Gestão de Segurança da Informação

A segurança da informação está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São características básicas da segurança da informação os atributos de confidencialidade, integridade, disponibilidade e autenticidade, não estando esta segurança restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito se aplica a todos os aspectos de proteção de informações e dados. O conceito de Segurança Informática ou Segurança de Computadores está intimamente relacionado com o de Segurança da Informação, incluindo não apenas a segurança dos dados/informação, mas também a dos sistemas em si.

Atualmente o conceito de Segurança da Informação está padronizado pela norma ISO/IEC 17799:2005, influenciada pelo padrão inglês (British Standard) BS 7799. A série de normasISO/IEC 27000 foram reservadas para tratar de padrões de Segurança da Informação, incluindo a complementação ao trabalho original do padrão inglês. A ISO/IEC 27002:2005 continua sendo considerada formalmente como 17799:2005 para fins históricos. A partir de 2013 a norma técnica de segurança da informação em vigor é: ABNT NBR ISO/IEC 27002:2013 [1]
Fonte

————————————————–
Vejam mais…

ABES (Associação Brasileira das Empresas de Software)
A entidade exerce a missão de representação setorial nas áreas legislativa e tributária, na proposição e orientação de políticas voltadas ao fortalecimento da cadeia de valor da Indústria Brasileira de Software e Serviços – IBSS, na defesa da propriedade intelectual e combate a pirataria de softwares nacionais ou internacionais e no apoio as iniciativas de fomento à pesquisa, desenvolvimento, inovação e ao desenvolvimento do software nacional.
Denuncie a Pirataria!

 

O que é o CERT.br?
O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil é mantido pelo NIC.br, do Comitê Gestor da Internet no Brasil, e atende a qualquer rede brasileira conectada à Internet.
Saiba mais sobre o CERT.br

 

O que é a ISACA?
A ISACA® (isaca.org) suporta profissionais em todo o mundo a liderar, adaptar e garantir a confiança em um mundo digital em evolução, oferecendo conhecimento inovativo e de classe mundial, padrões, networking, certificações e desenvolvimento de carreira. Fundada em 1969, a ISACA é uma associação global sem fins lucrativos com 140.000 profissionais em 180 países. A ISACA também oferece o Cybersecurity Nexus ™ (CSX), um recurso de cybersegurança abrangente e o COBIT®, um framework de negócios para gerenciar a tecnologia da companhia. A ISACA também avança e valida as habilidades e conhecimentos críticos para o negócio através das mundialmente respeitadas certificações (CISA®), Certified Information Systems Auditor®, (CISM®), Certified Information Security Manager®, (CGEIT®), Certified in the Governance of Enterprise IT® e (CRISC™), Certified in Risk and Information Systems Control™. A associação conta com mais de 200 capítulos em todo o mundo.

 

O que é Data Loss Prevention? (DLP)

O termo Data Loss Prevention (DLP) é utilizado na área de Segurança da Informação para se referir a sistemas e metodologias que possibilitam as empresas a reduzir o risco do vazamento de informações confidenciais. Os sistemas DLPs podem identificar a perda de dados através da identificação do conteúdo, monitoramento e bloqueio de dados sensíveis, ou seja, identificar, monitorar e proteger os informações confidencias que podem estar em uso (máquinas dos usuários), em movimento (na rede corporativa) ou armazenadas (banco de dados, servidores, etc)

Ferramentas: Symantec Data Loss Prevention | Trend Micro™ DLP | MY DLP (free)

 

O que é BYOD?
B.Y.O.D. é a sigla para “Bring Your Own Device”, em tradução livre significa “Traga seu próprio dispositivo”, na prática a empresa permite que você utilize seus próprios dispositivos para acessar informações corporativas, exemplos mais clássicos são os smartphones e os notebooks, em outros casos podemos pensar no seu computador pessoal, que esta em sua casa e com o qual você pode acessar a rede da empresa. +

 

O que é APT (Ameaça Persistente Avançada)
APT é a abreviatura de “advanced persistent threat” (ameaça persistente avançada). Termo que se tornou famoso depois que o New York Times publicou detalhes do ataque que sofreu por mais de um mês. A unidade militar chinesa, agora conhecida como “APT 1”, invadiu a rede da organização midiática com uma série de emails de spear-phishing e um dilúvio de malwares personalizados.

 

O que é Hardering Servidores?
Hardening é um processo de mapeamento das ameaças, mitigação dos riscos e execução das atividades corretivas, com foco na infraestrutura e objetivo principal de torná-la preparada para enfrentar tentativas de ataque.

 

O que é DMZ?
Uma DMZ é uma sigla para DeMilitarized Zone ou simplesmente “Zona Desmilitarizada” é uma sub-rede que dependendo da ocasião, pode ser uma sub-rede física ou lógica que contém e expõe serviços externos de uma organização para acesso a uma rede maior não confiável, por exemplo a Internet.
O propósito de uma DMZ é adicionar uma camada adicional de segurança na rede local (LAN) onde sua função é manter todos os serviços que possuem acesso externo (ex. servidores HTTP, FTP, email, etc) separados da rede local, limitando assim o potencial dano em caso de comprometimento de algum destes serviços por um invasor. Para atingir este objetivo os computadores presentes em uma DMZ não devem conter nenhuma forma de acesso à rede local.

 

O que é SIEM – Gestão de eventos em Segurança da Informação?
O SIEM tem como princípio coletar informações importantes sobre o sistema de segurança da organização produzidos em vários locais, e ser capar de olhar para estes dados de único ponto, deixando mais fácil detectar as tendências e avaliar os padrões fora do comum.

