Auditoria em Windows XP

Fabio F. Ramos, CISSP, CISM, CIFI, consultor da Axur Information Security.

Uma das preocupações da maioria do gestores de Segurança da Informação sempre foi de transformar os controles de segurança em mecanismos transparentes ao usuário final – impacto zero ao ambiente de trabalho. O antívirus: atualizado no gateway; o backup: automatizado no servidor de arquivos; a troca de senhas: solicitada automaticamente pelo sistema. O que seria de nós sem estes artifícios? O usuário muitas vezes não tem culpa por não conhecer os riscos frente à informação, mas em uma coisa temos que concordar: ajudaria muito, caso o usuário soubesse como é importante sua colaboração efetiva na salvaguarda da informação.

Com a intenção de ajudar os Security Officers, resolvemos lançar uma série de artigos que podem ser enviados aos usuários, de forma a colaborar no processo de sensibilização do nosso maior aliado na proteção da informação. Iniciaremos com o tema Auditoria, depois passaremos por Engenharia Social, Backup, Senhas Seguras e etc. Contamos com sua indicação para novos assuntos, afinal de contas, escrevemos para você leitor.

A. Por que auditar?

Somos todos usuários de sistemas que compartilham, modificam, criam e muitas vezes delegam autoridade a outros para o manuseio da informação. Alguns anos atrás essa responsabilidade ficava toda centrada em um mainframe, passamos então para o tempo da “informação distribuída”, e atualmente devemos lidar com uma informação viva e muitas vezes descontrolada. Outro agravante é a facilidade com que qualquer leigo opera um sistema operacional, não podemos mais contar com o fator “obscuridade técnica”.

Já que não podemos confiar na inocência técnica do “novo usuário” – usuário que conhece melhor do que ninguém os meandros das tecnologias presentes na maioria das organizações -, então devemos contar com sua colaboração na proteção da informação. É neste momento que surge a auditoria, grande aliada quando da desconfiança de que alguém pode ter bisbilhotado aquela pasta com informações confidenciais: seja o orçamento do ano, lançamento de um novo produto, movimentações financeiras, lista de clientes, etc. Parece familiar? Como saber que o “intruso” passou pela nossa casa se ele não quebrou o vidro? Cantam alguns jargões da segurança: “Pior do que ter seu computador invadido, é não saber que o computador foi invadido”.

Auditar significa pré-selecionar uma série de eventos de forma que o sistema armazene mensagens para diversos tipos de comportamentos gerados em nosso computador. Por exemplo, posso criar uma política de auditoria onde o sistema armazenará toda a tentativa de acesso a minha máquina utilizando o meu nome de usuário (username) e uma senha inválida. Caso eu ative esta auditoria, poderei futuramente identificar detalhes sobre situações onde algum individuo tenha tentado adivinhar minha senha para obter acesso a minha estação de trabalho. Sabemos que um ataque bem sucedido é sempre precedido de uma série de tentativas inválidas de acesso. A primeira acepção da palavra auditoria, no sentido prático, é a prevenção.

O segundo benefício direto da ativação da auditoria em sua estação de trabalho, é a possibilidade averiguação dos passos de um invasor, uma vez evidenciado o incidente de segurança. É o que chamamos de trilha de auditoria. Analisando o caminho do intruso, seja ele um hacker ou um colega de trabalho, fica mais fácil compreender a motivação de sua ação, e qual era o seu “alvo” – entenda-se informação.

B. Como ativar a auditoria do WindowsXP?

Escolhi o WindowsXP em inglês porque este sistema operacional está sendo amplamente utilizado no mundo todo, além do que ele conta com recursos super práticos para ativação da auditoria, sem que o usuário tenha que recorrer a especialistas ou técnicos.

Bem, agora mãos a obra: não há dificuldade em ativar a auditoria, qualquer usuário com conhecimento mínimo do sistema operacional conseguirá executar. É importante verificar se a Política de Segurança da Informação da sua empresa permite este tipo de alteração no sistema. Caso não exista uma Políttica para usuários, converse com o administrador e solicite que você possa auditar o que acontece em sua estação de trabalho; antes de tudo é importante respeitar as Diretrizes de Segurança da sua organização. De qualquer forma, você pode ativar esta política no seu computador doméstico.

