Segurança da Informação e Auditoria Interna

2SEM – Segurança da Informação

Objetivos: a segurança dos dados pode ser definida como a proteção de dados contra a revelação acidental ou intencional a pessoas não autorizadas e contra alterações não autorizadas.

Princípios básicos da informação

• Confidencialidade
• Autenticidade
• Integridade
• Disponibilidade
• Política de segurança
• Administração de redes seguras
• Treinamentos personalizados
• Projetos personalizados

Importância da classificação da informação

A política de classificação da informação é fator importante no processo de implementação de uma estratégia de segurança, fornecendo critérios para identificação das informações, seu valor e sua utilização. Com a classificação pode-se:

• Identificar uma situação de risco mais facilmente e reagir (antecipar) rapidamente;
• Adotar procedimentos e ferramentas de proteção adequadas a cada tipo de informação, reduzindo os custos e aumentando a segurança.

Classificação da informação

• SECRETA - Informação que proporciona um diferencial competitivo e que incorpora estratégias específicas de negócio.
• CONFIDENCIAL - Seu conhecimento, uso e acesso são restritos a um grupo específico da alta administração da empresa e aos usuários por ela designados nominalmente.
• INTERNA - Informação cujo acesso deve estar restrito aos usuários que dela necessitam para cumprir suas tarefas. Sua revelação externa causaria danos à empresa.
• PÚBLICA - Disponível para todos os usuários, tanto internos como externos.
• IMPORTANTE - Informações valiosas para determinadas áreas da empresa. Sua perda pode causar transtornos para a organização, afetando o negócio.
• CRÍTICA - Informações fundamentais para os objetivos da empresa. Em caso de perda, a organização pode ver suas metas seriamente comprometidas, tendo que enfrentar prejuízos financeiros ou de imagem.
• VITAL - Informações essenciais para a sobrevivência da empresa, sem as quais não há como continuar suas atividades.

Biometria

Biometria: é a utilização de uma característica física ou comportamental de um ser humano para verificar sua identidade; tecnicamente é a ciência de usar tecnologia digital para identificar os indivíduos, baseada nas qualidades físicas e biológicas pessoais.

Tipos:

• Impressão digital
• Face
• Assinatura
• Geometria da mão

Planejamento da segurança

Administrador de segurança de dados

Funções:

• Planejamento, execução, controle e auditoria;
• Controle: realimentação dos processos de planejamento e análise de desempenho;
• Alcançar melhores padrões e eliminar desvios;
• Recomendações para o desenvolvimento de aplicações (prevenção e garantia);
• Análise de risco, custo e limite de responsabilidade.

Risco

Gerenciamento de risco é o processo de tomada de decisão quanto à proteção e segurança dos recursos computacionais. A análise de risco tem por objetivo identificar os riscos de Segurança da Informação presentes na sua empresa, fornecendo conhecimento para que sejam implementados controles eficazes.

Elementos considerados:

• Nível de ameaças;
• Probabilidade de ocorrência;
• Impacto e consequências;
• Oportunidade de ataque.

Avaliação do ambiente

Teste de invasão - o objetivo é avaliar o grau de segurança oferecido pelos controles de segurança implementados, como complemento à análise de risco, pois identifica suas vulnerabilidades.

Teste de invasão interno

Feito no ambiente interno da empresa, levantando possíveis vulnerabilidades e simulando o que seria possível realizar atuando como participante do ambiente. São verificadas falhas de segurança nas estações de trabalho, servidores, roteadores e aplicações internas, entre outros.

Teste de invasão externo

Verifica o grau de segurança quanto a tentativas externas de invasão (Internet e acesso remoto). Em ambos os testes, são utilizadas técnicas de engenharia social, simulando de forma mais real técnicas utilizadas por pessoas que buscam coletar informações confidenciais do ambiente.

2SEM – Auditoria

Auditoria interna

Auditoria interna: atividade de avaliação e assessoramento da administração quanto à adequação, eficiência e eficácia dos sistemas de controle, qualidade do desempenho em relação aos objetivos definidos pela organização.

Características e responsabilidades:

• Posição hierárquica na organização elevada para permitir o desempenho das atividades com independência;
• Avaliar se as políticas, normas, metas, planos, leis, procedimentos e regulamentos estão de acordo com a integridade e confiabilidade dos sistemas;
• Verificar eficiência, eficácia e economicidade na utilização dos recursos;
• Comprovar a existência de todos os ativos e informações contábeis, financeiras e operacionais da entidade;
• Segundo as normas brasileiras de contabilidade da auditoria interna, as informações que fundamentam os resultados da auditoria interna são denominadas evidências, as quais devem ser suficientes, fidedignas, relevantes e úteis, de forma a oferecer base sólida para conclusões e recomendações.