# data[].attributes.body
O CipherTrust é ótimo para se defender contra ataques de ransomware, um dos tipos de crimes que mais crescem atualmente, usado por cibercriminosos para bloquear o acesso a todo o seu sistema ou arquivos/bancos de dados até que o resgate seja pago. A plataforma ainda ajuda na conformidade com o GDPR descobrindo, classificando, remediando, protegendo e gerenciando a segurança dos dados em uma solução. Proteja dados em repouso, bancos de dados, arquivos na nuvem, em qualquer ambiente, com tokenização, criptografia, anonimização, pseudonimização e mascaramento dinâmico. O CipherTrust é modular, permitindo que a segurança do ambiente seja feita conforme a necessidade. Portanto, não é necessário um alto investimento e a compra de todos os módulos.

# data[].attributes.attachment_link.description
Ciphertrust Data Security: Evite multas e notificações de violação através das melhores práticas de segurança de dados. Clique e saiba mais!

# data[].attributes.body
As auditorias de sistema contínuas dentro de uma organização são críticas para reduzir possíveis falhas e fraudes nesses sistemas. Dessa forma, esse tipo de procedimento garante a segurança, integridade das informações e maior qualidade dos serviços de TI realizados pela empresa. A verificação de que o sistema segue as diretrizes exigidas também pode melhorar a confiabilidade desses processos. Da mesma forma, as auditorias proporcionam às organizações maior transparência e validam a necessidade de ferramentas e sistemas mais adequados para garantir uma análise mais precisa dos riscos de TI. Portanto, as auditorias de sistema contribuem para a melhoria contínua de uma organização. Portanto, podemos pensar nele como a base para a auditoria do sistema:
*Atuação;
*Segurança;
*privacidade;
*confiabilidade;
*Vertical;
*disponibilidade;
* confidencialidade

# data[].attributes.attachment_link.readable_text
Os pilares da segurança da informação sustentam as práticas, estratégias e políticas de proteção de dados nas empresas. Basicamente, eles servem como parâmetros para guiar os processos de Segurança da Informação e preservar as informações mais valiosas para os negócios, especialmente no meio digital.

Ao conhecer esses princípios, você terá uma base para analisar, planejar e implementar mecanismos de segurança para reduzir riscos e defender a informação das mais diversas ameaças. Então, se você quer melhorar sua gestão nessa área estratégica, entender os pilares da segurança da informação é um bom ponto de partida. Continue lendo e melhore sua cultura de segurança.

A importância dos pilares da Segurança da Informação

Sobre os pilares da segurança da informação está a proteção dos dados armazenados e processados pelas empresas, que estão entre seus ativos mais valiosos. Você já deve ter ouvido a expressão "dados são o novo petróleo", e não à toa: informação na era digital é sinônimo de poder, e as organizações precisam defender esse capital informacional para manter sua vantagem competitiva.

Para isso, precisam gerenciar riscos e proteger suas informações do acesso não autorizado, vazamentos, alterações, invasões e perdas. As ameaças à segurança da informação podem assumir as mais diversas formas, desde um ciberataque até desastres naturais e erros humanos.

Hoje, com as soluções em nuvem, conexão global e tecnologias como IoT, as brechas de dados estão se multiplicando - e os ataques também -, exigindo uma gestão de riscos ainda mais complexa.

Logo, os pilares da segurança da informação formam as bases para defender os sistemas e infraestrutura da empresa, por meio de processos, políticas, senhas, softwares de criptografia, firewalls, entre outras práticas essenciais.

