Mapa Segurança e Auditoria de Sistemas

Prévia do material em texto

MAPA – Material de Avaliação Prática da Aprendizagem
	Nome: Kleber Felipe Leite
	R.A: 1523201-5
	Curso: SUPERIOR EM GESTÃO DA TECNOLOGIA DA INFORMAÇÃO
	 Disciplina: Segurança e Auditoria de Sistemas
Caro estudante, temos por certo que os desafios sempre contribuem na aquisição de conhecimentos e competências desejadas. Sendo assim, faz-se necessário relacionar o que se aprende com situações reais que podem ser encontradas no cotidiano. Neste MAPA, você é convidado a realizar uma atividade para verificar como a disciplina em questão pode contribuir na sua experiência e formação profissional. Por este motivo, você é instigado a solucionar um problema voltado para sua área de formação. Atente-se para as informações e realize um ótimo trabalho!
Vamos iniciar nosso MAPA com uma provocação: Quantas vezes você já escutou de alguém na sua vida pessoal ou profissional a frase “mas isso nunca aconteceu comigo!”. Infelizmente, quando tratamos de risco, é comum que essa frase tenha tempo curto, pois rapidamente ela se transformará de uma frase de efeito em uma história trágica. Quando falamos de segurança da informação, isso não é diferente! 
Para desenvolver o seu MAPA, primeiramente leia com bastante atenção a descrição abaixo de um cenário corporativo hipotético onde você poderia estar envolvido como Gestor de TI, identificando principalmente os pontos onde existem riscos à segurança da informação.
Imagine que você foi contratado como Gestor de TI por uma empresa que possui diversas redes de concessionárias de veículos presentes em 6 estados brasileiros. O principal motivo da sua contratação e a orientação passada pela diretoria é que o trabalho inicial do novo gestor deve ter foco em aumentar a maturidade da segurança da informação da companhia, tanto para manter os dados seguros e íntegros, como elevar o nível de disponibilidade, garantindo a continuidade dos negócios em caso de falhas pontuais na infraestrutura tecnológica.
Apesar de 6 unidades, a matriz que fica em Salvador, possui um único Data Center centralizado onde todas as filiais se conectam via internet, diretamente e sem nenhum recurso de segurança, ao sistema principal para emitir nota fiscal, realizar compras, folha de pagamento e todos os recursos de tecnologia, pois a loja remota, temos basicamente um link de internet e a rede local, mas não existem servidores. O único serviço local é uma rede sem fio que deveria permitir a mobilidade dos vendedores, mas por estar aberta, os funcionários e clientes utilizam em seus equipamentos particulares para acesso à internet.
O Data Center fica no térreo de um empreendimento próprio da empresa, localizado em uma bonita área verde da cidade, com um rio magnífico que passa atrás, onde é comum em épocas de chuva, ele ficar bem cheio. Você também foi informado que existe um nobreak pequeno que suporte apenas poucos minutos do Data Center funcionando, o que geralmente acarreta desligamento inesperado, causando impacto não apenas na sede, mas em todas as unidades da empresa, visto que os sistemas são centralizados.
A empresa já sofreu com paralização da operação devido a um aplicativo de celular instalado em um equipamento particular na filial de São Paulo que pela rede, se espalhou e chegou ao Data Center, criptografando os dados e houve solicitação de resgate pelo grupo Hacker para liberar o banco de dados da empresa, que acabou sendo pago, pois a empresa não possui sistema de backup para voltar informações nesses casos, seja local ou em nuvem.
Realmente seriam muitos desafios de segurança e continuidade para um Gestor de TI, não é mesmo? 
Sendo assim, para entregar essa atividade MAPA, você precisa descrever:
- Quais riscos você identifica no cenário apresentado dessa empresa? Cite ao menos 5 (cinco) riscos, explicando o porquê eles são riscos para o negócio.
- Para cada risco identificado acima, descreva uma ou mais ações para eliminar, mitigar ou terceirizar o risco.
