistemas de dire-tórios baseados em LDAP (Lightweight Directory Access Protocol)amplamente difundidos pelas tecnologias Novell NDS e Microsoft 206

Active Directory, que armazenam e disponibilizam informações pú-blicas sobre os certificados digitais emitidos por uma AutoridadeCertificadora. 207

Um certificado digital é um arquivo de computador que contém umconjunto de informações referentes a entidade para o qual o certifica-do foi emitido (seja uma empresa, pessoa física ou computador) maisa chave pública referente a chave privada que acredita-se ser de posseunicamente da entidade (usuário, servidor, fabricante, etc) especifi-cada no certificadoCertificados Digitais são usados para ligar uma entidade a uma chavepública. através do uso de hash e criptografia assimétrica. Para quepossa ser confiável o certificado é assinado pela Autoridade Certifica-dora (AC) que o emitiu dentro de uma Infraestrutura de Chaves Pú-blicas (ICP). 208

Um certificado contém informações sobre seu proprietário e a suachave pública, que é par de uma chave privada mantida pelo usuário.As assinaturas contidas em um certificado são atestamentos feitospor uma entidade que diz confiar nos dados contidos naquele certifi-cado.O certificado é um arquivo de computador inviolável utilizado porusuário, servidores e até mesmo por uma CA (Certified Autority);Um certificado padrão X.509 contém os seguintes campos: • Versão - Contem a versão do certificado X.509, atualmente ver- são 3 • Número serial - Todo certificado possui um, não é globalmente único, mas único no âmbito de uma AC, ac LCRs usam o serial para apontar quais certificados se encontram revogados • Tipo de algoritmo - Contem um identificador do algoritmo criptográfico usado pela AC para assinar o certificado junta- mente com o tipo de função de hash criptográfica usada no cer- tificado • Nome do titular - Nome da entidade para o qual o certificado foi emitido • Nome do emitente - Autoridade Certificadora que emitiu/ assinou o certificado 209

• Período de validade - Mostra o período de validade do certifica- do no formato \"Não antes\" e \"Não depois\" (Ex. \"Não antes de 05/03/2006 - 14:35:02\" \"Não depois de 05/03/2007 - 14:03:20\") • Informações de chave pública da entidade • Algoritmo de chave pública • Chave pública • Assinatura da AC - A garantia que a AC provê sobre a veracida- de das informações contidas neste certificado de acordo com as políticas da AC • Identificador da chave do titular - É uma extensão do X.509 que possui um identificador numérico para a chave pública contida neste certificado, especialmente útil para que programas de computador possam se referir a ela210

• Identificador da chave do emitente - A mesma ideia menciona- da anteriormente, só que se referindo a chave pública da AC que emitiu o certificado• Atributos ou extensões - A vasta maioria dos certificados X.509 possui campos chamados extensões (OID) que proveêm algu- mas informações extras, como cadastros adicionais do titular e do emitente, especificações de propósito do certificado e etc. 211

O conceito de infraestrutura significa um somatório de tecnologias pa-ra garantir segurança, onde, trata-se de uma solução conjunta dehardware, software e protocolos, através da distribuição e gerencia-mento de chaves e certificados digitais.Apesar das CAs auxiliarem na comprovação da identidade do dono deuma chave pública através dos certificados digitais, ainda existe a ne-cessidade de disponibilizar os certificados, e revogar outros certifica-dos em caso de perda, comprometimento ou desligamento de um fun-cionário.Estas situações, e muitas outras, não podem ser resolvidas apenascom cálculos matemáticos ou tecnologia. É preciso toda uma gama deserviços associados aos certificados digitais e uma série de procedi- 212

mentos de segurança física e lógica para prover um ambiente seguropara seu uso.Esta estrutura é chamada de Infraestrutura de Chaves Públicas ou ICP(Public Key Infrastructure – PKI). Ela existe para garantir que os pas-sos anteriores aos da geração do certificado serão fidedignos, trazendopara os certificados somente informações autenticas sobre seus pro-prietários.A infraestrutura de chaves públicas (ICP) consiste em um conjunto desoftware, hardware, pessoas, políticas e procedimentos que são utili-zados para criar, gerenciar, manter, distribuir e revogar certificadosdigitais.As ICP’s implementam recursos de segurança para aplicações garan-tindo autenticação segura para o ambiente de negócios eletrônicos.Os repositórios respondem a um grande número de consultas e poresse motivo necessitam de alta performance e escalabilidade. 213

