UNIP UNIVERSIDADE PAULISTA

SEI Ps-Graduao em Tecnologia da Informao

Segurana da Informao

Sumrio
1 CAMADAS DE VULNERABILIDADES
1.1

Camada de Dados

1.2

Camada de Aplicao

1.3

Camada de Host

1.4

Camada de Rede

2 MEDIDAS DE PROTEO
2.1

Proteo da Camada de Dados

2.2

Proteo da Camada de Aplicao:

2.3

Proteo da Camada de Host:

2.4

Proteo da Camada de Rede:

3 GERENCIAMENTO DE RISCO
3.1

Conceitos Bsicos

3.2

Valor da Informao
3.2.1 Vale a pena proteger tudo?
3.2.2 Proteger contra o qu?
3.2.3 Mas como proteger uma informao?

3.3 Requisitos Bsicos do Gerenciamento de Riscos

3.3.1 A anlise

4 CONTINGNCIA OU PLANO DE CONTINUIDADE DE

NEGCIOS
4.1

Definies

4.2

Conceitos

4.3

Estratgias de Contingncia

4.4

Planos de Contingncia
4.4.1 Principais fases de elaborao do plano de contingncia

4.5

Barreiras de Segurana

POLTICAS DE SEGURANA
5.1

Armadilhas

5.2

Como Organizar um Golpe de Mestre

5.3

Divises da Poltica de Segurana

5.3.1 Texto em nvel estratgico
5.3.2 Texto em nvel ttico
5.3.3 Texto em nvel operacional

5.4

Contedo da Poltica de Segurana

5.5

Mtodos de Proteo

5.6

Responsabilidades

5.7

Uso Adequado

1 CAMADAS DE VULNERABILIDADES
.A arquitetura tecnolgica composta de 4 camadas com caractersticas e vulnerabilidades
prprias:

1.1

Camada de Dados

onde os dados residem, podendo ser o sistema de arquivos, um Banco de Dados

Relacional ou mdias removveis. Suas principais vulnerabilidades so: corrupo
natural/acidental/proposital, acesso Indevido e indisponibilidade. a camada mais interna.

1.2

Camada de Aplicao

onde os dados so manipulados, que composta por Sistemas de Informao e

interfaces de Integrao/Consolidao. Suas principais vulnerabilidades so: erros de lgica
ou de processamento, acesso Indevido ao/pelo Sistema de Informao, e indisponibilidade
(ex: excesso de carga).

1.3

Camada de Host

qualquer dispositivo/computador que executa Sistemas (ou seus componentes) que

manipulam os dados, como servidores e estaes de trabalho (clientes).
Suas principais vulnerabilidades so: falhas mecnicas e eltricas (hardware), acesso fsico
indevido, e infeco/contaminao (vrus e malware).

1.4

Camada de Rede

a infraestrutura de comunicao de dados. Suas principais vulnerabilidades so: falhas

mecnicas e eltricas (hardware), acesso fsico indevido, invaso de rede, e interceptao
de transmisses.
Nem sempre possvel evitar que uma ameaa se concretize, pois nenhuma proteo
100% eficaz. Nesse caso, a abordagem mais sensata uma combinao de medidas de
preveno com medidas de remediao: a preveno atua nas causas provveis,
procurando evitar que o causa ocorra, enquanto a remediao atua nos efeitos possveis e
envolve alguma espcie de duplicao/redundncia.

2 MEDIDAS DE PROTEO
Vejamos quais podem ser as medidas de proteo, camada a camada.

2.1

Proteo da Camada de Dados

Confidencialidade: estabelecer e implantar privilgios de usurio nos recursos

compartilhados; usar criptografia nos dados armazenados.
Integridade: empregar constraints de integridade referencial em bancos de dados
relacionais, garantindo a integridade relacional das tabelas de dados; usar procedimento de
recuperao de dados (backup/restore).
Disponibilidade: definir e implantar um Plano de Continuidade de Negcios; empregar
Distribuio ou Replicao de dados.

2.2

Proteo da Camada de Aplicao:

Confidencialidade: estabelecer e implantar controle de acesso com senha, com nveis de

acesso conforme competncia funcional do usurio, e a rastreabilidade das operaes.
Integridade: embutir nos programas regras de consistncia de dados, mecanismo de
transaes de bancos de dados, e empregar tcnicas de programao segura.
Disponibilidade: definir e implementar um balanceamento de carga adequado,
postergando o processamento do que no precisa ser feito em tempo real (balano entre
batch e real-time).

2.3

Proteo da Camada de Host:

Uma srie de controles fsicos e ambientais, associados com redundncias e ferramentas de

preveno, como: controles de acesso fsico, temperatura, umidade, regulao eltrica ;
cluster de servidores para processamento paralelo/ solidrio, redundncia de riscos tipo
RAID-5; Antivrus e AntiSpam no servidor.

2.4

Proteo da Camada de Rede:

Uma srie de ferramentas de preveno, associadas a controles fsicos, como: firewall,

deteco de intruso, DMZ (zona desmilitarizada da rede interna), criptografia dos dados
transmitidos.

3 GERENCIAMENTO DE RISCO
O risco no um novo problema ou uma nova terminologia; os seres humanos sempre
tiveram de enfrentar (ou encarar) riscos em seu meio ambiente, embora seu significado
tenha mudado, como tem mudado a sociedade e o prprio meio onde vive. No passado, a
grande preocupao estava centrada nos desastres naturais (geolgicos e climatolgicos)
na forma de inundaes, secas, terremotos e tempestades.
Aps a revoluo industrial, os riscos naturais foram substitudos por aqueles gerados pelo
prprio homem; nos Estados Unidos, os acidentes originados nos perigos tecnolgicos
representam de 15% a 20% da mortalidade humana e tm ultrapassado significativamente
daqueles naturais, em termos de impacto causado na sociedade, custo e importncia.
Uma das ferramentas mais poderosas no gerenciamento de riscos o conhecimento. Na
era do conhecimento, onde a informao considerada um dos principais patrimnios de
grande parte das organizaes, esta deve ser tratada como tal, sendo protegida nos seus
aspectos de disponibilidade, integridade, confidencialidade e autenticidade, seguindo a linha
adotada pelo Governo Federal. Neste contexto, o gerenciamento de risco indica os
caminhos e as informaes que devem ser protegidas.

3.1

Conceitos Bsicos

Risco
O Uma expectativa de perda expressada como a probabilidade de que uma ameaa
em particular poder explorar uma vulnerabilidade com um possvel prejuzo;
O Risco pode se definido como uma medida da incerteza associada aos retornos
esperados de investimentos;Subentende-se por risco, o nvel do perigo combinado com: (1)
a probabilidade de o perigo levar a um acidente e, (2) a exposio ou durao ao perigo
(algumas vezes denominado de latente); algumas vezes, o risco limitado ao
relacionamento entre o perigo e o acidente, ou seja, a probabilidade do perigo conduzir a um
acidente, mas no da probabilidade do perigo ocorrer;
O risco no ruim por definio, o risco essencial para o progresso e as falhas
decorrentes so parte de um processo de aprendizado.