Vá ao (1) Control Panel, (2) Administrative Tools, (3) Local Security Policy. Agora, neste tela você abre o item (i) Local Policies, e clica em (ii) Audit Policy. A seleção deve ficar conforme a tabela abaixo:

Tabela de Nível de Auditoria

Account logon events Success, failureAccount management Success, failureLogon events Success, failureObject access Success, failurePolicy change Success, failurePrivilege user Success, failureSystem Events Success, failure

C. Auditoria em Arquivos

Quando arquivos como ftp.exe, tftp.exe, command.com, cmd.exe, telnet.exe, wscript.exe e cscript.exe não puderem ser desabilitados, é importante deixá-los em constante auditoria. É através destes arquivos que um invasor faz o download de códigos maliciosos para o computador do usuário. Recomenda-se também ativar a auditoria em arquivos executáveis que permitem acesso a aplicações críticas.

Pressione o segundo botão do mouse sobre o arquivo que você deseja auditar. Pode ser uma planilha do XLS, um DOC ou um desenho em CAD. Vá em (1) Properties, selecione (2) Security e depois clique em (3) Advanced. Agora você clica em (i) Auditing e (ii) Add para adicionar o grupo que você pretende auditar. Neste caso vamos inserir Everyone para uma auditoria ampla. Clicando OK você sairá em uma tela onde os objetos de auditoria podem ser selecionados. Recomendo ativar os itens Traverse Folder/Execute File, Write Attributes e Delete. Todos na opção Failed. Simples, não é?

Pronto. Uma vez selecionado, devemos criar uma rotina pessoal de verificação dos eventos gerados, pelo menos uma olhada por semana. Definimos aquilo que é considerado comportamento estranho, e filtramos para podermos visualizar só o que interessa. É muito simples.

Para visualizar as informações geradas, siga os seguintes passos. Vá ao (1) Control Panel, (2) Administrative Tools, (3) Event Viewer. Clique no item (i) Security do menu da esquerda. Pronto, ai estão os eventos gerados, classificados por tipo, data e categoria. Clicando duas vezes sobre o registro você poderá obter mais informações sobre o evento.

Bem, a mensagem desta semana é: usuário, aprenda a se defender. Estamos enfrentando tempos difíceis onde qualquer um pode sem muito esforço obter informações sensíveis ou privilegiadas vasculhando o computador alheio. É bom lembrar que a responsabilidade pelas informações que estão hospedadas em nossa estação de trabalho, é individual e não deve ser compartilhada. Até o próximo artigo.

Oportunidades de Segurança

Fabio F. Ramos, CISSP, CISM, CIFI, consultor da Axur Information Security

Os desafios da gestão de Segurança da Informação iniciam com a concludente afirmação executiva de que “a informação é um ativo valioso“ e “uma gestão é realmente necessária”. Analisar, planejar e implementar – compreendendo nossas fragilidades e dependências tecnológicas (porque hoje a informação é, em grande parte apoiada em ativos tecnológicos), faz com que esta necessidade reflita urgência.

Quão preparados estamos para “encarar” o novo paradigma organizacional, que é a gerência da segurança da informação? Quem será o responsável por dividir suas tarefas operacionais entre atividades que incluem preservar a confidencialidade, integridade e disponibilidade do elan vital corporativo?

Faz muito pouco tempo que esta nova realidade vem tomando corpo nos compromissos da alta administração. Base a esta oportunidade de melhoria, resolvemos escrever sobre tudo aquilo que imaginamos ser prática comum em organizações modernas, e que muito facilmente pode ser adaptado para servir também aos designos da segurança da informação.

Comitê de Segurança da Informação

Junto ao já existente Comitê que trata de assuntos administrativos, porque não aproveitar e inserir uma espécie de acompanhamento qualitativo dos cenários que supoem risco a informação da organização? Discutir metas, posicionamento, estratégias e objetivos significa planejar, é impensável deixar de levar em consideração a importância de proteger bem as informações envolvidas com atividades em desenvolvimento ou mesmo já consolidadas.