No exemplo acima, Allan envia um documento jurídico para Olívia, e a mes-ma, por ser advogada, necessita de uma garantia de que o documento enviadopor Allan é o mesmo que ela utilizará.Para garantir a integridade do documento, Allan envia também um Hash dodocumento enviado, para que ela calcule o Hash do documento recebido ecertifique-se que o documento que ela acaba de receber contém exatamenteos mesmos bits do arquivo enviado..No exemplo acima, não fica especificado se o hash foi enviado através domesmo canal de comunicação ou através de um canal separado, que aumentaa segurança da operação mas pode também estar comprometido.Se alguém interceptar o arquivo e alterar os dados, ele poderá alterar o texto,gerar um novo hash e enviar um hash alterado para Olívia. Por esse motivo é 214

necessário um canal seguro para envio do hash, para se ter certeza da identi-dade do emissor 215

A assinatura digital é um código, criado através de um algarismo de hash eum algoritmo de chave pública, com a finalidade de verificar se a informaçãodigital foi produzida por quem o emissor da mensagem diz ser, além de veri-ficar a integridade de um texto ou mensagem.A assinatura digital pode ser comparada a assinatura escrita, já tendo sidotratada em legislação específica e aceita em todo o poder judiciário. No Bra-sil, o próprio poder judiciário se tornou um grande usuário de processos eassinatura digital.Nos algoritmos de chaves públicas, as ações realizadas com uma das chavessomente pode ser desfeita com a outra. Assim, usamos uma chave privada,para assinarmos digitalmente uma mensagem, e um pública para conferi-la 216

No exemplo acima a operação utilizada para verificar a integridade de umarquivo se repete, mas dessa vez Allan utiliza uma chave privada para cripto-grafar o hash, antes de anexá-lo ao texto e enviá-lo a Olívia.Olívia adquire a chave pública de Allan na ICP da Evolveris e abre a mensa-gem criptografada pela chave privada. O sucesso da operação indica que ohash enviado foi criptografado pela chave pública de Allan, mas ainda nãoatesta a integridade do texto.Ao comparar o hash extraído com a chave pública de Allan com o hash ane-xado ao texto Olívia certifica-se que o texto está íntegro. 217

O Termo VPN refere-se à construção de uma rede privada utilizando redespúblicas (por exemplo, a Internet ou a telefonia fixa e celular) como infraes-trutura. Estes sistemas utilizam criptografia e outros mecanismos de segu-rança para garantir que somente usuários autorizados possam ter acesso arede privada e que nenhum dado será interceptado enquanto estiver passan-do pela rede pública.A ISO 27002 indica que a proteção requerida deve ser proporcional com orisco de se trabalhar de forma móvel ou remota, como sempre baseando-senuma análise de riscos.A proteção deve fazer parte da cultura de todos os colaboradores da organi-zação. Em diversas situações os colaboradores recebem acesso remoto para oambiente corporativo de suas residências, hotéis etc. Essas pessoas precisamentender as implicações de se estender a rede até onde ela está, e a necessi-dade de realizar esse acesso de um ponto seguro, pois a partir do momento 218

que um computador entra em uma VPN, ele passa a integrar a rede da empre-sa, mesmo que estando a milhares de quilômetros dela.É importante que as práticas de segurança façam parte do dia-a-dia das pes-soas de maneira a garantir que o ambiente não será exposto pela falta de con-troles e proteções adotados em ambientes externos à organização.Todos os dados sensíveis da Evolveris trafegam através de algum tipo de redepúblicas são transmitidos através de um túnel, seja ele constituído por SSL/TLS, IPSec ou SSH), desde que os parâmetros de configuração dos protocolosde criptografia, e as autoridades certificadoras tenham sido homologadospela equipe de segurança. 219

