# data[].attributes.attachment_link.readable_text
Mais do que estratégica, a segurança da informação é essencial para a proteção do conjunto de dados da corporação. E, como se sabe, são fundamentais para as atividades do negócio.

Quando bem aplicada, é capaz de blindar a empresa de ataques digitais, desastres tecnológicos ou falhas humanas. Porém, qualquer tipo de falha, por menor que seja, abre brecha para problemas.

É fundamental que os gestores compreendam a importância da segurança da informação, todos os aspectos envolvidos e técnicas e informações que auxiliam a aprimorar a segurança do negócio.

Continue lendo e saiba tudo o que é importante sobre segurança da informação, para que possa aplicá-la em sua rotina de trabalho.

O que é segurança da informação?

Ela não está restrita a sistemas comunicacionais, se aplicando a todos os aspectos de proteção de dados . Mas este conteúdo irá focar nesse aspecto, para facilitar o trabalho da área TI.

O que envolve a segurança da informação?

A segurança da informação se baseia nos seguintes pilares:

Ou seja, é necessário que as ações realizadas se dediquem a garantir esses quatro aspectos anteriores. E não é difícil compreender seu contexto na área de .

Por exemplo, um erro de confidencialidade pode expor dados estratégicos da organização para concorrentes, ou então um vazamento de dados de clientes realizado por .

Esse tipo de problema gera prejuízos financeiros e problemas com a imagem da corporação no mercado, evidenciando as falhas de segurança para o público.

Disponibilidade é outro ponto essencial, já que os dados precisam estar acessíveis no momento em que foram requisitados, principalmente para garantir a agilidade dos processos.

Isso pode ser impedido, por exemplo, por ataques de sequestro de dados ( ransomware ), que tem justamente a indisponibilidade como objetivo.

Por exemplo, o uso de informações de cartões de crédito pode levar a clonagem dos dados. E isso é evidenciado para o público que perde a confiança na empresa.

A pessoa saberá que foi uma falha de segurança gerada na organização que levou ao problema e deixará de ser cliente, bem como irá informar outros colegas sobre a situação.

E, em tempos de redes sociais, uma informação pode ser propagada rapidamente, gerando uma imagem ruim da área de segurança da informação da empresa, manchando seu nome como profissional.

Qual é a importância da segurança da informação para as empresas?

A segurança da informação é mais do que uma questão estratégica para a empresa: ela é uma das responsáveis pela possibilidade de funcionamento do negócio.

Se, por falhas tecnológicas, um servidor para de receber determinadas informações, a análise fica comprometida e, assim, pode-se gerar uma visão errada da situação atual.

Além disso, toda empresa trabalha com informações estratégicas em seu funcionamento: análise de concorrência, prospecção da criação de novos produtos ou serviços, análise de mercado, entre outros.

Muitos cibercriminosos, sabendo disso, tendem a realizar invasões a fim de obterem essas informações e vendê-las, a fim de fornecer vantagem competitiva. Portanto, é essencial se precaver.

Outro ponto essencial é: os cibercrimes têm crescido exponencialmente. E não é só para vazamento de informações, mas também para sequestro de dados (como os ataques ransomware ), ataques DDoS (que tornam as informações indisponíveis), entre outros.

E o Brasil está na mira dos : nós somos o segundo país no mundo com o maior número de crimes nessa área , atrás apenas da China, com um prejuízo de US$ 22 bilhões.

Por isso, é importante ter consciência do cenário em que estamos imersos e a necessidade real de evitar qualquer tipo de prejuízo mais grave para a empresa em que trabalha.

E isso só é possível por meio de um planejamento e implementação de medidas de segurança da informação que contemplem o negócio como um todo.

Essas medidas evitam que os problemas ocorram e, caso a situação se concretize, você tenha planos de contingência a serem aplicados.

Como aprimorar a segurança da informação por meio de 12 dicas práticas?

Não basta apenas implementar as práticas de segurança da informação - é necessário assegurar que não há brechas. Para isso, é preciso que sejam aplicadas as melhores ações nessa área.

Portanto, veja 12 dicas práticas que você deve implementar na sua área de TI o quanto antes e previna situações de risco que podem complicar o seu trabalho.

1. Acompanhe as tendências e evoluções da área

Soluções novas são criadas todos os dias pelas maiores empresas especializadas da área, o que já torna necessário que os responsáveis da área de TI se mantenham atentos.

Porém, a área de segurança da informação exige cuidados maiores neste aspecto. Isto porque os cibercriminosos também criam e investem em novos mecanismos de ação todos os dias.

Um dos grandes exemplos foi o ransomware, que surpreendeu os especialistas em segurança de imediato, causando espanto em um primeiro momento, até a criação dos protocolos de mitigação de danos.

Por isso, é fundamental pesquisar e estar atento todos dias às inovações que são lançadas. Assim, caso apareça alguma novidade, você poderá implementar medidas de contenção o quanto antes.

Um dos principais meios de acesso dos aos sistemas é por meio de falhas encontradas em softwares, sistemas operacionais e drives.

Por isso as empresas fornecedoras estão sempre lançando novas atualizações, corrigindo as falhas que permitem esse tipo de ação e tornando os sistemas mais seguros.

Porém, não adianta este trabalho se os gestores de TI não atualizarem os sistemas regularmente. Desta forma, as brechas permanecem e os cibercriminosos continuam tendo seus mecanismos de ação facilitados.

3. Estabeleça controle de acesso para os colaboradores

Uma forma comum de facilitar os problemas de segurança da informação é por meio de ações inadequadas dos usuários. Vamos citar um exemplo bem corriqueiro.

Este tipo de falha humana é corriqueiro nas empresas. E pode ser dificultado por meio do controle de acesso para os colaboradores.

Quanto menos pessoas têm acessos aos dados, menores são os riscos de erros deste tipo. Além disso, diminui-se as chances de vazamento de informações confidenciais ou estratégicas.

4. Estabeleça bloqueio de sistemas de saída

Da mesma forma, é imprescindível investir em bloqueio de sistemas de saída, evitando que informações sejam vazadas sem o conhecimento dos funcionários de TI.

Por exemplo, invista em bloqueios de aplicativos e sites que facilitem o recolhimento de arquivos e envio para fora da rede da empresa.

Se há sistemas internos de e-mail, pode-se bloquear o uso de e-mails pessoais dentro do ambiente empresarial, bem como sites de redes sociais e aplicativos de conversação.

5. Crie políticas de segurança na empresa

Com isso, torna-se possível diminuir as facilidades que permitem a ação de cibercriminosos ou falhas que comprometam os arquivos.

Por meio disso, por exemplo, pode-se criar normas do que deve ser feito caso um funcionário encontre um problema em seu sistema: ao invés de tentar resolver por conta própria, ele deve entrar em contato com o setor responsável, que verificará o ocorrido.

6. Alinhe os processos às políticas de segurança

Após a criação das políticas de segurança, é necessário alinhar os processos da empresa ao que foi normatizado e documentado anteriormente.

Por exemplo, caso opte-se por alterar o sistema operacional, é necessária uma mudança em todas as máquinas instaladas no ambiente empresarial. Demanda-se tempo e preparação.

Assim, deve ser estabelecida, junto aos diretores das outras áreas, a necessidade de adequação dos processos, de forma a colocar em prática o que foi documentado anteriormente.

Caso contrário, as falhas anteriores permanecerão e poderão causar problemas que deverão ser resolvidos posteriormente.

7. Treine os colaboradores para medidas de segurança

Algumas questões elaboradas nas políticas de segurança podem não ser tão claras para os colaboradores, principalmente por envolverem questões específicas da área de tecnologia.

É por meio do treinamento, por exemplo, que pode ser explicado para todos as razões pelas quais as redes sociais são bloqueadas no ambiente empresarial.

Isso auxilia para que não busquem outros métodos de acesso que podem também comprometer a segurança das informações.

O treinamento também auxilia na uniformização de procedimentos em caso de problemas.

8. Tenha ferramentas de monitoramento

É imprescindível utilizar ferramentas de monitoramento de atividades no cotidiano da área de TI. Para que a segurança seja eficaz, é preciso saber o que está acontecendo em toda a rede.

Qualquer tipo de conduta errada, vulnerabilidade, mudança nos padrões de acesso deve ser percebida imediatamente, de forma a ser contida e evitar um ataque digital gerado por hackers .

9. Utilize a criptografia de dados

A criptografia é uma importante aliada para a segurança da informação. Ela impede, por exemplo, que os arquivos sejam acessados caso sejam interceptados no meio do processo, só tendo as chaves de acesso, as pessoas que possuem a chave privada.

10. Conte com ajuda de empresas especializadas em segurança da informação

As empresas especializadas na área de segurança da informação podem ser estratégicas e essenciais para garantir a privacidade e integridade dos dados da sua corporação.

Elas estão sempre atentos para as novidades, trazendo e desenvolvendo soluções importantes e inteligentes que ajudarão a potencializar os mecanismos de proteção.

Assim, garante-se uma maior proteção para os dados e permitindo que sua equipe direcione os esforços para outras questões da área de TI.

Além disso, em caso de , as empresas especializadas poderão auxiliar na resolução da situação com a aplicação de protocolos para mitigar os danos causados pela ação.

11. Crie planos de contingência

Não basta apenas pensar em medidas preventivas. Como falamos ao longo deste artigo, os cibercriminosos são engenhosos e criam constantemente novas formas de atuação para conseguirem seus objetivos.

Além disso, os problemas não se limitam apenas aos casos de ataques feitos por : desastres tecnológicos , falhas humanas, entre outros, são recorrentes. É preciso saber como agir nessas situações.

Assim, é necessário estipular ações padronizadas, já que a mitigação dos danos pode ser realizada por qualquer um dos membros responsáveis pela área de segurança da informação.

