Pós-Graduação 2009

Gestão Corporativa em

Segurança da Informação

Jairo Willian Pereira

Sec+, Net+, MCSO, ITIL, LPIC, MCSA & MCSE Certified

jairo.pereira@gmail.com

CON – A5 2

Cronograma

Semana Teoria Prática

1

Conceituação Básica SI

E01 Conceitos de Gestão de Risco

2 Histórico do Surgimento das Normas de Segurança

Sarbanes Oxley

E02

3 ISO/EIC 15408 (CC)

ITIL E03

4 Família 2700x (BS-7799)

COBIT

E04

5 Planejamento Corporativo de Segurança da Informação

Primeira Avaliação - Dissertativa P01

6

Apresentação Trabalhos:

BS 25999 – Gestão de Contiuidade de Negócios

RFC 2196 – Gestão de Resposta à Incidentes de Seguranca

Legislação Brasileira

COSO - Committee of Sponsoring Organizations of the Treadway Commission

T01

T02

CON – A5 3

Índice Gestão

1. Por que?

2. Implementando gestão

3. Contexto para Risk Management

4. Plano estratégico

5. Finalizando...

6. Considerações finais

7. Cartoon

8. HomeWork

9. Links

10. Dúvidas

CON – A5 4

Por que?

NBR ISO/IEC 17799:2005 (27002):

“Convém que uma estrutura de gerenciamento

seja estabelecida para iniciar e controlar a

implementação da segurança da informação

dentro da organização.”

CON – A5 5

Por que?

Uma necessidade complexo existe

• Um negócio;

• Um escopo;

• Uma “metodologia”;

• Ferramentas ou facilitadores;

• Responsáveis (recursos);

• Objetivos;

• Monitoramente e métricas;

• Adequações (plano de ação);

• Revalidações circular.

CON – A5 6

Por que?

Medidas de Segurança

Controles

Ameaças Agentes Vulnerabilidades

Ativos

Valor dos Ativos e Impactos Potenciais

Riscos a Segurança

CON – A5 7

Por que?

• Convém que ameaças sejam eleminidas;

• Que agentes de ameaças possam ser contidos;

• Vulnerabilidades sejam administradas;

• Impactos possam ser minimizados.

Problema Segurança > organização!

{Organização}

CON – A5 8

Por que?

Riscos são eternos companheiros RM

• Mitigar; Contra-medidas - tratamento;

• Aceitar; Conviver com problema;

• Transferir; Uso de terceiros;

• Contenção; custo x benefício ruim! [X]

CON – A5 9

Por que?

Ambiente Legal “dura lex, sed lex”

CON – A5 10

Como? Seqüência Implementação

CON – A5 11

Como? Seqüência Implementação

• Devem ser corretamente definidos – evitar lacunas!

Coleta e consolidação de índices e indicadores;

Controle e acompanhamento do projeto;

Condições ambientais (contexto da gestão de riscos)

Comunicação e Consulta

Reportes de incidentes, etc.

Quanto aos processos...

CON – A5 12

• ...corretamente atribuídas e divulgadas!

Claras;

Documentadas;

Compartilhadas & informadas oficialmente;

Ter envolvimento de todos (todos são responsáveis);

Top-Down propagação/implementação hierárquica.

Como? Seqüência Implementação

As responsabilidades, devem ser...

CON – A5 13

Como? Seqüência Implementação

Funções x Responsáveis

E

T

O

Administração Geral

Planejamento

Operação

Conselhos/Direção

Comitês

Fóruns

CON – A5 14

P

O

S

I

Ç

Ã

O

Como? Seqüência Implementação

CON – A5 15

Metodologia - prover aprendizado

Política de Segurança?

CON – A5 16

Metodologia - prover aprendizado

Política x Direção + Declaração

Uma política deve ser desenvolvida, seguindo preceitos

da NBR ISO/IEC 17799. Este documento tem o objetivo

de prover uma diretriz, que declare formalmente os

princípios e valores quanto ao tratamento das informações.

O endosso deve ser feito pelo representante de maior

cargo hierárquico, comunicando da sua adesão às normas,

procedimentos e das responsabilidades de todos

quanto a sua implementação, respeito e manutenção.

CON – A5 17

Metodologia - prover aprendizado

CON – A5 18

Por que?

Análise de Risco x Gestão Conhecimento

• Aproxima Segurança e Gestão de Negócio

• Apóia efetivamente a Gestão de Segurança

• Análise de Risco ≠ Análise de Vulnerabilidades

• Permite melhor conhecimento do “ambiente”

• Base para operações de “Continuidade do Negócio”

CON – A5 19

Por que?

Conhecendo o ambiente...

CON – A5 20

Por que?