Ferramentas: syslog-ng | CorreLog

 

Mais alguns termos…

O que é Firewall?
É uma barreira de proteção que ajuda a bloquear o acesso de conteúdo malicioso, mas sem impedir que os dados que precisam transitar continuem fluindo. +

Ferramentas: Fortinet | Aker | Cisco | Check Point | Palo Alto | Sophos |

O que é UTM?
A gestão unificada de ameaças, normalmente designada UTM, é um termo de segurança da informação que se refere a uma solução de segurança única, e normalmente um aparelho de segurança único, que fornece diversas funções de segurança num ponto único da rede.

O que é Pentest?
Pentest é derivação regressiva de Penetration Test, é o processo que permite melhorar a segurança contra ataques de pessoas mal intencionadas.

O que é SDLC – Software Development Life Cycle?
Implantação de Segurança no Ciclo de Desenvolvimento de Software (SDLC)

O que é Criptografia?
A criptografia é um conjunto de técnicas para esconder informação de acesso não autorizado. O objetivo da criptografia é transformar um conjunto de informação legível, como um e-mail, por exemplo, em um emaranhado de caracteres impossível de ser compreendido.

O que é VPN?
Virtual Private Network” ou Rede Privada Virtual, é uma rede privada construída sobre a infra-estrutura de uma rede pública, normalmente a Internet.

O que é VPC?

O que é DoS e DDoS?

O que é a autenticação de dois fatores e como usá-la?

O que é Análise e gestão de vulnerabilidades em TI?

O que é IPS/IDS?
Um IDS e IPS, acrônimos para Intrusion Detection System ou Sistema de Detecção de Intrusão e Intrusion Prevention System ou Sistema de Prevenção de Intrusão respectivamente, são sistemas que tem por função detectar e prevenir os acessos não autorizados às redes ou hosts de uma ou mais redes, sendo portanto grandes aliados dos(as) administradores(as) de redes na manutenção da segurança dos ambientes por eles(as) controlados.

 

————————————————–
Política de Segurança da Informação (PSI)

Gestão da Segurança da Informação NBR 27001 e NBR 27002

Cartilha de Segurança da informação (Superior Tribunal de Justiça) – Modelo

Boas Práticas em Segurança da Informação (TCU) – Modelo

PSI – Política de Segurança da Informação (Documento de Diretrizes e Normas Administrativas) – SENAC

PSI – Política de Segurança da Informação (Documento de Normas Educacionais) – SENAC

 

————————————————–
Links e Artigos

Default Password List

Análise de Cenários de TI em Gestão de Riscos Corporativos

Considerações essenciais para a proteção do vazamento de dados confidenciais através de ferramentas de prevenção de perda de dados

Prevenção Contra Vazamento de Dados

Conscientização sobre ameaça persistente avançada

Transferência segura de arquivos ainda é desafio da TI

 

————————————————–
Normas | Regulamentações | Leis

Quadro da legislação relacionada à segurança da informação e comunicações

Norma 1001 de Auditoria e Garantia de SI Carta de auditoria

Norma 1002 de Auditoria e Garantia de SI Independência organizacional

Norma 1003 de Auditoria e Garantia de SI Independência profissional

Norma 1004 de Auditoria e Garantia de SI Expectativa Razoável

Norma 1005 de Auditoria e Garantia de SI Devido Cuidado Profissional

Norma 1006 de Auditoria e Garantia de SI Proficiência

Norma 1007 de Auditoria e Garantia de SI Assertivas

Norma 1008 de Auditoria e Garantia de SI Critérios

Norma 1201 de Auditoria e Garantia de SI Planejamento de Contratação

Norma 1202 de Auditoria e Garantia de SI Avaliação de Risco no Planejamento

Norma 1203 de Auditoria e Garantia de SI Desempenho e Supervisão

Norma 1204 de Auditoria e Garantia de SI Materialidade

Norma 1205 de Auditoria e Garantia de SI Evidência

Norma 1206 de Auditoria e Garantia de SI Uso do Trabalho de Outros Especialistas

Norma 1207 de Auditoria e Garantia de SI Irregularidade e Atos Ilegais

Norma 1401 de Auditoria e Garantia de SI Relatórios

Norma 1402 de Auditoria e Garantia de SI Atividades de Acompanhamento

LEI Nº 12.737 (Delitos informáticos)
Conhecida como Lei Carolina Dieckmann, que tipifica os crimes cibernéticos.

O que é HIPAA?
Lei de Portabilidade e Responsabilidade de Seguros de Saúde

LAI: A Lei de Acesso à Informação
A Lei nº 12.527/2011 regulamenta o direito constitucional de acesso às informações públicas.

O que é Lei Sarbanes-Oxley (SOX)?
A Lei Sarbanes-Oxley, conhecida também como SOX, é uma lei americana promulgada em 30/06/2002 pelos Senadores Paul Sarbanes e Michael Oxley.
Nela estão envolvidas as empresas que possuem capitais abertos e ações na Bolsa de NY e Nasdaq, inclusive várias empresas brasileiras estão se adequando a esta Lei.

O que é PCI-DSS?
O PCI Data Secutity Standart (PCI-DSS) especifica recomendações mínimas de segurança obrigatórias para todas as empresas que participam da rede de captura de pagamento com cartões, o comércio, e prestadores de serviços que processam, armazenam e/ou transmitem eletronicamente dados do portador do cartão de crédito.

O que é a Resolução 3380 – Bacen?
Dispõe sobre a implementação de estrutura de gerenciamento do risco operacional

O que é o Acordo de Basiléia?

O que é COBIT?
O CobiT é um conjunto de diretrizes baseadas em auditoria para processos, práticas e controles de TI, voltado para redução de risco, enfoca integridade, confiabilidade e segurança. Resumindo, o CobiT nada mais é do que um conjunto de ferramentas para a excelência em TI. +

 

SegurancaINF

 

%d blogueiros gostam disto: