Slides de Aula Unidade VIII - Segurança física e lógica

Prévia do material em texto

Prof. Ricardo Sewaybriker
UNIDADE VIII
Segurança Física e Lógica
 A informação é dos bens mais valiosos de uma empresa e para garantir a sua 
proteção são utilizados várias métodos e padrões que visam a garantir a sua 
confidencialidade, integridade e disponibilidade. Uma das ferramentas para 
proteção das informações é a Política de Segurança que irá determinar de forma 
clara e simples como a empresa pretende proteger suas informações. A Política 
irá orientar de forma consciente a conduta das pessoas e servirá de base para 
criação de Normas, Padrões e Procedimentos de Segurança que irão auxiliar o 
usuário no atendimento da Política de Segurança. 
8. Processos de Segurança da Informação
 Antigamente, as informações das empresas estavam centralizadas, poucas 
pessoas (funcionários da empresa) tinham acesso à informação em um 
computador, no caso as que tinham acesso ao famoso CPD (Centro de 
Processamento de Dados), assim chamado na maioria das empresas. Com o 
avanço das novas tecnologias de informação, as empresas começaram a 
disponibilizar computadores para todos os funcionários para que as atividades 
fossem realizadas com mais rapidez e precisão, porém as informações que antes 
eram centralizadas passaram a ser descentralizadas, pois cada funcionário 
passou a ter acesso à informação da sua própria mesa. 
8. Processos de Segurança da Informação
 Quando as informações estavam centralizadas, o controle era fácil, pois eram 
poucas a pessoas envolvidas; mas com a descentralização, o controle ficou muito 
mais difícil, uma vez que todos tinham acesso à informação. Para determinar 
como todos deveriam agir, as empresas passaram a adotar regulamentações 
internas chamadas Política de Segurança.
 Um aspecto importante a ser considerado é a grande miscigenação de raças no 
mundo, no Brasil principalmente. 
8. Processos de Segurança da Informação
 O fato das pessoas serem diferentes umas das outras devido às suas culturas e 
percepções diferentes não é ruim, isso agrega aos ambientes; mas dentro das 
empresas se cada funcionário tratar uma informação conforme sua percepção, 
as informações podem ficar vulneráveis, pois o cenário ficará bagunçado, daí a 
importância da Política de Segurança como orientadora da conduta de todos.
8. Processos de Segurança da Informação
 As pessoas dentro das empresas interagem constantemente com as informações 
ouvindo, visualizando, verbalizando e manipulando informações o tempo todo e 
isso precisa ser regulamentado pela empresa para ela ter a segurança de que 
seus funcionários tratem as suas informações de ativos para garantir a sua 
confidencialidade, integridade e disponibilidade.
8. Processos de Segurança da Informação
 A Política de Segurança deve ser elaborada com base nas melhores práticas de 
mercado (ISO 27001 e 27002, entre outras), na legislação local e na realidade do 
ambiente da empresa. É importante que haja publicação dessa Política em canais 
disponíveis para todos os funcionários e programas de divulgação e 
conscientização em segurança da informação para todo o quadro de funcionários. 
Dependendo da empresa, a Política e as Normas de Segurança da Informação 
podem estar disponibilizadas de forma impressa ou digital e dependendo até 
mesmo em Braille (sistema de leitura com o tato para portadores de deficiência 
visual). 
8. Processos de Segurança da Informação
 Outros aspectos também devem ser levados em consideração quando falamos 
em processos de segurança, as políticas e as normas são baseadas nas 
melhores práticas de mercado como foi dito, mas também as Legislações 
nacionais e internacionais estão acima da política corporativa de segurança da 
informação e que também devem ser levadas em consideração, e por fim se tudo 
der errado temos que ter um plano de continuidade do negócio para não parar as 
operações até mesmo sob situações extremas. 