Por isso, é importante ter um plano detalhado para eventuais situações, de forma que todos operem da mesma forma e evitem falhas de comunicação e procedimentos errados.

12. Invista em backup

Se tudo der errado e, assim, os dados encontrados em discos rígidos e servidores forem perdidos, é essencial ter uma espécie de "plano B" para não inviabilizar as funções cotidianas.

O é a melhor opção nesses casos, provendo uma recuperação de dados eficiente, seja por meio de um servidor externo, um HD externo ou na nuvem. O essencial é não abrir mão dessa ferramenta.

Quais as consequências de não investir em segurança da informação?

O que pode acontecer caso o setor de TI não invista em segurança da informação ou, ao priorizar redução de gastos, utilize soluções que não sejam tão eficientes ou deixe de implementar alguma das práticas que citamos anteriormente?

Apenas alguns minutos de inviabilização podem causar prejuízos financeiros consideráveis, imagine dias? Complicado, não é mesmo?

Problemas como vazamentos, fraudes bancárias, sequestros de dados, ataques DDoS, roubo de senhas, entre outros, identificam a fragilidade da segurança da organização, gerando um mal-estar no mercado.

A confiabilidade sobre a empresa diminui, já que a imagem passada é que não há investimento na segurança da informação e, portanto, informações dos clientes podem ser expostas posteriormente.

Além disso, pode ocorrer até mesmo consequências mais sérias. Por exemplo, a exposição dos dados da PS Network, da Sony, em 2011, gerou uma série de problemas para a empresa, inclusive processo judicial pela falha de segurança da informação .

Esses são apenas alguns exemplos para se ter dimensão das proporções do que pode ocorrer caso não priorize medidas de excelência no que concerne à proteção de dados.

Por isso, é essencial seguir as 12 dicas que listamos anteriormente e sempre estar atento às novidades da área.

E se ainda não se sentiu convencido acerca dos investimentos necessários para a área de segurança da informação e de TI como um todo, veja quais são os custos caso isso não seja feito de forma adequada .

# data[].attributes.attachment_link.title
Segurança da informação: o que é e 12 dicas práticas para garantir

# data[].attributes.attachment_link.description
Segurança da informação. Um conjunto de palavras tão simples, mas de fundamental importância para qualquer empresa, principalmente para o setor de TI. Mais do que estratégica, a segurança da informação é essencial para a proteção do conjunto de dados da corporação. E, como se sabe, são fundamentais para as atividades

# data[].attributes.attachment_link.title
Sistemas de Informação - Aula 28 - Segurança de tecnologia da informação

# data[].attributes.attachment_link.readable_text
Muitos prestadores de serviços fazem pouco caso do tema segurança da informação. Afinal, acreditam que já estão fazendo tudo ao seu alcance para manter seus clientes seguros contra ataques de cibercriminosos ou, até mesmo, de desastres naturais.

Na verdade, o que acontece na maioria dos casos é que a falta da aplicação de boas práticas leva ao surgimento de uma série de problemas e vulnerabilidades. Desse modo, esses problemas podem acabar causando prejuízos para ambas as organizações no futuro, prestador de serviço e cliente.

Com o intuito de ajudar você a entender melhor todo o ambiente de proteção da informação e como empregar os principais conceitos e práticas de segurança para a aplicação direta em seus clientes, criamos este guia completo. Continue conosco e boa leitura!

O que é a segurança da informação?

O conceito de segurança da informação é um tanto quanto complexo e envolve uma série de ações de proteção que visam diminuir o risco de perda de dados, protegendo o valor, econômico ou pessoal, de uma organização.

Mesmo que em um primeiro momento possamos acreditar que ela está ligada apenas a softwares e sistemas computacionais, esse conceito vai muito além. Sendo assim, passa por equipamentos e, até mesmo, pessoas. Dentro de uma empresa, a segurança da informação pode ser definida como o grupo de políticas, métodos e processos que devem ser aplicados para garantir que a circulação de dados e informações seja controlada e segura. Desse modo, evitando assim que qualquer pessoa, que não seja autorizada, tenha acesso a tais elementos.

A segurança de dados é baseada em três pilares básicos.

Confidencialidade

Esse conceito está ligado à garantia de que a informação não poderá ser acessada ou visualizada por pessoas que não tenham autorização para tal. Nesse sentido, evitando vazamentos e garantindo a proteção de dados estratégicos.

Esse é um dos principais pilares dentro da segurança da informação. Pois, tem ligação direta com o sigilo e o segredo dos dados, o que mexe com a curiosidade. Dentro do mundo corporativo, proteger a informação mantém uma abordagem estratégica e protege o capital intelectual de uma empresa, garantindo vantagens competitivas.

Seu cliente pode ter investido muito no desenvolvimento de determinado produto ou, até mesmo, no conhecimento de negócio. Esse know-how pode ser de suma importância para o desenvolvimento de suas atividades e daí vem a importância de protegê-lo.

Sempre que um vazamento ou acesso indevido acontece, outras empresas que não tiveram o esforço e o investimento para produzir aquele conhecimento podem alcançá-lo e acabar lucrando de forma indevida com isso.

Integridade

Dados íntegros são informações que estão sendo armazenadas e transferidas de forma correta, sem a menor dúvida acerca de sua fonte ou forma. Nesse sentido, pode-se confiar que nada foi alterado com o passar do tempo ou por manipulação de terceiros.

Esse pilar não é tão pensado quando tratamos de segurança da informação, sendo deixado de lado por muitos prestadores de serviço de TI. Porém, ele é de suma importância para embasar decisões de negócio. Afinal, valida todo o processo de comunicação, interna e externa, da organização.

Toda empresa precisa enviar e receber informações o tempo todo, seja internamente, quando ocorre a troca de dados entre os setores, seja externamente, com clientes e fornecedores. Uma comunicação efetiva só ocorre quando não há interferências e ambas as partes interpretam de maneira comum.

Contudo, a integração de dados não é uma tarefa fácil. Manter a integridade das comunicações deve estar entre as prioridades de um prestador de serviços de TI, para evitar que as informações sejam adulteradas durante sua transmissão ou seu recebimento.

Com o tema mobilidade cada vez mais em alta nos últimos tempos, por conta do uso crescente de dispositivos móveis para trocas de mensagens, é preciso buscar a integridade das comunicações com ainda mais atenção.

Disponibilidade
Para que a informação tenha valor, ela deve estar disponível. Ou seja, gestor, colaborador ou qualquer outro interessado que tenha autorização deve poder acessar os dados em hora oportuna no exercício de suas funções.
De nada adianta contarmos com milhões de dados se, quando for necessário realizar uma consulta, eles não estiverem disponíveis. Esse pilar está ligado diretamente à operacionalidade de seu cliente. Principalmente, uma vez que a falta de disponibilidade pode prejudicar suas atividades.

Em um mundo cada vez mais dinâmico, no qual a comunicação é praticamente instantânea, independentemente das distâncias, manter os dados de seus clientes disponíveis o tempo todo também deve ser um dos cuidados de um prestador de serviços de TI. Em caso de indisponibilidade de um conjunto crítico de informações ou de conjuntos de dados, seu cliente pode acabar sendo prejudicado. Com isso, perdendo negócios e vindo a rescindir o acordo com sua empresa.

Os três pilares citados acima devem ter valor estratégico para um prestador de serviço em TI, pois todos eles podem atingir seus clientes e prejudicá-los. Mesmo que a confidencialidade esteja mais em voga quando pensamos em segurança, deve-se sempre se lembrar dos outros dois.

Por exemplo, um erro de confidencialidade pode expor informações estratégicas da empresa ou de seus clientes, gerando prejuízos - isso é muito claro. Contudo, a falta de integridade, por conta de um corrompimento de disco rígido, pode fazer com que se perca dez anos de dados. Ao mesmo tempo, a disponibilidade pode ser afetada por ataques de ransomware ou sequestro de informações, sem que um backup funcional esteja disponível.

Falhas simples como essas prejudicam seu cliente e também a imagem do prestador de serviço de TI, que não teve capacidade técnica de manter a segurança da informação.

Quer saber mais sobre cibercrimes? Temos um post perfeito para você!

Qual a importância da segurança da informação?

A segurança da informação detém um poder estratégico para as organizações. Pois, permite que elas garantam a continuidade de seus negócios ao mesmo tempo em que evitam que outras empresas ou pessoas tenham acesso aos seus dados.

O Big Data é um exemplo prático de como as informações vêm sendo utilizadas de forma estratégica dentro de uma organização. No entanto, para que essa prática gere valor, os dados devem estar disponíveis e íntegros e seus resultados devem ser mantidos em confidencialidade.

No caso de falhas na disponibilização dos dados para o servidor, a análise final fica comprometida e a integridade também não é atingida. Com isso, ocorre uma visão errada da situação, levando a decisões equivocadas e possíveis prejuízos ou perdas de oportunidades.

Além disso, o número de ataques cibernéticos tem aumentado muito nos últimos anos. Sendo que as empresas estão cada vez mais dependentes da tecnologia e o número de dispositivos conectados em rede é maior. Esse cenário cria uma série de vulnerabilidades que podem ser exploradas por pessoas mal intencionadas na busca por informações confidenciais, visando obter alguma vantagem financeira por parte das empresas.

O crescimento dos cibercrimes

Outro ponto crucial é: os cibercrimes têm crescido exponencialmente. E não é só para vazamento de informações, mas também para sequestro de dados (como os ataques ransomware), ataques DDoS (que tornam as informações indisponíveis), entre outros.