Metodologia de Apoio

• Norma AS/NZS 4360:2004

Gestão de Riscos (referencial)

ISO/IEC Guide 51 – Aspec./Voc. iSec

ISO/IEC Guide 73 – Vocabulário RM

ISO 3534-1 - Estatística, Símbolos…

ISO 9000 – Qualidade

ISO 15489 - Gestão de registros

...

CON – A5 21

Contexto para RM

Estabelecendo o contexto

O estabelecimento de contexto, é essencial para observar que

stakeholders e objetivos sejam considerados no modelo.

CON – A5 22

Contexto para RM

Desenvolvendo “critérios de riscos”

Processo - O que pode acontecer, quando, onde e por quê!

(brainstorms, checklist, históricos, análise de cenários...)

Ativo Vulnerabilidade P I E

Impacto

Servidor

WEB DMZ

Sem atualização

de patches

TOTAL Ameaça

Invasão do Servidor,

Buffer Overflow

HUB rede

almoxarifado

Mal uso equipamento,

indisponibilidade

Sniffing,

Furto de dados

Senhas de

usuários Senhas compartilhadas

Invasão do sistema,

Sequestro de sessão

Roteador de

borda

IOS desatualizado e

com bug

Invasão,

indisponibilidade

#

CON – A5 23

Contexto para RM

CON – A5 24

Contexto para RM

CON – A5 25

Contexto para RM

Análise de Risco, variáveis e considerações

● fontes de riscos ● conseqüências ● probabilidade

Objetivo RA: verificar eventuais falhas de seguranças que

se concretizem em vulnerabilidades que possam vir a

ser utilizadas por agentes de ameaças e causar

impacto à organização. Sua RA pode ser:

• Qualitativa – adjetivos para descrever a magnitude dos riscos

• Semiquantitativa - atribui-se valores às escalas qualitativas

• Quantitativa – utiliza valores numéricos (precisão e completeza)

CON – A5 26

Contexto para RM

Avaliação de Risco e variáveis

Tem por finalidade a tomada de decisão, baseada nos resultados da análise de riscos, sobre quais riscos

precisam ser tratados, bem como a sua prioridade.

Os parâmetros utilizados para aceitar ou não os riscos devem ser os critérios definidos quando

do estabelecimento do contexto inicial.

CON – A5 27

Contexto para RM

Tratamento de Riscos

A definição das possibilidades de tratar as vulnerabilidades existentes

de modo a minimizar riscos que a organização está exposta.

Planos de ações com controles necessários são definidos, sendo que

para vulnerabilidades não eliminadas ou residuais, devemos:

procurar alternativas para minimizar a probabilidade/conseqüências.

CON – A5 28

Contexto para RM

Monitoração e Análise Crítica

A monitoração e a análise critica têm por objetivo assegurar

que o plano se mantenha pertinente e adequado às

necessidades da organização.

● Fatores diversos podem alterar probabilidade e/ou a conseqüência;

● Análise de indicadores e índices - medir o desempenho da gestão

● Aprendizado com ocorrências e outros históricos

CON – A5 29

Plano Estratégico

Outros aspectos importantes

A correta identificação de processos de negócio da

organização deve permitir a compreensão de como estes

interagem com os sistemas de informação e a infra-estrutura,

possibilitando o planejamento correto das ações de segurança.

CON – A5 30

Plano Estratégico

Plano Estratégico

A gestão da SI deve possuir uma visão de longo prazo,

porém não se descuidando do curto e médio prazo.

● É fundamental a elaboração de um Plano Estratégico para que

a organização se prepare com relação à recursos necessários:

• Aquisição de equipamentos

• Programas de treinamento, divulgação e conscientização

• Análise de riscos corporativas e específicas para ambientes

• Elaboração de um BCP/PCN

• Testes de invasão, DRP e engenharia social

• etc.

CON – A5 31

Plano Estratégico

Inventário dos ativos

“O correto levantamento do inventário dos ativos de

informação é imprescindível ao sucesso da gestão

de riscos! Conhecer para poder se proteger!”

“A Administração torna-se muito mais fácil quando existe

uma base única e atualizada para referência”

CI x CMDB

CON – A5 32

Plano Estratégico

Inventário dos ativos - Manual

CON – A5 33

Plano Estratégico

Inventário dos ativos – Automático OS

CON – A5 34

Plano Estratégico

Inventário dos ativos – Automático COM

CON – A5 35

Plano Estratégico

Índices e indicadores

Forma de avaliar o sucesso das atividades desenvolvidas

• Nível de Riscos - RMF

• Índice de Compliance - ScoreCard

• Sistemas em funcionamento - SLA / SLO

• Eventos mais críticos - Mapping

• Incidentes reportados (usuários) - SrvCalls

• Solicitações/Incidentes automáticos - Threshold

• Turnover de recursos - FPR

• Disponibilidade de CI´s - Traps&Alarms

“Metas devem ser definidas e revistas de forma constante!”

