PIM VIII - 2022 - PROPOSTAS DE MEDIDAS A SEREM ADOTADAS PARA PREVENIR, IDENTIFICAR E RECUPERAR...

Prévia do material em texto

UNIP 
Projeto Integrado Multidisciplinar 
Cursos Superiores de Tecnologia 
 
 
 
 
 
 
 
 
 
PIM VIII 
PROPOSTA DE MEDIDAS A SEREM ADOTADAS PARA PREVENIR, 
IDENTIFICAR E RECUPERAR, POR MEIO DE UM PLANO DE CONTINUIDADE 
DE NEGÓCIO, AS ATIVIDADES E AS INFORMAÇÕES DE UMA CLÍNICA 
MÉDICA. 
 
 
 
 
 
 
 
 
 
 
 
 
BATATAIS/SP 
2022 
UNIP 
Projeto Integrado Multidisciplinar 
Cursos Superiores de Tecnologia 
 
 
 
 
 
 
 
 
 
PIM VIII 
PROPOSTA DE MEDIDAS A SEREM ADOTADAS PARA PREVENIR, 
IDENTIFICAR E RECUPERAR, POR MEIO DE UM PLANO DE CONTINUIDADE 
DE NEGÓCIO, AS ATIVIDADES E AS INFORMAÇÕES DE UMA CLÍNICA 
MÉDICA. 
 
 
 
Aluno: Tito Alexandre de Paiva 
RA:2186761 
 
Projeto Integrado Multidisciplinar – PIM 
VIII, apresentado como um dos pré-
requisitos para aprovação do bimestre 
vigente, no Curso Superior de Tecnologia 
em Segurança da Informação. 
 
Prof.: Ricardo Sewaybriker 
 Orientador (a): Rosemeire Desiderio 
 
BATATAIS/SP 
2022 
RESUMO 
 
No desenvolvimento deste projeto, PIM VIII, será abordado as atividades e 
informações relevantes de uma Clínica Médica fictícia, colocando desta forma, planos 
de ação visando mapear e elaborar medidas preventivas para mitigação dos riscos. 
Também, através da Disciplina Computação Forense, será elaborado um método 
forense computacional no caso de vazamentos de informações e dados, 
posteriormente, como resposta imediata a qualquer um destes incidentes, descrever 
um plano de recuperação para a continuidade dos negócios, evitando interrupção dos 
serviços desta Clínica Médica, seja por desastres naturais, acidentais ou intencionais. 
Identificar as possíveis ameaças, vulnerabilidades e riscos aos ativos desta Clínica 
(Disciplina Gestão e Análise de Ricos). Recuperação e Plano de continuidade dos 
ativos (Disciplina de Desastre, Recuperação e Gestão da Continuidade do Negócio). 
E Através da Disciplina de Computação Forense, elabora uma perícia forense 
computacional, identificando possíveis indícios de crimes cibernéticos, tais como 
invasões, vazamentos ou sequestro de dados. 
O objetivo é prevenir, identificar, solucionar os riscos à segurança da informação 
desta Clínica Médica, mantendo sua operação. 
 
 
 
Palavras-chave: Computação Forense, Gestão e Análise de Riscos, Desastre, 
Recuperação e Gestão da Continuidade do Negócio. 
 
 
 
 
 
 
 
 
 
 
 
ABSTRACT 
 
 
In the development of this project, PIM VIII, the activities and relevant information of a 
fictitious Medical Clinic will be addressed, thus putting action plans to map and develop 
preventive measures to mitigate risks. 
Also, through the Computer Forensics Discipline, a computational forensic method will 
be developed in case of information and data leaks, later, as an immediate response 
to any of these incidents, describe a recovery plan for business continuity, avoiding 
interruption of the services of this Medical Clinic, whether by natural, accidental or 
intentional disasters. Identify possible threats, vulnerabilities and risks to the assets of 
this Clinic (Discipline Management and Analysis of Wealth). Recovery and Asset 
Continuity Plan (Disaster Discipline, Recovery and Business Continuity Management). 
And Through the Discipline of Computer Forensics, it prepares a computer forensic 
expertise, identifying possible signs of cybercrimes, such as intrusions, leaks or data 
kidnapping. 
The objective is to prevent, identify, solve the risks to the information security of this 
Medical Clinic, maintaining its operation. 
 
