View metadata, citation and similar papers at core.ac.

uk brought to you by CORE

provided by Portal do Conhecimento

Crispina Fontes de Andrade

Política de Segurança da Informação

Estudo de Caso:
Assembleia Nacional

Universidade Jean Piaget de Cabo Verde

Campus Universitário da Cidade da Praia

Caixa Postal 775, Palmarejo Grande
Cidade da Praia, Santiago
Cabo Verde

12.12.09
 Crispina Fontes de Andrade

Política de Segurança da Informação

Estudo de Caso:
Assembleia Nacional

Universidade Jean Piaget de Cabo Verde

Campus Universitário da Cidade da Praia

Caixa Postal 775, Palmarejo Grande
Cidade da Praia, Santiago
Cabo Verde

12.12.09
Crispina Fontes de Andrade autora da
monografia intitulada Política de Segurança
da Informação declara que, salvo fontes
devidamente citadas e referidas, o presente
documento é fruto do seu trabalho pessoal,
individual e original.

Cidade da Praia ao 30 de Setembro de 2009

Crispina Fontes de Andrade

Memória Monográfica apresentada à

Universidade Jean Piaget de Cabo Verde
como parte dos requisitos para a obtenção do
grau de Licenciatura em Informática de
Gestão.
Sumário

O trabalho de memória que ora se apresenta incide sobre a temática da Política de Segurança
da Informação. O objectivo é Analisar as Políticas de Segurança da Informação da
Assembleia Nacional de cabo Verde e a partir de então elaborar um estudo do caso sobre
politica de segurança da informação da Assembleia Nacional de Cabo Verde.

A política de segurança da informação é tem muita Importância no mundo de hoje, porque

mesmos que as empresas ainda não possuem uma política de segurança, em determinado
momento reconhecem a necessidade de elaboração e implementação de uma política formal, é
sugere-se que a política de segurança da informação é uma ferramenta essencial na segurança
de uma organização.

A escolha do tema surgiu da necessidade de investigar e conhecer as políticas de segurança,

da Assembleia Nacional de Cabo Verde de forma a garantir melhor desempenho e gestão dos
recursos disponibilizados, e garantir melhor a segurança da instituição.

O presente trabalho aborda um estudo sobre política de segurança da informação que é um

dos métodos adoptados pelas organizações com o objectivo de garantir a segurança da
informação. Actualmente existem algumas metodologias e melhores práticas em segurança da
informação, dentre elas está a NBR ISSO/IEC 17799, que é a tradução da BS7799, esta norma
foi usada durante este estudo e, por meio dela, será possível verificar o que deve-se seguir
para a elaboração de uma política de segurança da informação.

O objectivo deste trabalho é apresentar algumas directrizes básicas de uma Política de

Segurança para uma empresa, utilizando como base os conceitos adquiridos pelo estudo na
revisão bibliográfica.
Agradecimentos
A Deus, pela vida e em quem muitas vezes busquei forças para superar os obstáculos e os
desafios, e que me concedeu a oportunidade de concluir mais uma etapa em minha vida no
decorrer dessa caminhada.

Agradeço aos meus pais que sempre me apoiaram e incentivaram para ultrapassar os
obstáculos da vida.

Um especial agradecimento ao professor Carlos Luz pela, sua orientação, pela sua
disponibilidade e pela sua motivação na realização desta monografia.

A todos os colegas de curso, obrigado pela vossa ajuda e camaradagem.

Dedicatória

Aos meus pais e aos meus irmãos e orientador

Por todo o apoio que me prestaram,

Especialmente nos momentos mais difíceis

Conteúdo
Capítulo 1: Introdução.........................................................................................................12
1.1 Estrutura de Trabalho .................................................................................................15
Capítulo 2: Segurança da Informação .................................................................................17
2.1 Classificação da Informação ......................................................................................19
2.1.1 Secreta ..........................................................................................................19
2.1.2 Confidencial .................................................................................................20
2.1.3 Interna...........................................................................................................20
2.1.4 Públicas.........................................................................................................20
2.2 Princípios da Segurança da Informação .....................................................................21
2.2.1 Autenticidade................................................................................................21
2.2.2 Confidencialidade.........................................................................................21
2.2.3 Integridade ....................................................................................................22
2.2.4 Disponibilidade.............................................................................................22
2.3 Ameaças á segurança e vulnerabilidades ...................................................................23
2.4 Aspecto de segurança .................................................................................................23
2.5 Mecanismo de segurança............................................................................................24
Capítulo 3: Politica de Segurança .......................................................................................31
3.1 Política de segurança da informação ..........................................................................31
3.2 Controles de segurança da informação.......................................................................34
3.2.1 Politica..........................................................................................................34
3.3 Características de uma política...................................................................................37
3.4 Importância de uma política de segurança .................................................................39
3.5 Tipos de Políticas .......................................................................................................40
3.5.1 Refutatória ....................................................................................................40
3.5.2 Consultiva.....................................................................................................40
3.5.3 Informativa ...................................................................................................41
3.6 Modelos ......................................................................................................................41
3.6.1 Bell-Lapadula ...............................................................................................42
3.6.2 Harrison-Ruzzo-Ullman ...............................................................................43
3.6.3 Chinese-Wall ............................................................................................44
3.6.4 Biba...............................................................................................................45
3.6.5 Goguen – Meseguer ................................................................................45
3.6.6 Sutherland..................................................................................................46
3.6.7 Clark – Wilson..........................................................................................47
3.6.8 Outros Modelos........................................................................................48
3.7 Segurança Física.........................................................................................................49
3.7.1 Segurança do pessoal, das instalações e dos equipamentos. ........................50
3.7.2 Segurança do pessoal....................................................................................50
3.7.3 Segurança das Instalações ............................................................................52
3.7.4 Segurança do Equipamento ..........................................................................52
3.8 Segurança Lógica .......................................................................................................54
3.9 Princípios para as políticas de segurança da informação ...........................................55
3.10 Processo de implementação de segurança..................................................................55
Capítulo 4: Politica de segurança da informação (Estudo de caso na Assembleia Nacional)
………………………………………………………………………………...57
4.1 Caracterização Geral ..................................................................................................57
4.2 Estrutura Organizacional............................................................................................59
4.3 Infra-estrutura de Rede...............................................................................................60
4.4 Princípios de Segurança da Assembleia Nacional de Cabo Verde ............................61
4.5 Politicas de Segurança da Informação Corporativas para (ANCV) ...........................62
4.5.1 Politica de Segurança Corporativa ...............................................................63
4.5.2 Segurança Organizacional ............................................................................65
4.5.3 Classificação e controlo dos activos de Informação.....................................65
4.5.4 Segurança dos Recursos Humanos ...............................................................67
4.5.5 Segurança física e Ambiental .......................................................................69
4.5.6 Gestão de Comunicações e operações ..........................................................73
4.5.7 Controlo de Acesso à Informação ................................................................83
4.5.8 Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação ....93
4.5.9 Gestão da continuidade do negocio ..............................................................97
4.5.10 Conformidade ...............................................................................................98
4.5.11 Medidas se segurança implentadas na ANCV............................................104
Capítulo 5: Conclusão .......................................................................................................107
Bibliografia.............................................................................................................................110
A Guião: .............................................................................................................112
A.1 Guião de entrevista:..................................................................................................112
Figuras
Figura 1: Política de segurança e seus relacionamentos...........................................................34
Figura 2: Controles de segurança da informação .....................................................................35
Figura 3: Segurança física ........................................................................................................49
Figura 4: Segurança lógica .......................................................................................................54
Figura 5: Ciclo de segurança ....................................................................................................55
Figura 7: Estrutura da organização...........................................................................................59
Figura 8: Desenho da rede implementado no Parlamento........................................................62
 Política de Segurança da Informação

Siglas e Abriaturas:
ANCV – Assembleia Nacional de Cabo Verde
ACL – Listas de Controle de Acessos
BS – British Standard
BLP – Bell-LaPadula
CDI – Elementos de Dados Constrangidos
DMZ – Zona Desmilitarizada
HRU – Harrison-Ruzzo-Ullman
IDS – Sistema de Detecção de Intrusos
IVP – Procedimentos de Verificação da Integridade
ISSO – Internacional Standards Organization
NAS – Superstor Apllinace
NAC – Cisco Network Admission Control
NBR ISSO – Norma Brasileira homologada em Setembro de 2001 pela ABNT para Gestão da
Segurança da Informação
PSI – Politica de Segurança da Informação
PDSI – Plano de Desenvolvimento do Sistema Informático
RSA – Royal Sun Alliance
SIs – Sistema de Informação
TP – Procedimentos de Transformação
TI – Tecnologias de Informação
UDI – Elementos de Dados não Constrangidos
VPN – Rede Privada Virtual

11/113
 Política de Segurança da Informação

Capítulo 1: Introdução

Vivemos numa época em que a consciência de que o mundo passa por transformações
profundas é cada dia mais forte. A globalização veio permitir a mundialização das novas
tecnologias dando assim oportunidades a todos, com o espaço geográfico fragmentado, porém
fortemente articulado pelas redes, onde a informação, independente do seu formato, é um dos
maiores patrimónios de uma organização moderna, sendo fundamental para quaisquer níveis
hierárquicos e dentro de qualquer instituição que deseja manter-se competitiva no mercado.

Nos tempos actuais a informação tornou-se activo o mais valioso das grandes empresas, ao
mesmo tempo, que passou a exigir uma protecção adequada. De forma assustadoramente
crescente, as organizações, seus sistemas de informações e suas redes de computadores
apresentam-se diante de uma série de ameaças, sendo que, algumas vezes, estas ameaças
podem resultar em prejuízos para as empresas Spanceski (2004).

Actualmente as tecnologias de informação e comunicação está a desenvolver-se de forma

rápida, fazendo com que as organizações tenham maior eficiência e rapidez nas tomadas de
decisão, por isso a Assembleia Nacional de Cabo Verde da importância a segurança das
informações, que é essencial para a sobrevivência e competitividade da instituição.

12/113
 Política de Segurança da Informação

A segurança da informação visa ajudar grandes números de ameaças para assegurar a

continuidade do negócio. Esta segurança é obtida a partir da implementação de uma série de
controlos, que podem ser políticas, práticas e procedimentos, os quais precisam ser
estabelecidos para garantir que os objectivos de segurança específicos da organização sejam
atendidos Siewert (s/d).

A política de segurança pode trazer ao ambiente de uma instituição, regras e procedimentos

que devem ser seguidos para a garantia da segurança da informação. É importante que as
informações da política de segurança sejam divulgadas para todos os membros da instituição,
funcionários, colaboradores ou estagiários, e que todos estejam conscientes da importância do
seguimento desta política Spanceski (2004).

Partindo destes pressupostos delineia-se, a seguinte hipótese geral:

• Existem Políticas de Segurança da Informação adequadas e formalmente aprovadas

pela Assembleia Nacional?

A escolha desse tema prende-se com o facto de ser um assunto bastante actual que assume
uma grande importância para as organizações porque com a complexidade e novas
tecnologias surgindo a todo o momento, faz-se necessário para qualquer organização a criação
de uma política de segurança formal, clara e objectiva, visando a segurança da informação
com foco nas informações trocadas pela mesma. Considerando que esse é o ambiente
globalizado actual, é de extrema importância a segurança da informação, para que as
informações privilegiadas não sejam libertadas de forma segura, o que pode ajudar de forma
significante nos negócios da organização.

A Assembleia Nacional de Cabo Verde é uma empresa que promove fiscalização das
actividades do Governo e a discussão e aprovação de Diplomas propostos pelos Deputados e
Governo e por essa razão surge a necessidade de criar condições e politicas de segurança para
facilitar a informação de forma mais rápida e segura internamente e entre a casa parlamentar e
o mundo.

Partindo da hipótese geral houve a necessidade de formular umas hipóteses específicas:

13/113
 Política de Segurança da Informação

• Existem políticas formais de segurança corporativas, implementadas e aplicadas a

ANCV e aos sistemas de informação;

• Existe algum documento formal que expresse as preocupações e estabeleça as linhas

mestras para a gestão de segurança da informação, aprovada pela administração da
ANCV, publicado e comunicado de forma adequada a todos colaboradores;

• Existem um conjunto de procedimentos e políticas de segurança formais adequados,

ligadas aos sistemas de informação e presentes na plataforma tecnológica da
organização, que tentem assegurar a segurança da informação;

• Existe um gestor que seja exclusivamente responsável pela manutenção e análise

crítica da política de segurança da informação, de acordo com um processo da análise
crítica definido, e que resulte como decorrência de qualquer mudança que venha
afectar a avaliação de risco original, tais como incidentes de segurança significativos,
nova vulnerabilidades ou mudanças organizacionais.

Com a realização deste trabalho pretende – se atingir o seguinte objectivo geral:

• Analisar as Políticas de Segurança da Informação da Assembleia Nacional de Cabo

Verde

Deste objectivo, outros mais específicos se depreendem:

• Definir Políticas de Segurança da Informação

• Caracterizar os modelos de Política de Segurança da Informação

• Identificar os benefícios da adopção de Políticas de Segurança da Informação

• Analisar as Políticas de Segurança da Informação de Assembleia Nacional de Cabo

Verde

Em termos metodológicos, este trabalho enquadra-se dentro da tipologia de estudo de caso

onde, a partir da descrição/interpretação de caso particular, procuramos responder os
objectivos traçados. De acordo com Lessard (1990) o estudo de caso caracteriza-se pelo facto
de que reúne informações tão numerosas e tão pormenorizadas quanto possível com vista a

14/113
 Política de Segurança da Informação

abranger a totalidade da situação. Neste sentido, este estudo recai sobretudo na Assembleia
Nacional.

A recolha de dados baseou-se, num primeiro momento, numa revisão da literatura que
focaliza a temática em estudo, donde analisamos os conceitos chaves e fundamentais para
compreensão do tema para, com este embasamento, formular o instrumento de colecta de
dados.

Finalmente, realiza-se uma pesquisa empírica fundamentada na seguinte técnica:

• Entrevista – direccionado ao responsável pela área das redes de comunicações e

segurança da segurança de Informação informação.

1.1 Estrutura de Trabalho

Inicia-se o trabalho com primeiro capítulo, Introdução onde faz referência ao tema, definição
objectivos gerais e específicos, às hipóteses, à metodologia utilizada e por fim uma breve
explicação da estrutura do trabalho.

No segundo capítulo, ocupa-se da questão da, à segurança da informação, classificação da

informação, princípios de segurança da informação, ameaças a seguranças e vulnerabilidades,
aspectos e mecanismo de segurança.

No terceiro capítulo, apresenta-se a questão da Politica da segurança. Nesta perspectiva,

aborda-se a política de segurança da informação, controles de segurança da informação,
característica e importância de uma política, tipos de politica, modelos, segurança física e
lógica, princípios para uma política de segurança e por fim processo de implementação de
segurança.

No quarto capítulo é dedicado à apresentação do estudo prático efectuado sobre a política de

segurança da informação na Assembleia Nacional de Cabo Verde onde caracteriza-se a
instituição em estudo, sua estrutura organizacional, infra-estrutura da rede, princípios de

15/113
 Política de Segurança da Informação

segurança da Assembleia Nacional de Cabo Verde de seguida passou-se a apresentar politica

de segurança da informação corporativas para ANCV, bem como os resultados chegados.

No quinto capítulo são apresentadas as conclusões deste estudo sobre assuntos anteriormente
levantadas a etapa introdutória.

Como parte integrante deste trabalho tende-se ainda a bibliografia de apoio, os apêndices para
um melhor esclarecimento dos dados.

16/113
 Política de Segurança da Informação

Capítulo 2: Segurança da Informação

A informação é um activo que, como qualquer activo importante para os negócios, tem um
valor para a organização e consequentemente necessita ser adequadamente protegida. Para
muitas empresas a informação é o maior património e protege – la não é uma actividade
simples, sendo que pode abranger várias situações, como: erro, displicência, ignorância do
valor da informação, fraude, sabotagem, etc. Spanceski (2004).

A informação se produz, processa, transmite e se armazena nos sistemas informáticos do

Grupo é um elemento fundamental para conseguir uma óptima gestão e controlo do seu
negócio. 1

Definem dados como um conjunto de bits armazenados como: nomes, endereços, datas de
nascimentos, históricos académico, etc. A informação é um dado que tenha sentido, como por
exemplo, as notas ou informações académicas de um aluno. O conhecimento é um conjunto
de informações que agrega valor a organização Spanceski (2004).

1
Politica de segurança da informação, (2006), [em linha] disponível em
<http://www.bancopopular.pt/NR/rdonlyres/66378D57-409B-4E5D-BABE
C21F42D5CECD/3306/politicadeseguran%C3%A7a_A07.pdf> [consultado em 28/05/09].

17/113
 Política de Segurança da Informação

A informação pode existir de diversas formas, ela pode ser impressa ou escrita em
papel, armazenada electronicamente, transmitida pelo correio ou através de meio
electrónico, mostrada em filmes ou falada em conversas. Seja qual for a forma
apresentada ou meio através do qual a informação é compartilhada ou armazenada, é
recomendado que seja sempre protegida adequadamente NBR ISO/IEC 17799 (2001)
citado por Spanceski (2004).

De acordo com a NBR ISO 17799 2 , independente da forma que a informação se apresenta ela
deve ser protegida de maneira adequada. A segurança deve ser considerada um dos assuntos
mais importantes dentre as preocupações das organizações. Deve-se entender que segurança
da informação não é uma tecnologia. Não é possível comprar um dispositivo que torne a rede
segura ou um software capaz de tornar seu computador seguro. Segurança da informação não
é um estado que se pode alcançar.

Na óptica de Amaral & Varajão (2000) citado por Silva (2005) informação é um conjunto de
dados que, quando fornecido de forma e a tempo adequado, melhora o conhecimento da
pessoa que o recebe, ficando ela mais habilitada a desenvolver determinada actividade ou a
tomar determinada decisão.

Referindo ao mesmo autor a informação é tida actualmente como uma das armas de sucesso
para as organizações como também um passo essencial na definição e implementação de
medidas eficazes de salvaguarda é a existência de uma clara identificação dos proprietários da
informação na organização Amaral & Varajão (2000) apud Silva (2005).

A segurança da Informação se refere à protecção existente sobre as informações de uma

determinada empresa ou pessoa, isto é, aplica-se tanto as informações corporativas quanto as
pessoais. Entende-se por informação todo e qualquer conteúdo ou lado que tenha valor para
alguma organização ou pessoa, ela pode estar guardada para uso restrito ou exposta ao
público para consulta ou aquisição. 3

2
Norma Brasileira homologada em setembro de 2001 pela ABNT para Gestão da Segurança da Informação
3
Wikipédia (2008), Segurança da Informação: a enciclopédia livre. Disponível em:
<http://pt.wikipedia.org/wiki/seguran%c3%A7a_da_informa%c3%A7%c3%A30>,[consultado em 15/05/2009]

18/113
 Política de Segurança da Informação

2.1 Classificação da Informação

A classificação da informação na perspectiva de Silva, Carvalho et al, (2003) citado por Silva
(2005) deverá ser orientada por definições claras os diferentes graus de sensibilidade da
informação, reconhecidos pela empresa, bem como pela determinação exacta dos
responsáveis pela classificação.

Referindo a mesma obra citado por Silva (2005) (…) para que o processo da
classificação seja viável, é muito importante perceber quais as consequências da
divulgação, alteração ou eliminação não autorizada dos dados classificados para a
organização. Este esforço de nada servirá se não for seguido de medidas de protecção
adequadas aos níveis de classificação atribuídos (…).

O objectivo da Classificação da Informação é assegurar que os activos da informação

recebam um nível adequado de protecção. A informação deve ser classificada para indicar a
importância, a prioridade e o nível de protecção. A informação possui vários níveis de
sensibilidade e criticidade. Alguns itens podem necessitar um nível adicional de protecção ou
tratamento especial. Um sistema de classificação da informação deve ser usado para definir
um conjunto apropriado de níveis de protecção e determinar a necessidade de medidas
especiais de tratamento Silva, Carvalho et al, (2003) citado por Silva (2005).

A classificação da informação é importante para que as organizações possam determinar o

nível de protecção das informações, de modo que a segurança das informações nas
organizações possa ser assegurada Dias (2000) citado por Spanceski (2004).

A classificação mais comum nos dias de hoje é aquela que divide em quatro níveis: secreta,
confidencial, interna e pública Dias (2000) citado por Spanceski (2004).

2.1.1 Secreta

Estas informações devem ser acessadas por um número restrito de pessoas e o controle sobre
o uso destas informações deve ser total, são informações essenciais para a empresa, portanto,
sua integridade deve ser preservada. O acesso interno ou externo por pessoas não autorizadas
a esse tipo de informação é extremamente crítico para a instituição Spanceski (2004).

19/113
 Política de Segurança da Informação

A informação crítica para as actividades da empresa, cuja integridade deve ser preservada a
qualquer custo e cujo acesso deve ser restrito a um número bastante reduzido de pessoas. A
manipulação desse tipo de informação é vital para a companhia Wadlow (2000) Abreu (2001)
Boran (1996) apud Laureano (2005).

2.1.2 Confidencial

Estas informações devem ficar restritas ao ambiente da empresa, o acesso a esses sistemas e
informações é feito de acordo com a sua estrita necessidade, ou seja, os utilizadores só podem
acessá-las se estes forem fundamentais para o desempenho satisfatório de suas funções na
instituição. O acesso não autorizado há estas informações podem causar danos financeiros ou
perdas de fatia de mercado para o concorrente Spanceski (2004).

