ISO 27002 - Capitulo 9 - Controle de Acess

Prévia do material em texto

Capitulo 9 - Controle de Acesso
Esse capítulo tem por objetivo limitar o acesso a informação e aos recursos de processamento da informação.
9.1.1 Política de controle de acesso 
Convém que uma política de controle de acesso seja estabelecida, documentada e analisada criticamente, baseada nos requisitos de segurança da informação e dos negócios. 
Convém que os proprietários dos ativos determinem regras apropriadas do controle de acesso, direitos de acesso e restrições para papéis específicos dos usuários acessarem seus ativos.
Convém que sejam considerados os controles de acesso lógico e físico de forma conjunta. 
9.1.2 Acesso às redes e aos serviços de rede 
Convém que os usuários somente recebam acesso às redes e aos serviços de rede que tenham sido especificamente autorizados a usar. 
a) Procedimentos de autorização para determinar quem tem permissão para acessar quais redes e serviços de redes;
Vulnerabilidade: Não possuir procedimentos, politicas ou documentos dizendo quem deve possuir acesso a quais redes.
Ameaça: Colaborador interno possuir acesso a uma rede que não deveria.
Risco: Utilizar uma rede de forma indevida, o que pode causar instabilidade na mesma
b) Requisitos de autenticação do usuário para acessar vários serviços de rede.
Vulnerabilidade: Não possuir nenhuma autenticação para acessar serviços de rede.
Ameaça: Agente interno ou externo que conecte a uma determinada rede que não deveria.
Risco: Uso indevido de redes, que podem causar instabilidade, ou até mesmo ocorrência de vírus ou malware.
9.2 Gerenciamento de acesso do usuário 
Assegurar acesso de usuário autorizado e prevenir acesso não autorizado a sistemas e serviços. 
Registro e cancelamento de usuário 
Convém que um processo formal de registro e cancelamento de usuário seja implementado para permitir atribuição de direitos de acesso.
A imediata remoção ou desabilitação do ID de usuário que tenha deixado a organização.
 Vulnerabilidade: Possuir usuários ativos de pessoas que deixaram a empresa.
Ameaça: Ex-funcionário da empresa ainda possuir acesso a determinados serviços ou locais lógicos com.
Risco: Roubo de informações confidenciais da empresa. 
O uso de um ID de usuário único, para permitir relacionar os usuários com suas responsabilidades e ações; o uso compartilhado de ID de usuário somente será permitido, onde eles são necessários por razões operacionais ou de negócios e convém que seja aprovado e documentado; 
Vulnerabilidade: ID’s de usuário de determinada ferramenta compartilhado entre varias pessoas de uma equipe.
Ameaça: Alguém realizar uma alteração intencional ou não intencional de informações de forma incorreta.
Risco: Não haver rastreabilidade de quem fez a alteração dos dados, ocorrendo não-repudio.
Provisionamento para acesso de usuário 
Convém que um processo formal de provisionamento de acesso do usuário seja implementado para conceder ou revogar os direitos de acesso do usuário para todos os tipos de usuários em todos os tipos de sistemas e serviços. 
Verificação de que o nível de acesso concedido é apropriado às políticas de acesso é consistente com outros requisitos, tais como, segregação de funções.
Vulnerabilidade: Não possuir definido o nível de acesso correto para determinado sistema e determinada função.
Ameaça: Funcionário utilizar um nível de acesso superior ao que deveria possuir para alterar ou conseguir informações que não deveria ter acesso.
Risco: Perca de informações ou de sua integridade.
Obtenção de autorização do proprietário do sistema ou do serviço da informação para o uso do serviço ou sistema da informação. Aprovações separadas para os direitos de acesso da direção também pode ser recomendada;
Vulnerabilidade: Ser concedido acesso a serviço ou sistema de informação sem autorização do proprietário do mesmo.
Ameaça: Funcionário utilizar esse acesso para realizar procedimentos sem consentimento do proprietário das informações ou serviço.
Risco: Alterações não mapeadas pelo proprietário, podendo acarretar na perda de informações ou alterações indevidas na mesma. 
 
9.2.3 Gerenciamento de direitos de acesso privilegiados 
Convém que a alocação de direitos de acesso privilegiado seja controlada por meio de um processo de autorização formal, de acordo com a política de controle de acesso pertinente.
Os direitos de acesso privilegiado sejam concedidos a usuários conforme a necessidade de uso e com base em eventos alinhados com a política de controle de acesso, baseado nos requisitos mínimos para sua função.
Vulnerabilidade: Não possuir documentado requisitos de acesso baseados na função exercida.
Ameaça: Funcionário requisitar e conseguir acesso a determinada ferramenta que não condiz com seu papel.
Risco: Utilizar esse acesso para realizar ações que possam afetar a segurança das informações ou prejudicar a empresa.
Requisitos para expirar os direitos de acesso privilegiado sejam definidos; 
Vulnerabilidade: Determinado funcionário possuir acesso privilegiado a um serviço ou programa após esse acesso não ser mais necessário Ameaça: Funcionário utilizar serviço/programa com acessos privilegiados para realizar alterações. 