Segundo dados divulgados pela pesquisa Norton Cyber Security Insights Report, o Brasil está em segundo lugar no mundo no ranking do número de ataques de hackers, atrás apenas da China. Em 2017, segundo o relatório citado, o prejuízo com essas investidas ficou em cerca de US$ 22 bilhões.

Um dos pontos responsáveis por esse crescimento é a popularização dos smartphones e a busca por mobilidade dentro das empresas em contraste com a falta de preparo de muitos prestadores de serviços de TI que não atualizaram suas políticas de segurança.

Estamos sempre trazendo informações interessantes como essas em nossas redes sociais! Aproveite e nos siga no Instagram, LinkedIn, Youtube e Facebook!

Qual é a norma regulamentadora da segurança da informação?

Em 2018, o Congresso Nacional aprovou a Lei Geral de Proteção de Dados ( Lei N° 13.709/18), uma nova regulamentação acerca do uso de informação por conta das empresas. Com ela, que deve entrar em vigor no meio do ano de 2020, as empresas terão muito mais responsabilidades.

Até então, os vazamentos eram tratados como problemas internos, sendo que muitas vezes as organizações que sofriam ataques não divulgavam tal informação na mídia com medo da reação do mercado. Contudo, de acordo com o texto da nova legislação, qualquer vazamento deve ser comunicado imediatamente à agência reguladora e aos titulares da informação, ou seja, os donos dos dados vazados, sob pena de multas e sanções.

Com isso, a responsabilidade na garantia da segurança da informação aumenta bastante e torna-se fundamental evitar situações que possam, até mesmo, vir a impedir a continuidade dos negócios por determinação do governo.

Quais são os principais erros de TI na execução da segurança da informação?

Alguns erros de TI são comuns na implementação de uma política de segurança da informação, sendo que eles podem acabar gerando vulnerabilidades e prejudicando seus clientes. A seguir, listamos alguns dos mais comuns.

Falta de investimento em segurança da informação

O primeiro erro, e também o mais comum, é falta de investimentos direcionados exclusivamente para a proteção de dados. Consequentemente, isso é o que traz mais riscos à segurança da informação dentro das corporações. O principal ponto que leva a esse erro é a falta de conhecimento sobre a importância da proteção de dados e acerca dos problemas que um vazamento ou uma perda de informações pode causar aos seus clientes.

A tecnologia está constantemente evoluindo, e é necessário que os prestadores de serviços de TI estejam sempre antenados com as últimas novidades, como tecnologia de antivírus, firewalls, equipamentos e outras formas de proteção.

Ausência de autenticação de usuários

O controle de acesso é fundamental para evitar que determinadas informações, de peso estratégico, estejam disponíveis para colaboradores que não têm interesse direto nesses dados.

Quando qualquer usuário pode visualizar todas as informações da empresa, cria-se uma vulnerabilidade, pois hackers mais experientes podem se valer dessa falha para obter senhas simples e ter acesso a qualquer coisa dentro da empresa.

O roubo de credenciais por meio de várias técnicas, como phishing e engenharia social, é uma das formas mais comuns de ataque utilizadas pelos hackers, a fim de ter acesso aos dados de uma organização.

Falta de políticas de segurança

Outra falha comum é a falta de uma política de segurança bem definida sobre as ações permitidas dentro da empresa e seus níveis de acesso, assim como exemplos e orientações para cada decisão que tenha de ser tomada com relação aos dados.

Quando existe alguma coisa nesse sentido, muitas vezes os colaboradores não são treinados ou desconhecem o padrão estabelecido pelo documento, ou seja, ele não desempenha o seu papel de manter a proteção da informação.

A falta de uma política de segurança bem estruturada acaba eximindo todos os envolvidos de suas responsabilidades com a proteção das informações da empresa, sendo que é preciso envolver todos os colaboradores nesse processo.

Equipe inexperiente

Uma equipe inexperiente e sem certificações pode ser um problema para um prestador de serviços de TI, uma vez que é preciso lidar com várias infraestruturas de TI diferentes presentes em cada cliente. Assim sendo, isso pode acabar dificultando o processo de implementação de tecnologias.

Investir na contratação de colaboradores que já tenham uma boa vivência no mercado pode ser uma boa ideia no começo. Mesmo que o salário desses profissionais seja um pouco mais alto, sua experiência pode ser repassada ao restante da equipe. Deixar de investir nos colaboradores pode ser um risco, pois a inexperiência do time pode gerar vulnerabilidade e falhas aos seus clientes.

Criação de rotinas de backup falhas

A rotina de backup é uma das principais ações dentro da segurança da informação para garantir a continuidade dos negócios. Entretanto, muitas vezes, só observamos sua real importância quando ela se faz necessária e sua restauração falha.

É comum encontrarmos rotinas simples e sem eficiência dentro das organizações quando falamos em backup. Em alguns casos, apenas se copiam os dados para dentro de um CD, e a mídia fica esquecida em uma prateleira qualquer.

Contudo, no caso de um delete total de todas as informações da empresa, a única forma de recuperação pode ser o backup. Então, caso ele não esteja totalmente funcional, seu cliente pode ter um prejuízo incalculável, inclusive encerrando as operações.

Falta de controle sobre atualizações

A falta de gerenciamento de patches é outro problema comum que é de responsabilidade dos prestadores de serviço de TI. Essa é uma porta de entrada muito utilizada pelos cibercriminosos, que se valem da falta de atualização para explorar vulnerabilidades já eliminadas pelos fabricantes de software.

Contudo, nem todos os prestadores de serviços de TI mantêm seus clientes atualizados, o que gera riscos para a integridade de seus dados. Sempre que uma atualização é lançada, a utilização dessa falha pelos criminosos aumenta muito, buscando atingir todos aqueles que não realizaram as atualizações.

Um dos principais exemplos é o ransomware WannaCry, que se valia de uma brecha no Windows Server 2003. Mesmo que tenha sido corrigido, a falta de atualização fez com que esse vírus tenha sido um dos mais propagados até hoje na rede.

Como aprimorar a segurança da informação na empresa?

Para proteger seus clientes, não basta apenas utilizar boas práticas, é preciso garantir que não existam vulnerabilidades por meio de ações planejadas. Na sequência, separamos alguns dos principais pontos a serem observados na hora de prestar serviços de TI, visando assegurar a proteção de dados.

Fique de olho nas novidades do mercado

A tecnologia não para, por isso é preciso se manter atualizado sobre as últimas novidades não apenas em tecnologia de proteção, mas também sobre quais são as tendências em invasão e quais são as técnicas que estão surgindo entre os hackers.

Com novas ferramentas surgem também novas brechas, e, acredite, os cibercriminosos estão sempre de olho nos lançamentos de tecnologia e testando novas formas de invasão de sistemas em busca de falhas que possam ser utilizadas.

Por conta disso, é essencial tirar um tempo para se atualizar acerca do que está acontecendo no mundo da segurança da informação, verificando soluções e estratégias de proteção cada vez mais avançadas.

Aproveite e já dê uma olhada em nosso artigo sobre as últimas tendências tecnológicas para 2019!

Mantenha seus clientes atualizados

Como dito, os hackers se utilizam muito de falhas de atualização em softwares e sistemas operacionais, o que demanda que o prestador de serviço mantenha um controle eficaz sobre as rotinas de atualização de seus clientes. Em vista disso, é indispensável acompanhar os fornecedores, a fim de manter os softwares atualizados, sendo também preciso analisar o impacto de tais mudanças no negócio do cliente.

Crie políticas de segurança para seus clientes

Cada um dos colaboradores da empresa deve ser um agente de segurança da informação. Para tanto, é preciso que sejam criadas diretrizes claras de proteção e responsabilidade ao lidar com os dados da organização.

É essencial criar normas de conduta a serem seguidas por todos os colaboradores e registrá-las em uma documentação de fácil leitura e com acesso a todos. Dessa forma, diminui-se o risco de falhas e vazamentos e inibe-se o uso de técnicas de phishing e de engenharia social, por exemplo.

Estabeleça controle de acesso

A informação deve ser compartimentada, sendo que o acesso só deve ser liberado aos colaboradores que, devido às suas atribuições dentro da organização, têm interesse direto em um determinado dado, excluindo-se o restante.

Muitas vezes, a perda de informações se deve a ações inadequadas ou equivocadas de usuários que não deviam ter acesso àquele dado. Ao estabelecer um controle por meio de autenticação de usuário e senha, elimina-se esse problema.

Bloqueie ações indevidas

O uso pessoal da infraestrutura de rede de uma empresa pode ser um problema de segurança, uma vez que o usuário navega por redes sociais e utiliza seu e-mail no ambiente da organização. Nesse contexto, o clique em um link suspeito pode gerar riscos.

Determinadas ações podem ser bloqueadas, assim como a navegação em alguns sites que sejam conhecidos por infectar máquinas com vírus. Com isso, evita-se o roubo de informação e a contaminação das máquinas do cliente.

Ofereça treinamentos

Apenas estabelecer uma política de segurança pode não ser o bastante em alguns casos, sendo necessário oferecer treinamentos completos aos colaboradores de seu cliente, visando evitar falhas e vazamentos de dados.

Em circunstâncias nas quais os funcionários não estão bem familiarizados com a tecnologia, ações como essa podem ter um efeito melhor na proteção das informações, pois conseguem mostrar, na prática, como agir nas mais variadas situações. Dentro desse treinamento, já se pode demonstrar por que a navegação em redes sociais e e-mail pessoal pode acabar gerando riscos para a empresa.

Invista em ferramentas de monitoramento

Como prestador de serviço de TI, é preciso monitorar constantemente as atividades realizadas em seus clientes, de modo a garantir que nenhuma falha ou vulnerabilidade está ocorrendo. Contudo, movimentar seus colaboradores pode ter um alto custo.

