Segurança e Auditoria de Sistemas by Bruno Alves https://padlet.com/brunoalvesbocarde/Bookmarks a Segurança e Auditoria de Sistemas Funciona e Como Podemos Trabalhar com ela no nosso dia a dia en-us 2022-05-24 01:00:16 UTC 2022-05-24 01:07:44 UTC hello@padlet.com O que é segurança da informação? brunoalvesbocarde https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196718909 Segurança da Informação é basicamente a prática de impedir o acesso não autorizado, uso, divulgação, interrupção, modificação, inspeção, registro ou destruição de informações. As informações podem ser físicas ou eletrônicas. A informação pode ser qualquer coisa como seus dados ou podemos dizer seu perfil nas mídias sociais, seus dados no celular, sua biometria etc. 

Durante a Primeira Guerra Mundial, o Sistema de Classificação Multicamadas foi desenvolvido tendo em mente a sensibilidade das informações. Com o início da Segunda Guerra Mundial foi feito o alinhamento formal do Sistema de Classificação. Alan Turing foi quem descriptografou com sucesso a Enigma Machine, que foi usada pelos alemães para criptografar dados de guerra. 

Os programas de Segurança da Informação são construídos em torno de 3 pilares principais, conhecidos como CID – Confidencialidade, Integridade, Disponibilidade. 
]]> 2022-05-24 01:05:58 UTC https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196718909 Pilares da segurança da informação brunoalvesbocarde https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196719521 Confidencialidade – significa que as informações não são divulgadas a indivíduos, entidades e processos não autorizados. Por exemplo, se dissermos que tenho uma senha para minha conta do Gmail, mas alguém viu enquanto eu fazia login na conta do Gmail. Nesse caso, minha senha foi comprometida e a confidencialidade foi violada.

Integridade – significa manter a precisão e integridade dos dados. Isso significa que os dados não podem ser editados de forma não autorizada. Por exemplo, se um funcionário deixar uma organização, nesse caso, os dados desse funcionário em todos os departamentos, como contas, devem ser atualizados para refletir o status de TRABALHO ESQUERDO para que os dados sejam completos e precisos e, além disso, somente a pessoa autorizada deve ter permissão para editar dados de funcionários.

Disponibilidade – significa que as informações devem estar disponíveis quando necessário. Por exemplo, se for necessário acessar informações de um funcionário específico para verificar se o funcionário superou o número de licenças, nesse caso, será necessária a colaboração de diferentes equipes organizacionais, como operações de rede, operações de desenvolvimento, resposta a incidentes e gerenciamento de políticas/mudanças. 
O ataque de negação de serviço é um dos fatores que pode dificultar a disponibilidade de informações.

Além disso, há mais um princípio que rege os programas de segurança da informação. Isso é não repúdio. 
 

  • Não repúdio – significa que uma parte não pode negar o recebimento de uma mensagem ou transação, nem a outra parte pode negar o envio de uma mensagem ou transação. Por exemplo, em criptografia, é suficiente mostrar que a mensagem corresponde à assinatura digital assinada com a chave privada do remetente e que o remetente poderia ter enviado uma mensagem e ninguém mais poderia tê-la alterado em trânsito. Integridade e Autenticidade dos Dados são pré-requisitos para o Não repúdio. 
     
  • Autenticidade – significa verificar se os usuários são quem dizem ser e se cada entrada que chega ao destino é de uma fonte confiável. Este princípio, se seguido, garante a mensagem válida e genuína recebida de uma fonte confiável por meio de uma transmissão válida. Por exemplo, se tomar o exemplo acima, o remetente envia a mensagem junto com a assinatura digital que foi gerada usando o valor de hash da mensagem e a chave privada. Agora, no lado do receptor, essa assinatura digital é descriptografada usando a chave pública gerando um valor de hash e a mensagem é novamente criptografada para gerar o valor de hash. Se o valor 2 corresponder, então é conhecido como transmissão válida com a autêntica ou dizemos que a mensagem genuína foi recebida no lado do destinatário
  • Accountability – significa que deve ser possível rastrear as ações de uma entidade exclusivamente para essa entidade. Por exemplo, conforme discutimos na seção Integridade Nem todo funcionário deve ter permissão para fazer alterações nos dados de outros funcionários. Para isso, existe um departamento separado em uma organização que é responsável por fazer essas alterações e, quando receberem uma solicitação de alteração, essa carta deverá ser assinada por uma autoridade superior, por exemplo, o diretor da faculdade e a pessoa designada para essa alteração. altere depois de verificar suas métricas bio, assim, o carimbo de data e hora com os detalhes do usuário (fazendo alterações) são registrados. Assim, podemos dizer que se uma mudança for assim, será possível rastrear as ações exclusivamente para uma entidade.