220

Uma vez que a correção é publicada inicia-se o período de homologa-ção por parte do usuário, que pode levar de horas a dias. Os últimosestudos mostram que os vírus baseados em zero-days ou em correçõesrecém lançadas tem tido uma penetração maior em empresas do queem usuários domésticos, porque estes contam com um serviço de atu-alização automática, e as organizações perdem um tempo valioso emseu processo de homologação, que apesar de importante deve ser tra-tado com prioridade para que essa não fique exposta a ameaças du-rante muito tempo. 221

O Estudo acima mostra o tempo decorrido entre o lançamento de uma cor-reção e o lançamento de um vírus baseado na mesma.A diminuição desse tempo demonstra a urgência das empresas de tornaremseus processos de homologação mais ágeis, e de maior prioridade dentro desua rotina de TI.Os vírus mais recentes, como o conficker, vem explorando vulnerabilidadesainda não conhecidas pelo fabricante “0-days”, fazendo com que os malwa-res sejam lançados antes da correção. Estudos da Microsoft apontam paraum nível de infecção maior nas empresas do que nas residências, o que com-prova a urgência de se aplicar as atualizações de segurança. 222

Uma das principais solicitações dos administradores de TI preocupa-dos com a estabilidade dos sistemas é a de redução dos privilégios dosusuários comuns, para evitar que estes “poderes” sejam utilizadoscontra eles mesmos e contra as organizações onde eles trabalham.Algumas características do privilégio mínimo são: • O Usuário tem mínimo acesso necessário aos recursos do siste- ma para realizar sua função • A Aplicação é executada somente com os privilégios necessários para seu perfeito funcionamento • Reduz oportunidade de elevar privilégios • Requer desenvolvimento e teste como usuário comum 223

O Common Criteria (ISO 15408), estabeleceu 7 níveis de avaliação Evalua-tion Assurance Level (EAL) correspondentes ao nível de garantia atribuídaao produto. A maioria destas avaliações envolvem a documentação do proje-to, a análise do projeto, testar funcionalmente, ou testar a penetração.São sete níveis de garantia onde cada um corresponde a um pacote de exi-gências, o Nível 1 que é o mais básico (e conseqüentemente mais barato deexecutar e avaliar) e o Nível 7 que é o mais exigente (e mais caro), mas nãonecessariamente o mais seguro.EAL1: Testado funcionalmente • As funcionalidades de segurança são testadas no produto pronto e sem acesso maior ao desenvolvedor ou ao código fonte.EAL2: Testado funcionalmente e estruturalmente • Requerem um baixo nível de segurança. • Busca no desenvolvimento do produto vulnerabilidades óbvias.EAL3: Testado e verificado metodicamente • O desenvolvedor deve mostrar mais sobre o processo de desenvolvi- mento, gerenciamento de configuração, e alguns dos resultados de testes do desenvolvedor devem ser verificados independentemente.EAL4: Projetado, testado e revisto metodicamente224

225

Para assegurar que os dados críticos possam ser acessados somente por umaequipe autorizada, os sistemas e processos devem estar implementados paralimitar o acesso com base na necessidade de divulgação e de acordo com asresponsabilidades da função.O acesso aos dados críticos é atribuído através do “need to know” do negó-cio, ou seja, a necessidade que cada um possui de conhecer determinada in-formação para poder executar suas tarefas.Na Evolveris, os direitos de acesso são concedidos somente ao menor núme-ro possível de dados e privilégios necessários para realizar um trabalho.Poucos são os administradores com direitos na rede, todos seus acessos sãomonitorados e registrados. 226

Um acordo de não divulgação (Non-Disclosure Agreement ou NDA em in-glês), é um contrato através do qual as partes concordam em não divulgarinformação coberta pelo acordo. Em alguns casos, o contrato pode estipularque a própria existência do NDA não seja divulgada. Um NDA cria um rela-cionamento confidencial entre as partes para proteger qualquer tipo de se-gredo comercial. Como tal, um NDA pode proteger informação comercialnão-pública.NDAs são geralmente assinados quando duas empresas ou indivíduos consi-deram a hipótese de fazer negócios conjuntamente e precisam entender oprocesso utilizado no negócio do outro apenas para o propósito de avaliar opotencial de um relacionamento comercial. NDAs podem ser \"mútuos\", signi-ficando que ambas as partes sofrem restrições no uso dos materiais providos,ou podem restringir somente uma das partes.É também possível que um empregado assine um NDA ou algo assemelhado(como um \"termo de confidencialidade\") no momento de sua contratação. 227