Keywords: Computer Forensics, Risk Management and Analysis, Disaster, Recovery 
and Business Continuity Management. 
 
 
 
 
 
 
 
 
 
 
 
 
SUMÁRIO 
 
 
 
INTRODUÇÃO ............................................................................................................................. 6 
1 CLÍNICA MÉDICA - PRONTUÁRIOS ..................................................................................... 7 
2 GESTÃO E ANÁLISE DE RISCOS ........................................................................................ 7 
2.1 Ameaças à disponibilidade ..................................................................................... 8 
2.2 Identificação de Riscos ........................................................................................... 9 
2.3 Evento: Engenharia Social ................................................................................... 10 
3 COMPUTAÇÃO FORENSE ................................................................................................... 12 
3.1 Implementação de Auditabilidade ........................................................................ 14 
3.2 Crime Digital ........................................................................................................... 14 
3.3 Método Forense Computacional - WinAudit ....................................................... 15 
4 DESASTRE, RECUPERAÇÃO E GESTÃO DA CONTINUIDADE DO NEGÓCIO ........... 15 
4.1 Continuidade do Negócio ..................................................................................... 15 
4.2 Plano de Recuperação dos negócios .................................................................. 16 
CONCLUSÃO ............................................................................................................................ 18 
REFERÊNCIAS ......................................................................................................................... 20 
 
 
 
 
 
 
 
6 
 
INTRODUÇÃO 
 
Com a necessidade de verificação, prevenção e de proteção e análise dos 
sistemas e ativos em uma Clínica Médica, que faz uso de serviços de computação em 
nuvem (Cloud Service), da Amazon, plataforma esta que opera e gerencia o 
armazenamento físico de dados como serviço, resultando em disponibilidade, 
durabilidade, custos, implantação e gerenciamento de informações. 
Passando por um período pós pandemia, com avanços tecnológicos, mais 
dependentes agora da internet, da conexão, como ferramenta de comunicação, 
trabalho Home Office, a própria medicina se adequou e consultas e atendimentos via 
online, ou seja, telemedicina, ficou cada vez mais em destaque e com essa praticidade 
no mundo Web, na internet, surgiu também o avanço dos ataques, das invasões, dos 
sequestros de dados e informações de organizações, apontando um mundo de 
vulnerabilidades e de falta de conscientização ou até mesmo falta de instrução no 
ramo da Segurança da Informação, na manipulação e tratamento desses dados. 
Sendo de suma e vital importância a identificação, avaliação, preservação, 
gestão e análise de riscos que porventura possa colocar em risco a integridade e a 
privacidade dos dados desta Clínica Médica, no tocante ao seu banco de dados, que 
envolve pacientes, informações pessoais e confidenciais, resultados de exames, 
registros ou histórico médico, laboratórios, fornecedores, colaboradores, médicos etc. 
Com a preocupação e ameaças de crimes cibernéticos, com a integridade, 
disponibilidade, confidencialidade, desta Clínica Médica em operar e manter, o que 
inclui proporcionar o suporte, a administração e a manutenção necessários para 
garantir a segurança e o desempenho do seu sistema. 
Adoção de protocolos que visam proteger e defender, incluindo desta forma a 
identificação, a análise e a mitigação de ameaças a sistemas internos e externos a 
sua rede corporativa, assim como adoção de medidas que busquem a recuperação 
no caso de incidentes que envolvam ataques ou interrupção de sua atividade na área 
de saúde. 
 
 
 
 
 
