GESTÃO DA SEGURANÇA DA INFORMAÇÃO NAS PEQUENAS E MÉDIAS EMPRESAS
Autor: Infoaplicada | Publicado: 2012-05-24T16:37:00-07:00


1 INTRODUÇÃO



Com a utilização dos
computadores em diversas organizações, as informações começaram a se concentrar
em um único lugar e o grande volume dessas informações passou a ser um problema
para a segurança. Os riscos aumentaram com o uso dos microcomputadores, a utilização
de redes locais e remotas, a abertura comercial da Internet e a disseminação da
informática para diversos setores da sociedade. 



As pequenas e médias empresas também são
atingidas por estes problemas, porém dispõem de menos recursos para investir na
gestão da segurança da informação.

As
pequenas e médias empresas não possuem um orçamento para o setor de tecnologia
que permita aos gestores a manutenção de ferramentas de alta performance para
filtrar todos os dados que trafegam em suas redes ou a manutenção de programas
de antivírus com assinatura anuais, o que torna importante as estratégias de
política de segurança.



2 Segurança
da Informação



Segurança da informação, conforme Beal
(2005), é o processo de proteção da informação das ameaças a sua integridade,
disponibilidade e confidencialidade. Sêmola (2003) define segurança da
informação como “uma área do conhecimento dedicada à proteção de ativos da
informação contra acessos não autorizados, alterações indevidas ou sua
indisponibilidade.” A ISO/IEC 17799:2005, em sua seção introdutória, define
segurança da informação como “a proteção da informação de vários tipos de
ameaças para garantir a continuidade do negócio, minimizar o risco ao negócio,
maximizar o retorno sobre os investimentos e as oportunidades de negócio”.
Assim, podemos definir segurança da informação como a área do conhecimento que
visa à proteção da informação das ameaças a sua integridade, disponibilidade e
confidencialidade a fim de garantir a continuidade do negócio e minimizar os
riscos.



·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
A integridade da informação tem como
objetivo garantir a exatidão da informação, assegurando que pessoas não
autorizadas possam modificá-la, adicioná-la ou removê-la, seja de forma
intencional ou acidental; 

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
A disponibilidade garante que os
autorizados a acessarem a informação possam fazê-lo sempre que necessário; 

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
A confidencialidade da informação é a
garantia de que somente pessoas autorizadas terão acesso a ela, protegendo-a de
acordo com o grau de sigilo do se conteúdo; 



Sêmola (2003) acrescenta a
estes três objetivos os de: 



·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Legalidade - garantia de que a
informação foi produzida em conformidade com a lei; 

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Autenticidade - garantia de que num
processo de comunicação os remetentes sejam exatamente o que dizem ser e que a
mensagem ou informação não foi alterada após o seu envio ou validação. 



A fim de garantir um nível de proteção
adequado para seus ativos de informação, as organizações e seus principais
gestores precisam ter uma visão clara das informações que estão tentando
salvaguardar, de que ameaças e por que razão, antes de poder passar a seleção
de soluções específicas de segurança (BEAL, 2005). Grande parte dos dados
importantes ao negócio da empresa está armazenada em computadores, por isso as
organizações dependem da confiabilidade de seus sistemas baseados em TI; se a
confiança nesses dados for destruída, o impacto pode ser comparável à própria
destruição do sistema. 



Dessa forma, as organizações precisam
adotar controles de segurança – medidas de proteção que abranjam uma grande
diversidade de iniciativas – que sejam capazes de proteger adequadamente dados,
informações e conhecimentos, escolhidos, levando-se em conta os riscos reais a
que estão sujeitos esses ativos. (BEAL, 2005). 





À medida que as empresas tornam-se mais
dependentes da informática, mais vulneráveis ficam a crimes e fraudes cometidas
com o uso de recursos computacionais. Na maioria dos casos ocorridos, nada é
publicado, por necessidade de preservação da imagem. (CARUSO e STEFFEN, 1999). 