]]> 2022-05-24 01:06:28 UTC https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196719521 Lei Geral de Proteção de Dados do Brasil. brunoalvesbocarde https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196720599 LGPD é a sigla para Lei Geral de Proteção de Dados do Brasil, sancionada em agosto de 2018, que entrou em vigor em agosto de 2020.

A LGPD (13.709/2018) tem como principal objetivo proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Também tem como foco a criação de um cenário de segurança jurídica, com a padronização de regulamentos e práticas para promover a proteção aos dados pessoais de todo cidadão que esteja no Brasil, de acordo com os parâmetros internacionais existentes.

Ela estabelece regras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais, impondo mais proteção aos Titulares de Dados Pessoais e penalidades para o seu não cumprimento, e é aplicável a qualquer pessoa natural ou jurídica de direito público ou privado que realize tratamento de dados pessoais.

À CORSAN, enquanto CONTROLADORA, cabe garantir o cumprimento do disposto na LGPD e a tomada de decisões referentes ao tratamento de dados pessoais de seus clientes, colaboradores, estagiários e jovens aprendizes, bem como de seus fornecedores, parceiros e terceiros, que se relacionam com a Companhia ou que representem seus interesses.
]]> 2022-05-24 01:07:21 UTC https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196720599 O que é Auditoria de Sistemas? brunoalvesbocarde https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196721083 A auditoria de sistemas identifica potenciais problemas de segurança, verifica o cumprimento da legislação vigente, confirma se os serviços contratados estão sendo atendidos etc.

Ao contratar um sistema, a empresa estabelece uma relação de confiança com o fornecedor. Nenhum gestor confere diariamente se os recursos contratados estão sendo atendidos. Da mesma forma, acredita que as atualizações estão sendo feitas conforme o que foi acordado. Porém, casos em que há quebra de confiança e contrato não são esporádicas.

A falta de integridade não parte apenas dos fornecedores, as empresas também agem de forma ilegal quando compram sistemas ilegais. Nesses casos, o objetivo da empresa é reduzir os seus custos. Há casos também em que a empresa contrata sistemas licenciados e são alvos da pirataria, feita por profissionais maliciosos que copiam e revendem esses recursos.

Com base nessas e outras situações, a auditoria é extremamente importante, pois identifica violações e orienta os gestores sobre como utilizar os sistemas de forma segura e íntegra. A utilização de sistemas ilegais, por exemplo, pode levar a companhia a sofrer processos e sofrer punições financeiras ou operacionais.

Como fazer a auditoria?

A auditoria de software é um serviço realizado por empresas terceirizadas. É feito dessa forma para garantir que não haverá nenhum envolvimento entre os profissionais, levando a resultados imprecisos ou duvidosos. Em geral, as empresas de auditoria de software realizam o processo da seguinte forma:

Planejamento

O escopo do projeto é definido e informado ao cliente para que possa se preparar para o processo de auditoria. Nesta etapa, a empresa é informada sobre a política de licenciamento e a validade da auditoria.

Coleta de dados

A empresa deve apresentar seus servidores aos auditores que vão coletar as informações sobre as configurações do servidor.

Relatório

Após a coleta de dados, um relatório é apresentado com a descrição de produtos, usuários, comprovação de uso, inconformidades, ações necessárias e recomendadas.

Nesta etapa, a empresa deve considerar as recomendações apresentadas pelo auditor. É possível que o profissional aponte condutas prejudiciais e como solucioná-las. Essas orientações podem abranger desde questões sistêmicas, até técnicas, como a mudança para data centers mais seguros.

Esse componente é fundamental para a instalação e execução de sistemas seguros e estáveis. Por esse motivo, caso a empresa utilize um recurso pouco adequado para a sua necessidade, terá que escolher uma nova solução.
]]> 2022-05-24 01:07:44 UTC https://padlet.com/brunoalvesbocarde/Bookmarks/wish/2196721083