7 
 
1 CLÍNICA MÉDICA - PRONTUÁRIOS 
 
Os serviços em nuvem da Amazon Web Services (AWS) proporciona 
servidores e armazenamento. Entre os serviços de nuvem populares estão as redes, 
o armazenamento de dados, as plataformas de comércio eletrônico e os aplicativosde produtividade como o e-mail. A integridade de dados é um componente crítico para 
a concepção, implementação e uso de qualquer sistema que armazena, processa ou 
transmite dados. 
A Clínica Médica guarda em seu banco de dados, informações pessoais e 
confidenciais, prontuários médicos, resultados de exames, laboratórios, fornecedores, 
colaboradores e registros médicos. Todos dados acessados e armazenados em 
serviços em nuvem da citada Amazon. 
Dados em nuvem significa que alguém mais terá seus dados, ou seja, 
servidores de outras empresas terão gravados seus dados, apesar de conter vários 
protocolos de segurança para proteger suas informações, o que não significa garantia 
de privacidade ou segurança perante a crimes virtuais ou a ataques de Hackers. 
Informações pessoais que contenham históricos de saúde são conceituadas 
pela Lei Geral de Proteção de Dados – LGPD, como dados pessoais sensíveis, 
exigindo especial atenção, uma vez que eventual incidente de segurança com esse 
tipo de dado pode trazer consequências graves aos direitos e às liberdades de seus 
titulares. 
Baseado nessas situações críticas, medidas serão adotadas como forma de 
prevenção, identificação e recuperação, a fim de se antecipar e responder a possíveis 
violações de segurança da informação; assim como forma de proteção; manutenção 
e recuperação de sistemas para o funcionamento e operacionalização desta Clínica 
Médica, visando neutralizar possíveis ameaças. Garantir a integridade assegura que 
os dados não sejam alterados por alguém ou alguma coisa e que permaneçam 
confiáveis ao longo de todo o ciclo de vida. 
 
2 GESTÃO E ANÁLISE DE RISCOS 
 
A Gestão de riscos é o processo de tomada e execução de decisões que irão 
minimizar os efeitos adversos do risco em uma organização. A detecção começa 
quando alguém descobre o incidente. As empresas podem comprar os mais 
8 
 
sofisticados sistemas de detecção, mas, no entanto, se os administradores não 
examinarem os logs e não monitorarem alertas, esses sistemas são inúteis. 
A detecção adequada inclui como o incidente ocorreu, quais dados estavam 
envolvidos e quais sistemas estavam envolvidos. A notificação da violação vai para a 
gerência sênior e para os gerentes responsáveis pelos dados e sistemas, para 
envolvê-los na solução e no reparo. A detecção e a análise incluem o seguinte: 
• Alertas e notificações. 
• Monitoramento e acompanhamento. 
O Gestor da Clínica Médica precisa saber de todos os componentes que podem 
estar sujeitos a riscos de segurança. Dentro dos seguintes protocolos: 
• Segurança da Informação; 
• Incidente de Segurança; 
• Ativo; 
• Ameaça; 
• Vulnerabilidade; 
• Risco; 
• Ataque; 
• Impacto. 
A análise de incidente ajuda também, a identificar a origem, extensão, impacto 
e detalhes de uma violação de dados. A empresa pode precisar decidir se deve 
chamar uma equipe de especialistas para realizar a investigação de computação 
forense. 
 
2.1 Ameaças à disponibilidade 
 
As seguintes ameaças representam um risco elevado para a disponibilidade 
dos dados e das informações da Clínica Médica: 
• Danos causados pela água como resultado de inundações ou de extintores 
de incêndios; 
• Ocorre um comprometimento do usuário Admin ou root; 
• Um ataque DoS bem-sucedido afeta significativamente as operações; 
• Um usuário não autorizado entra e compromete o banco de dados principal; 
• A Clínica Médica pode sofrer uma perda significativa de dados/prontuários 
médicos confidenciais; 
9 
 
• Ocorre um comprometimento do usuário Admin ou root; 
• A desfiguração do site de uma empresa tem impacto nas relações públicas. 
Resumindo: As instalações, tanto física, quanto lógicas, tecnológicas, de uma 
Clínica Médica, setor destinado a saúde, exigem alta disponibilidade para prestar 
cuidados 24 horas por dia, sete dias por semana, aos pacientes. 
 
Imagem 01: Ataques: 
 
Fonte: Escola Superior de Redes 
 
Alta disponibilidade, quando nos referimos a uma Clínica Médica, se refere a 
um sistema ou componente que fica em operação continuamente, por um determinado 
período de tempo. 
 
2.2 Identificação de Riscos 
 
Segundo a norma ISO 31000 (2018), a identificação de riscos contempla a 
busca, o reconhecimento e a descrição de eventos que podem afetar objetivos, as 
fontes que possam originar tais eventos, e as possíveis causas e consequências. 
Para ajudar a garantir a alta disponibilidade, é importante: 
1- Eliminar pontos únicos de falha, deficiência ou inadequação de processos 
internos, pessoas, infraestrutura e sistemas. 
10 
 
2- Design para confiabilidade. Eventos que podem comprometer a confiança 
dos pacientes da Clínica ou da sociedade em geral. 
3- Detectar falhas, à medida que elas ocorrem. 
 
