Respostas do último Quiz Night

De acordo com a ISO 17799 a disponibilidade da informação é um atributo de que a informação deve estar disponível para qualquer pessoa da organização 24 horas por dia durante 7 dias da semana.

a. Verdadeiro

b. Falso ( apenas para pessoa AUTORIZADA)

2) Uma eficaz implementação de segurança se baseia na utilização de tipos diferentes de proteções que se complementam, sobrepõem-se e fornecem redundância entre si, caso alguma delas falhe ou seja violada.

a. Verdadeiro

b. Falso

3) O nome proteção é atribuído às medidas que visam livrar os ativos de situações que possam trazer prejuízo à organização. Da mesma maneira que os ativos, elas também podem ser classificadas de diversas formas. São exemplos de Proteção?

Proteção lógica: Permissão em sistemas de arquivos, firewalls, controle de acesso de usuários em aplicações.

Proteção administrativa: Conjunto de regras e procedimentos, políticas de segurança, boletins semanais de segurança

Proteção física: Proteção de Portas, fechaduras, trincos e equipamentos de biometria.

4) Segundo a ISO/IEC 17799:2000, a segurança da informação é caracterizada pela preservação dos três atributos básicos da informação:

a. Formato, Conteúdo, Tempo

b. Confidencialidade, Temporalidade, não repúdio

c. Confidencialidade, Integridade. Disponibilidade

d. Valor, Disponibilidade, Tempo


Até a próxima!

Quiz Night: Segurança e Auditoria de Sistemas I

1) De acordo com a ISO 17799 a disponibilidade da informação é um atributo de que a informação deve estar disponível para qualquer pessoa da organização 24 horas por dia durante 7 dias da semana.
a. Verdadeiro
b. Falso

2) Uma eficaz implementação de segurança se baseia na utilização de tipos diferentes de proteções que se complementam, sobrepõem-se e fornecem redundância entre si, caso alguma delas falhe ou seja violada.
a. Verdadeiro
b. Falso

3) O nome proteção é atribuído às medidas que visam livrar os ativos de situações que possam trazer prejuízo à organização. Da mesma maneira que os ativos, elas também podem ser classificadas de diversas formas. São exemplos de Proteção?

4) Segundo a ISO/IEC 17799:2000, a segurança da informação é caracterizada pela preservação dos três atributos básicos da informação:

a. Formato, Conteúdo, Tempo
b. Confidencialidade, Temporalidade, não repúdio
c. Confidencialidade, Integridade. Disponibilidade
d. Valor, Disponibilidade, Tempo

No próximo post digo as respostas!

Abs!

Como sensibilizar a Segurança da Informação nas empresas?

Muitas são as formas de iniciar a construção da cultura de segurança. Algumas delas se aplicam a públicos com perfis diferentes; outras se aplicam a todos os perfis, mas em momentos distintos.

Alguns agentes motivadores da cultura organizacional em pró da segurança:

• Seminários: O trabalho deve começar com seminários abertos voltados a compartilhar a percepção dos riscos associados às atividades da empresa, os impactos potenciais ao negócio e, principalmente, o comprometimento dos processos críticos se alguma ameaça se concretizar;

• Campanha de Divulgação: É importante que a empresa disponha de uma política de segurança atualizada e alinhada às necessidades e estratégias do negócio, mas é fundamental que ela seja reconhecida pelos funcionários como o manual de segurança da empresa. Lembrando que os resultados efetivos de comprometimento ocorrem lentamente e, muitas vezes, requerem ações complementares. Pode ser usado na campanha diversos artifícios para comunicar os padrões e instruções operacionais como cartazes, jogos, peças promocionais, protetores de tela, e-mails informativos, e-mails de alerta, comunicados inernos, páginas especiais na Internet;

• Carta do Presidente: Tem o papel de oficializar os interesses da empresa em adequar o nível de segurança de suas informações de todos os níveis hierárquicos partindo que é conveniente estimulado a partir do Presidente, diretor e membros de conselhos superiores visa fortalecer o plano estratégico de segurança da informação;

Exitem outros itens também como Termo de Responsabilidade e Confidencialidade, cursos de capacitação e certificação.