8. Processos de Segurança da Informação
 A Política de Segurança é o conjunto de diretrizes da empresa que visa à 
proteção das informações da empresa e de seus clientes com base nos princípios 
de segurança da informação (confidencialidade, integridade e disponibilidade), 
nas melhores práticas de mercado, bem como nos padrões nacionais e 
internacionais. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
Estudiosos do assunto dizem que por trás de qualquer Política de Segurança 
existem duas filosofias explícitas, sendo:
 Filosofia proibitiva – tudo que não é expressamente permitido é proibido.
 Filosofia permissiva – tudo que não é proibido é permitido.
 A Política irá proporcionar ao ambiente da empresa regras e procedimentos que 
devem ser seguidos para a garantia da segurança das informações, sendo muito 
importante que ela seja divulgada para todos os colaboradores da empresa, no 
nível executo ao operacional, para que todos estejam conscientes da importância 
do seu seguimento.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Uma Política de Segurança não deve conter detalhes técnicos de mecanismos a 
serem utilizados ou procedimentos que devam ser utilizados, ela deve conter 
regras gerais que se apliquem a toda a empresa. Os detalhamentos serão 
especificados nas normas de segurança. Podemos dizer que:
 Política ► O que fazer ► em nível estratégico;
 Normas ► O que fazer ► em nível tático;
 Procedimentos ► Como fazer ► em nível operacional.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Hierarquia de política, normas e procedimentos. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
Fonte: livro-texto
Qual o objetivo da Política de Segurança da Informação?
a) Define os objetivos para enquadramento e punição. 
b) Tratar as informações de clientes.
c) Direcionar um programa efetivo de proteção dos ativos de informação.
d) Desenvolver mecanismos de proteção.
e) Estruturar e implantar a cultura de proteção para ativos de tecnologia. 
Interatividade
Qual o objetivo da Política de Segurança da Informação?
a) Define os objetivos para enquadramento e punição. 
b) Tratar as informações de clientes.
c) Direcionar um programa efetivo de proteção dos ativos de informação.
d) Desenvolver mecanismos de proteção.
e) Estruturar e implantar a cultura de proteção para ativos de tecnologia. 
Resposta
 A Hierarquia da Política e Normas deve ser clara para todos os funcionários e os 
colaboradores da empresa, para que o principal documento da empresa que 
norteia os demais seja a Política de Segurança.
 Para Campos (2007), a política pode ser um documento único com todas as 
diretrizes, normas e procedimentos; portanto, as diretrizes, as normas e os 
procedimentos devem existir de forma documentada, com um controle de versão 
e revisão para garantir a pertinência e a relevância desses documentos. É 
importante destacar que, na política, procedimentos são desdobramentos das 
normas que, por sua vez, são desdobramento das diretrizes. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Se há relação desses três elementos na política, então esta é considerada 
alinhada.
 A Política de Segurança deve ser baseada nas recomendações da norma ABNT 
NBR ISO/IEC 27002, reconhecida mundialmente como um código de melhores 
práticas para a segurança da informação, bem como estar de acordo com as leis 
vigentes em nosso país.
8.1 Política, Normas e Procedimentos de Segurança da Informação
Para o desenvolvimento de uma Política de Segurança é necessário realizar uma 
Análise de Riscos e considerar os seguintes aspectos:
 O que deve se proteger?
 Possíveis ameaças aos ativos de informação?
 Valor/importância de cada ativo de informação. Grau de proteção desejado pela empresa.
 Possíveis impactos no caso de perda de informações.
 Qual custo? E quanto a empresa disposta a investir?
 Auditoria (medição – quanto efetivo está sendo a 
Política).
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Agentes que influenciam a criação da política:
8.1 Política, Normas e Procedimentos de Segurança da Informação
Fonte: livro-texto
Uma Política de Segurança também deve ser implementada de forma realista 
com o ambiente da empresa e cultura do quadro de funcionários, bem como 
também deve prever:
 As sanções caso não seja observada;
 Atualizações periódicas com base no negócio da empresa e no avanço 
tecnológico;
 Responsabilidades de todos os envolvidos (executiva da empresa e funcionários).