Imagem 02: Segurança da Informação 
 
Fonte: Escola Superior de Redes 
 
Uma ameaça é a possibilidade de ocorrer um evento prejudicial, como um 
ataque. Uma vulnerabilidade é uma fraqueza que torna um alvo suscetível ao ataque. 
Um ataque é a exploração deliberada de uma fraqueza descoberta em sistemas 
informatizados, como alvos específicos ou meramente como alvos de oportunidade. 
Criminosos virtuais podem ter diferentes motivações para escolher um alvo de 
ataque. Os criminosos virtuais têm êxito ao procurar continuamente e identificar 
sistemas com vulnerabilidades evidentes. As vítimas comuns incluem sistemas 
desatualizados ou sem detecção de vírus e spam. 
 
2.3 Evento: Engenharia Social 
 
Por exemplo, um invasor pode chamar um funcionário autorizado da Clínica 
Médica com um problema urgente, que requer acesso imediato à rede. O invasor pode 
recorrer à vaidade do funcionário, valer-se de autoridade usando técnicas que citam 
nomes ou apelar para a ganância do funcionário, para terem acesso a prontuários 
médicos, exames etc. 
11 
 
Os engenheiros sociais frequentemente dependem da boa vontade das 
pessoas para ajuda, mas também miram nos pontos fracos. 
1- Pretexting - Ocorre quando um invasor chama uma pessoa e mente para 
ela na tentativa de obter acesso a dados confidenciais. Um exemplo envolve 
um invasor que finge precisar de dados pessoais ou financeiros para 
confirmar a identidade do destinatário. 
2- Something for Something (Quid pro quo) - Ocorre quando um invasor 
solicita informações pessoais de uma pessoa em troca de algo, como um 
presente. 
Neste caso, os profissionais de segurança digital são os responsáveis por 
ensinar, alertar, os outros funcionários da empresa, no caso a Clínica Médica, sobre 
as táticas dos engenheiros sociais. 
 
Imagem 03: Segurança e Recursos Humanos - Controle e responsabilidade. 
 
Fonte: Escola Superior de Redes 
 
As táticas de engenharia social incluem: 
• Autoridade – As pessoas são mais propensas a cooperar quando instruídas 
por "uma autoridade". 
• Intimidação – Os criminosos intimidam a vítima a realizar uma ação. 
12 
 
• Urgência – As pessoas realizarão essa ação se acharem que existe um tempo 
limitado. 
• Confiança – Os criminosos criam uma relação de confiança com uma vítima, 
que pode precisar de mais tempo para ser estabelecida. 
Conscientização dos colaboradores para o tratamento de risco na segurança 
de acesso, minimizando erros/falhas humanas neste incidente. 
 
3 COMPUTAÇÃO FORENSE 
 
Princípio básico: As ameaças à segurança da informação estão diretamente 
relacionadas à perda de uma dessas três características principais: perda de 
confidencialidade, perda de integridade ou perda de disponibilidade. Estas ameaças 
podem vir de agentes mal-intencionados, geralmente conhecidos como Hackers ou 
mesmos de usuários legítimos. Já uma vulnerabilidade de segurança está relacionada 
a um fator que pode contribuir para gerar invasões, roubo de dados ou acesso não 
autorizado a recursos, facilitando o acesso de usuários não autorizados. Exemplos 
são softwares mal configurados, dispositivos com sistemas desatualizados e arquivos 
internosexpostos publicamente por engano. Encontrar vulnerabilidades de segurança 
é uma necessidade absoluta para as empresas modernas. Para isso, é necessário 
definir as seguintes etapas: 
• Identificar o que é necessário para proteger o sistema; 
• Definir metas de segurança; 
• Identificar as principais fontes de ameaças e como combatê-las; 
• Refinar e atualizar as proteções de segurança cibernética; 
• Monitorar ameaças cibernéticas e estratégias de ataque novas e emergentes; 
• Usar um provedor de serviços de segurança gerenciado (MSSP). 
Dados corporativos incluem informações de funcionários, propriedades 
intelectuais e informações financeiras. As informações de funcionários incluem 
materiais de aplicação, folha de pagamento, cartas de oferta, contratos de 
funcionários e todas as informações usadas na tomada de decisões de emprego. 
Propriedade intelectual, como patentes, marcas registradas e planos de novos 
produtos, permite que uma empresa obtenha vantagem econômica sobre seus 
concorrentes. Essa propriedade intelectual pode ser considerada um segredo 
comercial. Perder essas informações pode ser desastroso para o futuro da empresa. 
13 
 
