PIM VI

Prévia do material em texto

Resumo
	O presente projeto tem por objetivo, apresentar os resultados de pesquisa realizada com o intuito de desenvolver e estabelecer as melhores práticas para o acesso remoto, utilizando um plano de conscientização, além de treinamento para política de acesso remoto visando prevenir os principais ataques que ocorrem na web. Para isso, vamos propor configurações técnicas de segurança para os sistemas operacionais das estações de trabalho, para o acesso remoto externo, eliminando quaisquer possíveis fontes de vulnerabilidade, identificando as principais ameaças existentes na atualidade. 
	Neste projeto, foram aplicados os conhecimentos adquiridos nas Disciplinas de Segurança de Sistemas Operacionais (Windows/Linux), Gestão Estratégica de Recursos Humanos e Segurança no Ambiente Web, essenciais para o desenvolvimento do mesmo.
	Palavras chaves: Segurança de Sistemas Operacionais, Segurança no Ambiente Web, Gestão Estratégica de Recursos Humanos, Ameaças e Vulnerabilidades na Web, Home Office.
Abstract
	This project aims to present the results of research carried out in order to develop and establish best practices for remote access, using an awareness plan, as well as training for remote access policy to prevent the main attacks that occur in the web. For this, we are going to propose technical security configurations for the workstation's operating systems, for external remote access, eliminating any possible sources of vulnerability, identifying the main threats existing today.
	In this project, the knowledge acquired in the Operating Systems Security Disciplines (Windows/Linux), Strategic Management of Human Resources and Security in the Web Environment, essential for its development, were applied.
	Keywords: Operating System Security, Web Environment Security, Strategic Human Resources Management, Web Threats and Vulnerabilities, Home Office.
Introdução
	Devido à Pandemia do Covid-19, as empresas tiveram que adotar, de forma imediata, o trabalho remoto (home office) para a maioria de seus funcionários. Com a urgência dessa implementação, a segurança da informação ficou em segundo plano, o que possibilitou que o número de ataques a esse formato de acesso de multiplicasse, de forma grandiosa. Existem várias formas de tornar o home office seguro, onde abordaremos uma delas neste projeto, que é a Gestão de pessoas no Trabalho Remoto – Home Office.
	1 – GESTÃO DE PESSOAS QUE ESTÃO EM ACESSO REMOTO EXTERNO
	O fator humano representa grande responsabilidade nas medidas de cybersegurança, por isso, as campanhas de conscientização em segurança da informação são tão importantes. Com o alto crescimento do trabalho remoto, diversas empresas tiveram que se preocupar ainda mais com a segurança desse modelo de trabalho nos últimos anos, principalmente durante a Pandemia do Codiv-19, pois as empresas se viram obrigadas à adotar o home office, sem um planejamento correto. Um dos ataques mais comuns é o causado por engenharia social; esses ataques utilizam erros humanos para causar danos ou roubar informações do alvo. O ser humano não está livre de erros, diferentemente de máquinas que podem ser programadas para realizar uma mesma ação por um longo período de tempo e sem interrupções. Para combater vulnerabilidades humanas, uma das grandes armas é a prevenção. Campanhas de conscientização, por exemplo, podem reduzir ocorrências. Seu objetivo é fazer com que usuários de tecnologia adquiram plena consciência sobre a melhor maneira de utilizar os recursos e a importância de seus atos nesse ecossistema, reconhecendo também as consequências do não cumprimento de práticas específicas, como o roubo de informações.
	Para que possa existir êxito nas campanhas de conscientização, é preciso definir as metodologias e processos que deverão ser adotadas para uma transformação digital. A fase mais sensível na transformação digital é o envolvimento humano. A adesão de pessoas é uma importante fase para o sucesso de um projeto como esse. Uma boa maneira de garantir que todos os colaboradores estejam nos mesmos termos em relação ao processo, é através de reuniões de equipes, para que cada grupo possa compreender como isso irá impactar seu dia a dia ou ainda, campanhas de conscientização, para que a informação seja sempre alinhada entre todos os setores. Outro ponto positivo é a possibilidade de antecipar riscos e os potenciais problemas que o novo sistema possa apresentar, já que a estrutura base para a mudança pode não ser totalmente compatível com as mudanças e, por isso, precisa ocorrer de maneira gradual ou exija um maior investimento.