Avaliao ou Anlise de Risco Um processo que identifica sistematicamente recursos

valiosos de sistema e ameaas a aqueles recursos, quantifica as exposies de perda (isto
, potencialidade de ocorrer uma perda) baseadas em freqncias estimadas e custos de
ocorrncia, e (opcionalmente) recomenda como alocar recursos s contramedidas no para
minimizar a exposio total.

 Gerenciamento de Riscos O processo de identificar, de controlar, os eventos incertos,

eliminando ou minimizando os que podem afetar os recursos de sistema.
O perigo tem duas importantes caractersticas: a gravidade (algumas vezes denominada de
dano) e a probabilidade da ocorrncia. A prxima figura ilustra o conceito do risco e o seu
relacionamento com o perigo

A gravidade do perigo definida como o pior acidente possvel de ocorrer, resultante do

perigo dado pelo ambiente na sua condio menos favorvel. A probabilidade de
ocorrncia do perigo pode ser especificada tanto quantitativamente como qualitativamente;
infelizmente, quando o sistema est sendo projetado e os nveis de perigo estejam sendo
avaliados e pontuados, para a eliminao dos riscos potenciais, as informaes necessrias
para a sua avaliao nem sempre esto disponveis; neste caso, utiliza-se de banco de
dados de alguns projetos que estejam disponveis ou ainda, baseando-se em avaliaes
puramente qualitativas.
A combinao da gravidade somada a probabilidade de ocorrncia freqentemente
denominada de nvel do perigo. A exposio ou durao de um perigo uma
componente do risco; desde que um acidente envolve uma coincidncia de condies, na
qual o perigo justamente um deles, quanto maior o estado de perigo existir maiores so as
chances de que outras condies ocorram, ou seja, a coincidncia de condies
necessrias para um acidente pode ter estatisticamente, uma baixa probabilidade, mas a
probabilidade da coincidncia pode dramaticamente ser aumentada, caso o perigo esteja
presente por longos perodos de tempo.

3.2

Valor da Informao

Para que o processo de classificao possa ser guiado com xito, no dependendo
exclusivamente da avaliao do consultor de segurana, faz-se necessrio o envolvimento

dos criadores, gestores, curadores e usurios da informao. Estes devem estar habilitados
a responder aos seguintes questionamentos.
A. Qual a utilidade da informao?
Aparentemente simples, a resposta para esta pergunta deve ser consolidada base a uma
viso holstica - a informao parte de um todo muitas vezes indecomponvel. A
informao que suporta o departamento comercial tem diferente utilidade quando
confrontada com as informaes provenientes da engenharia. Quando justificar utilidade,
lembre sempre dos fins: suporte, operao, estratgia, etc.
B. Qual o valor da informao?
Existem diferentes mtodos para a valorao da informao. So abordagens qualitativas,
quantitativas e mistas; algumas compostas de clculos e frmulas hermticas - por vezes
to confusas que causam suspeita aos homens de esprito prtico. Acredito que to ou mais
eficiente que o aparato analtico informatizado seja a avaliao pessoal do dono da
informao. Ele saber qualificar sua munio: qual o prejuzo caso esta informao seja
revelada ou comprometida? Caso haja dificuldade em compor o resultado atravs de um
indicador financeiro preciso, vale tambm a descrio atravs de escalas de classificao.
C. Qual a validade da informao?
Salvo excees justificadas, toda informao deve possuir um perodo de validade - manter
informaes desatualizadas, redundantes ou de integridade duvidosa, quando no por
imposio legal, significa espao em disco, leia-se custo adicional.
D. Quem responsvel pela manuteno da classificao da informao?
Em algumas organizaes, o criador da informao responsvel pela sua classificao
inicial nos quesitos da trade da segurana - confidencialidade, integridade e disponibilidade.
Esta classificao deve ser acompanhada pela definio de grupos, perfis ou usurios
individuais com permisso para o acesso.
Como analisar riscos sem estudar minuciosamente os processos de negcio que sustentam
sua organizao? Como classificar o risco destes processos sem antes avaliar as
vulnerabilidades dos componentes de tecnologia relacionados a cada processo? Quais so
os seus processos crticos? Aqueles que sustentam a rea comercial, a rea financeira ou a
produo? Voc saberia avaliar quantitativamente qual a importncia do seu servidor de
web? Para cada pergunta, uma mesma resposta: conhecer para proteger.

3.2.1

Vale a pena proteger tudo?

Partindo do pressuposto de que segurana da informao requer investimentos, deve ser

estimado o valor da informao a ser protegida, de forma que seja maximizado o retorno
dos investimentos. um jogo que no pra. A cada novo investimento as empresas devem

tornar os resultados palpveis, expressando-os em nmeros. Mas como fazer isso? Uma
das tcnicas disponveis no mercado o ROI, do ingls Return on Investment. Entretanto,
no existe um modelo unificado para clculo de ROI, nem o modelo ideal. Esta uma
ferramenta que parte do princpio que a empresa capaz de mensurar todos os seus ativos
e respectivos custos, com base no comportamento histrico. preciso conhecimento do
negcio para definir o modelo que melhor se adapte a cada situao. Conhecimento do
negcio este o ponto chave de qualquer Gerenciamento de Riscos.

3.2.2

Proteger contra o qu?

O objetivo da segurana da informao proteg-la contra riscos. Em linhas gerais, riscos

so eventos ou condies que podem ocorrer e, caso realmente ocorram, podem trazer
impactos negativos para um determinado ativo (no caso, a informao). Como pode ser
percebida atravs da leitura da afirmao acima, a incerteza a questo central do risco.
Estamos trabalhando com hipteses: a probabilidade de ocorrncia de uma situao e o
grau do dano (severidade) decorrente de sua concretizao. Mas vamos a questes mais
prticas: uma vez quantificado o valor de uma informao, devem ser levantados os meios
em que esta se encontra, tanto armazenado quanto em trnsito, e delimitado o escopo de
atuao. Escopos infinitos caracterizam um dos erros mais comuns cometidos durante a
anlise de riscos.

3.2.3

Mas como proteger uma informao?

