# data[].attributes.attachment_link.title
Quais São Os Fundamentos Da Segurança Da Informação? | GD Solutions

# data[].attributes.attachment_link.description
Conheça quais são os fundamentos da segurança da informação, e qual é a diferença que tem com a segurança de TI.

# data[].attributes.attachment_link.readable_text
A perda de informação é um dos maiores receios das empresas atualmente. A implementação de boas práticas de segurança da informação é imprescindível para a proteção de dados financeiros e de clientes da empresa.

Com a diminuição no orçamento e o crescente número de ameaças e ataques cibernéticos, os gestores de TI precisam lidar com os componentes essenciais para garantir a segurança da informação no negócio. Continue a leitura e entenda melhor sobre o assunto.

O que é segurança da informação?

A informação é um ativo muito relevante para qualquer tipo de empresa, sendo considerada, nos dias de hoje, um dos recursos patrimoniais mais importantes para a manutenção do negócio. Informações confidenciais em posse de concorrentes ou pessoas de má-fé podem prejudicar seriamente, não apenas a reputação e imagem da empresa, mas também inviabilizar processos operacionais cotidianos.

A continuidade de um negócio pode ser agravada se segurança das suas informações não receber a devida atenção. Nesse sentido entra em destaque o conceito de segurança da informação que se trata da proteção de sistemas e dados da empresa, sendo o nível de segurança definido conforme o valor das informações e os possíveis prejuízos originados pelo seu uso indevido.

Para isso, a segurança da informação implementa mecanismos e ferramentas buscam proteger a empresa de diversas falhas.

7 boas práticas de segurança da informação

Fazer uma boa gestão de segurança de redes não implica em altos custos, como muitos pensam. Algumas práticas são simples e fundamentais para evitar perdas financeiras e manter uma boa reputação da marca frente ao mercado. Portanto, ao pensar que o investimento em tecnologia é caro, imagine o alto preço que a empresa pode pagar se for negligente e não cuidar de seu maior ativo - a informação.

Para implementar boas práticas de segurança da informação em uma empresa, primeiro é importante definir uma estrutura de gestão de forma adequada. Para isso, essas atividades são coordenadas por representantes da organização, que possuem responsabilidades bem definidas e pratiquem algumas ações fundamentais como:

1. Manter os softwares atualizados

Mantenha os sistemas operacionais originais e atualizados, os fabricantes estão sempre em busca de correções e atualizações contra ataques cibernéticos.

As atualizações de software são importantes porque a maioria dos malwares por aí não tem exatamente como alvo vulnerabilidades de segurança novas e desconhecidas. Em vez disso, exploram aplicações conhecidas que já foram corrigidas nas versões mais recentes, na esperança de que as empresas não tenham sido atualizadas.

2. Possuir ferramentas de gestão de incidentes

Uma governança administrativa que priorize a proteção dos dados e arquivos é essencial. Infelizmente, muitas empresas colocam muito foco na conformidade, pensando que, desde que cumpram todos os regulamentos, seus dados confidenciais serão totalmente protegidos.

Essas empresas geralmente adotam a abordagem de simplesmente passar por uma lista de verificação, cruzar os requisitos assim que são atendidas e não pensar muito nos riscos que a empresa enfrenta e como eles afetam o resultado final.

3. Ter controle sobre os acessos

Comece por registrar todos os níveis e controles de acesso atuais em vigor. Após, verifique as funções das pessoas na empresa para definir o acesso a uma funcionalidade específica. Deve ser assegurado o acesso de usuário autorizado aos locais estritamente necessários ao desenvolvimento de suas tarefas.

Isso pode reduzir os riscos associados a senhas roubadas, já que um hacker mal-intencionado tem menos chances de obter acesso a tudo.

4. Fazer cópias de segurança

O backup ou cópia de segurança é um mecanismo fundamental para assegurar a disponibilidade da informação, caso as bases de dados em que a informação esteja armazenada sejam roubadas ou danificadas. Uma das etapas mais importantes do backup é descobrir com que frequência os dados precisam ser armazenados em backup. Idealmente, as empresas devem fazer o backup dos dados com a frequência que seus recursos permitirem.

Embora muitas empresas, especialmente as de menor porte, possam se contentar com um backup diário, as que lidam com dados em constante mudança, como organizações financeiras, devem fazer backup com uma frequência ainda maior, várias vezes ao dia. As empresas podem pesquisar softwares que fazem backup de dados automaticamente em intervalos selecionados para facilitar o gerenciamento do processo.

5. Investir em serviços e equipamentos voltados para a segurança

Grande parte da proteção de dados em uma empresa está na capacidade de sua infraestrutura tecnológica.

Investir em uma solução de segurança que não apenas detectem o software desatualizado em execução nos dispositivos de propriedade do usuário, mas também notifica que ele pode economizar tempo dos administradores, permitindo que os usuários resolvam rapidamente seus próprios dispositivos vulneráveis.

6. Implementar uma política de segurança

Embora as pequenas empresas geralmente operem de boca em boca e de conhecimento intuitivo, a segurança cibernética é uma área em que é essencial documentar seus protocolos. As políticas de segurança da informação só se tornam realmente eficazes a partir do momento em que os profissionais passam a atuar preventivamente.