Principais ameaças à Segurança da Informação

Os pilares da segurança da informação podem ser abalados por uma série de ameaças, principalmente as digitais, por exemplo:

Ataques a softwares e aplicações por meio de vírus, malwares, worms, ransomwares e cavalos de Troia

E-mails e websites de phishing que roubam dados confidenciais e senhas

Golpes de engenharia social, que usam a manipulação para persuadir pessoas e roubar informações privadas

Ações de sabotagem que bloqueiam o acesso aos dados e recursos do sistema, como os ataques de negação de serviço (ataques DoS e DDoS)

Invasão e roubo de dispositivos móveis que armazenam informações críticas, como smartphones, tablets e wearables

Vazamento de dados por falhas internas ou ataques externos

Extorsão e "sequestro" de informações, como no caso dos ransomwares, que bloqueiam o acesso aos dados e exigem um resgate para liberá-los.

Essas ameaças e ciberataques estão cada vez mais complexos e colocado a cibersegurança no centro das questões gerenciais. De acordo com a pesquisa 2019 Global Cyber Risk Perception Survey, publicada pela Microsoft, 79% das empresas globais incluem os riscos cibernéticos em seu top 5 das preocupações atuais.

Uma das possíveis razões é o alto custo das vulnerabilidades: o vazamento de dados custam, em média, US$ 3,92 milhões para cada empresa, de acordo com um levantamento da IBM publicado em 2019. Ao mesmo tempo, as empresas levam mais de 9 meses para identificar uma brecha e podem arcam com seus prejuízos por mais de 3 anos após o ataque.

Então, é claro que as organizações estão cada vez mais focadas em identificar, mitigar e prevenir essas ameaças, fortalecendo seus pilares da segurança da informação.

5 pilares da Segurança da Informação nas empresas

Há três pilares da segurança da informação mais populares, que formam a chamada "tríade CIA": confidencialidade, integridade e disponibilidade (do inglês Confidentiality, Integrity and Availability). Porém, foram acrescentados outros dois elementos para reforçar as políticas de proteção de dados. Confira esses cinco pilares essenciais:

1. Confidencialidade

A confidencialidade é o primeiro pilar da segurança da informação, pois garante que os dados estejam acessíveis a determinados usuários e protegidos contra pessoas não autorizadas. É um componente essencial da privacidade, que se aplica especialmente a dados pessoais, sensíveis, financeiros, psicográficos e outras informações sigilosas.

Para garantir esse pilar nas suas políticas de segurança de TI, você deve incluir medidas de proteção como controle de acesso, criptografia, senhas fortes, entre outras estratégias. Inclusive, a confidencialidade dos dados pessoais de usuários é um dos requisitos centrais de conformidade com a GPDR (General Data Protection Regulation) e LGPD (Lei Geral de Proteção de Dados Pessoais).

2. Integridade

A integridade na segurança da informação diz respeito à preservação, precisão, consistência e confiabilidade dos dados durante todo o seu ciclo de vida.

Para erguer esse pilar em uma empresa, é preciso implementar mecanismos de controle para evitar que as informações sejam alteradas ou deletadas por pessoas não autorizadas. Frequentemente, a integridade dos dados é afetada por erros humanos, políticas de segurança inadequadas, processos falhos e ciberataques.

3. Disponibilidade

Para que um sistema de informação seja útil, é fundamental que seus dados estejam disponíveis sempre que necessário. Logo, a disponibilidade é mais um pilar da segurança da informação, que garante o acesso em tempo integral (24/7) pelos usuários finais.

Para cumprir esse requisito, você precisa garantir a estabilidade e acesso permanente às informações dos sistemas, por meio de processos de manutenção rápidos, eliminação de falhas de software, atualizações constantes e planos para administração de crises.

Vale lembrar que os sistemas são vulneráveis a desastres naturais, ataques de negação de serviço, blecautes, incêndios e diversas outras ameaças que prejudicam sua disponibilidade.

4. Autenticidade

A autenticidade é o pilar que valida a autorização do usuário para acessar, transmitir e receber determinadas informações. Seus mecanismos básicos são logins e senhas, mas também podem ser utilizados recursos como a autenticação biométrica, por exemplo. Esse pilar confirma a identidade dos usuários antes de liberar o acesso aos sistemas e recursos, garantindo que não se passem por terceiros.