Formalizar o que é informal – Comitê Interdisciplinar

Caso já exista um departamento responsável pela formalização de normas, procedimentos e instruções de trabalho, ficará muito fácil transformar o “bom senso” em conhecimento formal. A equipe de tecnologia, recursos humanos, departamento jurídico juntamente com outros departamentos, poderão formar um comitê interdisciplinar: cada nova resolução deverá ser aprovada pela alta administração e com ajuda do grupo de formalização e divulgação, estará adequada à produção.

Estas são algumas dicas: claro que jamais substituem o auxílio de um grupo de especialistas com uma base sólida e com conhecimento tácito, capacitados a catalisar o processo de uma análise de risco, ou a definição de uma política de segurança da informação. Com estes três pontos, fica presente a possiblidade e a necessidade de dar o primeiro passo!

Tamanduá Network Intrusion Detection System

Gustavo Scotti, consultor estratégico da Axur Information Security.

É com muito orgulho que estamos lançando a nova versão do Tamanduá Network Intrusion Detection System. Em sua nova versão 1.2. – testada e atualizada em conjunto com a comunidade mundial de segurança da informação, o Tamanduá NIDS explora o que há de mais eficaz na arte da detecção de intrusos pela análise de pacotes de rede.

Durante seu período de teste, onde apenas desenvolvedores experientes estavam em condições de operá-lo, o sistema aprendeu muito; sua evolução resultou em um software adaptado às necessidades reais do dia-a-dia de um administrador de rede.

Base ao retorno da comunidade de segurança, conseqüência única do nosso empenho em oferecer uma tecnologia “um passo a frente” ao que já existe no mercado de código aberto, o Tamanduá Labs, centro de desenvolvimento de tecnologia da Axur Information Security (www.axur.com.br) comprova mais uma vez a alta qualidade dos produtos 100% nacionais.

O esforço conjunto e a capacidade técnica de altíssimo nível da ViaConnect (www.viaconnect.inf.br), com o desenvolvimento das regras que hoje servem o Tamanduá NIDS, foi fundamental para o sucesso deste projeto.

Dentro as novas características do Tamanduá NIDS – além da fácil instalação e da interface amigável, podemos destacar:

IDS Distribuído
O Tamanduá trabalha de forma distribuída. O console centraliza as configurações, regras e registros, enquanto os sensores são distribuídos em sua rede.

Sniffer Inteligente
Os mecanismos de coleta e distribuição de dados são feitos através de comunicação assíncrona e de plug-ins. O Tamanduá NIDS pode analisar a ameaça em diferentes pacotes de rede, seguindo a sessão da conexão, ao invés de análises simples, em pacotes isolados.

Defragmentação
O sniffer inteligente faz o processo de defragmentação – a análise é ideal mesmo em uma situação onde a fragmentação é intencional, como ocorre com o fragroute. Além disso, cada fragmento é processado, permitindo uma análise de vulnerabilidades baseada na má formação de pacotes fragmentados.

Suporte a Mini-MTU
Se o MTU da interface de rede utiliza, intencionalmente, pacotes com uma quantidade reduzida de dados, ainda assim não comprometerá a análise da sessão. Por exemplo, se procuramos pela palavra “AXUR”, e esta palavra estiver distribuída em quatro pacotes de rede, o Tamanduá NIDS conseguirá identificar a assinatura através de seu mecanismo de Mini-MTU. Em outras palavras: uma análise baseada na pesquisa de dados (string match), vai comparar o dado com o conteúdo do pacote, e havendo uma parcial checagem correta, esta se estenderá ao próximo pacote da sessão.

Sistema rodando em múltiplas threads
O Tamanduá roda em 3 threads distintas: (1) capture thread , coleta os pacotes de rede e insere os dados a uma lista de análise; (2) analyze thread, realiza a análise da fila de pacotes gerada pela capture thread e distribui esses pacotes para cada plug-in registrado sob a função de análise de rede; e (3) administrative thread , que se encarrega das funções administrativas do software, do controle dos plug -ins e sistema operacional.