- Partindo do princípio de que você como o novo Gestor de TI fará uma Política de Segurança da Informação, descreva ao menos 3 (três) itens que você colocaria nessa política e explique por qual razão elas são importantes e os efeitos positivos que você pretende com elas.
Além das informações acima, utilize os conhecimentos adquiridos no livro da disciplina, aulas conceituais e ao vivo. Fique à vontade para explorar o cenário em todas as suas possibilidades.
Atenção aluno: você não precisa apresentar sua resposta em tópicos da forma que foram estruturados acima, pois são apenas referências de perguntas que devem ser respondidas no seu MAPA.
Antes de enviar sua atividade, certifique-se de que respondeu a todas as perguntas da atividade e não esqueceu nenhum detalhe. Após o envio não são permitidas alterações. Por favor, não insista.
Coloque sua resposta no quadro abaixo.
	5 Riscos: 
1º - Invasão da rede e vazamento de informações: No cenário exposto temos uma rede que atende aos servidores, funcionários, clientes, fornecedores e etc., através de uma senha compartilhada, provavelmente um cliente ou fornecedor chega e já solicita ao funcionário a senha do wifi e BINGO está na mesma rede que toda a estrutura de dados que a empresa e suas filiais utilizam para trabalhar, com isso fica-se muito mais fácil a invasão da rede por hackers etc ocasionando que vazamento e perda de informações para empresas concorrentes por exemplo.
Uma boa solução pra isso seria a utilização de redes virtuais(vlans), com isso seria possível a criação de varias redes sem que se comuniquem entre si, por exemplo: Rede corporativa para acesso aos servidores de banco de dados, rede essa liberada apenas para os dispositivos cadastrados e bloqueada para qualquer dispositivo que não possua cadastro prévio.
Rede para os funcionários da empresa, rede essa para uso nos para os celulares dos funcionários; Rede para clientes e fornecedores, para que esses visitantes tenham acesso à internet durante a visita. E o mais importante que essas redes não se comuniquem entre si, dessa maneira mesmo que alguém por algum motivo vaze a senha de clientes ou funcionários não terão acesso a rede “mais importante”, a rede coorporativa.
2º - Indisponibilidade na internet na matriz: Se imaginarmos nesse mesmo cenário que haja uma queda internet, as demais filiais ficariam totalmente sem comunicação com a matriz ocasionando perde e desencontro e perda de informações o que provavelmente impactaria diretamente no negocio como um todo, visto que teríamos um impacto em praticamente todos os setores das filiais que ficariam sem comunicação com a matriz e da matriz que não teria seu banco de dados atualizado de acordo com os faturamentos das suas filiais. 
Como solução poderíamos avaliar a aquisição de links backups assim seria possível uma redundância e em caso de queda do link principal um link secundário seria ativado de forma instantânea assim diminuindo o impacto pra quase que zero. Outra boa solução para esse caso seria servidores de banco de dados locais com replicações de informação em períodos de tempo pré-estabelecidos, assim mesmo que a matriz fique sem comunicação as filiais conseguem trabalhar de forma independente e assim que a normalizada a internet as replicações voltariam a ocorrer evitando que a matriz fique sem as informações do período sem internet.
3º - Desastre Datacenter: Existe um fator natural que impacta bastante no cenário que é o fator de um rio próximo que fica bem cheio em épocas de chuvas, imaginando um cenário de desastre e com isso enchentes nesse período o datacenter que está localizado no térreo e sem nenhuma medida de segurança seria todo danificado podendo ate mesmo queimar e perder todos os dados da empresa visto que não se tem backup nem replica para nenhum outro ambiente.
Pra evitar que uma situação como essa ocorra o mais recomendado seria que o datacenter se possível seja em piso superior com acesso exclusivo pelos responsáveis por mantê-lo seguro e operacional, em uma sala com ar condicionado para evitar aquecimento e com rotinas de backups constantes,backups esses escalonados em diversos nível podendo ter copias para storages locais e storages remotos com filiais e até mesmo na nuvem se possível, daí num cenário hipotético de desastre seria possível uma restauração rápida e evitando perda de informações.