	Uma das maiores transformações que deve ocorrer para a grande maioria das empresas é a digitalização de processos que antes eram realizados de maneira analógica, demandando tempo de trabalho dos funcionários.
	2 – TRANSFORMAÇÃO DIGITAL
	A indústria 4.0, também conhecida como "quarta evolução", é um termo que define a nova realidade da relação entre humanos e tecnologia. A idéia implica que, ao conectar máquinas, sistemas e ativos, empresas são capazes de controlar toda a cadeia de valor que podem controlar módulos da produção de forma independente, mais capacidade e autonomia para controlar sua produção, agendar manutenção e prever falhas no processo.
	Os dados podem ser coletados e utilizados em um curto período de tempo, permitindo decisões assertivas. Aumento de visibilidade e monitoramento remoto de toos os processos que ocorrem no ambiente empresarial. Os softwares são orientados a serviços aliados ao sub conceito de Internet os Services (IoS). As produções serão orientadas pela demanda, tornando possível desabilitar ou habilitar módulos específicos. IoT é a conexão em rede de aparelhos que até então eram totalmente desconectados, como um simples eletrodoméstico, permitindo a otimização de seu uso.
	3 – O FATOR DA DESINFORMAÇÃO HUMANA
	Embora muitas vulnerabilidades tenham origem tecnológica, essa não é sua única fonte. A mudança de comportamento humano, com a adoção de dispositivos móveis, é cada vez menos segregada entre vida pessoal e profissional, especialmente com o crescimento do trabalho remoto. Com a combinação de dispositivos, muitas vezes desprotegidos e a desinformação em cybersegurança, essa pessoas tornam-se alvos fáceis de criminosos, uma vulnerabilidade para seus dados pessoais e corporativos. Uma das melhores maneiras de remediar essas novas vulnerabilidades são as campanhas de conscientização sobre segurança da informação.
	
	4 – FATORES HUMANOS E AMEAÇAS
	A Engenharia Social representa uma série de ameaças que possuem como vítima uma pessoa, sendo o phishing a ameaça mais popular do mundo, além de funcionar à partir de abordagens não eletrônicas.
	Podemos citar algumas ameaças, bem comuns, como:
	Roubo de senhas: enganado por páginas muito semelhantes à serviços de consumo, usuários podem enviar suas informações de credenciamento para servidores de cybercriminosos ou realizar downloads com arquivos maliciosos;
	Roubo de Informações: usuários podem enviar dados e informações sigilosas ao serem solicitados por contatos que acreditem ser verdadeiros;
	Perda de Privacidade: cybercriminosos podem monitorar as ações, ler e-mails com credenciais comprometidas e até mesmo ter acesso a câmera e gravar ou fotografar suas vítimas sem serem notados.
	Furto de identidade: muitas abordagens de phishing partem de e-mails, telefonemas ou domínios falsos, mas também é possível que parta de um contato real, exceto que essa pessoa tenha sofrido um ataque e alguém possa se passar por ela. Essa é considerada uma das práticas mais sérias em cybersegurança, por envolver o crime de estelionato. 
	5 – ESTEGANOGRAFIA
	Esteganografia é uma técnica que consiste em esconder um arquivo dentro do outro, de forma criptografada. Se diferencia da criptografia em vários pontos, desde o princípio utilizado para ocultar a mensagem até as formas de aplicá-la. Enquanto a criptografia (simétrica e assimétrica) visa a produção de chaves privadas e/ou públicas, a esteganografia visa enviara mensagem dentro de outra mensagem, de forma que apenas o receptor saiba da existência da mesma, assim como a forma de obtê-la a partir do arquivo recebido.
	As técnicas de camuflagem variam com os tipos de arquivos, tais como: imagens, áudios, vídeos e textos. Um dos cuidados importantes na Estganografia é o tamanho da mensagem que se deseja esconder, pois a segurança da mensagem é inversamente proporcional a seu tamanho. Logo, uma vez que mensagens grandes transformam muito o arquivo original que servirá de capa, a simples comparação dos dois arquivos pode deixar clara a existência de mensagem escondida. 
	Assim como muitas outras ferramentas de segurança, esteganografia pode ser usada para uma série de razões, algumas boas, outras não tão boas. Dentre os bons exemplos, podemos citar exemplos como marcas d'água em imagens por razões tais como a proteção dos direitos autorais. Marcas d'água digitais (também conhecido como impressões digitais) são semelhantes às esteganografia que estão encobertas em arquivos, que parecem ser parte do arquivo original e, portanto, não são facilmente detectáveis por uma pessoa normal. Além disso, esteganografia pode ser usada para adicionar recados em imagens online (como post- its anexos aos arquivos). 	Finalmente, esteganografia pode ser usada para manter a confidencialidade de informações valiosas, para proteger os dados de possíveis sabotagens, para roubo ou até mesmo para impedir que alguém não autorizado possa ver alguma informação secreta.
	Infelizmente, esteganografia também pode ser usado para fins ilegítimos. Por exemplo, se alguém está tentando roubar dados, poderíamos ocultá-los em um ou mais arquivos e enviá-los como se fosse um inocente e-mail ou arquivo de transferência. Uma pessoa com um hobby de salvar pornografia em seu disco rígido pode optar por ocultar as provas através do uso de esteganografia. Além disso, há a preocupação de seu uso para fins terroristas, já que pode ser utilizada como um meio de comunicação encoberto. 
	Existem algumas técnicas de aplicação da esteganografia, dentre elas podemos citar:
		LSB: estas técnicas são baseadas na modificação dos bits menos significativos (Least Significant Bit) dos valores de pixel no domínio espacial. Em uma implementação básica, estes pixels substituem o plano LSB inteiro com o stego-dados. Com esquemas mais sofisticados em que locais de inclusão são adaptativamente selecionados, dependendo de características da visão humana, até uma pequena distorção é aceitavel. Em geral, a inclusão de LSB simples é suscetível a processamento de imagem, especialmente a compressão sem perda. Técnicas baseadas em LSB podem ser aplicadas a cada pixel de uma imagem codificada em 32bits por pixel;
	Filtragem e Mascaramento: as técnicas de esteganografia baseadas em filtragem e mascaramento são mais robustas que a inserção LSB. Estas geram estego-imagens imunes a compressão e recorte. No entanto, são técnicas mais propensas a detecção. Ao contrário da inserção no canal LSB, as técnicas de filtragem e mascaramento trabalham com modificacões nos bits mais significativos das imagens. As imagens de cobertura devem ser em tons de cinza porque estas técnicas não são eficazes em imagens coloridas . Isto deve-se ao fato de que modificacões em bits mais significativos de imagens em cores geram muitos artefatos tornando as informações mais propensas a detecção. Estas técnicas são semelhantes a marca d’água visível em que valores de pixel em áreas mascaradas são aumentados ou diminuídos por um pouco de porcentagem. Reduzindo o incremento por um certo grau faz a marca invisível;
	Algoritmos e Transformações: conseguem tirar proveito de um dos principais problemas da inserção no canal LSB que é a compressão. Sendo embutido no domínio de transformação, os dados escondidos residem em áreas mais robustas, espalhadas através da imagem inteira e fornecem melhor resistência contra processamento de sinal.