Uma das formas de garantir uma visão macro ao mesmo tempo em que se minimiza a necessidade de deslocamento é por meio do uso de uma ferramenta de monitoramento, que permite controlar, de maneira remota, várias questões dentro da infraestrutura de TI do cliente.

O SolarWinds RMM é uma dessas ferramentas. Com um quadro geral e informações gráficas, é possível receber notificações acerca de qualquer mudança no estado de qualquer um de seus clientes diretamente no painel de controle da ferramenta. Saiba mais!

Crie uma rotina de backup funcional

O backup é a última saída em caso de perda de dados e, mesmo assim, muitos prestadores de serviços em TI não dão a devida importância a essa prática. O ideal é seguir uma regra básica: três cópias, no mínimo dois locais diferentes e dois tipos de armazenamento para garantir a disponibilidade no caso de necessidade. Além disso, é preciso manter uma rotina de testes de recuperação, para garantir que as cópias estão sendo criadas sem problemas e, caso sejam necessárias, poderão suprir a demanda.

Então, chegamos ao final deste post e esperamos ter trazido o máximo de informações acerca de segurança da informação para você. Lembre-se de que um prestador de serviços de TI deve sempre garantir a proteção dos dados de seu cliente.

Quer receber mais conteúdos completos como este diretamente no seu e-mail? Assine agora mesmo a nossa newsletter!

Com muitos anos de experiencia em TI, trabalhando 24 horas por dia, 7 dias por semana, dá aula sobre excelência em workaholic. Apesar de ser especialista em MSP, adora quando o assunto é backup. Rodrigo esbanja bom humor (diz a lenda que seu segredo é cerveja, churrasco e Rock'N'Roll) e é o mais ativo daqui, já até pensou em rodar o mundo em cima da sua bike.

# data[].attributes.attachment_link.title
Como melhorar a segurança da informação? Guia de boas práticas!

# data[].attributes.attachment_link.description
Muitos prestadores de serviços fazem pouco caso do tema segurança da informação. Afinal, acreditam que já estão fazendo tudo ao seu alcance para manter seus clientes seguros contra ataques de cibercriminosos ou, até mesmo, de desastres naturais.

# data[].attributes.attachment_link.readable_text
Ao mesmo tempo que a informação é considerada um dos principais patrimônios da organização moderna, sua violação é cada vez mais fonte de risco e ameaça. O mesmo se aplica aos indivíduos, que cada vez mais necessitam de informações e podem ter sua privacidade agredida pelo mau uso delas. Por isso a segurança dos sistemas de informação tornou-se tema de importância na sociedade da informação.

Quando as informações eram armazenadas apenas em papel, a segurança era relativamente simples. Restringir o acesso físico a elas bastava para eliminar os riscos. Trancá-las em algum ambiente especial e controlar o acesso físico aos documentos era suficiente. Com o uso dos primeiros computadores, ainda centralizados nos centros de processamento de dados (CPDs), as informações deixaram de ser exclusivamente físicas, o que demandou tratamento diferente do que se praticava até então. Hoje, com a incorporação dos computadores pessoais, organizados de forma distribuída em redes, com dispositivos sem fio (wireless) e computadores portáteis (notebooks) com acesso via telefone celular, as preocupações com segurança cresceram de modo surpreendente, demandando um tratamento complexo e especializado para esse tema.

Os profissionais da área de tecnologia da informação são os responsáveis pela estruturação da segurança dos sistemas de informação nas organizações. Cabe a eles identificar fontes de riscos e ameaças e propor soluções adequadas para cada situação, sempre de acordo com as possibilidades da organização usuária da tecnologia.

Nesta unidade abordaremos o tema segurança dos sistemas de informação de modo a destacar as fontes de problemas, porque eles ocorrem, e apontar saídas viáveis para a segurança das informações das organizações.

É importante destacar que este tema não se esgotará nesta unidade, uma vez que pode ser abordado por diversas perspectivas. Para cada tecnologia pode-se estudar a segurança associada a ela, como, por exemplo, a segurança de redes de computadores e a segurança dos bancos de dados. Pode-se estudar também este tema sob a ótica dos processos e políticas de segurança a serem implantados nas organizações, sob os aspectos comportamentais envolvidos, sob os aspectos legais, etc.

Conceitos fundamentais de segurança da informação

Uma das tecnologias que mais tem contribuído para informatização das organizações é a tecnologia de redes. Ao mesmo tempo, é essa tecnologia também responsável pela multiplicação dos problemas relacionados à segurança dos sistemas de informação. Segundo o Centro de Atendimento de Incidentes de Segurança da Rede Nacional de Pesquisa (CAIS/RNP - <www.rnp.org.br/ cais>) - o índice de ocorrências relatadas de incidentes que ameaçam a segurança de rede tem crescido muito. Em 2003 o crescimento foi de 60% em relação ao ano anterior. A Figura abaixo indica a curva de crescimento dos incidentes ocorridos na rede RNP, o que aponta a necessidade de cuidados e investimentos em segurança.

Esses incidentes são de vários tipos, como, por exemplo, a invasão em sites de empresas e a deliberada violação de informações privadas que ocorreram por iniciativa de alguém mal intencionado.

Há também incidentes que ocorrem sem haver uma intenção explícita de gerar dano, mas que por omissão ou até mesmo por desconhecimento provocam danos à segurança das informações.

O que todos os incidentes têm em comum é que eles afetam a confidencialidade, a integridade ou a disponibilidade das informações. Esses três termos são importantes para a compreensão deste tema. São definidos a seguir:

􀂄􀂄􀂄􀂄 confidencialidade - toda informação deve ser protegida conforme o grau de sigilo de seu conteúdo e seu acesso deve ser dado apenas às pessoas a quem são destinadas. Informações como dados de pesquisa, registros médicos, registros bancários, de salário dos indivíduos, informações sobre produtos, serviços e estratégias das organizações são confidenciais e necessitam de proteção;

integridade - toda informação deve ser protegida e mantida conforme disponibilizou seu proprietário, visando protegê-la de alterações indevidas, sejam elas

intencionais ou acidentais. Além disso, as informações resultantes do processamento de um sistema também devem ser íntegras e livres de erros. Disseminar informações erradas pode gerar prejuízos e danos aos indivíduos e às organizações;

disponibilidade - toda informação útil deve estar disponível a quem necessita dela, no momento em que essa necessidade se manifesta. Organizações que

prestam serviços, por exemplo, necessitam da informação disponível no momento do atendimento a seu cliente e a indisponibilidade pode comprometer o próprio negócio.

Quais são as principais vulnerabilidades dos sistemas de informação?

Uma das primeiras constatações que é preciso assumir quando

discutimos sobre a segurança dos sistemas de informação é que

eles são falíveis e vulneráveis a ataques ou ameaças. A cada dia

surgem novos casos de invasões e agressões à segurança de

A ameaças podem ser classificadas quanto à sua

intencionalidade em três grupos:

naturais - são as decorrentes de fatores da natureza como incêndios naturais, enchentes, terremotos, tempestades eletromagnéticas, maremotos, aquecimento, poluição, etc.;

involuntárias - são ameaças inconscientes, quase sempre causadas por falta de conhecimento. Podem ser provocadas por acidentes, erros, falta de energia, etc. Os usuários podem provocar falhas involuntariamente quando não compreendem a implicação técnica de muitas de suas ações na interação com um sistema de informações;

voluntárias - são ameaças propositais causadas por agentes humanos como hackers, invasores, espiões, ladrões, incendiários, criadores e disseminadores de vírus de computador. Este grupo é comumente formado por indivíduos com conhecimentos especializados que lhe permitem burlar sistemas de segurança já existentes.

As principais ameaças são decorrências de vulnerabilidades dos sistemas de informação computadorizados, que podem ter origem desde desastres como incêndios e terremotos até falhas elétricas, mau funcionamento do hardware, erros de software e de seus usuários. A seguir estão categorizadas as diversas origens das vulnerabilidades dos sistemas de informação:

físicas - referem-se às vulnerabilidades das instalações físicas que servem de suporte aos sistemas de informação. Podem ter origem em instalações prediais fora do padrão, salas de CPD mal planejadas, falta de extintores, detectores de fumaça e outros recursos para combate a incêndio em sala com armários e fichários estratégicos, riscos de explosões, vazamentos ou incêndio;

naturais - computadores são muito sensíveis a fenômenos da natureza como enchentes, terremotos, tempestades, falta de energia, acúmulo de poeira, aumento de umidade e de temperatura, etc.;

hardware - falha nos recursos tecnológicos resultantes de desgaste ou obsolescência dos equipamentos, ou ainda de erros de instalação;

software - erros de instalação e configuração podem acarretar acessos indevidos a sistemas, vazamento de informações, perda de dados ou indisponibilidade do recurso quando necessário;

mídias - discos, fitas e relatórios impressos que registram os dados podem ser perdidos ou danificados de modo que não haja possibilidade de sua recuperação. A radiação eletromagnética, por exemplo, pode provocar dano em diversos tipos de mídias magnéticas;

comunicação - acessos não autorizados ou perda de comunicação;

humanas - estão relacionadas à falta de treinamento, compartilhamento de informações confidenciais, não execução de rotinas de segurança, erros ou omissões. As ameaças de origem no homem podem estar relacionadas até mesmo a ameaças de bomba, sabotagem, distúrbios civis, greves, vandalismo, roubo, destruição da propriedade ou dados, invasões ou guerras.

Como garantir a segurança?

Toda organização depende de informações para realizar seu

trabalho e precisa, naturalmente, estabelecer mecanismos que

garantam a segurança desse importante recurso. São notórios os

casos de empresas que, por diversos motivos, tiveram

significativas perdas em virtude de problemas de segurança de

seus sistemas de informação.