É importante que a política de segurança reflita sempre a prática real. Caso contrário, no momento em que a política é publicada, o trabalho não é compatível. É melhor manter a política como um conjunto muito pequeno de definições claras aos quais todos concordam e podem cumprir do que ter uma política muito abrangente que poucos na empresa observam.

7. Focar na educação dos funcionários

Os programas de treinamento de segurança mais bem-sucedidos não têm apenas a participação dos funcionários operacionais, mas sim de todos os níveis da organização. Isso ocorre simplesmente porque uma abordagem total é a melhor maneira de construir uma cultura de segurança em toda a empresa na qual a boa tomada de decisões e a aplicação das melhores práticas de segurança da informação se tornem atividades diárias.

Hoje, a principal brecha na segurança das empresas é o fator humano. É por isso que os principais ataques focam engenharia social para induzir comportamentos que fujam das boas práticas. Portanto, esses exemplos podem ser usados para treinar todo corpo colaborativo das empresas.

Principais tendências para a segurança da informação de empresas

O investimento em segurança da informação deve crescer nos próximos anos. Como tendência há o destaque da necessidade de medidas continuadas de prevenção, acompanhando a evolução dos riscos e formas de ataques.

Vale a pena pesquisar sobre empresas que forneçam soluções para proteção de alto nível tecnológico de mesmo patamar ao de empresas globais, mas com tecnologia nacional e um preço justo e mais alinhado ao cenário e orçamento das empresas brasileiras.

Como vimos, promover boas práticas de segurança da informação aumenta a eficiência da empresa com menos recursos, além de proteger a rede de computadores de ameaças.

E, para saber mais sobre como garantir a segurança de estratégias e projetos internos, leia também nosso post Como se proteger de sequestro digital: 7 dicas para sua empresa.

Assine nossa Newsletter!

Receba por e-mail os nossos melhores conteúdos sobre segurança da informação.

# data[].attributes.attachment_link.title
Conheça 7 boas práticas de segurança da informação para empresas - HSC Brasil

# data[].attributes.attachment_link.description
A perda de informação é um dos maiores receios das empresas atualmente. A implementação de boas práticas de segurança da informação é imprescindível para a proteção de dados financeiros e de clientes da empresa.Com a diminuição no orçamento e o crescente número de ameaças e ataques cibernéticos, os gestores de TI precisam lidar com os componentes essenciais para garantir a segurança da informação no negócio.

# data[].attributes.attachment_link.title
O que é a LGPD? — Lei Geral de Proteção de Dados

# data[].attributes.attachment_link.description
A Lei Geral de Proteção de Dados (13.709/2018) tem como principal objetivo proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Também tem como foco a criação de um cenário de segurança jurídica, com a padronização de regulamen…

# data[].attributes.headline
O que é phising e quais os scams mais comuns.

# data[].attributes.subject
O que é phising e quais os scams mais comuns.

# data[].attributes.attachment_link.readable_text
Tudo sobre phishing

O que é phishing?

Phishing é o crime de enganar as pessoas para que compartilhem informações confidenciais como senhas e número de cartões de crédito. Como em uma verdadeira pescaria, há mais de uma maneira fisgar uma vítima, mas uma tática de phishing é a mais comum. As vítimas recebem um e-mail ou uma mensagem de texto que imita (ou " engana ") uma pessoa ou organização em que confiam, como um colega de trabalho, um banco ou um órgão governamental. Quando a vítima abre o e-mail ou o texto, eles encontram uma mensagem assustadora que induz a deixar o bom senso de lado ao deixá-los com medo. A mensagem exige que a vítima acesse um website e execute uma ação imediata ou assuma um risco por algum tipo de consequência.

Se os usuários mordem a isca e clicam no link, eles enviam uma imitação de um website legítimo. A partir daí, eles pedem para fazer o login com nome de usuário e senha. Se forem ingênuos o bastante para obedecer, as informações de acesso são enviadas aos ladrões que as usam para roubar identidades, roubam contas bancárias e vendem os dados pessoais no mercado negro.

"Phishing é o tipo mais simples de ciberataque e, ao mesmo tempo, o mais perigoso e eficiente."

Diferente de outros tipos de ameaças online, o phishing não requer um conhecimento técnico muito sofisticado. Na verdade, segundo Adam Kujawa, diretor do Malwarebytes Labs, "Phishing é o tipo mais simples de ciberataque e, ao mesmo tempo, o mais perigoso e eficiente porque ele ataca o computador mais vulnerável e poderoso do planeta: a mente humana." Os phishers não tentam explorar uma vulnerabilidade técnica do sistema operacional de seu dispositivo - eles usam a " engenharia social. De Windows e iPhones até Macs e Androids, nenhum sistema operacional está completamente seguro contra phishing, não importa quão eficiente é a segurança. Na verdade, os criminosos recorrem ao phishing porque não conseguem encontrar vulnerabilidades técnicas. Por que perder tempo derrubando camadas de segurança se você pode induzir alguém a lhe entregar a chave? Mais do que nunca, o elo mais fraco em um sistema de segurança não é uma falha técnica enterrada em um código de computador, mas sim o ser humano que não verifica com cuidado de onde veio o e-mail.