8.1 Política, Normas e Procedimentos de Segurança da Informação
Na criação da Política de Segurança recomenda-se que ela seja realizada com a 
participação de algumas áreas específicas das empresas, sendo as seguintes 
áreas:
 Segurança da Informação;
 Tecnologia;
 Recursos Humanos;
 Jurídico;
 Comitê Executivo de Segurança da Informação.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Conforme o caso, outras áreas da empresa podem ser envolvidas. 
 Ao final do processo, aprovada a Política, é importante que ela seja publicada nos 
canais disponíveis das empresas para todos os funcionários e sejam 
desenvolvidos programas de divulgação e conscientização em segurança da 
informação para todo o quadro de funcionários que irá auxiliar a assimilação da 
Política por todos da empresa. Dependendo da empresa, a Política pode ser 
disponibilizada de forma impressa ou digital e dependendo do caso até mesmo 
em Braille (sistema de leitura com o tato para portadores de deficiência visual).
8.1 Política, Normas e Procedimentos de Segurança da Informação
 As Normas de Segurança da Informação estão um nível abaixo da Política de 
Segurança, que serve de base para sua criação. As Normas de Segurança irão 
tratar de assuntos específicos dentro da empresa e serão elaboradas com base 
na própria Política de Segurança, nas recomendações da norma ABNT NBR 
ISO/IEC 27002 e de acordo com as leis vigentes em nosso país.
Seguem alguns exemplos de normas que podem ser elaboração para proteção 
das informações:
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Classificação da informação: regras para o tratamento e a rotulação das 
informações conforme seu nível de criticidade para empresa. 
 Usuários de rede: regras que orientam o comportamento do usuário na rede 
da empresa, desde criação, inclusão, alteração, manuseio, armazenamento e 
descarte de informações na rede; bem como a conexão de equipamentos nela, 
uso de senhas e bloqueio de estações de trabalho na ausência do funcionário.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Administradores de redes: regras que orientam os administradores de rede em 
suas atividades com base nas regras estabelecidas aos usuários.
 Uso de internet: regras que determinam o que usuário pode ou não fazer no uso 
da internet concedida pela empresa para fins exclusivos do trabalho.
 Uso de e-mail: regras que determinam o que usuário pode ou não fazer no uso do 
e-mail corporativo concedido pela empresa para fins exclusivos do trabalho.
 Uso de equipamentos portáteis: regras que irão determinar o que o usuário deve 
fazer ou não fazer quando do uso de equipamentos portáteis (notebooks, 
smartphones, tablets, entre outros).
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Redes sem fio (wireless): regras que determinam o uso correto de redes sem fio 
disponibilizadas pela empresa aos seus funcionários para atividade exclusiva de 
trabalho. 
 Acesso remoto: regras que determinam o que fazer quando uso do acesso remoto 
externo e interno à rede da empresa nas situações em que o usuário não está em 
seu local de trabalho e necessita acessar a rede da empresa.
 Segurança lógica: norma que orienta para que usuários 
não autorizados não se conectem ou obtenham acesso 
lógico aos sistemas e aplicações da empresa. 
Recomendando também a monitoração periódica 
dos acessos e privilégios concedidos.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Segurança física: norma que define os padrões de segurança física para as 
instalações da empresa. Descreve os controles necessários para acesso e 
circulação dos usuários e de terceiros dentro da empresa.
 Dispositivos de armazenamento: regras que orientam os usuários quando eles 
necessitarem utilizar um dispositivo de armazenamento (DVD, CD, pendrive, entre 
outros) dentro do ambiente da empresa. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Mesa limpa: regras que orientam aos usuários na organização da sua mesa de 
trabalho, evitando que documentos confidenciais fiquem expostos na mesa do 
usuário quando de sua ausência ou sem necessidade.