Inicialmente, faz-se necessrio uma definio do que seja Gerenciamento de Riscos

propriamente dito. Este um processo que objetiva identificar os riscos ao negcio de uma
empresa e, a partir de critrios de priorizao, tomar aes que minimizem seus efeitos.

caracterizado, sobretudo, por ter uma abordagem mais estruturada e cientfica. dividido em
4 (quatro) etapas bsicas:
1. Identificao dos Riscos: Como o prprio nome j diz, nessa etapa so identificados os
riscos a que o negcio (o foco sempre deve ser este) est sujeito. O primeiro passo a
realizao de uma Anlise de Riscos, que pode ser tanto quantitativa baseada em
estatsticas, numa anlise histrica dos registros de incidentes de segurana quanto
qualitativa baseada em knowhow, geralmente realizada por especialistas, que tm
profundos conhecimentos sobre o assunto.
2. Quantificao dos Riscos: Nessa etapa mensurado o impacto que um determinado
risco pode causar ao negcio. Como praticamente impossvel oferecer proteo total
contra todas as ameaas existentes, preciso identificar os ativos e as vulnerabilidades
mais crticas, possibilitando a priorizao dos esforos e os gastos com segurana. Uma das
ferramentas existentes no mercado o BIA, do ingls Business Impact Analysys. Esta
tcnica consiste, basicamente, da estimativa de prejuzos financeiros decorrentes da
paralisao de um servio.
Voc capaz de responder quanto sua empresa deixaria de arrecadar caso um sistema
estivesse indisponvel durante 2 horas? O objetivo do BIA responder questes desse tipo.
3. Tratamento dos Riscos: Uma vez que os riscos foram identificados e a organizao
definiu quais sero tratados, as medidas de segurana devem ser de fato implementadas.
Definies de quais riscos sero tratadas? Isso mesmo. O ROI e o BIA servem justamente
para auxiliar nesta tarefa. Alguns riscos podem ser eliminados, outros reduzidos ou at
mesmo aceitos pela empresa, tendo sempre a situao escolhida documentada. S no
permitido ignor-los. Nessa etapa ainda podem ser definidas medidas adicionais de
segurana, como os Planos de Continuidade dos Negcios que visam manter em
funcionamento os servios de misso-crtica, essenciais ao negcio da empresa, em
situaes emergenciais e Response Teams que possibilitam a deteco e avaliao dos
riscos em tempo real, permitindo que as providncias cabveis sejam tomadas rapidamente.
4. Monitorao dos Riscos: O Gerenciamento de Riscos um processo contnuo, que no
termina com a implementao de uma medida de segurana. Atravs de uma monitorao
constante, possvel identificar quais reas foram bem sucedidas e quais precisam de
revises e ajustes. Mas como realizar uma monitorao de segurana? O ideal que este
trabalho seja norteado por um modelo de Gesto de Segurana, que defina atribuies,
responsabilidades e fluxos de comunicao interdepartamentais. S que a realidade
costuma ser bem diferente... No so todas as empresas que possuem uma estrutura
prpria para tratar a segurana de suas informaes. Ento a monitorao de riscos pode
ocorrer numa forma mais light, digamos.

3.3 Requisitos Bsicos do Gerenciamento de Riscos

Como requisitos bsicos para o gerenciamento de riscos, consideramos que devam existir:
Objetivos de negcio Antes de qualquer anlise de riscos, devem existir os objetivos de
negcio relativos organizao ou rea organizacional em estudo. Somente podemos
falar em riscos, se existem os objetivos de negcio. Cada objetivo deve ser o mais explcito
possvel. "Crescer o faturamento em 15% em relao ao ano passado" muito melhor do
que um genrico "aumentar o faturamento". "Garantir um tempo de resposta no ambiente
computacional de no mximo trs segundos" muito melhor do que "ter um tempo de
resposta que deixe o usurio satisfeito".
Riscos Para cada objetivo de negcio definido, devem ser identificados os riscos que
podem impedir que esse objetivo seja alcanado. Em uma primeira anlise pode se fazer
uma listagem completa de todos os riscos possveis e imaginveis. Depois podem ser
selecionados os riscos mais significativos para que o trabalho de gerenciamento de risco
tenha um custo / benefcio adequado.
Aes Para cada risco selecionado e definido como significante para o processo de
gerenciamento de riscos, devemos identificar aes que possam minimizar a ocorrncia
desse risco. Essas aes podem j existir ou no. Na medida em que esses elementos
forem sendo identificados em um nmero crescente, temos a necessidade de avaliar a
prioridade e importncia de todo esse material. Mas, que parmetros devemos tomar por
base ? Quais as avaliaes que devemos fazer ? Para cada um dos elementos sugerimos
que sejam analisados: Importncia para o negcio Cada objetivo deve ser avaliado sobre
a sua importncia para o negcio da organizao.
Probabilidade de ocorrncia;
Grau de minimizao do risco;
Esforo a ser dispendido.

3.3.1

A anlise

A anlise de risco consiste em um processo de identificao e avaliao dos fatores de risco

presentes e de forma antecipada no Ambiente Organizacional, possibilitando uma viso do
impacto negativo causado aos negcios.
Atravs da aplicao deste processo, possvel determinar as prioridades de ao em
funo do risco identificado, para que seja atingido o nvel de segurana desejado pela
organizao. Proporciona tambm informaes para que se possa identificar o tamanho e o
tipo de investimento necessrio de forma antecipada aos impactos na Organizao
causados pela perda ou indisponibilidade dos recursos fundamentais para o negcio. Sem

um processo como este no so possveis identificar a origem das vulnerabilidades, nem

visualizar os riscos.
Utiliza-se como mtrica as melhores prticas de segurana da informao do mercado,
apontadas na norma ISO/IEC 17799. A partir destas informaes faz-se possvel
elaborao do perfil de risco, que segue a frmula: (Ameaa) x (Vulnerabilidade) x (Valor do
Ativo) = RISCO. Ateno: a ISO/IEC 17799 no ensina a analisar o risco, serve apenas
como referncia normativa.

A - Por que fazer uma anlise de risco?

Durante o planejamento do futuro da empresa, a Alta Administrao deve garantir que todos
os cuidados foram tomados para que seus planos se concretizem. A formalizao de uma
Anlise de Risco prov um documento indicador de que este cuidado foi observado. O
resultado da Anlise de Risco d organizao o controle sobre seu prprio destino
atravs do relatrio final, pode-se identificar quais controles devem ser implementados em
curto, mdio e longo prazo. H ento uma relao de valor; ativos sero protegidos com
investimentos adequados ao seu valor e ao seu risco.

B - Quando fazer uma anlise de riscos ?