A informação restrita aos limites da empresa, cuja divulgação ou perda pode levar a
desequilíbrio operacional, e eventualmente, perdas financeiras, ou de confiabilidade perante o
cliente externo, além de permitir vantagem expressiva ao concorrente Wadlow (2000) Abreu
(2001) Boran (1996) apud Laureano (2005).

2.1.3 Interna

Essas informações não devem sair do âmbito da instituição. Porém, se isto ocorrer as
consequências não serão críticas, no entanto, podem denegrir a imagem da instituição ou
causar prejuízos indirectos não desejáveis Spanceski (2004).

No entender de Wadlow (2000) Abreu (2001) Boran (1996) citado por Laureano (2005) o
acesso a esse tipo de informação deve ser evitado, embora as consequências do uso não
autorizado não sejam por demais sérias. Sua integridade é importante, mesmo que não seja
vital.

2.1.4 Públicas

Informações que podem ser divulgadas para o público em geral, incluindo clientes,
fornecedores, imprensa, não possuem restrições para divulgação Spanceski (2004).

20/113
 Política de Segurança da Informação

A informação que pode vir a público sem maiores consequências danosas ao funcionamento
normal da empresa, e cuja integridade não é vital Wadlow (2000) Abreu (2001) Boran (1996)
apud Laureano (2005).

2.2 Princípios da Segurança da Informação

Quando se pensa em segurança da informação, a primeira ideia que nos vem à mente é
a protecção das informações, não importando onde estas informações estejam
armazenadas. Um computador ou sistema computacional é considerado seguro se
houver uma garantia de que é capaz de actuar exactamente como o esperado. Porém a
segurança não é apenas isto.
A expectativa de todo o usuário é que as informações armazenadas hoje em seu
computador, lá permaneçam, mesmo depois de algumas semanas, sem que pessoas não
autorizadas tenham tido qualquer acesso a seu conteúdo Dias (2000) apud Spanceski
(2004).

2.2.1 Autenticidade

De acordo com Spanceski (2004) o controle de autenticidade está associado com

identificação de um utilizador ou computador. O serviço de autenticação em um sistema deve
assegurar ao receptor que a mensagem é realmente procedente da origem informada em seu
conteúdo. Normalmente, isso é implementado a partir de um mecanismo de senhas ou de
assinatura digital.

A verificação de autenticidade é necessária após todo processo de identificação seja de um

usuário para um sistema ou de um sistema para outro sistema. A autenticidade é a medida de
protecção de um serviço/informação contra a personificação por intrusos Spanceski (2004).

2.2.2 Confidencialidade

Na perspectiva do mesmo autor Spanceski (2004) confidencialidade é proteger informações

contra acesso por alguém não autorizado - interna ou externamente. Consiste em proteger a
informação contra leitura e/ou cópia por alguém que não tenha sido explicitamente autorizado
pelo proprietário daquela informação.

Ainda referindo ao mesmo autor a informação deve ser protegida qualquer que seja a mídia
que a contenha, como por exemplo, mídia impressa ou mídia digital. O objectivo da

21/113
 Política de Segurança da Informação

confidencialidade é proteger informação privada (cidadãos, indústrias, governo, militar)

Spanceski (2004).

Caminhando na ideia de Dias (2000) citado por Siewert (s/d) a confidencialidade deve
proteger as informações contra o acesso de qualquer pessoa não explicitamente autorizada
pelo dono da informação, isto é, as informações e processos são liberados apenas a pessoas
autorizadas, segundo seu nível de acesso.

2.2.3 Integridade

A integridade consiste em evitar que os dados sejam apagados ou de alguma forma alterada,
sem a permissão do proprietário da informação. O conceito de dados nesse objectivo é mais
amplo, englobando dados, programas, documentação, registros, fitas magnéticas, etc. Dias
(2000) citado por Siewert (s/d).

Segundo Carneiro (2002), defende que a integridade passa pela protecção dos dados com o
objectivo de não serem alteradas ou apagadas sem que se tenha a autorização do proprietário
da informação

2.2.4 Disponibilidade

A disponibilidade consiste na protecção dos serviços prestados pelo sistema de forma que eles
não sejam degradados ou se tornem indisponíveis sem autorização, assegurando ao utilizador
o acesso aos dados sempre que deles precisar (…) Spanceski (2004).

Segundo Dias (2000) citado por Siewert (s/d) a disponibilidade protege os serviços de
informática de tal forma que não sejam degradados ou fiquem indisponíveis sem a devida
autorização. Para um utilizador autorizado, um sistema não disponível quando se necessita
dele, pode ser tão ruim quanto um sistema inexistente ou destruído.

As medidas relacionadas a esse objectivo, podem ser a duplicação de equipamentos ou

backup, disponibilidade pode ser definida como a garantia de que os serviços prestados por

22/113
 Política de Segurança da Informação

um sistema são acessíveis, sob demanda, aos utilizadores autorizados Dias (2000) citado por
Siewert (s/d).

2.3 Ameaças á segurança e vulnerabilidades

Segundo Puttini (s/d), as ameaças á segurança e vulnerabilidades são:

• Interrupção – componente do sistema é destruída ou torna-se indisponível. Exemplo:

rompimento de uma linha de comunicação;

• Intercepção – componente do sistema é acessado por partes não autorizado. Exemplo:

cópia ilícita de um sinal de Tv. que tráfega via satélite

• Modificação – componente do sistema é acessado e sofre alterações por partes não

autorizadas. Exemplo: modificação do valor de um pagamento por cartão de crédito

durante o trânsito pela rede

• Fabricação – parte não autorizada insere objectos espúrios em um componente do

sistema. Exemplo: inserção de mensagens espúria, como no caso de geração de um

depósito durante a madrugada partir de uma agência bancária fechada.

2.4 Aspecto de segurança

Segundo Monteiro e Boavida, (2000) o aspecto de seguranças mais relevantes são os

seguintes: autenticação, controlo de acesso, não repudiação.

A autenticação é um dos aspectos fundamentais da segurança. Em muitos casos, antes de

fazer sentido qualquer tipo de comunicação ou qualquer tipo de mecanismo para garantia de
outros aspectos de segurança, há que, previamente, garantir que as entidades intervenientes
são quem afirmam ser Monteiro e Boavida (2000).

A capacidade de impedir o acesso não autorizado a um recurso é, genericamente, designada

por controlo de acesso. Por vezes são incluídas na categoria de controlo de acesso as funções

23/113
 Política de Segurança da Informação

que limitam a quantidade de recursos a utilizar, o que é correcto de um ponto de vista de

segurança Monteiro e Boavida (2000).

Em muitas interacções – sobretudo em aplicações de comércio electrónico e aplicações

bancárias – é de extrema importância que uma entidade envolvida numa transacção não possa
negar a sua participação nesse evento. As funções que impedem que uma dada entidade negue
a sua execução de determinada acção são designadas funções de não repudiação Monteiro e
Boavida (2000).

2.5 Mecanismo de segurança

No entender de Monteiro e Boavida (2000) A correspondente funcionalidades de segurança é

suportada por uma grande gama de mecanismo de segurança, que se referem seguidamente.

Segundo os mesmos autores, os mecanismos de encriptação (ou mecanismo de cifragem)

permitem a transformação reversível da informação de forma a torná-la ininteligível a
terceiros, estando na base dos aspectos de confidencialidade, autenticação e integridade.

Utilizam geralmente, um determinado algoritmo (uma chave matemática) e uma chave secreta
para, a partir de um conjunto dados não cifrados, produzir uma sequência de dados cifrados.
A operação inversa designa-se por questões relacionadas com a encriptação Monteiro e
Boavida (2000).

No ponto de vista dos mesmos autores referidos, uma assinatura digital consiste num conjunto
de dados encriptados associados a um documento do qual são função. A encriptação é feita
usando mecanismos de encriptação assimétricos Monteiro e Boavida (2000).

Ainda consideram que o controlo de acesso pode ser levado a cabo por um conjunto muito
diversificado de mecanismo, normalmente enquadrados numa das seguintes três situações:
algo que se conhece (por exemplo, passowords); algo que se possui (por exemplo, smart
cards); algo que se é (por exemplo, scanning de retina ou outros sistemas biométricos).

24/113
 Política de Segurança da Informação

Os mecanismos de certificação permitem atestar a validade de um documento normalmente, a

validade de uma chave de uma entidade recorrendo a uma autoridade de certificação
(Certificate Authority ou Trusted Third party) da confiança do emissor e do receptor Monteiro
e Boavida (2000).

Na perspectiva de Laureano (2005) os mecanismos para controlos de segurança são:

autenticação e autorização, combate a ataques e invasões, firewall, detector de intrusos e
privacidade das comunicações.

• Autenticação e autorização

Segundo Laureano (2005) a autorização é o processo de conceder ou negar direitos a usuários

ou sistemas, por meio das chamadas listas de controle de acessos (Acess Control Lists –
ACL), definindo quais actividades poderão ser realizadas, desta forma gerando os chamados
perfis de acesso.

Na óptica de Costa (s/d) a autorização “é quando uma entidade precisa provar a sua entidade”.

No que diz respeito aos processos de autenticação Laureano (2005) considera que actualmente
estão baseados em três métodos distintos:

• Identificação positiva (o que você sabe) – Na qual o requerente demonstra

conhecimento de alguma informação utilizada no processo de autenticação, por
exemplo uma senha;
• Identificação proprietária (o que você tem) – Na qual o requerente demonstra possuir
algo a ser utilizado no processo de autenticação, como um cartão magnético;
• Identificação biométrica (o que você é) – Na qual o requerente exibe alguma
característica própria, tal como a sua impressão digital.

• Combate a ataques e invasões

Na perspectiva do mesmo autor (…) a infra-estrutura tecnológica com dispositivos de

software e hardware de protecção, controle de acesso e consequentemente combate a ataques
e invasões, esta família de mecanismos tem papel importante no modelo de gestão de

25/113
 Política de Segurança da Informação

segurança, à medida que as conexões electrónicas e tentativas de acesso indevido crescem

exponencialmente Laureano (2005).

No ponto de vista do mesmo autor existem dispositivos destinados ao monitoramento,

filtragem e registro de acessos lógicos, bem como dispositivos voltados para a segmentação
de perímetros, identificação e tratamento de tentativas de ataque.

• Firewall

Segundo Costa (s/d) os Firewalls são “sistemas ou programas que barram conexões
indesejadas na Internet. Assim, se algum hacker ou programa suspeito tenta fazer uma
conexão ao seu computador o firewall irá bloquear”. No entender do mesmo autor quando um
“firewall está instalado em seu computador, grande parte dos cavalos de tróia serão barrados
mesmo se já estiverem instalados em seu computador”

Enquanto, no ponto de vista de Laureano (2005) considera que firewall é um sistema (ou
grupo de sistemas) que reforçam a norma de segurança entre uma rede interna segura e uma
rede não-confiável como a Internet.

Na óptica do mesmo autor os firewalls podem ser divididos em duas grandes classes: Filtros
de pacote e servidores proxy:

O Filtros de Pacotes é um dos principais mecanismos que, mediante regras definidas pelo
administrador em um firewall, permite ou não a passagem de datagramas IP em uma rede.
Poderíamos filtrar pacotes para impedir o acesso a um serviço de Telnet, um chat ou mesmo
um site na Internet Laureano (2005).

Enquanto que o Servidores Proxy permite executar a conexão ou não a serviços em uma rede
modo indirecto. Normalmente os proxies são utilizados como caches de conexão para
serviços Web. Um proxy é utilizado em muitos casos como elemento de aceleração de
conexão em links lentos Laureano (2005).

26/113
 Política de Segurança da Informação

• Detector de Intrusos

A maneira mais comum para descobrir intrusões é a utilização dos dados das auditorias
gerados pelos sistemas operacionais e ordenados em ordem cronológica de acontecimento,
sendo possível à inspecção manual destes registros, o que não é uma prática viável, pois estes
arquivos de logs apresentam tamanhos consideráveis Laureano (2005).

Referindo o mesmo autor, nos últimos anos, a tecnologia de detecção de intrusão (Intrusion
Detection System – IDS) tem se mostrado uma grande aliada dos administradores de
segurança. Basicamente, o que tais sistemas fazem é tentar reconhecer um comportamento ou
uma acção intrusiva, através da análise das informações disponíveis em um sistema de
computação ou rede, para alertar um administrador e / ou automaticamente disparar contra-
medidas Laureano (2005).

ƒ Classificação de Detectores de Intrusão

No ponto de vista de Laureano (2005) O IDS tem como principal objectivo detectar se alguém
está tentando entrar em um sistema ou se algum utilizador legítimo está fazendo mau uso do
mesmo. Esta ferramenta é executada constantemente em background e somente gera uma
notificação quando detecta alguma ocorrência que seja suspeita ou ilegal.

O mesmo autor considera que os sistemas em uso podem ser classificados com relação a sua
forma de monitoração (origem dos dados) e aos mecanismos (algoritmos) de detecção
utilizados.

No que se refere à origem dos dados existem basicamente dois tipos de implementação de
ferramentas IDS:

• Host Based IDS (HIDS) – são instalados em servidores para alertar e identificar
ataques e tentativas de acesso indevido à própria máquina, sendo mais empregados nos
casos em que a segurança está focada em informações contidas em um servidor;
• Network Based IDS (NIDS) – são instalados em máquinas responsáveis por
identificar ataques direccionados a toda a rede, monitorando o conteúdo dos pacotes de
rede e seus detalhes como informações de cabeçalhos e protocolos Laureano (2005).

27/113
 Política de Segurança da Informação

Quanto à Forma de Detecção Segundo Laureano, (2005) afirma que muitas ferramentas de
IDS realizam suas operações a partir da análise de padrões do sistema operacional e da rede
tais como: utilização de CPU, E/S de disco, uso de memória, actividades dos utilizadores,
número de tentativas de login, número de conexões, volume de dados trafegando no segmento
de rede entre outros.

Enquanto que as técnicas usadas para detectar intrusões podem ser classificadas em:

• Detecção por assinatura – os dados colectados é comparada com uma base de

registros de ataques conhecidos (assinaturas). Por exemplo, o sistema pode vasculhar
os pacotes de rede procurando sequências de bytes que caracterizem um ataque de
buffer overflow contra o servidorWWW Apache;
• Detecção por anomalia – os dados colectados é comparada com registros históricos
da actividade considerada normal do sistema. Desvios da normalidade são sinalizados
como ameaças;
• Detecção Híbrida – o mecanismo de análise combina as duas abordagens anteriores,
buscando detectar ataques conhecidos e comportamentos anormais Laureano (2005).

• Privacidade das Comunicações

A privacidade das comunicações classificam em: criptografia, simétrica ou de chave privada,

assimétrica ou de chave pública, assinatura digital, Virtual Private Network, , Public Key
Infrastructure e esteganografia.

A Criptografia é tão antiga quanto a própria escrita, consiste na ciência e na arte de se

comunicar secretamente. Tem por objectivo básico tornar uma mensagem ininteligível para
um adversário, que possa vir interceptá-la Costa (s/d).

Na óptica de Laureano (2005) a criptografia representa um conjunto de técnicas que são

usadas para manter a informação segura. Estas técnicas consistem na utilização de chaves e
algoritmos de criptografia. Tendo conhecimento da chave e do algoritmo usado é possível
desembaralhar a mensagem recebida.

Para Tadano (2002), A criptografia é a arte ou ciência de escrever em cifra ou em códigos,

utilizando um conjunto de técnicas que torna uma mensagem ilegível, chamado de texto
cifrado, de forma a permitir que apenas o destinatário desejado consiga decodificar e ler a
mensagem com clareza (…).

28/113
 Política de Segurança da Informação

No que se refere a chave pública considera que é um chave matemática que pode ser
compartilhada com segurança, de modo que outra possam lhe enviar informações
criptografados, e que somente sua chave privativa pode descodificar, a chave publica pode
também confirmar a veracidade de assinaturas criadas com suas chaves privativas
correspondente Costa (s/d).

Segundo Laureano (2005) os algoritmos assimétricos utilizam-se de duas chaves diferentes,

uma em cada extremidade do processo. As duas chaves são associadas através de um
relacionamento matemático, pertencendo a apenas um participante, que as utilizará para se
comunicar com todos os outros de modo seguro.

No ponto de vista Costa (s/d) a assinatura digital é um método baseado na criptografia

assimétrica visando garantir que determinada mensagem que não seja alterada durante o seu
trajecto.

No entender de Laureano (2005) o conceito de assinatura é um processo que apenas o

signatário possa realizar, garantindo dessa maneira sua participação pessoal no processo.
Como a chave secreta é de posse e uso exclusivo de seu detentor, um processo de cifragem
usando a chave privada do signatário se encaixa nesse conceito, permitindo, assim, a geração
de uma assinatura por um processo digital.

A ideia de utilizar uma rede pública como a Internet em vez de linhas privativas para
implementar redes corporativas é denominada de Virtual Private Network (VPN) ou Rede
Privada Virtual Laureano (2005). As VPNs são túneis de criptografia entre pontos
autorizados, criados através da Internet ou outras redes públicas e/ou privadas para
transferência de informações, de modo seguro, entre redes corporativas ou usuários remotos.

No perceber do mesmo autor a segurança é a primeira e mais importante função da VPN.

Uma vez que dados privados serão transmitidos pela Internet, que é um meio de transmissão

29/113
 Política de Segurança da Informação

inseguro, eles devem ser protegidos de forma a não permitir que sejam modificados ou
interceptados Laureano (2005).

Public Key Infrastructure também denominado de Infra-estrutura de chaves públicas (ICP) é

um sistema de segurança baseado em tecnologia para estabelecer e garantir a confiabilidade
de chaves públicas de criptografia Laureano (2005).

Ainda o mesmo autor salienta que a criptografia de chaves públicas tem se apresentado como
um importante mecanismo de segurança para o fornecimento de serviços de autenticação,
geração de provas, integridade de dados e confidencialidade para operações internas e
externas de e-business Laureano (2005).

No ponto de vista do mesmo a infra-estrutura de chaves públicas atrela as chaves públicas às

suas entidades, possibilitando que outras entidades verifiquem a validade das chaves públicas
e disponibilize os serviços necessários para o gerenciamento das chaves que trafegam em um
sistema distribuído Laureano (2005).

Segundo Laureano (2005) a esteganografia origina o grego "escrita coberta". O autor afirma
que no ramo particular da criptologia que consiste, não em fazer com que uma mensagem seja
ininteligível, mas em camuflá-la, mascarando a sua presença. Ao contrário da criptografia,
que procura esconder a informação da mensagem, a Esteganografia procura esconder a
existência da mensagem.

Contrariamente à criptografia, que cifra as mensagens de modo a torná-las incompreensíveis,

a Esteganografia esconde as mensagens através de artifícios, por exemplo imagens ou um
texto que tenha sentido mas que sirva apenas de suporte (como o alfabeto bilateral de Francis
Bacon ou as famosas cartas de George Sand) Laureano (2005).

30/113
 Política de Segurança da Informação

Capítulo 3: Politica de Segurança

3.1 Política de segurança da informação

Política de segurança é uma declaração formal das regras que devem ser obedecidas pelas
pessoas que tem acesso à tecnologia e às informações da empresa – Security HandBook
(RFC2196). Uma política de segurança é essencialmente um documento que resume como a
corporação usará e protegerá seus recursos computacionais e de rede 4

Uma política de segurança é a formalização de todos os aspectos considerados relevantes por

uma organização para a protecção, controle e monitoramento de seus recursos computacionais
e, consequentemente, das informações por eles manipuladas. Em outras palavras, uma forma
mais prática, a política de segurança deve contemplar, de forma genérica, todos os aspectos
importantes para a protecção lógica e física das informações e dos recursos computacionais. 5

A política de segurança é apenas a formalização dos anseios da empresa quanto à protecção

das informações Abreu (2002) citado por Laureano (2005).

4
Segurança computacional (s/d), disponível em <www.4shared.com>, [consultado em 30/05/09]
5
Segurança computacional (s/d), disponível em <www.4shared.com>, [consultado em 30/05/09]

31/113
 Política de Segurança da Informação

Segundo Sousa (2006) o desenvolvimento de uma política de segurança é a base de segurança

de informação em uma empresa. Alguns padrões e normas internacionais de segurança foram
desenvolvidos por organizações normalizadoras como ISSO (Internacional Standards
Organization) e a BS (British Standard), como ISSO 17799 e a BS 7799.

Na perspectiva de Marciano (2006) uma política de segurança da informação é um conjunto

de regras, normas e procedimentos que regulam como deve ser gerenciada e protegida a
informação sensível, assim classificada pela organização ou pelo estado, além dos recursos e
utilizadores que com ela interagem. Todo o ciclo de vida da informação deve ser objecto da
política.

Conforme Campos (2006) citado por Sierwert (s/d) uma política de segurança não é um
grande livro informando tudo o pode existir de segurança da informação dentro de uma
corporação ou instituição, nem mesmo são poucas regras gerais que se aplicam a qualquer
aspecto da segurança da informação. Ainda que essas duas hipóteses não possam ser
descartadas, nenhuma delas define exactamente o que é uma política de segurança da
informação.

Mas afinal de contas o que significa a palavra política, que actualmente está sendo tão
utilizada pelas corporações e instituições? Actualmente é comum ouvir frases do tipo
“a política da nossa empresa é a qualidade total de nossos produtos”, ou então “a
política de recursos humanos não tolera funcionários que tenham registro policial”.
Esses são dois exemplos, mas que ajudam a entender o que significa a palavra política.
A primeira frase é bastante abrangente e qualquer procedimento, acção ou decisão
visando como objectivo a qualidade dos produtos fabricados, está de acordo com a
política estabelecida pela empresa. Já a segunda frase é mais específica e deve ser
considerada no processo de selecção e recrutamento de funcionários da empresa,
conforme estabelecido na política de recursos humanos da empresa Campos (2006)
citado por Sierwert (s/d).