Informações financeiras, como declarações de rendimentos, balanços e 
demonstrações de fluxo de caixa de uma empresa, proporcionam detalhes sobre a 
integridade da empresa e caso haja vazamento de dados, sua reputação no mercado 
pode ficar fragilizada e desprestigiada, perdendo a confiança de seus clientes e 
colaboradores. 
Cabe a Perícia Forense: 
 Investigar crimes cibernéticos, identificando, coletando, examinando e 
preservando evidências usando técnicas analíticas e investigativas controladas e 
documentadas. 
  Desenvolver um plano para investigar supostos crimes, violações ou 
atividades suspeitas utilizando computadores e a Internet; 
 Estabelecer relacionamentos, entre a equipe de resposta a incidentes e 
demais setores da Clínica Médica; 
 Analisar ataques à rede de computadores com investigações e operações 
criminais e de contrainteligência; 
 Identificar elementos de prova do crime; 
 Analisar a crise para garantir proteção pública, pessoal e de recursos; 
 Identificar, coletar e apreender provas documentais ou físicas, para incluir 
mídia digital e logs associados a incidentes, investigações e operações de intrusão 
cibernética; 
 Usar equipamentos e técnicas especializadas para catalogar, documentar, 
extrair, coletar, empacotar e preservar evidências digitais; 
 Proteger o dispositivo eletrônico ou a fonte de informações; 
 Processar cenas de crime; 
 Determinar a extensão das ameaças e recomendar cursos de ação ou 
contramedidas para mitigar os riscos; 
 Conduzir a análise de arquivos de log, evidências e outras informações para 
determinar os melhores métodos para identificar os responsáveis por uma invasão de 
rede ou outros crimes. 
 Empregar sistemas de tecnologia da informação (T.I.) e mídia de 
armazenamento digital para solucionar, investigar e/ou processar crimes cibernéticos 
e fraudes cometidos contra a Clínica Médica. 
 Preparar relatórios para documentar a investigação seguindo as normas e 
requisitos legais. 
14 
 
3.1 Implementação de Auditabilidade 
 
Hoje a preocupação não é somente com as ameaças externas (Hackers), mas 
principalmente com ameaças internas. Caso haja vazamento de informações sigilosas 
da Clínica Médica, com o seu bando de dados armazenado em nuvem, é necessário 
imediatamente conter e minimizar os riscos. 
A auditoria rastreia uma ação até a pessoa ou processo que está efetuando a 
mudança em um sistema, coleta essas informações e reporta os dados de uso. Tal 
procedimento permite que a Clínica Médica rastreie as ações, erros e erros durante 
uma auditoria ou investigação. 
Sistemas que controlam os equipamentos da Clínica, prontuários, ou seja, tudo 
o que está conectado à rede, podem ser facilmente invadidos por e-mails e laptops de 
seus próprios funcionários, através de anexos malicioso (malware) ou o uso senhas 
fracas. Até porque, muitos Gestores não perceberam que suas organizações se 
tornaram digitais, o que é um perigo real. Muitos documentos saíram do papel e estão 
digitalizados em banco de dados. Riscos cibernéticos causados por funcionários ou 
clientes, surgem justamente com a falta de conscientização do público em geral. 
 
3.2 Crime Digital 
 
O uso de computação forense nem sempre está vinculado a um crime. O 
processo forense também é usado como parte dos processos de recuperação de 
dados para coletar dados de um servidor travado, unidade com falha, sistema 
operacional (SO) reformatado ou outra situação em que um sistema parou de 
funcionar inesperadamente. Crimes digitais ou cibernéticos mais comuns são: 
compras online, que na verdade se trata de golpes ou fraudes; senhas de contas 
online descobertas, vulneráveis e ainda aparelhos infectados por vírus ou outras 
ameaças de segurança. 
A análise forense digital começa com a coleta de informações de forma a 
manter sua integridade. Os investigadores analisam os dados ou o sistema para 
determinar se foram alterados, como foram alterados e quem fez as alterações. O 
objetivo da computação forense é realizar uma investigação estruturada e manter uma 
cadeia documentada de evidências para descobrir exatamente o que aconteceu em 
um dispositivo de computação e quem foi o responsável por isso. 
15 
 
Em caso de invasão, ataque ou furtos cibernéticos, uma auditoria visa rastrear, 
mapear e chegar como tal incidente ocorreu, de que forma e porque ocorreu. 
 