As últimas notícias sobre phishing

Um romance ruim: como explicar catphishing
Um novo tipo de phishing scam da Apple
Contas do LinkedIn comprometidas usadas para enviar links de phishing por meio de mensagens privadas e InMail

A história do phishing

É muito fácil rastrear a origem do nome "phishing". O processo de realizar um phishing scam é muito semelhante a uma pescaria real. Você prepara uma isca para enganar a vítima, lança e espera que seja mordida. Começando com o dígrafo "ph" que é substituído por "f", ele pode ser o resultado de uma composição de "fishing" e "phony", porém, algumas fontes apontam para outra possível origem.

Na década de 1970, uma subcultura formada com base na prática de usar hacks de pouca tecnologia para explorar o sistema de telefonia. Eram os primeiros hackers e eram chamados de "phreaks" - uma combinação de "phone" (telefone) e "freaks" (fanáticos). Naquela época em que não havia muitos computadores conectados em rede para invadir, o phreaking era uma maneira comum de fazer chamadas de longa distância gratuitamente ou ligar para números não listados.

"Phishing é o tipo mais simples de ciberataque e, ao mesmo tempo, o mais perigoso e eficiente."

Mesmo antes do termo "phishing" atual ser utilizando, uma técnica de phishing foi detalhadamente descrita em um artigo e em uma apresentação feita para o International HP Users Group, Interex, em 1987.

O uso do nome em si foi primeiramente atribuído ao um notório spammer e hacker em meados da década de 1990, Khan C Smith. Além disso, de acordo com registros da Internet, a primeira vez que o phishing foi publicamente usado e registrado foi em 2 de janeiro de 1996. A menção ocorreu em um fórum de discussão de usenet chamado AOHell. Na época, a America Online (AOL) era o principal provedor de acesso à Internet e tinha milhões de acessos todos os dias.

Naturalmente, a popularidade da AOL fez com que se tornasse alvo de fraudadores. Hackers e piratas de software usavam a empresa para se comunicarem entre si e conduzir ataques de phishing contra usuários legítimos. Quando a AOL decidiu fechar o AOHell, os invasores começaram a usar outras técnicas: eles enviavam mensagens aos usuários da AOL passando-se por funcionários da empresa e solicitando que as pessoas verificassem suas contar e entregassem informações de faturamento. Por fim, o problema tomou tão proporção que a AOL acrescentou alertas a todos os e-mails e sistemas de mensagens instantâneas informando que \"nenhum funcionário da AOL pedirá sua senha ou informações de faturamento.\""

"As redes sociais tornaram-se o principal alvo de phishing."

Já nos anos 2000, o phishing voltou sua atenção para explorar os sistemas de pagamento online e era comum os phishers mirarem em bancos e clientes de serviços de pagamento online, alguns dos quais - de acordo com pesquisas posteriores - puderam ser precisamente identificados e combinados ao verdadeiro banco que usavam. Da mesma forma, os sites das redes sociais tornaram-se o principal alvo de phishing, atraente para os invasores porque os detalhes pessoais desses sites são úteis para o roubo de identidade.

Os criminosos registraram dúzias de domínios que imitavam o eBay e o PayPal tão bem que se passavam pelo site original sem que você prestasse a menor atenção. Os clientes da PayPal recebiam e-mails de phishing (contendo links para websites falsos), pedindo para atualizassem os números de cartões de crédito ou outros dados pessoais. O primeiro ataque de phishing conhecido contra um banco foi reportado pelo The Banker (uma publicação do The Financial Times Ltd.) em setembro de 2003.

Na metade da década de 2000, o software turnkey de phishing estava prontamente disponível no mercado negro. Ao mesmo tempo, grupos de começaram a se organizar para realizar campanhas sofisticadas de phishing. O prejuízo estimado devido ao sucesso do phishing durante esse período varia, um relatório de 2007 da Gartner diz que mais de 3,6 milhões de adultos perderam $3.2 bilhões entre agosto de 2006 e agosto de 2007.

"Em 2013, 110 milhões de registros de clientes e cartões de crédito foram roubados de clientes da Target."

Já em 2011, o phishing encontrou patrocinadores estatais quando uma suspeita campanha de phishing chinesa mirou em contas Gmail de oficiais do alto escalão do governo e do exército dos EUA e da Coreia do Sul, além de ativistas políticos chineses.

Talvez, o mais famoso evento aconteceu em 2013 quando 110 milhões de registros e de cartões de crédito foram roubados dos clientes da Target através de uma conta de um subcontratado com phishing.

Ainda mais abominável foi a campanha de phishing lançada pela Fancy Bear (um grupo de espionagem cibernética associado à agência de inteligência militar russa GRU) contra endereços de e-mail vinculador ao Comitê Nacional Democrático no primeiro trimestre de 2016. Em particular, o gerente da campanha de Hillary Clinton durante a eleição presidencial de 2016, John Podesta, teve sua conta no Gmail invadida e, posteriormente, divulgada após cair no velho golpe: um ataque de phishing informando que a senha de seu e-mail estava comprometida (clique aqui para alterá-la).

Em 2017, um phishing scam maciço induziu os departamentos de contabilidade do Google e do Facebook a transferirem dinheiro, um total de mais de $100 milhões, para contas em bancos no exterior sob o controle de um hacker.