5. Irretratabilidade

Também chamado de "não repúdio", do inglês non-repudiation, esse pilar é inspirado no princípio jurídico da irretratabilidade. Esse pilar garante que uma pessoa ou entidade não possa negar a autoria da informação fornecida, como no caso do uso de certificados digitais para transações online e assinatura de documentos eletrônicos. Na gestão da segurança da informação, isso significa ser capaz de provar o que foi feito, quem fez e quando fez em um sistema, impossibilitando a negação das ações dos usuários.

Fortaleça seus pilares de Segurança da Informação

Agora que você conhece bem os pilares da Segurança da Informação, precisa garantir que suas práticas e políticas de gestão estejam alinhadas a essas referências.

Felizmente, já existem soluções que centralizam suas ferramentas de segurança e eliminam sistemas ultrapassados como as planilhas. A plataforma GAT Core, por exemplo, é uma plataforma de gestão integrada de risco cibernético e conformidade que otimiza sua gestão da segurança da informação.

Com ela, você consegue gerenciar ameaças, priorizar as correções de acordo com os riscos e centralizar procedimentos, conformidades, checklists e prazos, com total integração às ferramentas de segurança da empresa. Assim, fica muito mais fácil consolidar os pilares de segurança da informação na sua empresa e fazer uma gestão inteligente.Se quiser conhecer melhor a solução, solicite uma demo e comprove as vantagens.

Superfície de Exposição a Ataques Cibernéticos

O gerenciamento da superfície de exposição a ataques cibernéticos é o primeiro passo para a construção de um programa de Segurança da Informação. Somente com visibilidade e priorização de riscos e vulnerabilidades é possível traçar um plano para alcançar este objetivo. Trata-se da identificação, classificação, priorização e monitoramento contínuos de ativos digitais que contêm ou enviam dados vitais entre redes. Ele se preocupa com a análise contínua dos sistemas de rede e ajuda as organizações a identificar e tratar as vulnerabilidades à medida em que surgem. Ao fazer isso, as organizações podem reduzir ativamente sua superfície de ataque potencial e, ao mesmo tempo, melhorar sua postura geral de segurança cibernética. Com esse método, também percebem maior transparência, ajudando a fortalecer o relacionamento com os clientes e as parcerias comerciais. Certos componentes devem ser considerados ao criar um programa de gerenciamento de superfície de exposição.

Conheça gratuitamente sua superfície de exposição

O GAT Security Score coleta dados disponíveis publicamente na Internet (de forma não intrusiva) para dar uma perspectiva externa da postura de Segurança da Informação nas organizações. Os dados são dividos em 4 diferentes fatores de risco que, juntos, formam a base para o cálculo do seu Security Score (Rating ou Pontuação de Segurança).

Nosso algoritmo atribui, automaticamente, uma nota em formato de um Rating de Segurança Cibernética com base na análise da superfície de exposição dos ativos da empresa à Internet pública e, como consequência, a ataques cibernéticos. O sistema entrega uma avaliação do nível de segurança em forma de rating, contendo apontamentos de riscos da empresa, de seus fornecedores e terceiros.

Os resultados podem ser utilizados para a análise do nível de exposição cibernética, análise de risco em terceiros, benchmark e levantamentos para utilização em processos de Due Diligence, Cyber Underwriting e Seguro Cyber, entre outros.

Inventário Digital

Por meio do domínio do endereço de email informado no momento do cadastro (por exemplo, para o email , o domínio será dominio.com), nosso algoritmo inicia uma busca por diversos tipos de ativos vinculados a esse domínio na Internet. Geralmente, as ferramentas de Security Rating limitam suas buscas somente aos IPs relacionados ao domínio. O GAT Security Score busca:

Fatores de Risco

Após a identificação do Inventário Digital da empresa, o sistema realiza uma busca por possíveis problemas de segurança relacionados a cada um desses ativos. Os apontamentos identificados são divididos em quatro fatores de risco:

Risco de Imagem da Marca: problemas que podem acarretar na perda de credibilidade da marca. Por exemplo, domínio encontrado em alguma Blacklist, falta ou má configuração de DNS, dentre outros.