Mecanismo MLB (Multi-Layered Boolean)
Tecnologia exclusiva; organiza as assinaturas provendo instruções confiáveis capazes de garantir que o ataque está mesmo ocorrendo. Significa que através desta tecnologia do Tamanduá Labs, é possível que não haja falsos-positivos (dependendo, logicamente, das assinaturas disponíveis). O sistema Tamanduá NIDS, possui um formato de assinatura extremamente simples, ficando muito fácil criar e personalizar cada regra a sua necessidade.

Instruções Complexas
As instruções do Tamanduá NIDS incluem padrões de RFC para os protocolos IP, TCP, UDP e ICMP. Possui também eficientes instruções de análise para os dados de aplicação, como strlen, string, data e log, esta última que registra porções do pacote, deixando os registros mais completos e ricos em informações.

Registro em Banco de Dadoss
O software Tamanduá NIDS possui um mecanismo nativo que registra os dados em uma base do tipo MySQL. Desta forma fica extremamente simples manipular os dados e gerar seus próprios relatórios, utilizando a sintaxe SQL.

Registros de Pacotes
O Tamanduá NIDS pode gravar toda a sessão ativa de uma assinatura, para a sua posterior averiguação, ou até para simular a sessão gravada. Um exemplo prático desta característica seria a necessidade de registrar a sessão de todos os operadores de mainframe, com acesso administrativo. Cada sessão pode ser gravada e posteriormente “executada”, onde o responsável pela segurança poderá visualizar a sessão do usuário em tempo proporcional ou acelerado – ferramenta Tamanduá Packet Replayer, disponível somente na versão comercial.

Plug-ins de Resposta Imediata
Nesta versão do software Tamanduá, há dois tipos de resposta. O response-exec e o response-reset. Operando no sensor, estes plug-ins disparam ações proativas para eliminar a ameaça. Você pode, por exemplo, colocar um IP em quarentena no firewall ou interromper a sessão de rede. Há ainda a possibilidade de utilizar uma regra que force o plug-in de resposta imediata ser acionado.

Relatórios Dinâmicos em Web
O Tamanduá vem com uma interface de visualização dos registros que faz filtros pelo sensor, perfil e por intervalos de tempo (diário, semanal e mensal).

Contato
A nova versão do Tamanduá já está disponível para download, e não requer a compra de licenças: http://tamandua.axur.org.

Por enquanto, a versão 1.2 do Tamanduá está disponível apenas para UNIX e depende de alguns pré -requisitos, descritos no seu manual, disponível no website oficial.

PDA - Pequenos no tamanho, grandes no risco

Fabio F. Ramos, CISSP, CISM, CIFI, consultor da Axur Information Security

A dimensão da análise de risco, enquanto disciplina de um processo segurança da informação, nos permite diversas interpretações acaso trouxermos a salvaguarda do conhecimento ao nosso particular. Somos todos integrantes da aldeia global - talvez, você principalmente, leitor deste artigo que trata de tecnologia da informação -, e preciosismos a parte: não podemos tanto, quando longes do nosso notebook, da nossa conexão com a Internet e de nosso handheld. Afinal de contas, estes dispositivos portáteis, principalmente o handheld, oferece alguma proteção? Quais são os seus riscos e controles de segurança?

Nenhuma outra frase explica melhor o papel de um handheld que o já famoso “Organize sua vida”, e fica fácil entender o porquê, além de gerenciar números de telefone, datas de aniversário, senhas de diversos sistemas, despesas de viagem e listas de tarefas, ele ainda cabe em sua mão. Diria, ao exemplo do que já foi experimentado em todas as panacéias tecnológicas: centralize a solução e terás um ponto único de falha.

São poucas as técnicas especialmente desenvolvidas para a burla destes dispositivos, mas não tenha dúvida, conforme for sua evolução e participação no way-of-life do profissional moderno – expondo à atenção dos habituais “hackers” -, sentiremos a premente necessidade de certificar a segurança do nosso equipamento. Neste espectro de soluções de segurança para handhelds, podemos sugerir deste uma discreta senha de acesso ao sistema operacional, até backup automático e criptografia de todos os seus componentes.