Tipos de ataques de phishing

Apesar das inúmeras variedades, o denominador comum de todos os ataques de phishing é o uso de um falso pretexto para adquirir valores. Algumas das principais categorias incluem:

Spear phishing

Enquanto a maioria das campanhas de phishing enviam e-mails em massa para o máximo de pessoas possível, o spear phishing tem um alvo específico. O spear phishing ataca uma pessoa ou organização específica, geralmente, com um conteúdo personalizado para a vítima ou as vítimas. Ele precisa de um reconhecimento pré-ataque para descobrir nomes, cargos em empresas, endereços de e-mail e outras informações desse tipo. Os hackers vasculham a Internet para combinar essas informações com outros dados pesquisados sobre o colega sob mira, junto com nomes e relações profissionais dos principais funcionários das empresas. Assim, o phisher cria um e-mail plausível.

Por exemplo, um invasor pode executar um spear phishing com um funcionário cujas responsabilidades incluam autorizar pagamentos. O e-mail parece que foi enviado por um executivo da organização, solicitando que o funcionário faça o pagamento de uma quantia significativa para ele ou para um fornecedor (quando, na verdade, o link de pagamento malicioso envia para o invasor).

O spear phishing é uma ameças às empresas ( e governos) e pode levar a grandes prejuízos. De acordo com um relatório de 2016 de uma pesquisa sobre o assunto, o spear phishing foi responsável por 38% dos ciberataques nas empresas participantes durante o ano 2015. Além disso, para as empresas norte-americanas envolvidas, o custo médio dos ataques de spear phishing por incidente foi de $1.8 milhões.

"Um e-mail de phishing prolixo de alguém que se passava por um príncipe nigeriano é um dos primeiros e mais longevos scams em ação."

Clone phishing

Neste tipo de ataque, os criminosos copiam (ou clonam) um e-mail legítimo recebido anteriormente que contenha um link ou um anexo. Em seguida, o phisher substitui os links ou arquivos anexos por conteúdo malicioso para que passe pelo item verdadeiro. Usuários ingênuos clicam no link ou abrem o anexo que, geralmente, permite que seus sistemas sejam recrutados. O phisher pode falsificar a identidade da vítima para que outras vítimas pensem que ele é um remetente confiável da mesma organização.

419/scams nigerianos

Um e-mail de phishing prolixo de alguém que se passava por um príncipe nigeriano é um dos primeiros e mais longevos scams em ação. De acordo com Wendy Zamora, diretor de conteúdo do Malwarebytes Labs, "O phishing do príncipe nigeriano vem de uma pessoa que finge ser um oficial do governo ou membro de uma família real que precisa de ajuda para transferir milhões de dólares para fora da Nigéria. O e-mail é marcado como 'urgente' ou 'confidencial' e o remetente pede que o destinatário forneça o número de uma conta bancária para guardar o dinheiro."

Em uma atualização hilária do clássico modelo de phishing nigeriano, o website de notícias britânico Anorak, em 2016, reportou que recebeu um e-mail de um certo Dr. Bakare Tunde, um suposto gerente de projeto de astronomia da Agência Nacional de Pesquisa e Desenvolvimento da Nigéria. Dr. Tunde alegava que seu primo, o Major Abacha da Força Aérea Tunde estava preso em uma estação espacial soviética há mais de 25 anos. Porém, as autoridades russas poderiam montar um voo para trazê-lo de volta pela bagatela de 3 milhões de dólares. Tudo o que os remetentes tinham que fazer era enviar os dados de suas contas bancárias para transferir a quantia necessária e Dr. Tunde pagaria uma taxa de $600.000.

Acidentalmente, o número \" 419\" está associado a este scam. Ele se refere à seção do código criminal nigeriano que trata de fraudes, cobranças e penalidades aos criminosos.

Phone phishing

Com as tentativas de phishing baseado em telefone, também chamado de voice phishing ou " vishing," o phisher liga dizendo ser representante de seu banco local, polícia ou mesmo IRS. Depois, eles assustam você com algum tipo de problema e insistem para que você resolva imediatamente fornecendo os dados de sua conta ou pagando uma taxa. Com frequência, eles pedem que você faça uma transferência bancária ou com cartões pré-pagos para que seja impossível rastreá-los.

SMS phishing, ou "smishing," é o irmão gêmeo do vishing e faz o mesmo tipo de scam (às vezes com um link malicioso integrado para clicar) por meio de mensagens SMS.

"O e-mail contém uma oferta boa demais para ser verdade."

Como identificar um ataque de phishing

Reconhecer uma tentativa de phishing nem sempre é fácil, mas algumas dicas, um pouco de disciplina e bom senso poderão ajudar muito. Procure por algo que não seja comum ou estranho. Pergunte a si mesmo se a mensagem passa pelo \"teste de desconfiança\". Confie em sua intuição, mas não se deixe levar pelo medo. Geralmente, os ataques de phishing usam o medo para despistar seu julgamento.

Aqui estão alguns sinais de uma tentativa de phishing:

O e-mail contém uma oferta boa demais para ser verdade. Ele pode dizer que você ganhou na loteria, um prêmio caro ou outro item surpreendente.

Você reconhece o remetente, mas é alguém com quem você não conversa. Mesmo que o nome do remetente seja familiar, suspeite se for alguém com quem você não conversa com frequência, especialmente se o conteúdo do e-mail estiver relacionado com as responsabilidades comuns de seu trabalho. O mesmo se aplica se você estiver em cópia de um e-mail para pessoas que você nem conhece ou a um grupo de colegas de unidades de negócios estranhas.