3.3 Método Forense Computacional - WinAudit 
 
Ferramenta que permite auditar a segurança (computação forense) das 
informações em termos de dados, de acordo com a funcionalidade, tais como: log de 
segurança, portas abertas, configurações de segurança, permissões de usuário, além 
de software e atualizações, conexões com dispositivos e recursos compartilhados. 
Sendo possível visualizar quais ações ou permissões um usuário ou grupo de usuários 
pode ter; estatísticas de tempo de atividade; logs de erro ou log de falha etc. 
 
4 DESASTRE, RECUPERAÇÃO E GESTÃO DA CONTINUIDADE DO NEGÓCIO 
 
Um Plano de Recuperação de Desastres em ação está em curso quando os 
funcionários estão lutando para garantir que sistemas essenciais estejam on-line. O 
que inclui protocolos para avaliar, recuperar, reparar e restaurar instalações ou ativos 
danificados nas organizações, no caso, a Clínica Médica. Controles de recuperação 
de desastre minimizam os efeitos de um desastre, para garantir que os recursos e 
processos comerciais possam retomar a operação. 
• Controles preventivos: Backup de dados, geradores de energia. 
• Medidas de detecção: Software, antivírus, monitoramento do servidor e rede. 
• Medidas corretivas: Incluem controles que restauram o sistema depois de um 
desastre ou evento crítico. 
 
4.1 Continuidade do Negócio 
 
A continuidade dos negócios é um dos mais importantes conceitos em 
segurança de computador. Mesmo que as empresas façam tudo o que podem para 
evitar desastres e perda de dados, é impossível prever todas as possibilidades. É 
importante que as empresas tenham planos implementados para garantir a 
continuidade dos negócios, independentemente do que possa ocorrer. Um plano de 
continuidade dos negócios é um plano mais amplo, já que dependendo do evento 
crítico, pode até incluir levar sistemas essenciais para outro local, enquanto o reparo 
16 
 
da instalação original está em andamento. O pessoal continua a executar todos os 
processos comerciais de forma alternada, até retomar as operações normais. 
A disponibilidade garante que os recursos necessários para manter a empresa 
continuarão a estar disponíveis para o pessoal e os sistemas que dependem deles. 
 
4.2 Plano de Recuperação dos negócios 
 
Medidas de recuperação em casos de desastres devem ser priorizadas 
identificando e analisando possíveis eventosou falhas. 
Segundo o Instituto Nacional de Padrões e Tecnologia (National Institute of 
Standards and Technology - E.U.A), as seguintes melhores práticas ou etapas podem 
ser adotadas: 
1- política que proporcione orientação para desenvolver o plano de 
continuidade de negócios e atribua funções para realização das tarefas. 
2- Identifique processos e sistemas essenciais e priorizá-los conforme a 
necessidade. 
3- Identifique vulnerabilidades, ameaças e calcule os riscos. 
4- Identifique e implemente controles e contramedidas para reduzir o risco. 
5- Planeje métodos para recuperar rapidamente os sistemas essenciais. 
6- Escreva os procedimentos para manter a empresa funcionando em uma 
condição de caos. 
7- Teste o plano. 
8- Atualize o plano regularmente. 
As seguintes medidas preventivas e boas práticas que devem sempre ser 
adotadas são: 
• Identificação; 
• Autenticação; 
• Autorização; 
• Monitoramento; 
• Responsabilidades dos usuários; 
• Tratamento, inventário e proteção dos ativos; 
• Gerência. 
 
 
17 
 
Imagem 04: Etapas dos negócios 
 
Fonte: arquivo próprio. 
 