Dependência é a palavra-chave, seguida pela privacidade – pilares que sustentam a segurança da informação, representantes legítimos da disponibilidade e da confidencialidade. Imagine perder aquela sua imensa lista de contatos, ou aquela lista de tarefas planejada para médio e longo prazo. É claro que existe um recurso que já permite o backup automático deste tipo de informação, mas e a lacuna entre as atualizações, uma vez que a autonomia destes dispositivos pode chegar a quinze dias?

Atualmente, qualquer sujeito que possuir acesso ao seu handheld ou ao dado sincronizado na sua base, pode acessar esta informação – pelo menos na forma padrão como é utilizado o dispostivo.

Quando lembramos que o ataque mais popular entre os espiões digitais continua sendo a engenharia social, talvez pareça que obter acesso a uma simples lista de tarefas ou agenda telefônica possa ser a chave para persuadir outrem a dispor de informações ainda mais sigilosas. Imagine que já existe um programa chamado “No Security”, facilmente encontrado na Internet, que permite o acesso aos conteúdos do dispositivo mesmo quando este está protegido pela autenticação nativa do sistema.

Façamos então uma rápida análise dos riscos frente aos handhelds: sem muito esforço identificamos uma série de ameaças que exploram suas vulnerabilidades – inerentes à tecnologia, onde destacamos a possibilidade do roubo, quebra ou perda do equipamento, visualização indevida da informação e interceptação de dados (quando do uso da tecnologia de infra-vermelho) por terceiros. Para a grande maioria dos riscos, felizmente, há uma solução, onde destacamos:

§ Encriptação completa de dados: alguns programas já permitem a encriptação de 128 ou 512 bits, utilizando o algorítimo Blowfish
§ Encriptação sob-demanda: transforma determinados documentos em conteúdo cifrado
§ Senha one-way: transforma a senha armazenada em um hash, evitando que a mesma seja lida
§ Auto-lock: tranca o sistema após período pré-determinado de não utilização
§ Máscara para senhas: proteção contra a visualização da senha durante sua entrada

Estes são apenas alguns dos diversos meios de proteger seu handheld, tecnologias que são comercializadas e podem ser encontradas em portais especializados.

Enquanto assistimos a transformação de velhos conceitos, tendendo a redução do fator “complicação” em ferramentas de uso profissional, concluimos: assim também deve ser com a gerência do risco. Diria, além da utillização de uma boa senha, do backup e da criptografia de dados classificados sensíveis ou confidenciais, sobra muito pouco senão recomendar “redobre seu cuidado”. A exemplo do que já é canto dominical para participantes de programas de conscientização de segurança da informação quando o assunto é laptops ou similares, evocamos o aforismo “fique de olho”. Na utilização destes pequenos equipamentos de processamento e armazenamento da informação, você é o mais eficiente controle de segurança.

Informação: Classificar é Preciso

Fabio F. Ramos, CISSP, CISM, CIFI, consultor da Axur Information Security

Classificar é preciso, e assim prossegue a epopéia da nau corporativa chamada ‘Segurança’, trilhando mares bravios em busca da qualificação de seu patrimônio informático, ao melhor modelo “conhecer para então proteger”. Com a evolução dos dados e sistemas, a informação ganhou mobilidade, inteligência e real capacidade de gestão. A informação é substrato da inteligência competitiva; deve ser administrada em seus particulares, diferenciada e salvaguardada. Quem é quem neste mundo da informação? Quais são as melhores práticas para sua classificação? Como atuam as organizações líderes em seus respectivos setores?

A organização moderna é um grande organismo; tende ao crescimento, alimentada pela produção e operada pelo seu corpo funcional. Pense em uma analogia com o corpo humano: o grupo executivo como a mente – arquitetando objetivos e metas, em equilíbrio e sintonia com os órgãos, respeitando seus limites e suas funções. Como é que este organismo se comunica? Seu fluído vital, é a informação. Seguindo esta linha, a interrupção do fluído circulante significa paralisação das funções deste organismo e de seus processos de negócio. Em tempos de gestão integrada, onde ponteiros “suiços” indicam resultados, garantir a disponibilidade, a integridade e a confidencialidade da informação é um compromisso com resultados.

Para que o processo de classificação possa ser guiado com êxito, não dependendo exclusivamente da avaliação do consultor de segurança, faz-se necessário o envolvimento dos criadores, gestores, curadores e usuários da informação. Estes devem estar habilitados a responder aos seguintes questionamentos.

