Entendendo os fundamentos da Segurança da Informação

Autor: Ítalo Diego Teotônio

Segurança da Informação

Segurança da informação é o processo de proteger a informação de diversos tipos de ameaças externas e internas para garantir a continuidade dos negócios, minimizar os danos aos negócios e maximizar o retorno dos investimentos e as oportunidades de negócio. Segurança se faz protegendo todos os elos da corrente, ou seja, todos os ativos (físicos, tecnológicos e humanos) que compõem seu negócio.

Os três princípios fundamentais da segurança da informação:

Confidencialidade (sigilo): É a garantia de que a informação não será conhecida por quem não deve. O acesso às informações deve ser limitado, ou seja, somente as pessoas explicitamente autorizadas podem acessá-las. Perda de confidencialidade significa perda de segredo. Se uma informação for confidencial, ela será secreta e deverá ser guardada com segurança, e não divulgada para pessoas não-autorizadas.

Integridade: Esse princípio destaca que a informação deve ser mantida na condição em que foi liberada pelo seu proprietário, garantindo a sua proteção contra mudanças intencionais, indevidas ou acidentais. Em outras palavras, é a garantia de que a informação que foi armazenada é a que será recuperada.

Disponibilidade: É a garantia de que a informação deve estar disponível, sempre que seus usuários (pessoas e empresas autorizadas) necessitarem, não importando o motivo. Em outras palavras, é a garantia que a informação sempre poderá ser acessada.

Em uma corporação, a segurança está ligada a tudo o que manipula direta ou indiretamente a informação (inclui-se aí também a própria informação e os usuários), e que merece proteção.

Ativos

Ativos são os elementos que sustentam a operação do negócio. Eles podem ser classificados em:

- Tangíveis: informações impressas, móveis, hardware (Ex.: impressoras,scanners);

- Intangíveis: marca de um produto, nome da empresa, confiabilidade de um órgão federal etc.;

- Lógicos: informações armazenadas em uma rede, sistema ERP (sistema de gestão integrada) etc.;

- Físicos: galpão, sistema de eletricidade, estação de trabalho etc.;

- Humanos: funcionários

Os ativos são os elos da corrente e estes sempre trarão consigo vulnerabilidades que, por sua vez, submetem os ativos a ameaças.

Vulnerabilidades

Vulnerabilidades de Hardware

Compreendem possíveis defeitos de fabricação, erros de configuração ou falhas nos equipamentos. Como exemplos citam-se erros decorrentes da instalação, desgaste, obsolescência ou má utilização do equipamento.

Vulnerabilidades de Software

São possíveis falhas de programação, erros de instalação e configuração, que podem, por exemplo, causar acesso indevido, vazamento de informações, perda de dados.

Vulnerabilidades de Armazenamento

Relacionadas com a forma de utilização das mídias (disquetes, CD-ROMs, fitas magnéticas, discos rígidos dos servidores, etc.) em que estão armazenadas as informações, como também o armazenamento de fitas em local inadequado.

Vulnerabilidades de Comunicação

Relacionadas com o tráfego de informações, independente do meio de transmissão, podendo envolver ondas de rádio, satélite, fibra ótica etc. Podem, por exemplo, permitir acesso não autorizado ou perda de dados durante a transmissão de uma informação.

Vulnerabilidades Humanas

Relacionadas aos danos que as pessoas podem causar às informações e ao ambiente tecnológico que as suporta, podendo ser intencionais ou não. Podem ocorrer devido a desconhecimentos das medidas de segurança, falta de capacitação para execução da tarefa dentro dos princípios de segurança, erros e omissões.

Ameaças

Ameaça é algo que possa provocar danos à segurança da informação, prejudicar as ações da empresa e sua sustentação no negócio, mediante a exploração de uma determinada vulnerabilidade.

Ameaça pode ser uma pessoa, uma coisa, um evento ou uma ideia capaz de causar dano a um recurso, em termos de confidencialidade, integridade, disponibilidade, etc.

Ameaças externas: São aqui representadas por todas as tentativas de ataque e desvio de informações vindas de fora da empresa. Normalmente essas tentativas são realizadas por pessoas com a intenção de prejudicar a empresa ou para utilizar seus recursos para invadir outras empresas.

Ameaças internas: Estão presentes, independentemente das empresas estarem ou não conectadas à Internet. Podem causar desde incidentes leves até os mais graves, como a inatividade das operações da empresa

FONTE: CorpTV