Pela alta capacidade de que dados,
informação e conhecimento têm de adicionar valor a processos, produtos e
serviços, estes constituem recursos cada vez mais críticos para o alcance da
missão e dos objetivos organizacionais (CARUSO e STEFFEN, 1999). Consequentemente,
as informações críticas para o negócio precisam ser protegidas contra as
ameaças que podem levar à sua destruição, indisponibilidade temporária,
adulteração ou divulgação não autorizada. (BEAL, 2005, p. XI). Fontes (2006, p.
38) assevera “a informação é um recurso que tem valor para a organização e deve
ser bem gerenciada e utilizada [...] é necessário garantir que ela esteja sendo
disponibilizada apenas para as pessoas que precisam dela para o desempenho de
suas atividades profissionais”. 



Segundo Moraes, Terence e Escrivão
Filho (2004), nenhuma empresa pode escapar dos efeitos da revolução causada
pela informação. Dessa forma, deve-se ter consciência de que a informação é um
requisito tão importante quanto os recursos humanos, pois dela depende o
sucesso ou fracasso das tomadas de decisões diárias. 



Segurança - mais que estrutura
hierárquica, homens e equipamentos - envolve uma postura gerencial, o que
ultrapassa a tradicional abordagem da maioria das empresas. É preciso cercar o
ambiente de informações com medidas que garantam sua segurança efetiva, a um
custo aceitável, visto ser impossível obter-se segurança absoluta, já que a
partir de um determinado ponto, os custos se tornam inaceitáveis. (CARUSO e
STEFFEN, 1999). 



Fontes (2006) alerta para o constante
crescimento de incidentes de segurança da informação, principalmente no Brasil.
De forma crescente, as organizações estão potencialmente mais expostas a novas
formas de ataques, independentemente do porte ou do tipo de negócio. 

Para Beal (2005), devido à alta
complexidade e ao alto custo de manter os ativos da informação salvos de
ameaças à sua confidencialidade, integridade e disponibilidade, é importante a
empresa adotar um enfoque de gestão baseado nos riscos específicos para o
negócio. Sêmola (2003) define risco como: “a probabilidade de que agentes, que
são ameaças, explorem vulnerabilidades, expondo os ativos a perdas de
confidencialidade, integridade e disponibilidade e causando impacto nos
negócios”. Os impactos são limitados por medidas de segurança, que ajudam a
diminuir o risco. Assim, a gestão do risco é o conjunto de processos que
permite às organizações identificarem e implementarem as medidas de proteção
necessárias para diminuir os riscos a que estão sujeitos os seus ativos de
informação, e equilibrá-los com os custos operacionais e financeiros
envolvidos. (BEAL, 2005). 



2.1
Camadas de Segurança da Informação



A todo instante os negócios, seus
processos e ativos físicos, tecnológicos e humanos são alvo de investidas de
ameaças de toda ordem, que buscam identificar um ponto
fraco compatível, uma vulnerabilidade capaz de potencializar sua ação. Quando
essa possibilidade aparece, a quebra de segurança é consumada. (SÊMOLA, 2001,
p. 18).



Para Schneier (2001), “as ameaças do
mundo digital espelham as ameaças no mundo físico. Se o desfalque é uma ameaça,
então o desfalque digital também é uma ameaça. Se os bancos físicos são
roubados, então os bancos digitais serão roubados.” O crime no ciberespaço inclui
tudo o que se pode esperar do mundo físico: roubo, extorsão, vandalismo,
voyeurismo, exploração, jogos de trapaças, fraude etc.



Para Sêmola (2003), a gestão da
segurança da informação pode ser classificada em três aspectos: tecnológicos,
físicos e humanos. As organizações preocupam-se principalmente com os aspectos
tecnológicos (redes, computadores, vírus, hackers, Internet) e se
esquecem dos outros – físicos e humanos – tão importantes e relevantes para a
segurança do negócio quanto os aspectos tecnológicos. Neste trabalho, optou-se
pela classificação apresentada por Adachi (2004) que estudou a gestão da
segurança em Internet Banking dividido-a em três camadas: física, lógica
e humana.



2.1.1
Camada Física



É o ambiente onde está instalado
fisicamente o hardware – computadores, servidores, meio de comunicação –
podendo ser o escritório da empresa, a fábrica ou até a residência do usuário
no caso de acesso remoto ou uso de computadores portáteis. Para Adachi (2004),
“a camada física representa o ambiente em que se encontram os computadores e
seus periféricos, bem como a rede de telecomunicação com seus modems, cabos e a
memória física, armazenada em disquetes, fitas ou CDs”.



As pequenas e a médias empresas têm
seus dados armazenados, geralmente, em servidores de rede ou em estações
compartilhadas, e o acesso físico a estes equipamentos nem sempre é restrito.
Na maioria das vezes, esse mesmo servidor ou estação possui acesso liberado e
ilimitado à Internet, o que aumenta o risco de um incidente de segurança. Na
média empresa, o cenário é menos problemático, porém não o ideal,
principalmente, devido à conscientização dos funcionários sobre segurança da
informação. 



O controle de acesso aos recursos de
TI, equipamentos para fornecimento ininterrupto de energia e firewalls são
algumas das formas de se gerir a segurança desta camada.



2.1.2
Camada Lógica



A camada lógica é caracterizada pelo
uso de softwares - programas de computador - responsáveis pela funcionalidade
do hardware, pela realização de transações em base de dados organizacionais,
criptografia de senhas e mensagens etc. Segundo Adachi (2004), é nessa camada
que estão as “regras, normas, protocolo de comunicação e onde, efetivamente,
ocorrem as transações e consultas”.



A segurança, em nível lógico, refere-se
ao acesso que indivíduos têm às aplicações residentes em ambientes
informatizados, não importando o tipo de aplicação ou o tamanho do computador.
As ferramentas de controle são, em sua maior parte, “invisíveis” aos olhos de
pessoas externas aos ambientes de informática; estas só os reconhecem quando
têm o seu acesso barrado pelo controle de acesso. (CARUSO e STEFFEN, 1999). 



Manter o software de sistema
operacional atualizado com a mais recente correção de segurança disponibilidade
pelo fabricante é uma forma de minimizar os riscos de segurança nesta camada.



2.1.3
Camada Humana



A camada humana é formada por todos os
recursos humanos presentes na organização, principalmente os que possuem acesso
aos recursos de TI, seja para manutenção ou uso. São aspectos importantes desta
camada: a percepção do risco pelas pessoas: como elas lidam com os incidentes
de segurança que ocorrem; são usuários instruídos ou ignorantes no uso da TI; o
perigo dos intrusos maliciosos ou ingênuos; e a engenharia social (ADACHI,
2004). 



Das três camadas, esta é a mais difícil
de avaliar os riscos e gerenciar a segurança, pois envolve o fator humano, com
características psicológicas, socioculturais e emocionais, que variam de forma
individual (SCHNEIER, 2001). 



A gestão da segurança da informação
envolve mais do que gerenciar os recursos de tecnologia – hardware e software –
envolve pessoas e processos, porém algumas empresas negligenciam este fator. A
política de segurança e a conscientização dos usuários são algumas das formas
de se controlar a segurança desta camada.



2.2
Normas de Segurança



“Normas e padrões têm por objetivo
definir regras, princípios e critérios, registrar as melhores práticas e prover
uniformidade e qualidade a processos, produtos ou serviços, tendo em vista sua
eficiência e eficácia.” (BEAL, 2005, p. 36). Concomitantemente, Sêmola (2003)
diz que “uma norma tem o propósito de definir regras, padrões e instrumentos de
controle que dêem uniformidade a um processo, produto ou serviço”.