Qual a importância do Estudo da Forense Computacional?

Com estudo da Forense Computacional podemos definir técnicas para a identificação e coleta de evidências digitais sendo essencial para uma possível ação judicial contra o autor de um ataque bem sucedido. Este fato, faz com que a criação de metodologias para identificar evidências se torne um dos pontos mais importantes de uma análise forense computacional. Analisando o cenário mundial analisamos que a importância se deve principalmente pelos seguintes aspectos:

• Alta dependência da Tecnologia da Informação;
• Virutalização da Sociedade (comunidades on-line, ex: Facebook, twitter, Orkut)
• Alta oferta de serviços on-line, desde instituições financeiras, até supermercados;
• Empresas tangendo e apoiando suas estratégias em componentes tecnológicos: significa fazer mais, melhor e com mais controle, em menor tempo  e com menor custo.

Segundo estatísticas do CERT.br os incidentes de segurança da informação crescem 191% em 2006, fraudes com aumento de 53%. Devido a este cenário precisamos obter conhecimento para realizar uma perícia melhor utilizando técnicas em Forense Computacional.

Referências:

Slideshare, Introdução à Computação Forense. Disponível em: http://www.slideshare.net/datasecurity1/introduo-forense-computacional. Acesso em 12 agosto 2010.

Inventário - Vulnerabilidades x Ativos x ISO 17799

Sêmola (2003) diz que em qualquer iniciativa de solução é preciso identificar primeiramente o problema com requinte de detalhes e segmentá-lo de forma a permitir maior profundidade na análise de suas características.

Nas empresas o desafio é realizar ações que mapeiem e identifiquem ameaças, vulnerabilidades, riscos, sensibilidades e impactos, a fim de permitir o adequado dimensionamento e modelagem da situação.

Para iniciar esse mapeamento, abaixo listei conforme a proposta deste artigo um inventário dos principais ativos atingidos pela vulnerabilidade apresentada associada a cláusula correspondente da ISO 17799.

Inventário (ISO 17799 aplicável)
Vulnerabilidade	Ativo	Cláusula aplicável
Não foi restingido o monitoramento de acesso a recursos (inclusive críticos) por parte dos usuários.	Servidores, Desktops, impressoras, scanners	15.1.5 Prevenção de mau uso de recursos de processamento da informação.
As listas de controle de acesso (ACLs) não tem verificação periódica.	Informações	11.4.6 Controle de conexão de rede.
Os horários de logon e uso de recursos computacionais é ilimitado.	Rede de computadores e materiais	11.5.6 Limitação de horário de conexão.
Não há controle adequado de entrada/saída de visitantes.	Recursos computacionais e informações	9.1.2 Controles de entrada física.
O acesso a computadores e impressoras que manipulam informações confidenciais não é restrito adequadamente	Informações	6.1.5 Acordos de confidencialidade e 9 Segurança física e do ambiente.
Durante a construção do prédio, não foram utilizados materiais resistentes à ação do fogo, nem a instalação de para-raios.	Todos	9.1.1 Perímetro de segurança física.
Os funcionários não têm conhecimento a respeito de procedimentos de uso dos dispositivos para emergências, tais como extintores de incêndio.	Todos	9.1.4 Proteção contra ameaças externas e do meio ambiente.
O grupo moto-gerador é antigo, não confiável e pequeno em relação ao prédio da Matriz.	Todos ( Falta de energia e falha no funcionamento do grupo moto-gerador)	9.2.2 Utilidades.
O descarte de material eletrônico, dispositivos e documentos em papel é feito sem controle.	Informação (Parte do ciclo de vida da informação, o descarte deve ser adotado critérios sob controle da empresa).	10.7.2 Descarte de mídias.
Há contas/senhas de ex-funcionários. habilitadas	Informação (ex-colaboradores ainda com acesso ao sistema)	8.3 Encerramento ou mudança de contratação; 8.3.3 Retirada de direitos de acesso.