Com a política de segurança não é diferente, ou seja, ela deve indicar como as coisas devem
acontecer na organização ao que se refere a segurança da informação, sendo assim, na
perspectiva de Sierwert, (s/d) uma política nada mais é do que um conjunto de regras que
determina como deve ser o comportamento de pessoas que tem qualquer tipo de
relacionamento com a organização no que diz respeito as informações que são trocadas,
enviadas ou recebidas.

32/113
 Política de Segurança da Informação

No que diz respeito às políticas de segurança da informação, existe ainda um requisito a

mais a ser cumprido: prover o equilíbrio entre funcionalidade e segurança, motivo pelo
qual torna-se essencial uma análise da situação operacional da organização em foco.
Esta análise, que no contexto da segurança da informação é conhecida como análise de
vulnerabilidades, deve se restringir, como é de hábito, a uma busca por eventuais
brechas de segurança nos sistemas de informação sobre os quais se aplica. Antes, deve-
se conhecer a fundo os fluxos de informação aplicados (formais e informais) a fim de
mapear-se de modo consistente e dinâmico a realidade, em termos da informação e dos
actores que com ela interagem Marciano (2006).

A política de segurança de informações deve estabelecer princípios institucionais de como a

organização irá proteger, controlar e monitorar seus recursos computacionais e,
consequentemente, as informações por eles manipuladas. É importante que a política
estabeleça ainda as responsabilidades das funções relacionadas com a segurança e discrimine
as principais ameaças, riscos e impactos envolvidos Dias (2000) citado por Laureano (2005).

Ainda referindo ao mesmo autor Dias (2000) citado por Laureano (2005) salienta que a
política de segurança, deve ir além dos aspectos relacionados com sistemas de informação ou
recursos computacionais, ela deve estar integrada as políticas institucionais da empresa, metas
de negócio e ao planejamento estratégico da empresa.

A figura mostra o relacionamento da política de segurança de informações com a estratégia da

organização, o plano estratégico de informática e os diversos projectos relacionados Dias
(2000) citado por Laureano (2005).

33/113
 Política de Segurança da Informação

Figura 1: Política de segurança e seus relacionamentos

Fonte: Laureano (2005)

3.2 Controles de segurança da informação

3.2.1 Politica

No ponto de vista de Campos (s/d) a política de segurança da informação (PSI) deve estar
alinhada com os objectivos de negócio da organização. Ela é estruturada em directrizes,
normas e procedimentos.

34/113
 Política de Segurança da Informação

Figura 2: Controles de segurança da informação

Fonte: Campos (s/d)

Política de Segurança – é um conjunto de directrizes destinadas a definir a protecção

adequada dos activos produzidos pelos Sistemas de Informação Laureano (2005).

Segundo Dias (2000) citado por Siewert (s/d) uma política de segurança consiste num
conjunto formal de regras que devem ser seguidas pelos utilizador dos recursos de uma
organização.

Ainda Dias (2000) citado por Siewert (s/d) as políticas de segurança devem ter uma
implementação realista e definir claramente as áreas de responsabilidade dos utilizador, do
pessoal de gestão de sistemas e redes e da direcção. Devem também adaptar-se a alterações na
organização.

As políticas de segurança fornecem um enquadramento para as implementações de

mecanismos de segurança, definem procedimentos de segurança adequados, processos de
auditoria à segurança e estabelecem uma base para procedimentos legais na sequência de
ataques Dias (2000) citado por Siewert (s/d).

A política normalmente contém princípios legais e éticos a serem atendidos no que diz
respeito à informática: direitos de propriedade de produção intelectual; direitos sobre
softwares e normas legais correlatas aos sistemas desenvolvidos; princípios de
implementação da segurança de informações; políticas de controlo de acesso a recursos
e sistemas computacionais; e princípios de supervisão constante das tentativas de
violação da segurança da informação. Além disso, a política pode conter ainda os

35/113
 Política de Segurança da Informação

princípios de continuidade de negócios, procedimentos a serem adoptados após a

violação de normas de segurança estabelecidas na política, como investigações,
julgamento e punições aos infractores da política e plano de treinamento em segurança
de informações. É importante que a política estabeleça responsabilidades das funções
relacionadas com a segurança e discrimine as principais ameaças, riscos e impactos
envolvidos Dias (2000) citado por Siewert (s/d).

De acordo com o RFC 2196 (The Site Security Handbook), citado por Monteiro e Boavida
(2000) uma politica de segurança é um conjunto formal de regras que devem ser seguidas
pelos utilizadores dos recursos se uma organização.

As políticas de segurança fornecem um enquadramento para a implementação dos

mecanismos de segurança, definem procedimentos de segurança adequados, definem
processos de auditoria á segurança e estabelece uma base para procedimentos legais na
sequência de ataques Monteiro e Boavida (2000).

No entender de Monteiro e Boavida (2000) podem resumir-se as principais regras para a

definição de uma boa política de segurança:

• Ser facilmente acessível a todos membros de organização;

• Definir os objectivos de segurança;
• Definir objectivamente todos os aspectos abortados;
• Definir a posição da organização em cada questão;
• Justificar as opções tomadas;
• Definir as circunstâncias em que é aplicada cada uma das regras;
• Definir os papéis dos diversos agentes da organização;
• Especificar as consequências do não cumprimento das regras definidas;
• Definir o nível de privacidade garantindo aos utilizadores;
• Identificar os contactos para esclarecimento de questões duvidosos;
• Definir o tratamento das situações de omissão.

Segundo Wadlow (2000) citado por Spanceski (2004) uma política de segurança atende a
vários propósitos:

• Descreve o que está sendo protegido e por quê;

• Define prioridades sobre o que precisa ser protegido em primeiro lugar e com qual
custo;
• Permite estabelecer um acordo explícito com várias partes da empresa em relação ao
valor da segurança;
• Fornece ao departamento de segurança um motivo válido para dizer “não” quando
necessário;
• Proporciona ao departamento de segurança a autoridade necessária para sustentar o
“não”;
• Impede que o departamento de segurança tenha um desempenho fútil.

36/113
 Política de Segurança da Informação

No entender Monteiro e Boavida (2000) o documento que define a politica de segurança

devera deixar de fora todo e qualquer aspecto técnico de implementação dos mecanismos de
segurança, dado que essa implementação poderá variar ao longo do tempo. Para além disso
deve ser um documento sucinto, de fácil com preensão e leitura.

Ainda Monteiro e Boavida (2000) afirmam que deverá ser dada especial atenção aos aspectos
procedimentais, para que toda e qualquer acção relevante sejam mantidas em histórico, de
modo a possibilitar a realização de auditorias de segurança. Outros aspectos como o registo e
certificação de todo o equipamento e software em utilização na rede ou, ainda, a realização de
cópias de segurança são, também, de grande importância.

Referindo ainda ao mesmo autor um dos maiores problemas de segurança nas organizações é
a falta de consciência, por parte dos agentes da organização, das ameaças que o sistema e
redes estão sujeitos. A política de segurança deverá alertar em termos plausíveis e objectivos
– os utilizadores para as questões de segurança Monteiro e Boavida (2000).

3.3 Características de uma política

Na óptica de Siewert (s/d) uma política e segurança da informação não deve ser elaborada se
não tiver as seguintes características:

• Simples – de fácil leitura e entendimento;

• Objectiva – deve explanar os objectos que a política trata e estabelecer normas

pontuais sobre os mesmos, sendo assim, não pode ser um documento muito extenso, pois
dificulta a leitura;

• Consistente – como as organizações obedecem a regulamentos e política internas e

tem que obedecer e seguir as legislações do governo, sejam elas municipais, estaduais ou
federais, a política de segurança deve estar em conformidade com essas outras normas;

• Definição de metas – metas são objectivos que podem ter pesos, ou seja, não devem

simplesmente definir expectativas, mas sim deixar claro o quanto dessas expectativas
serão realizadas, dentro de determinado período de tempo. Sendo assim a política de
segurança deve estabelecer metas específicas de segurança;

37/113
 Política de Segurança da Informação

• Definição de responsabilidades – como a política define e regulamenta o uso da

informação em diversos níveis e meios, sempre que for aplicado deve-se definir quem é o
responsável pela informação e pela sua correcta utilização;

• Definição de penalidades – a política deve mencionar alguma forma de punição, caso

a mesma seja desrespeitada, caso contrário, provavelmente será simplesmente ignorada.

Na perspectiva de Gorissen (s/d) uma das normas e padrões mais utilizados e normalmente
implementada pela CompuStream Security é a ISO 17799, uma compilação de
recomendações para melhores práticas de segurança, que podem ser aplicadas por empresas,
independentemente do seu porte ou sector.

Ela foi criada com a intenção de ser um padrão flexível, nunca guiando seu utilizador a
seguirem uma solução de segurança específica em detrimento de outra. As recomendações
da ISO 17799 são neutras com relação à tecnologia e não fornecem nenhuma ajuda na
avaliação ou entendimento de medidas de segurança já existentes Gorissen (s/d).

Segundo Spanceski (2004) os controles considerados como melhores práticas para a

segurança da informação incluem: [NBR ISO 17799].

• Documentação da política de segurança da informação;

• Definição das responsabilidades na segurança da informação;

• Educação e treinamento em segurança da informação;

• Relatório de incidentes de segurança;

• Gestão de continuidade do negócio.

38/113
 Política de Segurança da Informação

3.4 Importância de uma política de segurança

Segundo Siewert (s/d) (…) a política de segurança da informação é adoptada por empresas no
mundo inteiro. Mesmo as empresas que ainda não possuem uma política de segurança, em
determinado momento reconhecem a necessidade de elaboração e implementação de uma
política formal.

As normas BS: 7799 e ISO/IEC 17799, ambas específicas sobre segurança da informação,
sugerem que a política de segurança da informação é uma ferramenta essencial na segurança
de uma organização Siewert (s/d).

Na perspectiva do mesmo autor a política de segurança da informação tem como principal

objectivo definir padrões de comportamento que sejam largamente informados e conhecidos
por todos na organização e que sirva de base para a alta administração em decisões
relacionados a segurança da informação, proporcionando coerência e menos complexidade,
reflectindo também em decisões mais justas e mais facilmente aceitas, já que se baseiam em
uma política largamente difundida, e não apenas no critério pessoal de quem toma a decisão.
Siewert (s/d).

Conforme Campos (2006) citado por Siewert (s/d), contribui não somente para a redução de
incidentes de segurança da informação, mas também para o aumento da produtividade, já que
a busca de orientações sobre o comportamento será menor e cada um poderá se concentrar
mais em suas actividades em vez de procurar as possibilidades de uso ou acesso às
informações, fazendo com que as pessoas se sintam mais confortáveis conhecendo os limites.

Um impacto considerável é que qualquer funcionário, cliente, fornecedor, ou parceiro, pode

conhecer a política de segurança da informação e não apenas determinado grupo de pessoas
na organização. Isso reflecte na democratização da informação, o que contribui para um maior
comprometimento das pessoas para com a organização Siewert (s/d)

39/113
 Política de Segurança da Informação

3.5 Tipos de Políticas

Segundo Spanceski (2004) existem três tipos de políticas entres quais a refutatória, consultiva
e a informativa.

3.5.1 Refutatória

Na óptica de Ferreira (2003) citado por Spanceski (2004) (…) afirma que políticas
refutatórias são implementadas devido às necessidades legais que são impostas à organização.
Normalmente são muito específicas para um tipo de ramo de actividade.

Em relação ao mesmo autor uma política refutatória é definida como se fosse uma série de
especificações legais. Descreve, com grande riqueza de detalhes, o que deve ser feito, quem
deve fazer e fornecer algum tipo de parecer, relatando qual acção é importante Ferreira (2003)
citado por Spanceski (2004).

3.5.2 Consultiva

Segundo Spanceski (2004) políticas consultivas não são obrigatórias, mas muito
recomendadas. As organizações devem conscientizar seus funcionários a considerar este tipo
de política como se fosse obrigatória.

A política consultiva apenas sugere quais acções ou métodos devem ser utilizados para a
realização de uma tarefa. A ideia principal é esclarecer as actividades quotidianas do dia-a-dia
da empresa de maneira bastante directa Spanceski (2004).

No entender de Ferreira (2003) citado por Spanceski (2004) deve-se considerar que é
importante que os utilizador conheçam essas acções para realização de suas tarefas para que
possam ser evitados riscos do não cumprimento das mesmas, tais como:

• Possibilidade de omissão de informações importantes para tomada de decisões críticas

aos negócios da organização;

• Falhas no processo de comunicação com a alta administração;

40/113
 Política de Segurança da Informação

• Perda de prazos de compromissos importantes para os negócios da organização.

3.5.3 Informativa

Este tipo de política possui carácter apenas informativo, nenhuma acção é desejada e não
existem riscos, caso não seja cumprida. Porém, também pode contemplar uma série de
observações importantes, bem como advertências severas Ferreira (2003) citado por
Spanceski (2004).

Por exemplo, a política pode ressaltar que o uso de um determinado sistema é restrito a
pessoas autorizadas e qualquer funcionário que realizar algum tipo de violação será
penalizado. Nesta sentença não são informados quais funcionários estão autorizados, mas este
determinando severas consequências para quem desrespeitá – la Ferreira (2003) citado por
Spanceski (2004).

Na óptica de Ortalo (1996) citado por Marciano (2006) Os elementos principais de uma
política de segurança da informação são os seguintes:

• Elementos básicos, os quais descrevem os diferentes indivíduos, objectos, direitos de

acesso e atributos presentes na organização ou no sistema, e que definem o
vocabulário segundo o qual a política é construída;

• Os objectivos da segurança, ou seja, as propriedades desejadas do sistema com

respeito à segurança, definida em termos dos atributos desta (confidencialidade,
integridade e disponibilidade);

• Um esquema de autorização, na forma de um conjunto de regras descrevendo os

mecanismos do sistema relevantes à segurança, com a descrição das eventuais
modificações no estado da segurança.

3.6 Modelos

Segundo Mamede (2006) um modelo de segurança constitui um meio de formalização de

políticas de segurança [Denning & Denning, 1998], ou seja, para a completa formulação de

41/113
 Política de Segurança da Informação

uma política de segurança, recorre-se a modelos onde são descritas as entidades controladas
pela política e as regras que a constituem.

Ainda Mamede (2006) os modelos de segurança podem ser tipificados [Summers 1997] segundo o
seu enfoque principal, da seguinte forma:

• Confidencialidade;

• Integridade;

• Híbridos;

• Composição e não-interferência;

• Baseados em critérios de senso comum.

No mesmo contexto Mamede (2006) apresenta uma descrição resumida dos principais
modelos de segurança:

3.6.1 Bell-Lapadula

Na óptica de Mamede (2006) o modelo Bell-LaPadula (BLP) baseia-se numa máquina de

estados, capturando os aspectos da confidencialidade do controlo de acessos [Bell &
LaPadula 1976]. As permissões de acesso são definidas através de uma matriz de controlo
de acessos e de níveis de segurança. O modelo considera que um fluxo de informação ocorre
quando um indivíduo observa ou altera um objecto. As políticas de segurança previnem o
fluxo de informação de um determinado nível de segurança para um nível de segurança
inferior.

Em relação ao mesmo autor Mamede (2006) os elementos de um modelo Bell-LaPadula são:

• Sujeitos – entidades activas, como utilizadores ou processos. São representados

;
por S
• Objectos – entidades passivas, como sejam dados, ficheiros, directórios. São
representados por O;

42/113
 Política de Segurança da Informação

• Atributos de acesso – read, edil, read e write, wríte sem read Q append, execute,
search. São representados por A;
• Níveis de segurança – reflectem informação anexa aos sujeitos e objectos que
são utilizados para tomar decisões mandatórias de controlo de acesso.

Mamede (2006) afirma que o nível de segurança de um sujeito reflecte as autorizações que
esse sujeito tem relativamente à informação. O nível de segurança de um objecto reflecte os
requisitos de protecção desse objecto. Os níveis de segurança para os sujeitos e os objectos
formam um conjunto único.

Como referido, este modelo recorre à utilização de uma matriz de controlo de acessos para
descrever controlos de acesso discricionários, segundo a propriedade (ds-property), que
estabelece que para cada acesso (s, o, a) є b com b a representar o conjunto de todos os
acessos, temos que a є e Mso Mamede (2006).

3.6.2 Harrison-Ruzzo-Ullman

Segundo Mamede (2006) o modelo BLP, apresentado anteriormente, não define políticas para
a alteração de direitos de acesso, nem para a criação e eliminação de indivíduos e objectos. O
presente modelo Harrison-Ruzzo-Ullman (HRU) define sistemas de autorização que endereçam
essas lacunas [Harrison & Russo & Ullman, 1976].

Na mesma perspectiva Mamede (2006) considera que este modelo HRU opera num conjunto de
sujeitos S, num conjunto de objectos O, num l conjunto de permissões A e numa matriz de
controlo de acessos M. O modelo define l sistemas de autorização recorrendo à utilização de
uma linguagem de comandos, em que l cada comando envolve condições e operações
primitivas. Estas são:

• Criar sujeito s – permite a introdução de um novo sujeito no sistema;

• Criar objecto o – permite a introdução de um novo objecto no sistema;
• Destruir sujeito s – permite ao controlador de um sujeito eliminá-lo do sistema;
• Destruir objecto o – permite ao dono de um objecto a sua eliminação do sistema;

43/113
 Política de Segurança da Informação

• Dar permissão a a M [s, o] – permite ao dono de um objecto estabelecer

permissões a outros sujeitos sobre aquele objecto;
• Eliminar permissão a de M [S, O] – permite a um sujeito retirar permissão de
outro sujeito sobre um objecto, desde que o último sujeito não seja o dono do objecto ou
controle o sujeito a quem se pretende retirar a permissão.

3.6.3 Chinese-Wall

O modelo Chinese-Wall apresenta como principal característica a modelação das regras de

acesso, orientada para negócios virados para a consultadoria, em que há necessidade de
garantir que conflitos de interesse não surgem quando se lida com diferentes clientes. Assim,
a regra básica deste modelo é que não pode existir nenhum fluxo de informação que provoque
um conflito de interesses Brewer & Nash (1989) citado por Mamede (2006).

Referindo ao mesmo autor Brewer e Nash citado por Mamede (2006) definem uma política de
segurança que reflecte, pois, certas necessidades comerciais para protecção no acesso à
informação, tomando por base os profissionais das áreas do Direito, Medicina e Financeira.
Basicamente, um conflito de interesses existe quando uma pessoa pode obter informação
sensível sobre empresas ou grupos rivais.

Segundo Mamede (2006) este modelo estabelece uma política que começa pela construção de
três níveis de abstracção:

• Objectos – elementos do nível mais baixa, como por exemplo ficheiros de dados,
com cada ficheiro a conter informação relativa a uma entidade;
• Grupo de empresa (do inglês, company groups) – nível intermédio, com o
agrupamento de todos os objectos que respeitam a uma empresa num dataset de
empresa;
• Classes de conflito de interesses (do inglês, conflict classes) – no nível mais
elevado os datasets de todas as empresas concorrentes são agrupados.

44/113
 Política de Segurança da Informação

3.6.4 Biba

O modelo Biba [Biba 1977] citado por Mamede (2006) endereça, principalmente, a
integridade em termos de acesso por indivíduos a objectos, baseando-se numa máquina de
estados, de forma muito semelhante ao modelo Bell LaPadula. Este foi mesmo o primeiro
modelo a endereçar a integridade em sistemas computacionais, baseado num esquema
hierárquico de níveis, tendo sido definido por Biba em 1977.

O modelo de integridade Biba é similar ao modelo BLP para confidencialidade, na medida em

que também recorre à utilização de sujeitos e objectos. Adicionalmente, endereça também o
controlo de modificação de objectos, da mesma forma que o modelo BLP controla a
divulgação Mamede (2006).

Segundo Mamede (2006) no entanto, contrariamente ao modelo referido no ponto anterior, ao

invés de definir apenas uma política de integridade de alto nível, define uma série de
aproximações possíveis.

A política de integridade do modelo consiste de três partes: a primeira especifica que um

sujeito não pode executar objectos que possuam um nível de integridade inferior ao do
próprio sujeito; a segunda específica que um sujeito não pode modificar objectos que
possuam um nível de integridade superior ao seu; a terceira especifica que um sujeito não
pode pedir serviços de outros sujeitos que possuam um nível de integridade superior Mamede
(2006).

3.6.5 Goguen – Meseguer

Segundo Mamede (2006) o modelo Goguen-Meseguer [Goguen & Meseguer, 1982],

publicado originalmente em 1982, baseia-se nos princípios matemáticos que governam os
autómatos, um mecanismo de controlo concebido para seguir de forma automática uma
sequência predeterminada de operações, ou respondera instruções devidamente codificadas. O
modelo inclui, ainda, a separação de domínios.

45/113
 Política de Segurança da Informação

Neste contexto, Mamede (2006) afirma que um domínio é a lista de objectos a que um sujeito
pode aceder. Os sujeitos podem ser agrupados de acordo com os seus domínios definidos. A
separação de sujeitos por diferentes domínios assegura que uns não interferem com as
actividades dos outros. Toda a informação sobre as actividades que os sujeitos estão
autorizados a executar é incluída na tabela de capacidades.