 Desenvolvimento de sistemas: normas que determinam as regras para criação de 
qualquer novo sistema ou aplicação no ambiente da empresa. Essas regras 
devem ser aplicadas nas fases de produção, teste e validação do sistema.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Controle de acessos: essa norma irá definir as responsabilidades e os critérios 
para concessão, manutenção, revisão e revogação de acessos a Sistemas 
de Informação em produção, processados, armazenados e/ou acessados em 
ambientes de alta ou de baixa plataforma, próprios ou de terceiros, de forma 
a garantir que apenas usuários autorizados tenham acesso à informação.
 Certificação digital: essa norma irá determinar a gestão de certificado digital 
dentro da empresa, descrevendo as responsabilidades de usuários e gestores 
envolvidos no processo.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Manuseio e troca de dados: essa norma irá determinar o manuseio e a troca de 
dados no âmbito da empresa, sendo o dado ou informação dentro da própria rede 
da empresa ou aquelas inseridas ou retiradas na rede por outra parte externa.
 Remanejamento e descarte de equipamentos: documento que irá orientar o 
usuário quando esse necessitar descartar ou remanejar um equipamento 
que não irá mais utilizar ou que será substituído por outro. 
 Computação em nuvem: regras claras que encontrarão na nuvem 
os requisitos legais e anseios da organização.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Plano de continuidade de negócio: regras que determinam e orientam sobre a 
necessidade de existência de plano de continuidade de negócio da empresa em 
caso de interrupção inesperada do serviço, especificando tanto os responsáveis 
pelo plano como as medidas a serem tomadas no caso de ocorrência. 
 Além dessas normas elencadas, outras podem ser desenvolvidas conforme 
a necessidade da empresa. O importante é que elas auxiliem o cumprimento 
da Política de Segurança no desenvolvimento das mais diversas atividades 
da empresa.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 As normas de segurança, assim como a Política, irão descrever as diretrizes 
referentes à determinada atividade da empresa, o famoso “o que fazer”, o “como 
fazer” deve ficar a cargo dos procedimentos.
 Convém que as normas de segurança e a política sejam acompanhadas dos 
termos e definições específicos utilizados na composição da referida norma. Em 
alguns casos, a empresa pode disponibilizar um documento específico sobre 
termos e definições, porém é necessária a citação nas normas do referido 
documento. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
Quaisos agentes que influenciam o desenvolvimento da Política de Segurança da 
Informação?
a) Exigência dos concorrentes e exigência do governo. 
b) Requisitos legais, requisitos de negócio e análise de riscos.
c) Requisitos legais, exigência dos parceiros e requisitos de negócio.
d) Requisitos de negócio e exigência dos concorrentes.
e) Requisitos legais e requisitos de negócio.
Interatividade
Quais os agentes que influenciam o desenvolvimento da Política de Segurança da 
Informação?
a) Exigência dos concorrentes e exigência do governo. 
b) Requisitos legais, requisitos de negócio e análise de riscos.
c) Requisitos legais, exigência dos parceiros e requisitos de negócio.
d) Requisitos de negócio e exigência dos concorrentes.
e) Requisitos legais e requisitos de negócio.
Resposta
 Os procedimentos de segurança da informação são documentos da empresa que 
detalham como determinadas diretrizes da política ou das normas podem ser 
atendidas pelos usuários. São também chamados de documentos operacionais.
 Em alguns casos, as empresas adotam documentos específicos para subsidiar o 
usuário a cumprir corretamente a política e as normas, podendo ser uma cartilha, 
um manual ou até mesmo um termo de uso, esse último pode ter duas finalidades 
em único documento.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Atribuir ao usuário a responsabilidade por algum ativo de informação e indicar a 
forma correta do uso desse ativo. Independente da forma, os procedimentos têm 
função importantíssima no programa de segurança da informação, pois irão 
orientar o usuário em relação ao “como fazer”, cumprir o determinado na norma 
de segurança.
