Ciclo de vida da Informação

Transporte

Criação Manuseio Descarte

Armazenar
 C r ia ç ã o
Cid
C
O C o n fid e n c ia lid a d e
M a n u s e io
N
T
I n te g r id a d e
A r m a z e n a m e n to R
O
L D is p o n ib ilid a d e
T r a n sp o rte
E
S
D e sca rte
 Conceitos

Confidencialidade - a informação só deve ser conhecida por usuários

ou processos que estejam autorizados a fazê-lo.
Acesso indevido a informações restritas
Quebra de estratégias comerciais
Perda de vantagens competitivas

Integridade - a informação só deve ser modificada por usuários ou

processos que estejam autorizados a fazê-lo, e a informação recuperada
deve ser exatamente a mesma que foi armazenada pelo último usuário
ou processo autorizado.
Erro no planejamento
Erro na operacionalização
Erro na tomada de decisão

Disponibilidade - a informação e processos de negócio vitais devem

estar disponíveis sempre que se necessitar deles.
Clientes insatisfeitos
Parcerias comerciais interrompidas
Retrabalho
 Visão Sistêmica

Perda de
Informação Integra ? Confiabilidade,
Decisões Erradas

Perda de Tempo,
Disponível ? Oportunidades,
Negócios.

Perda de Mercado,
Confidencial ? Negócios, Vazamentos
Desgaste da Imagem
Processo
de Negócio
sim não
Visão Sistêmica

Internet

Cid Cid
Cid

Cid
Rede Pública

Cid Cid Cid Controles

 Devem Tratar ou Permitir:

Auditoria (trilhas), Logs, Eventos

C Controles de Acesso (lógico ou físico)
O Níveis de Acesso
N Atualizações, Versões etc
T Interoperabilidade
R Integração em Ambientes Heterogêneos
O Gerenciamento por Níveis de Usuários
L Interfaces lógicas, físicas etc
E Falhas de Operação
S Classificação das Informações
Continuidade (fault-tolerant, fail safe, fail soft)
Recuperação sistêmica
 Prevenção
Detecção
C Aplicações
Corretivos
O
Aplicação
N Equipamentos
Transação
T
Entradas
R Usuários
Processuais
O
Saídas
L Processos
Mudanças
E
Teste
S Ambientes
Operacionais
Diretivos
Ativos
 •Informação
Exemplo ciclo informação Transportada
•Ativo Firewall
usuario1 •Confid + Integ usuario2
•Controle Acesso
•Controle Auditoria
Internet

•Informação Criada
•Ativo PC +
Aplicação
•Confidencialidade
•Controle Acesso

•Informação Rede Interna

Armazenada •Informação Manuseada
•Ativo Servidor + BD •Ativo Servidor + BD
•Confid + Integ + Disp •Confid + Integ
•Controle Acesso •Controle Níveis de
•Controle Auditoria Acesso
•Controle Auditoria
 Ciclo da Informação

Criação
C
Confidencialidade
O A
N Manuseio
T Em
T Atuam I Níveis Integridade
R V
O Armazenamento
O
L S Disponibilidade
E
S Transporte

Descarte
Ciclo da Informação + tecnologia + Controles

Época Ambiente Proteção Foco Informática

70s, 80s Mainframe Dados Confidencialidade Retaguarda

Dados Retaguarda
Mainframe Confidencialidade
+Administração
80s, 90s + Rede + Informação + Integridade e Operação

Mainframe Dados Confidencialidade

90s, 2000 + Rede + + Informação + Integridade
Conhecimento+ Disponibilidade
Negócio
+ IP
Exemplos de falha de controle de acesso em ativos servidores

Emails Maliciosos , Vírus

Usuários locais com

acessos não autorizados de leitura
Usuários locais com direitos
não autorizados de escrita

Usuários remotos podem efetuar

logins não autorizados

Usuários remotos podem ler arquivos

privilegiados
Usuários remotos com direitos de
administrador
Exemplos de falha de controle de acesso em ativos servidores

• Os Controles são necessários para proteger a

integridade e confidencialidade das informações
armazenadas, durante o seu ciclo;

• Assegura ainda que os recursos de rede e

processos de negócios por eles suportados não
serão comprometidos;

• Modelos mais comuns em uma estrutura de e-

commerce:
– Servidores de informação
– Servidores de infra estrutura
– Servidores de aplicação
• Contém as principais
informações das Servidores de Informação
empresas

• Um ataque bem
sucedido pode
resultar em:
– Perda de acesso
– Quebra de
integridade Dados Dados
Financeiros
Trabalhistas
– Furto de dados
CRM DB
– Perda de Informação
Mercadológi
privacidade Dados
ca
Legais
– Problemas legais
 Servidores de Infra-estrutura
• As operações de rede
dependem inteiramente
do funcionamento
desses servidores

• Um ataque bem sucedido

pode resultar em:
– Perda de integridade X.509 CA
Domínio
na autenticação NT
– Negação de acesso LDAP
aos recursos de rede
– Redução de DNS
NTP
performance DHCP
RADIUS
– Shutdown da rede
 Servidores de Aplicação
• As operações
comerciais dependem
desses servidores

• Um ataque bem
sucedido pode
resultar em:
– Perda de Mail
confidencialidade ERP

– Redução de Ger. de
performance no Projetos
negócio SQL

– Perda de receitas Exchange Telefonia

Sales
– Shutdown do Automation
negócio
 Visão Geral
Web

Dados Dados
Financeiros X.509 CA
Trabalhistas Domínio
NT
CRM DB
Informação LDAP
Mercadológi
ca
Dados
Legais
Mail DNS
ERP NTP DHCP
RADIUS
Ger. de
Projetos
SQL

Exchange Telefonia
Sales
Automation
 Agências

Agências
Agências Pequenas
Pequenas Agência
Regional

Agências
Pequenas
Internet

Agência
Regional

Centro de
Agências Processamento
Agências Workstation
Pequenas
Router

Workstation

FIREWALL
FIREWALL

Workstation

WEB SERVER DNS Servidor de E-MAIL RELAY

Aplicação FTP

Workstation
Agência
Regional
 Configuração padrão das regras Usuários com acesso/uso irrestrito
do firewall, maximizando os à Internet, maximizando a queda
ataques que afetam a integridade, de performance da rede
confidencialidade e disponibilidade e a conseqüente queda de
das informações. produtividade.

Workstation

Usuários com acesso à

Internet Router aplicações usando senhas fracas e
específicas para cada sistema,
maximizando o roubo de senhas
Workstation e

o acesso indevido.
FIREWALL
FIREWALL
Informações de negócio (sigilosas ) circulando
sem controle pelo correio eletrônico,
Workstation
maximizando a quebra da
integridade e confidencialidade, e
ainda sem garantir a autenticidade,
WEB SERVER
e política
DNS Servidor de
Aplicação
E-MAIL RELAY
FTP
para armazenamento e descarte da informação Workstation