Adicionalmente, o sistema contém informação não relacionada com permissões, como sejam
programas do utilizador, dados e mensagens. À combinação de toda esta informação dá-se o
nome de estado do sistema. A teoria dos autómatos, utilizada como base para este modelo,
pré--define todos os estados e transições entre os mesmos, o que previne utilizadores não
autorizados de executarem alterações ou modificações em dados ou programas Mamede
(2006).

3.6.6 Sutherland

Segundo Mamede (2006) o modelo Sutherland foi publicado originalmente em 1986

[Sutherland, 1986] e endereça a problemática da integridade focando-se no problema da
inferência, ou seja, a utilização de canais dissimulados para influenciar os resultados de um
processo.

Em relação ao mesmo autor este modelo é baseado numa máquina de estados e, como tal,
consiste num conjunto de estados, um outro conjunto de estados iniciais possíveis e uma
função de transformação que mapeia os estados do estado inicial para o estado actual Mamede
(2006).

Ainda afirma que não obstante o facto deste modelo não invocar directamente um mecanismo
de protecção, contém restrições de acesso relacionadas com os sujeitos e restrições de fluxo
de informação entre objectos. Assim, o modelo previne que utilizadores não autorizados
possam modificar dados ou programas Mamede (2006).

46/113
 Política de Segurança da Informação

3.6.7 Clark – Wilson

O modelo Clark-Wilson, publicado em 1987 e actualizado em 1989, é orientado para a

resolução de questões de requisitos de segurança colocados pelas aplicações comerciais. Os
autores deste modelo, em contraste com o BLP, focaram-se na integridade onde o modelo
BLP endereça as questões da confidencial idade Mamede (2006).

No entender de Mamede (2006) o modelo [Clark & Wilson, 1987], entende-se que os
requisitos de segurança, colocados pelas aplicações comerciais, são predominantemente
incidentes na integridade dos dados, ou seja, na prevenção da alteração não autorizada, fraude
e erros. São mesmo incluídos temas como controlo concorrente para aplicações distribuídas.

Segundo Mamede (2006) Clark e Wilson propõem uma visão alargada da integridade, da
seguinte forma:

• Consistência interna – propriedade do sistema, garantida pelo sistema;

• Consistência externa – relação do sistema com o mundo real, sendo garantida

externamente.

Referindo ainda ao mesmo autor Mamede (2006) afirma que existe dois mecanismos para a
garantia de integridade:

• Transacções bem formadas – garantem que os dados são acedidos apenas por
programas específicos, assegurando a consistência interna dos mesmos. Este
conceito é muito semelhante ao que se pode encontrar na programação orientada
a objectos;
• Separação de funções – (…) previne que utilizadores autorizados possam efectuar
alterações inadequadas. Os utilizadores têm de colaborar de forma a manipularem
os dados. Este segundo mecanismo ê também muito conhecido e utilizado como,
por exemplo, recorrendo a diferentes pessoas para implementar, testar e certificar
um sistema (…).

Ainda em relação ao mesmo autor Mamede (2006) diz que os elementos de dados controlados
pela política de segurança são elementos de dados constrangidos ou CDI (do inglês,
Constrained Data Items). As entradas no sistema são elementos de dados não constrangidos ou
UDI (do inglês, Unconstrained Data Items).

47/113
 Política de Segurança da Informação

No mesmo contexto Mamede (2006) afirma que os CDI são manipulados exclusivamente por
procedimentos de transformação ou TP (do inglês, Transformation Procedure). A integridade
é verificada por procedimentos de verificação da integridade ou IVP (do inglês, integiifr
Verifícatlon Procedure). Existem cinco regras de certificação:

• Os IVP asseguram que os CDI são válidos;

• Os TP preservam a validade dos CDI;

• A separação de funções é assegurada;

• O TP mantém um jornal de alterações;

• Um TP que tome um UDI converte-o para um CDI, ou não faz nada.

Segundo Mamede (2006) para além destas regras de certificação, existem ainda
quatro regras de aplicação:

• Listas de regras de acesso são mantidas para TP e CDI;

• Listas de regras de acesso são mantidas para sujeitos e TP;

• Cada utilizador que requisite uma TP é autenticado;

• Apenas um sujeito que possa certificar uma regra de acesso a uma TP pode

modificar as listas de regras de acesso.

3.6.8 Outros Modelos

Segundo Mamede (2006) existem outros modelos de segurança [Blyth & K.ovacich. 2001] e
podem-se classificar como seguidamente se descreve.

Na óptica de Mamede (2006) os modelos de fluxo de informação (do inglês, Information-

Flow Mudeis) são modelos em que são tomados em consideração todos os possíveis fluxos de
informação.

Ainda diz que um sistema é considerado seguro se não existir nenhum fluxo ilegal de
informação. Como vantagem, apresenta o facto de que cobre todos os tipos de fluxos de
informação. Como desvantagem está a maior dificuldade em desenhar sistemas seguros e a

48/113
 Política de Segurança da Informação

obrigação de distinção entre aplicação estática e dinâmica da política de segurança Mamede

(2006).

Os modelos de não-interferência (do inglês, Non-lnterference Models) constituem-se como

uma alternativa aos modelos do tipo anterior. Disponibilizam um diferente formalismo para a
descrição do que um sujeito sabe acerca do estado do sistema. Sujeito s1 não interfere com
sujeito s2, se as acções de s1 não tiverem influência na visão que s2 tem do sistema Mamede
(2006).

3.7 Segurança Física

A politica de segurança é desenvolvida considerando-se aspectos físicos e lógicos. A

segurança física é aquela que envolve aspectos como prevenção contra falhas de
equipamentos incêndios, acesso de pessoas a locais restritos, enchentes, desastres naturais,
acidentes, roubo e demais aspectos físicos Sousa (2006).

S E G U R A N Ç A D O E Q U IP A M E N TO

IM P R ES SO R A Laptop

SEGURANÇA DAS S E R VID O R

S W IT C H /H U B SEGURANÇA DAS
C O M U N IC A Ç Õ E S
IN S T A LA Ç Õ E S

IN T R AN ET EN E R G IA
ELE C T R IC A

IN C Ê N D IO
CONEXÃO REDE
IN S T A LA Ç Õ E S
C O M U N IC A Ç Õ E S S IS T E M A IN FO R M A Ç Ã O

U T ILIZA D O R E S
FU N C IO N A R IO S
T E R C E IR O S

SEGURANÇA DO
PESSOAL

Figura 3: Segurança física

Fonte: Compta (2008)

49/113
 Política de Segurança da Informação

A Segurança física consiste na aplicação de barreiras físicas e procedimentos de controlo,

como medidas de prevenção e contra medidas perante ameaças aos recursos e informação
confidencial. Refere-se aos procedimentos de controlo e aos mecanismos de segurança dentro
e em volta do Centro de Processamento de Dados, assim como os meios de acesso remoto
implementados para proteger o hardware e os meios de armazenamento de dados Silva
Carvalho et al (2003) citado por Silva (2006).

No domínio da informática, a segurança física dos sistemas refere-se principalmente à

protecção de equipamentos e instalações contra riscos por perdas, extravios ou por danos
físicos (…) inclui componentes como controlos de acesso, serviços contra incêndios e
dispositivos para a detecção de infiltrações de água que ponha em perigo o funcionamento do
S.I. Carneiro (2002) citado por Barros (2006).

Segundo silva (2006) o principal objectivo da segurança física é garantir a protecção dos SIs
quanto às suas dimensões físicas e no que se refere a todos os seus componentes,
nomeadamente hardware, software, documentação e meios magnéticos. Esta protecção
relaciona-se com riscos por divulgação, perda, extravios ou por danos físicos. Pode-se ter
segurança física a três níveis:

3.7.1 Segurança do pessoal, das instalações e dos equipamentos.

A segurança do pessoal tem como objectivo, reduzir os riscos devido a erros humanos, roubo,
fraudes e/ou má utilização dos recursos existentes. A do equipamento tem por objectivo,
proteger o hardware computacional e outros equipamentos, as suas interligações e o
fornecimento de energia. Por último a segurança das instalações, que trata dos requisitos de
localização e a estrutura dos edifícios destinados aos centros de informática de forma a
garantir um nível de segurança adequado Silva (2006).

3.7.2 Segurança do pessoal

Segundo Silva (2006) a segurança do pessoal é um aspecto muito importante dado que são as
pessoas que Interagem diariamente com os sistemas, que tem acesso às informações contidas
no sistema, por isso, muitas vezes são as principais ameaças a esses sistemas.

50/113
 Política de Segurança da Informação

Silva, Carvalho et al (2003) citado por Silva (2006) defendem que se deve ter muito cuidado
no recrutamento de pessoas, porque estas podem ser possíveis perigos à segurança nas
organizações.

Segundo Silva, Carvalho et al (2003) citado por Silva (2006) dentro da Segurança do Pessoal
pode destacar:

9 Segurança nos Conteúdos Funcionais e no Recrutamento

A Segurança nos Conteúdos Funcionais e no Recrutamento, tem como objectivo reduzir os

riscos de erros humanos na utilização do sistema, roubo, bem como a má utilização dos
recursos das tecnologias de informação e comunicação disponibilizados. No que tange à
segurança nos conteúdos funcionais e de recrutamento, estes defendem a segurança desde o
recrutamento até à postura que os utilizadores devem ter na utilização do sistema.

9 Formação dos Utilizadores

Na Formação dos Utilizadores, defendem que os utilizadores devem receber formação em

segurança e numa correcta utilização das TI (Tecnologias de Informação) para um normal
funcionamento dos sistemas e da política de segurança implementada. A sensibilização dos
utilizadores garante que estes tenham mais consciência das ameaças e preocupações
respeitantes à segurança da informação e estejam mais dispostos em apoiar na implementação
do programa da política de segurança organizacional

9 Resposta a Incidentes

Um incidente de segurança é qualquer acontecimento que pode originar perda ou dano dos
recursos da organização, ou uma acção que afecte os procedimentos de segurança na
organização.

Segundo Silva, Carvalho et al, (2003) citado por Silva (2006) defende que o conhecimento
desses incidentes por parte dos utilizadores do sistema é fundamente para minimizar as

51/113
 Política de Segurança da Informação

consequências que advém destes incidentes, por isso, é muito importante que estes saibam a
forma mais fácil e rápida para comunicar estes incidentes. Neste caso a formação de
utilizadores neste aspecto é fundamental para solucionar problemas, quando acontecer
qualquer incidente.

3.7.3 Segurança das Instalações

A localização e a estrutura das instalações de um centro de informática deve respeitar um

conjunto de requisitos físicos e ambientais, que permita garantir a sua segurança Silva (2006).

Existem normas estipuladas internacionalmente para a localização de uma instalação

informática, estes devem ficar em lugares adequados para ir em consonância com a própria
palavra segurança. Dentro da segurança das instalações pode-se falar da Localização e
Estrutura dos Centros de Informática e Áreas de Segurança Silva (2006).

3.7.4 Segurança do Equipamento

Segundo Silva (2006) a segurança do equipamento é um outro ponto da segurança física que
impede a perda, dano e acesso não autorizados aos equipamentos duma organização,
implementando medidas de segurança desde a sua instalação, manutenção até a sua
destruição.

Ainda refere-se que a segurança do equipamento, deve impedir acessos não autorizados mas,
nunca deve por em causa a disponibilidade e a integridade do mesmo. Isto porque a
concepção de mecanismos de segurança não pode pôr em causa o acesso dos utilizados, nem a
validade da informação Silva (2006).

As políticas de segurança física devem proteger os activos de informação que sustentam os

negócios da organização. Actualmente a informação está distribuída fisicamente em
equipamentos móveis, tais como laptops, celulares, PDAs, memory keys, estações de
trabalho, impressoras, telefones, FAXs, entre outros. Campos (s/d)

52/113
 Política de Segurança da Informação

Segundo Campos (s/d), A segurança física precisa garantir a segurança da informação para
todos estes activos. Esta segurança deve ser aplicada para as seguintes categorias de activos:

• Sistemas estáticos, que são instalações em estruturas fixadas no espaço;

• Sistemas móveis, que são aqueles instalados em veículos ou mecanismos móveis;
• Sistemas portáteis, que são aqueles que podem ser operados em qualquer lugar.

A segurança física requer que a área seja protegida, e uma forma simples de enxergar a
segurança física é definindo perímetro de segurança, ou camadas de acesso Campos (s/d).

Segundo Campos (s/d) as seguintes políticas de segurança física devem ser consideradas da
seguinte forma:

• Controle de entrada física;

• Segurança em escritórios, salas e instalações;
• Protecção contra ameaças externas e naturais;
• Protecção das áreas críticas;
• Acesso de pessoas externas;
• Instalação e protecção dos equipamentos;
• Equipamentos fora da organização;
• Estrutura de rede;
• Manutenção dos equipamentos;
• Reutilização e alienação de equipamentos;
• Remoção de propriedade

Na óptica Campos (s/d) há diversas ameaças que podem explorar vulnerabilidades físicas, tais
como:

• Naturais – Enchentes, tempestades, erupções vulcânicas, temperaturas extremas, alta

humidade...
• Sistema de apoio – Comunicação interrompida, falta de energia, estouro em
tubulações...

53/113
 Política de Segurança da Informação

• Humanas – Explosões, invasões físicas, sabotagens, contaminação química...

• Eventos políticos – Ataque terrorista, espionagem, greves...

3.8 Segurança Lógica

CERTIFICAÇÃO POLICIAMENTO
AUTENTICAÇÃO AUDITORIA
ENCRIPTAÇÃO RESTRIÇÕES

TERMINAIS DE ACESSO
RESTRITOS

ACESSOS
CONTROLADOS
UTILIZADOR SISTEMA DE INFORMAÇÃO

Firewall
APLICAÇÃO
ACESSO EXTERNO
INTEGRIDADE
PROTOCOLO
SERVIÇOS
ACESSO REMOTO

Figura 4: Segurança lógica

Fonte: Compta (2008)

A segurança lógica envolve aspectos de prevenção contra interceptação e modificação de

informações, sigilo no tráfego dos dados na rede, alterações de softwares, invasões em
sistema, acessos não a autorizados a informação e demais aspectos relacionados ao aceso e
manipulação dos dados da empresa Sousa (2006).

Segundo Carneiro (2002) citado por Barros (2006) não estiver errado, a segurança lógica
associa-se á protecção dos dados, dos processos e dos programas, á segurança da utilização
dos programas ao acesso autorizado dos utilizadores.

A segurança lógica baseia-se na gestão das autorizações de acesso aos recursos informáticos,
na identificação e na autenticação, na medida em que a gestão abarca no processo de pedido,
acompanhamento e encerramento das contas dos utilizadores, no processo de revisão

54/113
 Política de Segurança da Informação

periódica das contas dos utilizadores e autorizações estabelecidas Carneiro (2002) apud Silva
(2006).

3.9 Princípios para as políticas de segurança da informação

A correcta gestão da segurança da informação é atingida com o compromisso de todos os

utilizador quanto à aplicação das normas e procedimentos estabelecidos visando à
padronização das acções de planeamento, implementação e avaliação das actividades voltadas
à segurança Wiliiams (2001) citado por Marciano, (2006).

Estas diferentes actividades podem ser agrupadas conforme a seguinte disposição ISACF,
(2001) citado por Marciano (2006):

• Desenvolvimento de políticas, com os objectivos da segurança como fundamentos em

torno dos quais elas são desenvolvidas;
• Papéis e autoridades, assegurando que cada responsabilidade seja claramente
entendida por todos;
• Delineamento, desenvolvendo um modelo que consista em padrões, medidas, práticas
e procedimentos;
• Implementação, em um tempo hábil e com capacidade de manutenção;
• Monitoramento, com o estabelecimento de medidas capazes de detectar e garantir
correcções às falhas de segurança, com a pronta identificação e actuação sobre falhas
reais e suspeitas com plena aderência à política, aos padrões e às práticas aceitáveis;
• Vigilância, treinamento e educação relativos à protecção, operação e prática das
medidas voltadas à segurança.

3.10 Processo de implementação de segurança

Figura 5: Ciclo de segurança

Fonte: Campos (s/d)

55/113
 Política de Segurança da Informação

Segundo Campos (s/d), o ciclo de segurança trata-se de um esforço contínuo e iterativo da

empresa para proteger seus bens mais importantes da maneira mais económica possível,
reduzindo a um nível aceitável, existe quatro tipos: Protecção, monitoramento, teste e
aperfeiçoamento

Protecção: Proteger os dados corporativos no nível necessário. Nesse estágio normalmente as

empresas implementam tecnologias e processos que permitem o aumento de segurança (ex:
Firewalls e sistemas de autenticação) Campos (s/d).

Monitoramento: Observar a actividade em pontos críticos de acesso a rede, sejam eles

internos ou externos. Em seguida as redes devem ser monitoradas continuamente para
verificar se há invasões e utilização imprópria, fornecendo mecanismos de respostas
automáticos em tempo real a fim de eliminar actividade não autorizada Campos (s/d).

Teste: verifique se as medidas de segurança sejam suficientes para resistira crescente

sofisticação e frequência de ataques dos Hackers. Além disso como as redes são muito
dinâmicas e mudam com frequência, é necessário testar sua postura de segurança e
desenvolver avaliações abrangentes das vulnerabilidades de segurança Campos (s/d).

Aperfeiçoamento: adicione ou actualize as medidas de segurança conforme necessário. Você

precisará gerir centralmente todos os produtos e políticas de segurança para atingir o máximo
de eficiência operacional e implementar rapidamente os aperfeiçoamentos Campos (s/d).

56/113
 Política de Segurança da Informação

Capítulo 4: Politica de segurança da informação

(Estudo de caso na Assembleia Nacional)

4.1 Caracterização Geral

A história politica de Cabo Verde independente teve como palco principal a Assembleia
Nacional. O Parlamento cabo-verdiano, durante os 33 anos da sua existência, foi actor de
várias transformações que marcaram para sempre a nossa Nação.

Assembleia Nacional é constituída por órgãos de Administração da Assembleia Nacional que

são Presidente da Assembleia Nacional, Mesa, Conselho de Administração e também é
constituída por a Secretaria-Geral tem a seguinte estrutura Direcção de Serviço Parlamentares,
Direcção de Serviços de Documentação e Informação Parlamentar, Direcção de Serviços
Administrativos e Financeiros, Gabinete de Relações Públicas e Internacionais e orçamento.

Actualmente, uma das principais actividades do parlamento é a fiscalização das actividades

do Governo e a discussão e aprovação de Diplomas propostos pelos Deputados e Governo.
Por essa razão, cada vez mais, surge a necessidade de criar condições para facilitar os
processos de produção, tratamento e disseminação de informação de forma rápida e segura
internamente e entre a casa parlamentar e mundo.

57/113
 Política de Segurança da Informação

Segundo responsável pela área das redes de comunicações e segurança da informação da

ANCV, actualmente em muitas organizações as decisões de TI são tomadas de forma isolada,
por diferentes motivos e pessoas dentro de sua estrutura. O planeamento estratégico e táctico
integrado do ambiente de TI é normalmente colocado em segundo plano, ou nem mesmo é
realizado.

No ponto de vista do mesmo responsável pela área das redes de comunicações e segurança da
informação da ANCV, tem apostado e deverá continuar a fazê-lo na implementação de uma
infra-estrutura de rede de comunicações, que lhe permita acompanhar o avanço constante das
tecnologias de informação e que como efeito traga vantagens tais como facilitar aos
Deputados e Funcionários o acesso à informação de forma rápida e segura.

Para isto, foi necessário elaborar um Plano de Desenvolvimento do Sistema Informático

(PDSI), que possibilite tomar decisões informadas, com maior certeza possível sobre as infra-
estruturas de TI. O objectivo da elaboração deste PDSI é fornecer uma visão completa do
ambiente actual de Tecnologia de Informação e ao mesmo tempo compará-lo a cenários
alternativos que possam optimizar o retorno dos investimentos já realizados e dos ainda a
serem concretizados.

A este respeito, foi necessário reafirmar uma partilha alargada de objectivos internos, tendo
em conta que a Assembleia Nacional deve ter o seu próprio alinhamento tecnológico que
engloba a criação de uma infra-estrutura física de comunicações, o acesso a informação
actualizada, a criação de capacidades internas, etc.

Sist. Áudio Visual INTERNET

Assembleia Nacional
de Cabo Verde
Votação Electrónica FORMAÇÃO

INFRA – ESTRUTURA

Plataformas para Produção e Tratamento e Disseminação de Infor. Segurança de Infor.

Figura 6: Alinhamento tecnológico ANCV

Fonte: Assembleia
58/113Nacional (2008)
 Política de Segurança da Informação

4.2 Estrutura Organizacional

Os serviços de telecomunicações e informática expandiram-se internamente, apôs a instalação

das redes de computadores e de um novo sistema de telefonia “VoIP”.

Os serviços a serem prestados pelo Gabinete de Informática aumentaram significativamente e

a qualidade da prestação dos mesmos é, sem dúvida, uma das maiores preocupações deste
departamento.

Sendo assim, a estruturação interna do Gabinete de Informática, mesmo sem a aprovação da

nova Lei Orgânica, foi um processo tão importante como os investimentos realizados na
implementação de uma infra-estrutura de comunicação, porque permitiu uma maior
organização, identificar as dificuldades existente em cada área de trabalho e ao mesmo tempo
propor soluções para a sua resolução em menor tempo possível.