A
ABNT NBR ISO/IEC 17799 foi elaborada no Comitê Brasileiro de Computadores e
Processamento de Dados (ABNT/CB-21), pela Comissão de Estudo de Segurança
Física em Instalações de Informática (CE-21:204.01).O Projeto circulou em
Consulta Nacional conforme Edital nº 03, de 31.03.2005, com o número de Projeto
NBR ISO/IEC 17799.

A norma define 127 controles que
compõem o escopo do Sistema de Gestão de Segurança da Informação (Information
Security Management System – ISMS), agrupados em 11 seções de controles:
Política de Segurança da Informação; Organização da Segurança da Informação;
Gestão de Ativos; Segurança em Recursos Humanos; Segurança Física e do
Ambiente; Gestão das Operações e Comunicações; Controle de Acesso; Aquisição,
Desenvolvimento e Manutenção dos Sistemas de Informação; Gestão de Incidentes
da Segurança da Informação; Gestão da Continuidade do Negócio e Conformidade. 



A adequação de qualquer empresa à norma
ISO IEC 27002:2005 garante conformidade com as melhores práticas em gestão da
segurança da informação. “As normas são criadas para estabelecerem diretrizes e
princípios para melhorar a gestão de segurança nas empresas e organizações.”
(HOLANDA, 2006).



3
POLITICA DE SEGURANCA DA INFORMAÇÃO



A Política de segurança é a
formalização de todos os aspectos considerados relevantes por uma organização
para proteção, controle e monitoramento de seus recursos computacionais. Também
deve ser vista como um canal de comunicação entre usuários e o comitê
Corporativo de Segurança da Informação. A documentação gerada precisa explicar
a importância da segurança para motivar as pessoas envolvidas a praticá-la.



A divulgação da política de segurança é
uma das ferramentas responsáveis pelo sucesso da sua implantação. Seu objetivo
é disseminar a Política de segurança da Informação na empresa, conscientizando
os colaboradores e prestadores de serviço para a política de segurança que está
sendo implantada.

Deverão ser desenvolvidas palestras de
conscientização, cartas, e-mails, cartilhas e eventos objetivando o sucesso da
implantação.



A Política de Segurança não define
procedimentos específicos de manipulação e proteção da informação, mas atribui
direitos e responsabilidades às pessoas (usuários, administradores de redes e
sistemas, funcionários, gerentes, etc.) que lidam com essa informação. Desta
forma, elas sabem quais as expectativas que podem ter e quais são as suas
atribuições em relação à segurança dos recursos computacionais com os quais
trabalham.



Além disso, a Política de Segurança
também estipula as penalidades às quais estão sujeitos aqueles que a
descumprem.



Antes que a Política de Segurança seja escrita,
é necessário definir a informação a ser protegida. Usualmente, isso é feito
através de uma análise de riscos, que identifica:



·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Recursos protegidos pela política;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Ameaças às quais estes recursos estão
sujeitos;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Vulnerabilidades que podem viabilizar a
concretização destas ameaças, analisando-as individualmente.



Uma política de Segurança deve cobrir
os seguintes aspectos:



·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Política de senhas;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Direitos e responsabilidades dos
usuários;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Direitos e responsabilidades do
provedor dos recursos;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Ações previstas em caso de violação da
política.







4
AMEAÇAS À SEGURANÇA DA INFORMAÇÃO



As ameaças ao sistema de informação
estão relacionadas à quebra dos três princípios básicos da segurança da
informação:



·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Perda
da Confidencialidade: acontece quando ocorre a quebra do
sigilo de alguma forma. Por exemplo, quando o individuo da TI “deixa” vazar
informações a respeito de dados de alguém, como a senha de um usuário, a qual
estaria disposta à apenas um determinado grupo de pessoas;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Perda
da Integridade: quando fica exposta na mão de uma
pessoa não autorizada, uma informação que não lhe compete saber, nem mexer, e
essa pessoa sem a devida autorização, faz alterações inapropriadas, que não
foram aprovadas e não tem o conhecimento, controle do proprietário;

·&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
Perda
da Disponibilidade: ocorre quando a informação não está
acessível à quem necessita dela, seja por má intenção de alguém, seja por uma
boa intenção, porém errônea, seja por fatores internos ou externos, ou por
falha do equipamento por exemplo. Um exemplo prático seria quando a rede de
cartões está fora do ar, não estando dessa forma disponível à pessoa que
necessita dele naquele momento.