8.1 Política, Normas e Procedimentos de Segurança da Informação
Alguns padrões internacionais são utilizados para servirem para criação, atualização 
e monitoramento da eficácia de políticas, normas e procedimentos de Segurança da 
Informação, sendo:
 ISO 27001 e ISO 27002 – a ISO (International Organization for Standardization) 
começou a publicar a série de normas relacionadas à segurança da informação 
que atualmente receberam o nome de Família 27000. As mais conhecidas do 
público em geral são as 27001 e 27002. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 As ISO publicadas são acompanhadas e validadas também pelo IEC 
(International Electrotechnical Commision), por isso a sigla ISO/IEC. No Brasil, a 
entidade oficial que representa, disponibiliza e traduz essas normas é a ABNT 
(Associação Brasileira de Normas Técnicas). Assim, as normas emanadas da 
ISSO, quando usadas no Brasil, recebem a sigla ABNT NBR ISO/IEC.
 A ISO 27001 foi baseada e substitui o BS 7799 parte 2, o qual não é mais válido. 
Essa mudança ocorreu em 2005. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
A BS 7799 é uma norma padrão de segurança que foi desenvolvida em 1995 na 
Inglaterra pela British Standard, sendo dividida em duas partes. A primeira 
homologada pela ISO/IEC em 2000 e a segunda em 2002. A BS 7779 (atual 27001) 
e a ISO 17799 (atual 27002). Segue descritivo da Família 27000, sendo:
8.1 Política, Normas e Procedimentos de Segurança da Informação
Normas Descrição
ISO 27000
Vocabulário de Gestão da Segurança da Informação.
ISO 27001
Define os requisitos para implementação de um sistema de
Gestão.
ISO 27002
Código de boas práticas para gestão de segurança da
informação.
ISO 27003
Guia para implementação do Sistema de Gestão de Segurança da
Informação.
ISO 27004
Define métricas e meios de medição para avaliação e eficácia de
um sistema de gestão de segurança da informação.
8.1 Política, Normas e Procedimentos de Segurança da Informação
Fonte: livro-texto
8.1 Política, Normas e Procedimentos de Segurança da Informação
Normas Descrição
ISO 27005
Define linhas de orientação para Gestão do risco da segurança da
informação.
ISO 27006
Requisitos e orientações para os organismos que prestam serviços
de auditoria e certificação de um Sistema de Gestão da Segurança da
Informação.
ISO 27007
Define critérios específicos para auditoria dos processos do Sistema
de Gestão da Segurança da Informação.
Fonte: livro-texto
 Cabe ressaltar que as Normas 27000 e 27006 ainda não foram publicadas, não 
havendo no momento previsão para tal publicação. 
 ISO 31000 – essa norma fornece princípios e diretrizes para a gestão de riscos. 
Podemos observar que, atualmente, as empresas possuem equipes que agem 
isoladamente, avaliando os seus riscos, por meio de diversas ferramentas. 
Mediante esse cenário, essa norma tem o propósito de orientar as empresas para 
que desenvolvam, programem e melhorem continuamente a integração dessas 
áreas para, consequentemente, integrarem seus processos de gestão de riscos, o 
que pode trazer vários benefícios para toda empresa. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 ISO Guide 73 – esse guia fornece as definições de termos genéricos relativos à 
gestão de riscos. Destina-se a incentivar uma compreensão mútua e consistente, 
uma abordagem coerente na descrição das atividades relativas à gestão de riscos 
e a utilização de terminologia uniforme de gestão de riscos em processos e 
estruturas para gerenciar riscos. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 COBIT (Control Objectives for Information and related Technology) – guia de boas 
práticas apresentado como framework e dirigido para a gestão de tecnologia de 
informação. Possui alguns recursos que podem servir como um modelo de 
referência para gestão da TI. Muitos especialistas em gestão de TI e institutos 
independentes recomendam o uso do COBIT como ferramenta para otimizar 
investimentos de TI e como indicadores para uma melhor gestão. Cabe salientar 
que muitos institutos realizam suas auditorias como no COBIT.