Figura 7: Estrutura da organização

Fonte: Assembleia Nacional (2008)

59/113
 Política de Segurança da Informação

No ano de 2008 foram contratados 5 técnicos informáticos para reforçar a equipa, sendo 3
deles com grau de licenciaturas e 2 com grau de técnico profissional, formando um total de 7
técnicos.

O rácio de Informáticos por utilizadores é actualmente de aproximadamente 1 técnicas X 23

utilizadores. O aumento de quadros permitiu ao Gabinete de Informática maior facilidade na
planificação e distribuição das tarefas, assim como no desenvolvimento e implementação de
novos projectos.

4.3 Infra-estrutura de Rede

A Assembleia Nacional possui uma Intranet em CAT 6 (UTP) com um backbone a Fibra
Óptica que garante uma alta taxa de velocidade de transmissão entre os diferentes edifícios do
palácio. Todos os postos de serviço estão ligados a 100 Mbps. Existem aproximadamente 190
postos de rede instalados em todo o Palácio e 7 pontos de acesso (Access Points) à rede sem
fios nas diferentes salas de reuniões e biblioteca.

A Assembleia Nacional possui um parque informático com aproximadamente 185

computadoras de mesa e 85 Portáteis, cada um, atribuído aos seus respectivos utilizadores
cujo perfil estão adequados as suas necessidades específicas (perfil administrador de rede e
user com privilegio de administrador do PC).

Todos os computadores de mesa estão configurados no domínio “parlamento.cv”, que está

registado pela Assembleia Nacional de Cabo Verde e que os servidores que respondem pelo
mesmo estão instalados no próprio palácio. Existem um total de 7 servidores a funcionarem
24 horas por dia, cuja funções são:

• 1 DC (Controlador de Domínio Principal)

Outras funções: DNS Server, Radius Server, Antivirus Server, WSUS Server, File Server
• Mail Server (Exchange Server) – DC, DNS Server;
• SuperStor Appliance (Servidor de Backups)
• Proxy Server (ISA server 2006)
• WebSense Server (Filtragem de acessos a Internet)

60/113
 Política de Segurança da Informação

• 2 Servidores DNS externos (DMZ)

Em termos de equipamentos de rede, existem ainda:

• 12 Switches Cisco Catalyst 2950

• 2 Switches Cisco Catalyst 2960 com PoE
• 1 Switches Cisco Catalyst 3750 com PoE (Router, Uplinks, DHCP)
• 1 Switches Cisco Catalyst 3550 1 Firewall PIX 515E (Servidores)
• 1 Router Cisco 1800 series (Ligação ao modem NOKIA da CVTelecom para acesso a
Internet)
• 1 Router 1751 Series (Este equipamento era utilizado para a ligação à rede do Estado)
• 1 Bridges.
• 10 Power Design (Alimentação aos Telefones)

4.4 Princípios de Segurança da Assembleia Nacional de Cabo

Verde

Segundo responsável pela área das redes de comunicações e segurança da informação da

ANCV, uma Política de Segurança voltada para Instituições deve ser criada de forma a
estabelecer regras a serem seguidas por todos os utilizador dos recursos de informática de
maneira que todos sejam envolvidos e conscientizados da importância da segurança das
informações da Instituição.

Segundo responsável pela área das redes de comunicações e segurança da informação da

ANCV para o Parlamento, a segurança está a tornar-se uma prioridade absoluta, dado que as
comunicações e a informação se tornaram um factor essencial no desenvolvimento económico
e social do próprio país.

A infra-estrutura de rede implementada à aproximadamente 5 anos atrás serve actualmente de

suporte a todas as Direcções de Serviços e transportam dados numa escala que ainda há
poucos anos era impossível.

61/113
 Política de Segurança da Informação

Inicialmente a rede do Parlamento esteve ligada a Rede do Estado e à aproximadamente 3

anos atrás decidiu-se que, o Parlamento como Órgão de Soberania, deverá ter uma infra-
estrutura de comunicações autónoma e com os seu próprios mecanismos de segurança.

Sendo assim, muitos foram os investimentos realizados nestes últimos anos na implementação
de políticas e soluções tecnológicos, com o objectivo de garantir que os recursos de
informática e a informação sejam usados de maneira adequada.

Nessa óptica, a rede da Assembleia Nacional foi redesenhada baseando-se num modelo básico
de rede segura, onde foram implementados 2 Firewall de diferentes tecnologias, criando entre
eles uma pequena rede denominada de DMZ.

Figura 8: Desenho da rede implementado no Parlamento

Fonte: Assembleia Nacional (2008)

4.5 Politicas de Segurança da Informação Corporativas para

(ANCV)

Segundo NBR ISSO/IEC 17799, tem como principal característica descrever controles
preventivos, em sua grande maioria, evitando a ocorrência de incidentes envolvendo as
informações corporativas, visando reduzir o tempo de exposição ao risco, que permitem
detectar, de maneira mais rápida e efectiva, eventuais violações às regras do Sistema. A ISSO
17799 é uma das normas utilizadas nas empresas independentemente do seu porte ou sector
para segurança da informação, ela foi criada com a intenção de ser um padrão flexível, nunca
guiando seus utilizadores a seguirem uma solução de segurança específica em prejuízo de
outra.

62/113
 Política de Segurança da Informação

4.5.1 Politica de Segurança Corporativa

4.5.1.1 Documento da Politica de Segurança da Informação

Na Assembleia Nacional não existe nenhum documento da política aprovada pela

Administração, mas há algumas politicas implementadas e medidas de seguranças.

Segundo NBR ISSO/IEC 17799,convém ter um documento da política seja aprovado pela
Administração, publicado e comunicado, de forma adequada, para todos os funcionários, que
este expresse as preocupações da direcção e estabeleça as linhas-mestras para a gestão da
segurança da informação. No mínimo, que satisfaz as seguintes orientações sejam incluídas:

• Definição de segurança da informação, resumo das metas e escopo e a importância da

segurança como um mecanismo que habilita o compartilhamento da informação;

• Declaração do comprometimento da alta direcção, apoiando as metas e princípios da

segurança da informação;

• Breve explanação das políticas, princípios, padrões e requisitos de conformidade de

importância específica para a organização, por exemplo:

• Conformidade com a legislação e cláusulas contratuais;

• Requisitos na educação de segurança;

• Prevenção e detecção de vírus e software maliciosos;

• Gestão da continuidade do negócio;

• Consequências das violações na política de segurança da informação;

• Definição das responsabilidades gerais e específicas na gestão da segurança da

informação, incluindo o registro dos incidentes de segurança;

63/113
 Política de Segurança da Informação

• Referência à documentação que possam apoiar a política, por exemplo, políticas e

procedimentos de segurança mais detalhados de sistemas de informação específicos ou
regras de segurança que os usuários sigam.

As políticas devem ser comunicada por toda a organização para o utilizador na forma que
seja relevante, acessível e compreensível para o leitor em foco.

4.5.1.2 Analise Crítica da Politica de Segurança da Informação

Ainda na ANCV não existe um gestor responsável para manutenção e análise crítica, todos os
funcionários que trabalham no departamento Informático é responsáveis pelos seus trabalhos.

Segundo NBR ISSO/IEC 17799, a política deve ter um gestor que seja responsável por sua
manutenção e análise crítica, de acordo com um processo de análise crítica definido e que este
processo garanta que a análise crítica ocorra como decorrência de qualquer mudança que
venha a afectar a avaliação de risco original, tais como um incidente de segurança
significativo, novas vulnerabilidades ou mudanças organizacionais ou na infra-estrutura
técnica.

Recomendaria essa política a ANCV porque permite fazer as seguintes análises críticas
periódicas:

• Efectividade da política, demonstrada pelo tipo, volume e impacto dos incidentes de

segurança registrados;

• Custo e impacto dos controles na eficiência do negócio;

• Efeitos das mudanças na tecnologia.

64/113
 Política de Segurança da Informação

4.5.2 Segurança Organizacional

4.5.2.1 Infra-estrutura da Segurança da Informação

Na Assembleia Nacional estão a pensar em adaptar essa politica porque permite controlar a
implementação da segurança da informação. Por isso recomenda-se essa política a ANCV.

Segundo NBR ISSO/IEC 17799 tem como objectivo gerenciar a segurança da informação na
organização. Que uma estrutura de gerenciamento seja estabelecida para iniciar e controlar a
implementação da segurança da informação dentro da organização, que fóruns apropriados de
gerenciamento com liderança da direcção sejam estabelecidos para aprovar a política de
segurança da informação, atribuir as funções da segurança e coordenar a implementação da
segurança através da organização.

Se necessário, convém que uma fonte especializada em segurança da informação seja

estabelecida e disponibilizada dentro da organização, que contactos com especialistas de
segurança externos sejam feitos para se manter actualizado com as tendências do mercado,
monitorar normas e métodos de avaliação, além de fornecer o principal apoio durante os
incidentes de segurança, que um enfoque multidisciplinar na segurança da informação seja
incentivado, tais como o envolvimento, cooperação e colaboração de gestores, utilizador,
administradores, projectista de aplicações, auditores, equipes de segurança e especialistas em
áreas como seguro e gerenciamento de risco. Segundo NBR ISSO/IEC 17799

4.5.3 Classificação e controlo dos activos de Informação

4.5.3.1 Inventário dos activos de informação

Segundo NBR ISSO/IEC 17799, o inventário dos activos ajuda a assegurar que as protecções
estão sendo feitas de forma efectiva e também pode ser requerido para outras finalidades de
negócio, como saúde e segurança, seguro ou financeira (gerenciamento patrimonial).

Segundo NBR ISSO/IEC 17799 o processo de compilação de um inventário de activos é um

aspecto importante no gerenciamento de risco. Uma organização precisa ser capaz de

65/113
 Política de Segurança da Informação

identificar seus activos e seus respectivos valores e importância. Baseada nesta informação,
uma organização pode então fornecer níveis de protecção proporcionais ao valor e
importância desses activos. Convém que um inventário dos principais activos associados com
cada sistema de informação seja estruturado e mantido. Que cada activo e seu respectivo
proprietário sejam claramente identificados e a classificação de segurança seja acordada e
documentada, juntamente com a sua localização actual (importante quando se tenta recuperar
perdas ou danos). Exemplos de activos associados com sistemas de informação são:

• Activos de informação: base de dados e arquivos, documentação de sistema, manuais

de utilizador, material de treinamento, procedimentos de suporte ou operação, planos
de continuidade, procedimentos de recuperação, informações armazenadas;

• Activos de software: aplicativos, sistemas, ferramentas de desenvolvimento e

utilitários;

• Activos físicos: equipamentos computacionais (processadores, monitores, laptops,

modems), equipamentos de comunicação (roteadores, PABXs, fax, secretárias
electrónicas), mídia magnética (fitas e discos), outros equipamentos técnicos (no-
breaks, ar-condicionado), mobília, acomodações;

• Serviços: computação e serviços de comunicação, utilidades gerais, por exemplo

aquecimento, iluminação, electricidade, refrigeração.

4.5.3.2 Classificação da Informação

Segundo NBR ISSO/IEC 17799, tem como objectivo assegurar que os activos de informação
recebam um nível adequado de protecção.

Que a informação seja classificada para indicar a importância, a prioridade e o nível de

protecção. A informação possui vários níveis de sensibilidade e criticidade. Alguns itens
podem necessitar um nível adicional de protecção ou tratamento especial. Tem que ter um
sistema de classificação da informação que seja usado para definir um conjunto apropriado de
níveis de protecção e determinar a necessidade de medidas especiais de tratamento.

66/113
 Política de Segurança da Informação

4.5.3.3 Recomendações para classificação

Assembleia Nacional de Cabo verde é um lugar onde se preocupa bastante com a informação
porque circulam informações confidências por isso deve ser implementadas seus respectivos
controles de protecção levem em consideração as necessidades de negócios para
compartilhamento ou restrição de informações e os respectivos impactos nos negócios como,
por exemplo, o acesso não autorizado ou danos à informação. Em geral, a classificação dada a
uma informação é o caminho mais curto para determinar como ela é tratada e protegida.

As informações e resultados de sistemas que processam dados classificados sejam rotulados

de acordo com seu valor e sua sensibilidade para a organização. Também pode ser apropriado
rotular a informação em termos de crítica, ela é para a organização como, por exemplo, em
termos de integridade e disponibilidade. A informação frequentemente deixa de ser sensível
ou crítica após um certo período de tempo, por exemplo quando a informação se torna
pública. Convém que estes aspectos sejam levados em consideração, pois uma classificação
super estimada pode levar a custos adicionais desnecessários. As regras de classificação
previnam e alertem para o facto de que um determinado item de informação não tem
necessariamente uma classificação fixa, podendo sofrer modificação de acordo com alguma
política determinada, que cuidados sejam tomados com a quantidade de categorias de
classificação e com os benefícios obtidos pelo seu uso. Segundo NBR ISSO/IEC 17799

A responsabilidade pela definição da classificação de um item de informação, tais como um

documento, registro de dado, arquivo de dados ou disquete, e a análise crítica periódica desta
classificação fiquem com o autor ou com o proprietário responsável pela informação.

4.5.4 Segurança dos Recursos Humanos

4.5.4.1 Segurança de Recursos Humanos e Desempenho de Funções

Segundo NBR ISSO/IEC 17799, tem como objectivo reduzir os riscos de erro humano, roubo,
fraude ou uso indevido das instalações. Convém que responsabilidades de segurança sejam
atribuídas na fase de recrutamento, incluídas em contratos e monitoradas durante a vigência
de cada contrato de trabalho.

67/113
 Política de Segurança da Informação

Convém que candidatos potenciais sejam devidamente analisados, especialmente para

trabalhos sensíveis, que todos os funcionários e prestadores de serviço, utilizador das
instalações de processamento da informação, assinem um acordo de sigilo.

4.5.4.2 Segurança de Recursos Humanos na ANCV

Apesar de existirem algumas políticas de segurança implementado na rede do parlamento, não

existe nenhum documento devidamente aprovado, pelo qual os Deputados, Funcionários e
recém contratados devem se orientar, para melhor utilizarem os recursos disponibilizados em
rede.

Neste momento está-se a proceder com a definição e implementação de algumas políticas de

segurança da informação, usando como fonte a 2ª Edição publicada das boas práticas em
segurança da informação, que comenta também a norma NBR ISSO/IEC 17799.

4.5.4.3 Treinamento dos utilizadores

Segundo NBR ISSO/IEC 17799, o treinamento dos utilizadores tem como objectivo assegurar
que os utilizadores estão cientes das ameaças e das preocupações de segurança da informação
e estão equipados para apoiar a política de segurança da organização durante a execução
normal do seu trabalho, que utilizadores sejam treinados nos procedimentos de segurança e no
uso correcto das instalações de processamento da informação, de forma a minimizar possíveis
riscos de segurança.

• Regras implementadas ANCV

Os utilizadores antes de serem enquadrados na ANCV têm que receber formação específica,
na área em que serão enquadrados assim coma na área de segurança para que possam estar
mais habilitado nas actividades que desempenharão no sistema.

Tem que constar no plano de actividades anual da ANCV o período de realização das
formações, a duração da formação e quem irá para a formação.

68/113
 Política de Segurança da Informação

4.5.4.4 Rescisão ou Alteração dos Termos de Contratação

ANCV não adaptou essa politica mas faz – se algumas recomendações:

Segundo NBR ISSO/IEC 17799, Convém que os termos e condições de trabalho determinem
as responsabilidades dos funcionários pela segurança da informação. Quando apropriado, que
estas responsabilidades continuem por um período de tempo definido, após o término do
contrato de trabalho, que as acções que podem ser tomadas nos casos de desrespeito ao acordo
também sejam incluídas no contrato.

As responsabilidades e direitos legais dos funcionários, tais como leis de direitos autorias ou
de protecção de dados, sejam esclarecidos e incluídos dentro dos termos e condições de
trabalho, que responsabilidade pela classificação e gestão dos dados do empregador também
sejam incluídas. Sempre que apropriado, convém que os termos e condições de trabalho
determinem se estas responsabilidades são estendidas fora das dependências da organização e
fora do horário normal de trabalho como, por exemplo, nos casos de execução de actividades
de trabalho em casa. Segundo NBR ISSO/IEC 17799

4.5.5 Segurança física e Ambiental

Segundo NBR ISSO/IEC 17799 O objectivo desta política é prevenir o acesso não autorizado,
dano e interferência às informações e instalações físicas da organização. A segurança física
dos equipamentos de informática e das informações da empresa deve ser protegidas de
possíveis danos, que os recursos e instalações de processamento de informações críticas ou
sensíveis do negócio sejam mantidos em áreas seguras, protegidas por um perímetro de
segurança definido, com barreiras de segurança apropriadas e controle de acesso, que estas
áreas sejam fisicamente protegidas de acesso não autorizado, dano ou interferência.

Que a protecção fornecida seja proporcional aos riscos identificados. Políticas de mesa limpa
e tela limpa são recomendadas para reduzir o risco de acesso não autorizado ou danos a
papéis, mídias, recursos e instalações de processamento de informações. Segundo NBR
ISSO/IEC 17799

69/113
 Política de Segurança da Informação

4.5.5.1 Garantir a Segurança das Instalações na ANCV

• O gabinete de informática está dotado de um sistema de Alarme, cujo código de

activação/desactivação somente está no poder dos técnicos afecto a este departamento.

• Todas as janelas da sala dos servidores tem gradeamento e a porta de entrada foi
reforçada, para impedir qualquer tipo de tentativa de arrombamento.

• O acesso a Sala dos Servidores é limitado somente ao pessoal devidamente autorizado.

• Existem agentes de seguranças encarregados de reportar todo e qualquer tentativa de

violação a entrada do Gabinete de Informática.

• Vai ser implementado brevemente um sistema de Vídeo – vigilância

4.5.5.2 Segurança de Equipamentos da ANCV

O objectivo é prevenir perda, dano ou comprometimento dos activos, e a interrupção das

actividades do negócio.

• Todos os Deputados e Funcionários tem gabinete próprio, o que garante que somente
tem acesso aos PCs o Deputado ou Funcionário a quem lhe foi atribuído.

• Todos os bastidores, onde estão os servidores estão devidamente fechados.

• Os Servidores existentes são da marca DELL e todos trazem uma protecção para
impedir que mesmo que se tenha acesso ao bastidor, não se consiga, por exemplo,
desligar um servidor através do botão de Power, colocar uma Pen Driver, CD-ROM,
etc.

• Todos os servidores e equipamentos de rede (Switches, Routers, etc) estão ligados a

Central eléctrico.

• Existem um aparelho de ar acondicionado somente para o espaço onde estão instalados

os servidores, entretanto vai ser instalado dentro de pouco um aparelho que permita
regular a humidade relativa dentro do espaço.

A segurança dos equipamentos (PCs, impressoras e outros etc.) é da responsabilidade dos

utilizadores, pois estes são considerados recursos de trabalho individual ou pessoais; por isso

70/113
 Política de Segurança da Informação

estes equipamentos são de utilização de um único utilizador, isto é, cada computador é

atribuída a um e só único utilizador.

Porém, cada utilizador deve ser orientados a zelar pela segurança dos seus equipamentos de
trabalho, tais como:

• Fazer actualizações do Windows assim que estes fossem notificados;

• Que garanta a protecção contra suporte lógico malicioso (Vírus, Trojans e Worms)

Todos os computadores dos postos de serviços deveram estar no domínio Parlamento, para
que estes possam ter acesso aos recursos de rede e Internet.

4.5.5.3 Manutenção dos equipamentos

A manutenção dos equipamentos informáticos (tanto recursos de rede, computadores pessoais

e impressoras) deverá ser feita para garantir a disponibilidade e integridade:

• A manutenção dos recursos de rede deve ser periodicamente (uma vez por trimestre) e
realizado pelos técnicos de comunicação e rede.

• Os equipamentos críticos (recursos de rede) não devem estar indisponíveis por mais do
que uma hora;

• Deverão ser efectuadas rondas semanais pelas instalações e serviços da ANCV, com o
intuito de fazer uma manutenção preventiva;

• Os técnicos de manutenção e suporte devem dar manutenção aos computadores

• Pessoais sempre que lhes sejam solicitados;

• A mudança de local de qualquer equipamento informático deverá ser feita somente

pelos técnicos de manutenção e suporte do Gabinete de Informática;

• A ligação entre os equipamentos (PCs e impressoras) ou mesmo configuração dos PCs

na rede só deverá ser feita pelos técnicos de manutenção e suporte do Gabinete de
Informática;

71/113
 Política de Segurança da Informação

Todas as reparações devem ser registadas nas fichas individuais de cada equipamento.

4.5.5.4 Politica de fornecimento de energia

Na ANCV existe Central eléctrico onde os equipamentos estão protegidos contra falhas de
energia e outras anomalias na alimentação eléctrica. Tem um fornecimento de energia
apropriada quando ocorra em acidentes.

Segundo NBR ISSO/IEC 17799 algumas recomendações para alcançar a continuidade do

fornecimento eléctrico incluem:

• Alimentação múltipla para evitar um único ponto de falha no fornecimento eléctrico;

• No-break (Uninterruptable Power Supply - UPS);

• Gerador de reserva.