A mensagem parece assustadora. Tome cuidado se o e-mail contiver um tom alarmista ou pesado para criar um senso de urgência, induzindo você a clicar e \"agir agora\" antes que sua conta seja cancelada. Lembre-se que organizações responsáveis não pedem dados pessoais pela Internet.

A mensagem contém anexos inusitados ou inesperados. Esses anexos podem conter malware, ransomware ou outra ameaça online.

A mensagem contém links que parecem um pouco apagados. Mesmo que não perceba nenhum dos itens acima, não clique nos hyperlinks integrados para o seu bem. Em vez disso, passe o cursor sobre o link para ver a URL verdadeira. Tenha especial cuidado ao procurar erros de ortografia em um website que pareça familiar porque isso indica a falsificação. É sempre melhor digitar a URL diretamente do que clicar no link.

Aqui, está um exemplo de tentativa de phishing que fingia ser um aviso da PayPal, pedindo ao destinatário que clicasse no botão \"Confirme agora\". Passar o mouse sobre o botão revela a verdadeira URL de destino no retângulo vermelho.

Outro exemplo de ataque de phishing é se passar pela Amazon. Observe a ameaça de encerrar a conta se nada for feito em 48 horas.

Clicar no link irá redirecioná-lo para esse formulário, convidando-o a entregar o que o phisher precisa para se apossar de seus bens:

Como me proteger de phishing?

Com dito anteriormente, o phishing é uma ameaça de oportunidade igual, capaz de atingir desktops, laptops, tablets e smartphones. Muitos navegadores de internet têm maneiras de verificar se um link é seguro, mas a primeira linha de defesa contra o phishing é sua desconfiança. Condicione-se a reconhecer os sinais de phishing e tente praticar a computação segura sempre que verificar seu e-mail, ler posts do Facebook ou jogar online.

Mais uma vez, Adam Kujawa diz que aqui estão algumas práticas importantes para que você se mantenha seguro:

Não abra e-mails de remetentes com os quais você não está familiarizado.

Nunca clique em um link que esteja em um e-mail a menos que você conheça muito bem quem o mandou.

Para melhorar a proteção, se você receber um e-mail, mas não tem certeza se é confiável, acesse o link inserindo manualmente o endereço do website em seu navegador.

Procure o certificado digital de um website.

Se pediram algum dado confidencial, verifique se a URL da página começa com "HTTPS" e não apenas como "HTTP." O \"S\" significa \"seguro\". Isso não é uma garantia de que o site seja seguro, mas os sites originais usam HTTPS porque é mais seguro. Os sites HTTP, mesmo que sejam legítimos, são vulneráveis aos hackers.

Se você suspeitar que um e-mail é falso, anote o nome ou algum texto da mensagem e insira em um mecanismo de busca para verificar se existe algum ataque de phishing conhecido que use o mesmo método.

passe o mouse sobre o link para ver se o link é legítimo.

Como sempre, recomendamos usar algum tipo de software de segurança anti-malware. A maioria das ferramentas de segurança cibernética têm a capacidade de detectar quando um link ou um anexo não é o que parece, portanto, mesmo que você caia em uma tentativa de phishing inteligente, você não compartilhará suas informações com as pessoas erradas.

Todos os produtos de segurança Malwarebytes Premium oferecem uma proteção robusta contra phishing. Eles podem detectar sites fraudulentos e impedir você de abri-los mesmo que esteja convencido de que ele é um site legítimo.

Fique alerta, tenha cuidado e procure por algum indício de que seja uma isca.

Veja todo nosso relatório sobre phishing em Malwarebytes Labs.

# data[].attributes.attachment_link.title
O que é phishing? Tipos e exemplos de phishing | Malwarebytes

# data[].attributes.attachment_link.description
Phishing é o crime de enganar as pessoas para que compartilhem informações confidenciais como senhas e número de cartões de crédito. Como em uma verdadeira pescaria, há mais de uma maneira fisgar uma vítima, mas uma tática de phishing é a mais comum.

# data[].attributes.headline
Boas práticas de segurança para aplicações mobile.

# data[].attributes.subject
Boas práticas de segurança para aplicações mobile.

# data[].attributes.attachment_link.readable_text
4.1 DEFINIÇÃO E REQUISITOS GERAIS

Aplicações móveis, neste documento, referem-se a aplicações executadas em dispositivos tais como smartphones, tablets ou similares, por exemplo: iPads, iPhones e tablets com Android.

As aplicações móveis da sua empresa devem atender a todos os requisitos de segurança delineados neste documento, quando estes forem aplicáveis, inclusive requisitos de segurança que não são específicos para aplicações móveis. Quando houver divergência entre alguma orientação de item específico para aplicativos móveis e os demais itens do documento, deve-se observar a orientação específica para aplicativos móveis.

4.2 ARQUITETURA

Aplicativos móveis não devem acessar diretamente servidores de banco de dados remotos. O acesso remoto a dados deve ser realizado através de web services ou aplicações web. Veja as orientações de segurança sobre web services nos itens: 2.9. Web Services (parte I) e 4.6. Segurança em Web Services e Servidores. O Uso de um WAF para a proteção de todas essas aplicações internas /externas será essencial para manter o ambiente seguro e com o baseline dentro das boas práticas de segurança da informação.

Abaixo, um exemplo simples e prático de como é um waf para nossa estrutura e o mais recomendado para a proteção e uma boa prática de segurança da informação visando a LGPD.