Mudanças no ambiente podem gerar mudanças nas necessidades deproteção de um determinado ativo, ou até mesmo nas configuraçõesde uma proteção ou mais proteções. Por esse motivo, torna-se neces-sário implementar um rígido controle de mudanças para sistemas ope-racionais e aplicativos, considerando os seguintes pontos: • identificação e registro das mudanças significativas; • planejamento e testes das mudanças; • avaliação dos impactos potenciais, incluindo impactos de segu- rança; • aprovação formal da mudança; • comunicação dos detalhes para todos os envolvidos; • procedimentos de recuperação 228

Devido aos riscos relacionados ao vazamento de dados através de novas tec-nologias de comunicação e armazenamento a Evolveris desenvolveu uma polí-tica de uso para dispositivos móveis e tecnologias de comunicação que con-templa o uso de dados corporativos em tecnologias críticas como Wireless,Smartphones, tablets, laptops, e-mails, mídias sociais, etc.As portas USB dos computadores da Evolveris são bloqueadas para usode dispositivos de armazenamento e um sistema de DLP (Data LossPrevention) foi instalado na organização para monitorar o fluxo dosdados e reforçar a política da empresa. 229

A Evolveris desenvolveu uma política de proteção da integridade das apli-cações e dados através de controles técnicos e conscientização, baseadanos itens 10.4 e 10.5 da ISO 27002:2005, onde se destacam as seguintesconsiderações: • política formal proibindo o uso de softwares não autorizados; • política formal para proteção contra os riscos associados com a im- portação de arquivos e softwares, seja de redes externas, ou por qualquer outro meio, indicando quais medidas preventivas devem ser adotadas; • análises críticas regulares dos softwares e dados dos sistemas que suportam processos críticos de negócio; convém que a presença de quaisquer arquivos não aprovados ou atualização não autorizada seja formalmente investigada; 230

• Instalação e atualização regular de softwares de detecção e remoção de códigos maliciosos para o exame de computadores e mídias magnéti- cas, de forma preventiva ou de forma rotineira; • criação de planos de continuidade do negócio adequados para a recu- peração em casos de ataques por códigos maliciosos; • criação de planos e metas de conscientizaçãoA Política da Evolveris trata também dos códigos móveis. De acordo com oiten 10.4.2 da ISO 27001, código móvel é um código transferido de um com-putador a outro executando automaticamente e realizando funções específi-cas com pequena ou nenhuma interação por parte do usuário.Além de garantir que os códigos móveis não carreguem códigos maliciosos, AEvolveris mantem um forte controle sobre os mesmos, para prevenir o usonão autorizado ou interrupção de sistemas, redes ou aplicativos, e prevenir-se contra violações de segurança da informação. 231

232

Os papeis e responsabilidades de todos os colaboradores (empregados, ter-ceiros e parceiros) relativos à segurança da informação precisam ser defini-dos e documentados, de acordo com a política de segurança da informaçãoadotada pela organização. • Os papeis e responsabilidades devem incluir: • Agir de acordo com a PSI da organização • Proteger os ativos contra acessos não autorizados • Executar determinados processos ou atividades de segurança • Garantir que a responsabilidade de ação é atribuída a indivíduos • Reportar eventos de segurança ou outros riscos à organização 233

Trata-se de um dos princípios mais conhecidos e mais importantes da segu-rança da informação, e prega a divisão de tarefas e permissões na organiza-ção, não concentrando o conhecimento em apenas uma pessoa e reduzindoo risco de fraudes, uma vez que seriam necessários dois ou mais colabora-dores trabalhando em conluio (ato de cooperação entre partes que come-tem um ato ilícito) para que essa se consumasse.A Segregação de funções é complementar aos conceitos de need-to-know eprivilégio mínimo, que pregam que os colaboradores somente precisam co-nhecer o suficiente para desempenhar suas tarefas, e que não necessitam demais permissões no sistema do que o necessário para executar essas tarefas. 234