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Sarbanes-Oxley – a Lei Sarbanes Oxley é uma lei americana que tem seus 
reflexos no mundo inteiro. Sua criação foi motivada por escândalos financeiros 
coorporativos e em sua redação tem o objetivo de evitar o esvaziamento dos 
investimentos financeiros e a fuga dos investidores causada pela aparente 
insegurança a respeito da governança adequada das empresas. A lei orienta 
quanto à criação de mecanismos de auditoria por meio de comitês que podem 
supervisionar as operações da empresa, diminuindo os riscos para o negócio e 
mitigando fraudes. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 A transparência na gestão da empresa é indicada pela lei como ferramenta de 
credibilidade para empresa. Muitas empresas do mundo que se relacionam com o 
mercado americano (EUA) se comprometem a observar os princípios dessa lei.
 É importante lembrar que os padrões nesse item elencados não se limitam 
apenas a eles e alguns, apesar do título não relacionado à segurança da 
informação, fazem referência a ela em seu conteúdo. 
 Legislações e padrões nacionais – as empresas também seguem vários padrões 
nacionais para que possam manter sua atuação no mercado de forma a garantir a 
segurança das informações corporativas e também de seus clientes. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Podemos destacar alguns dispositivos normativos nacionais, sendo: Constituição 
Federal, Código Civil, Código Penal, Banco Central – Resoluções e Instruções 
Normativas, CVM – Comissão de Valores Mobiliários, Lei 105/2001 – Lei do Sigilo 
Bancário (voltada, principalmente, às instituições financeiras), Decreto 3.505/2000 
– Política Nacional de Segurança da Informação (voltada às informações 
governamentais), Decreto 5.495/2005 – Política Nacional de Segurançada 
Informação (da nova redação – Decreto 3.505/2000), Decreto Lei 4.553/2002 –
Classificação da Informação (voltado às informações governamentais).
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Lei Federal 8159/1991 – dispõe sobre a Política Nacional de Arquivos Públicos e 
Privados, Lei 9609/1996 – dispõe sobre Programa de Computador (Lei do 
Software), Lei 9610/1998 – dispõe sobre o Direito Autoral, Lei 9279/1996 – dispõe 
sobre propriedade intelectual, ABNT – Associação Brasileira de Normas Técnicas 
e o Marco Civil da Internet, oficialmente chamado de Lei n. 12.965/14, é a lei que 
regula o uso da internet. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
 Também é importante lembrarmos que dependendo da localização geográfica da 
empresa que irá implementar a Política e as Normas de Segurança também 
devem ser observados os Tratados Internacionais, as Leis Territoriais ou até 
mesmo as Leis Estaduais ou Municipais. Em alguns casos, até mesmo os 
aspectos étnicos e culturais da empresa e seu quadro de funcionários devem ser 
considerados. 
8.1 Política, Normas e Procedimentos de Segurança da Informação
Sobre os procedimentos é correto afirmar que: 
a) Demonstram os controles de segurança da informação de forma estratégica.
b) Demonstram os controles de segurança da informação de forma superficial.
c) São chamados de documentos operacionais.
d) São destinados apenas aos executivos da organização.
e) São destinados apenas aos gestores. 
Interatividade
Sobre os procedimentos é correto afirmar que: 
a) Demonstram os controles de segurança da informação de forma estratégica.
b) Demonstram os controles de segurança da informação de forma superficial.
c) São chamados de documentos operacionais.
d) São destinados apenas aos executivos da organização.
e) São destinados apenas aos gestores. 
Resposta
 O Direito Digital é a evolução do próprio Direito em novo ambiente e abrangendo 
os institutos e os princípios fundamentais de áreas do Direito. As novas 
tecnologias da informação, principalmente a internet, facilitam a geração, o 
compartilhamento e o armazenamento das informações e isso precisa ser 
regulamentado, pois atrás desse processo existem pessoas se relacionando entre 
si ou com empresas por meio de produtos e serviços. 
8.2 A Legislação e o Direto Digital 
 Fluxo de golpe internacional pela internet.
8.2 A Legislação e o Direto Digital 
Fonte: livro-texto
 Diante das responsabilidades da área de segurança da informação dentro do 
ambiente corporativo, a resposta a incidentes tem papel fundamental na eficácia 
do processo de gestão dos ativos de informação. 