Risco: Serem feitas alterações ou uso inapropriado de ferramenta ou serviço, impactando na segurança da informação, como sua integridade.
9.2.4 Gerenciamento da informação de autenticação secreta de usuários
Convém que a concessão de informação de autenticação secreta seja controlada por meio de um processo de gerenciamento formal. 
Fornecer informação de autenticação secreta temporárias aos usuários de maneira segura; o uso de mensagens de correio eletrônico de terceiros ou desprotegido (texto claro) seja evitado.
Vulnerabilidade: Utilizar meios “não seguros”, como aplicativos sem criptografia para transmitir senhas ou acessos para usuários.
Ameaça: Agente externo, como um hacker, conseguir extrair informações sendo transmitidas através dos meios não seguros.
Risco: Hacker usar informações de acesso roubadas para acessar serviços ou programas de forma indevida, roubando informações ou alterando as mesmas.
Garantir, onde os usuários necessitam manter suas próprias informações de autenticação secreta, que lhes sejam fornecidas uma informação de autenticação secreta temporária, as quais o usuário é obrigado a alterá-la no primeiro uso.
Vulnerabilidade: Fornecer informação de autenticação temporária para o usuário sem informa-lo que é necessário alterar a mesma.
Ameaça: Agente externo ou interno obter acesso a essa informação de acesso.
Risco: Como a informação de acesso não foi trocada um agente a utiliza para obter informações confidenciais ou realizar ações improprias com o acesso.
9.2.5 Análise crítica dos direitos de acesso de usuário 
Convém que os proprietários de ativos analisem criticamente os direitos de acesso dos usuários, a intervalos regulares.
Os direitos de acesso de usuários sejam revisados em intervalos regulares e depois de quaisquer mudanças, como promoção, remanejamento ou encerramento do contrato 
Vulnerabilidade: Um funcionário é desligado da empresa, porém suas credenciais continuam ativas no sistema da empresa.
Ameaça: O ex-funcionário sabendo que suas credenciais continuam ativas, compartilha essas informações com alguém mal-intencionado. 
Risco: Utilizar as credenciais para obter acesso a informações confidenciais da empresa (dados...) se passando por outra pessoa (não repúdio).
Os direitos de acesso de usuários sejam analisados criticamente e realocados quando movidos de um tipo de atividade para outra na mesma organização;
Vulnerabilidade: Um funcionário é movido para outro setor, porem suas credenciais do setor anterior continuam ativas.
Ameaça: Outro funcionário interno da empresa possa ter acesso as credenciais e fazer algo mal-intencionado.
Risco: Utilizar as credenciais para obter acesso a informações confidenciais da empresa (dados...) se passando por outra pessoa (não repúdio).
9.2.6 Retirada ou ajustede direitos de acesso 
Convém que, após o encerramento das atividades, os direitos de acesso da pessoa aos ativos associados com os sistemas de informação e serviços sejam removidos ou suspensos. Isto irá determinar se é necessário retirar os direitos de acesso. 
Caso o funcionário, fornecedor ou terceiro que esteja saindo tenha conhecimento de senhas de contas que permanecem ativas, convém que estas sejam alteradas após um encerramento das atividades, mudança do trabalho, contrato ou acordo. 
Vulnerabilidade: Após a saída de um funcionário da empresa a mesma não realiza alteração das senhas conhecidas pelo funcionário.
Ameaça: Ex-funcionário fornecer informações sobre senhas que conhecia para um hacker ou agente mau intencionado.
Risco: Agente mau intencionado para obter informações e acessos indevidamente.
Convém que qualquer documentação que identifique os direitos de acesso de funcionários e partes externas reflita a remoção ou ajuste dos direitos de acesso. 
Vulnerabilidade: Após cancelar o contrato com terceiros não realizar a devida remoção de acesso, como por exemplo informar filiais sobre o cancelamento.
Ameaça: Funcionários da empresa terceirizada possuir acesso a informações de acesso antiga.
Risco: Funcionários da empresa terceirizada adentrar uma filial com informações de acesso antigas e roubar informações ou até mesmo bens físicos.
9.3 Responsabilidades dos usuários
Tornar os usuários responsáveis pela proteção das suas informações de autenticação. 
9.3.1 Uso da informação de autenticação secreta 
Convém que os usuários sejam orientados a seguir as práticas da organização quanto ao uso da informação de autenticação secreta.
Evitar manter anotadas a informação de autenticação secreta (por exemplo, papel, arquivos ou dispositivos móveis), a menos que elas possam ser armazenadas de forma segura e o método de armazenamento esteja aprovado (por exemplo, sistema de gerenciamento de senha). 
Vulnerabilidade: Usuários não são orientados sobre o armazenamento seguro de senhas, e alguns deixam anotado em locais visíveis ou de fácil acesso.
Ameaça: Funcionário mau intencionado consegue acesso a uma das senhas armazenadas.
Risco: Utilizar a senha para conseguir acesso a informações confidencias ou acesso a serviços que podem gerar impacto para empresa.
Não utilizar a mesma informação de autenticação secreta para uso com finalidades profissionais e pessoais. 