	6 – TESTES DE APLICAÇÕES PARA MELHORAR A SEGURANÇA
	Vários testes podem ser realizados, à fim de melhorar a segurança. Dentre eles, podemos citar:
		Scanner de vulnerabilidade: é uma ferramenta de segurança da informação indispensável para diagnosticar brechas e falhas em sistemas. Sua função é monitorar continuamente as redes, aplicações e dispositivos em busca de pontos vulneráveis a ciberataques e erros, além de reportar as alterações em detalhes, categorizar os riscos e sugerir ações corretivas. Dessa forma, as empresas podem identificar, corrigir e mitigar riscos, protegendo seus ativos e aprimorando sua infraestrutura a cada nova vulnerabilidade descoberta;
	PenTest (Teste de Penetração): Reconhecido como teste de penetração ou teste de invasão, o PENTEST busca agir como um atacante agiria frente a sua infraestrutura de TI, sistemas e aplicações, em uma prática de simulação de ataque. Existem alguns tipos de testes PenTest, como Black Box (sem qualquer conhecimento do ambiente ou da aplicação, sem acesso à fonte ou conhecimento da arquitetura), White Box (muitas informações, acesso ao código e até mesmo documentação da arquitetura) e Gray Box (uma combinação entre o Black Box e White Box);
	Análise de Riscos: esse teste de rotina ajuda na classificação das vulnerabilidades atuais da empresa, tornando mais fácil a definição de prioridades nas soluções ao decorrer de uma estratégia de segurança e a necessidade de campanhas de conscientização;
	Auditoria de Segurança: representa uma inspeção interna de aplicações e sistemas operacionais para garantir que não existam falhas eminentes em seus sistemas de segurança;
	Análise de Postura: reconhece diversos fatores da segurança, para estudar o estado e maturidade do nível de proteção da empresa contra os principais tipos de ataque conhecidos no mercado, é uma maneira de reunir os dados relevantes para a criação ou adaptação de estratégias. Para muitos gestores, a testagem de vulnerabilidades pode soar apenas como uma maneira de gastar dinheiro, mas isso está longe de ser realidade, sendo uma ação recomendada por diversos especialistas.
Os testes de segurança podem evitar que sua empresa precise pagar para solucionar problemas reais, sendo essencial para o investimento em melhores estruturas e upgrades.
		A melhor maneira de impedir ataques é implementando um sistema de segurança que funcione, não basta apenas implementar softwares de segurança, mas também ensinar pessoas como utilizar as ferramentas da melhor maneira. O investimento em boas soluções de segurança é importante, mas o conhecimento de aplicação de práticas seguras, é essencial.
	7 – SEGURANÇA DA INFORMAÇÃO NAS EMPRESAS
	A informação dos clientes, produtos e serviços é um dos ativos que uma empresa deve prezar, principalmente em relação ao seu armazenamento e proteção. Dessa forma, ter procedimentos que garantem a Segurança da Informação é o mais indicado, para todos os tamanhos de empresas, de diversos segmentos. Existem 5 elementos que são a base da preservação dos dados com eficiência:
		Confidencialidade: esse item é relacionado à privacidade das informações. A equipe de Gestão de TI irá implementar medidas como, criar níveis de acesso. Somente profissionais autorizados vão ter entrada permitida para utilizar esses dados. Terá que ser feita uma hierarquia de acessos bem estruturada. A constituição de uma Política de Segurança também é importante para reforçar a confidencialidade;
	Integridade: corresponde à preservação dos dados, não sendo possível realizar qualquer alteração por pessoas não autorizadas. É vital criar medidas para evitar que esses elementos sejam danificados ou corrompidos. O prejuízo com a perda de informações pode ser enorme para o seu negócio. Algumas formas de manter a integridade dos arquivos são realizadas por meio de backups, controle de versão, definição de permissão de acesso, usando somas de verificação, entre outras. A falha no quesito integridade também gera atritos nas equipes e departamentos internos;
	Disponibilidade: além da proteção dos ativos intelectuais daempresa, é essencial que esses materiais possam ser consultados a qualquer momento. Manter a continuidade dos processos da empresa é uma atividade fundamental na hora de implementar ações de Segurança da Informação. Serviços feitos para que haja disponibilidade contínua são manutenção ágil, eliminação de conflitos de softwares, atualizações periódicas dos sistemas, além de ações para manter a internet sempre ativa com links temporários e links redundantes;
	Autenticidade: confirmação de que os dados possuem legitimidade, ou seja, não haja manipulação ou intervenções externas de terceiros passando-se por colaboradores. Para tal objetivo, é necessário documentar as ações feitas pelos usuários na rede e nos sistemas. Os dados corporativos devem ter processos para identificar a sua autenticidade e isso é uma das tarefas da equipe de Segurança da Informação. A configuração de um log de acesso ajuda a confirmar a veracidade de um determinado registro;
	Legalidade: é necessário ter uma Política de Segurança para assegurar que todos os procedimentos relacionados à informação dentro da empresa sejam feitos de acordo com a lei. Isso evita que ocorram impedimentos operacionais, averiguações e auditorias de órgãos fiscalizadores. Adequar o conteúdo protegido à legislação é primordial, principalmente porque está em vigor a nova Lei Geral de Proteção de Dados Pessoais (LGPD), que exige maior rigor de todas as empresas. 