Outras grandes ameaças surgiram com o
uso insubstituível e imprescindível da Internet. Os vírus hoje preocupam
demais, pois circulam muito rapidamente e causam fortes danos. Existem ainda
diversos usuários que fazem uso de modems para conexão com a Internet, muitas
vezes contornando os controles e proteções da rede ou de um firewall
corporativo.

Para garantir que há privacidade e
integridade das informações enviadas pela Internet, é necessário implementar a
segurança no meio de transporte. A criptografia é fundamental para este fim,
sendo que os principais produtos que possuem criptografia &amp; quot; embutida&amp;quot;
sofrem limitações devido às restrições de exportação dos EUA.



5
CONCLUSÃO



A Informação está se tornando um dos
ativos mais valiosos para as organizações nos dias atuais. Assim, protege-la
pode trazer grandes benefícios para a organização, com ganhos e lucratividade.



Portanto, a Segurança da Informação
deve estar alicerçada ao uso e na aplicação de ferramentas adequadas, bem
instaladas e atualizadas contra as mais novas vulnerabilidades e formas de
ataques. Devem também estas apoiadas a uma política de Segurança muito bem
definida e voltada às necessidades da empresa.



Ainda, para garantir a Segurança da
Informação, temos que considera-la não somente como uma questão técnica, mas
também gerencial e humana. Desta forma, de nada adianta adquirir treinamento e
conscientização por parte da gerencia e de todos os funcionários da empresa.



Minimizar as vulnerabilidades faz com
que se fortaleçam todos os elos que compõem a segurança da organização,
enquanto a aplicação de novas medidas e ferramentas de segurança pode criar um
ambiente mais fácil de ser controlado e monitorado, aumentando a segurança da
organização como um todo.



Problemas como a dificuldade de
implementação de novos serviços e equipamentos podem surgir, devido ao grande
número de regras de controle, e o excesso de informações e alertas gerados
pelos sistemas de segurança que acabam por ocupar muito o trabalho dos
administradores de sistemas.



Não podemos esquecer de que novas
falhas e vulnerabilidade em sistemas computacionais são descobertas
diariamente, os invasores possuem ferramentas cada vez mais automatizadas, e
conforme o ambiente cresce, torna-se mais difícil controlá-lo. Assim,
conclui-se que a Segurança da Informação deve ser um processo contínuo que faça
parte das atividades da empresa, sempre objetivando atender os seus princípios
básicos: Confiabilidade, Autenticidade, Integridade e Disponibilidade.





REFERENCIAL
BIBLIOGRÁFICO



WWW.scielo.com.br
acessado em 19 de Abril 2012, às 14 h 22 min.



http://pt.wikipedia.org/wiki/Gest%C3%A3o_da_seguran%C3%A7a_da_informa%C3%A7%C3%A3o
acessado em 19 de Abril 2012, às 15 h 35 min.



http://segurancaemti.wordpress.com/2009/07/08/ameacas-a-seguranca/
acessado em 20 de Abril 2012 às 11 h 52 min.



http://www.rlmti.com/documentos/Monografia_SegInfDoc.pdf
acessado em 20 de Abril &nbsp;2012 às 12 h 37
min.





GRUPO:&nbsp;&nbsp;&nbsp;&nbsp; CLAUDIA MÔNICA GONÇALVES DIAS&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEANDRO FELIPE DE OLIVEIRA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;LEANDRO LUZ&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LORENA EDUARDO DE DEUS