A. Qual a utilidade da informação?
Aparentemente simples, a resposta para esta pergunta deve ser consolidada base a uma visão holística – a informação é parte de um todo muitas vezes indecomponível. A informação que suporta o departamento comercial tem diferente utilidade quando confrontada com as informações provenientes da engenharia. Quando justificar utilidade, lembre sempre dos fins: suporte, operação, estratégia e etc.

B. Qual o valor da informação?
Existem diferentes métodos para a valoração da informação. São abordagens qualitativas, quantitativas e mistas; algumas compostas de cálculos e fórmulas herméticas - por vezes tão confusas que causam suspeita aos homens de espírito prático. Acredito que tão ou mais eficiente que o aparato analítico informatizado seja a avaliação pessoal do dono da informação. Ele saberá qualificar sua munição: qual o prejuízo caso esta informação seja revelada ou comprometida? Caso haja dificuldade em compor o resultado através de um indicador financeiro preciso, vale também a descrição através de escalas de classificação.

C. Qual a validade da informação?
Salvo exceções justificadas, toda a informação deve possuir um período de validade – manter informações desatualizadas, redundantes ou de integridade duvidosa, quando não por imposição legal, significa espaço em disco, leia-se “custo adicional”.

D. Quem é responsável pela manutenção da classificação da informação?
Em algumas organizações, o criador da informação é responsável pela sua classificação inicial nos quesitos da tríade da segurança – confidencialidade, integridade e disponibilidade. Esta classificação deve ser acompanhada pela definição de grupos, perfis ou usuários individuas com permissão para o acesso.

Classificação Comercial

Usualmente a informação comercial é classificada dentro das categorias: (1) sensível – requer precauções especiais; (2) confidencial – caso seja revelada pode afetar seriamente a companhia; (3) privada – informação sobre o corpo funcional; (4) proprietária – caso seja revelada, pode reduzir a margem competitiva; e (5) pública - informação que não se enquadra nas categorias anteriores, caso revelada não afetará a organização. É sempre importante que este formato seja adaptado às particularidades da sua organização.

Uma pequena tasklist que poderá servir de suporte para o trabalho de classificação:

>• Identifique quem é o dono da informação;
• Especifique quais critérios serão utilizados para sua classificação
• Converse com o dono da informação – esta deve ser enquadrada em alguma das categorias indicadas acima;
• Indique qual o nível de segurança necessário para proteger cada categoria;
• Documente exceções;
• Crie rótulos para a informação impressa e digital;
• Defina o método que será utilizado para transferir a custódia da informação;
• Indique um procedimento a desclassificação da informação;
• Treine e conscientize os usuários – é importante que todos saibam como classificar e manusear diferentes tipos de informação.

A classificação é uma poderosa ferramenta para salvaguardar a informação: através da identificação, classificação e rotulagem, pode-se aplicar diferentes métodos de proteção – guiado sempre pelo indicador de segurança. Isso evita investimentos inadequados, caracterizados pelo já conhecido jargão de segurança que canta “Não faz sentido um cofre mais valioso que o conteúdo protegido”. Será que o nosso “cofre” não está sobrecarregado com outro papel, que não o papel moeda? Devemos permitir e incentivar a circulação da informação, atentando à diferença entre distribuir informações vitais para a gestão inteligente do seu negócio à exposição incontinente da massa crítica em circulação. Então, o que é crítico? Classifique.

Não fique parado!

Jefferson Borges, consultor comercial da Axur Information Security.

Até que ponto a informação da sua empresa está segura? Esta é uma pergunta de difícil resposta – pergunta que nos leva longe; a prerrogativa é “estarei seguro até que se prove o contrário”, famosa falsa sensação de segurança. Será o mais adequado? Segurança da informação não é moda, é tendência: compreender sua importância em tempos de gestão do conhecimento, é estar à frente da inquietação que nos provoca a pergunta inicial.