	8 – IMPORTÂNCIA DA COMUNICAÇÃO INTERNA
	
	A comunicação interna tem papel estratégico para o negócio. Ela é responsável por alinhar os valores e objetivos da empresa com os funcionários, contribui para o clima organizacional, e mantém a equipe informada, motivada e engajada. Contudo, para alcançar bons resultados, ela deve ser planejada e executada corretamente. 
	Para ter um bom desempenho, a empresa precisa contar com uma equipe de trabalho alinhada com os valores, a missão e a estratégia do negócio, a fim de fortalecer a cultura organizacional. Investir em comunicação interna é um fator essencial para que essas informações cheguem corretamente a toda a equipe. Quando os colaboradores estão integrados com os procedimentos e com os outros departamentos da empresa, os processos se tornam mais ágeis e eficientes. Isso também contribui para a tomada de decisões e a produtividade da equipe. 
	Outro fator positivo é em relação ao ambiente de trabalho. Manter uma comunicação clara e objetiva traz mais transparência nas atividades e evita rumores e boatos que podem gerar conflitos entre o público interno. Além disso, um bom ambiente de trabalho contribui para a melhoria do clima organizacional e a motivação da equipe, elementos fundamentais para o sucesso e crescimento da empresa. Esses fatores ajudam muito na construção e no fortalecimento da marca empregadora, também conhecida como employer branding.
	O engajamento dos profissionais é um dos desafios da gestão de pessoas, e contar com uma boa comunicação interna é essencial, pois ela permite que os funcionários entendam sua participação no negócio e faz com que eles se sintam mais valorizados, tornando-os defensores da companhia. 
	No mercado, há inúmeras ações e ferramentas para facilitar a comunicação interna e torná-la mais eficiente e atrativa de acordo com o perfil do público e os objetivos da organização. Algumas opções são:
- Intranet: portal interno para a divulgação de notícias, comunicados, conteúdo institucional etc;
- Mural de recados: instalado em um ponto estratégico dentro da empresa, esse veículo possibilita a comunicação com os trabalhadores nos escritórios, nas fábricas e em locais em que a equipe não tenha acesso à internet;
- TV corporativa: canal para disseminar informações de forma atrativa e dinâmica com o uso de vídeos;
- Rede social corporativa: a rede social corporativa é um canal para promover o relacionamento entre os funcionários e incentivar a troca de informação;
- Eventos internos: eles ajudam a promover o bem-estar e a qualidade de vida no trabalho, capacitar equipes e comemorar datas como dia das mães, dos pais, páscoa, aniversariantes do mês etc.
	Fazer com que todos entendam as ameaças e riscos, que seus setores e a empresa como um todo estão sujeitos no dia a dia. Tornar pública a importância do comportamento e ações de cada um no processo para manter a empresa mais segura. Despertar nos funcionários de outros setores o interesse em aprender mai sobre segurança da informação e a avaliarem seu atual conhecimento sobre as vulnerabilidades. Manter os colaboradores informados sobre as melhores práticas do momento e traduzí-las da melhor maneira para o setor da empresa. Auxiliar na atualização, ou até mesmo na criação da política de proteção e dados organizacionais. Garantir que a conscientização seja constante, mantendo os picos de informação sempre equilibrados para que ninguém ache que foi apenas uma ação passageira.