No plano individual o mesmo ocorre. Quem não conhece

alguém que teve significativa perda por problemas no seu

computador? Que perdeu aquele documento importante que

levou dias ou meses para ser redigido? Ou aquele conjunto de

arquivos com dados que levaram anos para serem reunidos?

Sendo assim, é importante conhecer os mecanismos e medidas

de proteção contra falhas e ameaças. Essas medidas podem ser

preventivas, detectáveis e corretivas.

Medidas preventivas - visam evitar que os acidentes venham a ocorrer. São obtidas por mecanismos já instalados que estabeleçam condutas e posturas éticas que evitem a ocorrência de danos. São as políticas de segurança, instruções e procedimentos de trabalho, as campanhas de sensibilização e conscientização de usuários. São também medidas preventivas o uso de antivírus, de configurações adequadas da rede e dos sistemas operacionais, o uso de senhas, a realização de cópias de segurança, etc.

Medidas detectáveis - são aquelas que identificam a ocorrência de alguma vulnerabilidade nos sistemas de informação. São exemplos os sistemas de detecção de intrusão em redes, os alertas de segurança, as câmeras de vídeo, alarmes, etc. Nesse caso, não se consegue evitar a tentativa do agente ameaçador, mas se pretende evitar que a ameaça se converta em um dano real.

Medidas corretivas - são as ações voltadas à correção de uma estrutura danificada de modo a garantir a restauração de um padrão mínimo de segurança que a organização necessita. Isso pode ser obtido por meio de planos de contingência, planos de recuperação de desastres, a restauração de cópias de segurança (backups), etc.

Para garantir a segurança dos sistemas de informação deve-se observar com atenção a segurança de dados, a proteção física de computadores e redes, e o desenvolvimento de planos de recuperação de desastres.

Veja a seguir medidas de segurança comumente usadas para garantir a segurança dos sistemas de informação:

As senhas possibilitam a identificação de um usuário e a autenticação de seu acesso ao sistema. Cada usuário pode ter uma senha que o habilita um tipo de permissão de acesso ao sistema. Um problema comum com o uso de senhas ocorre quando elas não são guardadas por seu proprietário com o cuidado necessário. Se forem escritas em um papel ou em um arquivo, pessoas não autorizadas podem facilmente descobri-las. Por outro lado, memorizar senhas pode ser uma dificuldade para indivíduos que são usuários de diversos sistemas, ainda mais se as senhas forem trocadas periodicamente.

Consiste no embaralhamento dos dados em forma codificada antes de sua transmissão por uma rede de telecomunicações. Ao chegar ao seu destino os dados são desembaralhados (decodificados). A regra de codificação deve ser secreta para que a criptografia não seja quebrada por alguém que capture os dados em algum ponto de seu caminho pela rede.

Cópia de dados críticos (backup)

Consiste na cópia de dados em mídias externas para que possam ser restaurados em caso de falhas no hardware, danificação ou destruição dos dados.

Uso de servidores ou drives de discos redundantes

Consiste em manter equipamentos alternativos caso o hardware apresente problemas. Em situação de emergência a organização tem condições de ativar o sistema redundante e manter o sistema ativo sem impactos sobre suas atividades. Essa é uma estratégia cara e por isso não é acessível a todas as organizações.

Controle de acesso às estações de trabalho

Consiste em permitir que computadores sejam fisicamente acessados apenas por aqueles em quem se confia e que necessitam utilizar o sistema.

Classificação dos usuários da rede

Consiste em classificar o usuário conforme as atividades que executa e atribuir acesso à rede de acordo com sua necessidade.

Procedimentos de segurança devem estar documentados e atualizados para que no momento da emergência estejam acessíveis de modo a facilitar o trabalho de recuperação.

Úteis para detectar e erradicar vírus de computador. Devem estar sempre atualizados.

Essas são as estratégias mais comuns, porém elas não cobrem todos os tipos de vulnerabilidades existentes. O que fazer então?

Em muitas situações em que medidas preventivas não são suficientes, deve-se elaborar um plano de recuperação de desastres. Esse plano deve prever como as empresas podem retomar suas atividades em casos de grave agressão aos sistemas de informação. Normalmente deve prever o acesso a hardware alternativo, a restauração de softwares, de dados e de instalações de telecomunicações. Os sistemas de informação considerados mais críticos devem receber prioridade em sua recuperação.

Existem hoje no mercado diversas empresas que oferecem serviços especializados para recuperação de desastres. Essas fornecem recursos plenamente operacionais para o processamento de dados e backups de seus clientes, que podem ser acionados em menos de 24 horas após a notificação de uma emergência.

Outra alternativa é que a própria organização mantenha esses recursos alternativos ativos e disponíveis para uso em caso de desastre.

Quem é o responsável pela segurança dos sistemas de informação?

Todos os indivíduos envolvidos com o fluxo das informações são

co-responsáveis por sua segurança, sejam eles colaboradores da

própria organização ou agentes externos que interagem com seus

sistemas. Entretanto, seu grau de responsabilidade é variável e

depende do grau de envolvimento com o sistema.

Aos profissionais de informática cabe o estabelecimento e a

implementação de controles especializados, que

demandam o conhecimento profundo da infraestrutura

de TI e da implementação de sistemas de

informação. Estão envolvidos na segurança

especialistas em redes, analistas de sistemas,

auditores de sistemas, administradores de bancos de

dados, e, naturalmente, os gestores de projetos e o

gestor de TI da organização.

Os auditores de sistemas, em especial, são

profissionais que possuem profundo domínio de

normas, métodos e procedimentos gerenciais para implementar

estratégias e políticas de segurança dos sistemas de informação,

envolvendo todo o seu ciclo de projeto, implementação e

Cabe o gestor da tecnologia da informação garantir que sua

organização possua um bom nível de segurança. Para isso deve

assumir a gestão do processo de construção e manutenção da

segurança dos sistemas de informação. Cabe a ele cuidar para

que uma política de segurança seja implementada, divulgada e

esteja de acordo com as necessidades e a capacidade da

organização de investir nela.

Com freqüência, a implementação de uma política de segurança

envolve mudanças culturais e comportamentais, o que muitas

vezes é obstáculo significativo nessa tarefa. O apoio da alta

administração é de significativa importância para que essa

# data[].attributes.attachment_link.title
Unidade 6 - Segurança de sistemas de informação - Sigard Uberaba

# data[].attributes.attachment_link.description
Ao mesmo tempo que a informação é considerada um dos principais patrimônios da organização moderna, sua violação é cada vez mais fonte de risco e ameaça. O mesmo se aplica aos indivíduos, que cada vez mais necessitam de informações e podem ter sua privacidade agredida pelo mau uso delas.

# data[].attributes.attachment_link.readable_text
A criptografia é essencial para a troca de dados pela internet.

A segurança da informação (SI) está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São propriedades básicas da segurança da informação: confidencialidade, integridade, disponibilidade, autenticidade e legalidade.

A SI não está restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito aplica-se a todos os aspectos de proteção de informações e dados. O conceito de Segurança Informática ou Segurança de Computadores está intimamente relacionado com o de Segurança da Informação, incluindo não apenas a segurança dos dados/informação, mas em si o sistema.

Atualmente o conceito de Segurança da Informação está padronizado pela norma ISO/IEC 17799:2005, influenciada pelo padrão inglês ( British Standard) BS 7799. A norma técnica de segurança da informação em vigor é: ABNT NBR ISO/IEC 27002:2013

A maioria das definições de Segurança da Informação (SI) (Brostoff, 2004; Morris e Thompson, 1979; Sieberg, 2005; Smith, 2002) pode ser sumarizada como a proteção contra o uso ou acesso não-autorizado à informação, bem como a proteção contra a negação do serviço a usuários autorizados, enquanto a integridade e a confidencialidade dessa informação são preservadas. A SI não está confinada a sistemas de computação, nem à informação em formato eletrônico. Ela se aplica a todos os aspectos de proteção da informação ou dados, em qualquer forma. O nível de proteção deve, em qualquer situação, corresponder ao valor dessa informação e aos prejuízos que poderiam decorrer do uso impróprio da mesma. É importante lembrar que a SI também cobre toda a infraestrutura que permite o seu uso, como processos, sistemas, serviços, tecnologias, e outros.

A Segurança da informação refere-se à proteção existente sobre as informações de uma determinada empresa ou pessoa, isto é, aplica-se tanto às informações corporativas quanto às pessoais. Entende-se por informação todo e qualquer conteúdo ou dado que tenha valor para alguma organização ou pessoa. Ela pode estar guardada para uso restrito ou exposta ao público para consulta ou aquisição.

Podem ser estabelecidas métricas (com o uso ou não de ferramentas) para a definição do nível de segurança existente e, com isto, serem estabelecidas as bases para análise da melhoria ou piora da situação de segurança existente. A segurança de uma determinada informação pode ser afetada por fatores comportamentais e de uso de quem se utiliza dela, pelo ambiente ou infraestrutura que a cerca ou por pessoas mal intencionadas que têm o objetivo de furtar, destruir ou modificar tal informação.

A tríade CIA (Confidentiality, Integrity and Availability) - Confidencialidade, Integridade e Disponibilidade - representa os principais atributos que, atualmente, orientam a análise, o planejamento e a implementação da segurança para um determinado grupo de informações que se deseja proteger. Outros atributos importantes são não-repúdio ( irretratabilidade), autenticidade e conformidade. Com a evolução do comércio eletrônico e da sociedade da informação, a privacidade é também uma grande preocupação.