4.3 PROTEÇÃO DE INFORMAÇÕES CLASSIFICADAS COMO CONFIDENCIAL OU RESTRITA

Se possível, quando não houver impacto ao negócio, deve-se impedir a permanência de dados classificados como CONFIDENCIAIS ou RESTRITOS no equipamento após o encerramento do aplicativo. Havendo necessidade de manter algum dado CONFIDENCIAL ou RESTRITO no dispositivo, este deverá ser protegido com criptografia, através de ferramenta homologada pela sua empresa, que proteja o aplicativo e dados em contêiner seguro e com mecanismos de DLP (Data Loss Prevention). Em casos em que a proteção do aplicativo através desta ferramenta não for viável, deve-se adotar um dos mecanismos de criptografia delineados adiante neste item.

Preferencialmente, armazene dados classificados como CONFIDENCIAL ou RESTRITO apenas no servidor da aplicação, evitando armazenar no dispositivo móvel. Quando dados classificados como CONFIDENCIAL forem armazenados no servidor da aplicação, deve-se adotar os requisitos de criptografia delineados no item 2.8. Criptografia em Banco de Dados (Parte I).

Na fase de design da aplicação ou no processo de aquisição, deve-se classificar as possíveis informações sensíveis que serão armazenadas ou processadas pela aplicação, conforme os níveis de classificação da informação definidos pela sua empresa, tais como credenciais de acesso, dados pessoais (ex. CPF), dados corporativos e localização. Aplique o princípio de mínima exposição - somente obtenha, armazene e transmita dados que são realmente requeridos para o uso da aplicação e negócio da sua companhia.

Nunca armazene qualquer dado CONFIDENCIAL ou RESTRITO em arquivos do tipo texto no dispositivo móvel (ex. arquivos .plist). A transmissão de dados sensíveis entre o cliente (aplicação no dispositivo móvel) e o servidor deve sempre utilizar criptografia SSL/TLS, seguindo as orientações do item 2.1.4 Protocolo de Comunicação Segura (Parte I).

Para armazenar dados sensíveis no dispositivo móvel, envolvendo pouca quantidade de dados, e que não sejam informações classificadas como CONFIDENCIAL, utilize as APIs de criptografia do sistema operacional e armazene estes dados através das seguintes opções:

a) Em aplicativos iOS, use o Keychain utilizando o atributo kSecAttrAccessibleWhenUnlocked.

b) Em aplicativos Android, use APIs como KeyGenerator e armazene as chaves na KeyStore.

c) Em outras tecnologias, use também as APIs de criptografia e key store fornecidas pelo sistema operacional.

Não sendo viável proteger totalmente o aplicativo através de ferramenta de segurança homologada pela sua empresa (veja primeiro parágrafo do item 4.3), e caso seja estritamente necessário armazenar informações classificadas como CONFIDENCIAL ou uma quantidade considerável de dados sensíveis (ex. base de dados local com informações corporativas) em dispositivos móveis, armazene estes dados em banco de dados local (ex.SQLite) e utilize uma API de criptografia, de fonte confiável, implementando um dos algoritmos com o respectivo tamanho de chave delineados no item 2.8. Criptografia em Banco de Dados (Parte I).

Nestes casos, não se deve armazenar a chave criptográfica no dispositivo móvel e o aplicativo deve exigir autenticação para acesso a estas informações. Pode-se adotar duas opções para a geração e gerenciamento de chave criptográfica (adotar preferencialmente a primeira opção por oferecer maior nível de segurança):

a) A chave deverá ser gerada a partir da senha do usuário após cada autenticação, combinada com um valor longo (mínimo de 128 bits) e randômico gerado no primeiro uso e armazenado apenas no servidor de banco de dados (armazenamento remoto). Esta opção deve permitir a revogação deste valor, impedindo o acesso às informações armazenadas no dispositivo. A chave deverá apenas permanecer na memória volátil do dispositivo enquanto for necessária para acesso aos dados protegidos durante a execução do aplicativo.

b) A chave deverá ser gerada a partir da senha do usuário após cada autenticação online ou offline, combinada com um valor longo (mínimo de 128 bits) e randômico gerado no primeiro uso e armazenado na key store, como o Keychain do iOS e a KeyStore do Android. A chave deverá apenas permanecer na memória volátil do dispositivo enquanto for necessária para acesso aos dados protegidos durante a execução do aplicativo.

c) A aplicação deve adotar um algoritmo de hashing de computação lenta (PBKDF2, bcrypt ou scrypt) para geração da chave de criptografia. Uma parte da chave deve ser o hash gerado a partir da senha com o mínimo de 128 bits e a outra parte da chave deve ser um valor longo e randômico com o mínimo de 128 bits armazenado em local protegido, conforme as orientações acima. O hash gerado a partir da senha do usuário, utilizado para geração da chave de criptografia, não deve ser armazenado. Uma possível solução para implementação de criptografia em aplicativos iOS, Android e outros é a utilização do produto SQLCipher (http://sqlcipher.net/) que provê criptografia transparente, utilizando AES-256, para acesso a arquivos de banco de dados.

d) Em hipótese nenhuma armazene chaves de criptografia em arquivos de configuração ou no binário da aplicação.

Dados sensíveis devem ser removidos da memória volátil do dispositivo após o encerramento do aplicativo, encerramento da sessão do usuário ou término de processamento pelo aplicativo.