	9 – MÁQUINA VIRTUAL (VM – VIRTUAL MACHINE)
	Uma máquina virtual é um programa que simula um ambiente computacional, capaz de executar sistemas operacionais e aplicativos como se fosse uma máquina física. Isso também é chamado de processo de virtualização. Basicamente, permite rodar um sistema operacional dentro de outro. É útil para testar recursos em outros computadores e/ou otimizar servidores.
	O processo é diferente de um emulador, que visa copiar os recursos de um programa ou sistema e fazê-lo rodar em conjunto com o seu computador. Neste caso, a máquina virtual opera de forma completamente independente e isolada, podendo inclusive rodar sistemas operacionais que normalmente não seriam compatíveis com sua arquitetura. 
	Para criar máquinas virtuais num servidor, é necessário um software de virtualização (hypervisor). As empresas desenvolvedoras de softwares de virtualização mais conhecidas são: Vmware (do grupo Dell-EMC), Citrix, Oracle e Microsoft Hyper-V. A tecnologia de criar uma ou mais máquinas virtuais dentro do mesmo hardware é a melhor resposta para otimizar o uso de equipamentos que possuem alto poder de processamento. Assim, um único servidor pode hospedar várias máquinas virtuais num único hardware, geralmente executando tarefas mais rápido que um computador comum.
	Processos que exigem alto poder de procesamento em várias estações, mas não acontecem continuamente, podem ser agrupados e virtualizados num único servidor. Essa solução dispensa investimentos desnecessários em várias estações de trabalho de alto valor, uma vez que qualquer computador pode acessar um ambiente virtualizado. Uma VM não tem acesso ao sistema operacional do servidor hospedeiro; o usuário que acessa uma VM só tem acesso ao seu ambiente virtual. Como diversas máquinas virtuais, com diferentes sistemas operacionais, podem ser executadas num único servidor físico, cada máquina virtual recebe seu "hardware virtual" que inclui CPU, memória, HD's, sistemas de armazenamento e outros dispositivos. Esses softwares gerenciam a hardware físico, distribuindo recursos como processamento, disco e conexões de rede entre as diversas máquinas virtuais. Assim, várias máquinas virtuais podem utilizar a mesma CPU, memória, disco rígido, rede e outros recursos de hardware de uma única máquina física.
	VM's possibilitam executar diferentes sistemas operacionais no mesmo servidor. O hypervisor cria e mantém várias máquinas virtuais isoladas umas das outras, permitindo assim que cada VM execute seu próprio sistema operacional. Assim é plenamente possível manter sistemas operacionais Linux, MacOS e Windows num único host físico e funcionando ao mesmo tempo.
É útil para ambientes de teste, pois as máquinas virtuais não tem acesso ao sistema operacional hospedeiro (SO + hypervisor). Isso significa que qualquer instabilidade no sistema sempre acontecerá no nível da máquina virtual, nunca no servidor host. A virtualização reduz custos, pois diminui a quantidade de servidores físicos. As máquinas virtuais fazem melhor aproveitamento do hardware, o que reduz a quantidade de equipamentos instalados nas infraestruturas de TI e datacenters;facilitam também o gerenciamento, pois podem ser implementadas em sistemas de alta disponibilidade, onde estão menos sujeitas a problemas técnicos.
	Os ambientes virtuais simplificam muito as operações de backup, recuperação de desastres, novas implantações e tarefas básicas como a administração do sistema. Para executar um software hypervisor que permite a criação de uma VM no servidor, não é necessário nenhum tipo de hardware especializado. No entanto, dependendo da aplicação, da quantidade de máquinas virtuais e do software hypervisor escolhido, o ambiente virtualizado exigirá mais largura de banda, armazenamento e capacidade de processamento do que um servidor ou computador desktop tradicional. É possível distribuir recursos personalizados para cada VM, profissionais de TI familiarizados em administrar softwares de virtualização podem configurar o hypervisor para distribuir os recursos de hardware físico existentes entre as VM's, de acordo com o que cada máquina virtual exigir. Mesmo em ambientes virtualizados é importante considerar possíveis riscos de interrupção dos serviços, incluindo a possibilidade de sobrecarga de recursos ou a ocorrência de interrupções em várias VM's devido a problemas físicos do servidor. Em tempos de trabalho remoto, um sistema de virtualização permite que funcionários em home office possam acessar aplicativos corporativos por qualquer computador doméstico. Como o processamento fica por conta do hardware que compõe o ambiente de virtualização, soluções baseadas em VPN associada a storages e servidores responderão mais rápido do que soluções improvisadas ou incompletas.
