De tal maneira, essas medidas de segurança podem ser aplicadas em todas as empresas que trabalham com dados, uma vez que toda organização gera informações próprias.

A segurança da informação se baseia em quatro pilares que sustentam todas as medidas tomadas para garantir a proteção dos dados, que são:

Os equipamentos de TI — hardwares — e os sistemas e aplicativos — softwares ­— passam por evolução tecnológica contínua e precisam ser substituídos periodicamente. E a sua aquisição tem que levar em conta os aspectos técnicos e de qualidade, não podendo se nortear apenas pelo quesito preço.

A defasagem tecnológica torna vulnerável toda a infraestrutura e a segurança de TI e gera consequências tais como:

Os equipamentos estão sujeitos a defeitos de fabricação, instalação ou utilização incorreta, quebra ou queima de componentes e má conservação, o que pode comprometer um ou mais dos princípios da segurança da informação.

Os softwares estão sujeitos a falhas técnicas e de configurações de segurança, mau uso ou negligência na guarda de login e senha de acesso.

Devem ser adotadas práticas de segurança específicas para cada elemento componente da infraestrutura de TI:

Também é fundamental providenciar treinamento e atualização de conhecimentos para a equipe de TI e os usuários dos recursos tecnológicos. Afinal, inabilidade técnica também gera vulnerabilidades de hardware e software.

É imprescindível detectar de forma rápida as possíveis vulnerabilidades de hardware e software, para tomar providências imediatas no sentido da sua solução.

O tão conhecido backup — ou cópia de segurança — é um mecanismo fundamental para garantir a disponibilidade da informação, caso as bases onde a informação esteja armazenada sejam danificadas ou roubadas.

O backup pode ser armazenado em dispositivos físicos — servidores de backup, CD, pendrive, HD externo — ou em nuvem.

O mais importante é que haja pelo menos duas cópias das bases de dados, armazenadas em locais distintos da instalação original, ou seja, ambas guardadas em locais seguros fora do prédio da sua empresa.

A partir do backup é possível recuperar, em curtíssimo espaço de tempo, informações perdidas acidentalmente ou em consequência de sinistros (enchentes, incêndio etc.), sabotagens ou roubos.

Vale destacar que as empresas que funcionavam no World Trade Center na ocasião do fatídico atentado de 11 de setembro de 2001 tinham boas práticas de manutenção de backup. Todas sobreviveram a essa terrível catástrofe, voltando a funcionar normalmente em poucos dias.

A alta disponibilidade das informações é garantida com a redundância de sistemas, ou seja, quando a empresa dispõe de infraestrutura replicada — física ou virtualizada.

Se um servidor ou outro equipamento de TI (roteador, nobreak etc.) falhar, o seu substituto entra em operação imediatamente, permitindo a continuidade das operações, às vezes, de forma imperceptível para o usuário.

Existem mecanismos físicos, lógicos ou uma combinação destes de controle de acesso à informação. Os mecanismos físicos podem ser uma sala de infraestrutura de TI com acesso restrito e com sistemas de câmeras de monitoramento.

Outra forma de restrição de acesso é o uso de travas especiais nas portas, acionadas por senha (misto físico/lógico). Já os principais mecanismos lógicos são, por exemplo, os seguintes.

É um mecanismo de controle do tráfego de dados entre os computadores de uma rede interna e destes com outras redes externas.

Ele trabalha segundo protocolos de segurança (TCP/IP, IPSec, HTTP etc.) que garantem o correto funcionamento da comunicação entre as duas pontas, visando impedir intrusões.

É uma forma de identificação do usuário que está acessando aos recursos de TI, ela dá validade legal aos documentos digitais, assegurando a autenticidade do emissor da informação.

Powered by Rock Convert

O acesso às informações somente é liberado para a pessoa autorizada, levando em consideração as suas características físicas (impressão digital, voz ou padrões da íris do olho ou do rosto inteiro.).

Outra faceta importantíssima do controle de acesso é o uso de equipamentos próprios dos colaboradores para operação de sistemas e aplicativos empresariais de forma remota.

Como a empresa não tem controle sobre as configurações de segurança dos dispositivos particulares dos colaboradores, ela tem que reforçar os mecanismos de validação da autenticidade do usuário e as barreiras contra ataques cibernéticos.