Não armazene dados de localização (GPS) ou outras informações sensíveis além do período que é necessário para a aplicação. Dados sensíveis devem ser removidos, quando possível, do dispositivo móvel e do servidor, mesmo estando protegidos por criptografia forte. Se não houver restrições, a aplicação deve possuir um mecanismo, protegido por controle de acesso, para remotamente apagar valores armazenados na key store e todos os dados sensíveis armazenados (mesmo encriptados), no caso de roubo ou perda do dispositivo. Este mecanismo deve ser fortemente protegido para evitar abusos.

4.4 CREDENCIAIS DE ACESSO

Evite armazenar senhas no aplicativo móvel, pois estas podem expor os usuários da aplicação. Ao invés disto, caso seja interessante permitir salvar credenciais de acesso, utilize tokens de autorização que podem ser armazenados no dispositivo móvel, na key store do sistema operacional (ex. Keychain do iOS). Adote tokens de autorização que sejam randômicos, longos (tamanho mínimo de 128 bits), e que possam ser revogados em caso de perda ou roubo do dispositivo. Considere utilizar o modelo OAuth em sua versão mais atualizada para implementar token de autorização. No entanto, evite permitir acesso persistente, ou por longo período de tempo sem autenticação, especialmente em aplicações que permitem acesso a dados sensíveis da sua empresa (veja o item 2.1.1 Controle de Sessão e Tempo de Inatividade). Aplicações que armazenam credenciais de acesso como tokens de autorização, devem sempre utilizar um mecanismo de autenticação.

Não armazene senhas ou credenciais de acesso a servidores no binário da aplicação, pois binários de aplicação mobile podem ser obtidos através de engenharia reversa e a informação pode ser descoberta.

Utilize identificadores de usuário (valores de login) que sejam relacionados aos usuários (ex. endereço de e-mail) e não ao dispositivo (ex. UDID ou IMEI). Nunca utilize valores fixos ou relacionados ao dispositivo, como UDID, para realizar controle de sessão ou autorização de acesso.

4.5 COMUNICAÇÃO SEGURA

Assuma que o meio de comunicação entre o dispositivo móvel e o servidor da aplicação não é seguro. Utilize criptografia SSL/TLS para proteger toda comunicação entre aplicativos móveis da sua empresa e servidores da aplicação, seguindo as orientações do item 2.1.4 Protocolo de Comunicação Segura, mesmo para comunicação de informações que não são sensíveis, visto que atacantes podem interceptar a comunicação entre o dispositivo e o servidor para atacar o aplicativo móvel.

Utilize certificados SSL assinados por autoridades certificadoras (CA) confiáveis (externas ou internas). Não utilize certificados SSL auto-assinados e não desabilite ou ignore a cadeia de validação de SSL. Rejeite conexão com o servidor caso o certificado SSL apresentado seja inválido, expirado ou não tenha sido emitido por autoridade certificadora reconhecida (externa ou interna).

4.6 SEGURANÇA EM WEB SERVICES E SERVIDORES

Os web services utilizados pelo aplicativo móvel devem possuir segurança robusta, seguindo as orientações deste documento, detalhadas no item 2.9 Web Services.

Qualquer web service que realize operações sensíveis ou que forneça acesso a dados sensíveis deve realizar controle de acesso conforme as orientações do item 2.9 Web Services.

Em aplicações com controle de acesso, os acessos realizados pelo aplicativo móvel a web services que realizam operações sensíveis devem ser registrados em arquivos de log conforme as orientações do item 2.10 Trilhas de Auditoria.

Os servidores acessados pelo aplicativo móvel devem ser mantidos com o sistema operacional, serviços de rede e softwares atualizados, com todas as correções de segurança instaladas. Nunca deve-se utilizar senhas padrões ou senhas fracas na administração de plataformas web.

4.7 ACESSO A FUNÇÕES SENSÍVEIS OU PRIVILEGIADAS

O aplicativo móvel deve executar no sistema operacional com o mínimo de privilégios exigidos pela aplicação. Aplicativos não devem ser instalados com permissão de root no sistema operacional.

Caso o aplicativo seja capaz de realizar operações pagas (como compras de produto ou envio de SMS), estas devem ser registradas em arquivos de log no servidor e ser monitoradas por padrões suspeitos (ex. exigir reautenticação na aplicação caso a localização geográfica seja muito distante da usual).

Todo acesso a web service que permite a utilização de recursos pagos deve ser protegido através de um dos mecanismos de controle de acesso indicado no item 2.9. Web Services.

4.8 PROTEÇÃO CONTRA CLIENT SIDE INJECTION

Em geral, no desenvolvimento de aplicativos móveis, deve-se seguir as mesmas regras de validação e tratamento de entrada de dados, assim como proteção contra vulnerabilidades de injeção de código, conforme as orientações do item 3 Proteção Contra Vulnerabilidades de Software (Parte II).

A seguinte regra deve ser sempre seguida: trate e valide positivamente (abordagem white list) todas as entradas de dados, mesmo aquelas que não são controladas por usuários, incluindo respostas do servidor.