Resposta a incidente na Clínica Médica são procedimentos que a empresa 
deve seguir, depois da ocorrência de um evento fora dos limites de normalidade. Uma 
violação de dados (prontuários médicos) pode ocorrer como resultado de um ato 
intencional ou acidental. Uma violação de dados ocorre sempre que uma pessoa não 
autorizada copia, transmite, visualiza, rouba ou acessa informações confidenciais, no 
caso, os dados armazenados em Nuvem. 
E para isso é necessário: 
• Obter a aprovação do plano com a gerência; 
• Manter o plano de resposta a incidente; 
• Assegurar que seus membros/colaboradores sejam conhecedores do plano; 
• Testar o plano; 
• Como melhorar o sistema de monitoramento; 
• Medidas preventivas que precisam ser fortalecidas; 
• Ações que impedirão que o incidente ocorra novamente; 
• Minimizar o período de inatividade durante as fases de contenção, de 
erradicação e de recuperação. Atualizar o plano em virtudes de mudanças. 
A continuidade e disponibilidade garante que os recursos necessários para 
manter a Clínica Médica continuarão a estar disponíveis para o pessoal e os sistemas 
que dependem deles. 
18 
 
CONCLUSÃO 
 
Segundo a norma ISO 31000 (2018), a identificação de riscos contempla a 
busca, o reconhecimento e a descrição de eventos que podem afetar objetivos, as 
fontes que possam originar tais eventos, e as possíveis causas e consequências. 
No caso da Clínica Médica, os principais riscos a segurança da informação é a 
manipulação e tratamento de seus dados, dados esses que são armazenados em 
Nuvem. Prontuários médicos, laudos, exames, identificação de pacientes, médicos, 
colaboradores, empresas terceirizadas, compras, laboratórios, agenda e toda parte 
financeira da organização pode sofrer um ataque, invasão, sequestro, destruição e ou 
divulgação destes dados, expondo a Clínica Médica, fazendo-a com que perca a 
credibilidade perante seus usuários. Riscos, em se tratando de internet, sempre 
haverá. E para isso é possível minimizar, preservar e monitorar tais ameaças, além 
de uma boa instrução aos seus colaboradores em lidar com riscos, através de 
protocolos e respostas a incidentes de segurança. 
Vulnerabilidades identificadas, como o uso de senhas comuns, fracas, para 
vários aplicativos conectados a rede, um risco a segurança da Clínica e facilmente à 
mercê de um ataque de engenharia social, até pelo desconhecimento da equipe da 
Clínica que manipulam esses dados. Foi realizado a conscientização e treinamento 
dos membros colaboradores que lidam diretamente com os dados da organização e 
na parte de marketing (divulgação externa) a educação e instrução para usuários, 
clientes, fornecedores etc. que acessam seus dados pessoas. 
A Computação Forense nos auxiliou a identificar possíveis indícios de crimes 
digitais, tais como: invasões, fraudes, golpes, ou possíveis vazamentos de 
informações sigilosas da Clínica Médica, construindo uma perícia forense dentro da 
organização citada, criando desta forma, um plano de resposta e tratamento de risco 
a incidentes da segurança da informação para a Clínica. E por último, para preservar 
e dar continuidade aos negócios da Clínicos em caso de desastre físico ou lógico no 
tocante a atividade de sua organização, para que não seja paralisada, afetada, em 
casos de incidentes cibernéticos, realizamos um plano de recuperação e continuidade 
de seus negócios. 
E para o sucesso em manter a operacionalização da Clínica Médica, alguns 
dos principais pilares da Segurança da Informação formaram um tripé, a Gestão e 
Análise de Riscos, a Computação Forense e os métodos de Desastre, Recuperação 
19 
 
e Gestão da Continuidade do Negócio que, trabalhados de forma conjunta tornam-se 
ferramentas que podem ser utilizadas como prevenção, ou como forma de minimizar 
danos, ativos de uma organização. 
A integração de todos os demais setores, a instrução e educação de usuários 
e colaboradores, normas e procedimentos dentro e fora da organização, fortalecem o 
vínculo com a segurança da informação. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
20 
 
REFERÊNCIAS 
 
"Gestão e Análise de Riscos - Autor: Sewaybriker, Ricardo. – São Paulo: Editora: 
Sol, 2021. ISSN 1517-9230. 1. Riscos. 2. Governança. 3. Mapa. U511.30-21. CDU 
658.012.2". Nota: este volume está publicado nos Cadernos de Estudos e Pesquisas 
da UNIP, Série Didática, ISSN 1517-9230. Acesso: outubro/2022. 
 