Durante o processo de contratação, deve ser feita uma checagem das infor-mações apresentadas pelo candidato, e antes que lhe seja concedido qualqueracesso o mesmo deve assinar alguns termos. • Triagem (Screening): Referencias; Checagem de currículo; Confirma- ção de qualificações acadêmicas e certificações; Checagem de docu- mentação civil (passaporte, RG, etc); Registros criminais; Crédito (quando exigido) • Assinatura de termos de confidencialidade e responsabilidade • Definição de responsabilidades quanto à segurança • Responsabilidades podem continuar após o desligamento • Código de Conduta 235

A segurança é responsabilidade de todos dentro da organização. Nunca édemais repetir. Dois pontos fundamentais do sucesso de qualquer progra-ma de segurança são a conscientização e o treinamento dos seus usuários.As pessoas responsáveis pela segurança devem compartilhar os motivado-res por trás das medidas tomadas com todos na organização. Isso ajuda nadivisão da responsabilidade e coloca a segurança no mesmo nível de todos.A sensação de que a segurança é algo exterior à organização e aplicado porum departamento de poucos amigos é um dos caminhos mais fáceis para ofracasso a ineficiência.Aprender implica mudança de hábitos. O hábito é um dos produtos finaisda aprendizagem que, por sua vez, significa mudança de comportamento.Segundo Aristóteles, ele é de importância básica para a moralidade. Pode-se tratar a habituação distinguindo-a em adaptativa e estabilizadora. En-tende-se por adaptativa quando um indivíduo se acomoda a determinadas 236

circunstâncias ao ponto que a ausência delas se fará sentir como um trans-torno, e por estabilizadora quando o indivíduo estabiliza em si uma atitudedeterminada de tal modo que fique preferida e conservada.Devemos realizar as campanhas de conscientização com o conjunto de recur-sos que mais se adequar ao perfil das empresas (folders, mouse pads, screensaver, posters, etc), mas devemos lembrar que a campanha em Segurança daInformação não é apenas uma questão de endomarketing, mas também umprocesso de educação.Treinamento e Conscientização são umas das proteções de maior retornosobre o investimento e maior eficácia contra ameaças como Malwares e En-genharia Social. 237

As medidas de segurança precisam ser claramente definidas, e precisam departicipação universal, ou seja, todos os colaboradores devem respeitar oscontroles impostos e cumpri-los, do presidente ao menor cargo existente.A organização deve criar métricas para avaliar o nível de segurança de umprocesso ou ativo, e pós a implantação dos controles de segurança manter amonitoração para que possa avaliar a eficácia e eficiência dos controles.A organização precisa estabelecer e manter um processo formal para lidarcom as brechas de segurança. É importante que os suspeitos recebam umtratamento justo e igualitário, sem que sejam punidos antes de averiguada aculpa. 238

Ao término do contrato os colaboradores devem receber um tratamento ho-mogêneo e sistemático, para evitar o uso de recursos da organização após odesligamento. • Devolução de todos ativos da organização • Remoção de todos direitos de acesso • Mudanças devem ser tratadas como um término e um posterior reiní- cio na nova função • As responsabilidades pela execução do desligamento devem ser clara- mente definidas • As obrigações de confidencialidade devem ser relembradas no desliga- mento da empresa • Documentação do conhecimento do colaborador 239

240

A autenticação é a chave para o controle de acesso lógico e físico, e sedá através de um ou mais fatores dentre os três a seguir: • O que você sabe? – Nome de usuário e senha; • O que você tem? – Cartão, crachá, smartcard e tokens; • Quem você é? – Dispositivo biométrico.O mais importante nos controles de segurança é que eles garantam osaspectos de segurança da informação, bem como intimidem os atacan-tes. Uma boa segurança deve parecer segura.Para locais e ativos diferentes, dependendo de sua criticidade ou risco,podemos optar por controles mais rígidos ou menos rígidos. 241

