O que é PSI: Guia de Segurança da Informação

O que é PSI?

A Política de Segurança da Informação (PSI) é um conjunto de regras e padrões estabelecidos para assegurar que as informações e serviços críticos de uma empresa recebam a proteção necessária, garantindo os três princípios básicos da segurança da informação:

• Disponibilidade: Estar disponível para uso quando o usuário precisar. Dados críticos devem estar disponíveis de forma ininterrupta.
• Utilização: O sistema e os dados devem ser utilizados para as devidas finalidades.
• Integridade: Os dados devem estar completamente íntegros e em condições de serem utilizados.

Através da PSI, a empresa formaliza suas estratégias e abordagens para a preservação de seus ativos. Para ter aceitação, é fundamental que a cúpula estratégica (dirigentes) apoie e participe do processo de implantação.

Estrutura da Documentação

• Procedimentos/Instruções (Operacional): Comandos operacionais executados em procedimentos de segurança, com registro de evidências objetivas.
• Diretrizes (Táticas): Representam as preocupações da empresa e valores para o nível de segurança exigido (ex: responsabilidades, métricas, indicadores).
• Normas (Estratégicas): Focadas em assuntos específicos, como critérios de admissão/demissão, descarte de informações e backups.

Elementos Contemplados na PSI

• Disponibilidade, Utilização e Integridade (conforme definido anteriormente).
• Autenticidade: Condições de verificar a identidade do usuário e do sistema.
• Confidencialidade: Dados privados apresentados apenas aos donos ou usuários autorizados.
• Posse: O dono do sistema deve ter condições de controlá-lo.

Códigos Maliciosos

Programas desenvolvidos para executar ações danosas. A infecção ocorre por meio de acesso a páginas vulneráveis, mídias removíveis, execução de arquivos infectados ou exploração de vulnerabilidades.

• Vírus: Programa que se propaga inserindo cópias de si mesmo em outros arquivos.
• Backdoor: Permite o retorno de um invasor a um computador comprometido via serviços modificados.
• Worm: Programa capaz de se propagar automaticamente pelas redes, consumindo recursos.
• Trojan: Programa que executa funções maliciosas ocultas sob uma aparência legítima.
• Spyware: Monitora atividades do sistema. Inclui Keyloggers (captura digitação), Screenloggers (captura teclados virtuais) e Adwares (propagandas).
• Rootkit: Conjunto de técnicas para esconder a presença de um invasor ou código malicioso.
• Bot e Botnet: Bots permitem controle remoto do computador (zumbi). Uma Botnet é uma rede de computadores zumbis usada para ataques em larga escala (DoS, spam, etc.).

ISO 27001 e Normatização

A ISO, fundada em 1946 em Genebra, promove normas globais, sendo a ABNT a responsável no Brasil. A norma ISO 27001 enfatiza o estabelecimento, implementação, operação, monitoramento, revisão, manutenção e melhoria contínua dos controles de segurança baseados em riscos.