Portanto os atributos básicos da segurança da informação, segundo os padrões internacionais ( ISO/IEC 17799:2005) são os seguintes:

Confidencialidade: propriedade que limita o acesso a informação tão somente às entidades legítimas, ou seja, àquelas autorizadas pelo proprietário da informação;

Integridade: propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de mudanças e garantia do seu ciclo de vida (Corrente, intermediária e permanente). O ciclo de vida da informação orgânica - criada em ambiente organizacional - segue as três fases do ciclo de vida dos documentos de arquivos; conforme preceitua os canadenses da Universidade do Quebec (Canadá): Carol Couture e Jean Yves Rousseau, no livro Os Fundamentos da Disciplina Arquivística;

Disponibilidade: propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação;

Autenticidade: propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de mutações ao longo de um processo;

O suporte para as recomendações de segurança pode ser encontrado em:

Controles físicos: são barreiras que limitam o contato ou acesso direto a informação ou a infraestrutura (que garante a existência da informação) que a suporta. Mecanismos de segurança que apoiam os controles físicos: portas, trancas, paredes, blindagem, guardas, etc.

Controles lógicos: são barreiras que impedem ou limitam o acesso a informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração não autorizada por elemento mal intencionado. Mecanismos de segurança que apoiam os controles lógicos:

Mecanismos de cifração ou encriptação: permitem a transformação reversível da informação de forma a torná-la ininteligível a terceiros. Utiliza-se para tal, algoritmos determinados e uma chave secreta para, a partir de um conjunto de dados não criptografados, produzir uma sequência de dados criptografados. A operação inversa é a decifração.

Assinatura digital: Um conjunto de dados criptografados, associados a um documento do qual são função, garantindo a integridade e autenticidade do documento associado, mas não a sua confidencialidade.

Mecanismos de garantia da integridade da informação: usando funções de "Hashing" ou de checagem, é garantida a integridade através de comparação do resultado do teste local com o divulgado pelo autor.

Mecanismos de controle de acesso: palavras-chave, sistemas biométricos, firewalls, cartões inteligentes.

Mecanismos de certificação: atesta a validade de um documento.

Honeypot: é uma ferramenta que tem a função de propositalmente simular falhas de segurança de um sistema e colher informações sobre o invasor enganando-o, fazendo-o pensar que esteja de fato explorando uma vulnerabilidade daquele sistema. É uma espécie de armadilha para invasores. O honeypot não oferece nenhum tipo de proteção.

Protocolos seguros: uso de protocolos que garantem um grau de segurança e usam alguns dos mecanismos citados aqui.

Atualmente existe uma grande variedade de ferramentas e sistemas que pretendem fornecer segurança. Alguns exemplos: antivírus, firewalls, filtros anti-spam, fuzzers, detectores de intrusões (IDS), analisadores de código, etc.

As ameaças à segurança da informação são relacionadas diretamente à perda de uma de suas três principais características, quais sejam:

Perda de confidencialidade: há uma quebra de sigilo de uma determinada informação (ex: a senha de um usuário ou administrador de sistema) permitindo que sejam expostas informações restritas as quais seriam acessíveis apenas por um determinado grupo de usuários.

Perda de integridade: determinada informação fica exposta a manuseio por uma pessoa não autorizada, que efetua alterações que não foram aprovadas e não estão sob o controle do proprietário (corporativo ou privado) da informação.

Perda de disponibilidade: a informação deixa de estar acessível por quem necessita dela. Seria o caso da perda de comunicação com um sistema importante para a empresa, que aconteceu com a queda de um servidor ou de uma aplicação crítica de negócio, que apresentou uma falha devido a um erro causado por motivo interno ou externo ao equipamento ou por ação não autorizada de pessoas com ou sem má intenção.

No caso de ameaças à rede de computadores ou a um sistema, estas podem vir de agentes maliciosos, muitas vezes conhecidos como crackers, ( hackers não são agentes maliciosos, pois tentam ajudar a encontrar possíveis falhas). Os crackers são motivados a fazer esta ilegalidade por vários motivos, dentre eles: notoriedade, autoestima, vingança e enriquecimento ilícito. De acordo com pesquisa elaborada pelo Computer Security Institute, mais de 70% dos ataques partem de usuários legítimos de sistemas de informação ( insiders), o que motiva corporações a investir largamente em controles de segurança para seus ambientes corporativos ( intranet).

Todo sistema de computação necessita de um sistema para proteção de arquivos. Este sistema é um conjunto de regras que garantem que a informação não seja lida, ou modificada por quem não tem permissão.

A segurança é usada especificamente para referência do problema genérico do assunto, já os mecanismos de proteção são usados para salvar as informações a serem protegidas. A segurança é analisada de várias formas, sendo os principais problemas causados com a falta dela a perda de dados e as invasões de intrusos. A perda de dados na maioria das vezes é causada por algumas razões:

Fatores naturais: incêndios, enchentes, terremotos, e vários outros problemas de causas naturais;

Erros de hardware ou de software: falhas no processamento, erros de comunicação, ou bugs em programas;

Erros humanos: entrada de dados incorreta, montagem errada de disco ou perda de um disco.

Para evitar a perda destes dados é necessário manter um backup confiável, armazenado geograficamente distante dos dados originais.

Em 1988, um estudante colocou na internet um programa malicioso ( malware), escrito em linguagem C, derrubando milhares de computadores pelo mundo, que foi identificado e removido logo após. Mas até hoje há controvérsias de que ele não foi completamente removido da rede. Até hoje não se sabe qual era seu objetivo, o que se sabe é que ele tentava descobrir todas as senhas que o usuário digitava. Mas esse programa se autocopiava em todos os computadores em que o estudante invadia. Essa "brincadeira" não durou muito, pois o estudante foi descoberto pouco tempo depois, processado e condenado a liberdade condicional, e teve que pagar uma alta multa.

Um dos casos mais recentes de invasão por meio de vírus foi o do worm Conficker (ou Downup, Downadup e Kido) que tinha como objetivo afetar computadores dotados do sistema operacional Microsoft Windows, e que foi primeiramente detectado em outubro de 2008. Uma versão anterior do malware propagou-se pela internet através de uma vulnerabilidade dos sistemas de rede do Windows (2000, XP, Vista, Server 2003, Server 2008, 7 Beta e Server 2008 R2 Beta, que tinha sido lançado anteriormente naquele mês). O worm bloqueia o acesso a websites destinados à venda, protegidos com sistemas de segurança e, portanto, é possível a qualquer usuário de internet verificar se um computador está infectado ou não, simplesmente por meio do acesso a websites destinados a venda de produtos dotados de sistemas de segurança.

Em 15 de outubro de 2008, a Microsoft liberou um bugfix de emergência para corrigir a vulnerabilidade MS08-067, através da qual o worm prevalece-se para poder se espalhar. As aplicações da atualização automática se aplicam somente para o Windows XP SP2, SP3, Windows 2000 SP4 e Windows Vista; o Windows XP SP1 e versões mais antigas não são mais suportados.

Em janeiro de 2009, o número estimado de computadores infectados variou entre 9 e 15 milhões. Em 13 de fevereiro de 2009, a Microsoft oferecia US$ 250mil em recompensa para qualquer informação que levasse à condenação e à prisão de pessoas por trás da criação e/ou distribuição do Conficker.

Os softwares antivírus não-ligados a Microsoft, tais como a BitDefender, Enigma Software, Eset, F-Secure, Symantec, Sophos, e o Kaspersky Lab liberaram atualizações com programas de detecção em seus produtos e são capazes de remover o worm. A McAfee e o AVG também são capazes de remover o vírus através de escaneamentos de discos rígidos e mídias removíveis.

Através dessas informações históricas percebemos que os antivírus devem estar cada vez mais atualizados, porque estão surgindo novos vírus rapidamente, e com a mesma velocidade deve ser lançado atualizações para os bancos de dados dos antivírus para que os mesmos sejam identificados e excluídos. Com a criação da internet essa propagação de vírus é muito rápida e muito perigosa, pois se não houver a atualização dos antivírus o computador e usuário estão vulneráveis, pois com a criação da internet várias empresas começarão a utilizar internet como exemplo empresas mais precisamente bancos, mas como é muito vulnerável esse sistema, pois existem vírus que tem a capacidade de ler o teclado (in/out), instruções privilegiadas como os keyloggers. Com esses vírus é possível ler a senha do usuário que acessa sua conta no banco, com isso é mais indicado utilizar um teclado virtual para digitar as senhas ou ir diretamente ao banco.

Depois de identificado o potencial de ataque, as organizações têm que decidir o nível de segurança a estabelecer para uma rede ou sistema os recursos físicos e lógicos a necessitar de proteção. No nível de segurança devem ser quantificados os custos associados aos ataques e os associados à implementação de mecanismos de proteção para minimizar a probabilidade de ocorrência de um ataque.

Considera as ameaças físicas como incêndios, desabamentos, relâmpagos, alagamento, algo que possa danificar a parte física da segurança, acesso indevido de estranhos (controle de acesso), forma inadequada de tratamento e manuseio dos veículos.

Atenta contra ameaças ocasionadas por vírus, acessos remotos à rede, backup desatualizados, violação de senhas, furtos de identidades, etc.

Segurança lógica é a forma como um sistema é protegido no nível de sistema operacional e de aplicação. Normalmente é considerada como proteção contra ataques, mas também significa proteção de sistemas contra erros não intencionais, como remoção acidental de importantes arquivos de sistema ou aplicação. É fácil manipular a informação usando palavras-chave, como nesse caso: informação; segurança; e controle.