Uma anlise de riscos deve ser realizada sempre antecedendo um investimento. Antes
de a organizao iniciar um projeto, um novo processo de negcio, o desenvolvimento de
uma ferramenta ou at mesmo uma relao de parceria, deve-se mapear, identificar e
assegurar os requisitos do negcio. Em situaes onde a organizao nunca realizou uma
Anlise de Risco, recomendamos uma validao de toda a estrutura.
C - Quem deve participar da anlise de riscos?
O processo de anlise de riscos deve envolver especialistas em anlise de riscos e
especialistas no negcio da empresa esta sinergia possibilita o foco e a qualidade do
projeto. Um projeto de Anlise de Risco sem o envolvimento da equipe da empresa, muito
dificilmente retratar a real situao da operao.
D - Quanto tempo o projeto deve levar?
A execuo do projeto deve ser realizada em tempo mnimo. Em ambientes dinmicos a
tecnologia muda muito rapidamente. Um projeto com mais de um ms em determinados
ambientes , ao final, pode estar desatualizado e no corresponder ao estado atual da
organizao. A forma para descobrir se existe algum risco em um projeto e se o mesmo
aceitvel, apresentada na prxima figura:

10

11

4 CONTINGNCIA OU PLANO DE CONTINUIDADE DE

NEGCIOS
Num mundo de negcios competitivo como o de hoje, as empresas simplesmente no
podem mais ficar indisponveis para seus clientes mesmo que tenham problemas com seus
processos de negcios, recursos e / ou dados e informaes. Velocidade de processamento
e de decises, altssima disponibilidade, flexibilidade e foco em produtos de acordo com o
mercado so requisitos fundamentais para "sobrevivncia e sucesso". Porm, se no houver
Planejamento para Segurana e Contingncia adequados, alguns ou at todos requisitos
estaro ameaados e, conseqentemente, a empresa ameaada.

4.1

Definies

Plano de Contingncia Um plano para a resposta de emergncia, operaes backup, e

recuperao de aps um desastre em um sistema como a parte de um programa da
segurana para assegurar a disponibilidade de recursos de sistema crticos e para facilitar a
continuidade das operaes durante uma crise.
Disponibilidade A propriedade que e um sistema ou um recurso de sistema de estarem
acessveis e utilizveis sob demanda por uma entidade autorizada pelo o sistema, de acordo
com especificaes de desempenho projetadas para o sistema; isto , um sistema que est
disponvel para fornecer servios de acordo com o projeto do sistema sempre que pedido
por seu usurio.
Confiabilidade A habilidade de um sistema de executar uma funo requerida sob
condies indicadas por um perodo de tempo especificado.
Sobrevivncia - A habilidade de um sistema de continuar em operao ou existindo
apesar das condies adversas, inclui as ocorrncias naturais, aes acidentais, e ataques
ao sistema.

4.2

Conceitos

Diferentemente do que se pensava h alguns anos sobre definio de Continuidade de

Negcio, quando o conceito estava associado sobrevivncia das empresas
principalmente atravs das suas estratgias comerciais, reduo de custos com
produtividade e fortalecimento da marca , observa-se atualmente uma mudana que cria
um novo conceito associado a um modelo de gesto mais abrangente, onde todos os
componentes e processos essenciais ao negcio tenham os seus risco de inoperncia ou
paralisao

minimizadas

por

Planos

de

Continuidade

de

Negcios

atualizados,

documentados e divulgados corretamente. Na poca em que o antigo conceito era usado,

12

todas as preocupaes referentes a inoperabilidade dos componentes (sejam estes de

suporte tecnologia ou aos processos) eram tratadas isoladamente por cada gestor ou
tcnico responsvel que, como no possuam uma visualizao necessria de todas as
interdependncias existentes, no orientavam a implementao s atividades fins da
empresa. Em um primeiro momento imagina-se que Planos de Continuidade visam permitir
que os negcios sejam mantidos da mesma forma durante o regime de contingncia. Este
tipo de raciocnio restrito. O que devemos levar em conta "o que que nossos clientes
precisam ?" E assim considerar "a continuidade de que servios (ou da oferta de que
produtos) nossos clientes esperam de ns ?".
Seria necessrio ento criar uma soluo onde todas as reas pudessem ter uma viso
global dos seus inter-relacionamentos e, com isto seria possvel definir critrios referentes
ao custo de recuperao, de inoperncia ou de impacto refletidos na atividade fim da
empresa. Quando se enumerava os grandes viles responsveis pela indisponibilidade e o
caos nas empresas, pensava-se em desastres como as ameaas naturais, terremotos,
inundaes e outros similares. Porm, estes fatores perderam terreno para as
vulnerabilidades herdadas pelas empresas em decorrncia do aumento desenfreado, e
necessrias, das novas tecnologias.
Com isso, o conceito de desastre, antes atrelado ao caos gerado por fatores naturais, vem
sendo substitudo pelo conceito de evento, que a concretizao de uma ameaa
previamente identificada, podendo ser seguido ou no de um desastre. Por exemplo, o
recebimento de um vrus por um usurio de e-mail identifica-se como um evento at que o
programa seja executado, resultando na perda de dados, o que seria um desastre,
considerando o valor das informaes atingidas.
Nos dias de hoje, aps os atentados nos Estados Unidos, intensifica-se um conceito de
estado de alerta para o Plano de Continuidade de Negcios denominado Plano de
Administrao de Crise, onde todas as medidas para o estado de vigilncia e aes de
resposta emergenciais devem estar documentadas e destinadas s equipes de planto
responsveis pela sua execuo.
Atravs destas medidas, observamos cada vez mais que a continuidade dos processos e
negcios est atrelada no somente recuperao ou ao contingenciamento dos processos
vitais, mas tambm vigilncia contnua dos eventos.
Sendo assim, quando possvel a identificao imediata da probabilidade da ocorrncia de
um evento que ocasionar a indisponibilidade de um processo crtico ou vital, este dever
ser tratado como uma situao de crise aplicando-se o plano de controle e administrao
para a reduo do risco desta ocorrncia.

13

4.3

Estratgias de Contingncia

Estratgia de Contingncia Hot-site Recebe este nome por ser uma estratgia
quente ou pronta para entrar em operao assim que uma situao de risco ocorrer. O
tempo de operacionalizao desta estratgia est diretamente ligado ao tempo de tolerncia
a falhas do objeto. Se a aplicssemos em um equipamento tecnolgico, um servidor de
banco de dados, por exemplo, estaramos falando de milessegundos de tolerncia para
garantir a disponibilidade do servio mantido pelo equipamento.
Estratgia de Contingncia Warm-site Esta se aplica a objetos com maior tolerncia
paralisao, podendo se sujeitar indisponibilidade por mais tempo, at o retorno
operacional da atividade. Tomemos, como exemplo, o servio de e-mail dependente de uma
conexo. Vemos que o processo de envio e recebimento de mensagens mais tolerante
que o exemplo usado na estratgia anterior, pois poderia ficar indisponvel por minutos,
sem, no entanto, comprometer o servio ou gerar impactos significativos.
Estratgia de Contingncia Cold-site Dentro do modelo de classificao nas
estratgias anteriores, esta prope uma alternativa de contingncia a partir de um ambiente
com os recursos mnimos de infra-estrutura e telecomunicaes, desprovido de recursos de
processamento de dados. Portanto, aplicvel situao com tolerncia de indisponibilidade
ainda maior.
Estratgia de Contingncia de Realocao de Operao Como o prprio nome
denuncia, esta estratgia objetiva desviar a atividade atingida pelo evento que provocou a
quebra de segurana, para outro ambiente fsico, equipamento ou link, pertencentes
mesma empresa. Esta estratgia s possvel com a existncia de folgas de recursos que
podem ser alocados em situaes de crise. Muito comum essa estratgia pode ser
entendida pelo exemplo que se redireciona o trfego de dados de um roteador ou servidos
com problemas para outro que possua folga de processamento e suporte o acmulo de
tarefas.
Estratgia de Contingncia Bureau de Servios Considera a possibilidade de
transferir a operacionalizao da atividade atingida para um ambiente terceirizado; portanto,
fora dos domnios da empresa. Por sua prpria natureza, em que requer um tempo de
tolerncia maior em funo do tempo de reativao operacional da atividade, torna-se
restrita a poucas situaes. O fato de ter suas informaes manuseadas por terceiros e em
um ambiente fora de seu controle, requer ateno na adoo de procedimentos, critrios e
mecanismos de controle que garantam condies de segurana adequadas relevncia e
criticidade da atividade contingenciada.
Estratgia de Contingncia Acordo de Reciprocidade Muito conveniente para
atividades que demandariam investimentos de contingncia inviveis ou incompatveis com

14

a importncia da mesma, esta estratgia prope a aproximao e um acordo formal com

empresas que mantm caractersticas fsicas, tecnolgicas ou humanas semelhantes a sua,
e que estejam igualmente dispostas a possuir uma alternativa de continuidade operacional.
Estabelecem em conjunto as situaes de contingncia e definem os procedimentos de
compartilhamento de recursos para alocar a atividade atingida no ambiente da outra
empresa. Desta forma, ambas obtm reduo significativa dos investimentos. Apesar do
notrio benefcio, todas as empresas envolvidas precisam adotar procedimentos
personalizados e mecanismos que reduzam a exposio das informaes que,
temporariamente, estaro circulando em ambiente de terceiros. Este risco se agrava quando
a reciprocidade ocorre entre empresas pseudoconcorrentes que se unem exclusivamente
com o propsito de reduzir investimentos, precisando faz-lo pela especificidade de suas
atividades, como por exemplo, no processo de impresso de jornais.
Estratgia de Contingncia Auto-suficincia Aparentemente uma estratgia
impensada, a auto-suficincia , muitas vezes, a melhor ou nica estratgia possvel para
determinada atividade. Isso ocorre quando nenhuma outra estratgia aplicvel, quando os
impactos possveis no so significativos ou quando estas so inviveis, seja
financeiramente, tecnicamente ou estrategicamente. A escolha de qualquer uma das
estratgias estudadas at o momento depende diretamente do nvel de tolerncia que a
empresa pode suportar e ainda depende do nvel de risco que seu executivo est disposto a
correr. Esta deciso pressupe a orientao obtida por uma anlise de riscos e impactos
que gere subsdios para apoiar a escolha mais acertada.

4.4

Planos de Contingncia

So desenvolvidos para cada ameaa considerada em cada um dos processos do negcio

pertencentes ao escopo, definindo em detalhes os procedimentos a serem executados em
estado de contingncia. acertadamente subdividido em trs mdulos distintos e
complementares que tratam especificamente de cada momento vivido pela empresa.
Plano de Administrao de Crise Este documento tem o propsito de definir passo-apasso o funcionamento das equipes envolvidas com o acionamento da contingncia antes,
durante e depois da ocorrncia do incidente. Alm disso, tem que definir os procedimentos a
serem executados pela mesma equipe no perodo de retorno normalidade. O
comportamento da empresa na comunicao do fato imprensa um exemplo tpico de
tratamento dado pelo plano.
Plano de Continuidade Operacional Tem o propsito de definir os procedimentos para
contingenciamento dos ativos que suportam cada processo de negcio, objetivando reduzir

15

o tempo de indisponibilidade e, conseqentemente, os impactos potenciais ao negcio.

Orientar as aes diante da queda de uma conexo Internet, exemplificam os desafios
organizados pelo plano.
Plano de Recuperao de Desastres Tem o propsito de definir um plano de
recuperao e restaurao das funcionalidades dos ativos afetados que suportam os
processo de negcio, a fim de restabelecer o ambiente e as condies originais de
operao.
fator crtico de sucesso estabelecer adequadamente os gatilhos de acionamento para
cada plano de contingncia. Estes gatilhos de so parmetros de tolerncia usados para
sinalizar o incio da operacionalizao da contingncia, evitando acionamentos prematuros
ou tardios. Dependendo das caractersticas do objeto da contingncia, os parmetros
podem ser: percentual de recurso afetado, quantidade de recursos afetados, tempo de
indisponibilidade, impactos financeiros, etc.

4.4.1

Principais fases de elaborao do plano de contingncia

Corporativo
O Plano de Contingncia Corporativo prov a avaliao de todas as funes de negcio,
juntamente com a anlise do ambiente de negcios em que a empresa se insere, ganhandose uma viso objetiva dos riscos que ameaam a organizao. Com o Plano de
Contingncia, ela poder se assegurar de que possui o instrumental e treinamento
necessrios para evitar que interrupes mais srias em sua infra-estrutura operacional
possam afetar sua sade financeira.
A metodologia do Programa do Plano de Contingncia consiste de 6 passos:
1 Avaliao do projeto: escopo e aplicabilidade;
2 Anlise de risco;
3 Anlise de impacto em negcios;
4 Desenvolvimento dos planos de recuperao de desastres;
5 Treinamento e teste dos planos;
6 Implementao e manuteno;

Riscos Envolvidos
So vrios os riscos envolvidos na criao e anlise de um Plano de Contingncia. Observe
a figura abaixo.

16

Mais informaes
O NIST National Institute of Standards and Technology
(http://www.nist.gov/) criou um documento intitulado Contingency Planning
Guide for Information Technology Systems que demonstra os conceitos j
explicados aqui e mtodos / exemplos de como aplicar e realizar um Plano de
Continuidade de Negcios.

17

4.5

Barreiras de Segurana

Conceitualmente, diante da amplitude e complexidade do papel da segurana, comum

estudarmos os desafios em camadas ou fases particionando todo o trabalho para tornar
mais claro o entendimento de cada uma delas. Chamamos esta diviso de barreiras.
Cada uma delas tem uma participao importante no objetivo maior de reduzir os riscos, e
por isso, deve ser dimensionada adequadamente para proporcionar a mais perfeita
interao e integrao, como se fossem peas de um nico quebra-cabea.

Barreira 1: Desencorajar Esta a primeira das cinco barreiras de segurana e cumpre o

papel importante de desencorajar as ameaas. Estas, por sua vez, podem ser desmotivadas
ou podem perder o interesse e o estmulo pela tentativa de quebra de segurana por efeito
de mecanismo fsicos, tecnolgicos ou humanos. A simples presena de uma cmera de
vdeo, mesmo falsa, de um aviso da existncia de alarmes, campanhas de divulgao da
poltica de segurana ou treinamento dos funcionrios informando as prticas de auditoria e
monitoramento de acesso aos sistemas, j so efetivos nesta fase.

Barreira 2: Dificultar O papel desta barreira complementar anterior atravs da adoo

efetiva dos controles que iro dificultar o acesso indevido. Como exemplo, podemos citar os
dispositivos de autenticao para acesso fsico, como roletas, detectores de metal e

18

alarmes, ou lgicos, como leitores de carto magntico, senhas, smartcards e certificados

digitais, alm da criptografia, firewall, etc.

Barreira 3: Discriminar Aqui o importante se cercar de recursos que permitam

identificar e gerir os acessos, definindo perfis e autorizando permisses. Os sistemas so
largamente empregados para monitorar e estabelecer limites e acesso aos servios de
telefonia, permetros fsicos, aplicaes de computador e bancos de dados. Os processos
de avaliao e gesto do volume de usos dos recursos, como e-mail, impressora, ou at
mesmo o fluxo de acesso fsico aos ambientes, so bons exemplos das atividades desta
barreira.

Barreira 4: Detectar Mais uma vez agindo de forma complementar s suas

antecessoras, esta barreira deve munir a soluo de segurana d dispositivos que sinalizem,
alertem e instrumentam os gestores da segurana na deteco de situaes de risco. Seja
em uma tentativa de invaso, uma possvel contaminao por vrus, o descumprimento da
poltica de segurana da empresa, ou a cpia e envio de informaes sigilosas de forma
inadequada.

Entram aqui os sistemas de monitoramento e auditoria para auxiliar na identificao de

atitudes de exposio, como o antivrus e os sistema de deteco de intrusos, que
reduziram o tempo de resposta a incidentes.

Barreira 5: Deter Representa o objetivo de impedir que a ameaa atinja os ativos que
suportam o negcio. O acionamento desta barreira, ativando seus mecanismos de controle,
um sinal de que as barreiras anteriores no foram suficientes para conter a ao da
ameaa. Neste momento, medidas de deteno, como aes administrativas, punitivas e
bloqueio de acessos fsicos e lgicos, respectivamente a ambientes e sistemas, so bons
exemplos.

Barreira 6: Diagnosticar Apesar de representar a ltima barreira no diagrama, esta fase

tem um sentido especial de representar a continuidade do processo de gesto de
segurana. Pode parecer o fim, mas o elo de ligao com a primeira barreira, criando um
movimento cclico e contnuo.
Devido a esses fatores esta a barreira de maior importncia. Deve ser conduzida por
atividades de anlise de riscos que considerem tanto os aspectos tecnolgicos quanto os

19

fsicos e humanos, sempre orientados s caractersticas e s necessidades especficas dos

processos de negcio da empresa.
importante notar que um trabalho preliminar de diagnstico mal conduzido ou executado
sem metodologia e instrumentos que confiram maior preciso ao processo de levantamento
e anlise de riscos, poder distorcer o entendimento da situao atual de segurana e
simultaneamente a situao desejada. Desta forma, aumenta a probabilidade de se
dimensionar inadequadamente estas barreiras, distribuindo os investimentos de forma
desproporcional, redundante muitas vezes, e pior, de forma ineficaz. O retorno sobre
investimento no corresponder s expectativas e a empresa no atingir o nvel de
segurana adequado natureza de suas atividades.

POLTICAS DE SEGURANA

A poltica de segurana apenas a formalizao dos anseios da empresa quanto proteo

das informaes ou um mecanismo preventivo de proteo dos dados e processos
importantes de uma organizao que define um padro de segurana a ser seguido pelo
corpo tcnico e gerencial e pelos usurios, internos ou externos. Pode ser usada para definir
as interfaces entre usurios, fornecedores e parceiros e para medir a qualidade e a
segurana dos sistemas atuais.
Em um pas, temos a legislao que deve ser seguida para que tenhamos um padro de
conduta considerado adequado s necessidades da nao para garantia de seu progresso e
harmonia. No havia como ser diferente em uma empresa. Nesta, precisamos definir
padres de conduta para garantir o sucesso do negcio. Ainda fazendo um paralelo com a
legislao, temos nesta: leis, decretos, medidas provisrias entre outras.
Uma poltica de segurana atende a vrios propsitos:
1 Descreve o que est sendo protegido e por qu;
2 Define prioridades sobre o que precisa ser protegido em primeiro lugar e com qual custo;
3 Permite estabelecer um acordo explcito com vrias partes da empresa em relao ao
valor da segurana;
4 Fornece ao departamento de segurana um motivo vlido para dizer no quando
necessrio;
5 Proporciona ao departamento de segurana a autoridade necessria para sustentar o
no;
6 Impede que o departamento de segurana tenha um desempenho ftil.
A poltica de segurana de informaes deve estabelecer princpios institucionais de como a
organizao ir proteger, controlar e monitorar seus recursos computacionais e,

20

conseqentemente, as informaes por eles manipuladas. importante que a poltica

estabelea ainda as
responsabilidades das funes relacionadas com a segurana e discrimine as
principais ameaas, riscos e impactos envolvidos.
A poltica de segurana deve ir alm dos aspectos relacionados com sistemas de
informao ou recursos computacionais, ela deve estar integrada com as polticas
institucionais da empresa, metas de negcio e ao planejamento estratgico da empresa. A
prxima figura mostra o relacionamento da poltica de segurana de informaes com a
estratgia da organizao, o plano estratgico de informtica e os diversos projetos
relacionados.

5.1 Armadilhas
Se uma boa poltica de segurana o recurso mais importante que se pode criar para tornar
uma rede segura, por que a maioria das empresas considera to difcil criar uma poltica
eficiente? Existem vrias razes principais.
Prioridade: A poltica importante, mas hoje tarde preciso que algum coloque o
servidor da Web on-line. Se for necessrio que as pessoas deixem de cuidar do que
consideram urgentes e usem o tempo para concordar com a poltica de segurana, ser
muito difcil ter sucesso.
Poltica interna: Em qualquer empresa, grande ou pequena, vrios fatores internos afetam
qualquer deciso ou prtica.