“Computação Forense – Autor: Araújo, Sandro de - Curitiba: Contentus, 2020. ISBN 
978-65-5745-641-5. 1.Prática Forense – Processamento de Dados. 2.Crime por 
computador. 3.Segurança de Dados. I. Título. CDD 341.463”. Biblioteca Virtual: 
<https://plataforma.bvirtual.com.br/Leitor/Publicacao/186353/pdf/0?code=Hxs8vYNwr
OI/hR091mb1tlpbLnrIYIqJ0ZqhPtcleIQ4nNPaNO8ckirIZ3XbJTknNSsW0wheO+l9wq
myOCFFxQ=>. Acesso em outubro/2022. 
 
“Computação Forense – Autor: Silva, Anderson Aparecido Alves da. São Paulo – 
Editora: Sol, 2021. CDU 340:681.3. 1. Exames. 2. Arquivos. 3. Análise. I. Título. 
U511.24-21. CDU 340:681.3". Nota: este volume está publicado nos Cadernos de 
Estudos e Pesquisas da UNIP, Série Didática, ISSN 1517-9230. Acesso em 
outubro/2022. 
 
“Auditoria e Gestão de Riscos – Autor: Avalos, José Miguel Aguilera. 1ª Ed. São 
Paulo: Ed. Saraiva, 2012. ISBN-10: 8502086502. ISBN-13: 978-8502086500”. 
Acesso em outubro/2022. 
 
“Sistemas de segurança da Informação na era do conhecimento – Livro eletrônico 
- Autor: Kolbe Júnior, Armando. Curitiba: Ed. Intersaberes, 2017. 1. Conhecimento. 2. 
Organizações. 3. Sistema de Informação Gerencial. 4. Sistemas de informação 
Gerencial – Medidas de Segurança. 5. Tecnologia da Informação. I. Título. CDD-
658.403. ISBNA 978-85-5972-303-8”. Acesso em novembro/2022. 
 
“Resposta a Incidentes de Segurança da Informação em Computadores – Autor: 
McCarthy, N.K. São Paulo - Editora: Bookman – 2013. ISBN-13: 978-8582601310”. 
Acesso em novembro/2022. 
 
“Gestão da Segurança da Informação – NBR 27001 e NBR 27002 – Autores: Silva 
Coelho, Flávia Estélia; Segadas de Araújo, Luis Geraldo. Kowask Bezerra, Edson. 
Escola Superior de Redes – Rio de Janeiro – Rede Nacional de Ensino e Pesquisa – 
2014. 1. Tecnologia da Informação – Técnicas de Segurança. 2. Sistemas de Gestão 
de Segurança da Informação – Requisitos. 3. Tecnologia da Informação – Código de 
Prática para a Gestão de Segurança da Informação. CDD 005.8. ISBN 978-85-63630-
12-4”. Acesso em novembro/2022. 
 
	PROPOSTA DE MEDIDAS A SEREM ADOTADAS PARA PREVENIR, IDENTIFICAR E RECUPERAR, POR MEIO DE UM PLANO DE CONTINUIDADE DE NEGÓCIO, AS ATIVIDADES E AS INFORMAÇÕES DE UMA CLÍNICA MÉDICA.
	PROPOSTA DE MEDIDAS A SEREM ADOTADAS PARA PREVENIR, IDENTIFICAR E RECUPERAR, POR MEIO DE UM PLANO DE CONTINUIDADE DE NEGÓCIO, AS ATIVIDADES E AS INFORMAÇÕES DE UMA CLÍNICA MÉDICA.
	INTRODUÇÃO1 CLÍNICA MÉDICA - PRONTUÁRIOS
	2 GESTÃO E ANÁLISE DE RISCOS
	2.1 Ameaças à disponibilidade
	2.2 Identificação de Riscos
	2.3 Evento: Engenharia Social
	3 COMPUTAÇÃO FORENSE
	3.1 Implementação de Auditabilidade
	3.2 Crime Digital
	3.3 Método Forense Computacional - WinAudit
	4 DESASTRE, RECUPERAÇÃO E GESTÃO DA CONTINUIDADE DO NEGÓCIO
	4.1 Continuidade do Negócio
	4.2 Plano de Recuperação dos negócios
	CONCLUSÃO
	REFERÊNCIAS