Conforme Bluephoenix(2008) apud Espírito Santo(2012), após identificar os riscos, os níveis de proteção e determinar as decorrências que os riscos podem causar, deve-se executar os pontos de controle para reduzir riscos. Os controles podem aplicar-se na seguinte forma:

1. Políticas de segurança da informação;

2. Organização da segurança da informação;

3. Gestão e controle de ativos;

4. Segurança em recursos humanos;

5. Segurança física e do ambiente;

6. Gestão das operações e comunicações;

7. Controle de acessos;

8. Aquisição, desenvolvimento e manutenção de sistemas de informação;

9. Gestão da continuidade do negócio;

10. Conformidade legal.

Outra abordagem é a pontuação de ciber-segurança. Aqui, o servidor público na rede é automaticamente digitalizado para detectar vulnerabilidades de segurança conhecidas e a partir daí é determinada uma pontuação objectiva, o que torna possível comparar diferentes níveis de segurança entre organizações. Por exemplo, é possível comparar todos os fornecedores de uma grande empresa.

De acordo com o RFC 2196 ( The Site Security Handbook), uma política de segurança consiste num conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organização.

As políticas de segurança devem ter implementação realista, e definir claramente as áreas de responsabilidade dos utilizadores, do pessoal de gestão de sistemas e redes e da direção. Deve também adaptar-se a alterações na organização. As políticas de segurança fornecem um enquadramento para a implementação de mecanismos de segurança, definem procedimentos de segurança adequados, processos de auditoria à segurança e estabelecem uma base para procedimentos legais na sequência de ataques.

O documento que define a política de segurança deve deixar de fora todos os aspectos técnicos de implementação dos mecanismos de segurança, pois essa implementação pode variar ao longo do tempo. Deve ser também um documento de fácil leitura e compreensão, além de resumido.

Algumas normas definem aspectos que devem ser levados em consideração ao elaborar políticas de segurança. Entre essas normas estão a BS 7799 (elaborada pela British Standards Institution) e a NBR ISO/IEC 17799 (a versão brasileira desta primeira). A ISO começou a publicar a série de normas 27000, em substituição à ISO 17799 (e por conseguinte à BS 7799), das quais a primeira, ISO 27001, foi publicada em 2005.

Existem duas filosofias por trás de qualquer política de segurança:

a proibitiva (tudo que não é expressamente permitido é proibido) e

a permissiva (tudo que não é proibido é permitido).

Os elementos da política de segurança devem ser considerados:

Disponibilidade: o sistema deve estar disponível de forma que quando o usuário necessitar, possa usar. Dados críticos devem estar disponíveis ininterruptamente;

Integridade: o sistema deve estar sempre íntegro e em condições de ser usado;

Confidencialidade: dados privados devem ser apresentados somente aos donos dos dados ou ao grupo por ele liberado;

Autenticidade: o sistema deve ter condições de garantir de que a informação e/ou a identidade dos usuários, são quem dizem ser;

Legalidade: valor legal das informações dentro de um processo de comunicação.

Dentre as políticas utilizadas pelas grandes corporações a composição da senha é a mais controversa. Por um lado profissionais com dificuldade de memorizar várias senhas de acesso com mais de 10 caracteres diferenciados, por outro funcionários displicentes que anotam a senha sob o teclado, no fundo das gavetas e, em casos mais graves, até em post-it no monitor.

Recomenda-se a adoção das seguintes regras para minimizar o problema, mas a regra fundamental é a conscientização dos colaboradores quanto ao uso e manutenção das senhas:

Senha com data para expiração.

Adota-se um padrão definido onde a senha possui prazo de validade de 30 ou 45 dias, obrigando o colaborador ou usuário a renovar sua senha;

Adota-se através de regras predefinidas que uma senha não poderá ter mais que 60% dos caracteres utilizados nas últimas senhas. Por exemplo: caso a senha anterior fosse "123senha", a nova senha deve ter mais de 60% dos caracteres diferentes, como "456seuse", neste caso foram repetidos somente os caracteres "s" "e" os demais diferentes;

Obrigar a composição com número mínimo de caracteres numéricos e alfabéticos.

Define-se obrigatoriedade de 4 caracteres alfabéticos e 4 caracteres numéricos. Por exemplo: 1432seus ou até 1s4e3u2s ;

Criar um conjunto com possíveis senhas que não podem ser utilizadas.

Monta-se uma base de dados com formatos conhecidos de senhas e proibir o seu uso. Exemplos: o nome da empresa ou abreviatura, caso o funcionário chame-se José da Silva, sua senha não deveria conter partes do nome como 1221jose ou 1212silv etc., nem sua data de nascimento/aniversário, número de telefone, e similares.

Recomenda-se ainda utilizar senhas que mesclam caracteres em cAiXa aLtA e bAiXa, além da utilização de caracteres especiais como: @ # $ % & * ;

Usar a técnica leet na composição das senhas, substituindo letras por números e símbolos;

Automaticamente gerar a senha para os usuários ou deixar que eles escolham entre um número limitado de opções exibidas.

A gestão de riscos, por sua vez, fundamental para garantir o perfeito funcionamento de toda a estrutura tecnológica da empresa, engloba a Segurança da Informação, já que a quantidade de vulnerabilidades e riscos que podem comprometer as informações da empresa é cada vez maior.

Ao englobar a gestão da segurança da informação, a gestão de riscos tem como principais desafios:

proteger um dos principais ativos da organização - a informação - assim como a reputação e a marca da empresa;

implementar e gerir controles que tenham como foco principal os objetivos do negócio;

promover ações corretivas e preventivas de forma eficiente;

garantir o cumprimento de regulamentações;

definir os processos de gestão da Segurança da Informação.

Entre as vantagens de investir na gestão de riscos voltada para a segurança da informação estão a priorização das ações de acordo com a necessidade e os objetivos da empresa e a utilização de métricas e indicadores de resultados.

Referências

Bibliografia

Terpstra, John (2005). Segurança para Linux. RJ: Elsevier. ISBN 85-352-1599-9

Melhorar a usabilidade de Gerenciamento de senha com políticas de senha padronizados

Claudia Dias, Segurança e Auditoria da Tecnologia da Informação, 2000, Editora: Axcel Books 142, ISBN 85-7323-231-9

Brostoff, S. (2004). Improving password system effectiveness. Tese de Doutorado. University College London.

Morris, R. & Thompson, K. (1979). Password security: a case history. Communications of the ACM, 22, 594-597.

Sieberg, D. (2005). Hackers shift focus to financial gain. CNN.com - Special Reports - Online Security. Publicado em 26 de setembro de 2005.

Smith, R.E. (2002). The strong password dilemma. Authentication: From Passwords to Public Keys. Chapter 6. Addison-Wesley.

Wikilivros

# data[].attributes.attachment_link.title
Segurança da informação - Wikipédia, a enciclopédia livre

# data[].attributes.attachment_link.description
A segurança da informação (SI) está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São propriedades básicas da segurança da informação: confidencialidade, integridade, disponibilidade, autenticidade e legalidade. A SI não está restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento.

# data[].attributes.attachment_link.readable_text
Em criptografia, um ataque de força bruta, ou busca exaustiva de chave, é um ataque criptoanalítico que pode, em teoria, ser usado contra quaisquer dados criptografados (exceto para dados criptografados de uma maneira segura na teoria da informação). Tal tipo de ataque pode ser usado quando não é possível tomar vantagem de outras fraquezas em um sistema de criptografia (se existir) que tornariam a tarefa mais fácil. Ele consiste de verificação sistemática de todas as possíveis chaves e senhas até que as corretas sejam encontradas. No pior dos casos, isto envolveria percorrer todo o espaço de busca.

A seleção de um tamanho de chave apropriado depende de possibilidade prática de fazer um ataque de força bruta. Ao ofuscar o dado a ser codificado, ataques de força bruta se tornam menos efetivos, sendo mais difícil determinar o sucesso da busca utilizado por analistas de vulnerabilidade

Leonard M. Adleman, Paul W. K. Rothemund, Sam Roweis e Erik Winfree, On Applying Molecular Computation To The Data Encryption Standard, in Proceedings of the Second Annual Meeting on DNA Based Computers, Princeton University, June 10-12, 1996.

Cracking DES - Secrets of Encryption Research, Wiretap Politics & Chip Design by the Electronic Frontier Foundation (ISBN 1-56592-520-3).

W. Diffie and M.E. Hellman, Exhaustive cryptanalysis of the NBS Data Encryption Standard, Computer 10 (1977), pp 74-84.

Michael J. Wiener, "Efficient DES Key Search", presented at the rump session of Crypto 93; reprinted in Practical Cryptography for Data Internetworks, W. Stallings, editor, IEEE Computer Society Press, pp 31-79 (1996).

# data[].attributes.attachment_link.description
Em criptografia, um ataque de força bruta, ou busca exaustiva de chave, é um ataque criptoanalítico que pode, em teoria, ser usado contra quaisquer dados criptografados (exceto para dados criptografados de uma maneira segura na teoria da informação).

# data[].attributes.attachment_link.readable_text
Injeção de SQL (do inglês SQL Injection) é um tipo de ameaça de segurança que se aproveita de falhas em sistemas que interagem com bases de dados através de comandos SQL, onde o atacante consegue inserir uma instrução SQL personalizada e indevida dentro de uma consulta (SQL query) através da entradas de dados de uma aplicação, como formulários ou URL de uma aplicação.

Um usuário, por meio de ataques com injeção SQL, é possível obter qualquer tipo de dado sigiloso mantido no banco de dados de um computador servidor. Dependendo da versão do banco de dados, também é possível inserir comandos maliciosos e conseguir permissão total (acesso root) à máquina em que o banco está em execução.

Veja abaixo um exemplo de um sistema de login com vulnerabilidade:

A instrução Sql query de login funcionará da seguinte forma:

SELECIONE TODOS (select *) DA TABELA "usuarios" (nome da tabela) ONDE obrigatoriamente "usuario" digitado no formulário é igual ao cadastrado no banco de dados E (and) "senha" também igual ao cadastrado;

...onde as variaveis $usuario e $senha recebem os conteúdos digitados nos campos de um formulário através do método POST. Imagine que o conteúdo da variável $senha seja:

Se nenhuma verificação de dados (validação) for realizada, o usuário atacante conseguirá efetuar o login no sistema sem ter um cadastro válido, devido a uma falha gerada na instrução SQL.