Indicadores Nivel Up/Down

Node01 99,99

Node01 99,99

Node01 99,99

Node01 99,99

O referido ativo, encontra-se

dentro do SLA

proposto

inicialmente pelo

cliente.

CON – A5 36

Em Deus eu acredito,

todos os outros

precisam mostrar dados

William Edwards Deming

Plano Estratégico

Índices e indicadores

“

”

CON – A5 37

Plano Estratégico

Relacionamento externo

É importante que sua organização se relacione com

outras entidades e autoridades competentes.

• Corpo de Bombeiros

• Defesa Civil

• Policia Civil, Militar e Federal

• Entidades de classe

• Eventos de segurança, sociais, etc.

CON – A5 38

Plano Estratégico

Qual o problema? Tecnológico?

E as pessoas?

Exemplos...

CON – A5 39

Plano Estratégico

Qual o problema? Conscientização/cultura?

CON – A5 40

Plano Estratégico

Exempli gratia Engenharia Social

Engenharia social, é o termo utilizado para qualificar o tipo

de intrusão não técnica, que coloca ênfase na interação

humana e, frequentemente, envolve a habilidade de enganar

pessoas, objetivando violar procedimentos de segurança.

CON – A5 41

Plano Estratégico

E.g. Engenharia Social

Marcelo Contti enrolou atores, empresários, jornalistas e promotores do carnaval do Recife/PE (Recifolia, 2001). Viveu dias de empresário, torrando R$ 100 mil dos “amigos”, beijando bocas de “chiques e famosas” e incorporando personagens sedutores, porém trambiqueiros do cinema.

Passando-se pelo filho do dono da Gol Linhas Aéreas - Henrique Constantino, pulou três dias de carnaval com João Paulo Diniz, Álvaro Garnero, e dos atores Cristiano Rangel e Ricardo Macchi. Posou para fotos ao lado das modelos Marinara e Feiticeira, e ainda ousou dar entrevistas para o programa Flash, apresentado por Amaury Júnior. [ ! ]

CON – A5 42

Plano Estratégico

Visão Holística ■

Controles:

Devem ser aplicados em todos os ciclos e níveis

CON – A5 43

Plano Estratégico

Integrar as ações

Importância

CON – A5 44

Plano Estratégico – Finalizando…

Informação, quem manda afinal?

CON – A5 45

Plano Estratégico – Finalizando…

Erros mais comuns

• Ferramentas de segurança isoladamente (IDS, firewall…);

• Segurança com valor maior que o NEGÓCIO;

• Não participação das diversas áreas da organização;

• Decisões sem prévia análise/avaliação de riscos;

• Enfoque somente em TI;

• Subordinação à área de TI;

• Abrangência maior que necessidade.

CON – A5 46

Plano Estratégico - Finalizando…

FCS (Fatores Críticos de Sucesso)

Plano Estratégico - Finalizando…

Consolidando estratégicamente DIC

Dado, informação & conhecimento

Plano Estratégico - Finalizando…

Consolidando estratégicamente DIC

A cobertura

CON – A5 49

Plano Estratégico - Finalizando…

SWOT

Consolidando estratégicamente DIC

CON – A5 50

Plano Estratégico - Finalizando…

5F (Porter)

Consolidando estratégicamente DIC

CON – A5 51

Plano Estratégico - Finalizando…

Matriz BCG

Consolidando estratégicamente DIC

CON – A5 52

Plano Estratégico - Finalizando…

● Diretrizes HORIZONTE

● Atividades identificadas, organizadas e documentadas PROCESSO

● Áreas de atuação definidas RESPONSÁVEIS

● Coordenação centralizada SINERGIA

● Ações com base em Análise de Riscos EMBASAMENTO

● Métricas/frameworks de avaliação e acompanhamento PADRÃO

Considerações finais

CON – A5 53

Homework

Futurologia...

CON – A5 54

Homework

Pesquisar ISO-38500 e S.M.A.R.T.

! Em função da data de produção do documento

(2009), é altamente recomendado que seja

consultado os novos frameworks e ferramentas de

gestão corporativa de Segurança baseado em

GRC (Governança, Risco e Conformidade).

CON – A5 55

Cartoon

“Only the paranoid survive.” Andy Grove

"A maioria enxerga o problema, a minoria entende as causas e

raros são os que conhecem o remédio.“ JWP

CON – A5 56

Links

http://www.bsi-global.com/

http://www.modulo.com.br

http://www.iso.org

http://www.isaca.org/cobit.htm

http://www.abnt.org.br

http://www.itsmf.com.br

http://www.itil-officialsite.com

http://www.ietf.com

http://www.drii.org

CON – A5 57

Dúvidas ?

CON – A1 58

Fim

Pós-Graduação 2009

Avaliação dissertativa

Jairo Willian Pereira

Sec+, Net+, MCSO, ITIL, LPIC, MCSA & MCSE Certified

jairo.pereira@gmail.com