21

 Propriedade: De uma maneira bastante estranha, em algumas empresas existe uma briga
entre vrios grupos que desejam ser os donos da poltica e, em outras empresas, a briga
ocorre entre vrios grupos que explicitamente no querem ser os responsveis pela poltica.
Dificuldade para escrever: Uma boa poltica um documento difcil de se organizar de
maneira precisa, principalmente quando necessrio que seja abrangente. No possvel
prever todos os casos e todos os detalhes. Algumas sugestes para ajudar a solucionar
esses problemas:
Uma boa poltica hoje melhor do que uma excelente poltica no prximo ano;
Uma poltica fraca, mas bem-distribuda, melhor do que uma poltica forte que ningum
leu;
Uma poltica simples e facilmente compreendida melhor do que uma poltica confusa e
complicada que ningum se d o trabalho de ler;
Uma poltica cujos detalhes esto ligeiramente errados muito melhor do que uma poltica
sem quaisquer detalhes;
Uma poltica dinmica que atualizada constantemente melhor do que uma poltica que
se torna obsoleta com o passar do tempo;
Costuma ser melhor se desculpar do que pedir permisso.

5.2

Como Organizar um Golpe de Mestre

Existe uma forma de estabelecer uma poltica decente em sua empresa. No perfeita nem
sem riscos, mas se conseguir administr-la, voc economizar muito tempo e dificuldades.
O processo o seguinte:
1. Escreva uma poltica de segurana para sua empresa. No inclua nada especfico.
Afirme generalidades. Essa poltica no dever ocupar mais de cinco pginas. Nem sero
necessrios mais de dois dias para escrev-la. Pense em escrev-la durante o fim de
semana, assim no ser perturbado. No pea ajuda. Faa de acordo com suas prprias
ideias. No tente torn-la perfeita, procure apenas reunir algumas ideias essenciais. No
necessrio que esteja completa e no precisa ser de uma clareza absoluta.
2. Descubra trs pessoas dispostas a fazer parte do comit de poltica de
segurana. A tarefa dessas pessoas ser criar regras e emendas para a poltica, sem
modific-la. As pessoas do comit devero estar interessadas na existncia de uma poltica
de segurana,pertencer a partes diferentes da empresa, se possvel, e estar dispostas a se
encontrarem rapidamente uma ou duas vezes por trimestre. Deixe claro que a aplicao da
poltica e a soluo de qualquer problema relacionado so sua responsabilidade e no
delas. O trabalho do comit ser o de legisladores e no de executores.

22

3. Crie um site interno sobre a poltica e inclua uma pgina para entrar em contato
com o comit. medida que as emendas forem escritas e aprovadas, acrescente-as ao
site to depressa quanto possvel.
4. Trate a poltica e as emendas como regras absolutas com fora de lei. No faa nada
que possa violar a poltica e no permita que ocorram violaes. Em algum momento, a
administrao notar o que est acontecendo. Permita e incentive que administrao se
envolva no processo tanto quanto possvel, a no ser que o pessoal da administrao
pretenda simplesmente eliminar a sua poltica e deix-lo com nada. Oriente-os para a
criao de uma poltica nova e melhor. No ser possvel engaj-los a menos que realmente
o queiram e este um mtodo excelente para envolv-los. Se eles continuarem
interessados, voc ser capaz de estabelecer uma poltica com o aval da administrao. Se
eles passarem a se ocupar de outras coisas, sua poltica seguir no processo em
andamento.
5. Se algum tiver algum problema com a poltica, faa com que a pessoa proponha
uma emenda. A emenda poder ter apenas uma pgina. Dever ser to genrica quanto
possvel. Para se tornar uma emenda, ser necessrio que dois dos trs (ou mais) membros
do comit de poltica concordem.
6. Programe um encontro regular para consolidar a poltica e as emendas. Esse
encontro dever acontecer uma vez por ano e dever envolver voc e o comit de poltica
de segurana. O propsito desse encontro , considerando a poltica e possveis emendas,
combin-los em uma nova declarao de poltica de cinco pginas. Incentive o prprio
comit a redigi-la, se preferir, mas provavelmente o melhor procedimento ser dedicar um
fim de semana para escrever outro rascunho da poltica, incluindo todas as emendas.
7. Repita o processo novamente. (item 3 em diante). Exponha a poltica no site, trate-a
como uma lei, envolva as pessoas da administrao, se desejarem ser envolvidas,
acrescente emendas conforme seja necessrio e revise tudo a cada ano. Continue repetindo
esse processo, enquanto for possvel.

5.3

Divises da Poltica de Segurana

Podemos dividir essa documentao em trs tipos de texto a serem elaborados. So eles:

5.3.1

Texto em nvel estratgico

H situaes no dia-a-dia em que precisamos tomar decises. E, de vez em quando, o bom

senso a ferramenta usada pelos profissionais para a tomada de uma deciso. Sim, porque
se nunca ningum passou pela situao antes e no h nenhuma orientao da empresa

23

para o que fazer quando ela acontece, o talento o responsvel pela definio entre a
genialidade da resoluo do problema ou a loucura de quem tomou a deciso errada.
Vamos a um exemplo: "A segurana da informao deve ser estabelecida desde que no
inviabilize o negcio da instituio". A frase no disse muito para aqueles que esto
procurando "po, po; queijo, queijo", mas, em compensao, disse tudo para aquele
indivduo que se encontra na seguinte situao:

O telefone toca:
- Preciso que voc libere uma regra do firewall para que eu possa realizar uma operao.
Se ele liberar o acesso ao equipamento, pode ser punido porque tomou uma deciso que,
para todos, obviamente errada. Todos sabem que liberar aquele acesso abrir uma
vulnerabilidade no sistema, mas, se ele no liberar esse acesso, a empresa deixar de
executar uma operao crucial para a continuidade de um projeto que precisa
necessariamente ser terminado hoje.
O que fazer?
Lendo a frase escrita acima, o funcionrio pode tomar sua deciso (liberar o acesso, apesar
de expor momentaneamente a empresa) com a conscincia limpa, sabendo que ser
parabenizado pela sua competncia e alinhamento com os valores da empresa. Ento,
chegamos palavra chave quando falamos em nvel estratgico: valores, ou seja, um
RUMO a ser seguido.

5.3.2

Texto em nvel ttico

Analisemos o comentrio:
Minha empresa tem filiais em 3 cidades brasileiras, e as redes desses trs locais so
completamente distintas em funcionamento e padres. Uma vez precisamos levantar um
histrico de um projeto interno, e em uma das filiais esse histrico no existia. Se fosse na
minha filial, existiria. Por que a diferena?
Simples. Ningum disse ao administrador do banco de dados daquela filial que a cpia de
segurana do banco precisava ser armazenada por 6 meses. O funcionrio daquela cidade
achou que era suficiente guardar as fitas durante 1 ms. Aps esse perodo, as fitas eram
reutilizadas para novas cpias de segurana.
"As cpias de segurana de informaes referentes a projetos devem permanecer
inalteradas durante o perodo de 6 meses aps a sua efetuao." Concordam que essa
frase resolveria o problema? A palavra chave para o nvel ttico : padronizao de
ambiente.