São raras as organizações que investem suficiente atenção neste assunto tão delicado, o que lembra a “psicotização” de uma situação organizacional; os executivos, quando interrogados, respondem estarem atentos e preocupados com o altíssimo número de incidentes de segurança, mas não fazem muito para mudar esta situação. Será que ataques ocorrem somente contra a empresa do vizinho? Vazamento de informação, ataque contra sua página, interrupção nos seus serviços: aí estão alguns atributos do share of mind que ninguém deseja.

Como sua empresa está situada neste cenário? Tente responder as perguntas abaixo e tire suas próprias conclusões.

• A alta administração entende a segurança da informação como ponto crítico e de importância estratégica? Existem objetivos de segurança identificados e formalmente priorizados?

• A organização conhece as modernas técnicas de análise de risco como PARA - Pratical Application of Risk Analysis? Há algum tipo de vínculo entre a organização e especialistas em segurança da informação (conhecimento tácito)?

• A organização possui um index referencial com métricas quantitativas, qualitativas e mistas para identificas níveis adequados de segurança da informação?

• A coordenação de segurança possui autonomia para ações táticas, emergenciais e operacionais? Esta coordenação segue as diretrizes de segurança estabelecidas pela alta administração?

Quando se reflete acerca dos controles mínimos de segurança da informação, somos automaticamente levados a imaginar um gigantesco aparato tecnológico com altos investimentos e consultorias eternas. Todas as boas soluções são simples, o que não pode ser diferente quando se fala em um projeto de segurança da informação. A inserção da cultura organizacional inicia pelo exemplo do Grupo Executivo, pela avaliação dos valores, da missão da empresa, da visão do estrategista; “Onde queremos chegar? E como a informação é importante para atingirmos nossos objetivos? Vale a pena protegê-la”.

É preciso repensar, planejar e agir. Ação: porque o tempo nos deixa em desvantagem frente ao futuro, nunca sabemos o que vem adiante, e precisamos garantir o mínimo de estabilidade. Em termos de definição estratégica, temos com a Análise de Riscos uma ótima ferramenta para avaliação interna, identificando e parametrizando a criticidade dos pontos fracos e dos pontos fortes da estrutura por onde correm os nossos dados.

O risco sempre existirá, até mesmo porque frente ao desconhecido não temos como nos proteger. Diagnosticar o ambiente, implementar controles, minimizar e administrar riscos – podemos sim saber o que se passa, e quem sabe transformar ameaças futuras em oportunidades. Por isso, não fique parado!

Análise de Risco: O que se diz, o que se faz, e o que realmente é

Fabio F. Ramos, CISSP, CISM, CIFI, consultor da Axur Information Security

É perceptível o crescente interesse das organizações brasileiras por saber qual seu grau de exposição frente às ameaças capazes de comprometer a estabilidade da sua operação. São ameaças que nos fazem suar frio: concorrentes, hackers, funcionários insatisfeitos, que somadas ao grande número de vulnerabilidades nos sistemas tecnológicos, materializam o nível de risco de uma organização. Arriscar faz parte da estratégia, conhecer e gerenciar os riscos é administrar o futuro.

Antes de detalhar o que representa uma Análise de Risco, vamos sincronizar nossos termos. Por segurança entende-se ‘certeza’. Garantir que as suas estratégias retornarão no nível desejado significa identificar e entender os riscos, para então administrá-los. Estar vivo, por exemplo, significa “arriscardiariamente”.Atravessar a rua, ir ao jogo de futebol ou dirigir são exemplos de situações que envolvem fatores de risco; mas como já estamos acostumados a enfrentá-los, formamos um instinto natural para o cálculo de energia utilizada para minimizar e controlar os riscos.

Podemos utilizar a mesma analogia para o mundo corporativo onde o “estilode vida” é a operação da empresa, a exposição é o alcance da sua operação, e a energia investida para minimizar os riscos é o investimento despendido para conhecer e controlar a situação.

Como analisar riscos sem estudar minuciosamente os processos de negócio que sustentam sua organização? Como classificar o risco destes processos sem antes avaliar as vulnerabilidades dos componentes de tecnologia relacionados a cada processo? Quais são os seus processos críticos? Aqueles que sustentam a área comercial, a área financeira ou a produção? Você saberia avaliar quantitativamente qual a importância do seu servidor de web? Para cada pergunta, uma mesma resposta: conhecer para proteger.