É um documento que estabelece diretrizes comportamentais para os membros da organização, no que tange às regras de uso dos recursos de tecnologia da informação.

Essas regras servem para impedir invasões de cibercriminosos, que podem resultar em fraudes ou vazamento de informações, evitar a entrada de vírus na rede ou o sequestro de dados e garantir a confidencialidade, confiabilidade, integridade, autenticidade e disponibilidade das informações.

Idealmente, essa política deve ser desenvolvida de forma participativa entre a equipe de TI e os colaboradores dos demais departamentos, sendo aprovada pela alta direção da empresa. Assim, de comum acordo, fica muito mais fácil gerir a segurança da informação.

Vale pontuar que é indispensável que o texto da política seja curto e objetivo, para facilitar e estimular a leitura e tornar o processo de divulgação e treinamento das pessoas mais leve e eficaz.

Uma das formas mais avançadas de garantir a segurança da informação é a decisão pela utilização de uma estrutura de computação em nuvem. Essa estrutura tem três categorias distintas: nuvem pública, privada ou híbrida.

Na nuvem pública toda a infraestrutura de TI, a sua manutenção, os seus mecanismos de segurança e a atualização são de responsabilidade do provedor do serviço. A sua instalação é rápida e os seus recursos são escalonáveis, de acordo com o perfil de demanda da empresa contratante.

A nuvem privada é de propriedade da empresa e fica instalada em sua área física, requerendo infraestrutura de hardware, software, segurança e pessoal próprios para o seu gerenciamento.

Já a nuvem híbrida combina o melhor dos dois tipos anteriores, com isso, parte dos dados são disponibilizados na nuvem privada — aqueles que exigem sigilo — e outra parte fica na nuvem pública — dados não confidenciais.

Todos os três tipos de serviço de computação em nuvem respeitam altos padrões de segurança da informação, basta avaliar qual é o mais adequado para as necessidades e expectativas da sua organização.

O advento da computação em nuvem viabilizou serviços como:

Essas novas modalidades permitem terceirizar importantes serviços de tecnologia da informação, reduzindo custos, assegurando agilidade e atualização permanente e elevando o patamar de segurança de hardware e software.

Os principais riscos à segurança da informação estão relacionados com alguns aspectos. Adiante estão destacados os principais!

Não saber como operar equipamentos, sistemas e aplicativos, enfim, os recursos de TI, coloca em risco a segurança da informação. E o desconhecimento de técnicas de proteção, também.

Por isso, proporcionar treinamentos nas novas tecnologias e/ou recursos de TI aos usuários comuns e à equipe de informática é uma boa prática que tem o seu lugar.

Dependendo do porte da empresa — média ou grande —, vale a pena desenvolver profissionais C-Level em TI, que possam ampliar os horizontes tecnológicos da empresa, tornando a área de TI alinhada à estratégia empresarial.

Com a ajuda desses especialistas, os recursos tecnológicos serão aplicados para alavancar a produtividade das equipes e facilitar o alcance das metas estabelecidas, sem perder de vista o aprimoramento contínuo da sistemática de segurança da informação.

Procedimentos de gestão da segurança da informação mal estruturados ou desatualizados podem acarretar vulnerabilidades e perdas de dados.

Essas vulnerabilidades podem se manifestar nos hardwares, softwares ou nas pessoas despreparadas para fazer frente às ameaças que se renovam a cada dia.

Deixar de cumprir com as regras da política de segurança da informação ou com os procedimentos internos de TI, por mera negligência, pode custar caro — prejuízos financeiros, de imagem ou materiais.

Campanhas de conscientização dos colaboradores são fundamentais, para redobrar os cuidados e estarem sempre alertas a ciladas cibernéticas, especialmente em e-mails, sites e arquivos maliciosos, que provocam a propagação de vírus, malwares, trojans e outros na rede de informática.

As ações mal-intencionadas de colaboradores internos insatisfeitos e de pessoas externas tornam instável a segurança da informação, especialmente, se não houver mecanismos de detecção de intrusões.

Conhecer as principais fontes de riscos é o ponto de partida para mapear os diversos cenários que podem configurar ameaças à segurança da informação e tornar possível o desenvolvimento de boas práticas de gestão de riscos.