Funcionamento

Para exemplificar o funcionamento da injeção de SQL, consideremos o comando básico de consuta abaixo, a instrução SQL query:

Essa instrução representa uma consulta na base de dados, funcionará da seguinte forma:

SELECIONE (select) todos os "ids", "nomes" e "sobrenome" DA TABELA (from) "autores" (nome da tabela);

Esta retorna todos os registros das colunas "id", "nome" e "sobrenome" da tabela "autores". A partir desta mesma instrução, os registros a serem retornados podem ser restritos, usando um filtro com a inclusão da cláusula WHERE, como é visto no exemplo abaixo:

Esta instrução de consulta na base de dados, funcionará da seguinte forma:

SELECIONE (select) todos os "ids", "nomes" e "sobrenome" DA TABELA (from) "autores" (nome da tabela) ONDE (where) os nomes deverão ser iguais a 'josé' E os sobrenomes iguais a 'silva' (condições do filtro);

Com base nesta instrução, é fácil supor que os itens "josé" e "silva" são do tipo texto ( strings), solicitados por algum usuário que esteja usando a aplicação.

Portanto, supondo que a aplicação não faça o entendimento apropriado do conteúdo inserido pelo usuário, o mesmo pode fazer o uso acidental do caractere apóstrofo. Gerando a entrada:

E fazendo com que a aplicação gere o código:

De acordo com a especificação da linguagem SQL, o uso de apóstrofo na consulta causa uma quebra na consulta, ocorrendo um erro de sintaxe nessa instrução, a string será considerada no campo nome apenas a palavra "jo" (dentro da primeira dupla de apóstrofo 'texto'). O interpretador do SQL espera que a continuação da instrução sejam outros comandos SQL válidos que completam a instrução principal. No entanto, como a outra parte do texto, o "sé" não é um identificador válido, essa instrução não será executada e retornará um erro inesperado.

Assim, um atacante pode personalizar os dados de entrada a fim de gerar um comportamento inesperado na base de dados. Para exemplificar este conceito, consideremos na consulta apresentada, a entrada dos seguintes dados através da aplicação:

A instrução completa ficaria:

A instrução personalizada funcionará da seguinte forma:

SELECIONE (select) todos os "ids", "nomes" e "sobrenome" DA TABELA (from) "autores" (nome da tabela) ONDE (where) os nomes deverão ser iguais a 'josé'; (quebra, novo comando) Em seguida EXCLUA (drop) a tabela "autores"; -- (continuação) E os sobrenomes iguais a 'silva' (condições do filtro);

Neste caso, a instrução será executada normalmente, pois a adição do caractere ponto-e-vírgula ";" na instrução representa o fim de uma SQL query e o começo de outra. Assim no exemplo acima, a SQL query será reconhecida como completa - não ocorrendo erro de sintaxe - de modo prematuro dando espaço para uma nova instrução. de livre escolha do atacante. Podendo retornar dados confidenciais armazenados na base de dados ou de executar instruções que comprometam o sistema, como a remoção de dados e/ou tabelas, como apresentado no exemplo acima.

A seqüência de caracteres "--" representa um comentário em uma linha de SQL. O "--" no fim do campo username é obrigatório para que a SQL query continue sendo executada sem erros.

Possíveis soluções

Aparentemente um método para prevenir esse problema seria a retirada dos apóstrofos dos campos de entrada da aplicação, ou simplesmente ignorar a SQL query nestas situações. Mas, apareceram outras dificuldades com esse método. Primeiro, nem todos os usuários inserem dados em forma de strings. Por exemplo, se o usuário tiver a opção de selecionar um autor pelo 'id' (presumivelmente um número), nossa query aparecerá como abaixo:

A instrução funcionará da seguinte forma:

SELECIONE (select) todos os "ids", "forenames e "surnames" DA TABELA (from) "autors" (nome da tabela) ONDE (where) id deverá ser igual a "1234";

Nesta situação, o atacante pode simplesmente adicionar uma instrução SQL no fim do 'input' numérico. Verificando as variações do SQL ( dialetos), por exemplo, vários delimitadores podem ser usados no Microsoft Jet DBMS engine, onde as datas podem ser delimitadas com o caracter sustenido. Assim, escapando da execução com apóstrofos, não necessariamente uma solução como demonstrado anteriormente.

Pode-se ilustrar esse ponto usando um exemplo de página de login na linguagem Active Server Pages ( ASP), que acessa um servidor de banco de dados SQL e tenta autenticar o acesso em uma aplicação.

Abaixo está um pedaço de código de uma página de formulário (process_login.ascp), onde um usuário insere o username e o password para autenticação:

(...)

A parte critica é o código "var sql" que cria uma SQL query string:

A instrução funcionará da seguinte forma:

SELECIONE todos os itens (select *) DA TABELA (from) "users" ONDE (where) o username é igual ao texto "username" digitado no formulario E (and) password igual ao texto "password" digitado;

Se o usuário digitar no formulário os seguintes dados:

A instrução SQL será modificada da seguinte forma:

var sql = "SELECT * FROM users WHERE username = '" + ; (quebra, novo comando) drop table users-- + "'  AND password = '" + password + "'";

A instrução funcionará da seguinte forma:

SELECIONE todos os itens (select *) DA TABELA (from) "users" ONDE (where) o username é igual ; (quebra, novo comando) EXCLUA (drop) a TABELA users (nome da tabela) -- (comentário, continuação) E (and) password igual ao texto "password" digitado;

... a tabela 'users' será apagada, negando o acesso para todos os usuários.

O atacante pode entrar no sistema (logar) como qualquer usuário, se souber o nome do usuário, digitando o comando abaixo no formulário:

O atacante pode logar como o primeiro usuário da tabelas 'users', com a inserção abaixo:

O atacante pode ainda logar como um usuário completamente fictício com o input abaixo:

Username: ' union select 1, 'fictional_user', 'some_password', 1--

A razão para que isso funcione, é que a aplicação acredita que a linha 'constante' que o atacante especificou é parte do 'recordset' recuperado da base de dados.

Assim funciona uma injeção manual de SQL. Também podem ser usadas ferramentas que automatizam as consultas para vários tipo de banco de dados, descobrindo a vulnerabilidade injetável.

Injeção de SQL Avançado

Termo do inglês Advanced Sql Injection, método consiste em explorar a injeção de instruções SQL através do método GET existente na URL da página.

Através do mesmo, o invasor pode conseguir por exemplo, os dados de usuário e senha do painel administrativo do site.

Injeção "Cega" de SQL

Termo do inglês Blind Sql Injection, método assemelha-se ao anterior, a diferença é que nesse caso a página possui uma certa segurança e o invasor não visualiza os dados da base de dados através da página web. O invasor descobre os dados desejados de 1 em 1 caractere, utilizando a função SUBSTRING do SQL em conjunto com uma verificação booliana.

Por exemplo, supondo que o usuário do sistema seja JOAO, o invasor vai ter um retorno falso com a seguinte tentativa injetada na cláusula WHERE:

... AND SELECT 1 FROM USUARIO WHERE SUBSTRING(USUARIO,1,1) = 'A'

No entanto, vai receber um retorno verdadeiro quando chegar na letra J:

... AND SELECT 1 FROM USUARIO WHERE SUBSTRING(USUARIO,1,1) = 'J'

Sabe-se que é um retorno verdadeiro porque a página é carregada normalmente, ao contrário de quando o retorno é falso.

Muitos invasores conseguem dados de usuário e senha sem ao menos ter conhecimento da teoria do método, mas apenas por utilizar a ferramenta Havij.

Injeção Duplamente "Cega" de SQL

Termo do inglês Double Blind Sql Injection, neste método além do invasor não visualizar os dados da base de dados (usuário e senha, por exemplo) através da página web (expostos no html, visível em tela), ele também não obtêm diferença visível na página em caso de retorno verdadeiro. Enquanto no método anterior o invasor sabe se sua verificação booleana é verdadeira ou falsa pelo carregamento ou não da página, nesse método chamado de duplamente cego o invasor faz uma comparação de tempo de carregamento de página para saber se sua comparação que ele está enviando ao banco de dados (via método GET, por exemplo) é verdadeira ou falsa.

Ou seja, se a página demora 1 segundo para carregar o site "http://wikipedia.org/produto=1 and 1=1" e demora metade do tempo para carregar "http://wikipedia.com/produto=1 and 1=0", o invasor considera que o servidor está aceitando os comandos de injeção de SQL e sempre que tiver 1 segundo de tempo de carregamento significa que teve um retorno verdadeiro, dessa forma o invasor consegue obter caractere por caractere da senha do administrador do site.

Analisemos outro exemplo de vulnerabilidade, onde diversos sites usam sistemas que organizam as páginas internas usando a função include(), usando uma variável do método $_GET:

... verifica se a variável pagina ($_GET['pagina']) existe usando a função isset(), em seguida guarda o valor da pagina na variável $arquivo. Caso não exista uma variável, a variável $arquivo recebe a página inicial "home.php". Por fim é exibido a página usando a função include().

Referências

# data[].attributes.attachment_link.description
Injeção de SQL (do inglês SQL Injection) é um tipo de ameaça de segurança que se aproveita de falhas em sistemas que interagem com bases de dados através de comandos SQL, onde o atacante consegue inserir uma instrução SQL personalizada e indevida dentro de uma consulta (SQL query) através da entradas de dados de uma aplicação, como formulários ou URL de uma aplicação.