É recomendado o uso de no-break em equipamentos que suportem actividades críticas para

permitir o encerramento ordenado ou a continuidade do processamento. Que os planos de
contingência contenham acções a serem tomadas em casos de falha no no-break. Cabe que
esse tipo de equipamento seja periodicamente verificado, de forma a garantir que ele esteja
com a capacidade adequada, e testado de acordo com as recomendações do fabricante,
também que um gerador de reserva seja considerado se o processamento requer continuidade,
em caso de uma falha eléctrica prolongada. Se instalados, convém que os geradores sejam
testados regularmente de acordo com as instruções do fabricante. Convém que um
fornecimento adequado de óleo esteja disponível para assegurar que o gerador possa ser
utilizado por um período prolongado. Segundo NBR ISSO/IEC 17799

Adicionalmente, convém que se tenham interruptores eléctricos de emergência localizados

próximo às saídas de emergência das salas de equipamentos para facilitar o desligamento em
caso de emergência, que iluminação de emergência esteja disponível em casos de falha da
fonte eléctrica primária, que protecção contra relâmpagos seja usada em todos os prédios e
que filtros de protecção contra raios sejam instalados para todas as linhas de comunicação
externas. Segundo NBR ISSO/IEC 17799

72/113
 Política de Segurança da Informação

4.5.6 Gestão de Comunicações e operações

4.5.6.1 - Procedimentos e Responsabilidades Operacionais

Objectivo é garantir a operação segura e correcta dos recursos de processamento da

informação.

4.5.6.1.1 - Documentação dos procedimentos de operação

Na ANCV não existe mas convém que os procedimentos de operação identificados pela
política de segurança sejam documentados e mantidos actualizados, que os procedimentos
operacionais sejam tratados como documentos formais e que as mudanças sejam autorizadas
pela direcção.

Segundo NBR ISSO/IEC 17799 que os procedimentos especifiquem as instruções para a

execução detalhada de cada tarefa, incluindo:

• Processamento e tratamento da informação;

• Requisitos de sincronismo, incluindo interdependências com outros sistemas, a hora

mais cedo de início e a hora mais tarde de término das tarefas;

• Instrução para tratamento de erros ou outras condições excepcionais, que possam

ocorrer durante a execução de uma determinada tarefa, incluindo restrições de uso dos
recursos do sistema

• Contacto com os técnicos do suporte para o caso de eventos operacionais não

esperados ou dificuldades técnicas;

• Instruções para movimentação de saídas de produtos especiais, tais como o uso de

formulários especiais ou o tratamento de produtos confidenciais, incluindo
procedimentos para a alienação segura de resultados provenientes de rotinas com
falhas;

73/113
 Política de Segurança da Informação

• Procedimento para o reinício e recuperação para o caso de falha do sistema.

4.5.6.1.2 Politicas de Procedimentos da ANCV

Procedimentos que ajudarão aos técnicos de Helpdesk a assegurarem essa consistência e

exactidão na prestação de serviço como também fazer com que os utentes tirem o maior
partido das funcionalidades do nosso sistema.

• Procedimentos para a satisfação dos pedidos de suporte técnico por parte dos utentes;

• Procedimentos para satisfazer um pedido de instalação seja ela de:

• Software;

ƒ Consumíveis de impressoras, faxes, fotocopiadoras;

ƒ Outros dispositivos.

• Procedimentos para a instalação dos recursos didácticos disponíveis nos locais onde
carecem o seu uso.

4.5.6.1.3 Procedimentos para a satisfação dos pedidos de suporte técnico

Este tipo de suporte pode ser requerido de 3 formas:

• Pedido por meio de requisição em papel ao Gabinete de Informática;

• Através de telefone através das extensões internas 324 e 564.

• Através do e-mail interno

O pedido de suporte técnico é feito no caso de um utente estar com alguma anomalia no
equipamento que está afecto ao mesmo ou na rede, como também alguma dificuldade de
utilização de um programa, bem como dúvidas relacionadas com a utilização de algum
equipamento.

Quando o pedido formal chega ao Gabinete de Informática passará por um processo de

avaliação, em que serão cotados os seguintes pontos:

74/113
 Política de Segurança da Informação

• Possibilidade de ser resolvido remotamente, utilizando o TeamWiewer;

• Disponibilidade;

• Urgência;

• Prioridades

4.5.6.1.4 Procedimentos para satisfazer um pedido de instalação

Este tipo de pedido pode ser feito por várias razões, seja ela para instalação de software, desde
o sistema operativo até utilitários necessários para as necessidades de cada utente, ou para a
substituição de consumíveis para impressoras, faxes ou maquinas fotocopiadoras, como
também de qualquer outro tipo de equipamentos que sejam necessários instalar ou substituir,
como por exemplo ratos danificados, monitores com problemas, impressoras com problemas
até mesmo CPU’s com dificuldades de processamento.

4.5.6.2 Planeamento e aceitação dos sistemas

Segundo NBR ISSO/IEC 17799 o objectivo é minimizar o risco de falhas nos sistemas. O
planeamento e a preparação prévios são requeridos para garantir a disponibilidade adequada
de capacidade e recursos também para que as projecções da demanda de recursos e da carga
de máquina futura sejam feitas para reduzir o risco de sobrecarga dos sistemas, que os
requisitos operacionais dos novos sistemas sejam estabelecidos, documentados e testados
antes da sua aceitação e uso.

ANCV ainda não adoptou essa politica por isso faz -se algumas recomendações:

• Planejamento de capacidade

Segundo NBR ISSO/IEC 17799, que as demandas de capacidade sejam monitoradas e que as
projecções de cargas de produção futuras sejam feitas de forma a garantir a disponibilidade da
capacidade adequada de processamento e armazenamento. Também que essas projecções
levem em consideração os requisitos de novos negócios e sistemas e as tendências actuais e
projectadas do processamento de informação da organização.

75/113
 Política de Segurança da Informação

Os computadores de grande porte necessitam de uma atenção particular, devido ao seu maior
custo e o tempo necessário para ampliação de capacidade, que os gestores dos serviços desses
computadores monitorem a utilização dos principais recursos destes equipamentos, tais como
processadores, memória principal, área de armazenamento de arquivo, impressoras e outros
dispositivos de saída, além dos sistemas de comunicação. Convém que eles identifiquem as
tendências de utilização, particularmente em relação às aplicações do negócio ou das
aplicações de gestão empresarial. Segundo NBR ISSO/IEC 17799

• Aceitação de sistemas

Convém que sejam estabelecidos critérios de aceitação de novos sistemas, actualizações e

novas versões e que sejam efectuados testes apropriados dos sistemas antes da sua aceitação.
Convém que os gestores garantam que os requisitos e critérios para aceitação de novos
sistemas estejam claramente definidos, acordados, documentados e testados. Segundo NBR
ISSO/IEC 17799

Segundo NBR ISSO/IEC 17799 recomenda-se que os seguintes controles sejam considerados:

• Requisitos de desempenho e de demanda de capacidade computacional;

• Recuperação de erros, procedimentos de reinicialização e planos de contingência;

• Elaboração e teste de procedimentos operacionais para o estabelecimento de padrões;

• Concordância sobre o conjunto de controles de segurança utilizados;

• Procedimentos manuais eficazes;

• Plano de continuidade de negócios, como requerido;

• Evidência de que tenha sido considerado o impacto do novo sistema na segurança da

organização como um todo;

• Treinamento na operação ou uso de novos sistemas.

• Para os novos desenvolvimentos principais, convém que os utilizadores e as funções

de operação sejam consultados em todos os estágios do processo de desenvolvimento,
de forma a garantir a eficiência operacional do projecto proposto e sua adequação às

76/113
 Política de Segurança da Informação

necessidades organizacionais, que os devidos testes sejam executados para garantir

que todos os critérios de aceitação sejam plenamente satisfeitos.

4.5.6.3 Protecção contra código Malicioso

O objectivo é proteger a integridade do software e da informação. É necessário que se

adoptem precauções para prevenir e detectar a introdução de software malicioso.
Os ambientes de processamento da informação e os softwares são vulneráveis à introdução de
software malicioso, tais como vírus de computador, cavalos de Tróia e outros. Convém que os
usuários estejam conscientes sobre os perigos do uso de software sem licença ou malicioso, e
os gestores devem, implantar controles especiais para detectar ou prevenir contra sua
introdução. Em particular, é essencial que sejam tomadas precauções para detecção e
prevenção de vírus em computadores pessoais. Segundo NBR ISSO/IEC 17799

Na ANCV em todos os postos de trabalho estão instalados antivírus cuja actualização é feita
diariamente através de um servidor local que procura as actualizações na Internet. Este
antivírus é Interprise, com licenciamento, e é gerido e monitorado pelos técnicos da área de
manutenção de forma a poder antecipar a resolução de possíveis problemas causados pelos
vírus;

Todos os Computadores em rede recebem constantemente actualizações Criticas e de

Segurança, Patches, etc., através de um Servidor de actualização (Windows Server Update
Service V3.0) instalado em rede.

Os utilizadores não têm privilégio de administração dos seus respectivos computadores, para
evitar instalações de softwares não autorizados. Somente os técnicos Informáticos podem
executar esta tarefa.

Algumas recomendações:

Uma política formal exigindo conformidade com as licenças de uso do código e proibindo o
uso de software não autorizado.

77/113
 Política de Segurança da Informação

Segundo NBR ISSO/IEC 17799 uma política formal para protecção contra os riscos
associados com a importação de arquivos e software, seja de redes externas ou por qualquer
outro meio, indicando quais as medidas preventivas que devem ser adoptadas:

• Instalação e actualização regular de software de detecção e remoção de vírus para o

exame de computadores e meios magnéticos, tanto de forma preventiva como de
forma rotineira;

• Análises críticas regulares de software e dos dados dos sistemas que suportam
processos críticos do negócio.

• Convém que a presença de qualquer arquivo ou actualização não autorizada seja

formalmente investigada;

• Verificação, antes do uso, da existência de vírus em qualquer arquivo em meio

magnético de origem desconhecida ou não autorizada, e em qualquer arquivo recebido
a partir de redes não confiáveis;

• Verificação, antes do uso, da existência de software malicioso em qualquer arquivo

recebido através de correio electrónico ou importado (download). Essa avaliação pode
ser feita em diversos locais, como, por exemplo, nos servidores de correio electrónico,
nos computadores pessoais ou quando da sua entrada na rede da organização;

• Planos de contingência adequados para a recuperação em caso de ataques por vírus,

incluindo os procedimentos necessários para salva e recuperação dos dados e software

• Procedimentos para a verificação de toda informação relacionada a código malicioso e

garantia de que os alertas sejam precisos e informativos.

4.5.6.4 Cópia de segurança

Cópias de segurança dos dados e de software essenciais ao negócio sejam feitas regularmente,
ainda que recursos e instalações alternativos sejam disponibilizados de forma a garantir que
todos os dados e sistemas aplicativos essenciais ao negócio possam ser recuperados após um
desastre ou problemas em mídias, que sejam testados regularmente os backups de sistemas
individuais, de maneira a garantir que satisfaçam os requisitos dos planos de continuidade de
negócios. Segundo NBR ISSO/IEC 17799

78/113
 Política de Segurança da Informação

NA ANCV é feita da seguinte maneira:

O Backup de todas os Servidores, ou seja o sistema todo é feito diariamente em 2 lugares

diferentes.

ƒ No Servidor denominado de Superstor Apllinace (NAS) com uma capacidade de

armazenamento de 4 TB, suportado sobre o sistema operativo Linux e gerido através
de uma consola web (se encontra no outro edifício, ligado a edifício central a fibra
óptica)

ƒ Em 2 discos duros externos de 1TB cada, sendo que este backup é denominado de
Backup Off-line.

Isto da a possibilidade de ter em pelo menos 3 lugares diferentes os mesmos dados, o que
diminui o risco de perda total em caso de danificação dos servidores.

Não se utiliza o sistema de gravação em Tapes, entretanto esta possibilidade não está
descartada, já que brevemente irá ser implementado um Data Center onde s irá reconsiderar
todos estes aspectos.

Alguns servidores importantes, como mail-server, os servidores de aplicações e de base de

dados passaram a estar em sistema Cluster, para evitar paragem em caso de dados.

O Backup parece ser algo desnecessário, porque as probabilidades de que um computador ou

o sistema no seu todo, simplesmente venham a falhar de uma hora para outra, sem qualquer
aviso, são poucas.

Entretanto, quando existem serviços sobre uma rede e os dados da organização são de elevada
importância, como no caso da ANCV, os mesmos devem ser salvaguardados, porque os riscos
são enormes e o pior é que a recuperação dos mesmos em caso de perda é um processo
complicado, lento, caro e em alguns casos impossível.

79/113
 Política de Segurança da Informação

Para uma instituição como a Assembleia Nacional de Cabo Verde, é crucial garantir que os
sistemas de suporte, sejam eles de serviços de Correio Electrónico ou de Armazenamento de
Dados, possam ser recuperados em caso de “desastre” ou falhas de funcionamento num
período de tempo considerado adequado, que permita garantir a funcionalidade da instituição.

A implementação deste tipo de solução se revelou como crítico para a ANCV, pois constitui
um “seguro” sobre todas as actividades realizadas, não só na recolha e no processamento de
informação como também nas configurações realizadas e optimizadas no âmbito da
implementação das diferentes soluções tecnológicas.

Sendo assim, foi implementado um sistema que permite repor o sistema:

ƒ Em minutos e não horas ou dias.

ƒ Para hardware diferente.

ƒ Para locais remotos

ƒ Para ambientes virtuais

ƒ Sempre com fiabilidade

Symantec Exec System Backup and Recovery

80/113
 Política de Segurança da Informação

Segundo NBR ISSO/IEC 17799 algumas recomendações:

• Convém que um nível mínimo de cópias de segurança, juntamente com o controle

consistente e actualizado dessas cópias e com a documentação dos procedimentos de
recuperação, seja mantido em local remoto a uma distância suficiente para livrá-los de
qualquer dano que possa ocorrer na instalação principal.

• Que seja dado às cópias de segurança um nível adequado de protecção física e

ambiental, compatível com os padrões utilizados no ambiente principal, que os
controles adoptados para as mídias no ambiente principal sejam estendidos para o
ambiente de backup.

• As mídias utilizadas para cópias sejam periodicamente testadas, quando possível, de

modo a garantir sua confiabilidade, quando necessário.

• Que os procedimentos de recuperação sejam verificados e testados periodicamente

para assegurar que sejam efectivos e que possam ser aplicados integralmente dentro
dos prazos colocados para estes procedimentos operacionais de recuperação.

4.5.6.5 Controlo de Rede

É necessária a utilização de um conjunto de controles, de forma a obter e preservar a

segurança nas redes de computadores, que os gestores implementem controles para garantir a
segurança de dados nas redes, assim como a protecção dos serviços disponibilizados contra
acessos não autorizados.

Na ANCV todas as políticas de acesso a Internet é definido no WebSense, software líder do

mercado em filtragem de acesso a Internet, que permite realizar uma monitorização de forma
perminorizada sobre todas as tentativas de acesso à Internet e bloquear ou restringir o acesso a
um utilizador, a um grupo de utilizadores ou a um site determinada, assim como a um grupo
de sites determinados

81/113
 Política de Segurança da Informação

Regras Gerais:

• Não são permitidas tentativas de obter acesso não autorizado, tais como tentativas de
fraude, autenticação de utilizador ou segurança de qualquer servidor, rede ou conta.
Isso inclui acesso aos dados não disponíveis para o utilizador, conectar-se a servidor
ou conta cujo acesso não seja expressamente autorizado ao utilizador ou colocar à
prova a segurança de outras redes;

• Antes de ausentar-se do seu local de trabalho, o utilizador deverá fechar todos os

programas em uso, evitando, desta maneira, o acesso por pessoas não autorizadas, se
possível efectuar o logout/logoff da rede ou bloqueio do computador através de senha;

• A instalação de software de comunicação instantânea só deve ser autorizado e

instalado pelos técnicos da Gabinete de Informática;

• O usuário deve fazer manutenção no directório pessoal, evitando acúmulo de arquivos

desnecessários;

• Jogos ou qualquer tipo de software/aplicativo não pode ser gravado ou instalado no

directório pessoal do utilizador, no computador local e em qualquer outro directório da
rede, podem ser utilizados apenas os softwares previamente instalados no computador;

Segundo NBR ISSO/IEC 17799 particularmente, recomenda-se que os seguintes itens sejam
considerados:

• Convém que a responsabilidade operacional sobre a rede seja segregada da operação

dos computadores, onde for apropriado.

• Que sejam estabelecidos procedimentos e responsabilidades para o gerenciamento de

equipamentos remotos, incluindo equipamentos nas instalações dos utilizador.

• Quando necessário, convém que sejam estabelecidos controles especiais para

salvaguardar a confidencialidade e a integridade dos dados que trafegam por redes
públicas, e para proteger os respectivos sistemas.

• Convém que as actividades de gerenciamento sejam cuidadosamente coordenadas, de

forma a optimizarem o serviço prestado e garantirem que os controles utilizados sejam

82/113
 Política de Segurança da Informação

aplicados de forma consistente por toda a infra-estrutura de processamento da

informação.

4.5.7 Controlo de Acesso à Informação

4.5.7.1 Requisitos do negócio para controle de acesso

Tem com objectivo controlar o acesso à informação, que o acesso à informação e processos
do negócio seja controlado na base dos requisitos de segurança e do Negócio. Segundo NBR
ISSO/IEC 17799

4.5.7.2 Requisitos do negócio para política controle de acesso

Convém que os requisitos do negócio para controle de acesso sejam definidos e

documentados. Que as regras de controle de acesso e direitos para cada utilizador ou grupo de
utilizadores estejam claramente estabelecidas no documento da política de controle de acesso,
que seja dado aos utilizadores e provedores de serviço um documento contendo claramente os
controles de acesso que satisfaçam os requisitos do negócio. Segundo NBR ISSO/IEC 17799

Segundo NBR ISSO/IEC 17799 recomenda-se que a política leve em conta o seguinte:

• Requisitos de segurança de aplicações específicas do negócio;

• Identificação de toda informação referente às aplicações do negócio;

• Políticas para autorização e distribuição de informação, por exemplo a necessidade de

conhecer os princípios e níveis de segurança, bem como a classificação da informação;

• Compatibilidade entre o controle de acesso e as políticas de classificação da

informação dos diferentes sistemas e redes;

• Legislação vigente e qualquer obrigação contratual considerando a protecção do

acesso a dados ou serviços;

• Perfil de acesso de utilizador-padrão para categorias de trabalho comuns;

83/113
 Política de Segurança da Informação

• Gerenciamento dos direitos de acesso em todos os tipos de conexões disponíveis em

um ambiente distribuído e conectado em rede.

Existem áreas que merecem maior atenção quanto ao controle da entrada de pessoas, estas
áreas são departamentos que contém informações ou equipamentos que devem ser protegidos,
como por exemplo: sala de servidores, departamentos como financeiro, sector de
documentação, departamento de recursos humanos, sala de coordenadores e directores, entre
outras.

Convém que estas áreas sejam protegidas por controles de entrada apropriados para assegurar
que apenas pessoas autorizadas tenham acesso liberado. Instalações desenvolvidas para fins
especiais que abrigam equipamentos importantes exigem maior protecção que o nível
normalmente oferecido. As instalações da equipe de TI devem ser localizadas e construídas
buscando minimizar: acesso público directo, riscos ao fornecimento de energia e serviços de
telecomunicações. Segundo NBR ISSO/IEC 17799

Acesso à Informação

O acesso e o uso de qualquer informação da Empresa, pelo utilizador, deve se restringir ao

necessário para o desempenho de suas actividades profissionais no âmbito da ANCV.

Regras definidos pelo Parlamento para o controlo de acesso:

• Departamento que tratem com informações confidenciais, o acesso deve ser permitido
somente para pessoas autorizadas.

• Se acontecer a perda de chaves de departamentos ou laboratórios a coordenação

responsável deve ser informada imediatamente para que possa providenciar a troca da
fechadura e de outras cópias da chave perdida.

4.5.7.3 Regras de controle de acesso

Segundo NBR ISSO/IEC 17799 na especificação de regras para controlo de acesso, deve ter
alguns cuidados sejam considerados:

84/113
 Política de Segurança da Informação

• Diferenciação entre as regras que sempre devem ser cumpridas das regras opcionais
ou condicionais;

• Estabelecimento de regras baseadas na premissa “Tudo deve ser proibido a menos que
expressamente permitido”, ao invés da regra “Tudo é permitido a menos que
expressamente proibido”;

• Modificações nos rótulos de informação que são atribuídos automaticamente pelos

recursos de processamento de dados e dos atribuídos a critério de um utilizador;

• Modificações nas permissões de utilizador que são atribuídas automaticamente por um

sistema de informação daquelas atribuídas por um administrador;

• Diferenciação entre regras que requerem aprovação do administrador ou outro

funcionário antes da liberação e aquelas que não necessitam de tal aprovação.

4.5.7.4 Gestão dos acessos dos utilizadores

Segundo NBR ISSO/IEC 17799, tem como objectivo prevenir acessos não autorizados aos
sistemas de informação. Que procedimentos formais sejam estabelecidos para controlar a
concessão de direitos de acesso aos sistemas de informação e serviços, que os procedimentos
cubram todos os estágios do ciclo de vida de acesso de um utilizador, do registro inicial de
novos utilizador até o registro final de exclusão dos utilizador que não mais necessitam ter
acesso aos sistemas de informação e serviços.

o Acesso a rede com fio

O Acesso a rede com fio da ANCV è garantida mediante autentificação do utilizador no

sistema através de nome de utilizador e password, o que pressupõe que todos os postos de
trabalhos devem estar no domínio do parlamento de forma que estes poderão ter acesso aos
recursos de rede e todos os utilizados devem ter contas de utilizador no sistema.