As seguintes regras devem ser seguidas para evitar as vulnerabilidades mais comuns de client side injection em aplicativos móveis:

a) Utilize queries parametrizadas, mesmo para chamadas SQLite/SQLcipher locais. Não use chamadas ExecSQL() em aplicações para Android, pois esta função é vulnerável a SQL Injection. Não utilize construção de queries dinâmicas em qualquer plataforma.

b) Ao utilizar URL scheme ou protocol handler, tenha especial atenção na validação de entrada de dado, visto que qualquer aplicativo no dispositivo pode chamar uma URL scheme. Evite usar protocol handlers (ou URL schemes) para funcionalidades sensíveis ou perigosas.

c) Tenha especial atenção para possíveis ataques de Cross-Site Scripting, controlando todo o conteúdo e páginas UIWebView através de codificação dos dados retornados (veja o item 3.13. Proteção Contra Vulnerabilidades de Cross-Site Scripting (XSS)).

4.9 PROTEÇÃO CONTRA FALHAS DE CORRUPÇÃO DE MEMÓRIA

Caso o desenvolvimento do aplicativo móvel utilize linguagem de programação mais suscetível a falhas de corrupção de memória, como linguagem C/C++, deve-se utilizar funções de manipulação de string de forma segura (safe string functions), validando também o tamanho da entrada de dados antes de copiar para buffers alocados na memória, evitando assim falhas de buffer overflow.

Verifique também a possibilidade de ocorrência de falhas de integer overflow, as quais podem causar erros em funções de alocação de memória. Nestas linguagens, deve-se ter também especial atenção para a possibilidade de falhas conhecidas como object use-after-free, as quais também podem resultar em erro de execução na aplicação e até mesmo em execução de código arbitrário.

Apesar do Objective-C, utilizado para desenvolvimento de aplicativos em iOS, ser menos suscetível a falhas de corrupção de memória por não permitir que o desenvolvedor especifique tamanhos fixos de buffer, algumas falhas de corrupção de memória são possíveis nesta linguagem, tais como format strings e object use-after-free. Para evitar vulnerabilidades de format strings não permita que a entrada de dado especifique o formato de string a ser interpretado pelo método.

4.10 OBFUSCAÇÃO DE CÓDIGO

Quando for possível, deve-se utilizar ferramenta para obfuscar o código antes que o aplicativo seja colocado em produção.

Aplicativos para Android são especialmente vulneráveis a engenharia reversa, visto que o APK pode ser copiado e aberto de forma trivial, permitindo a leitura do código da aplicação. Um atacante pode utilizar esta facilidade para estudar detalhadamente o código do aplicativo, tendo maior facilidade para descobrir possíveis vulnerabilidades de segurança no código, além de identificar APIs, web services e servidores usados pelo aplicativo. Para Android, pode-se utilizar um obfuscador de código como o ProGuard, por exemplo.

Deve-se ter em mente que a obfuscação de código é apenas uma medida complementar de segurança. No desenvolvimento da aplicação, deve-se supor, sempre, que um atacante determinado conseguirá fazer engenharia reversa da aplicação, portanto, o conhecimento do código da aplicação não deve resultar necessariamente em fragilidade de segurança.

5.1 TESTE DE INTRUSÃO

Para toda aplicação a ser desenvolvida ou adquirida pela sua empresa que contenha dados classificados como CONFIDENCIAL ou RESTRITO, ou ainda que venha a ser disponibilizada na internet, deve passar por um teste de intrusão, realizado por avaliador independente, indicado pela área de Segurança da Informação. Esta atividade deverá ser executada na fase de testes e homologação do projeto de desenvolvimento ou no processo de aquisição de software.

Anualmente, aplicações em produção, classificadas como críticas pela área de Segurança da Informação, deverão passar por um teste de intrusão.

5.2 CERTIFICAÇÃO

O processo de certificação da solução pela área de Segurança da Informação deve estar previsto na RFP (request for proposal), informando ao fornecedor a necessidade de conformidade com o Baseline de Segurança para Aplicações da sua empresa, seja no processo de desenvolvimento ou aquisição de software. Adicionalmente, caso seja identificada alguma falha com relação aos aspectos de segurança estabelecidos no Baseline de Segurança para Aplicações, as correções devem ser realizadas pelo fornecedor sem ônus, conforme previsto na RFP.

No processo de certificação da solução, a área de Segurança da Informação irá verificar se o produto apresenta os requisitos funcionais de segurança delineados neste documento.

A aplicação não poderá ser publicada no ambiente de produção caso sejam encontradas vulnerabilidades classificadas com risco "Crítico" ou "Alto". Estas devem ser corrigidas ou justificadas pela área responsável pela aplicação. Após as correções, a aplicação será submetida a um teste adicional para validar os ajustes efetuados. Se forem encontradas somente vulnerabilidades classificadas com risco "Médio" ou "Baixo", a aplicação poderá ser publicada, porém, a área responsável deverá informar um prazo para as correções das vulnerabilidades. Os prazos de correção serão monitorados pela Segurança da Informação para garantir que as correções sejam realizadas no tempo estabelecido.

# data[].attributes.attachment_link.title
Manual de segurança da informação e boas práticas para aplicações

# data[].attributes.attachment_link.description
Aplicações móveis, neste documento, referem-se a aplicações executadas em dispositivos tais como smartphones, tablets ou similares, por exemplo: iPads, iPhones e tablets com Android. As aplicações móveis da sua empresa devem atender a todos os requisitos de segurança delineados neste documento, quando estes forem aplicáveis, inclusive requisitos de segurança que não são específicos para aplicações móveis.