A Análise de Risco se divide em cinco partes de igual importância: isoladas, estas partes representam muito pouco ou quase nada. Alinhados e geridos de forma adequada, estes componentes da análise de risco podem apontar caminhos seguros na busca ao nível adequado de segurança de uma organização. Os cinco pontos são:

• Identificação e Classificação dos Processos de Negócio
• Identificação e Classificação dos Ativos
• Análise de Ameaças e Danos
• Análise de Vulnerabilidades
• Análise de Risco

Utiliza-se como métrica as melhores práticas de segurança da informação do mercado, apontadas na norma ISO/IEC 17799. A partir destas informações faz-se possível a elaboração do perfil de risco, que segue a fórmula: (Ameaça) x (Vulnerabilidade) x (Valor do Ativo) = RISCO. Atenção: a ISO/IEC 17799 não ensina a analisar o risco, serve apenas como referência normativa.

O que mais incomoda aos consultores exigentes, é o crescente número de empresas “de segurança da informação” que dizem preparar a “análise de risco”,mas na verdade fazem, quando muito, uma “análise de vulnerabilidades”.Coisa muito sem sentido, mas que até engana, afinal de contas os conceitos de Análise de Risco são ainda pouco conhecidos. Analisar riscos, definitivamente não significa passar um scanner automático na rede. Desconfie quando propuserem analisar o “risco”, sem mencionar como será avaliada a ameaça e como serão valorados os ativos (tecnológicos, humanos e processuais).

São muitas as dúvidas sobre o assunto. Reuni neste artigo apenas algumas, representando de maneira bastante objetiva, o que acredito ser de interesse dos gestores de tecnologia.

A - Por que fazer uma análise de risco?
Durante o planejamento do futuro da empresa, a Alta Administração deve garantir que todos os cuidados foram tomados para que seus planos se concretizem. A formalização de uma Análise de Risco provê um documento indicador de que este cuidado foi observado. O resultado da Análise de Risco dá à organização o controle sobre seu próprio destino – através do relatório final, pode-se identificar quais controles devem ser implementados em curto, médio e longo prazo. Há então uma relação de valor; ativos serão prottegidos com investimentos adequados ao seu valor e ao seu risco.

B - Quando fazer uma análise de riscos?
Uma análise de riscos deve ser realizada – sempre – antecedendo uinvestimento. Antes da organização iniciar um projeto, um novo processo de negócio, o desenvolvimento de uma ferramenta ou até mesmo uma relação de parceria, devese mapear, identificar e assegurar os requisitos do negócio. Em situações onde a organização nunca realizou uma Análise de Risco, recomendamos uma validação de toda a estrutura.

C - Quem deve participar da análise de riscos?
O processo de análise de riscos deve envolver especialistas em análise de riscos e especialistas no negócio da empresa – esta sinergia possibilita o foco e a qualidade do projeto. Um projeto de Análise de Risco sem o envolvimento da equipe da empresa, muito dificilmente retratará a real situação da operação.

D - Quanto tempo o projeto deve levar?
A execução do projeto deve ser realizada em tempo mínimo. Em ambientes dinâmicos a tecnologia muda muito rapidamente. Um projeto com mais de um mês em determinados ambientes -, ao final, pode estar desatualizado e não corresponder ao estado atual da organização.

Então...
Conhecer o risco é ganhar mobilidade. Alguns riscos - como o choque de um avião contra o nosso prédio -, só poderemos evitar a um alto custo; não é isso que queremos. Esse diagnóstico, que até bem pouco tempo ocultava-se sobre pequenas e isoladas iniciativas do grupo de tecnologia da informação, quase sempre relacionado a aspectos técnicos da famosa “análise de vulnerabilidades tecnológicas”, já é reconhecido como ferramenta de suporte estratégico.

O conceito de análise de risco está intimamente relacionado a figura de Competitive Intelligence (Inteligência Competitiva), uma vez que agrega “solidez” à informação corporativa. Quem sabe, com a condição de controlar as ameaças, não poderemos derivar desta ferramenta o conceito de “administração decenários”? A escolha é sua: quem dá as cartas?