Não è permitido o acesso à rede de computadores pessoais de particulares, salvo com a divida
autorização e permissão dos Técnicos de Comunicação e segurança do Gabinete de
Informática da ANCV. Pois, mesmo que estes fossem conectar aos pontos de rede sem

85/113
 Política de Segurança da Informação

autorizações e adquirisse endereço de rede não teriam acesso aos recursos de rede do
Parlamento e nem à Internet, por conta das políticas implementadas.

o Acesso a Redes sem fios – Wireless

O acesso a rede Wireless è baseado em autenticação 802.1x e é fornecido de duas formas:

Colaboradores da ANCV (certificado Digital)

• Para acesso dos colaboradores da ANCV à rede Wireless é usado um sistema de

autenticação forte, baseado na utilização de Certificados Digitais associado a um
Username e Password.

• Somente os utilizadores existentes no domínio podem requisitar certificados.

• Os perfis dos colaboradores devem pertencer ao SSID (Service Set IDentifier)

apropriado para esta rede.

Convidados

• Aos convidados (jornalistas, pessoal do Governo e outros), que somente terão acesso a
Internet, lhes será atribuído um username e uma password temporário, para se
puderem autenticar;

• O nome de utilizador, principalmente a password deve ser alterada no fim de cada

sessão.

• Todos os convidados devem ser bem identificados afim de obter a autorização e

permissão de acesso a rede.

• O perfil convidado deve pertencer ao SSDI Guest.

86/113
 Política de Segurança da Informação

o Servidor de radius

O processo de autorização de acesso a um utilizador e realizado pelo servidor de radius que

está interligado com o domínio “ Parlamento.cv” e permite a autenticação no acesso a rede
wireless, no acesso VPN e no acesso ao equipamento que suportam a infra-estrutura.

Para que as politicas seja associadas aos utilizadores deve se escolher a seguinte opção nas
contas dos utilizadores.

Control Access through remote Acess policy

o Certificado Digital

A certificação digital tem trazido inúmeros benefícios para os cidadãos e para as instituições
que a adoptam. Com a certificação digital é possível utilizar a Internet como meio de

87/113
 Política de Segurança da Informação

comunicação alternativo para a disponibilização de diversos serviços com uma maior

agilidade, facilidade de acesso e substancial redução de custos.

A ANCV utiliza esta ferramenta, associado ao username e uma password, para garantir maior
segurança no acesso da rede sem fio e do acesso a rede VPN.

o VPN

Tendo em conta a agenda do ano parlamentar, onde os Deputados se deslocam

constantemente aos círculos eleitorais e por vezes necessitam de aceder ao ambiente de
trabalho do Parlamento, criou-se uma rede privada (VPN).

O acesso à esta rede é permitido somente a utilizadores cuja conta existe no domínio
parlamento.cv e tenham também nos seus computadores instalado o certificado digital
correspondente a sua conta.

A autorização é feita pelo servidor Radius, sendo que, mesmo que um colaborador tenha um
username e uma password no sistema e tenha instalado um certificado digital no seu
computador, deverá cumprir com outras políticas definidos no sistema especificamente para
este tipo de acesso.

4.5.7.5 Gerenciamento de Password dos Utilizadores

Segundo NBR ISSO/IEC 17799, password são um meio comum de validação da identidade
do utilizador para obtenção de acesso a um sistema de informação ou serviço cabe a
concessão de senhas que seja controlada através de um processo de gerenciamento formal,
que recomenda-se que considere o seguinte:

• Garantir, onde os utilizadores necessitam manter suas próprias password, que estão
sendo fornecidas password iniciais seguras e temporárias, o que obriga o utilizador a
alterá-la imediatamente. Convém que o fornecimento de password temporárias para o
caso de os utilizador esquecerem sua password seja efectuado somente após a sua
identificação positiva;

88/113
 Política de Segurança da Informação

• Requerer que password temporárias sejam dadas aos utilizador de forma segura, que o
uso de prestadores de serviço ou de mensagens de correio electrónico desprotegidas
seja evitado.

4.5.7.5.1 Politica de Password

As Password são utilizadas pela grande maioria dos sistemas de autenticação e são
consideradas necessárias como meio de autenticação. Porém, elas são consideradas perigosas,
pois dependem do utilizador, que podem, por exemplo escolher password intuitivas e fáceis
de serem descobertas, ou ainda compartilha-las com seus amigos. Existem profissionais com
dificuldades de memorizarem várias senhas de acesso e outros funcionários displicentes que
anotam a senha sob o teclado no fundo das gavetas e inclusive em alguns casos mais graves o
colaborador anota a senha no monitor. Segundo NBR ISSO/IEC 17799

Na ANCV a conta do utilizador é bloqueada após 3 tentativas de acesso sem sucesso e o

utilizador é notificado sobre a ocorrência.

Política definida no sistema, todas as password tem um tempo de vida de 45 dias, ou seja,
todos os utilizadores deveram alterar as suas password a cada 90 dias e ela deverá ter no
mínimo 8 caracteres.

Tudo que for executado com as credencias de um utilizador de rede é de inteira

responsabilidade do utilizador e por isso, se aconselha que:

• Mantenha a password confidencial;

• Não utilizar palavras de dicionários nem utilize o nome do utilizador;

• Não utilize informações pessoais fáceis de serem obtidas,

• Misture caracteres maiúsculos e minúsculos, números, letras e caracteres especiais;

• Não utilize o primeiro nome, o nome do meio ou o sobrenome, ou nomes de pessoas

próximas, como da esposa(o), dos filhos, de amigos;

89/113
 Política de Segurança da Informação

• Não registar em papel nenhuma password, a não ser que este possa ser guardado em
segurança (num cofre) ou em outros meios de registro de fácil acesso;

• Não construir password a partir de nomes de familiares, números de telefone, datas de

nascimento.

4.5.7.6 Controlo de acesso ao sistema operacional

Objectivo: Prevenir acesso não autorizado ao computador.

Recomendo essa política a ANCV porque permite que as funcionalidades de segurança do

sistema operacional sejam usadas para restringir o acesso aos recursos computacionais. Essas
funcionalidades permitam:

• Identificação e verificação da identidade e, se necessário, do terminal e da localização

de cada utilizador autorizado;

• Registro dos sucessos e das falhas de acesso ao sistema;

• Fornecimento de meios apropriados para a autenticação; se um sistema de

gerenciamento de password for usado, convém que ele garanta password de qualidade

• Restrição do tempo de conexão dos utilizador, quando apropriado;

O Acesso a utilitários, como editores, compiladores, softwares de manutenção, monitorização

é limitado, já que estás ferramentas podem ser usados para alterar aplicativos, arquivos de
dados de configuração do sistema operacional

4.5.7.7 Controlo de acesso às aplicações.

ANCV não Adoptou essa politica mas pensa em adoptar.

Segundo NBR ISSO/IEC 17799 recomenda-se a essa politica porque tem como objectivo
prevenir acesso não autorizado à informação contida nos sistemas de informação, os recursos

90/113
 Política de Segurança da Informação

de segurança sejam utilizados para restringir o acesso aos sistemas de aplicação, que o acesso
lógico a software e informação seja restrito a utilizador autorizados. Convém que os sistemas
de aplicação:

• Controlem o acesso dos utilizadores à informação e às funções dos sistemas de

aplicação, de acordo com uma política definida de controle de acesso do negócio;

• Proporcionem protecção contra acesso não autorizado para qualquer software utilitário
e de sistema operacional que seja capaz de sobrepor os controles das aplicações ou do
sistema;

• Não comprometam a segurança de outros sistemas com os quais os recursos de

informação são compartilhados;

• Sejam capazes de dar acesso à informação apenas ao seu proprietário, a outros

indivíduos nominalmente autorizados ou a determinados grupos de utilizadores.

4.5.7.8 Monitoração do uso e acesso ao sistema

Segundo NBR ISSO/IEC 17799, objectivo: descobrir actividades não autorizadas. Convém
que os sistemas sejam monitoradas para detectar divergências entre a política de controle de
acesso e os registros de eventos monitoradas, fornecendo evidências no caso de incidentes de
segurança. A Monitoração do sistema permite que sejam verificadas a efectividade dos
controles adoptados e a conformidade com o modelo de política de acesso.

Algumas recomendações a ANCV:

• Registro (log) de eventos

Segundo NBR ISSO/IEC 17799, convém que trilhas de auditoria registrando as excepções e
outros eventos de segurança relevantes sejam produzidas e mantidas por um período de tempo
acordado para auxiliar em investigações futuras e na monitoração do controle de acesso, que
os registros (log) de auditoria também incluam:

• Identificação dos utilizadores;

91/113
 Política de Segurança da Informação

• Datas e horários de entrada (log-on) e saída (log-off) no sistema;

• Identidade do terminal ou, quando possível, a sua localização;

• Registros das tentativas de acesso ao sistema aceitas e rejeitadas;

• Registros das tentativas de acesso a outros recursos e dados aceitas e rejeitadas.

4.5.7.9 Monitoração do uso do sistema

• Procedimentos e áreas de risco

Segundo NBR ISSO/IEC 17799, convém que sejam estabelecidos procedimentos para a
monitoração do uso dos recursos de processamento da informação. Tais procedimentos são
necessários para garantir que os utilizadores estão executando apenas as actividades para as
quais eles foram explicitamente autorizados, que o nível de monitoração requerido para os
recursos individuais seja determinado através de uma avaliação de risco. As áreas que devem
ser consideradas incluem:

• Acessos autorizados, incluindo detalhes do tipo:

• A identificação (ID) do utilizador;

• A data e o horário dos eventos-chave;

• Tipo do evento;

• Os arquivos cujo acesso foi obtido;

• Os programas ou utilitários utilizados;

• Todas as operações privilegiadas, tais como:

• Utilização de conta de supervisor;

• Inicialização e finalização do sistema;

• A conexão e a desconexão de dispositivos de entrada e saída;

92/113
 Política de Segurança da Informação

• Tentativas de acesso não autorizado, tais como:

• Tentativas que falharam;

• Violação da política de acesso e notificações para gateways e firewalls da rede;

• Alertas dos sistemas proprietários de detecção de intrusão;

• Alertas e falhas do sistema, tais como:

• Alertas ou mensagens do console;

• Registro das excepções do sistema;

• Alarmes do gerenciamento da rede.

4.5.8 Aquisição, Desenvolvimento e Manutenção de Sistemas de

Informação

Na ANCV o departamento de informática tem desenvolvido algumas aplicações, como por

exemplo aplicação para gestão de Stock no Armazém, a base de dados para consulta e
requisição de livros existentes na biblioteca, A Base dados do processo Legislativo, Aplicação
para controlar a manutenção dos equipamentos, etc.

• Requisitos de segurança de sistemas

Segundo NBR ISSO/IEC 17799, objectivo é garantir que a segurança seja parte integrante dos
sistemas de informação.

Segundo NBR ISSO/IEC 17799,isto incluirá infra-estrutura, aplicações do negócio e

aplicações desenvolvidas pelo utilizador. O projecto e a implementação dos processos do
negócio que dão suporte às aplicações e aos serviços podem ser cruciais para segurança.
Convém que requisitos de segurança sejam identificados e acordados antes do
desenvolvimento dos sistemas de informação, que todos os requisitos de segurança, incluindo
a necessidade de acordos de contingência, sejam identificados na fase de levantamento de

93/113
 Política de Segurança da Informação

requisitos de um projecto e justificados, acordados e documentados como parte do estudo de

caso de um negócio para um sistema de informação.

Entretanto, o parlamento continua a apostar na tercerização dos serviços e tem sido

contratados várias empresas para implementar soluções adquiridas e outras que são
desenvolvidas pelas próprias empresas como é o caso do novo Site do Parlamento.

Algumas recomendações a ANCV:

• Segurança nos sistemas de aplicação

Segundo NBR ISSO/IEC 17799, objectivo é prevenir perda, modificação ou uso impróprio de
dados do utilizador nos sistemas de aplicações.
Convém que os controles apropriados e trilhas de auditoria ou registro de actividades sejam
previstos para os sistemas de aplicação, incluindo aplicações escritas pelo utilizador, que estes
incluam a validação dos dados de entrada, processamento interno e dados de saída.

• Validação de dados de entrada

Segundo NBR ISSO/IEC 17799, todos os dados de entrada dos sistemas de aplicação sejam
validados para garantir que estão correctos e que são apropriados, que validações sejam
aplicadas na entrada das transacções de negócio, nos dados permanentes (nomes e endereços,
limites de crédito, números de referência de clientes) e nas tabelas de parâmetros (preços de
venda, razão de conversão de moeda, taxas de impostos). Recomenda-se que os seguintes
controlos sejam considerados:

• Dupla entrada ou outra forma de checagem de entrada para detecção dos seguintes
erros:

• Valores fora dos limites aceitáveis;

• Caracteres inválidos nos campos de dados;

• Dados ausentes ou incompletos;

94/113
 Política de Segurança da Informação

• Dados excedendo os volumes máximos e mínimos;

• Controle de dados não autorizados ou inconsistentes;

• Análise crítica periódica do conteúdo dos campos-chave ou arquivos de dados para

confirmar a sua validade e integridade;

• Inspecção de cópias de documentos de entrada de dados para qualquer modificação

não autorizada aos dados de entrada (qualquer modificação dos documentos de entrada
de dados deve ser explicitamente autorizada);

• Procedimentos de resposta à validação de erros;

• Definição de responsabilidades de todo pessoal envolvido no processo de entrada de

dados.

4.5.8.1 Controlos de criptografia

Objectivo: Proteger a confidencialidade, autenticidade ou integridade das informações.

Convém que técnicas e sistemas criptográficos sejam usados para a protecção das
informações que são consideradas de risco e que para as quais outros controles não fornecem
protecção adequada. Segundo NBR ISSO/IEC 17799

• Política para o uso de controles de criptografia

Segundo NBR ISSO/IEC 17799, A tomada de decisão sobre o quão adequada é uma solução
criptográfica seja vista como parte de um processo mais amplo de avaliação de riscos e
selecção de controles. Convém que uma avaliação de riscos seja executada para determinar o
nível de protecção que deve ser dado à informação. Esta avaliação pode então ser usada para
determinar se um controle criptográfico é apropriado, que tipo de controle deve ser aplicado e
para que propósito e processos do negócio.

Segundo NBR ISSO/IEC 17799, uma organização desenvolva uma política do uso de
controles de criptografia para a protecção das suas informações. Tal política é necessária para
se maximizar os benefícios e minimizar os riscos da utilização das técnicas criptográficas e

95/113
 Política de Segurança da Informação

para se evitar o uso impróprio ou incorrecto. Quando do desenvolvimento de uma política,

recomenda-se o seguinte:

• Enfoque da direcção frente ao uso dos controles de criptografia através da

organização, incluindo os princípios gerais sob os quais as informações do negócio
devem ser protegidas;

• Enfoque utilizado para o gerenciamento de chaves, incluindo métodos para tratar a

recuperação de informações criptografadas em casos de chaves perdidas, expostas ou
danificadas;

• Regras e responsabilidades, por exemplo quem é responsável por:

• Implementação da política;

• Gerenciamento das chaves;

• Como deve ser determinado o nível apropriado de protecção criptográfica;

• As normas a serem adoptadas para a efectiva implementação através da organização

Actualmente a ANCV utiliza um dos métodos da Criptografia para garantir a troca de

informação que é o Certifido Digital, mas poderia utilizar outros mecanismos da criptografia
como a Criptografia Simétrica, a Criptografia Assimétrica e nomeadamente a Assinatura
Digital que garanta a autenticidade dos documentos digitais, garantindo ao destinatário de
uma mensagem digital a identidade do remetente e a integridade da mensagem.

Não obstante, para o domínio público (Internet) o Parlamento ainda não possui a sua prova de
identidade – Certificado Digital. Assim sendo, a ANCV deve adquirir de uma entidade
Certificadora (Certificate Authority), neste caso a ANAC, o seu Certificado Digital para se
identificar para o mundo.

4.5.8.2 Sistemas de Detecção de Intrusão (IDS – Intrusion Detection Systems)

São sistemas podem actuar de duas forma, somente alertar as tentativas de invasão, como
também em forma reactiva, aplicando acções necessárias contra o ataque.

96/113
 Política de Segurança da Informação

Como meio de detecção de tentativas de acesso indevido a rede da ANCV, além de verificar
periodicamente o tráfego no Firewall e o acesso a rede através deste e de verificar o stateful
dos pacotes que passa pela ISA, a ANCV deverá utilizar outros aplicações que lhe permitirá
identificar potenciais intrusos a sua rede.

4.5.9 Gestão da continuidade do negocio

Na ANCV não existe ainda essa politica mas futuramente pensam em implementar a uma
Data Center e NAC – Cisco Network Admission Control que permite que apenas dispositivos
em conformidade ou confiáveis possam aceder à rede, restringindo o acesso a dispositivos em
não conformidade e limitando, portanto, o potencial dano causado por ameaças não
controláveis ou não identificados. O NAC oferecerá a ANCV, um sofisticado e flexível
método de impedir acessos não autorizados e ao mesmo tempo, irá fortalecer e blindar a sua
rede e sistemas contra as ameaças de segurança.

4.5.9.1 Aspectos da gestão da continuidade do negócio

Segundo NBR ISSO/IEC 17799, objectivo é não permitir a interrupção das actividades do
negócio e proteger os processos críticos contra efeitos de falhas ou desastres significativos.
Que o processo de gestão da continuidade seja implementado para reduzir, para um nível
aceitável, a interrupção causada por desastres ou falhas da segurança (que pode ser resultante
de, por exemplo, desastres naturais, acidentes, falhas de equipamentos e acções intencionais)
através da combinação de acções de prevenção e recuperação.

É importante que as consequências de desastres, falhas de segurança e perda de serviços

sejam analisadas. Recomenda- se que os planos de contingência sejam desenvolvidos e
implementados para garantir que os processos do negócio possam ser recuperados dentro da
requerida escala de tempo. É importante que tais planos sejam mantidos e testados de forma a
se tornarem parte integrante de todos os outros processos gerenciada. Segundo NBR
ISSO/IEC 17799

97/113
 Política de Segurança da Informação

É importante que a gestão da continuidade do negócio inclua controles para a identificação e

redução de riscos, a limitação das consequências dos danos do incidente e a garantia da
recuperação tempestiva das operações vitais. Segundo NBR ISSO/IEC 17799

• Documentando e implementando planos de continuidade

Os planos sejam desenvolvidos para a manutenção ou recuperação das operações do negócio,

após a ocorrência de interrupções ou falhas dos processos críticos. Recomenda-se que o
processo de planejamento da continuidade do negócio considere os seguintes itens:

• Identificação e concordância de todas as responsabilidades e procedimentos de

emergência;

• Implementação dos procedimentos de emergência que permitam a recuperação e

restauração nos prazos necessários. Atenção especial deve ser dada à avaliação de
dependências externas ao negócio e de contratos existente;

• Documentação dos processos e procedimentos acordados;

• Treinamento adequado do pessoal nos procedimentos e processos de emergência

definidos, incluindo o gerenciamento e crise;

• Teste e actualização dos planos. Convém que o processo de planejamento foque os

objectivos requeridos do negócio, por exemplo recuperação de determinados serviços
específicos para os clientes, em um período de tempo aceitável.

4.5.10 Conformidade

Não é utilizada na ANCV mas faz – se algumas recomendações:

4.5.10.1 Conformidade com requisitos legais

Segundo NBR ISSO/IEC 17799, objectivo é evitar violação de qualquer lei criminal ou civil,
estatutos, regulamentações ou obrigações contratuais e de quaisquer requisitos de segurança.

98/113
 Política de Segurança da Informação

O projecto, a operação, o uso e a gestão de sistemas de informação podem estar sujeitos a

requisitos de segurança contratuais, regulamentares ou estatutários.

Que consultoria em requisitos legais específicos seja procurada em organizações de

consultoria jurídica ou em profissionais liberais, adequadamente qualificados nos aspectos
legais. Os requisitos legislativos variam de país para país e também para a informação criada
em um país e transmitida para outro. Segundo NBR ISSO/IEC 17799

4.5.10.2 Direitos de propriedade intelectual

• Direitos autorias

Segundo NBR ISSO/IEC 17799, convém que procedimentos apropriados sejam

implementados para garantir a conformidade com as restrições legais no uso de material de
acordo com leis de propriedade intelectual, como as de direitos autorias, patentes ou marcas
registradas.

A violação dos direitos autorias pode levar a uma acção legal envolvendo processos criminais.
Legislação, regulamentação e cláusulas contratuais podem estabelecer restrições para cópia de
material que tenha direitos autorias. Em particular, pode ser requerido que somente material
que seja desenvolvido pela organização ou que foi licenciado ou fornecido pelos
desenvolvedores para a organização seja utilizado. Segundo NBR ISSO/IEC 17799

• Direitos autorias de software

Produtos de software proprietários são normalmente fornecidos sob um contrato de

licenciamento que restringe o uso dos produtos em máquinas especificadas e que pode limitar
a cópia apenas para criação de uma cópia de segurança. Segundo NBR ISSO/IEC 17799

99/113
 Política de Segurança da Informação

Segundo NBR ISSO/IEC 17799 Convém que os seguintes controles sejam considerados:

• Divulgar uma política de conformidade com os direitos autorias de software que

defina o uso legal de produtos de software e de informação;

• Emitir padrões para procedimentos de aquisição de produtos de software;

• Manter atenção sobre a política de aquisição e de direitos autorias de software e

notificar a intenção de tomar acções disciplinares contra colaboradores que violarem
essas políticas;

• Manter adequadamente os registros de activos;

• Manter provas e evidências da propriedade de licenças, discos-mestres, manuais, etc.

