Segurança, Auditoria e Continuidade de Negócios em TI

7ª Aula: ISO/IEC 15408 e Common Criteria

1. Em nossos estudos, discutimos a ISO/IEC 15408 como um framework que fornece segurança para Sistemas de Informação e produtos de TI (software ou hardware). Dada a sua complexidade, ela é formada por 3 volumes. Como ela é dividida e o que fornece para a segurança de produtos de TI?

A ISO/IEC 15408 é composta por um conjunto de 3 volumes (aprox. 400 páginas):

• 1º volume: Definições e metodologia;
• 2º volume: Requisitos de segurança;
• 3º volume: Metodologias de avaliação.

Ela fornece critérios para a especificação da segurança de uma aplicação, baseada no ambiente de desenvolvimento. O Common Criteria entrega um framework para especificação, implementação e avaliação de requisitos de segurança em SI e produtos de TI.

Níveis de Garantia de Segurança (EAL)

2. A norma estabelece sete níveis de garantia de segurança (EAL). Liste-os:

• EAL1: Funcionalmente testado
• EAL2: Estruturalmente testado
• EAL3: Metodicamente testado e verificado
• EAL4: Metodicamente projetado, testado e avaliado
• EAL5: Semi-formalmente projetados e testados
• EAL6: Projetos semi-formalmente verificados e testados
• EAL7: Projetos formalmente verificados e testados

Detalhes dos níveis EAL1, EAL2 e EAL3

• EAL1: Aplicável quando algum nível de confiança é necessário, mas as ameaças não são graves. Realizado sem assistência do desenvolvedor e com custo mínimo.
• EAL2: Requer cooperação do desenvolvedor para fornecer informações do projeto e resultados de testes. Aplicável para baixo a moderado nível de segurança.
• EAL3: Permite ao desenvolvedor alcançar a maior segurança possível na fase de projeto sem alterar boas práticas. Exige um processo completo de testes e verificação.

c. Quais níveis podem ser aferidos em aplicações existentes? Apenas EAL1, EAL2 e EAL3, pois os superiores exigem procedimentos durante o desenvolvimento.

Modelo Simplificado de Segurança

3. Segundo Lyra, o nível 3 traz segurança significativa para sistemas comerciais. Recomenda-se:

1. Especificar a segurança na fase de análise usando a ISO/IEC 15408 como roteiro;
2. Manter um ambiente de desenvolvimento e testes que atenda ao EAL3;
3. Utilizar boas práticas de programação;
4. Testar o sistema internamente, gerando evidências de aderência ao EAL3.

8ª Aula: Ciclo de Vida e Segurança

1. Quais outros frameworks garantem segurança no ciclo de vida? Recomenda-se o uso de métodos como CMMI, RUP ou PMBOK, que possuam planejamento e marcos (milestones) definidos.

3. O que é um VCS ou SCM? É um software para gerenciar versões de código-fonte, permitindo trabalho colaborativo sem conflitos. Exemplos: Git, SVN, Mercurial (open source) e ClearCase (comercial).

5. O que é Superfície de Ataque? Considera ações do sistema visíveis externamente. Para reduzi-la: reduzir códigos em execução, limitar privilégios e reforçar pontos de entrada.

9ª Aula: Auditoria de Sistemas

1. Definição de Auditoria de Sistemas: Proporcionar revisão, avaliação e recomendações para o aprimoramento de controles internos, avaliando recursos humanos, materiais e tecnológicos.

2. Tipos de auditoria: Durante o desenvolvimento, sistemas em produção, ambiente tecnológico e eventos específicos.

10ª Aula: Plano de Continuidade de Negócios (PCN)

1. Objetivos do PCN: Garantir a segurança de pessoas, minimizar perdas, restaurar atividades rapidamente e fornecer treinamento para equipes-chave.

4. Diferença entre Hot-Site e Warm-Site: O Hot-Site é uma estrutura pronta para operação imediata (baixa tolerância a falhas), enquanto o Warm-Site é para processos com maior tolerância à indisponibilidade.