Vazamento de Dados: verificação das contas de e-mail corporativas, para checar se fazem parte de algum vazamento de dados.

Problemas de Websites: questões relacionadas a certificados digitais, má configuração de servidores web, tecnologias web inseguras e vulnerabilidades conhecidas (o sistema não realiza nenhuma varredura intrusiva).

Problemas de Rede: questões relacionadas aos IPs encontrados, tais como portas abertas, serviços expostos e tecnologias inseguras sendo utilizadas.

Acesse nossa postagem sobre gerenciamento da superfície de exposição e saiba mais!

# data[].attributes.attachment_link.title
5 Pilares de Segurança da Informação nas Empresas

# data[].attributes.attachment_link.description
Os pilares da segurança da informação sustentam as práticas, estratégias e políticas de proteção de dados nas empresas. Basicamente, eles servem como parâmetros para guiar os processos de Segurança da Informação e preservar as informações mais valiosas para os negócios, especialmente no meio digital.

# data[].attributes.body
As auditorias de sistema são projetadas para analisar se as operações e processos de uma determinada organização estão em conformidade com as diretrizes pré-determinadas. Ou seja, uma auditoria nada mais é do que o processo de verificação da estrutura da empresa, realizado por profissionais capacitados. Ele é projetado para analisar e avaliar a eficácia dos processos no exercício de funções preventivas para determinar se eles são adequados e se atendem às suas metas ou estratégias específicas. Portanto, por meio de uma auditoria, podem ser identificadas as mudanças necessárias para atingir esses objetivos. O foco desse processo está nas operações de tecnologia da informação quando se trata de segurança e auditoria de sistemas. Ou seja, é o processo de validação de toda a estrutura computacional de uma organização.

# data[].attributes.attachment_link.readable_text
A Lei Geral de Proteção de Dados (LGPD) traz consigo oportunidades para que organizações reavaliem processos sobre o tratamento de dados. Nesse aspecto, podemos esperar mudanças, como a implementação de auditoria de sistemas.

Adotar uma gestão de compliance, como a auditoria de sistemas, contribui não apenas para que a organização esteja em conformidade com a lei, mas também para implantação de boas práticas de governança.

O que é auditoria de sistemas?

A auditoria sistemas tem como objetivo analisar se as operações e processos de determinada organização estão em conformidade com as diretrizes pré-determinadas.

Ou seja, uma auditoria nada mais é, do que um processo de verificação da estrutura da corporação, realizada por profissionais capacitados para tal.

Ela procura analisar e avaliar a eficácia dos processos, exercendo também uma função preventiva, a fim de determinar se esses são adequados e se cumprem com seus determinados objetivos ou estratégias.

Assim, por meio da auditoria é possível estabelecer mudanças que sejam necessárias para obtenção desses objetivos.

Quando se trata da segurança e auditoria de sistemas, esse processo é focado nas operações da área de Tecnologia da Informação.

Ou seja, trata-se do processo de verificação de toda a estrutura computacional de uma organização.

Na auditoria de TI, verifica-se se as operações da área estão em conformidade com os objetivos propostos, como políticas institucionais e o que é definido em lei.

Dessa forma, é possível garantir a integridade dos dados manipulados, verificando aspectos de segurança e qualidade.

Auditoria de sistemas e a Organização Nacional de Padronização

No entanto, uma auditoria não pode ser realizada de qualquer maneira. Para isso, existem organizações de normatização dedicadas ao estabelecimento de modelos de padronização de processos.

A ISO, por exemplo, sigla para Organização Internacional de Padronização, é um desses órgãos. Sua função é promover a normatização de produtos e serviços, a fim de conferir qualidade aos mesmos.

Trata-se de um de um órgão de reconhecimento mundial que já publicou mais de 22 mil padrões internacionais. Sua representante no Brasil é a ABNT, ou Associação Brasileira de Normas Técnicas.