 Manter os recursos computacionais seguros atualmente em ambientes 
interconectados por meio de redes é um desafio cuja dificuldade aumenta 
com a inclusão de cada novo sistema. 
8.3 Time de Respostas a Incidentes de SI
 A grande maioria das instituições e empresas que não utiliza uma única solução 
de segurança genérica que cobre todas as vulnerabilidades, ao invés disso, a 
estratégia mais utilizada é a de estabelecer camadas complementares de 
segurança, abrangendo: tecnologia, processos e pessoas.
 Uma das camadas de segurança que as empresas adotam para gerenciar o risco 
de segurança é a criação de um CIRT (Computer Incident Response Team –
Time de Resposta a Incidentes Computacionais).
8.3 Time de Respostas a Incidentes de SI
 As principais motivações para a criação de um CIRT residem no crescente 
número de incidentes reportados, no crescente número e perfil de empresas 
sendo atacadas, para melhorar o entendimento das empresas sobre a 
necessidade de possuir políticas de segurança e procedimentos para melhorar o 
gerenciamento de riscos, nas novas regulamentações e leis que exigem controles 
de segurança sobre os sistemas de informação, no entendimento de que os 
administradores de rede e sistemas não são capazes de proteger os recursos 
computacionais isoladamente. 
8.3 Time de Respostas a Incidentes de SI
 Para a estruturação de um CIRT é necessário entender claramente o seu objetivo. 
Para isso, temos de conceituar o que são eventos e incidentes de segurança da 
informação.
 Evento é uma ocorrência observável a respeito de um sistema de informação a 
exemplo de um e-mail, um telefonema, o travamento de um servidor (crash).
8.3 Time de Respostas a Incidentes de SI
 Incidente é um evento ou uma cadeia de eventos maliciosos sobre um sistema de 
informação que implica em comprometimento ou tentativa de comprometimento 
da segurança. Em resumo: tentativa ou quebra de segurança de um sistema da 
informação (confidencialidade, integridade ou disponibilidade), violação da política 
de segurança, tentativa ou acesso não autorizado, modificação, criação ou 
remoção de informações sem o conhecimento do gestor. 
8.3 Time de Respostas a Incidentes de SI
São exemplos de eventos e incidentes: 
 Em ataque de software malicioso (vírus etc.).
 Evento – usuário informa que pode ter sido contaminado por vírus.
 Incidente potencial – seu sistema apresenta características típicas de 
contaminação por vírus.
8.3 Time de Respostas a Incidentes de SI
 Fluxo da gestão de incidente
8.3 Time de Respostas a Incidentes de SI
Fonte: livro-texto
 Gestão de continuidade do negócio. 
8.4 Plano de Continuidade do Negócio (PCN)
Fonte: adaptado – livro-texto
1
2
6
5
4 3
O que é um incidente de segurança da informação?
a) É um evento ou uma cadeia de eventos maliciosos sobre um sistema de 
informação que implica em comprometimento da segurança. 
b) É uma ocorrência observável a respeito de um sistema de informação a exemplo 
de um e-mail, um telefonema, o travamento de um servidor. 
c) Problemas ocasionados apenas por falhas sistêmicas.
d) Tentativas de invasão exclusivamente pela ação de crackers.
e) Situações de risco à segurança da informação dentro da infraestrutura de TI.
Interatividade
O que é um incidente de segurança da informação?
a) É um evento ou uma cadeia de eventos maliciosos sobre um sistema de 
informação que implica em comprometimento da segurança. 
b) É uma ocorrência observável a respeito de um sistema de informação a exemplo 
de um e-mail, um telefonema, o travamento de um servidor. 
c) Problemas ocasionados apenas por falhas sistêmicas.
d) Tentativas de invasão exclusivamente pela ação de crackers.
e) Situações de risco à segurança da informação dentro da infraestrutura de TI.
Resposta
ATÉ A PRÓXIMA!