Vulnerabilidade: Usuário utilizar uma mesma senha para acessos pessoais e também para acessos de serviços ou aplicações da empresa. 
Ameaça: Agente externo consegue acesso a uma das senhas pessoais de um colaborador.
Risco: Agente externo obtém acesso a informações da empresa através de uma senha pessoal de colaborador, que era utilizada também dentro da empresa.
Controle de acesso ao sistema e à aplicação 
Prevenir o acesso não autorizado aos sistemas e aplicações. 
9.4.1 Restrição de acesso à informação
Convém que o acesso à informação e às funções dos sistemas de aplicações seja restrito, de acordo com a política de controle de acesso. 
Convém que restrições para o acesso sejam baseadas nos requisitos das aplicações individuais do negócio e de acordo com a política de controle de acesso definida. 
fornecer menus para controlar o acesso às funções dos sistemas de aplicação;
Vulnerabilidade: Um usuário pode ter acesso a módulos que não condizem com a sua função ou papel. 
Ameaça: Utilizar esse módulo para obter acesso a informações restritas a administradores do sistema.
Risco: Utilizar as informações para algo mal-intencionado (confidencialidade)
controlar os direitos de acesso dos usuários, por exemplo, ler, escrever, excluir e executar
Vulnerabilidade: Determinado usuário do sistema possui direitos de modificar informações em determinado local do sistema que não condiz com sua função ou papel.
Ameaça: O funcionário.
Risco: Utilizar o acesso de dados e informações como forma mal intencional.
9.4.2 Procedimentos seguros de entrada no sistema (log-on) 
Convém que, onde aplicável pela política de controle de acesso, o acesso aos sistemas e aplicações sejam controlados por um procedimento seguro de entrada no sistema (log-on).
Convém que uma técnica de autenticação adequada seja escolhida para validar a identificação alegada de um usuário. 
Proteja contra tentativas forçadas de entrada no sistema (log-on); 
Vulnerabilidade: Sistema ou serviço não possuir limite de tentativas de login ou qualquer controle de tentativas de acesso.
Ameaça: Agente externo mau intencionado utiliza software para realizar inúmeras tentativas de acesso em um serviço, programa ou rede.
Risco: Após várias tentativas agente externo obtém acesso indevido a um serviço, aplicação ou rede. Podendo comprometer informações confidenciais da empresa, até mesmo a disponibilidade de serviços ou informações
Não transmita senhas em texto claro pela rede; 
Vulnerabilidade: Senhas transmitidas em texto plano através da rede.
Ameaça: Agente externo mau intencionado como um hacker “snifando” a rede, ou seja, monitorando a mesma. 
Risco: Hacker identificar informações de acesso na rede e tirar vantagem das mesmas para acessar informações confidenciais, ou acessar serviços indevidamente.
9.4.3 Sistema de gerenciamento de senha 
Convém que sistemas para gerenciamento de senhas sejam interativos e assegurem senhas de qualidade. 
Obrigue os usuários a mudarem as suas senhas temporárias no primeiro acesso ao sistema
Vulnerabilidade: Usuários não são orientados a trocar as senhas padrão que são fornecidas para os mesmos. Podem ser fornecidas via documentos físicos.
Ameaça: Agente interno descobrir a senha padrão de outro usuário.
Risco: Utilizar a senha para obter acesso a informações ou serviços, se passando por outro usuário.
9.4.4 Uso de programas utilitários privilegiados
Convém que o uso de programas utilitários que podem ser capazes de sobrepor os controles dos sistemas e aplicações sejam restritos e estritamente controlados.
uso de procedimentos de identificação, autenticação e autorização para programas utilitários de sistema;
Vulnerabilidade: Não possuir procedimentos de identificação de usuários e possuir usuários de sistema compartilhado entre várias pessoas. 
Ameaça: Um agente mal-intencionado da empresa ter acesso ao usuário compartilhado.
Risco: Fazer modificações no sistema e negar a mesma (não repúdio)
autorização para uso programas utilitários não previstos; 
Vulnerabilidade: Colaborador utilizar um programa utilitário que não é aceito pela empresa.
Ameaça: Agente externo ou interno fazendo sniffing na rede.
Risco: Descobrir informações através da ferramenta de sniff.	
Controle de acesso ao código-fonte de programas
Convém que o uso de programas utilitários que podem ser capazes de sobrepor os controles dos sistemas e aplicações sejam restritos e estritamente controlados.
convém que seja implementado o controle do código-fonte de programa e das bibliotecas de programa-fonte, conforme procedimentos estabelecidos;
Vulnerabilidade: Não possuir controle de códigos-fonte.
Ameaça: Agente mal-intencionado ter acesso ao código-fonte e interações do mesmo.
Risco: Fazer alterações no código-fonte, como inserir códigos maliciosos já que o mesmo não passa por uma verificação
As listagens dos programas sejam mantidas num ambiente seguro;
Vulnerabilidade: Possuir as versões do sistema em um local não seguro (fora da nuvem).
Ameaça: Um colaborador qualquer possui acesso a todas as versões do sistema que estão salvos em um computador local.
Risco: Alterar ou excluir as versões do sistema de forma não intencional.