Quando as organizações determinam estratégias para garantir qualidade e competitividade aos seus produtos e serviços, ou ainda quando é preciso estabelecer salvaguardas para o atendimento de requisitos técnicos, há a necessidade de implementar um sistema de gestão.

Isso significa seguir as normas ISO. O processo de auditoria de gestão, por exemplo, tem como referência a norma ISO 19001:2018.

Nessa norma são definidos os requisitos para a implementação de um programa de auditoria, papeis, responsabilidades e o escopo do programa de auditoria.

Porém, quando falamos especificamente da auditoria de sistema de informação, devemos observar outra norma, a ISO 27000:2018.

A ISO 27000 é composta por cerca de quarenta normas que versam sobre a tecnologia da informação, técnicas de segurança e sistemas de gestão.

Quais são os tipos de auditoria de sistemas?

Uma organização pode passar por diferentes tipos de auditoria de sistemas, os principais são:

Auditoria interna

A auditoria interna é um processo realizado pela própria organização para auditar seus sistemas e procedimentos.

Com isso, a empresa visa garantir que seus parâmetros estejam sendo seguidos devidamente e que os resultados esperados sejam atingidos.

Por meio dessa auditoria, a organização toma conhecimentos dos processos que não estão em conformidade com suas diretrizes e identifica oportunidades de melhorias.

No entanto, a auditoria interna não pode ser realizada por qualquer profissional. Para ser um auditor é preciso ter as competências necessárias, habilidades e experiências para executar sua função com êxito.

Para isso, o auditor interno deve ter conhecimento e ser treinado na ISO 19011, bem como no sistema ao qual será auditado.

Esse tipo de auditoria é de suma importância para organizações que desejam medir, de forma eficaz, seu desempenho em relação às normas e diretrizes a serem seguidas.

Auditoria externa

A auditoria externa, como você já deve imaginar, é realizada por um auditor independente.

Por mais que a organização acredite que uma auditoria interna seja eficiente, a auditoria externa e especializada é fundamental para averiguar se os processos estão, de fato, adequados às normas e diretrizes pré-determinadas.

A importância de uma auditoria externa vem da independência em relação a empresa e, por isso, sua opinião não pode sofrer nenhum tipo de influência.

Esse tipo de auditoria pode ser contratada pela própria empresa ou pode ser um processo determinado pela leis relacionadas ao setor de atuação da empresa, tornando a auditoria externa obrigatória.

Nesse último caso, o auditor, normalmente, é um órgão regulador.

Qual é a importância da auditoria de sistemas?

Mas afinal, qual é a importância da auditoria de sistemas?

A realização constante de auditorias de sistemas dentro de uma organização é fundamental para a diminuição de falhas e fraudes que podem estar presentes nesses sistemas.

Desse modo, esse tipo de procedimento garante a segurança, integridade das informações e mais qualidade no tocante aos serviços de TI que a empresa realiza.

Verificar se os sistemas estão seguindo as diretrizes desejadas também aumenta a confiabilidade nesses processos.

Do mesmo modo, a auditoria também confere à organização mais transparência e verifica a necessidade de adoção de ferramentas e sistemas mais adequados, garantindo uma análise mais apurada dos riscos em TI.

Por fim, a auditoria também assegura que os sistemas estejam seguindo a legislação e outras diretrizes de qualidade, mitigando riscos com problemas legais.

Além disso, a auditoria externa, em especial, também garante à organização credibilidade quanto aos seus serviços, tanto perante clientes quanto fornecedores, por exemplo.

Portanto, a auditoria de sistemas contribui para uma constante melhoria na organização. Assim, podemos considerar como os fundamentos de auditoria de sistemas:

Como pode ser aplicado nas empresas?

Como você já sabe, auditoria pode ser aplicada a uma organização de duas formas: interna e externa. Nos dois casos o responsável por realizar a auditoria é o auditor.