O termo “Triple A” define a tríade de acesso lógico à informação, compostapor autenticação, autorização e auditoria.Ao solicitar um acesso, a primeira parte da solicitação é a autenticação,composta por identificação e autenticação. Nela o usuário se apresenta emostra algum comprovante (algo que sabe, que é ou que possui) de que re-almente é a pessoa que diz ser.Posteriormente, o sistema consulta a base de dados de autorização e conce-de ou não o acesso. Neste momento, o sistema consulta a base de dados deauditoria e verifica se aquela solicitação, independente do resultado positi-vo ou negativo, deve ser registrada para auditoria posterior. 242

Há alguns anos, biometria era coisa de cinema, porém, atualmente é real emuitas empresas utilizam, dependendo do nível de segurança que queremimplementar. Biometria é a medição de parâmetros biológicos, com o objeti-vo de identificar e autenticar pessoas.Os tipos de sinais biológicos usados para identificar pessoas são: • impressão digital; • geometria da mão (dedos e palma); • características da íris dos olhos; • características da retina; • reconhecimento da voz; • reconhecimento da face; 243

O Usuário pode se autenticar utilizando um ou mais dos três elementos des-critos abaixo: • Conhecimento: O que você sabe? – Nome de usuário e senha; • Posse: O que você tem? – Cartão, crachá, smartcard e tokens; • Quem você é? – Dispositivo biométrico. 244

De acordo com a classificação da informação que está sendo protegida po-demos utilizar uma combinação de mais de um fator de autenticação, tor-nando o acesso muito mais seguro., com dois ou três fatores 3 Fatores: Senha + Crachá + Biometria 2 Fatores: Crachá + Biometria, Senha + Cracha, Senha + BiometriaA maioria de nós já utilizou algum tipo de autenticação com dois fatores,alguns exemplos são: • Senha + Cartão de Senhas (Bancos) • Senha + Token (Bancos, VPN) • Senha + SmartCard (VPN) 245

246

Um plano de continuidade de negócios é um programa holístico determina-do pelas exigências empresariais, e deve ser conduzido por uma equipe deadministração com autoridade para reagir a interrupçõesO objetivo do plano é fornecer um meio testado para enfrentar crises e mo-dificar as consequências de uma interrupção a um nível satisfatório para adireção 247

A figura acima detalha a linha de tempo de um incidente, desde sua ocorrên-cia até o ponto onde a organização retorna a sua operação normal, localizan-do dentro dela os principais marcos e indicadores do plano. Alguns pontosimportantes a serem considerados são: • RPO - Recovery Point Objective: é o ponto no tempo para onde se quer voltar quando se restaurar o ambiente. Representa o quanto a empresa está aceita a perder de informação (Ex: Em uma rotina de Backup diário a empresa aceita perder até 24 horas de informação) • RTO - Recovery Time Objective: é o tempo máximo que a empresa pode gastar para recuperar o ambiente. • WRT - Work Recovery Time: Tempo para coloar o ambiente recupe- rado ou alternitavo funcional (voltar backup, backlogs, etc.) • MTO - Maximum Tolerable Outage: representa o tempo total que uma empresa aceita ficar fora. Corresponde à soma do RTO com o WRT. 248

Trata-se de uma medida repressiva que consiste na contratação de uma loca-lidade de terceiros para ser utilizado como uma alternativa de continuidade,caso a localidade original esteja indisponível. São fatores críticos: • Service Level Agreement – Quando uma empresa necessita de uma localidade alternativa, ela está provavelmente lutando contra o tempo, portanto a velocidade com que a outra parte fornecerá um ambiente para a continuidade dos negócios é um elemento crítico a se tratar no contrato. Aconselha-se também uma auditoria para garantir que a ou- tra parte terá condições de cumprir o SLA em caso de incidente. O SLA deve ser bem inferior ao TMP. • Tempo máximo de parada (TMP) – Indica o tempo máximo que um processo de negócio pode ficar parado sem que hajam consequências desastrosas. A apuração correta desse dado é importantíssima para qualquer plano de continuidade e recuperação de desastres. 249

250