24

Equipamentos, software, senhas, utilizao de correio eletrnico, cpias de segurana,

segurana fsica etc. Tudo isso precisa e deve ser padronizado. Isso faz com que todos os
pontos da empresa tenham o mesmo nvel de segurana e no tenhamos um elo mais fraco
na corrente.

5.3.3

Texto em nvel operacional

Na mesma empresa onde tivemos problemas com backup, em uma das cidades ningum
consegue receber e-mails com planilhas anexadas. Obviamente, o que deve estar
acontecendo nesse estado que o administrador, sabiamente ou no, colocou um limite
para mensagens de email do tipo: caso ela seja maior do que X, no receba.
Por que temos esse problema, ou soluo, apenas nesse estado? Porque ningum disse
como configurar o equipamento. Nesses casos, preciso ser minucioso na definio da
padronizao, visto que s vezes o "clicar" de uma "caixinha de configurao" pode ter
impacto relevante no funcionamento do ambiente de TI da empresa e, talvez, nos negcios
da empresa.
A palavra chave nesse caso : detalhamento para garantir perfeio no atendimento e
continuidade dos negcios, independentemente do fator humano. Se a configurao est no
papel, no h como ser realizada de forma diferente.
A parte operacional da poltica de segurana vem exatamente para padronizar esses
detalhes de configuraes dos ambientes. Podemos ter um padro nacional ou, quem sabe,
um padro por estado. Isso ir depender da necessidade da empresa. O importante
sabermos que precisamos desse padro. As pessoas possuem conhecimentos diferentes e
aposto todas as minhas fichas que, em qualquer empresa sem uma poltica de segurana
(leiase qualquer tipo de papel definindo o que e como deve ser feito), a configurao de uma
cidade no ser igual configurao de uma outra.

5.4

Contedo da Poltica de Segurana

Algumas questes cuja incluso em uma poltica de segurana dever ser levada em
considerao:
O que estamos protegendo?
Se no souber o que e por que est defendendo, no ser possvel defend-lo
Saber que est sendo atacado representa mais da metade da batalha. Descreva de
forma razoavelmente detalhada os tipos de nveis de segurana esperados para sua
empresa. Por exemplo, caracterize as mquinas da rede da seguinte maneira:
Vermelho Contm informaes extremamente confidenciais ou fornece servios
essenciais;

25

 Amarelo Contm informaes sensveis ou fornece servios importantes.

Verde Capaz de ter acesso s mquinas vermelhas ou amarelas, mas no armazena
informaes sensveis nem executa funes cruciais de uma maneira direta.
Branco Sem acesso aos sistemas vermelho, amarelo ou verde e no pode ser acessado
externamente. Sem funes ou informaes sensveis.
Preto Acessvel externamente. Sem acesso aos sistemas vermelho, amarelo, verde ou
branco. Reunindo essas informaes, voc agora ter um vocabulrio para descrever todas
as mquinas existentes na rede e o nvel de segurana a se atribudo a cada mquina. A
mesma nomenclatura permitir descrever as redes, alm de exigir, por exemplo, que as
mquinas vermelhas estejam conectadas s redes vermelhas e assim por diante.

5.5

Mtodos de Proteo

Descrever as prioridades para a proteo da rede. Por exemplo, as prioridades

organizacionais podero ser as seguintes:
1. Sade e segurana humana;
2. Conformidade com a legislao aplicvel local, estadual e federal;
3. Preservao dos interesses da empresa;
4. Preservao dos interesses dos parceiros da empresa;
5. Disseminao gratuita e aberta de informaes no-sensveis.
Descrever qualquer poltica de carter geral para o acesso de cada categoria do sistema, e
ainda criar um ciclo de qualificao que ir descrever com que freqncia uma mquina de
determinado tipo de usurio dever ser examinada para verificar se ainda est configurada
corretamente de acordo com seu status de segurana.

5.6

Responsabilidades

Descrever as responsabilidades (e, em alguns casos, os privilgios) de cada classe de

usurios do sistema.
Geral
o Conhecimento dessa poltica;
o Todas as aes de acordo com essa poltica;
o Informar segurana qualquer violao conhecida a essa poltica;
o Informar segurana qualquer suspeita de problemas com essa poltica.
Administrador de sistema / Operaes
o Todas as informaes sobre os usurios sero tratadas como confidenciais;
o No ser permitido acesso no-autorizado a informaes confidenciais;

26

o Assegurar todas as aes consistentes com o cdigo de conduta de um administrador de

sistemas.
Administrador de segurana
o Mais alto nvel de conduta tica;
o Assegurar todas as aes consistentes com o cdigo de conduta de um responsvel pela
segurana;
Contratado
o Acesso a mquinas especificamente autorizadas na forma especificamente autorizada;
o Solicitar autorizao prvia por escrito para qualquer ao que possa ser interpretada
como uma questo de segurana.
Convidado
o Nenhum acesso a recursos de computao, a menos que haja notificao prvia por
escrito segurana.

5.7

Uso Adequado

Como os funcionrios devero ou no usar a rede.

Geral
o Uso pessoal mnimo durante o horrio comercial normal;
o Nenhuma utilizao da rede para atividades comerciais externas;
o Acesso a recursos de Internet consistentes com as polticas de
RH.
Administrador de sistemas
o Acesso responsvel a informaes sensveis ou pessoais na rede;
o Todo acesso especial justificado por operaes comerciais.
Segurana
o Acesso responsvel a informaes sensveis ou pessoais na rede;
o Todo acesso especial justificado por operaes comerciais ou segurana;
o Uso de ferramentas de segurana apenas para objetivos comerciais legtimos.
Contratado
o Nenhum acesso pessoal a qualquer tempo;
o Uso mnimo da rede e apenas por motivos especficos relativos a determinados contratos.
Convidado
o Nenhum uso da rede a qualquer tempo
Consequncias
Descrever como determinada a importncia de uma violao da poltica e as categorias de
conseqncias.

27

Penalidades
Descrever quais as penalidades de acordo com o nvel do descumprimento de um item da
poltica de segurana.
Crtica
o Recomendao para demisso;
o Recomendao para abertura de ao legal
Sria
o Recomendao para demisso;
o Recomendao para desconto de salrio
Limitada
o Recomendao para desconto de salrio
o Repreenso formal por escrito
o Suspenso no-remunerada

28