O auditor deve ter profundo conhecimento a respeito da área auditoria. Ou seja, no caso da auditoria de sistemas, o profissional deve ter algum tipo de formação em tecnologia, como segurança da informação, por exemplo.

Mas não apenas isso, para ser um auditor é preciso ser treinado para tal. No caso dos auditores internos, é comum que a própria organização tenha um departamento de treinamento.

Uma auditoria completa pode ser resumida em quatro passos básicos:

1. Planejamento

2. Execução

3. Relatório de resultados

4. Plano de ação

Qual é a relação com a LGPD?

Nós já falamos nesse artigo que a criação e vigência cada vez mais próxima da Lei Geral de Proteção de Dados traz consigo uma oportunidade para que as empresas reavaliem a forma com que processam dados.

Isso significa a implementação cada vez maior de uma auditoria de sistemas nas organizações.

Isso porque a LGPD prevê uma série de requisitos a serem cumpridos por essas organizações, visando a regulamentação das práticas do uso de dados.

O objetivo da lei é proporcionar um cenário de segurança jurídica para proteger o direito à liberdade e privacidade dos usuários.

Junto com essas regras há, também, a determinação de sanções para as empresas que descumprirem a lei. O que obriga as empresas a adaptarem-se o mais rápido possível à nova legislação.

A auditoria de sistemas é, portanto, uma consequência às mudanças previstas para o cenário da segurança da informação.

Ou seja, uma empresa que conta com uma auditoria interna de sistemas está se resguardando de possíveis sanções legais.

Mas não é apenas isso. A LGPD prevê em seu art. 20 a possibilidade da realização de auditorias externas.

De acordo com a lei, a organização estará sujeita à realização de auditoria pela Autoridade Nacional de Proteção de Dados (ANPD) quando não fornecer informações requeridas pelo titular, conforme descreve o parágrafo segundo do mesmo artigo:

"Em caso de não oferecimento de informações de que trata o § 1º deste artigo baseado na observância de segredo comercial e industrial, a autoridade nacional poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais.".
Quer se tornar um especialista em LGPD certificado pela EXIN? Acesse a página de cursos do Certifiquei e confira nosso curso Privacy & Data Protection - Essentials!
Como se preparar para a LGPD?

Como vimos, adequar-se a LGPD é fundamental para continuar a ser uma empresa competitiva.

Contudo, por ser uma lei ainda muito nova e por tratar de tanto pontos, nem todas as empresas sentem-se preparadas para tal.

O primeiro passo para adequar-se a LGPD, portanto, é conhecimento completo dessa legislação.

Para isso, recomendamos não apenas a leitura cautelosa da Lei nº 13.709/2018, mas a total compreensão de seus pontos e aplicabilidade por meio de um curso simples e completo.

O curso Privacy & Data Protection Essentials (PDPE), por exemplo, confere ao profissional conhecimentos sobre a organização da proteção de dados pessoais e as diretrizes do regulamento brasileiro.

Outro curso extremamente importante para esse profissional é o Information Security Foundation (ISFS), baseado ISO 27001, primeira norma da família ISO 27000, na qual já discorremos anteriormente.

Isso porque, como vimos, a compreensão categórica dessa norma é fundamental para o desenvolvimento dos profissionais de segurança da informação.

Por fim, é claro, cabe a organização a implementação de uma auditoria de sistemas interna para análise de todos os seus processos e garantia de adequação à Lei Geral de Proteção de Dados.

# data[].attributes.attachment_link.title
O que é Auditoria de Sistemas e Como se Relaciona com a LGPD?

# data[].attributes.attachment_link.description
A Lei Geral de Proteção de Dados (LGPD) traz consigo oportunidades para que organizações reavaliem processos sobre o tratamento de dados. Nesse aspecto, podemos esperar mudanças, como a implementação de auditoria de sistemas. Adotar uma gestão de compliance, como a auditoria de sistemas, contribui não apenas para que a organização esteja em conformidade com a lei, mas também para implantação de boas práticas de governança.