	10 – GRUPO DE USUÁRIOS NO ACTIVE DIRECTORY
	Uma outra forma de eficiência na segurança do trabalho remoto é o uso do Active Directory, que é uma ferramenta da Microsoft utilizada para o gerenciamento de usuários de rede, denominada serviço de diretório. Um diretório nada mais é do que um banco de dados contendo informações dos usuários de uma organização, tais como nome, login, senha, cargo, perfil e etc. 
	Dentro da concepção de um Serviço de diretório, um grupo é um conjunto de usuários, contatos e computadores que podem ser gerenciados como uma única unidade. Os grupos são gerenciados como objetos de diretório e normalmente são atribuídos a elementos que compartilham propriedades semelhantes em relação a atributos como permissões de acesso. Por exemplo: em uma determinada empresa, analistas financeiros de um departamento financeiro possuem as mesmas permissões a serviços/sistemas utilizados por este setor.
	Os grupos em diretórios facilitam o trabalho do administrador de redes, através de facilidades como:
- Simplifica a atribuição de permissões em um recurso compartilhado a um grupo: em vez de atribuir a mesma permissão a diversos usuários, um a um, é atribuída a permissão ao grupo de usuários que compartilham esta propriedade;
- Ao atribuir os direitos de usuário a um grupo, novos membros adicionados recebem as mesmas permissões de forma automática;
- Auxilia o administrador a criar listas de distribuição por e-mail, já que podem ser utilizados os grupos como base para as listas;
- Quando um usuário troca de setor, basta trocar ele de grupo;
- Os usuários podem ser membros de vários grupos;
- Contas de computadores podem ser membros de grupos;
- Grupos podem ser membros de outros grupos.
	O escopo de um grupo diz respeito às aplicações de propriedades deste grupo em relação a um domínio ou floresta. Há três escopos de grupos: local de domínio, global e universal.
- Grupos de domínio local: os membros podem receber permissões somente em um único domínio;
- Grupos globais: os membros podem receber permissões em qualquer domínio na floresta;
- Grupos universais: os membros desses grupos podem receber permissões em qualquer domínio na árvore de domínio ou floresta.
	Há dois tipos de grupos no Active Directory:
- Grupos de distribuição: a principal função está em criar listas de distribuição por e-mail;
- Grupos de segurança: usados para atribuir permissões aos recursos compartilhados.
11 – IMPORTÂNCIA EM REFORÇAR SENHAS
	Não há dúvidas de que as informações produzidas pelas organizações, sejam elas de grande, médio ou pequeno porte, são um bem insubstituível, que agrega valor e aumenta a competitividade das empresas. Nesse sentido, investir em segurança para internet se torna necessário. Volumes muito grandes de dados são trafegados a todo instante pela internet, dados estes que podem ser sigilosos e, se forem interceptados por pessoas maliciosas, podem causar danos irreparáveis às organizações.
	Muitas pessoas acabam criando senhas curtas e fáceis de serem lembradas, como data de aniversário e nome de pessoas próximas. Entretanto, não sabem que também pode ser fácil de serem descobertas por pessoas mal intencionadas.
	Portanto, para diminuir esta falha, a empresa pode investir em regras que forcem os usuários a criarem senhas fortes, envolvendo letras maiúsculas e minúsculas, números e caracteres especiais.