4º Durabilidade dos equipamentos: Sabe-se também que temos um nobreak que não suporta toda a carga do Datacenter se imaginar que nesse período de chuvas ou de manutenção na rede elétrica podemos ter muitas vezes equipamentos desligando de forma errada e ate mesmo religando e desligando novamente de forma não ideal.
Visto a complexidade que um datacenter desse porte pede é de extrema importância um ambiente controlado com nobreaks de alta capacidade que mantenha por um período de tempo considerável os equipamentos ligados ate que o responsável possa desligar de maneira correta todos os servidores e programar o religamento dos mesmos apenas no momento em que a energia elétrica esteja reestabelecida de maneira definitiva.
5º Proteção dos dados: Foi mencionado que a operação da empresa sofreu paralisação devido a invasão hacker. No mundo coorporativo é muito comum que empresas sofram tentativas de invasões e ataque hacker devido a exposição no mercado, sendo fundamental uma boa politica de prevenção dos dados utilizando firewall de bordas e sistemas de antivírus confiáveis e sempre atualizados, além de treinamentos contínuos para os colaboradores, pois na maioria dos casos a falha humana ocasiona esse tipo de problema.
3 Politicas
Como Gestor de TI é fundamental pensar em soluções que evitem a perda de dados e preservação dos mesmos, sendo assim 3 Politicas que considero fundamentais
 1º - Implantação de um firewall de borda: Afim de proteger e prevenir a rede corporativa de ataques hacker e evitando assim perda de informações, o Firewall seria a barreira principal bloqueando tentativas de ataques e melhorando a segurança na comunicação com as demais unidades através de uma VPN.
2º Virtualização dos Servidores: Usando um sistema de virtualização, VMWare por exemplo, afim de termos economia no espaço físico, um sistema mais seguro, redução nos custos, multi sistemas operacionais, gerenciamento centralizado e mais fácil, ambiente de testes para novas ferramentas e etc.
3º Sistema de backup: Utilizando ferramentas de backups disponíveis no mercado, o veeam backup e Replication por exemplo, uma boa estrutura pede sempre um bom sistema de backup, por vários fatores afim de evitar um grande impacto com arquivos deletados por engano ou por algo incidente no datacenter que prejudique o mesmo de operar, com rotinas de backups bem definidas com vários níveis (local, remoto, nuvem) o restabelecimento em caso de parada ocorre de maneira rápida e menos impactante.
IMPORTANTE:
1. Acesse o link com um vídeo explicativo para ajudá-lo nesse processo de criação e desenvolvimento. O acesso deverá ser realizado em: Fóruns da Disciplina >>Fórum de Aula ao Vivo.
2. Responda seguindo como roteiro os tópicos elencados anteriormente.
3. A entrega deve ser feita exclusivamente por meio do Template de entrega da atividade MAPA.
4. Antes de enviar sua atividade, certifique-se de que respondeu a todas as perguntas e realize uma cuidadosa correção ortográfica.
5. Após o envio não são permitas alterações, ou modificações. Logo, você tem apenas uma chance de enviar o arquivo corretamente. Revise bem antes de enviar!
6. Lembre-se que evidências de cópias de materiais, incluindo de outros acadêmicos, sem devidas referências serão inquestionavelmente zeradas. As citações e referências, mesmo que do livro da disciplina, devem ser realizadas conforme normas da Instituição de Ensino.
7. Não são permitidas correções parciais no decorrer do módulo, ou seja, o famoso: “professor veja se minha atividade está certa?”. Isso invalida seu processo avaliativo. Lembre-se que a interpretação da atividade também faz parte da avaliação.
8. Procure sanar suas dúvidas junto a mediação em tempo hábil sobre o conteúdo exigido na atividade, de modo que consiga realizar sua participação.
9. Atenção ao prazo de entrega, evite envio de atividade em cima do prazo. Você pode ter algum problema com internet, computador, software etc. e os prazos não serão flexibilizados, mesmo em caso de comprovação.
Bons estudos!
Em caso de dúvidas, encaminhar mensagem ao seu Professor(a) Mediador(a).