• Implementar controles para assegurar que o número máximo de usuários permitidos

não excede o número de licenças adquiridas;

• Conduzir verificações para que somente produtos de software autorizados e

licenciados sejam instalados;

• Estabelecer política para a manutenção das condições adequadas de licenças;

• Estabelecer uma política para disposição ou transferência de software para outros;

• Utilizar ferramentas de auditoria apropriadas;

• Cumprir termos e condições para software e informação obtidos a partir de redes

públicas.

• Salvaguarda de registros organizacionais

Os registros importantes de uma organização sejam protegidos contra perda, destruição e

falsificação. Alguns registros podem precisar ser retidos de forma segura para atender a
requisitos estatutários ou regulamentações, assim como para apoiar as actividades essenciais
do negócio. Exemplo disso são os registros que podem ser exigidos como evidência de que
uma organização opera de acordo com as regras estatutárias e regulamentares, ou que podem
assegurar a defesa adequada contra potenciais processos civis ou criminais ou confirmar a
situação financeira de uma organização perante aos accionistas, parceiros e auditores.
Segundo NBR ISSO/IEC 17799

100/113
 Política de Segurança da Informação

Convém que registros sejam categorizados em tipos de registros, tais como registros
contáveis, registros de base de dados, registros de transacções, registros de auditoria e
procedimentos operacionais, cada qual com detalhes do período de retenção e do tipo de
mídia de armazenamento, como, por exemplo, papel, microficha, meio magnético ou óptico.
Convém que quaisquer chaves de criptografia relacionadas com arquivos cifrados ou
assinaturas digitais sejam mantidas de forma segura e tornadas disponíveis para as pessoas
autorizadas quando necessário. Segundo NBR ISSO/IEC 17799

Ainda que sistemas de armazenamento de dados sejam escolhidos de modo que o dado
solicitado possa ser recuperado de forma aceitável pelo tribunal de justiça, como, por
exemplo, todos os registros solicitados possam ser recuperados nos prazos e nos formatos
aceitáveis, que o sistema de armazenamento e tratamento assegure a clara identificação dos
registros e dos seus períodos de retenção estatutários e regulamentares, que seja permitida a
destruição apropriada dos registros após esse período, caso não sejam mais necessários à
organização. Segundo NBR ISSO/IEC 17799

Segundo NBR ISSO/IEC 17799, para atender a estas obrigações, convém que os seguintes
passos sejam tomados dentro da organização:

• Emitir directrizes gerais para retenção, armazenamento, tratamento e disposição de

registros e informações.

• Elaborar uma programação para retenção, identificando os tipos de registro essenciais

e o período que cada um deve ser mantido.

• Manter um inventário das fontes de informações-chave.

• Implementar controles apropriados para proteger registros e informações essenciais de

perda, destruição e falsificação.

4.5.10.3 Conformidade com a Politica e Normas se Segurança

Objectivo: Garantir conformidade dos sistemas com as políticas e normas organizacionais de

segurança. Segundo NBR ISSO/IEC 17799

101/113
 Política de Segurança da Informação

Convém que a segurança dos sistemas de informação seja analisada criticamente a intervalos
regulares, que tais análises críticas sejam executadas com base nas políticas de segurança
apropriadas e que as plataformas técnicas e sistemas de informação sejam auditados na
conformidade com as normas de segurança implementadas. Segundo NBR ISSO/IEC 17799

• Conformidade com a política de segurança

Segundo NBR ISSO/IEC 17799, que gestores garantam que todos os procedimentos de
segurança dentro da sua área de responsabilidade estão sendo executados correctamente.
Adicionalmente, convém que todas as áreas dentro da organização sejam consideradas na
análise crítica periódica, para garantir a conformidade com as normas e políticas de
segurança. Convém que isto inclua o seguinte:

• Sistemas de informação;

• Provedores de sistemas;

• Proprietários da informação e activos de informação;

• Utilizador;

• Direcção.

Convém que os proprietários dos sistemas de informação apoiem as análises críticas

periódicas de conformidade dos seus sistemas com as políticas de segurança, normas e
qualquer outro requisito de segurança apropriado. Segundo NBR ISSO/IEC 17799

4.5.10.4 Normas

Qualquer instituição para que possa sobreviver, tem que estar assente num conjunto de
Normas que o regem. O Gabinete de Informática para que garante o seu bom funcionamento e
harmonia junta com os demais departamentos da instituição da ANCV, deverá possuir um
conjunto de normas que o governam.

• É expressamente proibida a entrada de pessoas estranhas ao serviço fora do horário de

atendimento;

102/113
 Política de Segurança da Informação

• Devem ser evitadas qualquer pedido por parte dos utentes nos corredores da
instituição, excepto em casos de máxima urgência;

• Nenhum utilizador deve tentar, pelos seus próprios meios, resolver problemas
relacionados com os equipamentos que sejam da responsabilidade do Gabinete de
Informática;

• A remoção ou mudança dos equipamentos informáticos são da única e exclusiva

responsabilidade do Gabinete de Informática;

• Os Bastidores devem estar sempre fechados, evitando assim a sua violação por parte
de funcionários e visitantes, quando estes se situam em gabinetes

4.5.10.5 Considerações quanto à auditoria de sistemas

Objectivo: Maximizar a eficácia e minimizar a interferência no processo de auditoria de

sistema, que existam controles para a salvaguarda dos sistemas operacionais e ferramentas de
auditoria durante as auditorias de sistema. Protecção também é necessária para salvaguardar a
integridade e prevenir o uso indevido das ferramentas de auditoria. Segundo NBR ISSO/IEC
17799

• Controles de auditoria de sistema

Segundo NBR ISSO/IEC 17799, convém que requisitos e actividades de auditoria envolvendo
verificação nos sistemas operacionais sejam cuidadosamente planejados e acordados, para
minimizar os riscos de interrupção dos processos do negócio. Recomenda-se que seja
observado o seguinte:

• Convém que os requisitos de auditoria sejam acordados com o nível apropriado da

direcção.

• Convém que o escopo da verificação seja acordado e controlado.

• Convém que a verificação esteja limitada ao acesso somente para leitura de software e
dados.

103/113
 Política de Segurança da Informação

• Convém que outros acessos diferentes de apenas leitura sejam permitidos somente
através de cópias isoladas dos arquivos do sistema, que devem ser apagados ao final
da auditoria.

• Convém que recursos de tecnologia para execução da verificação sejam identificados

explicitamente e tornados disponíveis.

• Convém que requisitos para processamento adicional ou especial sejam identificados e

acordados.

• Convém que todo acesso seja monitorado e registrado de forma a produzir uma trilha
de referência.

• Convém que todos os procedimentos, requerimentos e responsabilidades sejam

documentados.

• Protecção das ferramentas de auditoria de sistemas

Convém que acessos às ferramentas de auditoria de sistemas, isto é, software ou arquivos de

dados, sejam protegidos para prevenir contra qualquer possibilidade de uso impróprio ou
comprometimento. Convém que tais ferramentas sejam separadas de sistemas em
desenvolvimento e em operação e não sejam mantidas em fitas de biblioteca ou áreas de
utilizador, a menos que forneçam um nível apropriado de protecção adicional. Segundo NBR
ISSO/IEC 17799

4.5.11 Medidas se segurança implentadas na ANCV

Segundo responsável pela área das redes de comunicações e segurança da informação da

ANCV O Firewall é um dispositivo (com software instalado) que impede certo tipo de
informações de circularem, é uma das ferramentas que garante a protecção do ambiente
computacional pois é uma barreira inteligente que fica entre a rede local e a Internet, através
da qual só é permitido tráfego autorizados, tornado assim o único ponto de entrada da rede. O
tráfego é examinado em tempo real e a aceitação ou rejeição é de acordo com um conjunto de
regras de acesso elaboradas de conformidade com as politicas de acesso da referida
organização.

104/113
 Política de Segurança da Informação

Foram implementadas dois tipos de Firewalls na ANCV e com suas Vantagens

• Cisco PIX 515

A ANCV possui um Firewall PIX 515E, onde foram criadas regras que especificam que todo
tráfego que não for expressamente permitido, é proibido. Essas regras controlam tanto as
informações recebidas através de cada interface de rede como o tráfego de saída.

Também foram criadas regras de acesso que permita o controlo directamente na entrada das
informações vindas da Internet, de forma a possibilitar protecções contra IP Spoofing, onde
são negadas informações vindas da Internet com endereços de origem da própria ANCV, e
informações com destino à Internet com endereço de origem diferente da ANCV.

Dessa maneira será possível eliminar a ameaça de IP Spoofing vindas de atacantes pela
Internet, como também o uso de IP Spoofing por parte dos utilizadores ou funcionários do
Parlamento. Também foram adicionadas regras de acesso para negar informações com
endereços IP reservados. Os endereços de classes reservadas são destinados para serem
utilizados somente em redes locais e não podem ser rateados através da Internet, muitos dos
ataques DOS (Denial-of-Service) e DDoS (Distributed Denial of Service) utilizam esses
endereços para ocultar a sua origem. No Firewall ainda foram adicionadas regras para impedir
ataques DDoS originados na instituição.

• ISA Server 2006

O ISA (Internet Security and Acceleration) Server 2006 que também está implementado como
segundo firewall (de fora para dentro) é mais um elemento ou ferramenta de segurança, pelo
facto de ser um firewall que auxilia na protecção de rede corporativa da ANCV contra
ataques, provendo regras que permitem ou negam o acesso desejado, publicação de Web,
publicação de Servidor de Mail e de outros servidores para controlar o acesso para a rede e de
sua rede.

105/113
 Política de Segurança da Informação

O ISA dá o suporte a filtros de tráfego a nível de pacotes, trajecto e aplicação, assim como
suporta a inspecção stateful de pacotes, ou seja, tem a capacidade de examinar os dados que
passam pelo firewall baseando-se em seu protocolo e no status da conexão.

Como o ISA Server também é configurado como Proxy-Server, possibilita a criação de regras
para o acesso a Internet, definindo como, quando e quem irá aceder a Internet.

Como Proxy Cache, é acessado e compartilhado por muitos utilizadores. A aplicação proxy
age como intermediário entre clientes e servidores WWW. O servidor local procura pela
página, grava-a no disco e repassa para o utilizador. Requisições subsequentes de outros
utilizadores recuperam a página que está gravada localmente. Os servidores proxies são
usados por organizações ou provedores que querem reduzir a quantidade de banda que
utilizam.

• DeMilitirized zone ou Zona desmilitarizada (DMZ)

Para instituições como a Assembleia Nacional que quer rodar serviços acessíveis
externamente como http, e-mail, FTP e DNS, ou seja, disponibilizar informações de carácter
público através de plataformas como por exemplo o site do parlamento, é recomendado que
estes serviços sejam fisicamente ou logicamente separado da rede interna.

Firewalls e a protecção de máquinas e aplicações são maneiras efectivas de detectar intrusões

casuais, entretanto, alguns Crackers podem encontrar vias á rede interna se os serviços que
craquearem residem no mesmo segmento da rede. Os serviços acessíveis externamente devem
residir no que a indústria da segurança chama de zona desmilitarizada (DMZ), um segmento
da rede lógica onde o tráfego de entrada da Internet não pode aceder a rede interna.

Isto é efectivo, pois mesmo que um utilizador maléfico faça um exploit na DMZ, o resto da
rede interna fica atrás de um firewall num segmento separado.

106/113
 Política de Segurança da Informação

Capítulo 5: Conclusão

No estudo realizado conclui – se que uma política de segurança consiste num conjunto
formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organização.
As políticas de segurança devem ter uma implementação prática e definir claramente as áreas
de responsabilidade dos utilizadores, do pessoal de gestão de sistemas e redes e da
Administração.

Em relação aos modelos conclui-se que Bell-LaPadula se baseia numa máquina de estados,
capturando os aspectos da confidencialidade do controlo de acessos, quer para a
integridade, como o Biba e o Clark-Wilson. Goguen-Meseguer baseia-se nos princípios
matemáticos que governam os autómatos, um mecanismo de controlo concebido para seguir
de forma automática uma sequência predeterminada de operações. Sutherland endereça a
problemática da integridade focando-se no problema da inferência, ou seja, a utilização de
canais dissimulados para influenciar os resultados de um processo enquanto que Harrison-
Ruzzo-Ullman define sistemas de autorização que endereçam essas lacunas que o BLP não
faz. Alguns destes modelos aplicam-se a ambientes onde as políticas são estáticas, como o
Bell-LaPadula, enquanto que outros consideram as alterações dinâmicas dos direitos de
acesso, como é o caso do Chinese Wall.

107/113
 Política de Segurança da Informação

É importante a definição, para utilizadores da rede de computadores da ANCV, de regras que

devem ser seguidas para a utilização de maneira adequada dos recursos de informática, assim
como para a garantia da segurança física. O modelo de política de segurança desenvolvido
visa a descrição destas regras de modo acessível ao entendimento dos utilizadores

Com a complexidade e novas tecnologias surgindo a todo o momento, faz-se necessário para
qualquer organização a criação de uma política de segurança formal, clara e objectiva,
visando a segurança da informação com foco nas informações trocadas pela mesma.

Verificou-se a ausência da políticas formais de segurança corporativas, implementadas e

aplicadas à organização e aos seus sistemas de informação, devidamente acreditadas e
aplicadas pela organização, o que impede a clara definição dos objectivos à cumprir no que
respeita à segurança da informação, assuntos ou sistemas específicos.

As políticas de segurança da informação classificam – se como sendo controlos de segurança

para o negócio da ANCV, assim, deverão estar devidamente documentadas na ANCV. As
pessoas que trabalham no ambiente de negócio deverão ter instruções clara e simplificadas
que o ajudem a cumprir as políticas de segurança da informação num ambiente considerado
complexo.

Através da análise conclui-se que não existe um documento formalmente formal que expresse
as preocupações e estabeleça as linhas mestras para a gestão de segurança da informação,
aprovada pela Administração da ANCV, publicado e comunicado de forma adequada a todos
os colaboradores.

Também detectou-se a ausência de um documento de procedimentos e políticas de segurança

formais adequadas, ligadas aos sistemas de informação e presentes na plataforma tecnológica
da organização, que tentem assegurar a segurança da informação.

108/113
 Política de Segurança da Informação

Implicitamente não existe um gestor que seja responsável pela manutenção e análise crítica da
politica de segurança da informação, de acordo com um processo da análise crítica definido, e
que resulte como decorrência de qualquer mudança que venha afectar a avaliação de risco
original, tais como incidentes de segurança significativos, nova vulnerabilidades ou mudanças
organizacionais.

Assim, de acordo com a análise efectuada, recomenda-se o desenvolvimento e implantação de

um conjunto de documentação corporativa na ANCV (baseando-se na modelo NBR
ISSO/IEC 17799) que reflicta as normas de segurança a aplicar à informação crítica de
negócio existente na organização. Essa documentação, deverá ser devidamente formalizada
perante a administração, através de um documento formal que expresse as preocupações da
organização e estabeleça as linhas mestras para a gestão da segurança da informação,
aprovado pela Direcção, publicado e comunicado de forma adequada a todos os funcionários
e deputados (ou sujeitos parlamentares).

109/113
 Política de Segurança da Informação

Bibliografia

BARROS, S.O, (2006), Segurança de redes locais com a implementação de VLANs,

monografia de Bacharelato, publicada, Universidade Jean Piaget de Cabo Verde.

CARNEIRO, Alberto, (2002), Introdução à Segurança dos Sistemas de Informação,

Segurança um factor de sucesso – Auditoria, Politicas e Benefícios da Segurança, Lisboa,
FCA – Editora de informática. ISBN: 972-722-315-X;

LAMAS, Estela, et al, (2001), Contributos para uma metodologia cientifica mais cuidada,
Lisboa, Instituto Piaget.

LESSARD, Herbert, Michelle, et al, (1990), Investigação qualitativa, Lisboa, Instituto Piaget.

MAMEDE, S. Henrique, (2006), Segurança Informática nas Organizações, FCA-Editora

Informática, Lda.

MONTEIRO, Edmundo, BOAVIDA, Fernando, (2000), Engenharia de Redes Informáticas,

4ª Edição, FCA Editora de Informática Ltda.

SOUSA, B. Lindeberg, (2006), TCP/IP Básico Conectividade em Redes, Dados, 3ª Edição,

Editora Érica Ltda.

SILVA, C. C. R. Elcelina, (2005), Perfil de Utilizador em Redes Locais, monografia de

Bacharelato, publicada, Universidade Jean Piaget de Cabo Verde.

SILVA, C. C. R. Elcelina, (2006), Redes Universitárias segurança e Auditoria, monografia

de Licenciatura, publicada, Universidade Jean Piaget de Cabo Verde.

TADANO, K. Yumi, (2002) GED: Assinatura Digital e Validação Jurídica de Documentos

Electrónicos, Cuiabá MT – Brasil.

Sitografia

CAMPOS, A. (s/d), Auditoria em tecnologia da informação, [em linha] disponível em

<www.4shared.com>, [consultado em 30/05/09].

COSTA, Helena, (s/d), Segurança da Informação, [em linha] disponível em <

http://www.micropic.com.br/noronha/Informatica/SEGURANCA/Seguranca%20da%20Infor
macao.pdf>, [consultado em 30/05/09].

GORISSEN, O. Maximilian, (s/d) Política de Segurança da Informação: A norma ISO 1779,

[em linha] disponível em <w w w. compust reamsecur it y.com.br> [consultado em 28/03/09].

LAUREANO, P. A. M, (2005), Gestão de Segurança da Informação, [em linha] disponível

em < www.mlaureano.org/aulas_material/gst/apostila_versao_20.pdf > [consultado 28/05/
2009].

110/113
 Política de Segurança da Informação

MARCIANO, P.L. João, (2006), Segurança da Informação - uma abordagem social,

monografia de doutor em Ciências da Informação, publicada, Universidade de Brasília, [em
linha] disponível em <http://www.enancib.ppgci.ufba.br/premio/UnB_Marciano.pd>
[consultado em 15/06/09].

Politica de segurança da informação, (2006), [em linha] disponível em

<http://www.bancopopular.pt/NR/rdonlyres/66378D57-409B-4E5D-BABE
C21F42D5CECD/3306/politicadeseguran%C3%A7a_A07.pdf> [consultado em 28/05/09].

Politica de segurança (s/d), [em linha] disponível em

http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm> [consultado em 08/04/09].

PUTTINI, (s/d), S. Ricardo, Segurança da informação, [em linha] disponível em

<http://www.redes.unb.br/security/seguranca.pdf>, [consultado em 28/05/09].

SIEWERT, C.Vanderson, (s/d), integração da politica de segurança da informação com o

firewal, [em linha] disponível em
http://artigocientifico.tebas.kinghost.net/uploads/artc_1202930234_72.pdfconsultado
[consultado em 11/06/09].

SPANCESKI, R. Francini, (2004), politica de segurança da informação – Desenvolvimento

de um Modelo voltado para Instituições de ensino monografia de Bacharel, [em linha]
disponível em
<http://www.mlaureano.org/aulas_material/orientacoes2/ist_2004_francini_politicas.pdf>
[consultado em 8/04/09].

Wikipédia, (2008), Segurança da Informação: a enciclopédia livre, [em linha] disponível em

http://pt.wikipedia.org/wiki/seguran%c3%A7a_da_informa%c3%A7%c3%A30 [consultado
em 15/05/2009].

111/113
 Política de Segurança da Informação

A Guião:

A.1 Guião de entrevista:

• Direccionado ao responsável pela área das redes de comunicações e segurança da
informação

11 Historia da Assembleia

11.1 Visão, Missão da Assembleia

11.2 Definição da estrutura da informática
11.3 Equipa da TI da Assembleia

2 Política de Utilização da Rede

2.1 Login
2.2 Manutenção de arquivos no servidor
2.3 Tentativas não autorizadas de acesso.
2.3.1 Regras para funcionários

3. Política de gestão de Password

3.1 Quais são as regras que utilizam
32 Como é feito a gestão de password

4.Política de Utilização de E-Mail

4.1 Regras para funcionários

5. Política de acesso a Internet

5.1 Regras para funcionários

6. Política de uso das Estações de trabalho

6.1 Regras Gerais

112/113
 Política de Segurança da Informação

7. Politica de segurança física

7.1 Controle de acesso
7.2 Segurança das instalações
7.3 Segurança de equipamentos

8.Segurança nos recursos Humanos

8.1 Qual é a segurança de recursos humanos
8.2 Revisão ou alteração dos termos de contratação

9 Gestão de comunicações e operações

9.1 Protecção contra o código malicioso

9.2 Como é feito Copias de segurança e recuperação de desastre

9.3 Controlo das redes
9.4 Troca de informação

Questões

1) Qual a estrutura organizacional da equipe de informática da instituição?

2) Qual o número de servidores da instituição?
4) Como é dividida a estrutura de informática (número de computadores, domínios) entre
laboratórios de ensino e departamentos?
5) Qual o número de computadores (estações de trabalho) da rede?
7) Como é feita a troca de informações entre as unidades?
8) Existe alguma política de segurança sendo utilizada?
10) Existe uma equipe de informática para cada unidade?
11) Na ANCV dão formação ao pessoal de informática?
12) Como é feita cópias de segurança?
13) Usam Plano de continuidade de negócio?
14) Na ANCV fazem desenvolvimento, aquisição e manutenção de aplicações para garantir
que a segurança?
15) Como fazem para prevenir de desastre?
16) Como fazem para evitar violação de qualquer lei criminal ou civil, estatutos,
regulamentações ou obrigações contratuais?

113/113