	Outro ponto muito importante é a Verificação em duas Etapas (2FA), autenticação de dois fatores. Uma ferramenta que reforça o controle de acesso dentro do ambiente digital. A autenticação de dois fatores é uma camada de proteção adicional à senha, que ajuda a proteger sua conta de possíveis ataques. Consiste em um acesso onde informa-se a senha cadastrada e, na sequência, um método adicional de autenticação. Existem diversos tipos, tais como:
		Tokens de hardware: forma mais antiga de autenticação de dois fatores, dispositivos físicos que agem como chaves eletrônicas que geram um código numérico válido no tempo para acessar contas de usuários;
	Tokens de software: uma das formas 2FA mais populares. Usa uma senha única baseada em tempo, gerada por software. Um usuário precisa ter um aplicativo 2FA gratuito em seu telefoneou desktop. No login, o usuário primeiro insere um nome de usuário e uma senha; quando solicitado, insere o código exibido no aplicativo;
	Notificações push: sites e aplicativos podem enviar ao usuário, uma notificação por push quando houver uma tentativa de autenticação. É uma autenticação sem senha, sem códigos para entrar e nenhuma interação adicional é necessária;
	Biométrico: inclui a verificação da identidade de uma pessoa através de impressões digitais, padrões de retina e reconhecimento facial, ruído ambiente, pulso, padrões de digitação e impressões vocais.
	Utilizar tokens de software pode ser a maneira mais rápida e fácil de habilitar 2FA, onde após informar a senha cadastrada no serviço, pede-se um código único, temporário e renovado a cada 30 segundos por um software que somente o usuário tem acesso. Em conjunto com a ativação do serviço, é necessário o uso de um software ou aplicativo para smartphone, responsável pelo gerenciamento dessas contas e gerar os códigos exigidos na autenticação.
	CONCLUSÃO
	
	É muito difícil encontrar no mercado de trabalho um trabalhador de perfil já adequado ao trabalho flexível e remoto que ao mesmo tempo conheça profundamente a atividade, saiba definir prioridades e seja capaz de se autogerenciar. Esse fato traz um desafio enorme ao gestor, em termos do seu papel, em orientar o funcionário no desenvolvimento das habilidades e competências necessárias a um bom desempenho do trabalho remoto. 
	Todos os colaboradores desempenham papéis importantes na administração de uma empresa de sucesso e, por isso, é importante mentalizar que se sua equipe não está ciente sobre suas ações, a organização estará vulnerável às consequências de suas falhas nesse sentido. Baseado nas disciplinas de Segurança da Informação, vejo que é uma tarefa tão essencial para as empresas a adoção de programas de treinamento e conscientização sobre segurança da informação, que inclua as diretrizes essenciais e necessárias para impedir incidentes cibernéticos iminentes. Esse processo não deve ser em resposta a casos isolados, mas sim, fazer parte da cultura empresarial, no intuito de não só combater mas prevenir, disponibilizando novos materiais, implementandosoluções na medida em que novidades apareçam e compartilhar os resultados como incentivo à todos. 
	Autenticação em duas etapas para todos os processos críticos, desde e-mail, banco de dados a armazenamentos em nuvem, é primordial para segurança das informações e dos clientes da empresa, assim como uma infraestrutura de equipamentos (hardwares) e softwares sempre atualizados. Plataformas da web como HP, Desk Manager e muitas outras contribuem para o bom funcionamento do trabalho em home office.
REFERENCIAS
https://www.techtudo.com.br/noticias/2015/07/o-que-e-esteganografia.ghtml, acessado em 17/11/2021
https://diferenciall.com.br/conheca-os-5-pilares-da-seguranca-da-informacao/, acessado em 18/11/2021
https://www.kenoby.com/blog/comunicacao-interna, acessado em 18/11/2021
https://tecnoblog.net/302438/o-que-e-uma-maquina-virtual/, acessado em 19/11/2021
https://www.portalgsti.com.br/2017/08/grupos-de-usuarios-no-active-directory.html, acessado em 21/11/2021
https://blog.nec.com.br/home-office-como-manter-a-seguranca-de-seus-dados-trabalhando-em-casa, acessado em 15/11/2021
https://www.microcity.com.br/home-office, acessado em 15/11/2021
https://www.proof.com.br/blog/seguranca-da-informacao-nas-empresas, acessado em 16/11/2021
https://hftecnologia.com.br/reforce-seguranca-das-suas-senhas, acessado em 21/11/2021
https://www.controle.net/faq/maquina-virtual-vm-o-que-e-para-que-serve, acessado em 20/11/2021